Sub-verwerkerlijst Attic Security
Versie 1.0 — laatst bijgewerkt 25 juni 2026
Wat is een sub-verwerker
Een sub-verwerker is een externe organisatie die in opdracht van Attic persoonsgegevens verwerkt om onze dienstverlening mogelijk te maken. Voorbeelden: onze hostingprovider, ons CRM-systeem, onze betaalverwerker.
Met elke sub-verwerker hebben wij een verwerkersovereenkomst (DPA) afgesloten die ten minste gelijkwaardig is aan onze eigen DPA met klanten. Wij blijven jegens u verantwoordelijk voor de naleving door deze sub-verwerkers.
Hoe wij sub-verwerkers beheren
- Selectie — bij contract beoordelen wij sub-verwerkers op security, privacy en compliance-niveau
- Periodieke herbeoordeling — minimaal jaarlijks toetsen wij of de sub-verwerker nog aan onze eisen voldoet
- Locatie-beleid — wij verwerken persoonsgegevens uitsluitend binnen de Europese Economische Ruimte (EER)
- Transparantie — deze lijst is openbaar en wordt bijgewerkt bij iedere wijziging
Sub-verwerkers — Servicegegevens
Deze sub-verwerkers ondersteunen onze MDR-dienstverlening (continuous monitoring en IVON, onze AI-gedreven response agent). Zij verwerken persoonsgegevens uit de Microsoft 365-omgeving van klanten in onze opdracht.
| Sub-verwerker | Doel | Locatie verwerking | Waarborg |
|---|---|---|---|
| Hetzner Online GmbH | Hosting van onze backend-infrastructure inclusief opslag van incident-data, audit-trail en klant-configuratie | Duitsland (primair) en Finland (secundair) | DPA conform AVG Art. 28; ISO 27001-gecertificeerd |
| Microsoft Corporation (Azure + Azure AI Foundry) | Cloud-infrastructure voor continuous monitoring en AI-inference voor IVON | Microsoft Azure regio West Europe + Sweden Central | DPA conform AVG Art. 28; Microsoft Online Services DPA |
Toelichting Azure AI Foundry: IVON maakt gebruik van een taalmodel (Claude van Anthropic) dat door Microsoft binnen Azure AI Foundry wordt gehost. Anthropic ontvangt zelf geen klantdata via deze route — Microsoft is contractueel verantwoordelijk voor data-handling — en is om die reden geen sub-verwerker van Attic.
Sub-verwerkers — Klantrelatiegegevens
Deze sub-verwerkers ondersteunen onze klantrelatie, sales, support en facturatie. Zij verwerken persoonsgegevens van klant-contactpersonen, niet de servicegegevens uit de Microsoft 365-omgeving.
| Sub-verwerker | Doel | Locatie verwerking | Waarborg |
|---|---|---|---|
| Zendesk Inc. | Klantsupport en ticketbeheer (voorgenomen migratie naar HubSpot) | EU-regio | DPA conform AVG Art. 28 |
| HubSpot Inc. | CRM en klantrelatiebeheer | EU-regio | DPA conform AVG Art. 28 |
| Chargebee Inc. | Facturatie en abonnementsbeheer | EU-regio | DPA conform AVG Art. 28 |
| Stripe Inc. | Betaalverwerking (via Chargebee) | EU-regio | DPA conform AVG Art. 28; PCI-DSS-gecertificeerd |
| Functional Software Inc. (Sentry) | Foutdetectie en debugging (voorgenomen vervanging door het zelf-gehoste GlitchTip) | EU-regio | DPA conform AVG Art. 28 |
Technische infrastructure (geen AVG sub-verwerker)
Voor volledige transparantie noemen wij ook de volgende tools, die geen persoonsgegevens verwerken en daarom geen AVG sub-verwerker zijn:
| Tool | Doel | Locatie |
|---|---|---|
| Zabbix | System monitoring (alleen infrastructure-metrics, geen persoonsgegevens) | Onze infrastructure (Hetzner, EU) |
| GlitchTip | Error-tracking, zelf-gehoste oplossing | Onze infrastructure (Hetzner, EU) |
Wijzigingen in onze sub-verwerkerlijst
Bij wijziging — nieuwe sub-verwerker of vervanging — informeren wij klanten ten minste 30 dagen vooraf. U heeft binnen die termijn het recht om gemotiveerd bezwaar te maken op gronden gerelateerd aan gegevensbescherming, conform onze verwerkersovereenkomst (DPA).
Deze openbare lijst geldt als kennisgeving naar het publiek; daarnaast informeren wij u per e-mail bij materiele wijzigingen.
Geen doorgifte buiten de EU
Alle bovenstaande sub-verwerkers verwerken uw persoonsgegevens uitsluitend binnen de Europese Economische Ruimte (EER). Wij dragen geen persoonsgegevens over naar landen buiten de EER.
Mocht in de toekomst doorgifte buiten de EER alsnog noodzakelijk worden, dan zal dit uitsluitend gebeuren onder de toepasselijke waarborgen uit hoofdstuk V AVG (zoals modelcontractbepalingen of adequaatheidsbesluiten) en wordt deze lijst vooraf aangepast.
Contact
Vragen over deze sub-verwerkerlijst of onze sub-verwerker-keuzes:
Privacy-vragen: privacy@atticsecurity.com
Privacy-contactpersoon: privacy@atticsecurity.com — Erik Remmelzwaal
Versiehistorie
- v1.0 — 25 juni 2026 — Initiële openbare lijst, gepubliceerd parallel aan Privacyverklaring v1.0 en DPA v1.0