Sub-processor lijst

Hoe wij indelen. Een partij komt in blok A wanneer zij in onze opdracht gegevens verwerkt waarvoor het taxibedrijf verwerkingsverantwoordelijke is (chauffeurs, passagiers, ritten, voertuigen). Alleen die partijen zijn sub-verwerkers in de zin van Art. 28(2) en (4) GDPR: zij staan in Bijlage B van de verwerkersovereenkomst en vallen onder de kennisgevings- en bezwaarregeling van artikel 9.4 daarvan. Werkt een partij daarnaast ook voor verwerkingen van TaxiBuddy zelf, dan staat zij één keer in de lijst, in blok A, en beschrijft haar fiche ook die eigen verwerkingen (zo is Zoho Mail ook de mailbox van TaxiBuddy zelf). Een partij komt in blok B wanneer zij enkel werkt voor verwerkingen waarvoor TaxiBuddy zelf verwerkingsverantwoordelijke is (de website en het aanvraagformulier, de facturatie van het abonnement, de boekhouding): zij is een verwerker van TaxiBuddy, staat in deze publieke lijst en in de betrokken privacyverklaring, maar niet in Bijlage B. Een partij komt in blok C wanneer zij zelf doel en middelen van de verwerking bepaalt: zij is geen verwerker, wij vermelden haar als ontvanger. Een dienst die geen persoonsgegevens van klanten of bezoekers verwerkt, staat niet in deze lijst. Zo verwerken Azure DevOps (broncode en pipelines) en de build-agent bij Hetzner, waarop alle deploys draaien, in normaal gebruik geen persoonsgegevens; tijdens een deploy heeft die agent wel tijdelijk volledige toegang: hij past de databankmigraties toe met db_owner-rechten op de productiedatabank en krijgt de productiesleutels van backend, website en back-office. Ook publieke diensten die wij raadplegen of waarvan een pagina iets laadt, hebben geen fiche: VIES van de Europese Commissie (krijgt bij de onboarding enkel het opgegeven ondernemingsnummer), assets.vlaanderen.be (de Chiron-instructievideo in de onboarding) en, in de app, Google Fonts (lettertypes, ook op het loginscherm) en ionicframework.com (een standaard-avatar), waarbij die laatste drie, zoals elke webserver, het IP-adres en de browser- of toestelgegevens ontvangen.

Categorisatie: Kritisch = verwerkt substantiële persoonsgegevens. Standaard = verwerkt metadata, telemetrie of minimale persoonsgegevens. De fichenummers (SP-, EC-) zijn vast, waardoor de reeks gaten vertoont; SP-6 (Google Maps Platform, nu EC-3), SP-7 (Application Insights, opgenomen in SP-2) en EC-2 (Azure DevOps, geschrapt omdat die dienst geen persoonsgegevens van klanten of bezoekers verwerkt) zijn niet meer in gebruik.

Blok A — sub-verwerkers onder de verwerkersovereenkomst (Bijlage B)

Blok B — verwerkers voor TaxiBuddy's eigen verwerkingen (niet in Bijlage B)

Blok C — aparte verwerkingsverantwoordelijken (geen verwerker)

Deze partijen verwerken in onze opdracht gegevens waarvoor het taxibedrijf verwerkingsverantwoordelijke is. Zij staan in Bijlage B van de verwerkersovereenkomst; toevoegen of vervangen volgt de kennisgeving en het bezwaarrecht van §6.

SP-1 — Auth0 (Okta, Inc.)

SP-2 — Microsoft Azure (incl. Application Insights / Azure Monitor)

SP-3 — Vercel Inc.

SP-4 — Resend (Resend, Inc.)

SP-10 — Capawesome Cloud (Genz IT Solutions GmbH)

SP-11 — Google Firebase Cloud Messaging (FCM)

SP-12 — Apple Push Notification service (APNs)

SP-14 — Zoho Mail (Zoho Corporation)

SP-8 — Google reCAPTCHA v3

Deze partijen werken enkel voor verwerkingen waarvoor TaxiBuddy zelf verwerkingsverantwoordelijke is: de website en het aanvraagformulier, de facturatie van het abonnement en de boekhouding. Zij zijn verwerkers van TaxiBuddy, geen sub-verwerkers van het taxibedrijf, en staan daarom niet in Bijlage B. Zij staan wel in de privacyverklaring van de website en, waar de app ze raakt, in die van de app. De bedrijfsmailboxen (Zoho Mail, SP-14) staan in blok A, omdat daar ook gegevens binnenkomen waarvoor het taxibedrijf verwerkingsverantwoordelijke is.

SP-5 — OnFact (Infinwebs BV)

SP-9 — Google Analytics 4

SP-13 — Enable Banking Oy

Deze partijen bepalen zelf doel en middelen van hun verwerking. Zij zijn geen verwerker van TaxiBuddy; wij vermelden ze als ontvanger in de privacyverklaringen en, voor Chiron en Google Maps Platform, in de aparte tabel onderaan Bijlage B.

EC-1 — Chiron (Vlaamse overheid)

Niet een sub-processor — Chiron is een aparte controller (overheidsverplichting onder de Vlaamse IBP-regelgeving: decreet van 29 maart 2019 en BVR van 9 juni 2023). TaxiBuddy geeft door in opdracht van de klant-exploitant, op wie de registratieplicht rust.

EC-3 — Google Maps Platform (aparte verwerkingsverantwoordelijke)

Niet een sub-processor — Google plaatst de Google Maps APIs op zijn lijst van Controller Services en past er zijn Controller-Controller Data Protection Terms op toe: Google bepaalt zelf doel en middelen van de verdere verwerking van de opvragingen en is daarvoor een onafhankelijke verwerkingsverantwoordelijke. Het fichenummer SP-6 is sinds deze correctie niet meer in gebruik. TaxiBuddy stuurt Google geen rit-ID, account of historiek. Wel vraagt de backend per rit de route op tussen het vertrek- en het aankomstpunt, en omdat de app adressen en coördinaten rechtstreeks vanaf het toestel opvraagt, ontvangt Google daarbij ook het IP-adres en de toestelgegevens.

EC-4 — WhatsApp (Meta Platforms Ireland Ltd)

Niet een sub-processor — WhatsApp is een communicatiekanaal dat prospects en klanten zelf kiezen; Meta verwerkt daarbij als aparte verwerkingsverantwoordelijke onder haar eigen voorwaarden. De inhoud van de gesprekken staat op de bedrijfstelefoon van TaxiBuddy (verwerkingsregister C8).

EC-5 — TCM Belgium nv (incassobureau)

Niet een sub-processor — TCM int onbetaalde abonnementsfacturen in naam van TaxiBuddy en bepaalt zelf met welke middelen het dat doet (art. 7.3 van zijn voorwaarden); die voorwaarden noemen TCM uitdrukkelijk verwerkingsverantwoordelijke (art. 11.4 van de overeenkomst schuldinvordering, getekend op 29 september 2026). TCM krijgt enkel gegevens uit de eigen facturatie van TaxiBuddy, geen gegevens die TaxiBuddy voor een taxibedrijf verwerkt (verwerkingsregister C11).

Voor transparantie — wat we niet in gebruik hebben vandaag. Deze lijst groeit alleen wanneer wij effectief een nieuwe partij in gebruik nemen, conform de procedure in de volgende sectie.

Conform GDPR Art. 28(2). Stap 0 — classificeer de partij volgens §1: blok A, B of C, of buiten de lijst. Enkel voor blok A gelden de kennisgeving, het bezwaarrecht en de update van Bijlage B hieronder; voor blok B volstaan een update van deze lijst en van de privacyverklaring waarin de partij als ontvanger staat; voor blok C een update van deze lijst en van de privacyverklaringen.

Bij toevoeging van een nieuwe sub-processor (blok A):

• Vooraf registratie in deze lijst (versie-update + datum)
• Notificatie aan alle bestaande klanten via email minstens 30 dagen vóór live-gang
• Recht van bezwaar voor klanten — bij gemotiveerd bezwaar: alternatieve oplossing of opzegrecht
• Update van DPA-Bijlage B geldt na afloop van de kennisgevingstermijn zonder nieuwe ondertekening (DPA art. 16.3)

Bij vervanging van een sub-processor:

• Notificatie minstens 30 dagen vooraf
• Data-migratie-plan opnemen in notificatie
• Bewijsstuk van data-vernietiging bij oude sub-processor

Bij wijziging in scope (bv. extra data-categorieën, andere regio, gewijzigde doorgifte-waarborg):

• Materiële scope-wijziging (nieuwe categorieën persoonsgegevens, andere verwerkingslocatie of gewijzigde waarborg): notificatie minstens 30 dagen vooraf, zoals bij een toevoeging — conform DPA art. 9.4 (sub-verwerkers) en art. 16.1 (materiële wijzigingen)
• Niet-materiële verduidelijking (preciezere omschrijving, zonder nieuwe gegevens of doorgifte): update in deze lijst, zonder afzonderlijke kennisgeving; de nieuwe versie geldt vanaf de publicatie op taxibuddy.be (DPA art. 16.2)
• Altijd: update in deze lijst (versie + datum)

• Algemene Voorwaarden: /nl/terms — sub-processor lijst is daar Bijlage B.
• Privacyverklaring: /nl/privacy
• Belgische Gegevensbeschermingsautoriteit (GBA): gegevensbeschermingsautoriteit.be
• EU-VS Data Privacy Framework: dataprivacyframework.gov

Vragen over deze lijst of over GDPR-verwerkingen: privacy@taxibuddy.be. Algemene vragen: info@taxibuddy.be.