Subverwerkers
Laatst bijgewerkt 28 juli 2026 · Versie 1.0
Om Narutai te laten draaien schakelen wij een beperkt aantal leveranciers in. Hieronder staan zij bij naam, met wat zij doen, waar zij dat doen en op welke waarborg een eventuele doorgifte buiten de EER rust.
Wij noemen ze bij naam in plaats van als "categorieën van ontvangers", omdat u aan een categorie niets heeft.
1. Leveranciers die voor ons verwerken
| Leverancier | Rol | Dienst | Land van verwerking | Waarborg | Welke gegevens |
|---|---|---|---|---|---|
| Supabase (Supabase Pte. Ltd.) | Verwerker | Database, gebruikersauthenticatie en opslag van documenten | Database en documenten in Duitsland (Frankfurt); contractspartij in Singapore, en logbestanden en enkele ondersteunende diensten buiten de EU | Standaardcontractbepalingen (besluit 2021/914, module 2). Supabase is niet aangesloten bij het Data Privacy Framework. | Alle gegevens die u in Narutai vastlegt, inclusief documenten |
| Vercel | Verwerker | Hosting van de applicatie en de achtergrondtaken | Duitsland (Frankfurt) voor de applicatie; bouwen en uitrollen vanuit de VS | EU-VS Data Privacy Framework, aangevuld met standaardcontractbepalingen (besluit 2021/914) | Gegevens die door de applicatie stromen, plus technische logs |
| Anthropic (Anthropic Ireland, Limited) | Verwerker | AI-model (Claude) voor het uitlezen van documenten, boekingsvoorstellen en de assistent | Contractspartij in Ierland; de verwerking zelf vindt plaats in de Verenigde Staten | Standaardcontractbepalingen (besluit 2021/914, module 2). Anthropic is niet aangesloten bij het Data Privacy Framework en traint geen modellen op onze inhoud. | De inhoud van het document, bericht of verzoek dat u laat verwerken |
| Resend | Verwerker | Verzenden en ontvangen van e-mail namens u en namens ons | Verenigde Staten | EU-VS Data Privacy Framework (voor niet-HR-gegevens), aangevuld met standaardcontractbepalingen (besluit 2021/914, module 2) | Afzender, ontvangers, onderwerp, inhoud en bijlagen van het bericht |
| Mollie B.V. | Zelfstandig verwerkingsverantwoordelijke | Betalingen en abonnementsincasso | Nederland (Amsterdam) | Nederlandse onderneming onder toezicht van De Nederlandsche Bank; waar Mollie zelf buiten de EER verwerkt, gebruikt zij modelcontractbepalingen | Naam, e-mailadres, betaalgegevens en bedragen |
| Microsoft | Verwerker | Koppeling met OneDrive en met uw Microsoft-mailbox — alleen als u die koppeling legt | Europese Unie — Microsoft houdt klantgegevens binnen de EU Data Boundary | Verwerking binnen de EU; voor het geval er toch gegevens uitgaan: EU-VS Data Privacy Framework en standaardcontractbepalingen | De bestanden in de Narutai-map en de berichten in de gekoppelde mailbox |
| Dropbox | Verwerker | Koppeling met uw Dropbox — alleen als u die koppeling legt | Verenigde Staten | EU-VS Data Privacy Framework (Dropbox, Inc. staat op de officiële lijst) | De bestanden in de Narutai-map |
| Google LLC | Verwerker | Koppeling met Google Drive — alleen als u die koppeling legt | Verenigde Staten | EU-VS Data Privacy Framework, aangevuld met standaardcontractbepalingen | De bestanden die u selecteert |
Een leverancier die aan een koppeling hangt — OneDrive, Dropbox, Google Drive — ontvangt alleen gegevens als u die koppeling zelf legt. Legt u hem niet, dan is die leverancier voor u niet in beeld.
2. Bank- en brokerkoppelingen
Deze partijen komen alleen in beeld als u een rekening of beleggingsrekening koppelt. De bankkoppeling loopt altijd via een partij met een PSD2-vergunning; Narutai heeft zelf geen toegang tot uw bank.
| Leverancier | Rol | Dienst | Land van verwerking | Waarborg | Welke gegevens |
|---|---|---|---|---|---|
| Salt Edge | Rekeninginformatiedienstverlener (PSD2) | Bankkoppeling | Gegevens van gebruikers in de EER worden in de EU opgeslagen (Duitsland, Finland, Ierland); tot de groep behoren ondernemingen in Tsjechië, Canada en het Verenigd Koninkrijk | Opslag binnen de EU; voor de groepsonderdelen buiten de EU gelden de adequaatheidsbesluiten van de Europese Commissie voor Canada en het Verenigd Koninkrijk | Rekeninggegevens, saldi en transacties van de rekening die u vrijgeeft |
| GoCardless SAS (Bank Account Data) | Rekeninginformatiedienstverlener (PSD2), vergund door de Franse toezichthouder | Bankkoppeling | Frankrijk en Nederland; een deel van de verwerking vindt plaats in het Verenigd Koninkrijk | Verwerking binnen de EER; voor het Britse deel geldt het adequaatheidsbesluit voor het Verenigd Koninkrijk | Rekeninggegevens, saldi en transacties van de rekening die u vrijgeeft |
| Tink | Rekeninginformatiedienstverlener (PSD2) | Bankkoppeling | Zweden | Niet van toepassing — verwerking binnen de EER | Rekeninggegevens, saldi en transacties van de rekening die u vrijgeeft |
| Yapily (Yapily Connect UAB) | Rekeninginformatiedienstverlener (PSD2), vergund door de Litouwse centrale bank | Bankkoppeling | Litouwen | Niet van toepassing — verwerking binnen de EER | Rekeninggegevens, saldi en transacties van de rekening die u vrijgeeft |
| Interactive Brokers Ireland Limited | Zelfstandig verwerkingsverantwoordelijke | Ophalen van uw effectenposities en transacties — alleen als u die koppeling legt | Ierland | Niet van toepassing — verwerking binnen de EER | Rekeningnummer, posities, transacties en geldstromen |
3. Als u een eigen AI-sleutel gebruikt
U kunt in de instellingen een eigen API-sleutel van Anthropic of OpenAI opgeven. Doet u dat, dan gaan de AI-verzoeken naar úw account bij die aanbieder, onder de voorwaarden die u met hen bent overeengekomen. OpenAI staat daarom niet in de tabel hierboven: die partij komt uitsluitend in beeld door uw eigen keuze en op uw eigen contract.
4. Onderdelen die uw browser bij een derde ophaalt
Deze partijen krijgen niets van onze servers. Uw browser haalt een onderdeel rechtstreeks bij hen op, en daardoor zien zij uw IP-adres. Wij noemen ze omdat het gebeurt, niet omdat wij er afspraken mee hebben — die hebben wij namelijk niet.
| Leverancier | Rol | Dienst | Land van verwerking | Waarborg | Welke gegevens |
|---|---|---|---|---|---|
| TradingView | Zelfstandige derde partij | Koersgrafiek op de detailpagina van een effect | Verenigde Staten | Niet aangesloten bij het Data Privacy Framework. Wij hebben geen overeenkomst met TradingView; op deze grafiek gelden de voorwaarden van TradingView zelf. | Uw IP-adres, het opgevraagde symbool en uw gebruik van de grafiek; TradingView kan eigen cookies plaatsen |
| Zelfstandige derde partij | De keuzehulp waarmee u bestanden uit Google Drive selecteert — alleen als u die knop gebruikt | Verenigde Staten | EU-VS Data Privacy Framework | Uw IP-adres | |
| Clearbit | Zelfstandige derde partij | Logo's van banken en brokers in het keuzescherm | Verenigde Staten | Geen overeenkomst; wij laden alleen een afbeelding. Wij vervangen dit door lokale afbeeldingen. | Uw IP-adres |
De koersgrafiek van TradingView is hiervan de zwaarste: dat is een compleet onderdeel dat TradingView zelf inlaadt en dat eigen cookies kan plaatsen. Zie ook de cookieverklaring.
5. Openbare registers die wij bevragen
Deze partijen zijn geen verwerkers: wij stellen ze een vraag en krijgen een antwoord terug. Wij sturen daarbij een adres, een identificatie of een nummer — nooit een dossier of een overzicht van uw vermogen.
| Leverancier | Rol | Dienst | Land van verwerking | Waarborg | Welke gegevens |
|---|---|---|---|---|---|
| Kadaster (BAG, WOZ-waardeloket) | Openbaar register | WOZ-waarde, bouwjaar en oppervlakte bij een adres | Nederland | Niet van toepassing — verwerking binnen de EER | Een adres of BAG-identificatie |
| PDOK | Openbaar register | Adressen opzoeken en aanvullen | Nederland | Niet van toepassing — verwerking binnen de EER | Een adres of postcode |
| EP-Online (RVO) | Openbaar register | Energielabel bij een adres | Nederland | Niet van toepassing — verwerking binnen de EER | Een adres |
| Yahoo Finance | Externe bron | Actuele koersen en bedrijfsgegevens bij een effect | Verenigde Staten | Geen overeenkomst; wij bevragen een openbare koersendienst. Wij sturen alleen tickersymbolen, geen naam en geen aantallen. | De tickersymbolen van de effecten waarvan een koers wordt opgehaald |
| VIES (Europese Commissie) | Openbaar register | Btw-id van een relatie controleren | Europese Unie | Niet van toepassing — verwerking binnen de EER | Een btw-id |
6. Wijzigingen in deze lijst
Deze lijst is actueel op de datum bovenaan deze pagina. Komt er een leverancier bij of valt er een af, dan werken wij de lijst bij en verhogen wij het versienummer. Een nieuwe leverancier die uw gegevens verwerkt, melden wij u actief voordat de wijziging ingaat — per e-mail of in de applicatie. Vragen daarover kunt u sturen aan privacy@narutai.com.