Subverwerkers
Versie 2026-10-17 · geldig vanaf 17 oktober 2026
Qantara gebruikt voor Qantara Recruit de subverwerkers hieronder. Zij verwerken gegevens alleen binnen de Europese Unie. Diensten die je organisatie zelf koppelt (zie "Alleen als je organisatie het koppelt") zijn geen subverwerkers van Qantara; die partijen kunnen gegevens ook buiten de Europese Unie verwerken, volgens de overeenkomst die je organisatie met hen heeft. Wijzigingen in deze lijst kondigen wij ten minste 30 dagen vooraf aan per e-mail aan de beheerders van je organisatie (zie de verwerkersovereenkomst, artikel 5). Deze lijst is bijlage 3 bij die overeenkomst.
Subverwerkers
| Subverwerker | Dienst | Locatie van verwerking | Gegevens |
|---|---|---|---|
| Scaleway SAS, Parijs (Frankrijk) | Hosting van de applicatie en de database (virtuele server) | Amsterdam, Nederland | Alle gegevens in Qantara Recruit. Versleuteld in transport; documenten, MFA-geheimen en koppelingstokens zijn versleuteld opgeslagen |
| Scaleway SAS | Objectopslag voor back-ups | Amsterdam, Nederland (nl-ams) | Volledige databaseback-ups, versleuteld vóór de upload. De sleutel staat niet bij Scaleway. Bewaartermijn 35 dagen |
| Scaleway SAS | AI-modellen (Generative APIs) voor het inlezen van cv's en het begrijpen van zoekopdrachten | Parijs, Frankrijk (fr-par) | De tekst van een cv (BSN-patronen zijn vooraf verwijderd) of de scan ervan, en de zoekopdracht van de gebruiker. Niet gebruikt voor training en niet bewaard na het antwoord |
| Brevo (Sendinblue SAS), Parijs (Frankrijk) | Transactionele e-mail | Europese Unie | Naam en e-mailadres van de ontvanger, onderwerp en inhoud van systeemmails (verificatiecodes, uitnodigingen, afspraakmails). Wij bewaren geen inhoud van verzonden mails |
Alleen als je organisatie het koppelt
| Partij | Dienst | Gegevens |
|---|---|---|
| Microsoft Ireland Operations Ltd | Mail, agenda en adresboek van een zakelijk Microsoft 365-account | Mail die je in Qantara Recruit leest of verstuurt (die blijft in de mailbox bij Microsoft), afspraken die je vanuit Qantara Recruit plant (titel, tijd, locatie en deelnemers), bij tweerichtingsverkeer de afspraken uit je agenda, de contacten in je adresboek en de foto van een contact waarvan het e-mailadres precies bij één contactpersoon hoort |
| Google Ireland Ltd | Mail, agenda en adresboek van Google Workspace, gekoppeld door de beheerder van je organisatie | Mail die je in Qantara Recruit leest of verstuurt (die blijft in de mailbox bij Google), afspraken die je vanuit Qantara Recruit plant (titel, tijd, locatie en deelnemers), bij tweerichtingsverkeer de afspraken uit je agenda, de contacten in je adresboek en de foto van een contact waarvan het e-mailadres precies bij één contactpersoon hoort |
| WhatsApp Ireland Limited (Meta) | WhatsApp Business Platform (Cloud API) voor het eigen WhatsApp Business-nummer van je organisatie | Telefoonnummer, WhatsApp-id en profielnaam van de persoon, berichten en bestanden, afleverstatus en berichtsjablonen. Meta kan gegevens doorgeven aan Meta-bedrijven in de Verenigde Staten (EU-VS Data Privacy Framework). Bij een nummer dat alleen via de Cloud API werkt, bewaart Meta de inhoud van berichten in Duitsland (tijdens de verwerking tot 60 minuten ook elders) |
Deze koppelingen staan standaard uit. Zet een beheerder of gebruiker ze aan, dan geldt daarvoor de overeenkomst die je organisatie zelf met Microsoft, Google of Meta heeft. Qantara koppelt alleen zakelijke accounts; persoonlijke accounts zoals Outlook.com, Hotmail of Gmail kunnen niet worden gekoppeld. Alleen een gebruiker met het recht om koppelingen te beheren kan WhatsApp koppelen. Wat Qantara met mail, agenda en adresboek en met WhatsApp doet, staat in de privacyverklaring.
Geen subverwerker, wel genoemd
| Partij | Waarom genoemd |
|---|---|
| Kadaster (PDOK) | Openbare adres-API van de Nederlandse overheid. Bij het invullen van een adres stuurt onze eigen server alleen de getypte adrestekst; Kadaster ziet niet wie typt of bij welk dossier |
| Photon (Komoot) | Openbare adreszoeker op basis van OpenStreetMap, voor adressen buiten Nederland en Frankrijk. Bij het invullen van zo'n adres stuurt onze eigen server alleen de getypte adrestekst; Komoot ziet niet wie typt of bij welk dossier |
| Base Adresse Nationale (Franse overheid, via de Géoplateforme van IGN) | Openbare adres-API voor Franse adressen. Bij het invullen van een Frans adres stuurt onze eigen server alleen de getypte adrestekst; de dienst ziet niet wie typt of bij welk dossier |
| Kaartdiensten (OpenFreeMap, PDOK/Kadaster met BRT en Luchtfoto van Beeldmateriaal.nl, AWS Terrain Tiles) | De kaart bij een adres haalt kaartbeelden op via onze eigen server; zij zien niet wie kijkt en krijgen geen persoonsgegevens |
| Luchtfoto per land (IGN Géoplateforme in Frankrijk, IDEE/PNOA in Spanje, basemap.at in Oostenrijk, swisstopo in Zwitserland, geoportail.lu in Luxemburg) | Bij een adres in een van deze landen komt de luchtfoto van de overheidsdienst van dat land, via onze eigen server. Zij zien alleen het IP-adres van onze server en welk stuk kaart wordt opgevraagd; zij zien niet wie kijkt en krijgen geen persoonsgegevens |
| Landsgrenzen (© OpenStreetMap-bijdragers, licentie ODbL) | De luchtfoto en de topografische kaart worden langs de landsgrens bijgesneden. Die grenzen staan als bestand op onze eigen server, afgeleid van OpenStreetMap-gegevens. Bij het tonen van de kaart gaat er niets naar OpenStreetMap voor deze grenzen |
| Pushdienst van je browser (bijvoorbeeld van Google, Apple, Microsoft of Mozilla) | Alleen als je pushmeldingen aanzet. De dienst brengt een versleutelde melding (afzender en onderwerp van een nieuwe mail, of titel en tijd van een afspraak) naar je apparaat en kan de inhoud niet lezen. Welke dienst dat is, bepaalt je browser |
| KVK (Kamer van Koophandel) | Handelsregister van Nederland. Bij het aanmaken of bijwerken van een bedrijf stuurt onze eigen server de getypte bedrijfsnaam of het KvK-nummer en, als een medewerker een bedrijf kiest, het KvK-nummer; KVK ziet niet wie zoekt of voor welke organisatie |
| FOD Economie (Kruispuntbank van Ondernemingen) en Companies House (Verenigd Koninkrijk) | Openbare registers van België en het Verenigd Koninkrijk. Wij gebruiken hun open data als eigen kopie op onze servers, met alleen rechtspersonen; bij het zoeken gaat er niets naar deze partijen |
| Europese Commissie (VIES) | Controle van btw-nummers in de EU. Onze eigen server stuurt alleen het btw-nummer; een Nederlands omzetbelastingnummer (daar zit het BSN in) sturen wij nooit |
| Websites van bedrijven | Alleen bij het ophalen van een logo. Onze eigen server bezoekt de website die bij het bedrijf staat en neemt het logo over; er gaan geen persoonsgegevens mee |
Wijzigingen in deze lijst
| Datum | Wijziging |
|---|---|
| 6 oktober 2026 | Eerste versie |
| 15 oktober 2026 | Mail en adresboek toegevoegd bij Microsoft en Google, WhatsApp Business (Meta) toegevoegd onder "Alleen als je organisatie het koppelt", en de pushdienst van de browser genoemd. De inleiding zegt nu dat partijen die je organisatie zelf koppelt, gegevens ook buiten de EU kunnen verwerken |
| 15 oktober 2026 | Foto van een contact uit het adresboek genoemd bij Microsoft en Google, websites van bedrijven (logo's) genoemd onder "Geen subverwerker, wel genoemd". Geen nieuwe subverwerker |
| 16 oktober 2026 | Bij Microsoft en Google: de foto van een contact wordt automatisch overgenomen als het e-mailadres precies bij één contactpersoon hoort. Kaartdiensten genoemd onder "Geen subverwerker, wel genoemd" en de adreszoeker van Kadaster (PDOK) beschreven zoals hij werkt: alleen de getypte adrestekst, via onze server. Photon (Komoot) en de Base Adresse Nationale genoemd: de adreszoekers voor adressen buiten Nederland, op dezelfde manier. Geen nieuwe subverwerker |
| 17 oktober 2026 | De registers genoemd onder "Geen subverwerker, wel genoemd": KVK, de Kruispuntbank van Ondernemingen (FOD Economie), Companies House en VIES van de Europese Commissie, voor het opzoeken van bedrijven en het controleren van btw-nummers. Geen nieuwe subverwerker |
| 18 oktober 2026 | De luchtfoto bij een adres komt nu ook uit Frankrijk (IGN Géoplateforme), Spanje (IDEE/PNOA), Oostenrijk (basemap.at), Zwitserland (swisstopo) en Luxemburg (geoportail.lu), en de landsgrenzen zijn afgeleid van OpenStreetMap-gegevens (ODbL). Genoemd onder "Geen subverwerker, wel genoemd": onze eigen server haalt de beelden op, deze diensten krijgen geen persoonsgegevens. Geen nieuwe subverwerker |
Vragen over deze lijst: privacy@qantara.digital.