# Subverwerkers van Stilops

**Versie:** 2-9-2026. **Bron van waarheid:** dezelfde lijst als in de privacyverklaring (sectie
"Subverwerkers"); een geautomatiseerde toets houdt de twee gelijk. Publiek bereikbaar via
`https://stilops.com/nalevingsregister/documenten/subverwerkers` en als tabel op
`https://stilops.com/nalevingsregister/nl`.

Dit document zegt per partij wat hij doet, waar hij verwerkt en wat de stand van de
verwerkersafspraak is — **ook waar die open is**. Er staat nergens "DPA getekend" tenzij dat als
bewijs in het nalevingsregister is vastgelegd; op 2-9-2026 is dat voor geen enkele partij het
geval.

| Partij | Doel | Land | Verwerkersafspraak (stand 2-9-2026) |
| --- | --- | --- | --- |
| Anthropic | Uitvoeren van agent-taken (het taalmodel achter elke agent), via de Claude CLI. | Verenigde Staten | Biedt een verwerkersovereenkomst met EU-modelcontractbepalingen aan; acceptatie door Stilops nog niet als bewijs vastgelegd — **open**. |
| Hetzner Online GmbH | Hosting van de servers waarop Stilops en klantgegevens draaien. | Duitsland (EU) | Verwerking binnen de EU. Hetzner biedt een AVV aan; de verificatie dat Stilops die heeft gesloten staat sinds 20-7-2026 open als bevinding — **open**. |
| Cloudflare, Inc. | DNS en verkeersbeveiliging voor de domeinen van Stilops. | Verenigde Staten | Biedt een DPA met EU-modelcontractbepalingen aan; acceptatie nog niet als bewijs vastgelegd — **open**. |
| Stripe | Betalingen en facturatiegegevens bij een betaald abonnement. | Verenigde Staten / Ierland | Biedt een DPA met EU-modelcontractbepalingen aan; acceptatie nog niet als bewijs vastgelegd — **open**. |
| MXroute | E-mailhosting van Stilops zelf: het afzenderaccount voor transactionele mail aan klanten (wachtwoord-reset, aanmeldbevestiging, uitnodigingen, ticketantwoorden, beslissingsmeldingen) en de mailboxen van Stilops' interne agents — daaronder ook de mail die interne marketing-agents naar prospects sturen (elk bericht met afmeldlink). Klant-agents hebben geen mailbox en versturen geen mail. | Verenigde Staten | **Geen** verwerkersovereenkomst en **geen** modelcontractbepalingen beschikbaar. Bewust aanvaard risico, intern vastgelegd in een besluitdocument van de eigenaar; herziening uiterlijk 9-2-2027. **Open punt, geen voldaan punt.** |

## Wat een klant hiervan mag verwachten

- Wijzigt deze lijst (nieuwe partij, ander land, andere afspraak), dan wijzigt de
  privacyverklaring mee en krijgt die een nieuw versienummer. Een toets in de repository dwingt
  af dat de namen in beide bronnen gelijk blijven.
- Een klant die bezwaar heeft tegen een subverwerker kan dat melden via info@stilops.com. Zolang
  MXroute de enige mailhost is, is een klant die geen mail via een Amerikaanse partij wil, niet
  te bedienen — dat staat hier liever dan dat het achteraf blijkt.
- De browserleverancier (Google bij Chrome, Microsoft bij Edge) verwerkt audio voor de
  spraakfuncties (dicteren, vergaderopname) op het apparaat van de gebruiker zelf; die audio
  bereikt Stilops niet. Dit staat in de privacyverklaring, maar is geen subverwerker van Stilops in
  de zin van art. 28 AVG en staat daarom niet in de tabel.

## Wat er moet gebeuren om de open punten te sluiten

1. Per partij de aangeboden DPA accepteren (meestal een klik in het klantportaal van de
   leverancier), de geaccepteerde versie als PDF archiveren en de verwijzing als bewijs zetten op
   de controls `iso27001:A.5.23`, `nis2:art.21(2)(d)` en `nen7510:5.22`.
2. Voor MXroute: een EU-mailhost met DPA kiezen, óf klanten hun eigen SMTP laten instellen
   (bestaat nog niet). Tot die tijd blijft het een open punt.