SUB-VERWERKERSLIJST WTTA-AUDIT Versie 1.6 — geldig vanaf 1 december 2026

Inleiding

WTTA-Audit.nl B.V., statutair gevestigd te Huizen (KvK-nummer 42078341), maakt voor het leveren van het Platform en de bijbehorende diensten gebruik van een aantal zorgvuldig geselecteerde sub-verwerkers. Deze sub-verwerkers verwerken persoonsgegevens uitsluitend in opdracht en ten behoeve van WTTA-Audit, op basis van een schriftelijke verwerkersovereenkomst. In deze lijst geven wij overzicht van welke sub-verwerkers wij inzetten, voor welk doel, in welk land de verwerking plaatsvindt en — indien van toepassing — op basis van welke doorgiftegrondslag onder hoofdstuk V AVG persoonsgegevens buiten de Europese Economische Ruimte (EER) worden verwerkt.

Deze lijst is de enige plaats waar WTTA-Audit haar sub-verwerkers vastlegt. De Verwerkersovereenkomst (artikel 6.1 en Bijlage 3) en de Privacyverklaring (§7.1) verwijzen hiernaar.

Overzicht van de sub-verwerkers

Toelichting

WTTA-Audit draait volledig op de infrastructuur van Amazon Web Services binnen de Europese Economische Ruimte (regio Frankfurt, eu-central-1). De hosting, de versleutelde back-ups (een dagelijks back-upplan in een AWS Backup-kluis met een kopie in de AWS-regio Stockholm, eveneens binnen de EER, aangevuld met point-in-time recovery op de databases), de transactionele e-mail (Amazon SES), de verzending van SMS-bevestigingscodes voor de ontvangstbevestiging (Amazon SNS) en de geautomatiseerde AI-uitlezing van documenten en audits (Amazon Bedrock, met modellen van Anthropic) vallen alle onder dezelfde AWS-verwerkersovereenkomst en vinden binnen de EER plaats. Amazon Bedrock verwerkt de aanroep in de aangeroepen EU-regio, slaat prompts en modelantwoorden standaard niet op (zero data retention) en deelt deze niet met de modelaanbieder; Anthropic ontvangt geen klantgegevens buiten de Bedrock-omgeving en gebruikt klantinvoer niet voor het trainen van modellen. Deze AWS-omgeving draait sinds 1 juni 2026 op een eigen AWS-account ten name van WTTA-Audit.nl B.V.; de sub-verwerker is Amazon Web Services EMEA SARL in de regio Frankfurt.

Sinds 12 juni 2026 verloopt de mailafhandeling van de @wtta-audit.nl-postvakken via Microsoft 365 en de Microsoft Graph API. Deze postvakken bevatten inkomende en uitgaande e-mailcorrespondentie die persoonsgegevens van klanten en hun medewerkers kan bevatten (NAW- en contactgegevens en de inhoud van bijlagen). De verwerking vindt plaats binnen de EU Data Boundary (EER); voor incidentele ondersteuning waarbij toegang vanuit de Verenigde Staten kan plaatsvinden, geldt een geldige doorgiftegrondslag (zie hieronder). Dit betreft de transactionele/notificatie-e-mail (Amazon SES) niet: die blijft op AWS binnen de EER.

Voor de technische foutbewaking van het Platform gebruikt WTTA-Audit sinds augustus 2026 Sentry (Functional Software, Inc.). Foutmeldingen worden verwerkt in het EU-datacenter van Sentry (Frankfurt, Duitsland). Het Platform stuurt bewust géén gebruikersprofielen, cookies of autorisatie-headers mee en past vóór verzending een geautomatiseerde redactie toe op onder meer BSN-achtige nummers, e-mailadressen, IBAN's en tokens. Omdat een foutmelding desondanks incidenteel persoonsgegevens kan bevatten (bijvoorbeeld in een foutomschrijving), is Sentry als sub-verwerker opgenomen.

WTTA-Audit gebruikt Mollie's Facturatieproduct om abonnementsfacturen op te maken. Daarvoor is Mollie verwerker en is WTTA-Audit verwerkingsverantwoordelijke; de daarbij verwerkte gegevens zijn overwegend bedrijfsgegevens (organisatienaam, KvK-/btw-nummer, adres), aangevuld met een contactnaam en zakelijk e-mailadres. De betaalafhandeling via Mollie (checkout en incasso's) is technisch voorbereid maar nog niet geactiveerd; klanten worden over de activering geïnformeerd conform artikel 6 van de Verwerkersovereenkomst. Voor de eigenlijke betaalverwerking treedt Mollie als vergunninghoudende betaaldienstverlener (mede) op als zelfstandig verwerkingsverantwoordelijke; voor zover Mollie ten behoeve van WTTA-Audit persoonsgegevens verwerkt, is zij sub-verwerker.

De geavanceerde elektronische ondertekening (PAdES) van Gewaarmerkte Rapporten gebeurt met een eigen platform-zegel binnen de eigen AWS-omgeving van WTTA-Audit. De externe tijdstempeldienst (TSA) die daarbij wordt gebruikt ontvangt uitsluitend een cryptografische vingerafdruk (hash) van het document en géén persoonsgegevens, en is daarom geen sub-verwerker.

Niet als sub-verwerker opgenomen: openbare informatiebronnen die WTTA-Audit raadpleegt voor CAO-, nieuws-, register- en wetgevingsdata (zoals KOOP/Staatscourant, het Handelsregister/KvK, CAO-bronnen en de zoekdienst Tavily, die uitsluitend een zoekterm ontvangt om die bronnen te vinden) ontvangen géén persoonsgegevens van het Bedrijf en zijn daarom geen sub-verwerkers in de zin van deze lijst. Ook de AI-modellen die WTTA-Audit via de directe Anthropic-API (buiten Amazon Bedrock) aanroept, waaronder Anthropic Fable 5, ontvangen geen persoonsgegevens en geen klantgegevens: WTTA-Audit zet dat kanaal uitsluitend in voor taken zonder persoonsgegevens, zoals interne tooling en het verwerken van openbare CAO- en normdata. Een technische waarborg in de programmatuur van het Platform weigert elke aanroep via dat kanaal die persoonsgegevens bevat; die waarborg is niet met een instelling uit te schakelen. Daarom is Anthropic geen sub-verwerker in de zin van deze lijst. Datzelfde geldt voor optionele koppelingen waarmee het Platform in opdracht van een Bedrijf gegevens uitwisselt met systemen die dat Bedrijf zélf gebruikt en waarvoor dat Bedrijf een eigen overeenkomst met de leverancier heeft — zoals een boekhoudomgeving (Exact Online), salarisadministratie (Nmbrs), frontoffice-systeem (zvoove) of recruiter-/urenomgeving van het Bedrijf: die leveranciers verwerken de gegevens in opdracht van het Bedrijf zelf en zijn geen sub-verwerkers van WTTA-Audit. Kiest een Bedrijf voor zo'n koppeling, dan wordt die gegevensuitwisseling voor dat Bedrijf vastgelegd in of bij de Verwerkersovereenkomst. Interne diensten van WTTA-Audit die binnen hetzelfde AWS-account draaien (zoals uren.wtta-audit.nl) zijn evenmin aparte sub-verwerkers; zij vallen onder de AWS-vermelding hierboven.

Toelichting op de doorgiftegrondslagen

Wanneer een sub-verwerker persoonsgegevens verwerkt buiten de Europese Economische Ruimte (EER), zorgen wij ervoor dat daarvoor een geldige doorgiftegrondslag bestaat onder hoofdstuk V AVG. De meest voorkomende grondslagen zijn:

Adequaatheidsbesluit (artikel 45 AVG)

De Europese Commissie heeft vastgesteld dat het betreffende land een passend beschermingsniveau biedt. Op het moment van publicatie van deze lijst geldt dat onder meer voor het Verenigd Koninkrijk, Zwitserland, Canada (commercieel) en, voor bedrijven die zich onder het EU-US Data Privacy Framework hebben gecertificeerd, de Verenigde Staten. Microsoft Corporation en Functional Software, Inc. (Sentry) zijn gecertificeerd onder het EU-US Data Privacy Framework.

Standaardcontractbepalingen (SCC's, artikel 46 lid 2 sub c AVG)

Een door de Europese Commissie vastgesteld modelcontract met passende waarborgen. Wij gebruiken de meest recente versie van de SCC's (uitvoeringsbesluit 2021/914) en treffen waar nodig aanvullende technische, organisatorische en contractuele waarborgen op basis van de criteria uit het Schrems II-arrest. De Microsoft Products and Services DPA en de Sentry DPA bevatten de actuele SCC's als aanvullende doorgiftewaarborg naast het Data Privacy Framework.

Contact

Heeft u vragen over deze sub-verwerkerslijst of bezwaren tegen een (voorgenomen) sub-verwerker? Neem dan contact met ons op via support@wtta-audit.nl. De procedure bij bezwaren is geregeld in artikel 6.2 van de Verwerkersovereenkomst.

Versiegeschiedenis

• 1.6 — Redactioneel: het overzicht staat bovenaan; de Verwerkersovereenkomst en de Privacyverklaring verwijzen naar deze lijst in plaats van een eigen opsomming; de omschrijving van Mollie is bijgewerkt (Facturatieproduct in gebruik, betaalafhandeling nog niet geactiveerd); de passage over de directe Anthropic-API is verduidelijkt (geen persoonsgegevens en geen klantgegevens, technisch afgedwongen); de back-uplocatie vermeldt nu ook de kopie in de AWS-regio Stockholm (binnen de EER); één contactadres. Geen nieuwe sub-verwerker en geen nieuwe doorgifte.
• 1.5 — Amazon SNS als sub-regel van AWS (SMS-bevestigingscodes); Tavily en Fable 5 verduidelijkt als geen sub-verwerker; zero data retention bij Amazon Bedrock.
• 1.4 — Sentry toegevoegd; Exact Online van de lijst (koppeling met de eigen administratie van het Bedrijf); Mollie als voorbereide positie; positie "e-signatuur-leverancier" vervallen.
• 1.3 — Microsoft 365 / Microsoft Graph toegevoegd (per 12 juni 2026).
• 1.2 — Eigen AWS-account (per 1 juni 2026); geen nieuwe sub-verwerker.
• 1.1 — Tabel concreet ingevuld; Amazon Bedrock en AWS Backup verbijzonderd.

----- EINDE DOCUMENT -----