Subverwerkersregister

Versie april 2026 · Geldig voor saartje.app

Dit register bevat alle partijen die in opdracht van Saartje (Sozials BV) persoonsgegevens van cliënten verwerken. Toevoeging of vervanging van een subverwerker wordt minimaal 30 dagen vooraf aangekondigd aan zorgorganisaties met een verwerkersovereenkomst. Doorgifte buiten de EER vindt uitsluitend plaats onder de Standard Contractual Clauses (SCC's) van de Europese Commissie en met aanvullende waarborgen.

Subverwerkers

Subverwerker	Doel	Soort gegevens	Locatie	Wettelijke basis doorgifte
Supabase (Supabase Inc. / hosting EU)	Database + opslag transcripties, profielen, dashboardgegevens	Profielgegevens, transcripties, stemmingsdata	EU Frankfurt (DE)	Verwerking binnen EER — geen doorgifte vereist
ElevenLabs (ElevenLabs Inc.)	Spraaksynthese (Text-to-Speech) en agent-conversatie	Audio-uitvoer, korte gesprekstekstfragmenten	US	SCC module 3 (verwerker → subverwerker) + DPA met opt-out training
Anthropic (Anthropic PBC)	Taalverwerking (Claude API) voor gespreksinhoud en samenvattingen	Gesprekstekst (zonder NAW), context	US	SCC module 3 + Anthropic API DPA — geen training op klantdata
OpenAI (OpenAI OpCo, LLC)	Spraakherkenning (Whisper) — transcriptie audio naar tekst	Audio-fragmenten (worden direct na transcriptie gewist)	US	SCC module 3 + Zero Data Retention voor API
Twilio (Twilio Ireland Ltd.)	Telefonie / WhatsApp-verzending bij telefoonpakket	Telefoonnummers, callmetadata	EU Ierland	Verwerking binnen EER
MessageBird / Bird (MessageBird B.V.)	SMS-alerts naar mantelzorgers en admins	Telefoonnummers, korte berichttekst	EU Nederland	Verwerking binnen EER
Resend (Resend Inc.)	Transactionele e-mail (rapportages, alerts)	E-mailadres, naam, berichttekst	US	SCC module 3 + DPA
Replit (Replit, Inc.)	Hostingplatform van de Saartje-applicatie	Server-logs, geen klantgegevens in logs	US	SCC module 3 + DPA
Google Cloud (TTS) (Google Ireland Ltd.)	Aanvullende stemsynthese (Chirp HD voice NL)	Tekstinvoer (zonder NAW)	EU Ierland	Verwerking binnen EER

Aanvullende waarborgen voor doorgifte naar de VS

Standard Contractual Clauses (SCC's) module 3 zijn afgesloten met alle US-subverwerkers.
Audio-opnames worden niet gebruikt voor het trainen van AI-modellen (vastgelegd in API-DPA's).
Persoonsgegevens worden waar mogelijk gepseudonimiseerd vóór doorgifte (bv. geen NAW richting Anthropic).
Voor zorginstellingen die uitsluitend EU-verwerking vereisen, kan een EU-only configuratie worden besproken (telefonie via NL-only providers, lokale TTS). Neem contact op via info@saartje.app.

Wijzigingen aan dit register

Wij houden dit register bij en publiceren wijzigingen op deze pagina. Zorgorganisaties met een ondertekende verwerkersovereenkomst worden minimaal 30 dagen vooraf per e-mail geïnformeerd over toevoeging of vervanging van een subverwerker.

Vragen of bezwaar? Stuur een e-mail naar info@saartje.app.