De partijen die KND inzet voor de levering van Functio, met hun functie, de verwerkte gegevens, hun locatie en de grondslag voor doorgifte.
Voor de levering van Functio schakelt KND de volgende subverwerkers in, waarmee verwerkersovereenkomsten zijn gesloten. KND informeert klanten bij wijzigingen in deze lijst.
| Subverwerker | Functie | Verwerkte gegevens | Locatie | Grondslag doorgifte |
|---|---|---|---|---|
| ServiceChanger B.V. | Ontwikkeling, hosting en technisch beheer | Toegang tot in Functio verwerkte gegevens t.b.v. beheer | Nederland (EU) | Binnen EER |
| Supabase, Inc. | Database en authenticatie (hoofdopslag) | Functieprofielen, waarderingen, gebruikersgegevens | EU, Ierland (AWS eu-west-1) | Binnen EER |
| Vercel Inc. | Applicatiehosting | Verkeer en sessiegegevens; geen permanente opslag van inhoud | EU, Dublin (Ierland); Vercel Inc. in de VS | DPA + SCC’s |
| OpenAI, L.L.C. | AI-generatie van functie- en roltekst | Functie- en roltekst; bij scanfunctie ook document- of vacaturetekst (zie toelichting) | VS | DPA + SCC’s; niet voor training; max. 30 dagen |
| AWS (eigen KND-S3) | Wekelijkse onafhankelijke back-up | Versleutelde export van database en code, inclusief naam en e-mailadres | EU | Binnen EER |
| Resend, Inc. | Verzenden van accountmails (uitnodiging, wachtwoordreset, inlog) | E-mailadres van de ontvanger en inhoud van accountmails; geen profielinhoud | VS | DPA + SCC’s |
Supabase is de hoofdopslag. Alle door Functio bewaarde persoonsgegevens staan in een EU-datacenter.
Vercel draait de applicatie in de EU-regio Dublin. Vercel Inc. is gevestigd in de VS; de doorgifte is afgedekt met een DPA en SCC’s.
OpenAI genereert functie- en roltekst; de functiewaardering zelf is deterministisch en gebruikt geen AI. Als de gebruiker de scanfunctie gebruikt, wordt de tekst van een geüpload document, een vacature-URL of een website naar OpenAI gestuurd om daar functievelden uit te halen. Voordat er tekst wordt verzonden, worden e-mailadressen, telefoonnummers, IBAN en BSN automatisch verwijderd; persoonsnamen worden niet automatisch verwijderd. Gebruikers worden geïnstrueerd geen persoonsgegevens in te voeren. De doorgifte is afgedekt met een DPA en SCC’s; verzonden gegevens worden niet gebruikt voor training en maximaal 30 dagen bewaard. Verwerking vindt plaats in de VS.
AWS (eigen KND-S3) ontvangt wekelijks een versleutelde export van database en code in een eigen KND-account in een EU-regio, met behoud van eerdere versies. Zo blijven data en code beschikbaar, ook los van de leverancier.
Resend verstuurt de accountmails van de app. Functieprofielen en andere inhoud gaan niet mee. Resend, Inc. is gevestigd in de VS; de doorgifte is afgedekt met een DPA en SCC’s.