De partijen die KND inzet voor de levering van Functio, met hun functie, de verwerkte gegevens, hun locatie en de grondslag voor doorgifte.
Voor de levering van Functio schakelt KND de volgende subverwerkers in, waarmee verwerkersovereenkomsten zijn gesloten. KND informeert klanten bij wijzigingen in deze lijst.
| Subverwerker | Functie | Verwerkte gegevens | Locatie | Grondslag doorgifte |
|---|---|---|---|---|
| ServiceChanger B.V. | Ontwikkeling, hosting en technisch beheer | Toegang tot in Functio verwerkte gegevens t.b.v. beheer | Nederland (EU) | Binnen EER |
| Supabase, Inc. | Database en authenticatie (hoofdopslag) | Functieprofielen, waarderingen, gebruikersgegevens | EU, Ierland (AWS eu-west-1) | Binnen EER |
| Vercel Inc. | Applicatiehosting | Verkeer en sessiegegevens; geen permanente opslag van inhoud | EU, Dublin (Ierland); Vercel Inc. in de VS | DPA + SCC’s |
| OpenAI, L.L.C. | AI-generatie van functie- en roltekst | Functie- en roltekst; bij scanfunctie ook document- of vacaturetekst (zie toelichting) | VS | DPA + SCC’s; niet voor training; max. 30 dagen |
| AWS (eigen KND-S3) | Onafhankelijke continuïteitsback-up | Versleutelde export van database en code | EU | Binnen EER (in inrichting) |
Supabase is de hoofdopslag. Alle door Functio bewaarde persoonsgegevens staan in een EU-datacenter.
Vercel draait de applicatie in de EU-regio Dublin. Vercel Inc. is gevestigd in de VS; de doorgifte is afgedekt met een DPA en SCC’s.
OpenAI genereert functie- en roltekst; de functiewaardering zelf is deterministisch en gebruikt geen AI. Als de gebruiker de scanfunctie gebruikt, wordt de tekst van een geüpload document, een vacature-URL of een website naar OpenAI gestuurd om daar functievelden uit te halen. Voordat er tekst wordt verzonden, worden e-mailadressen, telefoonnummers, IBAN en BSN automatisch verwijderd; persoonsnamen worden niet automatisch verwijderd. Gebruikers worden geïnstrueerd geen persoonsgegevens in te voeren. De doorgifte is afgedekt met een DPA en SCC’s; verzonden gegevens worden niet gebruikt voor training en maximaal 30 dagen bewaard. Verwerking vindt plaats in de VS.
AWS (eigen KND-S3) is een onafhankelijke, versleutelde back-up van database en code in een eigen KND-account, voor continuïteit los van de leverancier. Status: in inrichting, operationeel vanaf de week van 21 juli 2026.