Versie: 2.5, 11 oktober 2026
Contact: privacy@rechtswijs.nl
Deze pagina lijst alle sub-verwerkers waarvan Rechtswijs gebruik maakt om de dienst te leveren. De verwerkersovereenkomst (sectie D van de Algemene Voorwaarden) verwijst naar deze lijst. Wijzigingen worden 14 dagen vooraf aangekondigd aan zakelijke afnemers per e-mail conform artikel D4.2 van de Algemene Voorwaarden.
Hosting en infrastructuur
| Sub-verwerker | Doel | Regio | Garantie |
|---|
| Hetzner Online GmbH | Server-hosting (dedicated server, Docker) | Falkenstein, Duitsland | EU-only, AVG-DPA (art. 28) |
| Cloudflare, Inc. | R2-bestandsopslag, CDN, DNS, beveiliging en Turnstile (controle tegen geautomatiseerd misbruik van de chat op de website) | R2: bucketafhankelijk; CDN wereldwijd | R2-versleuteling bij opslag. EU-exclusiviteit vereist een bevestigde jurisdictiebeperking; een locatievoorkeur volstaat niet. Zie Privacy §9.1. |
AI, transcriptie en zoekfunctionaliteit
| Sub-verwerker | Doel | Regio | Garantie |
|---|
| OpenAI (API) | Juridische chat, documentbouwer, het geheugen van Hannah (samenvattingen van gesprekken, feiten, stand van zaken), het gesprek met Hannah op de website en de samenvattingen daarvan | Standaard API-endpoint; geen EU-exclusiviteit | OpenAI DPA en SCCs; standaard geen modeltraining. Prompt caching tot 30 minuten in het werkgeheugen (Privacy §4.8). Hier wordt geen goedgekeurde ZDR toegezegd; zie Privacy §9.3. |
| Google Cloud (Vertex AI, Gemini) | Documentintake en transcriptieverwerking | Global of regionaal endpoint; geen algemene EU-garantie | Cloud DPA en SCCs; standaard geen modeltraining. Documenten en transcriptietekst worden voor de gekozen functie verwerkt. Zie Privacy §9.3. |
| Deepgram, Inc. | Audio-transcriptie | api.eu.deepgram.com (EU) | EU-region endpoint, eigen DPA met no-training-clausule. |
Authenticatie en e-mail
| Sub-verwerker | Doel | Regio | Garantie |
|---|
| Amazon Web Services (Cognito) | User-authenticatie (wachtwoord, e-mailcodes, OAuth-relay), sessie-management | eu-central-1 (Frankfurt) | AWS DPA, EU-region-pinned. PII beperkt tot e-mail, user-ID en het wachtwoord, dat alleen bij Cognito staat. |
| Resend Inc. | Transactionele e-mail (verificatie-codes, account-events, servicemeldingen) | VS-bedrijf met EU-routing | Doorgifte gedekt door SCCs en EU-US Data Privacy Framework. E-mails bevatten e-mailadres, naam, verificatiecodes en servicemeldingen: status van pakketten, opnames en per post verzonden brieven, en herinneringen aan termijnen met een korte omschrijving. Nooit chatberichten of documenten. |
Betalingen
| Sub-verwerker | Doel | Regio | Garantie |
|---|
| Stripe Payments Europe Ltd. | Abonnementen, eenmalige betalingen, facturatie | EU-region | Stripe DPA, PCI-DSS Level 1, geen kaartdata bij Rechtswijs. |
Post
| Sub-verwerker | Doel | Regio | Garantie |
|---|
| Postbode.nu | Printen en verzenden van brieven per post, alleen op verzoek van de gebruiker | Nederland | Verwerkersovereenkomst (AVG art. 28) gesloten op 9 september 2026. Ontvangt naam en adres van afzender en ontvanger, de brief zelf en de verzendstatus; geen andere dossier-inhoud. |
Observability en analytics
| Sub-verwerker | Doel | Regio | Garantie |
|---|
| Sentry (Functional Software, Inc.) | Error-tracking + performance-monitoring | de.sentry.io (Frankfurt) | EU-cluster, Sentry-DPA. PII-scrubbing actief: 9 PII-categorieën + 7 sensitive-keys worden geredacteerd voor verzending. Geen sessie-opnames. |
| PostHog Inc. | Statistieken van de website (niet in de app) | eu.i.posthog.com (EU-cluster) | EU-cluster, PostHog-DPA. Zonder toestemming tellen zonder cookies; met toestemming voor Statistieken cookies en sessie-opnames, waarin invoervelden en het gesprek met Hannah zijn afgeschermd. Geen chat-content. |
Identity-providers (OAuth-login)
| Sub-verwerker | Doel | Regio | Garantie |
|---|
| Google LLC (OAuth 2.0) | Optionele “Sign in with Google” | Global | Identity-claim only (naam, e-mailadres). Geen dossier-data uitgewisseld. |
| Microsoft Corporation (Azure AD / OIDC) | Optionele “Sign in with Microsoft” | Global | Identity-claim only (naam, e-mailadres) via Microsoft Identity Platform. Geen dossier-data of tenant-data gedeeld. |
Analytics en advertentiemeting
TheSocialTap wordt gebruikt voor conversiemeting en kan gebeurtenissen doorsturen naar advertentieplatforms. De Cookieverklaring beschrijft de ontvangers en voorkeuren. Dit register betekent niet dat er geen advertentiemeting plaatsvindt.
Vertel het Hannah