Overzicht Subverwerkers Symphoria

Aanvulling op de Algemene voorwaarden en verwerkersovereenkomst Symphoria B.V. (versie 4 oktober 2026). Laatst bijgewerkt: 4 oktober 2026.

Symphoria B.V. (Symphoria) schakelt voor het leveren van het Platform de onderstaande subverwerkers in, als bedoeld in artikel 5 van de Verwerkersovereenkomst (Bijlage 1 bij de Algemene voorwaarden). Dit is de actuele lijst waarnaar de Verwerkersovereenkomst verwijst. Symphoria informeert Klant per e-mail over voorgenomen wijzigingen; Klant kan binnen veertien (14) dagen na kennisgeving Schriftelijk en gemotiveerd bezwaar maken.

Naam Subverwerker	Soort Verwerking	Persoonsgegevens die worden verwerkt	Land van Opslag & Vestiging	Waarborgen
TransIP B.V.	Hosting van het Platform (applicatie, databases per werkruimte, wachtrijen en cache) Opslag van Klantdata, waaronder bestanden, documenten en audio Dagelijkse back-ups	Alle Klantdata, waaronder: Naam, zakelijk e-mailadres en overige zakelijke contactgegevens, functie, gebruikers-ID, rollen en toegangsgegevens IP-adres, browsertype en apparaatgegevens Documentinhoud, berichten, e-mail- en agendagegevens Audio, stemgeluid, sprekerlabels en transcripties Prompts, Output, kennisbankindexen en embeddings Alle door Verwerkingsverantwoordelijke zelf aangemaakte of gekoppelde gegevens	Opslag: Nederland Vestiging: Nederland	Met TransIP B.V. is een Subverwerkersovereenkomst afgesloten. TransIP B.V. is ISO 27001-gecertificeerd en NEN 7510-gecertificeerd.
Wux AI	Beheer en onderhoud van het Platform Ondersteuning (support) bij storingen en gebruiksvragen Realtime-server waarlangs antwoorden en voortgang live naar de browser van de Gebruiker worden doorgegeven	Naam, e-mailadres, gebruikers-ID en rollen Gegevens die in een melding of storing worden genoemd Waar nodig voor het oplossen van een melding: gelogd en tijdelijk inzicht in Klantdata Tekst van antwoorden en voortgangsberichten (alleen doorgifte, geen opslag)	Opslag: Nederland Vestiging: Nederland	Met Wux AI is een Subverwerkersovereenkomst afgesloten. Toegang tot Klantdata is beperkt tot het noodzakelijke, wordt gelogd en vindt uitsluitend plaats vanuit de EU.
OpenRouter, Inc.	Doorgeefluik (router) naar AI-modellen voor chat en antwoorden, samenvattingen en titels van opnames, veiligheidscontrole van invoer en uitvoer, beschrijving van afbeeldingen en het indexeren en doorzoeken van kennisbanken (embeddings)	Vragen, instructies en Prompts van Gebruikers Fragmenten uit kennisbanken, documenten, e-mail, agenda en transcripties die voor een antwoord nodig zijn Afbeeldingen en beelden van documentpagina's Output van het model Alle door Verwerkingsverantwoordelijke zelf aangemaakte velden in die fragmenten	Opslag: Europese Unie (geen bewaring van inhoud) Vestiging: Verenigde Staten	Met OpenRouter is een Subverwerkersovereenkomst afgesloten. Verzoeken gaan uitsluitend via het EU-endpoint (eu.openrouter.ai) naar modelaanbieders met een endpoint in de EU en zero data retention. OpenRouter slaat prompts en antwoorden niet op en gebruikt ze niet voor training. Doorgifte buiten de EER is gebaseerd op adequaatheidsbesluiten en de modelcontractbepalingen van de Europese Commissie.
Google (Google Cloud, Vertex AI)	Uitvoeren van AI-modellen (Anthropic Claude en Google Gemini) en embeddings op Vertex AI, ingeschakeld via OpenRouter	Vragen, instructies en Prompts van Gebruikers Fragmenten uit kennisbanken, documenten, e-mail, agenda en transcripties die voor een antwoord nodig zijn Afbeeldingen en beelden van documentpagina's Output van het model Alle door Verwerkingsverantwoordelijke zelf aangemaakte velden in die fragmenten	Opslag: Europese Unie (geen bewaring van inhoud) Vestiging: Ierland	Ingeschakeld via OpenRouter, uitsluitend op Europese regio's en endpoints met zero data retention. Geen gebruik voor training. Google is ISO 27001-gecertificeerd.
Microsoft (Azure)	Spraak-naar-tekst (transcriptie en sprekerherkenning) van opnames en geüploade audio met Azure Speech Uitvoeren van OpenAI-modellen op Azure, ingeschakeld via OpenRouter	Audio en stemgeluid van opnames en geüploade bestanden Gesproken tekst, sprekerlabels en tijdstempels Woordenlijst met termen, namen van deelnemers en werkruimtenaam (ter verbetering van de herkenning) Prompts, fragmenten, afbeeldingen en Output (OpenAI-modellen)	Opslag: Europese Unie (geen bewaring van inhoud) Vestiging: Ierland	Met Microsoft is een Subverwerkersovereenkomst afgesloten. Azure Speech draait uitsluitend in een Europese Azure-regio; OpenAI-modellen worden via OpenRouter alleen op Europese Azure-endpoints met zero data retention gebruikt. Geen gebruik voor training. Microsoft is ISO 27001-gecertificeerd.
Amazon Web Services (AWS, Amazon Bedrock)	Herordenen (rerank) van zoekresultaten uit kennisbanken met Cohere Rerank op Amazon Bedrock Uitvoeren van AI-modellen op Amazon Bedrock, ingeschakeld via OpenRouter	De vraag van de Gebruiker Tekstfragmenten uit kennisbanken die als zoekresultaat zijn gevonden Via OpenRouter: Prompts, fragmenten en Output	Opslag: Europese Unie (regio Frankfurt voor rerank; geen bewaring van inhoud) Vestiging: Luxemburg	Met AWS is een Subverwerkersovereenkomst afgesloten. De rerank-dienst draait uitsluitend in de EU-regio Frankfurt (eu-central-1). Amazon Bedrock slaat prompts en antwoorden niet op, gebruikt ze niet voor training en deelt ze niet met de modelaanbieder. AWS is ISO 27001-gecertificeerd.
Mistral AI	Tekstherkenning (OCR) van PDF's, presentaties en scans Spraak-naar-tekst (Voxtral) als reserve voor transcriptie	Inhoud van documenten, scans en paginabeelden Audio, stemgeluid en gesproken tekst Alle door Verwerkingsverantwoordelijke zelf aangemaakte velden in die documenten	Opslag: Europese Unie Vestiging: Frankrijk	Met Mistral AI is een Subverwerkersovereenkomst afgesloten. Mistral AI verwerkt gegevens binnen de EU en gebruikt gegevens uit de API niet voor training. Mistral AI is ISO 27001- en ISO 27701-gecertificeerd.
Recall.ai	Vergaderbot die, op verzoek van Klant, aansluit bij een online vergadering (Google Meet of Microsoft Teams), deze opneemt en transcribeert. Alleen indien Klant de vergaderbot gebruikt	Audio en video van de vergadering, stemgeluid Namen van deelnemers en sprekerlabels Transcriptie Vergaderlink en tijdstip	Opslag: Europese Unie (Frankfurt) Vestiging: Verenigde Staten	Met Recall.ai is een Subverwerkersovereenkomst afgesloten. Symphoria gebruikt uitsluitend de EU-regio: opnames, media en deelnemersgegevens worden alleen in die regio verwerkt en opgeslagen. Symphoria laat de kopie bij Recall.ai zeven dagen na een geslaagde import verwijderen. Alleen technische gegevens van de botopdracht (zoals de vergaderlink en het tijdstip) kunnen voor foutopsporing buiten de EU worden verwerkt.
Decodo	Zoeken op het web en ophalen van webpagina's (via proxy- en scrapingdiensten) wanneer een Gebruiker of assistent dit vraagt, en voor websitebronnen in kennisbanken	Zoekopdrachten en webadressen (URL's); deze kunnen persoonsgegevens bevatten als een Gebruiker die zelf opneemt Openbare webinhoud die als resultaat wordt teruggegeven	Opslag: Geen bewaring van inhoud (alleen verbindingsmetadata) Vestiging: Litouwen	Met Decodo (UAB Data troops) is een Subverwerkersovereenkomst afgesloten. Er worden alleen zoekopdrachten en URL's verstuurd, nooit bestanden of kennisbankinhoud. Decodo logt de inhoud van het verkeer niet en bewaart verbindingsmetadata maximaal 90 dagen na afloop van de factuurperiode.
fal.ai	Afbeeldingen en video's maken of bewerken. Alleen indien een Beheerder dit voor de werkruimte inschakelt (standaard uit)	Beschrijving (Prompt) van de gewenste afbeelding of video Door de Gebruiker meegestuurde referentieafbeeldingen Het resultaat (afbeelding of video)	Opslag: Verenigde Staten Vestiging: Verenigde Staten	Met fal.ai is een Subverwerkersovereenkomst afgesloten. Deze functie staat standaard uit. Bij activering vindt, op instructie van Klant, verwerking buiten de EU plaats (artikel 6 van de Verwerkersovereenkomst); dit geldt niet voor de overige functies. fal.ai is SOC 2 Type II-gecertificeerd.
Lettermint B.V.	Verzenden van e-mail door het Platform (uitnodigingen, wachtwoordherstel, verificatie, notificaties en facturen)	Naam en e-mailadres van de ontvanger Inhoud van de e-mail, inclusief eventuele uitnodigings- of herstellinks Bezorgstatus en tijdstip	Opslag: Europese Unie Vestiging: Nederland	Met Lettermint B.V. is een Subverwerkersovereenkomst afgesloten. Lettermint verwerkt e-mailgegevens in de eigen Europese bezorginfrastructuur binnen de EU en gebruikt ze niet voor eigen doeleinden. Lettermint treft passende technische en organisatorische beveiligingsmaatregelen conform de AVG.
Mollie B.V.	Afhandelen van online betalingen en automatische incasso voor het Abonnement en extra Tokens	Naam en e-mailadres van de Beheerder of contactpersoon Bedrijfs- en factuurgegevens Betaalgegevens (zoals gemaskeerd IBAN of kaartnummer) en betaalstatus	Opslag: Europese Unie Vestiging: Nederland	Met Mollie is een Verwerkersovereenkomst afgesloten. Mollie treft passende technische en organisatorische beveiligingsmaatregelen conform de AVG. Voor wettelijk verplichte controles op betalingen treedt Mollie als zelfstandig verwerkingsverantwoordelijke op.
TransIP B.V.	Hosting van de website/software en opslag van data. Daarnaast domeinregistratie.	NAW-gegevens E-mailadres IP-adres Browsertype Device type E-mailclient Alle door Verwerkingsverantwoordelijke zelf aangemaakte velden	Opslag: Nederland Vestiging: Nederland	Met TransIP B.V. is een Subverwerkersovereenkomst afgesloten. TransIP B.V. is ISO 27001-gecertificeerd en NEN 7510-gecertificeerd.
Google	E-mailopslag Dataopslag	NAW-gegevens E-mailadres IP-adres Browsertype Device type E-mailclient Alle door Verwerkingsverantwoordelijke zelf aangemaakte velden	Opslag: EER Vestiging: Ierland	Met Google is een Subverwerkersovereenkomst afgesloten. Google is ISO 27001-gecertificeerd.
Teamleader N.V.	CRM Relatiebeheer Offertes en facturatie Klantcommunicatie	NAW-gegevens E-mailadres Telefoonnummer Bedrijfsgegevens Contacthistorie Factuurgegevens Alle door Verwerkingsverantwoordelijke zelf aangemaakte velden	Opslag: EER Vestiging: België	Met Teamleader N.V. is een Verwerkersovereenkomst afgesloten. Teamleader treft passende technische en organisatorische beveiligingsmaatregelen conform de AVG.
Brevo	E-mailmarketing Transactionele e-mails Marketingautomatisering	Naam E-mailadres IP-adres Interactie- en communicatiedata Alle door Verwerkingsverantwoordelijke zelf aangemaakte velden	Opslag: Europese Unie Vestiging: Frankrijk	Met Brevo is een Verwerkersovereenkomst afgesloten. Brevo treft passende technische en organisatorische beveiligingsmaatregelen conform de AVG.

Toelichting

Klantdata, Prompts en Output worden door Symphoria en haar subverwerkers niet gebruikt voor training of fine-tuning van modellen (artikel 2 van de Verwerkersovereenkomst).
Google, Microsoft en AWS zijn opgenomen omdat zij, via OpenRouter, feitelijk Klantdata verwerken bij het uitvoeren van AI-modellen. Anthropic, OpenAI en Cohere ontvangen zelf geen Klantdata: hun modellen draaien binnen de genoemde cloudomgevingen.
Niet opgenomen zijn diensten die Klant zelf koppelt of gebruikt, zoals Google Workspace, Microsoft 365 en andere Connectors. Voor die diensten gelden de afspraken tussen Klant en de betreffende aanbieder (artikel 1 van de Verwerkersovereenkomst).
Functies die gegevens buiten de EU verwerken, zoals het maken van afbeeldingen en video's, zijn standaard uitgeschakeld en worden alleen op instructie van Klant geactiveerd (artikel 6 van de Verwerkersovereenkomst).
Vragen of bezwaren? Neem contact op via hello [at] symphoria [dot] io.