Subverwerkers van D2R
Laatste controle door ADAM IT: 01-11-2026
Voor D2R schakelt ADAM IT de partijen hieronder in. Met elk hebben we een verwerkersovereenkomst met dezelfde plichten als die wij met jouw organisatie hebben. Een nieuwe of andere partij melden we minstens 30 dagen vooraf: hier, en per e-mail en in D2R aan de beheerders van onze klanten. Binnen 14 dagen na die melding kan een klant bezwaar maken, met de reden, per e-mail aan adam@adamit.nl (artikel 6 van de verwerkersovereenkomst).
Wie we inschakelen
Vercel Inc., VS
- Waarvoor
- De webapplicatie D2R: serverfuncties in regio fra1, statische bestanden en logs via het wereldwijde netwerk.
- Waar de gegevens staan
- EU (Frankfurt); statische bestanden en logs mogelijk VS; de runtimelogs bewaart Vercel 1 dag (Pro-plan)
- Grondslag voor doorgifte
- EU-US Data Privacy Framework (actieve certificering)
- Als die vervalt
- Standaardcontractbepalingen in de Vercel Data Processing Addendum
Neon, LLC (onderdeel van Databricks, Inc.), VS
- Waarvoor
- De database van D2R.
- Waar de gegevens staan
- EU (AWS eu-central-1, Frankfurt)
- Grondslag voor doorgifte
- Standaardcontractbepalingen (module 3) in de Data Processing Addendum van Databricks, die ook voor het gratis plan van Neon geldt; daarnaast het EU-US Data Privacy Framework via Databricks, Inc., waaronder Neon, LLC als gedekte entiteit valt
- Als die vervalt
- Standaardcontractbepalingen (primair)
Scaleway SAS, Frankrijk
- Waarvoor
- Het werk op de achtergrond (worker), de bestandsopslag, de back-ups en het draaien van de tests van testprojecten in de GitLab-groep van ADAM IT.
- Waar de gegevens staan
- EU (Amsterdam)
- Grondslag voor doorgifte
- Geen doorgifte
- Als die vervalt
- Niet van toepassing
Lettermint B.V., Nederland
- Waarvoor
- Het versturen van e-mail met meldingen.
- Waar de gegevens staan
- EU (Nederland)
- Grondslag voor doorgifte
- Geen doorgifte
- Als die vervalt
- Niet van toepassing
GitLab Inc., VS
Alleen als het testproject in de GitLab-groep van ADAM IT staat.
- Waarvoor
- De code van het testproject, het aansturen van testruns, de joblogs en de artefacten van testruns. De tests zelf draaien bij Scaleway in Amsterdam.
- Waar de gegevens staan
- VS
- Grondslag voor doorgifte
- EU-US Data Privacy Framework (GitLab Inc. actief, alleen niet-HR-gegevens)
- Als die vervalt
- Standaardcontractbepalingen in de GitLab Data Processing Agreement
Google Cloud EMEA Limited, Dublin (contractpartij) / Google LLC
- Waarvoor
- De mailbox van ADAM IT, waarin meldingen van D2R en antwoorden van de klant binnenkomen; geen klantbestanden in Drive. Meldingen van D2R aan ADAM IT per e-mail, Slack of Teams bevatten geen berichten of namen van gebruikers van de klant, alleen de soort melding, de organisatie, het kenmerk en een link naar D2R.
- Waar de gegevens staan
- EU: data at rest in de dataregio Europa (ingesteld op 30 oktober 2026)
- Grondslag voor doorgifte
- EU-US Data Privacy Framework (Google LLC actief)
- Als die vervalt
- Standaardcontractbepalingen in het Google Workspace Data Processing Addendum
Meta Platforms, Inc. / Meta Platforms Ireland Limited (WhatsApp Business Platform)
Alleen als WhatsApp voor de organisatie is ingericht en een gebruiker meldingen via WhatsApp aanzet.
- Waarvoor
- Alleen de WhatsApp-meldingen “test faalt” en “hersteld”.
- Waar de gegevens staan
- Opslag in de EU (Duitsland), verwerking mogelijk buiten de EER
- Grondslag voor doorgifte
- EU-US Data Privacy Framework (Meta Platforms, Inc. actief, hercertificering in behandeling)
- Als die vervalt
- Standaardcontractbepalingen in de WhatsApp Business Data Processing Terms
AgileBits Inc. (1Password), Canada
Alleen als we bij de inrichting een kluis voor inloggegevens met de klant delen.
- Waarvoor
- De kluis voor inloggegevens, sleutels en tokens: per klant een gedeelde, end-to-end versleutelde kluis die alleen de klant, ADAM IT en de pipeline van het testproject openen, met een gastaccount (naam en e-mailadres) voor de contactpersoon van de klant, en een tweede als de klant daarom vraagt. 1Password kan de inhoud niet lezen.
- Waar de gegevens staan
- EU (regio 1password.eu); account- en gebruiksgegevens deels Canada en VS
- Grondslag voor doorgifte
- Adequaatheidsbesluit voor Canada (Beschikking 2002/2/EG, commerciële organisaties) voor AgileBits Inc.; dat besluit dekt alleen de verwerking door AgileBits zelf. Voor de subverwerkers van 1Password in de VS de standaardcontractbepalingen in de 1Password DPA
- Als die vervalt
- Standaardcontractbepalingen (module 2) in de 1Password Data Processing Addendum
Anthropic, PBC (contractpartij voor de EER: Anthropic Ireland, Limited)
- Waarvoor
- AI-hulpmiddelen voor beheer en analyse door ADAM IT: incidentteksten, testresultaten met stappen en foutmeldingen, code van het testproject, organisatiegegevens in D2R, en bij het bouwen van tests pagina-inhoud en gemaskeerde screenshots; nooit inloggegevens. Van productie alleen gemaskeerde screenshots en opnames en tekst waaruit de waarden van de maskeerlijst al zijn vervangen.
- Waar de gegevens staan
- VS
- Grondslag voor doorgifte
- Standaardcontractbepalingen (module 2 en 3) in de Anthropic Data Processing Addendum, met de beoordeling van de doorgifte in bijlage 4 van de verwerkersovereenkomst; Anthropic staat niet op de DPF-lijst
- Als die vervalt
- Standaardcontractbepalingen (primair)
Niet in deze lijst, omdat zij geen subverwerker van ADAM IT zijn: Mollie B.V. (zelf verantwoordelijk voor betalingen en incasso); Slack, Microsoft Teams, de AI-assistent en de CI-omgeving van de klant (leveranciers van de klant); GitLab als het testproject in het eigen GitLab-project van de klant staat (leverancier van de klant).
Rechtsgebied en toegang door overheden
Per partij staat hierboven waar de gegevens staan en in welk land het bedrijf zit; dat land bepaalt onder welk recht het valt. Amerikaanse bedrijven kunnen op grond van Amerikaanse wetten, zoals FISA sectie 702 en de CLOUD Act, worden gevraagd om gegevens te geven, ook als die in de Europese Unie staan. Daartegen nemen wij deze maatregelen:
- D2R draait in de Europese Unie: de webapplicatie en de database in Frankfurt, het werk op de achtergrond, de bestanden, de back-ups en de tests in Amsterdam.
- De database en de bestanden zijn in rust versleuteld; al het verkeer loopt versleuteld.
- Van productie maskeren we de velden uit de maskeerlijst in screenshots, opnames en de tekst van stappen en foutmeldingen, voordat er iets naar D2R gaat.
- Inloggegevens van klanten staan niet in D2R, maar in een kluis per klant die end-to-end versleuteld is.
- Voor elke partij buiten de Europese Economische Ruimte is er een grondslag (hierboven), en de beoordeling van de doorgifte krijgt een klant op verzoek; die voor Anthropic staat in bijlage 4 van de verwerkersovereenkomst.
- Een klant kan AI-hulpmiddelen van ADAM IT voor zijn organisatie uitsluiten (artikel 10.4 van de verwerkersovereenkomst).
Overstappen en je gegevens meenemen
Je kunt je gegevens altijd exporteren, zo vaak je wilt, onder Instellingen > Gegevens exporteren in D2R. Bij het overstappen krijg je ook het testproject. Dat kost niets (artikel 10.3 van de algemene voorwaarden).
Formaten
- Een zip met per soort gegevens een JSON-bestand (UTF-8): de instellingen van je organisatie; de resultaten van elke run met de tests, stappen en foutmeldingen; incidenten, gesprekken en releases met de berichten; maandrapporten en groene testrapporten; maskeerlijsten en productiescenario's; de meldingen en de auditlog.
- Tijden in UTC (ISO 8601). Elk veld staat beschreven in BESCHRIJVING.md in de zip en in D2R onder Export.
- De bestanden zitten in dezelfde zip in hun eigen formaat: screenshots (PNG of JPEG) en opnames (WebM of MP4); traces van Playwright (zip) en logs; het rapport van elke run (output.xml van Robot Framework of het JSON-rapport van Playwright), dat andere hulpmiddelen kunnen inlezen; bijlagen in hun oorspronkelijke formaat, en de rapporten als pdf.
- Het testproject met documentatie is een zip van de repository: de tests in Playwright of Robot Framework, de configuratie van de pipeline en de documentatie.
Bekende beperkingen
- De koppeling met D2R werkt alleen in D2R. Daaronder vallen de job d2r-report in de pipeline, de meldingen, rapporten, productiescenario's en incidenten, en het maskeren en de kluis via ons CI-sjabloon. Haal die jobs en verwijzingen uit de pipeline, of vervang ze door je eigen rapportage. De tests zelf draaien overal waar Playwright of Robot Framework draait.
- Onze bouwstenen zitten niet in de zip van het testproject. Je mag ze blijven gebruiken volgens artikel 9.3 van de algemene voorwaarden.
- Geheimen zitten niet in de export: wachtwoorden, tokens, sleutels en webhook-adressen. Die staan in je eigen kluis en in de variabelen van de pipeline; zet ze bij je nieuwe aanbieder opnieuw.
- Bestanden ouder dan de bewaartermijn zijn al verwijderd. Ontbreekt er een, dan staat dat in ontbrekende-bestanden.json.
- Runs die we nog beoordelen of verborgen, en onze concepten en interne aantekeningen, zitten er niet in.
- De export is hooguit 2 GB per zip en het testproject in D2R hooguit 200 MB. Is het meer, dan leveren we in delen of per e-mail.
- Een export kun je niet terugzetten in D2R.
Zo gaat de overstap
- Zeg op in D2R (Abonnement) of per e-mail aan info@adamit.nl. De opzegtermijn en de minimale looptijd gelden.
- Vraag daarbij een overgangsperiode van hooguit 30 dagen als je die nodig hebt. Je kunt hem één keer verlengen. In die periode draaien je tests en meldingen door, en werken je toegang en koppelingen. Je betaalt het maandbedrag naar rato.
- Vraag het testproject aan onder Export. We leveren binnen 10 werkdagen, in D2R of per e-mail.
- Exporteer je gegevens, zo vaak je wilt. Vragen over het formaat en de opzet van het testproject beantwoorden we kosteloos.
- Na het einde van de dienst kun je je gegevens nog 30 dagen inzien en exporteren. Een week voor het einde krijg je een herinnering.
- Daarna verwijderen we de gegevens van je organisatie uit D2R. Back-ups verdwijnen binnen 35 dagen. Onze administratie bewaren we zeven jaar.
Aangekondigde wijzigingen
Er zijn geen aangekondigde wijzigingen.
