Subverwerkers
The HR Lab schakelt voor HRbor een beperkt aantal dienstverleners in die persoonsgegevens namens onze klanten verwerken. Op deze pagina staat de actuele lijst, met per partij de dienst, de relevante gegevens en de verwerkingslocatie.
Deze lijst geldt met ingang van 31-10-2026. Nieuw ten opzichte van de vorige versie zijn Google Cloud, voor de database van het klantplatform, en PostHog, voor foutopsporing en productstatistiek.
Deze pagina hoort bij de verwerkersovereenkomst tussen The HR Lab B.V. en haar klanten. Daarin staat welke verplichtingen wij aan elke subverwerker opleggen en hoe de wijzigingsprocedure werkt.
De actuele lijst
Hosting en uitvoering van de website en het platform, en opslag van geüploade bestanden.
Relevante gegevens: Applicatieverzoeken en technische metagegevens die nodig zijn om het platform te leveren, en de bestanden die de klant uploadt, zoals documenten en personeelsbestanden. Bestanden staan in afgeschermde opslag en zijn alleen bereikbaar via links die na 10 minuten verlopen.
Verwerkingslocatie: Europese Unie, regio Frankfurt (fra1).
Verwerking is ingericht binnen de EER. Voor zover Vercel als Amerikaans bedrijf of zijn personeel persoonsgegevens buiten de EER verwerkt, gelden de waarborgen van hoofdstuk V AVG.
De database van het klantplatform, het beheer van de sleutels waarmee die database is versleuteld, de back-ups van die database en de opslag van de versleutelde export van de Quick Scan-database.
Relevante gegevens: De kern van de klantgegevens: werknemersgegevens met een kenmerk dat de werkgever kiest, zoals een personeelsnummer, en de naam alleen als de werkgever daarvoor kiest. Verder geslacht, functie, organisatie-eenheid, werklocatie, rapportagelijn, contract- en beloningsgegevens inclusief variabele beloning, accounts met e-mailadres en rol, het auditlogboek en de herkomstgegevens van functieprofielen.
Verwerkingslocatie: Europese Unie: de database in Frankfurt (europe-west3), de back-ups in de EU-multiregio van Google Cloud, de export van de Quick Scan-database in Frankfurt.
Verwerking is ingericht binnen de EER. Voor zover Google als Amerikaans bedrijf of zijn personeel persoonsgegevens buiten de EER verwerkt, gelden de waarborgen van hoofdstuk V AVG.
Database voor de Quick Scan en de formulieren op de website.
Relevante gegevens: De gegevens die een bezoeker invult bij de Quick Scan of bij een aanvraag of aanmelding op de website. Supabase verwerkt geen gegevens uit het klantplatform.
Verwerkingslocatie: Europese Unie, Frankfurt (EU Central).
Verwerking is ingericht binnen de EER. Voor zover Supabase als Amerikaans bedrijf of zijn personeel persoonsgegevens buiten de EER verwerkt, gelden de waarborgen van hoofdstuk V AVG.
Transactionele e-mail, zoals uitnodigingen, links om een passkey te vervangen en notificaties.
Relevante gegevens: Zakelijke e-mailadressen van HR-gebruikers, beheerders en werknemers, plus de beperkte berichtinhoud en afleveringsgegevens die daarvoor nodig zijn. Resend ontvangt niet de beloningsdatabase van de klant.
Verwerkingslocatie: Verenigde Staten.
Doorgifte op basis van een geldig mechanisme uit hoofdstuk V AVG, waaronder standaardcontractbepalingen.
AI-verwerking die begeleide invoer, het structureren van functie-informatie en het opstellen van functieprofielen ondersteunt.
Relevante gegevens: Er gaan nooit werknemers- of beloningsgegevens naar de AI-dienst: geen namen, geen personeelsnummers, geen salarissen. Voor een functieprofiel ontvangt de AI alleen de naam van de functie, de functiedocumenten die de klant uploadt, de antwoorden op de open vragen over de functie en de gekozen schrijfstijl. De naam van de organisatie ontvangt de AI daarbij niet. Eenmalig bij de inrichting ontvangt de AI de naam van de organisatie, de tekst van de openbare website en documenten die de klant zelf uploadt, om een beschrijving van de organisatie op te stellen. Dat is een apart verzoek. Elk AI-verzoek staat op zichzelf: de AI-dienst onthoudt niets tussen verzoeken, en de naam en beschrijving van de organisatie gaan nooit mee met de verzoeken voor functieprofielen. De AI kan een functieprofiel dus niet aan een organisatie koppelen. Wat een gebruiker in vrije tekst invoert of uploadt, bepaalt de klant. Het platform waarschuwt gebruikers geen namen of andere persoonsgegevens op te nemen.
Verwerkingslocatie: Verenigde Staten.
Doorgifte op basis van een geldig mechanisme uit hoofdstuk V AVG, waaronder standaardcontractbepalingen. Klantgegevens worden niet gebruikt voor het trainen van AI-modellen.
Foutopsporing, productstatistiek en sessieopnames in het platform.
Relevante gegevens: Een interne gebruikers-id, technische gegevens over fouten en over het gebruik van schermen, en sessieopnames waarin alle tekst en invoer onleesbaar is gemaakt. Opnames staan uit op elke pagina met werknemers- of functiegegevens. Het verkeer loopt via onze eigen server, zodat het IP-adres van de gebruiker niet wordt doorgegeven.
Verwerkingslocatie: Europese Unie, Frankfurt.
Verwerking is ingericht binnen de EER. Voor zover PostHog als Amerikaans bedrijf of zijn personeel persoonsgegevens buiten de EER verwerkt, gelden de waarborgen van hoofdstuk V AVG, waaronder standaardcontractbepalingen.
Websitestatistiek
Voor de websitestatistiek gebruiken wij Plausible Analytics (Europese Unie, Estland). De dienst werkt zonder cookies, slaat geen IP-adressen op en gebruikt ze niet om bezoekers te volgen. Met deze inrichting verwerkt Plausible geen persoonsgegevens namens onze platformklanten en is het daarom geen subverwerker. Wij vermelden het hier voor de volledigheid.
Wijzigingen in deze lijst
Willen wij een subverwerker toevoegen of vervangen, dan informeren wij onze klanten in de regel ten minste zeven kalenderdagen vooraf. Klanten kunnen binnen die termijn gemotiveerd bezwaar maken op redelijke gronden van gegevensbescherming of informatiebeveiliging. Vraagt een dringende beveiligings- of continuïteitsreden om een kortere termijn, dan informeren wij zo vroeg als redelijkerwijs mogelijk is en leggen wij de reden uit. De bezwaarprocedure blijft gelden. De volledige procedure staat in de verwerkersovereenkomst.
Vragen over deze lijst of over de verwerking van persoonsgegevens? Mail naar privacy@hrbor.nl. Zie ook onze privacyverklaring.
Laatst bijgewerkt: 13-10-2026