Op deze pagina

Ingangsdatum: 2026-05-14 - Versie: 1.10

Deze pagina is het officiële register, waar je direct naar kunt linken, van elke subverwerker die fremverk inschakelt om de dienst te leveren. Het register is toegezegd in DPA §10 en DPA bijlage B, en inkoopteams kunnen in hun leveranciersbeoordeling rechtstreeks naar deze URL verwijzen.

Toezegging over kennisgeving van wijzigingen #

Elke toevoeging, vervanging of wezenlijke wijziging in de lijst van subverwerkers wordt 30 dagen van tevoren aangekondigd via twee kanalen tegelijk, volgens DPA §10.2: (a) een e-mail rechtstreeks aan de geregistreerde factuurcontactpersoon van de organisatie van elke klant (de contractuele drager – de bezorging wordt vastgelegd in het auditlog van fremverk, met de bericht-id’s van de e-mailprovider per ontvanger), EN (b) een publieke melding op deze pagina en op de mailinglijst voor beveiligingsmeldingen (voor het gemak bedoeld voor adressen die geen factuuradres zijn, zoals securityteams en compliance-verantwoordelijken). Klanten die op gedocumenteerde gronden van gegevensbescherming bezwaar maken tegen een nieuwe subverwerker, kunnen het opzeggingsrecht uit DPA §10.2 uitoefenen, met terugbetaling naar rato van vooruitbetaalde, ongebruikte vergoedingen.

Bij inschakeling in noodgevallen (bijvoorbeeld de onmiddellijke vervanging van een subverwerker die zelf de bron van een beveiligingsincident is) publiceert fremverk binnen 24 uur na de wijziging en wordt de bezwaartermijn verlengd tot 30 dagen na de inschakeling. Zie DPA §10.3.

Abonneer je op meldingen van wijzigingen: abonneer je op de mailinglijst voor beveiligingsmeldingen – antwoorden en losse vragen komen binnen op security-notices@frem.sh (alias die doorstuurt naar compliance@frem.sh).

Huidige subverwerkers #

Subverwerker	Doel	Locatie	Certificeringen	DPA / SCC’s
Deutsche Telekom AG (T Cloud Public)	Kerncompute, opslag, netwerk – elk onderdeel dat klanten zien	Biere & Magdeburg, DE	ISO 27001, ISO 27017, ISO 27018, BSI C5 Type 2, TISAX	DPA van T Cloud Public – Europese verantwoordelijke, geen Amerikaanse moedermaatschappij
Bunny CDN d.o.o.	Edge-levering, DDoS-mitigatie en rate limiting voor `frem.sh` en statische bestanden die klanten serveren (er is geen Web Application Firewall ingeschakeld)	PoP’s in de EU (hoofdkantoor Slovenië)	ISO 27001 (2025), SOC 2 Type II (2023)	DPA van Bunny – Europese verantwoordelijke, geen Amerikaanse moedermaatschappij
Lettermint B.V.	Uitgaande transactionele e-mail (verificatie, betalingsherinneringen, beveiligingsmeldingen)	Zwolle, NL – upstream OVHcloud SAS (FR) + UpCloud Ltd (datacenter in Amsterdam NL, opgericht in Finland)	Certificeringen van de leverancier: bewijs nog in behandeling (NL – geen Amerikaanse moedermaatschappij)	DPA van Lettermint – Europese verantwoordelijke, geen Amerikaanse moedermaatschappij
Mollie B.V.	Betalingsverwerking (aanmaken van mandaten, terugkerende afschrijvingen, terugbetalingen)	Amsterdam, NL	PCI-DSS Level 1	DPA van Mollie – Europese verantwoordelijke, geen Amerikaanse moedermaatschappij
Heinlein Hosting GmbH (mailbox.org)	Hosting van gedeelde mailboxen (`support@`, `abuse@`, `security@`, `compliance@`, `hello@`, `ops@`, `enterprise@`, `info@fremverk.com`)	Berlijn, Duitsland	ISO 27001, BSI C5, BSI IT-Sicherheitskennzeichen (TR 03108)	DPA van Heinlein Hosting – Europese verantwoordelijke, geen Amerikaanse moedermaatschappij
Visma Dinero ApS	Uitgifte van factuurbijlagen (bilag) en de wettelijke bewaring daarvan gedurende 5 jaar volgens Bogføringsloven §10 – ontvangt de juridische naam van de organisatie, het e-mailadres van de factuurcontactpersoon, het btw-nummer, de factuurregels en de referentie van de Mollie-betalings-id. Geen inhoud van repositories, geen inhoud van auditlogs, geen PAN.	Kopenhagen, DK	ISO 27001 (uitgegeven in DK, geen Amerikaanse moedermaatschappij)	DPA van Visma Dinero – Europese verantwoordelijke, geen Amerikaanse moedermaatschappij

Vermeld voor de transparantie – geen subverwerkers in de zin van artikel 28 #

De volgende partijen hebben raakvlakken met het platform, maar verwerken geen persoonsgegevens van klanten namens fremverk en zijn daarom geen subverwerkers in de zin van artikel 28 AVG. Ze staan hier zodat het register voor klanten volledig is:

Partij	Rol	Locatie	Waarom geen subverwerker
Actalis S.p.A. (Aruba Group)	Certificaatautoriteit voor origin-TLS van `*-origin.frem.sh` (eIDAS-QTSP)	Italië, EU	De CA ontvangt tijdens de ACME-DNS-01-uitgifte alleen FQDN’s – nooit persoonsgegevens. Uitgezonderd van bijlage B volgens DPA §A.4. D-TRUST GmbH (Duitsland, eIDAS-QTSP) blijft de benoemde betaalde terugvaloptie.
VIES-dienst van de Europese Commissie	Validatie van btw-nummers bij registratie (kwalificatie voor btw-verlegging)	EU-instellingen	Niet-commerciële opzoekdienst van de publieke sector; alleen het btw-nummer (een bedrijfsregistratienummer) wordt ingediend. Vermeld in privacyverklaring §3.3.
Simply.com A/S	Registrar + DNS voor de merkdomeinen met doorverwijzing `fremforge.{com,eu,dk}` (allemaal 301 → `www.frem.sh`)	Denemarken	Er gaan geen persoonsgegevens van klanten via Simply.com – alleen DNS-lookups voor de doorverwijzingsdoelen. De onderdelen die klanten zien, gebruiken BunnyDNS (Bunny CDN d.o.o., Slovenië – dezelfde subverwerker als voor de CDN/WAF/edge-laag, al vermeld in de tabel met subverwerkers uit bijlage B hierboven).

Wat we niet inschakelen #

Geen CDN of edge-provider met een Amerikaanse moedermaatschappij in het verzoekpad van endpoints voor klanten.
Geen verwerker voor analytics of telemetrie. Fase 1 bevat helemaal geen productanalytics – in lijn met wat het cookiebeleid en de privacyverklaring al zeggen (geen analytics, geen toestemmingsbanner). Geen Google Analytics, geen Mixpanel, geen Segment, geen Plausible. Zelf gehoste Plausible (T Cloud Public eu-de) staat op de roadmap voor na de lancering; als het er komt, verschijnt het in het wijzigingslogboek hieronder en als eigen verwerker van niveau 1 in bijlage B (de gegevens blijven binnen het T Cloud Public-account van fremverk; geen uitgaand verkeer naar derden).
Geen AI-/LLM-aanbieder wordt ingezet op klantinhoud. Functies op basis van agentmandaten (volgens DPA §11A) handelen op instructie van de klant tijdens de uitvoering en sturen inhoud niet langs een model van derden; fremverk bewaart geen klantinhoud in een modelcorpus. De keten van subverwerkers legt dit verbod contractueel door – zie Verboden op AI-training in de keten van subverwerkers hieronder.
Geen Amerikaanse betalingsverwerker. Mollie (NL) handelt elke betaling af.
Geen leverancier van een widget voor botbescherming. De registratie in Forgejo gebruikt zelf gehoste Altcha (MIT-licentie, met HMAC ondertekende PoW), die in hetzelfde proces draait als de api-monoliet op hetzelfde T Cloud Public-cluster; geen Cloudflare Turnstile, geen hCaptcha, geen Google reCAPTCHA.

Positie ten opzichte van de CLOUD Act #

Elke partij hierboven is een door de EU beheerste entiteit zonder Amerikaanse moedermaatschappij. Op geen enkel verwerkingspad is er blootstelling aan de CLOUD Act. Een Schrems II-transfer impact assessment is niet nodig, omdat er geen persoonsgegevens van klanten buiten de EU/EER worden doorgegeven.

Voor het volledige beleid, zie DPA §11.3 en de trustpagina – sectie Schrems II.

Verboden op AI-training in de keten van subverwerkers #

De toezegging “geen AI-training op klantgegevens” in DPA §6A bindt elke partij in de keten van subverwerkers. De publieke toezeggingen van elke subverwerker die dit onderbouwen, staan hieronder ter vergelijking. Waar een subverwerker een opt-in voor modeltraining aanbiedt, heeft fremverk daar niet voor gekozen.

Subverwerker	Publieke toezegging waarop we vertrouwen
Deutsche Telekom AG (T Cloud Public / T Cloud Public)	Dienstbeschrijving en DPA van T Cloud Public – IaaS-laag; het platform heeft geen toegang tot de inhoud van tenants. De AI-principes van T Cloud Public verplichten tot dataminimalisatie en doelbinding bij AI die Telekom zelf ontwikkelt, en de IaaS-DPA verbiedt het gebruik van de payload van klanten voor iets anders dan het leveren van de dienst.
Bunny CDN d.o.o.	DPA van Bunny – Bunny verwerkt verkeer alleen voor caching, TLS-terminatie, DDoS-mitigatie en rate limiting; er zijn geen rechten voor modeltraining verleend. De toelichting op het AI-beleid van Bunny bevestigt dat er geen AI-model wordt getraind op de payload van klantverkeer.
Lettermint B.V.	DPA + privacybeleid van Lettermint – scope van transactionele e-mail; alleen uitgaande relay. Ontvangerslijsten van klanten worden niet gebruikt voor modeltraining over accounts heen, en er is geen opt-in voor AI of modeltraining ingeschakeld.
Mollie B.V.	Privacyverklaring van Mollie en scope van PSD2 / PCI-DSS – alleen transactieverwerking; Mollie traint voor de merchant geen AI-modellen op transactiemetadata.
Heinlein Hosting GmbH (mailbox.org)	Privacyverklaring van mailbox.org – uitdrukkelijk standpunt “geen AI-training, geen profilering”; de marketing van mailbox.org zegt geregeld “Wir trainieren keine KI mit Ihren Daten” (“we trainen geen AI met jouw gegevens”).
Visma Dinero ApS	Privacy- en AI-beleid van Visma Group – scope van de boekhoudkoppeling; geen training op persoonsgegevens van klanten die via de koppeling gaan. Het boekhoudpad van fremverk ontvangt de juridische naam van de organisatie, het e-mailadres van de factuurcontactpersoon, het btw-nummer, de factuurregels en de Mollie-betalings-id (persoonsgegevens van de beheerder van de organisatie); geen inhoud van repositories, geen inhoud van auditlogs, geen PAN.
Actalis S.p.A.	eIDAS-QTSP – ontvangt tijdens de ACME-DNS-01-uitgifte alleen domeinnamen; de scope van een CA sluit afgeleid gebruik van inhoud uit.
VIES-dienst van de Europese Commissie	Opzoekdienst van de publieke sector; valt buiten de scope van AI-training (geen consumenten-ML getraind op verkeer naar het btw-register).
Simply.com A/S	Alleen registrar / DNS voor doorverwijzingsdomeinen; geen pad voor persoonsgegevens van klanten.

Als een subverwerker zijn standpunt over AI-training wijzigt, is fremverk volgens DPA §6 (Subverwerkers) verplicht klanten vooraf te informeren en hun het recht te geven bezwaar te maken voordat de nieuwe verwerking begint. Het wijzigingslogboek onderaan deze pagina legt elke zo’n overgang vast.

Voetnoot over kaartnetwerken #

Kaartbetalingen via Mollie lopen technisch via PCI-DSS-gecertificeerde sub-subverwerkers van de kaartnetwerken: Visa Europe Services Inc. (Britse vestiging) en Mastercard Europe SA (België). Beide zijn Europese entiteiten, maar hun uiteindelijke moedermaatschappijen (Visa Inc., Mastercard Inc.) zijn in de VS opgericht. fremverk sluit geen rechtstreeks contract met deze netwerken – het zijn sub-subverwerkers van Mollie volgens de netwerkregels van PCI-DSS. De claim “geen Amerikaanse moedermaatschappij” hierboven geldt voor de eigen keten van subverwerkers van fremverk op het niveau van de exploiterende onderneming. Wil je op het betaalpad helemaal geen blootstelling aan een Amerikaanse moedermaatschappij, betaal dan via SEPA-incasso (bij het SEPA-pad van Mollie is geen sub-subverwerker van een kaartnetwerk betrokken). Zie DPA §11.3 voor de volledige toelichting.

Alternatieven op verzoek van de klant #

De standaardset van subverwerkers heeft al nul blootstelling aan Amerikaanse moedermaatschappijen. Onder Enterprise-on-Demand kunnen klanten daarnaast vragen om:

een audit van eventuele voorkeuren voor het vastzetten van regio’s binnen T Cloud Public (eu-de is de standaard; andere EU-regio’s zijn op aanvraag beschikbaar, mits de functionaliteit gelijk is);
regiospecifieke toezeggingen over dataresidentie die verder gaan dan de standaard (bijvoorbeeld contractueel vastzetten op één availability zone in eu-de).

Neem contact op met enterprise@frem.sh om de mogelijkheden te bespreken.

Eerdere wijzigingen #

Deze sectie legt de wijzigingsgeschiedenis van de lijst van subverwerkers vast, de nieuwste eerst. De lijst hierboven is altijd de actuele stand.

Datum	Wijziging	Kennisgeving gepubliceerd
2026-10-04	Bij het doel van Bunny CDN staat geen WAF meer: sinds 2026-05-09 is op geen enkel onderdeel van fremforge aan de edge een Web Application Firewall ingeschakeld (DPA bijlage A.2). Er verandert geen subverwerker, verwerkingsdoel of gegevenscategorie; de beschrijving komt nu overeen met wat Bunny doet.	Niet vereist (correctie, geen wijziging in de verwerking)
2026-05-14	Uitgaande transactionele e-mail gemigreerd van Sendinblue SAS (Brevo, FR) naar Lettermint B.V. (Zwolle, NL). Brevo uitgefaseerd op 2026-05-14. Het pad voor uitgaande e-mail blijft volledig binnen de EU, zonder verwerker met een Amerikaanse moedermaatschappij; de regel over verboden op AI-training is daarop aangepast. Komt overeen met DPA v1.9.	n.v.t. (geen klanten met een contract; vóór de lancering)
2026-05-08	Transparantiebatch ronde 7: Actalis S.p.A. (CA voor origin-TLS, IT, eIDAS-QTSP), de VIES-dienst van de EU (btw-validatie) en Simply.com A/S (DK, DNS voor merkdoorverwijzingen) toegevoegd aan een nieuwe sectie “Vermeld voor de transparantie – geen subverwerkers in de zin van artikel 28”. Geen van hen ontvangt persoonsgegevens van klanten; uitgezonderd van bijlage B volgens DPA §A.4.	n.v.t. (geen klanten met een contract; vóór de lancering)
2026-05-06	Visma Dinero ApS (Denemarken) toegevoegd aan bijlage B als subverwerker op het factuurpad. Scope van persoonsgegevens van klanten: juridische naam van de organisatie, factuurcontactpersoon, btw-nummer, factuurregels, Mollie-betalings-id. Wettelijke bewaartermijn van 5 jaar volgens de Deense Bogføringsloven §10. Komt overeen met DPA v1.4 (herzien in v1.5 – de eerdere formulering “geen pad voor persoonsgegevens van klanten” was onjuist).	n.v.t. (geen klanten met een contract; vóór de lancering)
2026-04-27	Hosting van inkomende gedeelde mailboxen verhuisd van Microsoft Ireland Operations Ltd. naar Heinlein Hosting GmbH (mailbox.org), Berlijn, Duitsland – daarmee verdwijnt de eerdere subverwerker met een Amerikaanse moedermaatschappij op het pad van de inkomende mailboxen	n.v.t. (geen klanten met een contract; vóór de lancering)
2026-04-25	Eerste register	Ingangsdatum

Contact #

Voor vragen over subverwerkers:

Privacy / scope van de DPA: compliance@frem.sh
Inkoop / leveranciersbeoordeling: enterprise@frem.sh
Abonnement op de security-mailinglijst: lists.frem.sh/subscription/form (alias: security-notices@frem.sh – stuurt door naar compliance@)

Zie ook: Trustpagina · Privacyverklaring