Bijlage A – Subverwerkers

De onderstaande lijst beschrijft de subverwerkers die voor de huidige Basisfunctie van Herroepingsfunctie.nl worden ingeschakeld. De actuele openbare versie wordt bij iedere beoogde toevoeging of vervanging vooraf bijgewerkt en de Webshop wordt daarover geïnformeerd volgens artikel 8. Waar hieronder een locatie, doorgiftemechanisme of rol is vermeld, betreft dit de op de in de kop genoemde datum bekende situatie; er wordt geen ruimere garantie gegeven dan wat de betrokken leverancier zelf openbaar vastlegt.

A.1 Lovable Labs Incorporated

• Adres: 1111b South Governors Avenue, Dover, Delaware 19904, Verenigde Staten.
• Rol: managed applicatieplatform, hosting, serverfuncties, database- en authenticatie-integratie, opslag en technisch beheer.
• Positie in de keten: directe subverwerker van MarketingCollega B.V. voor de persoonsgegevens die MarketingCollega namens Webshops verwerkt. Voor de gegevens waarvoor MarketingCollega zelf verwerkingsverantwoordelijke is (zoals account- en ondersteuningsgegevens), treedt Lovable op als verwerker van MarketingCollega.
• Persoonsgegevens: account- en verzoekgegevens, applicatiegegevens, Verklaringen, e-mailstatussen en technische logs.
• Doorgifte: door de Europese Commissie vastgestelde EU-standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914). Module 2 (verwerkingsverantwoordelijke naar verwerker) geldt wanneer MarketingCollega verwerkingsverantwoordelijke is; Module 3 (verwerker naar subverwerker) geldt wanneer MarketingCollega verwerker is. Waar van toepassing geldt daarnaast het UK-addendum.
• Contractketen: de Lovable-verwerkersovereenkomst (versie van 17 november 2025) vormt onderdeel van de toepasselijke overeenkomst en het Business-abonnement van MarketingCollega B.V. en is ondertekend beschikbaar in het interne dossier. Lovable heeft een functionaris voor gegevensbescherming (dpo@lovable.dev) en een vertegenwoordiger (Assenteo Ltd, per adres Lovable Labs AB, Box 190, 101 23 Stockholm, Zweden).
• Certificering: Lovable verklaart in die verwerkersovereenkomst SOC 2 Type II en ISO 27001 aan te houden voor de duur van de overeenkomst. Dit is een verklaring van Lovable en geen certificering van MarketingCollega B.V. of van Herroepingsfunctie.nl.

A.2 Supabase Pte. Ltd. (via Lovable)

• Rol: managed PostgreSQL-database, authenticatie en opslag binnen de Lovable-managed omgeving.
• Persoonsgegevens: webshopaccounts, instellingen, Verklaringen, e-mailstatussen en technische identifiers.
• Locatie: de primaire projectdatabase draait aantoonbaar in AWS-regio eu-west-1 (Ierland); Lovable vermeldt voor Supabase standaard de EU als verwerkingsregio. Dit is geen garantie dat alle ondersteunende verwerking, logging of toegang uitsluitend binnen de Europese Economische Ruimte plaatsvindt.
• Doorgifte: via de contractuele keten met Lovable en de daarin toepasselijke EU-standaardcontractbepalingen.

A.3 Amazon Web Services, Inc. (via Lovable en/of Supabase)

• Rol: onderliggende cloudinfrastructuur, opslag en aanvullende platformdiensten voor de database.
• Persoonsgegevens: versleutelde database- en infrastructuurgegevens en technische metadata voor zover de keten die gebruikt.
• Locatie: de primaire databaseworkload staat in Ierland. Lovable vermeldt Amazon Web Services in zijn algemene platformlijst met de Verenigde Staten als regio, zodat ondersteunende verwerking buiten de Europese Economische Ruimte kan plaatsvinden. Een specifieke back-upregio of bewaartermijn wordt hier niet vastgelegd, omdat die niet als vaststaand gegeven is bevestigd.
• Doorgifte: via de contractuele keten met Lovable en/of Supabase, met de daarin toepasselijke waarborgen.

A.4 Cloudflare, Inc.

• Vestiging: Verenigde Staten.
• Rol: edge-beveiliging en Cloudflare Turnstile voor bot- en misbruikpreventie.
• Persoonsgegevens: onder meer IP-adres, browser- en apparaatsignalen, TLS-signalen, user-agent, sitekey en origin.
• Locatie: wereldwijd netwerk; primaire opslag en verwerking kunnen zowel in de Verenigde Staten als in de Europese Economische Ruimte plaatsvinden.
• Doorgifte: EU-U.S. Data Privacy Framework en waar nodig EU-standaardcontractbepalingen.
• Nuance: Cloudflare handelt voor de beveiliging van onze dienst als verwerker en voor de verbetering van de algemene Turnstile-botdetectie gedeeltelijk als zelfstandig verwerkingsverantwoordelijke. Er wordt geen exacte Turnstile-bewaartermijn vermeld, omdat die niet publiek is vastgesteld.

A.5 Plus Five Five, Inc., handelend onder de naam Resend

• Vestiging: Verenigde Staten.
• Rol: transactionele verzending van ontvangstbevestigingen aan de consument en de Webshop.
• Persoonsgegevens: ontvangeradres, afzendergegevens, onderwerp, berichtinhoud, verzendmetadata en afleverstatus.
• Locatie: primaire verwerking en account- en loggegevens in de Verenigde Staten. Verzending kan via de regio Ierland verlopen; dat betekent niet dat alle verwerking binnen de Europese Economische Ruimte blijft.
• Doorgifte: EU-U.S. Data Privacy Framework en EU-standaardcontractbepalingen.
• Bewaartermijn: er wordt geen exacte operationele bewaartermijn voor individuele e-mails of logs vermeld; die is niet als vaststaand gegeven bevestigd.

A.6 Antagonist B.V.

• Vestiging: Nederland, KvK 09136441.
• Rol: hosting van de mailbox info@herroepingsfunctie.nl en de bijbehorende e-mailinfrastructuur. Daardoor kan Antagonist ondersteunings-, probleem- en verwijderverzoeken verwerken die per e-mail worden ingediend.
• Persoonsgegevens: e-mailadres, naam, berichtinhoud en verzendmetadata van inkomende en uitgaande berichten via die mailbox.
• Contractketen: de verwerkersovereenkomst van Antagonist is opgenomen als bijlage bij de toepasselijke algemene voorwaarden van Antagonist.

A.7 Mailgun (via Lovable)

Door Lovable gebruikte infrastructuur voor transactionele e-mail en e-maildomeinbeheer, voor zover deze infrastructuur voor de authenticatiemails van Herroepingsfunctie.nl wordt gebruikt. Lovable vermeldt Mailgun in zijn algemene platformlijst met de Verenigde Staten als regio. Mailgun is geen rechtstreekse contractpartij van MarketingCollega B.V.; de verhouding loopt volledig via de keten met Lovable.

A.8 Overige subverwerkers van het Lovable-platform

Lovable kan voor onderdelen van zijn platform verdere subverwerkers inschakelen conform zijn actuele Trust Center-lijst; die lijst bevat naast de hierboven genoemde partijen onder meer Google Cloud Platform (EU), Cloudflare (wereldwijd), GitHub, Vercel, Stripe, Intercom en diverse analytics-, observability- en AI-leveranciers. Niet iedere leverancier op die algemene lijst ontvangt noodzakelijk persoonsgegevens van Herroepingsfunctie.nl: of dat gebeurt hangt af van de platformfuncties die wij daadwerkelijk gebruiken. Wij gebruiken geen AI-functies binnen de Basisfunctie, zodat de AI-leveranciers op die lijst voor onze verwerking niet in beeld komen. Deze bijlage benoemt daarom de leveranciers die voor de Basisfunctie relevant zijn, en verwijst voor de volledige algemene platformlijst naar het Lovable Trust Center.

Marketing-, advertentie- of externe analyticsleveranciers maken geen onderdeel uit van de huidige Basisfunctie.