Subverwerkers
Laatst bijgewerkt · 2026-09-09
Deze vertaling wordt uitsluitend ter informatie verstrekt — bij verschillen is de Engelse versie van dit document juridisch bindend.
Deze pagina vermeldt elke externe dienst die namens Rexa klantgegevens verwerkt. Conform AVG art. 28(2) worden klanten ten minste 30 dagen voordat een nieuwe subverwerker wordt toegevoegd geïnformeerd.
Subverwerkers gemarkeerd als "Opt-in door klant" zien alleen klantgegevens wanneer de workspacebeheerder die integratie expliciet inschakelt. Het verwijderen van een integratie trekt de toegang van de subverwerker onmiddellijk in.
Actieve en geplande subverwerkers
| Leverancier | Doel | Regio | Status | Verwerkersovereenkomst |
|---|---|---|---|---|
| AWS (Amazon Web Services) Uitsluitend versleutelde bonbestanden — Rexa beheert de sleutels, AWS ziet alleen cijfertekst. | S3-objectopslag voor versleutelde bonbestanden; KMS voor het ontsleutelen van envelope-sleutels. | eu-central-1 (Frankfurt) | Altijd actief | Ondertekend |
| Fly.io Volledige Workspacegegevens, versleuteld in rust, TLS binnen de VPC. | Hosting van de API- en workerprocessen; beheerde Postgres- en Redis-diensten. | ams (Amsterdam) | Altijd actief | Ondertekend |
| Vercel Inlogtokens (alleen in de browser), geen permanente opslag van klantgegevens. | Hosting van de marketingsite en de webapplicatie voor klanten. | EU (eu-central) edge-regio’s | Altijd actief | Ondertekend |
| Resend E-mailadres van de ontvanger + berichtinhoud voor de duur van de bezorging (bewaartermijn Resend: 30 dagen). | Transactionele e-mail (verificatie, uitnodigingen, wachtwoordherstel). | EU-regio (waar beschikbaar); terugval op US-East met SCC’s. | Altijd actief | In behandeling |
| Klippa Bonafbeelding + geëxtraheerde tekst. Conform het bewaarbeleid van Klippa. | Bon-OCR (wanneer OCR_PROVIDER=klippa). | Nederland | Altijd actief | In behandeling |
| Anthropic Activiteitssnapshot van de workspace (handelaren, bedragen, datums, status) + de door de gebruiker getypte vraag. Geen e-mailadres of kaartnummer. Geen opslag aan de kant van Anthropic. | AI-assistent voor kaarthouders (samenvatting + chat) wanneer de klant deze inschakelt. | Verenigde Staten (Amerikaanse SCC’s van toepassing). | Opt-in door klant | In behandeling |
| TrueLayer Door de klant geïnitieerde AISP-toestemming + transactiehistorie per toestemmingsgrant. | Open Banking-adapter voor continue synchronisatie van Amex Business. | EU + VK | Gepland (nog niet live) | In behandeling |
| Exact Online Door de klant geautoriseerde OAuth-tokens + de gegevens die de klant via export verstuurt. | Exportkoppeling voor de boekhouding (wanneer de klant deze configureert). | Nederland | Opt-in door klant | Ondertekend |
| Twinfield (Wolters Kluwer) Door de klant geautoriseerde OAuth-tokens + de transactiegegevens die de klant via export verstuurt. | Exportkoppeling voor de boekhouding (wanneer de klant deze configureert). | Nederland | Gepland (nog niet live) | In behandeling |
| PostHog Pseudoniem gebruikers-ID + eventeigenschappen (nooit e-mailadres, naam, kaartnummer of boninhoud) + ingestie-IP. | Productanalytics (serverevents altijd; in-app-events alleen na cookietoestemming). | EU-cloud (eu.i.posthog.com). | Altijd actief | In behandeling |
| Apple (APNs) Pushtoken van het apparaat + titel/inhoud van de melding (een goedkeuringsmelding bevat de handelaar en het bedrag). | Pushmeldingen naar de iOS-app (goedkeuringen, bonkoppelingen, herinneringen). | Verenigde Staten (Amerikaanse SCC’s van toepassing). | Altijd actief | In behandeling |
| Sentry Stacktraces van fouten + requestcontext, inclusief het ID en e-mailadres van de ingelogde gebruiker. | Foutmonitoring (alleen productie, wanneer SENTRY_DSN is ingesteld). | Sentry SaaS (EU-regio). | Opt-in door klant | In behandeling |
Hoe wij klanten informeren
Workspacebeheerders ontvangen ten minste 30 dagen voordat een nieuwe subverwerker live gaat een e-mail. Dezelfde aankondiging wordt gepubliceerd in de Rexa-changelog en op deze pagina. Klanten kunnen tijdens de aankondigingsperiode bezwaar maken; kunnen wij de Dienst redelijkerwijs niet zonder de nieuwe subverwerker leveren, dan mag de klant kosteloos opzeggen.
Abonneren op wijzigingen
Abonneer u op subverwerker-updates door te mailen naar privacy@rexa.one. Wij houden een notificatielijst bij die losstaat van marketingmails.
Vragen
Vragen over een specifieke subverwerker (regio, bewaartermijn, beveiligingsniveau): privacy@rexa.one. Wij reageren binnen één werkdag.