- Home
- Juridisch
- Subverwerkers
Subverwerkers
Op deze pagina staan de partijen die Sales-Surge B.V. inschakelt om Lumo te leveren. Per partij lees je waarvoor we haar gebruiken, waar de gegevens worden verwerkt, op welke waarborg een doorgifte steunt en waar de verwerkersovereenkomst van die partij staat. Laatst bijgewerkt: 11 november 2026.
Hoe deze lijst werkt
Voor gegevens die een klant in zijn werkruimte zet, is Sales Surge verwerker en zijn de partijen hieronder subverwerkers. Dat is geregeld in de verwerkersovereenkomst. Voor de site, het formulier en de accounts van gebruikers is Sales Surge zelf verantwoordelijke. Dat staat in de privacyverklaring.
Bij elke partij staat of haar verwerkersovereenkomst al deel uitmaakt van haar voorwaarden. Dat geldt voor alle partijen in de eerste twee tabellen: de overeenkomst geldt zodra we de dienst afnemen, zonder aparte ondertekening.
Sommige partijen ontvangen alleen gegevens als iets aan staat, zoals de AI-functies. Koppelingen die een klant of gebruiker met een eigen account bij een andere dienst aanzet, staan apart. Daar sluit de klant of gebruiker zelf de overeenkomst met die dienst.
Sales Surge informeert klanten over een voorgenomen wijziging van deze lijst. Een klant kan binnen 14 dagen op redelijke, onderbouwde gronden bezwaar maken, zoals artikel 9.3 van de Algemene Voorwaarden van Sales-Surge B.V. beschrijft.
Altijd in gebruik
Deze partijen zijn nodig om Lumo te laten werken.
| Onderwerp | Waarvoor | Locatie, waarborg en verwerkersovereenkomst |
|---|---|---|
| Supabase Inc. | Database en bestandsopslag van de app, met de dagelijkse back-up. | Londen, Verenigd Koninkrijk (AWS-regio eu-west-2). Gegevens worden in die regio opgeslagen en in de eerste plaats verwerkt. Voor het Verenigd Koninkrijk geldt een adequaatheidsbesluit. Voor doorgifte daarbuiten gelden de standaardcontractbepalingen (modules 2 en 3) en het Britse addendum uit de DPA van Supabase. Die DPA is onderdeel van de voorwaarden van Supabase. Subverwerkers van Supabase. |
| Netlify Inc. | Hosting van de app (crm.sales-surge.io) en de website, de serverless functions en het leveren van statische bestanden. | Serverless functions in Londen (Netlify-regio lhr). Statische bestanden via het wereldwijde netwerk (CDN) van Netlify. Netlify is gecertificeerd onder het EU-US Data Privacy Framework met de Britse uitbreiding, met de standaardcontractbepalingen (modules 2 en 3) als terugval. De DPA van Netlify is onderdeel van de voorwaarden van Netlify. Subverwerkers van Netlify. |
| Mailgun (Sinch) | Versturen van mail uit de app: inloggen, uitnodigingen, tickets, campagnes en het klantportaal. | EU-regio van Mailgun. De app gebruikt in productie altijd de EU-regio. Volgens Mailgun blijven berichten, gebeurtenislogs en afmeldlijsten in die regio; accountgegevens zoals gebruikers en domeinnamen zijn wereldwijd. Waarborg: standaardcontractbepalingen en het Britse addendum, en het EU-US Data Privacy Framework. De DPA van Sinch is onderdeel van de voorwaarden. Let op: voor e-mail noemt Sinch zich in die DPA zelfstandig verwerkingsverantwoordelijke. Subverwerkers van Sinch. |
Alleen als een AI-functie aan staat
De code van Lumo laat alleen deze twee AI-aanbieders toe, en Gemini alleen als betaalde dienst. Een andere aanbieder, een eigen adres of een gratis sleutel weigert de app: de AI-functie blijft dan uit.
| Onderwerp | Waarvoor en wanneer | Locatie, waarborg en verwerkersovereenkomst |
|---|---|---|
| Anthropic PBC (Claude API) | "Rapport uit één zin": de zin die de gebruiker typt en de lijst met velden van de werkruimte, geen records. En de AI-assistent, als Sales Surge Claude als model voor de assistent kiest. De assistent staat per werkruimte standaard uit; een beheerder zet hem aan. | Verenigde Staten. De Claude API verwerkt verzoeken standaard wereldwijd (data residency). Anthropic traint geen modellen op klantinhoud (Commercial Terms) en wist invoer en uitvoer van de API binnen 30 dagen, behalve bij misbruikonderzoek of een wettelijke plicht (bewaartermijn). Waarborg: standaardcontractbepalingen (modules 2 en 3) en het Britse addendum. De DPA van Anthropic is onderdeel van de Commercial Terms. Subverwerkers van Anthropic. |
| Google LLC (Gemini API, betaalde dienst) | De AI-assistent, als Sales Surge Gemini als model voor de assistent kiest: de vraag en de gegevens die de assistent daarvoor opvraagt. De assistent staat per werkruimte standaard uit; een beheerder zet hem aan. | Google kiest de locatie; gegevens kunnen in elk land met faciliteiten van Google staan. Bij de betaalde dienst gebruikt Google vragen en antwoorden niet om zijn producten te verbeteren, en bewaart ze een beperkte tijd om misbruik op te sporen (Gemini API Additional Terms). Een gratis sleutel weigert de app. Waarborg: het EU-US Data Privacy Framework en standaardcontractbepalingen uit de verwerkersvoorwaarden van Google, die voor de betaalde dienst gelden. |
Koppelingen met een eigen account van de klant
Deze diensten ontvangen of leveren pas gegevens als de klant of een gebruiker zijn eigen account koppelt. De klant of gebruiker heeft dan zelf een overeenkomst met die dienst. Sales Surge schakelt ze niet in als subverwerker.
| Onderwerp | Wat er gebeurt | Locatie en voorwaarden |
|---|---|---|
| Google (Gmail en Google Agenda) | Een gebruiker koppelt zijn eigen mailbox of agenda. Lumo haalt mail met bekende relaties en afspraken op, en verstuurt mail of afspraken die de gebruiker maakt. | De gegevens staan bij Google onder het eigen account van de gebruiker. Voor de toegang van Lumo gelden de regels van Google voor apps, het API Services User Data Policy, inclusief de regels voor beperkt gebruik (Limited Use). Google LLC is gecertificeerd onder het EU-US Data Privacy Framework. |
| Microsoft (Outlook en agenda van Microsoft 365) | Een gebruiker koppelt zijn eigen mailbox en agenda. Lumo haalt mail met bekende relaties en afspraken op, en verstuurt mail of afspraken die de gebruiker maakt. Microsoft is de bron van deze gegevens en geen subverwerker van Sales Surge. | De gegevens staan bij Microsoft onder het eigen account van de gebruiker, of van zijn organisatie. Voor de toegang van Lumo gelden de Microsoft APIs Terms of Use. Wat Lumo met de gegevens doet, staat op de pagina Microsoft 365-integratie. |
| Pipedrive | Import en synchronisatie met het eigen Pipedrive-account van de klant. | Volgens Pipedrive komen EU-accounts standaard in de EU terecht (subverwerkers van Pipedrive). Voorwaarden: de DPA van Pipedrive bij het account van de klant. |
| Meta (Facebook en Instagram) | Leadformulieren uit advertenties van de klant. Lumo haalt een lead op met de toegang die de klant zelf geeft. Lumo plaatst geen Meta-pixel, niet op lumoheaven.com en niet in de app. | Voor leadformulieren gelden de Lead Ad Terms van Meta tussen Meta en de klant. Daarin is de klant verantwoordelijk voor toestemming en informatie aan de mensen die het formulier invullen. |
| Apollo.io | Verrijken van personen en organisaties met de eigen API-sleutel van de klant. Lumo stuurt dan bijvoorbeeld een naam, e-mailadres of domein naar Apollo. | Hosting in de Verenigde Staten. Waarborg: het EU-US Data Privacy Framework met standaardcontractbepalingen als terugval, volgens de DPA van Apollo, die onderdeel is van de voorwaarden van Apollo. |
| ProspectPro (Bedrijfsdata.nl B.V.) | Herkennen van bedrijven die de website van de klant bezoeken, met de eigen sleutel van de klant. Zet de klant een ProspectPro-site-id in de websitemeting van Lumo, dan laadt het script van Lumo ook het script van ProspectPro op de site van de klant, behalve bij Do Not Track of Global Privacy Control. | Bedrijfsdata.nl B.V. is een Nederlands bedrijf. Een verwerkersovereenkomst voor klanten en de locatie van de verwerking publiceert ProspectPro niet (privacybeleid). De klant regelt die zelf met ProspectPro. |
Video in begeleiding, pas na een klik
Een werkruimte kan een video van Loom, YouTube of Vimeo in een rondleiding of uitleg zetten. De app laadt die video pas als de kijker op "Video laden" klikt. Daarvoor gaat er geen verzoek naar die partij.
| Onderwerp | Wat er gebeurt | Voorwaarden |
|---|---|---|
| Loom, YouTube en Vimeo | Na de klik laadt de browser van de kijker de video bij die partij. Die ontvangt dan het IP-adres van de kijker. YouTube speelt af via youtube-nocookie.com. | De partij verwerkt die gegevens onder haar eigen voorwaarden. Zie de cookieverklaring. |
Voor onze eigen verwerkingen
Leads uit het formulier op lumoheaven.com komen binnen in Lumo en, via een eigen koppeling van Sales Surge, in Pipedrive, het eigen CRM van Sales Surge. Voor die gegevens is Sales Surge verantwoordelijke en is Pipedrive onze eigen dienstverlener, onder de DPA van Pipedrive. De website zelf draait bij Netlify. Meer in de privacyverklaring.
Lumo laadt geen lettertypen van derden. Het lettertype Satoshi staat op onze eigen servers, op de site en in de app. Er gaat dus geen verzoek naar Fontshare of Google Fonts.
Welke koppelingen er zijn, lees je bij integraties. Welke cookies de app gebruikt, staat in de cookieverklaring. Vragen over deze lijst stel je aan info@sales-surge.nl.