Fanorg – Subverwerkerslijst

Versie: 2026.9
Datum: 24 augustus 2026

Fanorg gebruikt voor de levering van bepaalde Diensten externe cloud-, infrastructuur-, AI-, communicatie-, e-mail-, marketing- en analyticsleveranciers. Welke leveranciers voor een specifieke Opdrachtgever worden ingezet, hangt af van de afgenomen Dienst en de gekozen technische inrichting.

Fanorg verstrekt vóór de relevante verwerking aan Opdrachtgever welke directe subverwerkers voor diens Dienst worden ingezet. Wijzigingen worden behandeld overeenkomstig de Verwerkersovereenkomst. Waar technisch en commercieel redelijk beschikbaar, kiest Fanorg voor Europese contract-, hosting- of verwerkingsopties.

1. Cloud- en infrastructuurleveranciers

1.1 Microsoft

Juridische entiteit: Microsoft Ireland Operations Limited
Vestigingsland: Ierland
Adres: One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ierland

Diensten: Microsoft Azure, Azure Storage, Azure-databases, applicatie- en serverlessdiensten, Microsoft 365, Microsoft Entra ID, Microsoft Power Platform en overige zakelijke Microsoft-clouddiensten die voor de betreffende Dienst worden ingezet.

Doel van verwerking: cloudhosting, opslag, databases, identity en authenticatie, automatisering, communicatie, applicatiehosting, monitoring, beveiliging, back-up en technische ondersteuning.

Mogelijke categorieën persoonsgegevens: identificatie- en contactgegevens, account- en gebruikersgegevens, tenant- en organisatiegegevens, autorisaties en rollen, communicatie, documenten en bestanden, applicatie- en workflowgegevens, logs en technische gegevens.

Verwerkingslocatie: voor Europese klantworkloads in beginsel binnen de Europese Unie/EER, afhankelijk van de gebruikte Microsoft-dienst, gekozen Azure-regio en tenantconfiguratie.

Internationale doorgifte: overeenkomstig de toepasselijke Microsoft Data Protection Addendum en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Microsoft-subverwerkersinformatie voor de gebruikte Diensten.

1.2 Cloudflare

Juridische entiteit: Cloudflare, Inc.
Vestigingsland: Verenigde Staten
Adres: 101 Townsend Street, San Francisco, CA 94107, Verenigde Staten

Diensten: DNS, CDN en Web Application Firewall (WAF).

Doel van verwerking: DNS-afhandeling, routing en aflevering van internetverkeer, caching, beschikbaarheid, beveiliging en bescherming tegen aanvallen.

Mogelijke categorieën persoonsgegevens: IP-adressen, HTTP- en requestgegevens, technische metadata, identifiers, cookies en loggegevens.

Verwerkingslocatie: wereldwijd gedistribueerde edge-infrastructuur.

Internationale doorgifte: overeenkomstig de toepasselijke Cloudflare Data Processing Addendum en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Cloudflare-subverwerkersinformatie.

1.3 Amazon Web Services

Juridische entiteit: Amazon Web Services EMEA SARL
Vestigingsland: Luxemburg
Adres: 38 Avenue John F. Kennedy, L-1855 Luxembourg

Diensten: compute, containers, databases, object storage, serverless, netwerk-, logging-, monitoring-, security-, back-up- en overige AWS-cloudfunctionaliteit.

Doel van verwerking: hosting, opslag, databases, applicatie-uitvoering, netwerkverkeer, beveiliging, monitoring, back-up en technisch beheer.

Mogelijke categorieën persoonsgegevens: account-, applicatie-, inhouds-, log-, netwerk- en technische gegevens die binnen de concrete workload worden verwerkt.

Verwerkingslocatie: klantworkloads worden in beginsel in AWS-regio’s binnen de Europese Unie/EER geplaatst; de concrete regio hangt af van de betreffende Dienst.

Internationale doorgifte: overeenkomstig de toepasselijke AWS-verwerkersvoorwaarden en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele AWS-subverwerkersinformatie.

1.4 Google Cloud

Juridische entiteit: Google Cloud EMEA Limited
Vestigingsland: Ierland
Adres: 70 Sir John Rogerson’s Quay, Dublin 2, Ierland

Diensten: Google Cloud Platform, compute, storage, databases, serverless, containers, netwerk-, identity-, beveiligings-, monitoring- en platformfunctionaliteit, waaronder Vertex AI wanneer voor de betreffende Dienst gekozen.

Doel van verwerking: hosting, opslag, databases, applicatie-uitvoering, authenticatie, netwerkverkeer, beveiliging, monitoring, back-up en technisch beheer.

Mogelijke categorieën persoonsgegevens: account-, gebruikers-, applicatie-, inhouds-, workflow-, log-, netwerk- en technische gegevens; bij gekozen AI-functionaliteit tevens AI-invoer en -uitvoer.

Verwerkingslocatie: klantworkloads worden in beginsel in Google Cloud-regio’s binnen de Europese Unie/EER geplaatst; de concrete regio hangt af van de betreffende Dienst.

Internationale doorgifte: overeenkomstig de toepasselijke Google Cloud-verwerkersvoorwaarden en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Google Cloud-subverwerkersinformatie.

1.5 DigitalOcean

Juridische entiteit: DigitalOcean, LLC
Vestigingsland: Verenigde Staten
Adres: 101 Avenue of the Americas, 10th Floor, New York, NY 10013, Verenigde Staten

Diensten: cloudinfrastructuur, applicatiehosting, Droplets, databases, object storage en overige gebruikte infrastructuurdiensten.

Doel van verwerking: hosting, opslag, databases, applicatie-uitvoering, netwerkverkeer, beveiliging en technisch beheer.

Mogelijke categorieën persoonsgegevens: account-, applicatie-, inhouds-, database-, log- en technische gegevens.

Verwerkingslocatie: Nederland — Amsterdam.

Internationale doorgifte: overeenkomstig de actuele DigitalOcean Data Processing Agreement en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele DigitalOcean-subverwerkersinformatie.

1.6 Hostinger

Juridische entiteit: Hostinger International Ltd.
Vestigingsland: Cyprus
Adres: 61 Lordou Vironos str., 6023 Larnaca, Cyprus

Diensten: hosting, serverinfrastructuur, opslag, databases, e-mail en back-upfunctionaliteit voor zover voor de betreffende Dienst gebruikt.

Doel van verwerking: hosting, opslag, databases, e-mail, beveiliging, back-up en technisch beheer.

Mogelijke categorieën persoonsgegevens: website-, applicatie-, account-, communicatie-, inhouds-, database-, log- en technische gegevens.

Verwerkingslocatie: primaire hosting, opslag en databases: Duitsland — Frankfurt. Back-ups, voor zover voor de betreffende Dienst via deze Hostinger-inrichting gebruikt: Frankrijk. Deze back-upverwerking maakt in dat profiel onderdeel uit van de Hostinger-dienst; daarvoor wordt niet uitsluitend door deze vermelding een afzonderlijke back-upprovider aangewezen.

Internationale doorgifte: overeenkomstig de toepasselijke Hostinger Data Processing Addendum en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Hostinger-subverwerkersinformatie.

1.7 Backblaze

Juridische entiteit: Backblaze, Inc.
Vestigingsland: Verenigde Staten
Adres: 2261 Market Street, STE 81006, San Francisco, CA 94114, Verenigde Staten

Diensten: Backblaze B2 Cloud Storage en overeengekomen opslag- en back-upfunctionaliteit.

Doel van verwerking: object storage, back-up, retentie en herstel.

Mogelijke categorieën persoonsgegevens: bestanden, objecten, back-upgegevens, metadata, logs en persoonsgegevens die onderdeel zijn van opgeslagen klantdata.

Verwerkingslocatie: voor de door Fanorg gebruikte EU Central-regio: Nederland — Amsterdam.

Internationale doorgifte: overeenkomstig de toepasselijke Backblaze Data Processing Addendum en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Backblaze-subverwerkersinformatie.

1.8 Hetzner

Juridische entiteit: Hetzner Online GmbH
Vestigingsland: Duitsland
Adres: Industriestraße 25, 91710 Gunzenhausen, Duitsland

Diensten: cloudservers, dedicated servers, opslag, netwerk-, database-, back-up- en overige infrastructuurdiensten die voor de betreffende Dienst worden ingezet.

Doel van verwerking: hosting, opslag, applicatie-uitvoering, databases, netwerkverkeer, back-up, beveiliging en technisch beheer.

Mogelijke categorieën persoonsgegevens: account-, applicatie-, inhouds-, database-, log-, netwerk- en technische gegevens.

Verwerkingslocatie: Europese Unie — in beginsel Duitsland of Finland, afhankelijk van de gekozen Hetzner-locatie.

Internationale doorgifte: Europese verwerking wordt waar mogelijk aangehouden; overige doorgiften vinden plaats overeenkomstig de toepasselijke Hetzner-verwerkersvoorwaarden en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Hetzner-subverwerkersinformatie.

1.9 OVHcloud

Juridische entiteit: OVH SAS
Vestigingsland: Frankrijk
Adres: 2 rue Kellermann, 59100 Roubaix, Frankrijk

Diensten: cloudservers, dedicated servers, hosting, storage, databases, netwerk-, security-, back-up- en overige OVHcloud-infrastructuurdiensten die voor de betreffende Dienst worden ingezet.

Doel van verwerking: hosting, opslag, applicatie-uitvoering, databases, netwerkverkeer, beveiliging, back-up en technisch beheer.

Mogelijke categorieën persoonsgegevens: account-, applicatie-, inhouds-, database-, log-, netwerk- en technische gegevens.

Verwerkingslocatie: Europese Unie — Europese workloads worden in beginsel binnen EU-datacenters geplaatst; de concrete locatie hangt af van de gekozen OVHcloud-dienst en regio.

Internationale doorgifte: overeenkomstig de toepasselijke OVHcloud Data Processing Agreement en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele OVHcloud-subverwerkersinformatie.

2. AI-leveranciers

AI-providers worden alleen ingezet wanneer de betreffende AI-dienst voor de concrete Dienst is gekozen en daarbij persoonsgegevens namens Opdrachtgever worden verwerkt. Waar de provider een Europese verwerkings- of datazone ondersteunt en deze geschikt is voor de overeengekomen functionaliteit, kiest Fanorg die Europese optie.

2.1 OpenAI

Juridische entiteit: OpenAI Ireland Ltd.
Vestigingsland: Ierland
Adres: 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Ierland

Diensten: OpenAI API en zakelijke OpenAI-functionaliteit.

Doel van verwerking: genereren, analyseren, classificeren, extraheren en transformeren van door of namens Opdrachtgever verstrekte invoer.

Mogelijke categorieën persoonsgegevens: prompt- en invoergegevens, documenten, teksten, afbeeldingen en andere gebruikte multimodale invoer, account- en applicatiegegevens, technische metadata en gegenereerde uitvoer.

Verwerkingslocatie en internationale doorgifte: overeenkomstig de toepasselijke OpenAI Data Processing Addendum, productconfiguratie en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele OpenAI Sub-processor List.

2.2 Anthropic

Juridische entiteit: Anthropic Ireland, Limited
Vestigingsland: Ierland

Diensten: Anthropic API en zakelijke Claude-functionaliteit.

Doel van verwerking: genereren, analyseren, classificeren, extraheren en transformeren van invoer en uitvoer met Anthropic-modellen.

Mogelijke categorieën persoonsgegevens: prompt- en invoergegevens, documenten, teksten, gebruikte multimodale invoer, account- en applicatiegegevens, technische metadata en gegenereerde uitvoer.

Verwerkingslocatie en internationale doorgifte: overeenkomstig de toepasselijke Anthropic Commercial Terms, Data Processing Addendum, productconfiguratie en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Anthropic-subverwerkersinformatie.

2.3 Google Gemini

Juridische entiteit: afhankelijk van de gekozen zakelijke toegangsvorm; bij Gemini via Google Cloud / Vertex AI wordt de verwerking uitgevoerd binnen de Google Cloud-contractuele keten, in beginsel via Google Cloud EMEA Limited voor Nederland/EMEA.

Diensten: betaalde Gemini API-functionaliteit en Gemini via Google Cloud / Vertex AI.

Doel van verwerking: genereren, analyseren, classificeren, extraheren en transformeren van invoer en uitvoer met Gemini-modellen.

Mogelijke categorieën persoonsgegevens: prompt- en invoergegevens, documenten, teksten, afbeeldingen, audio/video voor zover gebruikt, account- en applicatiegegevens, technische metadata en gegenereerde uitvoer.

Verwerkingslocatie en internationale doorgifte: Fanorg kiest waar beschikbaar een passende Europese Google Cloud-regio of Europese verwerkingsoptie; verdere verwerking volgt de gekozen Gemini-/Google Cloud-route, productconfiguratie, toepasselijke verwerkersvoorwaarden en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Google-/Google Cloud-subverwerkersinformatie voor de gekozen route.

2.4 Microsoft Azure OpenAI Service

Juridische entiteit: Microsoft Ireland Operations Limited
Vestigingsland: Ierland
Adres: One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ierland

Diensten: Microsoft Azure OpenAI Service en daarmee samenhangende Azure AI-functionaliteit, uitsluitend wanneer deze voor de concrete Dienst is gekozen.

Doel van verwerking: genereren, analyseren, classificeren, extraheren en transformeren van invoer en uitvoer met via Microsoft Azure aangeboden AI-modellen.

Mogelijke categorieën persoonsgegevens: prompt- en invoergegevens, documenten, teksten, afbeeldingen en andere gebruikte multimodale invoer, account- en applicatiegegevens, technische metadata en gegenereerde uitvoer.

Verwerkingslocatie: Fanorg kiest waar technisch beschikbaar en passend een EU Data Zone of een Europese Azure-regio. De concrete verwerking wordt bepaald door het gekozen Azure OpenAI-deploymenttype en de betreffende Azure-regio.

Internationale doorgifte: overeenkomstig de Microsoft Data Protection Addendum, de gekozen deploymentconfiguratie en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Microsoft-subverwerkersinformatie voor de gebruikte Azure AI-diensten.

3. Communicatie- en e-mailleveranciers

Deze leveranciers worden uitsluitend ingezet en aan het klantspecifieke overzicht toegevoegd wanneer de betreffende communicatie- of e-mailfunctionaliteit onderdeel is van de Dienst.

3.1 Twilio

Juridische entiteit: Twilio Inc. en/of de voor de betreffende Europese dienst toepasselijke Twilio-entiteit, waaronder Twilio Ireland Limited waar van toepassing
EU-verwerkingsoptie: Ierland — Twilio Region IE1, voor producten en functionaliteiten die deze regio ondersteunen.

Diensten: SMS, telefonie, messaging, verificatie, chat en overige communicatiefunctionaliteit.

Doel van verwerking: verzending en ontvangst van berichten, communicatie, verificatie, aflevering, logging en technische ondersteuning.

Mogelijke categorieën persoonsgegevens: telefoonnummers, namen, berichtinhoud, communicatiegegevens, afleverstatussen, identifiers, IP-adressen en technische metadata.

Verwerkingslocatie: waar de gebruikte functionaliteit dit ondersteunt en passend is, kiest Fanorg de Twilio Ireland Region (IE1). Voor functies die niet regionaal in de EU beschikbaar zijn kan verwerking buiten de EER plaatsvinden.

Internationale doorgifte: overeenkomstig de actuele Twilio Data Protection Addendum, Binding Corporate Rules en/of andere geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Twilio-subverwerkersinformatie.

3.2 Mailgun

Juridische entiteit: Mailgun Technologies, Inc. / Sinch Email, afhankelijk van de toepasselijke contractuele route
EU-verwerkingsoptie: Europese Unie — Mailgun EU Region.

Diensten: transactionele e-mail, SMTP, e-mail-API, ontvangst, aflevering, suppressions, mailing lists en e-maillogs.

Doel van verwerking: verzenden, ontvangen en afleveren van e-mail, deliverability, logging, bounce-/complaintafhandeling en technische ondersteuning.

Mogelijke categorieën persoonsgegevens: e-mailadressen, namen, berichtinhoud, bijlagen, aflevergegevens, suppressions, IP-adressen en technische metadata.

Verwerkingslocatie: Fanorg kiest voor klantverwerking waar mogelijk de Mailgun EU Region. Berichtdata, eventlogs en andere region-bound e-mailgegevens blijven daarbij binnen de gekozen EU-regio; beperkte account- en administratieve gegevens kunnen wereldwijd worden verwerkt.

Internationale doorgifte: overeenkomstig de toepasselijke Sinch Email/Mailgun Data Processing Agreement en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Mailgun/Sinch Email-subverwerkersinformatie.

3.3 Twilio SendGrid

Juridische entiteit: Twilio Inc. en/of de voor de betreffende dienst toepasselijke Twilio-entiteit
EU-verwerkingsoptie: Europese Unie — SendGrid EU Data Residency.

Diensten: transactionele e-mail, marketing-e-mail voor zover overeengekomen, SMTP, e-mail-API, aflever- en eventregistratie.

Doel van verwerking: verzenden en afleveren van e-mail, deliverability, logging, bounce-/complaintafhandeling en technische ondersteuning.

Mogelijke categorieën persoonsgegevens: e-mailadressen, namen, berichtinhoud, aflevergegevens, opens/clicks voor zover gebruikt, suppressions, IP-adressen en technische metadata.

Verwerkingslocatie: wanneer voor de betreffende Dienst geconfigureerd gebruikt Fanorg SendGrid EU Data Residency. De daarvoor gepubliceerde EU-verwerkingslocaties omvatten onder meer Duitsland — Frankfurt, Ierland — Dublin en Nederland — Amsterdam.

Internationale doorgifte: overeenkomstig de Twilio Data Protection Addendum en geldige doorgiftemechanismen. Beperkte verwerking buiten de EU kan plaatsvinden in de door Twilio beschreven uitzonderingssituaties, waaronder bepaalde support- of engineeringactiviteiten.

Verdere subverwerkers: volgens de actuele Twilio/SendGrid-subverwerkersinformatie.

3.4 Resend

Juridische entiteit: Plus Five Five, Inc. (Resend)
Vestigingsland: Verenigde Staten
EU-verzendoptie: Ierland — eu-west-1.

Diensten: transactionele e-mail, e-mail-API en afleverfunctionaliteit.

Doel van verwerking: verzenden en afleveren van e-mail, deliverability, logging en technische ondersteuning.

Mogelijke categorieën persoonsgegevens: e-mailadressen, namen, berichtinhoud, aflevergegevens, domeingegevens, logs, API-records en technische metadata.

Verwerkingslocatie: Fanorg kiest waar passend de Ierse verzendregio voor e-mailrouting en verzending. Resend slaat accountgegevens, e-mailmetadata, logs en API-records volgens de actuele dienstinrichting in de Verenigde Staten op.

Internationale doorgifte: overeenkomstig de actuele Resend Data Processing Addendum, Standard Contractual Clauses en andere geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Resend Subprocessors-lijst.

3.5 Brevo

Juridische entiteit: Sendinblue SAS, handelend als Brevo
Vestigingsland: Frankrijk
Adres: Parijs, Frankrijk

Diensten: transactionele e-mail, SMTP, campagnes, marketing automation, contact- en communicatiefuncties voor zover onderdeel van de Dienst.

Doel van verwerking: verzenden en afleveren van e-mail, campagne- en communicatiebeheer, deliverability, logging en technische ondersteuning.

Mogelijke categorieën persoonsgegevens: namen, e-mailadressen, contactgegevens, voorkeuren, segmentatiegegevens, berichtinhoud, interactie- en aflevergegevens, IP-adressen en technische metadata.

Verwerkingslocatie: Europese Unie. Brevo publiceert voor productiegegevens hosting in Frankrijk en Duitsland en Google Cloud-opslag in België.

Internationale doorgifte: overeenkomstig de toepasselijke Brevo Data Processing Agreement en geldige doorgiftemechanismen.

Verdere subverwerkers: volgens de actuele Brevo-subverwerkersinformatie.

4. Marketing-, advertentie- en analyticsplatforms

Deze platforms worden uitsluitend voor een Opdrachtgever ingezet wanneer zij onderdeel zijn van de overeengekomen marketing-, advertentie-, analytics- of websitefunctionaliteit. De privacyrechtelijke rol wordt bepaald door het concrete product en de configuratie. Waar de leverancier persoonsgegevens namens Fanorg of Opdrachtgever verwerkt, gelden de toepasselijke verwerkersvoorwaarden; waar de leverancier voor een verwerking zelfstandig doeleinden en middelen bepaalt, gelden de toepasselijke controller-voorwaarden van die leverancier.

4.1 Google Ads

Juridische entiteit voor Europese verwerking: Google Ireland Limited
Vestigingsland: Ierland
Adres: Gordon House, Barrow Street, Dublin 4, Ierland

Diensten: Google Ads, conversion tracking, remarketing, audience- en advertentiefuncties voor zover overeengekomen.

Doel van verwerking: advertentieweergave, campagnebeheer, meting, attributie, conversies en doelgroepfunctionaliteit.

Mogelijke categorieën persoonsgegevens: online identifiers, cookie-/consentgegevens, IP- en apparaatgegevens, advertentie- en interactiegegevens, conversiegegevens en door Opdrachtgever verstrekte doelgroepgegevens voor zover gebruikt.

Verwerkingslocatie en doorgifte: volgens de toepasselijke Google Ads Data Processing Terms, Google Ads Controller-Controller Data Protection Terms en geldige doorgiftemechanismen.

4.2 Meta / Facebook

Juridische entiteit voor Europese diensten: Meta Platforms Ireland Limited
Vestigingsland: Ierland
Adres: Block J, Serpentine Avenue, Dublin 4, Ierland

Diensten: Meta Ads/Facebook Ads, Meta Pixel, Conversions API, Custom Audiences, Lead Ads en overige overeengekomen marketingfunctionaliteit.

Doel van verwerking: advertentieweergave, campagnebeheer, meting, attributie, conversies, doelgroepopbouw en leadgeneratie.

Mogelijke categorieën persoonsgegevens: online identifiers, cookie-/consentgegevens, IP- en apparaatgegevens, advertentie- en interactiegegevens, conversiegegevens, contactgegevens en gehashte doelgroepgegevens voor zover gebruikt.

Verwerkingslocatie en doorgifte: volgens de toepasselijke Meta Business Tools Terms, Data Processing Terms, controller-voorwaarden en geldige doorgiftemechanismen.

4.3 LinkedIn

Juridische entiteit voor Europese diensten: LinkedIn Ireland Unlimited Company
Vestigingsland: Ierland
Adres: Wilton Place, Dublin 2, D02 AD98, Ierland

Diensten: LinkedIn Ads/Marketing Solutions, Insight Tag, Conversion Tracking, Matched Audiences, Lead Gen Forms en overige overeengekomen LinkedIn-functionaliteit.

Doel van verwerking: advertentieweergave, campagnebeheer, meting, attributie, conversies, doelgroepfunctionaliteit en leadgeneratie.

Mogelijke categorieën persoonsgegevens: online identifiers, cookie-/consentgegevens, IP- en apparaatgegevens, advertentie- en interactiegegevens, conversiegegevens, zakelijke contactgegevens en doelgroepgegevens voor zover gebruikt.

Verwerkingslocatie en doorgifte: volgens de toepasselijke LinkedIn Data Processing Agreement, Independent Controller Addendum en geldige doorgiftemechanismen.

4.4 Google Analytics

Juridische entiteit voor Europese diensten: Google Ireland Limited
Vestigingsland: Ierland
Adres: Gordon House, Barrow Street, Dublin 4, Ierland

Diensten: Google Analytics, waaronder web- en gebruiksmeting voor zover overeengekomen.

Doel van verwerking: website- en applicatieanalyse, gebruiksstatistieken, technische analyse, attributie en rapportage.

Mogelijke categorieën persoonsgegevens: online identifiers, cookie-/consentgegevens, IP- en apparaatgegevens, pagina- en interactiegegevens, technische metadata en gebeurtenisgegevens.

Verwerkingslocatie en doorgifte: volgens de toepasselijke Google Measurement/Analytics-voorwaarden, gegevensverwerkingsvoorwaarden en geldige doorgiftemechanismen.

4.5 Microsoft Clarity

Juridische entiteit voor EU-klanten: Microsoft Ireland Operations Limited
Vestigingsland: Ierland
Adres: One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ierland

Diensten: Microsoft Clarity, waaronder heatmaps, session replay en gebruiksanalyse voor zover overeengekomen.

Doel van verwerking: website- en gebruiksanalyse, gebruikerservaring, heatmaps, sessieanalyse en technische optimalisatie.

Mogelijke categorieën persoonsgegevens: online identifiers, cookie-/consentgegevens, IP- en apparaatgegevens, muis-, klik-, scroll- en pagina-interactiegegevens en technische metadata.

Verwerkingslocatie en doorgifte: Clarity-data wordt opgeslagen in Microsoft Azure. Voor EU-klanten is Microsoft Ireland Operations Limited de contractuele EU-entiteit; internationale doorgiften binnen de Microsoft-groep vinden plaats overeenkomstig de toepasselijke Microsoft-voorwaarden en geldige doorgiftemechanismen.

5. Externe ontwikkelaars, freelancers en softwarebureaus

Fanorg kan voor ontwikkeling, onderhoud, beheer, support, beveiliging of specialistische werkzaamheden een externe ontwikkelaar, freelancer of softwarebureau inschakelen.

Wanneer zo’n partij voor de uitvoering toegang krijgt tot persoonsgegevens die Fanorg namens Opdrachtgever verwerkt:

• wordt de identiteit van de betreffende partij vóór de relevante verwerking in het klantspecifieke subverwerkersoverzicht opgenomen;
• beperkt Fanorg de toegang tot hetgeen voor de opdracht noodzakelijk is;
• wordt de partij passend tot vertrouwelijkheid gehouden;
• legt Fanorg waar artikel 28 AVG dit vereist gelijkwaardige gegevensbeschermingsverplichtingen op;
• kiest Fanorg waar redelijk mogelijk voor een partij gevestigd in de Europese Unie/EER; en
• wordt bij verwerking buiten de EER een geldig doorgiftemechanisme toegepast.

Een externe ontwikkelaar, freelancer of softwarebureau krijgt niet standaard toegang tot productiegegevens of klantomgevingen; de concrete toegang volgt uit de betreffende opdracht en technische noodzaak.

6. Domeinregistratie, registrars en registries

Fanorg kan voor domeinregistratie, verlenging, beheer en verhuizing gebruikmaken van Porkbun LLC en van andere registrars of registries die voor de betreffende domeinnaam, TLD of technische inrichting passend zijn. Porkbun is een door Fanorg gebruikte registrar, maar Fanorg is niet aan één registrar gebonden. Welke registrar voor een concrete registratie wordt gebruikt, wordt vóór de relevante registratie of verwerking kenbaar gemaakt voor zover dat voor de betrokken Opdrachtgever of verwerking relevant is.

Voor domeinregistratie kunnen onder meer naam, contactgegevens, registrantgegevens, domeinnaamgegevens, verificatiegegevens en technische registratiegegevens aan de gekozen registrar en de relevante registry worden verstrekt. De verwerking vindt plaats overeenkomstig de toepasselijke registrar-, registry-, ICANN-, privacy- en wettelijke verplichtingen.

Privacyrol: een registrar of registry treedt voor registrar-, registry-, ICANN-, fraudepreventie-, beveiligings- en eigen wettelijke verplichtingen in beginsel op als zelfstandig verwerkingsverantwoordelijke voor de verwerkingen waarvan deze partij zelf doel en wezenlijke middelen bepaalt. Alleen voor zover een registrar of andere partij bij een afzonderlijke concrete verwerking aantoonbaar uitsluitend namens Fanorg persoonsgegevens verwerkt, wordt die partij voor die verwerking als subverwerker behandeld en gelden de daarvoor toepasselijke afspraken uit de Verwerkersovereenkomst.

Wanneer Fanorg een andere registrar dan Porkbun gebruikt en die partij voor een concrete verwerking als directe subverwerker optreedt, wordt deze vóór de relevante verwerking aan het klantspecifieke overzicht toegevoegd overeenkomstig artikel V4 van de Verwerkersovereenkomst. Een registrar die voor de betreffende verwerking zelfstandig verwerkingsverantwoordelijke is, wordt als zodanig kenbaar gemaakt en niet ten onrechte als subverwerker aangeduid.

7. Verdere subverwerkers

Directe subverwerkers kunnen voor onderdelen van hun dienstverlening verdere subverwerkers inschakelen. Fanorg houdt voor de betreffende verwerking de actuele relevante verwerkingsketen beschikbaar en mag daarvoor gebruikmaken van de door de directe leverancier bijgehouden subverwerkersinformatie.

Voor daadwerkelijk relevante verdere subverwerkers zorgt Fanorg ervoor dat voor de concrete verwerking ten minste de naam, het vestigingsadres of andere voldoende specifieke vestigingsgegevens en een geschikte contactpersoon of een geschikt privacycontactpunt beschikbaar zijn. Fanorg mag hiervoor gebruikmaken van een actueel en voldoende toegankelijk register of een subverwerkerslijst van de betreffende directe leverancier. Indien de noodzakelijke identiteit- of contactinformatie daarin ontbreekt, vraagt Fanorg deze waar nodig binnen de verwerkingsketen op en stelt zij de verkregen informatie zonder onredelijke vertraging beschikbaar. Fanorg hoeft dezelfde leveranciersinformatie niet daarnaast volledig op deze openbare pagina te dupliceren wanneer een actuele, voldoende toegankelijke bron uit de verwerkingsketen beschikbaar is.

8. Internationale doorgiften

Wanneer persoonsgegevens buiten de EER worden verwerkt of doorgegeven aan een land waarvoor geen adequaatheidsbesluit geldt, gebruikt Fanorg een rechtsgeldig doorgiftemechanisme. Dit kan onder meer bestaan uit:

• een adequaatheidsbesluit;
• toepasselijke Standard Contractual Clauses;
• bindende bedrijfsvoorschriften;
• het EU-U.S. Data Privacy Framework wanneer de betrokken organisatie daarvoor rechtsgeldig is gecertificeerd en daarop mag worden gesteund; of
• een ander volgens hoofdstuk V AVG toegestaan doorgiftemechanisme.

Waar vereist worden aanvullende technische, organisatorische of contractuele waarborgen toegepast.

9. Klantspecifiek overzicht en wijzigingen

Voor iedere Opdrachtgever geldt uitsluitend de subset van leveranciers en externe partijen die daadwerkelijk voor diens Dienst wordt ingezet.

Fanorg maakt de bij aanvang gebruikte directe subverwerkers vóór de relevante verwerking kenbaar. Bij toevoeging of vervanging van een subverwerker volgt Fanorg artikel V4 van de Verwerkersovereenkomst, waaronder de toepasselijke voorafgaande informatie en bezwaarmogelijkheid.

Fanorg houdt voor Opdrachtgever een actueel klantspecifiek overzicht beschikbaar met:

• identiteit van de directe subverwerker;
• relevante functie of verwerkingsactiviteit;
• land of relevante verwerkingsregio;
• de daadwerkelijk relevante verdere verwerkingsketen, met de identiteit- en contactinformatie die nodig is om de betreffende directe en verdere subverwerkers redelijkerwijs vast te stellen; en
• het toepasselijke doorgiftemechanisme bij doorgifte buiten de EER.

Fanorg mag dit overzicht verstrekken via e-mail, klantomgeving, een klantspecifiek uittreksel of een actuele verwijzing naar de relevante leveranciersregisters, mits Opdrachtgever de voor zijn verwerking relevante keten redelijkerwijs kan vaststellen.