Subverwerkers van Mailistix

Versie: 1.6 · Geldig vanaf: 1 november 2026

Deze pagina vermeldt de derden die namens ons persoonsgegevens verwerken (“subverwerkers”) om de Dienst van Mailistix te leveren. Deze pagina vormt bijlage 3 van onze Verwerkersovereenkomst en vult ons Privacybeleid aan. De laatste kolom toont welke subverwerkers Persoonsgegevens van de Klant verwerken die wij namens Zakelijke klanten op grond van de Verwerkersovereenkomst verwerken; de overige verwerken uitsluitend gegevens waarvoor wij de verwerkingsverantwoordelijke zijn. Artikel 4 bevat de informatie die artikel 28, lid 1, van de Dataverordening vereist.

Wat nooit een subverwerker bereikt: uw mailbox wordt rechtstreeks gesynchroniseerd tussen de Mailistix-app op uw apparaat en uw mailboxprovider (bijvoorbeeld Google of Microsoft). Uw e-mails worden uitsluitend op uw apparaat opgeslagen, in een versleutelde database. E-mailinhoud bereikt onze servers en de hieronder genoemde AI-providers alleen wanneer u een AI-functie gebruikt, en alleen gedurende de tijd die nodig is om dat verzoek te beantwoorden. Daarnaast ontvangen onze servers alleen technische gegevens over uw mailboxen (zoals het mailboxadres en wijzigingsmeldingen zonder inhoud), de inlogcodes en tokens voor een mailbox wanneer u die koppelt (doorgeleid, niet opgeslagen), de afmeldlink van een nieuwsbrief waarvoor u zich afmeldt, en wat u ons voor support zelf toestuurt.

1. Subverwerkers

Onze AI-providers mogen verzoekgegevens op grond van hun voorwaarden gedurende beperkte tijd bewaren voor operationele doeleinden en het monitoren van misbruik: Google Vertex AI maximaal 24 uur in het geheugen (caching) en maximaal 90 dagen voor prompts die als mogelijk misbruik zijn gemarkeerd, Microsoft Azure OpenAI maximaal 30 dagen; bevoegde medewerkers van de betreffende aanbieder kunnen gemarkeerde verzoeken beoordelen. Zie de Kennisgeving over AI-functies en bijlage 1 van de Verwerkersovereenkomst. Elke subverwerker gebruikt eigen subverwerkers (Supabase gebruikt bijvoorbeeld Amazon Web Services), die hij in zijn eigen documentatie vermeldt.

2. Zelfstandige verwerkingsverantwoordelijken (geen subverwerkers)

Deze partijen ontvangen persoonsgegevens maar bepalen zelf hoe zij die verwerken. Hun eigen privacybeleid is van toepassing.

Polar is gevestigd in de Verenigde Staten en is niet gecertificeerd onder het EU-VS-kader voor gegevensbescherming. Onze overeenkomst met Polar omvat het addendum inzake gegevensverwerking (data processing addendum) van Polar met de modelcontractbepalingen van de EU; voor zover deze een doorgifte niet dekken, is die doorgifte noodzakelijk voor de gevraagde aankoop (artikel 49, lid 1, onder b), AVG). Zie artikel 9.5 van het Privacybeleid.

3. Wijzigingen in deze lijst

Wij kondigen nieuwe subverwerkers op deze pagina aan ten minste 14 dagen voordat zij persoonsgegevens gaan verwerken. Zakelijke klanten worden ook geïnformeerd door een kennisgeving aan de e-mailadressen van de Accounts van hun gebruikers of in de Software, en per e-mail aan hun contactpersoon voor gegevensbescherming als zij ons er een hebben opgegeven (artikel 7.3 van de Verwerkersovereenkomst). Zakelijke klanten kunnen bezwaar maken zoals beschreven in artikel 7 van de Verwerkersovereenkomst. In een noodsituatie (bijvoorbeeld om de Dienst veilig of beschikbaar te houden) kunnen wij eerder een vervanger inschakelen en informeren wij u zonder onnodige vertraging; waar de modelcontractbepalingen van de EU van toepassing zijn, gaan de daarin opgenomen regels voor kennisgeving voor.

4. Informatie op grond van de Dataverordening

Artikel 28, lid 1, van de Dataverordening (Verordening (EU) 2023/2854) vereist dat aanbieders van dataverwerkingsdiensten op hun website vermelden aan welke jurisdictie de voor elk van hun diensten gebruikte ICT-infrastructuur is onderworpen, en welke maatregelen zij nemen tegen internationale toegang van overheden tot in de EU bewaarde gegevens die in strijd zou zijn met het EU-recht of het recht van een lidstaat. Uw rechten op het gebied van overstappen en het ophalen van gegevens op grond van de Dataverordening staan in artikel 15.10 van onze Servicevoorwaarden.

4.1 Infrastructuur en jurisdictie

4.2 Maatregelen tegen onrechtmatige toegang door overheden

• Technisch: uw mailboxgegevens blijven op uw apparaten, in een versleutelde database waarvan uw besturingssysteem de sleutel beschermt; wij bewaren daarvan geen kopie. Wij slaan de inhoud van AI-verzoeken en van de AI-Output niet op. Onze database en bestandsopslag bevinden zich in Frankfurt en onze serverfuncties voor AI-verzoeken draaien uitsluitend op EU-locaties; zij weigeren AI-verzoeken in elke andere regio. Alle verbindingen zijn versleuteld (TLS 1.2 of 1.3), en onze database en bestandsopslag zijn in rust versleuteld (wij bewaren momenteel geen back-ups van de database). Wij bewaren alleen de gegevens die de Dienst nodig heeft en verwijderen ze volgens vaste schema’s (bijlage 1, deel H van de Verwerkersovereenkomst).
• Organisatorisch: wij verstrekken gegevens aan een overheidsinstantie alleen als een bindend bevel dit wettelijk vereist. Wij proberen de instantie dan door te verwijzen naar de klant, stellen de klant in kennis tenzij de wet dit verbiedt, toetsen het bevel en vechten het aan als er redelijke gronden zijn om het onrechtmatig te achten, verstrekken slechts het minimum dat het bevel vereist en documenteren onze reactie (artikel 13 van de Verwerkersovereenkomst). Wij hebben geen voorzieningen ingebouwd waarmee instanties rechtstreeks toegang tot gegevens kunnen krijgen.
• Contractueel: onze providers zijn gebonden aan verwerkingsvoorwaarden. Waar de modelcontractbepalingen van de EU van toepassing zijn, verplicht clausule 15 daarvan de provider om ons in kennis te stellen van verzoeken van overheidsinstanties, de rechtmatigheid daarvan te toetsen en ze aan te vechten als daarvoor gronden bestaan. Microsoft en Google publiceren ook hun eigen toezeggingen om verzoeken van overheden om klantgegevens aan te vechten.