Versie 1.0 · 30 september 2026
Wat is deze lijst
YouthCommerce (PhiFlow) verwerkt persoonsgegevens van klanten als verwerker. Daarbij schakelen wij andere partijen in, subverwerkers genoemd. Deze lijst is Bijlage 3 bij de verwerkersovereenkomst. Per partij staan hier de dienst, de locatie van verwerking en de waarborg voor doorgifte buiten de Europese Economische Ruimte (EER).
Wijzigingen
Wij melden een voorgenomen toevoeging of vervanging van een subverwerker ten minste 30 dagen voor de ingangsdatum. Dat doen wij per e-mail aan de contactpersoon van de klant en door deze pagina bij te werken. De klant kan binnen 14 dagen bezwaar maken. De verwerkersovereenkomst regelt wat er dan gebeurt, waaronder het recht om de betreffende dienst op te zeggen. In een spoedgeval, bijvoorbeeld bij een beveiligingsrisico, kan de termijn korter zijn; wij melden dat dan direct.
Kern: voor alle klanten
| Partij | Dienst | Locatie van verwerking | Doorgiftewaarborg |
|---|---|---|---|
| Supabase (Supabase Pte. Ltd., Singapore) | Database, authenticatie en bestandsopslag | EU (Ierland) | Standaardcontractbepalingen (SCC's), met UK Addendum en Zwitserse aanpassingen |
| Vercel Inc. | Hosting van de applicatie en serverfuncties | EU (Frankfurt); verzoeken lopen via het wereldwijde netwerk van Vercel | EU-VS Data Privacy Framework (DPF), incl. VK en Zwitserland; SCC's |
| Google Cloud EMEA Ltd. (Google Cloud) | Gegevensopslag, verwerking en back-ups | EU (Europese multiregio en België) | DPF (Google LLC), incl. VK en Zwitserland; SCC's |
| OpenAI Ireland Ltd. (verwerking door OpenAI OpCo LLC) | AI-verwerking met taalmodellen | Verenigde Staten | SCC's, met UK Addendum. Gegevens worden niet gebruikt voor training. De leverancier bewaart gegevens maximaal 30 dagen voor misbruikmonitoring |
| Sinch Mailjet SAS | Versturen van e-mail uit het platform, zoals uitnodigingen, inlogmails en meldingen (tracking uitgeschakeld) | EU (Frankrijk en België) | Niet van toepassing (verwerking in de EER) |
Per module: alleen bij activering door de klant
| Partij | Dienst | Module | Locatie van verwerking | Doorgiftewaarborg |
|---|---|---|---|---|
| Cloudflare Inc. | Ontvangen en routeren van inkomende e-mail | Inkomende e-mail | Wereldwijd netwerk | DPF, incl. VK en Zwitserland; SCC's |
Geen subverwerkers
Diensten die de klant zelf koppelt. Advertentie-, analyse-, CRM-, opname-, outreach- en communicatieplatforms die de klant zelf met PhiFlow verbindt, zijn geen subverwerkers van YouthCommerce. De klant heeft met die partijen een eigen relatie en vaak een eigen account. PhiFlow haalt daar op instructie van de klant gegevens op. Alleen als de klant dat instrueert en toestemming en grondslag heeft vastgelegd, stuurt PhiFlow er conversiegegevens naartoe. Gaan die gegevens naar een land buiten de EER, dan is de klant daarvoor verantwoordelijk.
Diensten zonder persoonsgegevens uit klantdata. Sommige functies gebruiken diensten die geen persoonsgegevens uit klantdata ontvangen, zoals openbare databronnen. Die zijn daarom geen subverwerker.
Rechtsbevoegdheid en internationale toegang (Data Act, artikel 28)
Locatie. Klantdata wordt opgeslagen in de EU. De verwerking met taalmodellen gebeurt in de Verenigde Staten. Verzoeken aan het platform lopen via het wereldwijde netwerk van onze hostingpartij.
Niet-Europese partijen. Sommige subverwerkers zijn Amerikaanse of andere niet-Europese bedrijven, of hebben een moedermaatschappij buiten de EU. Zij kunnen daardoor onder buitenlandse wetgeving vallen, ook als de gegevens in de EU staan. In theorie kunnen zij een verzoek van een niet-Europese overheid krijgen om gegevens te verstrekken.
Waarborgen.
- Doorgifte buiten de EER gebeurt alleen met een adequaatheidsbesluit, zoals het EU-VS Data Privacy Framework, of met de modelcontractbepalingen van de Europese Commissie, aangevuld met aanvullende maatregelen waar nodig.
- Gegevens zijn versleuteld tijdens transport en in opslag.
- De modelcontractbepalingen verplichten een ontvanger om een overheidsverzoek te melden en een onrechtmatig verzoek aan te vechten. Een deel van onze leveranciers heeft dat ook in de eigen verwerkersovereenkomst opgenomen.
- Krijgen wij zelf een verzoek, dan melden wij dat aan de klant voor zover de wet dat toestaat.
- Wij dragen alleen gegevens over die nodig zijn voor de dienst.
Deze paragraaf beschrijft de situatie op de hierboven genoemde datum. Vragen: [email protected].
Versie
| Versie | Datum | Wijziging |
|---|---|---|
| 0.1 | 2026-09-29 | Eerste concept |
| 1.0 | 2026-09-30 | Locaties en waarborgen geverifieerd; eerste publicatie |