Bijlage 3: lijst van de subverwerkers
Versie van 24 september 2026
Deze lijst vormt Bijlage 3 bij de verwerkersovereenkomst gesloten tussen DCNG SRL, uitgever van het platform Onelia, en elk van haar klanten. Zij wordt bijgewerkt volgens de procedure bepaald in artikel 9 van die overeenkomst: elke toevoeging of vervanging van een subverwerker wordt per e-mail meegedeeld aan de beheerder van het account van elke klant en ten minste vijftien dagen vóór de inwerkingtreding gepubliceerd op het bovenvermelde adres, waarbij de klant over die termijn beschikt om een met redenen omkleed bezwaar te richten aan het adres privacy@dcng.be. De bijwerkingen van deze lijst wijzigen de tekst van de overeenkomst niet en vergen geen nieuwe aanvaarding.
Behoudens andersluidende vermelding worden de persoonsgegevens binnen de Europese Unie verwerkt. Wanneer een doorgifte naar een derde land wordt vastgesteld, wordt het toepasselijke doorgiftemechanisme aangegeven: standaardcontractbepalingen van de Europese Commissie, hierna “SCB” genoemd, of certificering onder het EU-VS-kader voor gegevensbescherming (Data Privacy Framework), hierna “DPF” genoemd, in voorkomend geval gecumuleerd.
1. Subverwerkers die tussenkomen in de levering van de Dienst
| Subverwerker | Rol | Betrokken gegevens | Plaats van verwerking en doorgifte | Contractueel kader |
|---|---|---|---|---|
| Supabase Pte. Ltd (Singapore), groep Supabase Inc. (Verenigde Staten), infrastructuur Amazon Web Services | Databank, authenticatie, opslag van de bestanden en serverlogica: voornaamste hosting van alle Klantgegevens | Alle categorieën van Bijlage 1 | Europese Unie, regio Ierland; de opslag en de voornaamste verwerking zijn contractueel beperkt tot de gekozen regio. Eventuele toegang op afstand vanuit een derde land omkaderd door SCB | Ondertekende verwerkersovereenkomst, SCB, SOC 2 type 2, ISO/IEC 27001. Dienstverleners in cascade: lijst gevoegd bij de verwerkersovereenkomst van de dienstverlener |
| Journey Mobile, Inc. (PowerSync) (Verenigde Staten) | Dienst voor de synchronisatie zonder verbinding van de mobiele applicatie: de naar de toestellen gesynchroniseerde gegevens passeren langs die dienst en worden er gebufferd | Gegevens die naar de mobiele applicatie worden gesynchroniseerd | Europese Unie: specifieke instantie in de regio Ierland. Eventuele toegang vanuit de Verenigde Staten omkaderd door SCB | Medeondertekende verwerkersovereenkomst, SCB. Lijst van de dienstverleners in cascade: powersync.com/legal/subprocessors |
| OVH SAS (OVHcloud) (Frankrijk) | Hosting van het webportaal app.onelia.be op een virtuele private server, van de website onelia.be, van het domein en van de mailboxen, waaronder de supportmailbox; terbeschikkingstelling van de antwoordpagina voor de agenda-uitnodigingen en doorsturen van de agendastroom | Alle gegevens die op het portaal worden weergegeven of ingevoerd, tijdens de doorzending; gegevens die in de supportmeldingen voorkomen; tokens die in de agenda-abonnementsadressen voorkomen, in de logbestanden van de server | Europese Unie (Frankrijk) | Verwerkersovereenkomst opgenomen in de voorwaarden van de dienstverlener; certificeringen ISO/IEC 27001, 27017 en 27018 |
| Cloudflare, Inc. | Opslag van de back-upkopieën van de bestanden, door Onelia versleuteld vóór verzending, tijdelijke plaatsing van de teruggave-exports en verspreiding van de publieke media van de website | Back-ups van bestanden in versleutelde vorm, bestandsnamen inbegrepen; teruggave-exports in leesbare vorm, gewist na zeven dagen | Europese Unie: opslagrechtsgebied vastgelegd op de betrokken opslagruimten | Verwerkersovereenkomst opgenomen in de voorwaarden van de dienstverlener, SCB |
| GitHub, Inc. (groep Microsoft) | Geautomatiseerde uitvoering van de back-uptaken en van de aanmaak van de teruggave-exports | Doorvoer van de back-upgegevens en van de exports in het geheugen van de uitvoeringsservers tijdens de taak, vóór versleuteling en opslag; bewaring van de versleutelde back-upartefacten gedurende negentig dagen | Doorvoer buiten de Europese Unie mogelijk, aangezien de uitvoeringsinfrastructuur niet toelaat een regio te kiezen; doorgifte omkaderd door SCB en door de DPF-certificering van Microsoft | Verwerkersovereenkomst opgenomen in het klantencontract van de dienstverlener, onderschreven in naam van DCNG SRL |
| MINDBAZ SAS (Sweego), 19 rue d’Amiens, 59800 Lille (Frankrijk), RCS 893 278 382 | Verzending van de transactionele e-mails van de Dienst, met inbegrip van de gevoegde documenten, de notificaties, de aanmeldingse-mails en de waarschuwingen; ontvangst van de antwoorden van de eindklanten op de agenda-uitnodigingen | E-mailadressen van de bestemmelingen, inhoud van de e-mails en bijlagen die de identiteit van de eindklanten bevatten; e-mailadres en antwoord van de uitgenodigde eindklanten | Europese Unie (Frankrijk): hosting bij in Frankrijk gevestigde dienstverleners; geen enkele doorgifte naar een derde land | Verwerkersovereenkomst opgenomen in de voorwaarden van de dienstverlener, versie van 15 juli 2026; logbestanden dertig dagen bewaard; dienstverleners in cascade allen in de Europese Unie gevestigd |
| Google Ireland Limited / Google LLC (Firebase Cloud Messaging) | Routering van de pushnotificaties naar de Android- en iOS-toestellen | Toesteltokens en teksten van de notificaties, beperkt tot het nummer van het document en het tijdstip, met uitsluiting van de naam van de eindklanten | Wereldwijde dienst zonder gewaarborgde plaats van verwerking; doorgifte omkaderd door de DPF-certificering van Google en door SCB | Voorwaarden inzake gegevensverwerking en gegevensbeveiliging van Firebase |
| Apple Distribution International Ltd (Apple Push Notification service) | Routering van de pushnotificaties naar de iOS-toestellen | Toesteltokens en teksten van de notificaties, beperkt tot het nummer van het document en het tijdstip | Wereldwijde dienst; doorgifte omkaderd door de DPF-certificering van Apple | Licentieovereenkomst van het Apple-ontwikkelaarsprogramma en voorwaarden die op de notificatiedienst van toepassing zijn |
| Functional Software, Inc. (Sentry) | Verzameling van de technische foutrapporten van de applicatie en van het portaal | Geen enkel persoonsgegeven door configuratie; vermeld ter transparantie | Europese Unie | Verwerkersovereenkomst opgenomen in de voorwaarden van de dienstverlener |
| BRBX BV (Recommand) (België) | Toegangspunt tot het Peppol-netwerk: uitreiking van de gestructureerde elektronische facturen, verificatie van de identiteit van de onderneming, adresboek | Facturatiegegevens van de uitgereikte facturen, met identiteit, adressen en bedragen; identificatiegegevens van de wettelijke vertegenwoordiger van de Klant bij de activering, rechtstreeks door hem aan de dienstverlener verstrekt | Europese Unie | Verwerkersovereenkomst opgenomen in de voorwaarden van de dienstverlener. Dienstverleners in cascade: recommand.eu/en/legal/subprocessors, waaronder Didit voor de identiteitsverificatie. Enkel actief voor de klanten die de elektronische facturatie activeren |
| KEPTAGO LTD (Geoapify) (Cyprus) | Levering van de kaartlagen die in de mobiele applicatie worden weergegeven | IP-adres van het toestel en geraadpleegde kaartzones; er wordt geen enkel adres van een eindklant doorgezonden | Uitsluitend Europese Unie en Europese Economische Ruimte | Verwerkersovereenkomst opgenomen in de voorwaarden van de dienstverlener |
2. Geraadpleegde openbare diensten, buiten subverwerking
Voor de verificatie van de btw-nummers en van de ondernemingsgegevens alsook voor de suggestie en de geocodering van adressen in Frankrijk en in Luxemburg bevraagt de Dienst officiële openbare diensten: het VIES-systeem van de Europese Commissie, de Kruispuntbank van Ondernemingen, de Base Adresse Nationale en het geoportaal van de Luxemburgse Staat. De ingevoerde gegevens worden als bevraging aan die diensten doorgezonden, die ze onder hun eigen verantwoordelijkheid verwerken; Onelia slaat daar niets op. De Belgische adressen worden verwerkt met behulp van een adressenbank die door Onelia wordt gehost en worden aan geen enkele derde doorgezonden. Die diensten zijn geen subverwerkers van Onelia en worden ter transparantie vermeld.
3. Door de Klant gekozen ontvangers, buiten subverwerking
De agendaleveranciers waarop een Gebruiker zijn planning kiest te abonneren, met name Google, Microsoft en Apple, zijn geen subverwerkers van Onelia. Onelia stelt een agendabestand ter beschikking achter een adres dat een geheim bevat en het is de door de Gebruiker gekozen agendasoftware die het komt lezen; Onelia stuurt uit eigen beweging geen enkel gegeven naar die leveranciers en onderhoudt met hen geen enkele contractuele relatie. Zij zijn ontvangers van de Klant in de zin van artikel 4, punt 9), van de AVG, onder de voorwaarden beschreven in artikel 6 van de Overeenkomst. Die kwalificatie zou opnieuw moeten worden onderzocht indien de Dienst de gegevens zelf naar die diensten zou beginnen te sturen, met name door middel van een bidirectionele synchronisatie.
4. Eigen instrumenten van de uitgever, buiten het toepassingsgebied
De externe beschikbaarheidsmonitor, die enkel een publiek controlepunt aanroept dat een werkingsstatus teruggeeft, en de monitor voor merkbewaking, die enkel zoektermen naar een publieke databank stuurt, verwerken geen enkel persoonsgegeven van de klanten en komen niet voor in deze lijst. Zij worden vermeld in het interne register van de verwerkingen van Onelia.