Dit is een servicevertaling — de Engelse versie is leidend.
Laatst bijgewerkt: 2026-05-16
Een “subverwerker” is elke derde partij die we gebruiken om de dienst te leveren. Volgens artikel 28 AVG heb je recht op de volledige lijst en op wat elke partij doet. Volgens de LinkedIn API Terms of Use geldt dezelfde openbaarmakingsregel voor elke partij die uit LinkedIn afkomstige gegevens raakt.
Actieve subverwerkers
| Bedrijf | Rol | Toegang tot gegevens | Locatie | Internationale-doorgiftegrondslag |
|---|---|---|---|---|
| Mistral AI | LLM-provider — de beoogde provider voor de managed tiers bij lancering. De managed tiers zijn vóór de lancering gesloten, dus vandaag ontvangt geen enkele LLM-provider gebruikersverkeer op onze sleutels; BYOM-gebruikers bereiken de provider die ze zelf configureren (zie de sectie over door de gebruiker gekozen providers hieronder). | Conceptprompts op het moment van het verzoek, zodra de managed tiers opengaan. | Europese Unie | Niet vereist (binnen de EU) |
| Anthropic | LLM-provider — beschikbaar als BYOM-keuze; niet de platformstandaard. | Conceptprompts (je CV-materiaal + de vacaturetekst) op het moment van het verzoek, wanneer je een Anthropic-sleutel configureert. Niet bewaard na het verzoek. | EU-regio waar beschikbaar; anders VS als fallback. Verbod op trainen op gegevens contractueel vastgelegd. | EU-SCC’s (Standard Contractual Clauses, Module 2 verwerkingsverantwoordelijke-naar-verwerker) voor eventueel verkeer in de VS-regio |
| Stripe | Betalingsverwerker voor de managed tiers zodra die opengaan — vandaag geen live betalingsverwerking | Krijgt toegang tot e-mailadres, naam, betaalmethode, factuuradres, abonnementsstatus — uitsluitend facturatiegegevens. Nooit je CV- / brief- / sollicitatiegegevens. Nooit uit LinkedIn geïmporteerde gegevens. | Ierland (EU) voor EU-klanten | Niet vereist (binnen de EU) |
| Cloudflare | Authoritative DNS voor alle omoikane-domeinen, inclusief omoikane.coach (alleen DNS — de proxy staat uit op het klantoppervlak, dus verkeer gaat rechtstreeks naar onze edge) en de redirect-domeinen (omoikane.nl, .tech, .careers, .gr). Serveert ook de Turnstile-botcheck-widget op onze formulieren. | DNS-query’s en Turnstile-challengeverkeer (browsersignalen tijdens een botcheck). Geen applicatiegegevens — klantverkeer loopt niet door Cloudflares proxy. | Wereldwijd | Openbare DNS-records bevatten geen persoonsgegevens. Turnstile-challengeverkeer bereikt Cloudflares wereldwijde netwerk; SCC’s (Cloudflares standaard-verwerkingsaddendum) dekken eventuele verwerking buiten de EER, en zouden evengoed gelden als de proxymodus ooit zou worden ingeschakeld |
| gigahost.no AS | (1) Hostingprovider voor de applicatieservers (notrf01dmz0{1,2}) en de databasehosts (notrf01dmz0{3,4}) — alle applicatiegegevens in rust, versleuteld. (2) Edge-anycast-VPS op de POP in Noorwegen (Trondheim) — ziet klantverkeer in doorvoer, uitsluitend voor de duur van één TLS-verbinding; bewaart geen gegevens. | Alle applicatiegegevens in rust (versleuteld in rust); klantverkeer in doorvoer op de NO-edge-POP. Geen toegang op applicatieniveau op de opslaghosts. | Noorwegen (EER) | Niet vereist (Noorwegen zit in de EER) |
| Proton AG | Mailboxprovider achter het inkomende pad van de reply-tracker: antwoorden aan je trackeralias per sollicitatie worden ontvangen en opgeslagen in een Proton-mailbox en daarna via een door de operator beheerde bridge in Omoikane ingelezen. Geldt alleen als je de reply-tracker gebruikt. | Reply-mails van recruiters aan trackeraliassen (afzender, onderwerp, inhoud) zolang ze in de mailbox staan. | Zwitserland | Adequaatheidsbesluit Zwitserland (Besluit 2000/518/EG van de Commissie) — geen SCC’s vereist |
| iFog GmbH | Edge-anycast-VPS op de POP in Zwitserland (Zürich) — draait HAProxy en termineert TLS voordat het verkeer opnieuw versleuteld over IPsec naar de EER-opslaglaag gaat. Ziet klantverkeer in doorvoer, uitsluitend voor de duur van één TLS-verbinding; bewaart geen gegevens. | Klantverkeer in doorvoer op de CH-edge-POP. Geen gegevens in rust. | Zwitserland | Adequaatheidsbesluit Zwitserland (Besluit 2000/518/EG van de Commissie) — geen SCC’s vereist |
First-party infrastructuur (geen subverwerker)
De derde host in ons YugabyteDB-cluster (de quorum-witness in Leiden, nllei01dmz01) draait op door de operator beheerde infrastructuur in Leiden, Nederland. Omdat dit geen derde partij is, is het geen subverwerker onder art. 28 AVG; we vermelden het hier voor transparantie over waar je gegevens fysiek staan. De host heeft dezelfde opzet van encryptie in rust en IPsec in doorvoer als de gigahost.no-hosts.
Een zelfgehoste Umami-analytics-instantie op analytics.cubeos.app draait eveneens op door de operator beheerde infrastructuur (dezelfde locatie in Leiden). Deze registreert anonieme geaggregeerde paginaweergaven en is cookieloos op het gevolgde domein (omoikane.coach) — zie het Cookiebeleid voor de volledige toelichting, inclusief de localStorage-opt-outvlag die hij respecteert. De analyticsserver ontvangt geen cookies (de fetch van het script gebruikt credentials: omit) en er worden geen koppelingen op IP-niveau gemaakt. Omdat het first-party infrastructuur onder beheer van de operator is, is het geen subverwerker onder art. 28 AVG.
Edge-netwerk en TLS-terminatie
Gebruikersverkeer naar omoikane.coach bereikt een anycast-pool van drie VPS’en die HAProxy draait en TLS aan de edge termineert voordat het verkeer opnieuw versleuteld over IPsec naar onze EER-only opslaglaag gaat. Er worden geen gebruikersgegevens bewaard op de edge-nodes — ze houden sessietoestand alleen vast voor de duur van één verbinding. Locaties: Zwitserland (Zürich, iFog GmbH), Noorwegen (Trondheim, gigahost.no AS) en de Verenigde Staten (Houston, Texas, iFog GmbH). De VS-POP wordt van dit domein verwijderd voordat de managed tiers opengaan voor het publiek, waarmee de pool terugkeert naar EER + Zwitserland.
De Zwitserse en Noorse takken hebben geen Standard Contractual Clauses nodig — Zwitserland heeft een adequaatheidsbesluit en Noorwegen zit in de EER. De VS-tak (Houston) is een derdelandstak met uitsluitend doorvoer: TLS termineert daar, er wordt niets opgeslagen, en het verkeer wordt opnieuw versleuteld richting EER-opslag. Die tak wordt van dit domein verwijderd voordat de managed tiers opengaan.
LinkedIn-integratie
Wanneer je kiest voor de LinkedIn-gegevensimport is LinkedIn Ireland Unlimited Company de bron van de gegevens, geen subverwerker van ons. Zodra de gegevens op onze infrastructuur landen, worden ze alleen gezien door de subverwerkers hierboven — of door de bring-your-own-model-provider die je zelf configureert en die LinkedIn-materiaal in conceptprompts ontvangt (door de gebruiker gekozen; zie de Security-pagina voor de providerlijst en waar elke provider draait).
LinkedIns rol en verplichtingen jegens jou voor de gegevens die zij bewaren, worden beheerst door LinkedIns eigen privacybeleid. Onze verplichtingen beginnen op het moment dat de gegevens onze systemen binnenkomen en worden beheerst door ons privacybeleid, samen met:
- De LinkedIn API Terms of Use (linkedin.com/legal/l/api-terms-of-use)
- De LinkedIn DMA Portability API Additional Terms (linkedin.com/legal/l/portability-api-terms)
- De LinkedIn BD Data Processing Agreement (legal.linkedin.com/bd-dpa), in de Portability Terms door verwijzing opgenomen via §3.3
Verwijderde / voormalige subverwerkers
Geen, per de datum bij Laatst bijgewerkt hierboven.
Dingen die we uitdrukkelijk NIET gebruiken
- Geen (commercieel) analyticsplatform van derden — geen Google Analytics, geen Plausible, geen Matomo-cloud, geen Fathom, geen Mixpanel, geen Segment, geen Rudderstack. We draaien een zelfgehoste Umami-instantie op infrastructuur in eigendom van de operator (
analytics.cubeos.app) voor cookieloze geaggregeerde paginaweergaven; de volledige toelichting inclusief de localStorage-opt-outvlag staat op de pagina Cookiebeleid. De Umami-operator en de Omoikane-operator zijn dezelfde juridische entiteit, dus Umami is first-party infrastructuur, geen subverwerker. - Geen advertentieplatform
- Geen customer-data-platform
- Geen e-mailmarketingplatform (geen Mailchimp, geen Klaviyo, geen Customer.io)
- Geen error-trackers van derden (we draaien onze eigen — Loki + Grafana op onze eigen infrastructuur)
- Geen “AI-trainingspartner” — je gegevens worden aan niemand in licentie gegeven voor welk modeltrainingsdoel dan ook, van ons of van hen
- Geen externe identityprovider voor je account (Authentik, onze eigen zelfgehoste IdP, is de enige afnemer van je inloggegevens)
Notificatie
Als we een subverwerker toevoegen, krijg je minstens 30 dagen voordat die live gaat een e-mail waarin staat wie het is, welke gegevens die gaat zien, waar die gevestigd is en welke internationale-doorgiftegrondslag van toepassing is. Tijdens de aankondigingstermijn kun je exporteren en verwijderen als je bezwaar hebt.
Contact
Voor vragen over subverwerkers of DPA-verzoeken: privacy@omoikane.coach.