Transparantieregister · v1.0

Dienstverleners, subverwerkers & AI-aanbieders.

Openbaar register: derde partijen die wezenlijk betrokken zijn bij klant- of gebruikersdata, de levering van Herm of AI-functionaliteit.

[tekst TBC: juridische review] Inleiding: wat dit register is, voor wie het bedoeld is, en het feit dat het wordt gepubliceerd voor transparantie en due diligence door zakelijke klanten, en niet omdat een specifieke regel dat vereist.

Op deze pagina

01 Over dit register 02 Verwerkers en subverwerkers van persoonsgegevens 03 AI- en modelaanbieders 04 Andere wezenlijke diensten van derden 05 GEO-meetplatforms 06 Internationale doorgiften 07 Wijzigingen in dienstverleners en subverwerkers 08 Contact

01 · Over dit register

Eén feitelijke database, meerdere beleidsdocumenten.

[tekst TBC: juridische review] Doel van het register, en de verklaring dat dit binnen Herm de enige bron van waarheid is voor de openbaarmaking van leveranciers: één feitelijke database, met meerdere beleidsdocumenten die de juridische betekenis ervan uitleggen.

Wat deze pagina is

Een transparantieregister, geen opsomming van de volledige technische stack van Herm.

Wat deze pagina niet is

Het openbare register bevat niet elk npm-pakket, elke Python-dependency, elk API-endpoint, elke interne ontwikkeltool, elk databasecomponent of elk operationeel SaaS-account.

Waarom we het publiceren

[tekst TBC: juridische review] Waarom het register bestaat: transparantie, due diligence door zakelijke klanten en governance, en hoe het zich verhoudt tot artikel 28 en de EU AI Act, zonder die te overdrijven.

Hoe de beleidsdocumenten naar dit register verwijzen

Privacybeleid → “Voor onze actuele lijst van dienstverleners die persoonsgegevens verwerken, zie ons register Dienstverleners, subverwerkers & AI-aanbieders.”

GDPR-naleving → Legt artikel 28, DPA's, internationale doorgiften en het beheer van subverwerkers uit, en verwijst daarna naar hetzelfde register.

AI-beleid → “Onze actuele externe AI-aanbieders worden bijgehouden in ons register Dienstverleners, subverwerkers & AI-aanbieders.”

DPA / B2B-voorwaarden → Neemt het subverwerkersdeel van dat register door verwijzing op en legt het mechanisme voor melding en bezwaar vast.

◍ herm · zo lees je een rij

Rol in gegevensbescherming: de juridische classificatie hangt af van de feitelijke verwerkingsrelatie, niet van de naam van de leverancier.

AI-aanbieders: een AI-aanbieder wordt niet automatisch een verwerker/subverwerker onder de GDPR alleen omdat Herm zijn API gebruikt.

Een lang streepje: betekent dat het veld nog niet is ingevuld. Klap een rij uit voor alle velden.

02 · Verwerkers en subverwerkers van persoonsgegevens

Waar diensten daadwerkelijk persoonsgegevens verwerken.

[tekst TBC: juridische review] Reikwijdte van dit register, en hoe de relatie tussen verwerkingsverantwoordelijke, verwerker en subverwerker voor een bepaalde rij wordt vastgesteld.

● actief – nog niet ingevuld + rij uitklappen

Aanbieder · dienstDoelHerm-dienst Rol in gegevensbeschermingStatus

Amazon Web Services, Inc. AWS EC2 / RDS / S3 Hosting en opslag Herm voor consumenten / GEO / website Verwerker ● Actief

Juridische entiteit van de aanbieder

Amazon Web Services, Inc.

Verwerkte gegevens

Accountgegevens, aankoopgegevens

Verwerkingslocatie

Frankfurt, Germany

Internationale doorgifte

Geen

Bewaartermijn

—

Laatst bijgewerkt

18 augustus 2026

PostHog Productanalyse — — — ● Actief

Juridische entiteit van de aanbieder

—

Verwerkte gegevens

—

Verwerkingslocatie

—

Internationale doorgifte

—

Bewaartermijn

—

Laatst bijgewerkt

18 augustus 2026

Sentry Foutmonitoring — — — ● Actief

Juridische entiteit van de aanbieder

—

Verwerkte gegevens

—

Verwerkingslocatie

—

Internationale doorgifte

—

Bewaartermijn

—

Laatst bijgewerkt

18 augustus 2026

Google — — — — ● Actief

Juridische entiteit van de aanbieder

—

Verwerkte gegevens

—

Verwerkingslocatie

—

Internationale doorgifte

—

Bewaartermijn

—

Laatst bijgewerkt

18 augustus 2026

Rolwaarden: Verwerker · Subverwerker · Zelfstandige verwerkingsverantwoordelijke. De juridische classificatie hangt af van de feitelijke verwerkingsrelatie, niet van de naam van de leverancier.

03 · AI- en modelaanbieders

De AI-diensten die Herm gebruikt, en wat ze bereikt.

AI-aanbieders: externe AI-diensten die Herm gebruikt om zijn producten te leveren of te exploiteren. Een AI-aanbieder wordt niet automatisch een verwerker/subverwerker onder de GDPR alleen omdat Herm zijn API gebruikt.

[tekst TBC: juridische review] Zo lees je deze sectie: wat “persoonsgegevens verstuurd”, “klantcontent” en “gegevens gebruikt voor modeltraining door de aanbieder” betekenen, en het geval van geanonimiseerde productinformatie.

Aanbieder · dienstGebruik door HermPersoonsgegevens verstuurd Training door aanbiederStatus

OpenAI API Product-/merkmatching; GEO-generatie — — ● Actief

Herm-product

Consumentenbackend / GEO

Klantcontent

—

Verwerkingsregio

—

Dienst

API

Model

Diverse modellen

Laatst bijgewerkt

18 augustus 2026

Anthropic API — — — ● Actief

Herm-product

—

Klantcontent

—

Verwerkingsregio

—

Dienst

API

Model

Diverse modellen

Laatst bijgewerkt

18 augustus 2026

Google API — — — ● Actief

Herm-product

—

Klantcontent

—

Verwerkingsregio

—

Dienst

API

Model

Diverse modellen

Laatst bijgewerkt

18 augustus 2026

AWS Bedrock API — — — ● Actief

Herm-product

—

Klantcontent

—

Verwerkingsregio

—

Dienst

API

Model

Diverse modellen

Laatst bijgewerkt

18 augustus 2026

xAI API — — — ● Actief

Herm-product

—

Klantcontent

—

Verwerkingsregio

—

Dienst

API

Model

Diverse modellen

Laatst bijgewerkt

18 augustus 2026

Perplexity API — — — ● Actief

Herm-product

—

Klantcontent

—

Verwerkingsregio

—

Dienst

API

Model

Diverse modellen

Laatst bijgewerkt

18 augustus 2026

OpenRouter API — — — ● Actief

Herm-product

—

Klantcontent

—

Verwerkingsregio

—

Dienst

API

Model

Diverse modellen

Laatst bijgewerkt

18 augustus 2026

Qwen API (gecontracteerde aanbieder nog te benoemen) — — — ● Actief

Herm-product

—

Klantcontent

—

Verwerkingsregio

—

Dienst

API (gecontracteerde aanbieder nog te benoemen)

Model

Diverse modellen

Laatst bijgewerkt

18 augustus 2026

Over modelversies

Gebruikte modellen: diverse modellen van de aanbieder. Herm kan individuele modelversies wijzigen wanneer modellen worden geëvalueerd, bijgewerkt of uitgefaseerd.

Gegevens gebruikt voor modeltraining door de aanbieder

YesNoNot applicable

[tekst TBC: juridische review] Wat “training/secundair gebruik: niet toegestaan” vastlegt, en naar welk contract of welke configuratie het verwijst.

04 · Andere wezenlijke diensten van derden

Externe afhankelijkheden die wezenlijk zijn voor de dienst.

Externe afhankelijkheden die wezenlijk zijn voor de dienst, maar niet per se verwerkers of AI-aanbieders zijn. Classificatie: Integratie · Infrastructuur · Authenticatie · Analytics · AI · Communicatie.

[tekst TBC: juridische review] Waarom deze apart worden vermeld, en het punt dat een OAuth-identiteitsprovider niet in de categorie “subverwerker” moet worden geperst wanneer de feitelijke juridische relatie genuanceerder is.

Aanbieder · dienstClassificatieDoel Betrokken persoonsgegevensStatus

Google Google OAuth / Gmail API Authenticatie — — ● Actief

Herm-dienst

—

Verwerkingslocatie

—

Laatst bijgewerkt

18 augustus 2026

Apple Apple Sign-In Authenticatie — — ● Actief

Herm-dienst

—

Verwerkingslocatie

—

Laatst bijgewerkt

18 augustus 2026

Nog te benoemen Authenticatieprovider Authenticatie — — ● Actief

Herm-dienst

—

Verwerkingslocatie

—

Laatst bijgewerkt

18 augustus 2026

Nog te benoemen E-mailbezorging Communicatie — — ● Actief

Herm-dienst

—

Verwerkingslocatie

—

Laatst bijgewerkt

18 augustus 2026

Nog te benoemen CDN / netwerkdiensten Infrastructuur — — ● Actief

Herm-dienst

—

Verwerkingslocatie

—

Laatst bijgewerkt

18 augustus 2026

Nog te benoemen App-distributie / build-infrastructuur Infrastructuur — — ● Actief

Herm-dienst

—

Verwerkingslocatie

—

Laatst bijgewerkt

18 augustus 2026

Nog te benoemen Externe API's / integraties Integratie — — ● Actief

Herm-dienst

—

Verwerkingslocatie

—

Laatst bijgewerkt

18 augustus 2026

05 · GEO-meetplatforms

Gemeten, niet geleverd.

GEO-meetplatforms: AI-diensten waartegen Herm de zichtbaarheid van een merk kan meten, zoals ChatGPT, Claude, Gemini, Perplexity en Grok. Deze staan los van de AI-aanbieders in sectie 03, die Herm gebruikt om zijn producten te leveren of te exploiteren.

[tekst TBC: juridische review] De verduidelijking dat een vermelding hier niet betekent dat het platform persoonsgegevens ontvangt, zo verwoord dat het niet als een openbaarmaking van gegevensdeling kan worden gelezen.

◍ herm · meetpanel vijf modellen · gelijk gewicht · personalisatie uit

PlatformPersoonsgegevens verstuurdRelatie

ChatGPT — Gemeten

Claude — Gemeten

Gemini — Gemeten

Perplexity — Gemeten

Grok — Gemeten

└ Een platform kan om verschillende redenen in sectie 03 én in sectie 05 staan: één keer als dienst die Herm gebruikt, één keer als dienst die Herm meet.

06 · Internationale doorgiften

Elke doorgifte heeft een benoemd mechanisme.

Elke rij in sectie 02 vermeldt het standpunt over internationale doorgifte: Geen / SCCs / UK IDTA / DPF / adequaatheid.

[tekst TBC: juridische review] Het doorgiftestandpunt van Herm: op welke mechanismen wordt gesteund, hoe doorgiftebeoordelingen worden behandeld, en wat klanten op verzoek kunnen krijgen.

Mechanismen die in dit register worden gebruikt

Geen Geen internationale doorgifte voor de verwerking die in de rij wordt beschreven.

Adequaatheid Adequaatheidsbesluit.

SCCs Standaardcontractbepalingen (Standard Contractual Clauses).

UK IDTA International Data Transfer Agreement van het Verenigd Koninkrijk.

DPF EU-VS Data Privacy Framework.

07 · Wijzigingen in dienstverleners en subverwerkers

Vooraf melden, niet achteraf.

[tekst TBC: juridische review] Kader voor deze sectie, inclusief hoe die zich verhoudt tot de algemene toestemming voor subverwerkers onder artikel 28.

Wijzigingen in subverwerkers

Waar onze contractuele verplichtingen of verplichtingen op het gebied van gegevensbescherming dat vereisen, stellen we klanten op de hoogte voordat we een nieuwe subverwerker inschakelen die namens hen persoonsgegevens gaat verwerken.

Bezwaarmechanisme

[tekst TBC: juridische review] Hoe een melding wordt gedaan, de meldingstermijn, en hoe een klant bezwaar kan maken, in lijn met het meldings- en bezwaarmechanisme in de DPA.

08 · Contact

Vragen over een rij.

[tekst TBC: juridische review] Met wie je contact opneemt, waarvoor, en de route voor een beveiligingsreview door zakelijke klanten of een vraag over de DPA.

Contactpunten

Vragen over privacy en gegevensbescherming —

Beveiligingsreviews en vragenlijsten —

Entiteit van de verwerkingsverantwoordelijke —

Vertegenwoordiger in de EU / het VK, waar van toepassing —