# Subverwerkers

Leveranciers die namens Cortena gegevens verwerken.

**Laatst bijgewerkt:** 8 oktober 2026

Cortena gebruikt een beperkte set goedgekeurde subverwerkers om de Dienst te leveren. Op deze pagina vind je elke subverwerker, de locatie, het verwerkingsdoel en de manier waarop gegevens worden bewaard.

Optionele rijen (FinAPI, Yapily, Microsoft) gelden alleen wanneer ze voor die klant zijn ingeschakeld. FinAPI en Yapily: de klant schakelt de integratie in Cortena in. Microsoft: de klant schakelt het in en Cortena activeert het op verzoek voor die klant.

Heb je vragen of wil je onze volledige DPA/AVV ontvangen? Neem dan contact op via [compliance@cortena.ai](mailto:compliance@cortena.ai).

## 1. Doel

Transparantie bieden over derden die namens Cortena klantgegevens kunnen verwerken, in overeenstemming met de vereisten van de AVG.

## 2. Lijst met subverwerkers

| Subverwerker | Land | Doel | Bewaartermijn |
| --- | --- | --- | --- |
| **Hetzner Online GmbH** | Duitsland | Kerninfrastructuur: hosting en opslag van alle platformgegevens op dedicated servers in een privé Kubernetes-cluster | Duur van het contract |
| **OpenAI Ireland Limited** | Ierland | LLM-aanbieder voor automatisering van financiële workflows, waaronder documentextractie, classificatie, matching, analyse en door AI ondersteunde uitvoering | Alleen kortdurende verwerking · gegevens worden niet bewaard voor het trainen van modellen |
| **Anthropic PBC** | Verenigde Staten | LLM-aanbieder voor het genereren en verfijnen van klantspecifieke boekhoudrichtlijnen, waaronder logica voor het rekeningschema, btw-behandeling en matchingrichtlijnen | Alleen kortdurende verwerking · gegevens worden niet bewaard voor het trainen van modellen |
| ~~**AC PM LLC (Postmark)**~~ | ~~Verenigde Staten~~ | ~~Inkomende e-mailroutering: eerste ontvangst en verwerking van financiële documenten die per e-mail zijn ingediend~~ · **Gewijzigd vanaf 10 september 2026:** vervangen door inkomende e-mail via Cortena's eigen hosting met [receivehq.com](https://receivehq.com), beheerd door Cortena | ~~Maximaal 7 dagen~~ · Duur van het contract |
| **Cortena B.V. (ReceiveHQ / receivehq.com)** | Duitsland | Inkomende e-mailroutering: eerste ontvangst en verwerking van financiële documenten die per e-mail zijn ingediend · Beheerd door Cortena, met eigen hosting via receivehq.com | Duur van het contract |
| **Google Cloud EMEA Limited (Google Workspace)** | Ierland | Opslag en beheer van AI-instructies, bedrijfsrichtlijnen en matchingregels die door de klant zijn aangeleverd | Duur van het contract |
| **Microsoft Ireland Operations Limited** | Ierland | Opslag en beheer van AI-instructies, bedrijfsrichtlijnen en matchingregels die door de klant zijn aangeleverd · **Optioneel:** alleen als de klant Microsoft inschakelt en Cortena het op verzoek voor die klant activeert | Duur van het contract |
| **Yapily Ltd** | Verenigd Koninkrijk | PSD2-conforme open-bankingkoppeling: banktransacties en betalingsactiviteiten · **Optioneel:** alleen als de klant Yapily / open banking in Cortena inschakelt | Duur van het contract |
| **finAPI GmbH** | Duitsland | PSD2-accountinformatie en betalingsinitiatie: bankkoppeling, transactiesynchronisatie en SEPA-betalingsautorisatie · **Optioneel:** alleen als de klant FinAPI in Cortena inschakelt · **Aangeboden vanaf 24 augustus 2026** | Duur van het contract |

## 3. Internationale doorgifte

De gegevens van de kernapplicatie worden opgeslagen en verwerkt in **Duitsland** bij Hetzner. Sommige subverwerkers bevinden zich buiten de EU/EER:

- ~~**Postmark, VS:** Beperkt tot inkomende e-mailroutering. Gegevens worden maximaal 7 dagen bewaard. De Standard Contractual Clauses, SCC's, zijn van toepassing.~~ **Vanaf 10 september 2026** wordt inkomende e-mail verwerkt door **Cortena met eigen hosting via receivehq.com** in Duitsland. Deze doorgifte naar de VS is daarom niet langer van toepassing op nieuwe inkomende e-mail.
- **Anthropic, VS:** Beperkt tot het genereren en verfijnen van klantspecifieke boekhoudrichtlijnen. Gegevens worden niet langer bewaard dan nodig is voor de betreffende taak. De SCC's zijn van toepassing.
- **Yapily, VK:** Het VK wordt sinds de Brexit behandeld als een derde land. Het adequaatheidsbesluit voor de EU en het VK is van toepassing waar dat vereist is.

Alle andere subverwerkers bevinden zich binnen de EU/EER, in Ierland of Duitsland, inclusief de verwerking van inkomende e-mail via ReceiveHQ.

## 4. Verwerking door AI en LLM's

Cortena gebruikt OpenAI Ireland Limited en Anthropic PBC als LLM-aanbieders voor functies voor automatisering van financiële workflows.

Belangrijke toezeggingen:

- LLM-aanbieders **slaan klantgegevens niet op en loggen deze niet** buiten het directe verwerkingsverzoek
- Alle overdrachten zijn beveiligd via **HTTPS/TLS**
- Cortena deelt alleen de **minimaal noodzakelijke gegevens** voor de gevraagde taak
- Klantgegevens worden **niet gebruikt om AI-modellen voor algemene doeleinden te trainen**

## 5. Wijzigingen in subverwerkers

Cortena informeert klanten ten minste **14 dagen voordat** een nieuwe subverwerker wordt toegevoegd of een bestaande subverwerker wezenlijk verandert. De melding wordt verstuurd naar de contactgegevens die in het toepasselijke contract of de DPA/AVV zijn vermeld. Klanten met een actieve DPA kunnen binnen de meldingsperiode bezwaar maken tegen nieuwe subverwerkers.

## 6. Contact

- Compliance / DPA: [compliance@cortena.ai](mailto:compliance@cortena.ai)
- Functionaris voor gegevensbescherming / privacy, AVG: [dpo@cortena.ai](mailto:dpo@cortena.ai)
- Support: [support@cortena.ai](mailto:support@cortena.ai)
- Bedrijf: Cortena B.V., Stadhouderskade 5 - 6, 1054 ES Amsterdam, Nederland

## 7. Changelog van de lijst

| Datum | Wijziging |
| --- | --- |
| **8 oktober 2026** | **finAPI GmbH** (Duitsland) toegevoegd, optioneel wanneer de klant FinAPI in Cortena inschakelt · aangeboden vanaf 24 augustus 2026. **Microsoft Ireland Operations Limited** als optioneel gemarkeerd (klant schakelt in + Cortena activeert op verzoek). Land voor **ReceiveHQ** gezet op Duitsland. **Yapily** verduidelijkt als optioneel wanneer de klant open banking inschakelt. |
| **10 september 2026** | Inkomende e-mail: **Postmark** vervangen door Cortena's zelf gehoste **ReceiveHQ** (receivehq.com). |