---
title: "Sub-verwerkers"
description: "Sub-verwerkers van Rechtswijs. De diensten die we inschakelen om Rechtswijs te laten werken, met waar ze zitten en welke afspraken we met ze hebben."
url: "https://rechtswijs.nl/legal/sub-processors/"
image: "https://rechtswijs.nl/rechtswijs-og.jpg"
language: "nl"
---

> Sub-verwerkers van Rechtswijs. De diensten die we inschakelen om Rechtswijs te laten werken, met waar ze zitten en welke afspraken we met ze hebben.

# Sub-verwerkers

De diensten die we inschakelen om Rechtswijs te laten werken, met waar ze zitten en welke afspraken we met ze hebben.

**Versie:** 2.5, 11 oktober 2026 **Contact:** [privacy@rechtswijs.nl](mailto:privacy@rechtswijs.nl)

Deze pagina lijst alle sub-verwerkers waarvan Rechtswijs gebruik maakt om de dienst te leveren. De verwerkersovereenkomst (sectie D van de Algemene Voorwaarden) verwijst naar deze lijst. Wijzigingen worden 14 dagen vooraf aangekondigd aan zakelijke afnemers per e-mail conform artikel D4.2 van de Algemene Voorwaarden.

## Hosting en infrastructuur

| Sub-verwerker | Doel | Regio | Garantie |
| --- | --- | --- | --- |
| **Hetzner Online GmbH** | Server-hosting (dedicated server, Docker) | Falkenstein, Duitsland | EU-only, AVG-DPA (art. 28) |
| **Cloudflare, Inc.** | R2-bestandsopslag, CDN, DNS, beveiliging en Turnstile (controle tegen geautomatiseerd misbruik van de chat op de website) | R2: bucketafhankelijk; CDN wereldwijd | R2-versleuteling bij opslag. EU-exclusiviteit vereist een bevestigde jurisdictiebeperking; een locatievoorkeur volstaat niet. Zie Privacy §9.1. |

## AI, transcriptie en zoekfunctionaliteit

| Sub-verwerker | Doel | Regio | Garantie |
| --- | --- | --- | --- |
| **OpenAI (API)** | Juridische chat, documentbouwer, het geheugen van Hannah (samenvattingen van gesprekken, feiten, stand van zaken), het gesprek met Hannah op de website en de samenvattingen daarvan | Standaard API-endpoint; geen EU-exclusiviteit | OpenAI DPA en SCCs; standaard geen modeltraining. Prompt caching tot 30 minuten in het werkgeheugen (Privacy §4.8). Hier wordt geen goedgekeurde ZDR toegezegd; zie Privacy §9.3. |
| **Google Cloud (Vertex AI, Gemini)** | Documentintake en transcriptieverwerking | Global of regionaal endpoint; geen algemene EU-garantie | Cloud DPA en SCCs; standaard geen modeltraining. Documenten en transcriptietekst worden voor de gekozen functie verwerkt. Zie Privacy §9.3. |
| **Deepgram, Inc.** | Audio-transcriptie | `api.eu.deepgram.com` (EU) | EU-region endpoint, eigen DPA met no-training-clausule. |

## Authenticatie en e-mail

| Sub-verwerker | Doel | Regio | Garantie |
| --- | --- | --- | --- |
| **Amazon Web Services (Cognito)** | User-authenticatie (wachtwoord, e-mailcodes, OAuth-relay), sessie-management | `eu-central-1` (Frankfurt) | AWS DPA, EU-region-pinned. PII beperkt tot e-mail, user-ID en het wachtwoord, dat alleen bij Cognito staat. |
| **Resend Inc.** | Transactionele e-mail (verificatie-codes, account-events, servicemeldingen) | VS-bedrijf met EU-routing | Doorgifte gedekt door SCCs en EU-US Data Privacy Framework. E-mails bevatten e-mailadres, naam, verificatiecodes en servicemeldingen: status van pakketten, opnames en per post verzonden brieven, en herinneringen aan termijnen met een korte omschrijving. Nooit chatberichten of documenten. |

## Betalingen

| Sub-verwerker | Doel | Regio | Garantie |
| --- | --- | --- | --- |
| **Stripe Payments Europe Ltd.** | Abonnementen, eenmalige betalingen, facturatie | EU-region | Stripe DPA, PCI-DSS Level 1, geen kaartdata bij Rechtswijs. |

## Post

| Sub-verwerker | Doel | Regio | Garantie |
| --- | --- | --- | --- |
| **Postbode.nu** | Printen en verzenden van brieven per post, alleen op verzoek van de gebruiker | Nederland | Verwerkersovereenkomst (AVG art. 28) gesloten op 9 september 2026. Ontvangt naam en adres van afzender en ontvanger, de brief zelf en de verzendstatus; geen andere dossier-inhoud. |

## Observability en analytics

| Sub-verwerker | Doel | Regio | Garantie |
| --- | --- | --- | --- |
| **Sentry (Functional Software, Inc.)** | Error-tracking + performance-monitoring | `de.sentry.io` (Frankfurt) | EU-cluster, Sentry-DPA. PII-scrubbing actief: 9 PII-categorieën + 7 sensitive-keys worden geredacteerd voor verzending. Geen sessie-opnames. |
| **PostHog Inc.** | Statistieken van de website (niet in de app) | `eu.i.posthog.com` (EU-cluster) | EU-cluster, PostHog-DPA. Zonder toestemming tellen zonder cookies; met toestemming voor Statistieken cookies en sessie-opnames, waarin invoervelden en het gesprek met Hannah zijn afgeschermd. Geen chat-content. |

## Identity-providers (OAuth-login)

| Sub-verwerker | Doel | Regio | Garantie |
| --- | --- | --- | --- |
| **Google LLC (OAuth 2.0)** | Optionele “Sign in with Google” | Global | Identity-claim only (naam, e-mailadres). Geen dossier-data uitgewisseld. |
| **Microsoft Corporation (Azure AD / OIDC)** | Optionele “Sign in with Microsoft” | Global | Identity-claim only (naam, e-mailadres) via Microsoft Identity Platform. Geen dossier-data of tenant-data gedeeld. |

## Analytics en advertentiemeting

TheSocialTap wordt gebruikt voor conversiemeting en kan gebeurtenissen doorsturen naar advertentieplatforms. De [Cookieverklaring](https://rechtswijs.nl/legal/cookies/) beschrijft de ontvangers en voorkeuren. Dit register betekent niet dat er geen advertentiemeting plaatsvindt.

---
Bron van deze tekst: https://rechtswijs.nl/legal/sub-processors/