Altijd in gebruik
Deze subverwerkers verwerken persoonsgegevens voor elke klant. Ze zijn gebonden aan afspraken die minstens dezelfde bescherming bieden als onze verwerkersovereenkomst. Je database en bestanden staan in Nederland.
| Partij | Doel | Gegevens | Locatie | Waarborg |
|---|---|---|---|---|
| TransIP B.V. | Hosting van de servers, de database, de bestanden en de back-ups. | Alle klantgegevens (opslag). | Nederland | Binnen de EER; verwerking onder de AVG. |
| TransIP B.V. | Verzenden van e-mail (uitnodigingen, herstellinks, meldingen), tenzij de klant een eigen mailserver koppelt. | Naam en e-mailadres van de ontvanger en de inhoud van het bericht. | Nederland | Binnen de EER; verwerking onder de AVG. |
| Cloudflare, Inc. | DNS, beveiligde verbinding en bescherming tegen aanvallen; het verkeer naar curbo.nl loopt via Cloudflare. | IP-adres, technische verzoekgegevens en het versleutelde verkeer dat erdoorheen gaat. | Verenigde Staten en wereldwijd netwerk (verkeer wordt zo dicht mogelijk bij de gebruiker afgehandeld) | EU-US Data Privacy Framework en standaardcontractbepalingen (SCC's). |
| DeepL SE | Automatisch vertalen van teksten die de klant zelf schrijft (zoals nieuws, kennisbank en meldingen) voor gebruikers die een andere taal dan Nederlands kiezen. | De te vertalen tekst. Vertalingen worden in de eigen database van Curbo bewaard, zodat dezelfde tekst niet opnieuw wordt verstuurd. | Duitsland | Binnen de EER; verwerking onder de AVG. |
| 650 Industries, Inc. (Expo) | Bezorgen van pushberichten naar de app, en updates van de app. | Apparaattoken, titel en tekst van het pushbericht (kan een naam bevatten), IP-adres. | Verenigde Staten | Standaardcontractbepalingen (SCC's). |
| Apple Inc. en Google LLC | Pushdiensten van iOS (APNs) en Android (Firebase Cloud Messaging), waarlangs Expo een pushbericht aflevert. | Apparaattoken en de inhoud van het pushbericht. | Verenigde Staten | EU-US Data Privacy Framework en standaardcontractbepalingen (SCC's). |
Alleen als je een koppeling aanzet
Deze partijen ontvangen alleen gegevens als jouw organisatie de koppeling zelf aanzet of een medewerker zijn eigen agenda koppelt. Curbo stuurt de gegevens dan door op jouw instructie. Met je salarispakket, je arbodienst en je mailprovider heb je meestal zelf een overeenkomst; die partijen zijn dan jouw eigen verwerker.
| Partij | Doel | Gegevens | Locatie | Waarborg |
|---|---|---|---|---|
| Google (Google Ireland Ltd. / Google LLC) | Inloggen met Google; Google Agenda koppelen (diensten in de agenda zetten, vrij/bezet lezen). | Naam en e-mailadres; diensttijden, rol, vestiging en adres; vrij/bezet-tijden (geen titels van afspraken). | Ierland en Verenigde Staten | EU-US Data Privacy Framework en standaardcontractbepalingen (SCC's). |
| Microsoft Ireland Operations Ltd. | Inloggen met Microsoft; Outlook-agenda koppelen; Teams-vergaderingen bij gesprekken. | Naam en e-mailadres; diensttijden en locatie; afspraakgegevens van een gesprek. | Ierland en Verenigde Staten | EU-US Data Privacy Framework en standaardcontractbepalingen (SCC's). |
| Salarispakket van de klant (Exact, Loket.nl, Nmbrs, AFAS of een eigen koppeling) | Uren, toeslagen en loongegevens doorzetten naar de salarisadministratie. | Personeelsnummer, naam, looncomponenten en waarden; bij een eigen koppeling ook IBAN en, als de klant dat aanzet, BSN. | Afhankelijk van het pakket (de genoemde pakketten: Nederland) | Overeenkomst tussen de klant en zijn salarisleverancier. |
| Arbodienst of bedrijfsarts van de klant | Ziek- en betermeldingen doorgeven per e-mail. | Naam, personeelsnummer, functie, contracturen, vestiging, eerste ziektedag of hersteldatum, contactpersoon; geboortedatum en telefoon alleen als de klant dat aanzet. Nooit reden, klachten of diagnose. | Afhankelijk van de arbodienst | Overeenkomst tussen de klant en zijn arbodienst. |
| Eigen mailserver van de klant | E-mail versturen vanaf het eigen domein van de klant in plaats van via Curbo. | Naam en e-mailadres van de ontvanger en de inhoud van het bericht. | Afhankelijk van de klant | Overeenkomst tussen de klant en zijn mailprovider. |
Twee koppelingen versturen geen persoonsgegevens: de vacaturefeed (vacaturesites zoals Indeed halen alleen je openstaande vacatures op) en het opzoeken van coördinaten van een vestigingsadres bij de Locatieserver van PDOK (Kadaster).
Voor onze eigen administratie
Voor het afrekenen van je abonnement gebruiken we een betaalpartner. Die verwerkt geen personeelsgegevens, alleen gegevens over jouw organisatie als klant. Daarvoor zijn wij zelf verantwoordelijk; zie de privacyverklaring.
| Partij | Doel | Gegevens | Locatie | Waarborg |
|---|---|---|---|---|
| Stripe Payments Europe, Ltd. | Betalingen, abonnementen en facturen van Curbo. | Naam, e-mailadres, factuuradres en btw-nummer van de klant, betaalgegevens. | Ierland, met doorgifte naar de Verenigde Staten | EU-US Data Privacy Framework en standaardcontractbepalingen (SCC's). |
Wijzigingen en bezwaar
Voegen we een subverwerker toe of vervangen we er een, dan melden we dat minstens 30 dagen vooraf aan de beheerders van je organisatie. Je kunt binnen die termijn met redenen bezwaar maken via [email protected]. Komen we er samen niet uit, dan mag je de overeenkomst opzeggen voordat de wijziging ingaat.
Deze lijst is voor het laatst gewijzigd op 10 oktober 2026.