Voor inkoop en securityreview
Wat je inkoop- of securityteam vraagt voor een groter contract, beantwoord zoals het vandaag is. Jithox wordt door één persoon gerund. Is het antwoord nee, dan staat hier nee.
De gebruikelijke vragen
| Onderwerp | Stand | Antwoord |
|---|---|---|
| Security-vragenlijst | Ja | Een ingevulde standaardvragenlijst, ook met elke vraag waarop het antwoord nee is (Engels). |
| Verwerkersovereenkomst | Ja | De EU-standaardcontractbepalingen 2021/915 met ingevulde bijlagen. Ondertekend op aanvraag. |
| Lijst van subverwerkers | Ja | Hieronder op deze pagina, gelijk aan bijlage IV van de overeenkomst. Een nieuwe melden we 14 dagen vooraf. |
| Hosting en datalocatie | Ja | Applicatie in Frankfurt (Vercel fra1), database in Frankfurt (Neon eu-central-1), MCP-servers in Helsinki (Hetzner). Sommige subverwerkers verwerken buiten de EU; de lijst zegt welke. |
| Statuspagina | Deels | Actuele beschikbaarheid per server. Geen incidentgeschiedenis. |
| Uptime-SLA | Nee | Geen financiële SLA en geen uptimecijfer: we meten de beschikbaarheid niet, dus we publiceren geen getal. |
| Incidentproces | Deels | Een gepubliceerd veiligheidsadres (security.txt) en melding van een datalek zonder onnodige vertraging volgens de overeenkomst. Geen vast aantal uren en geen 24/7-bereikbaarheid. |
| Support en reactietijd | Deels | Eén mailbox, en een mens leest elk bericht. Geen gegarandeerde reactietijd. |
| Factuur op naam van je bedrijf, met btw | Deels | Je factuuradres en btw-nummer worden bij het afrekenen gevraagd en Stripe berekent de btw, maar een top-up maakt vandaag geen factuur. Geen betaling per overschrijving of inkooporder. |
| Contractvoorwaarden | Deels | Voorwaarden in gewone taal, niet door een jurist nagelezen. Toepasselijk recht en rechtbank staan er niet in. |
| Aansprakelijkheid | Nee | De dienst wordt geleverd zoals hij is, zonder garanties. Er is geen aansprakelijkheidsplafond gepubliceerd. |
| Exit en dataportabiliteit | Deels | Aan het einde van het contract kies je verwijderen of teruggeven (clausule 10(d) van de overeenkomst). Er is geen export in zelfbediening: gegevens worden met de hand aangeleverd. |
| Onafhankelijke penetratietest | Nee | Er is er geen uitgevoerd. Onze eigen tests zijn geen onafhankelijke penetratietest. |
| ISO 27001 of SOC 2 | Nee | We hebben geen ISO 27001, geen SOC 2 en geen ander certificaat. |
| Cyber- of aansprakelijkheidsverzekering | Nee | We bieden geen verzekeringsbewijs aan. |
Security-vragenlijst
Zo'n 60 standaardvragen, beantwoord in één bestand (Engels): bedrijf, certificaten, datalocatie, gegevensbescherming, technische maatregelen, beschikbaarheid, incidenten, support en commerciële voorwaarden. Voeg het toe aan je leveranciersreview, of stuur ons je eigen formulier.
Subverwerkers
Dit is bijlage IV van onze verwerkersovereenkomst, zoals ze in de overeenkomst staat (Engels). De tabel wordt uit het bestand van de overeenkomst gelezen, dus deze pagina kan er niet van afwijken.
| # | Sub-processor | What it does for Jithox | Engaged | Where (as published by the sub-processor) | Its own DPA / sub-processor list | Source in code |
|---|---|---|---|---|---|---|
| 1 | Vercel Inc. | Hosting of the website, API and app | Always | Region fra1 (Frankfurt), configured and measured | https://vercel.com/legal/dpa | vercel.json:8 |
| 2 | Neon | Postgres database for all application data | Always | eu-central-1 (Frankfurt) | https://neon.com/dpa (redirects to platform terms §3.4) | src/lib/db.ts:110-111 |
| 3 | Hetzner Online GmbH | Servers of the MCP fleet on mcp.jithox.com | Always | Helsinki, Finland (measured: AS24940) | https://www.hetzner.com/AV/DPA_en.pdf | docs/website/ZAKELIJK_AFNEMEN.md:24 |
| 4 | Clerk, Inc. | Sign-in: e-mail, name, session | Always | United States, per Clerk's own DPA (account data is processed under the EU-U.S. Data Privacy Framework; Clerk's Trust Center sub-processor list is at clerk.com/legal/subprocessors, current as of 10-07-2026) | https://clerk.com/legal/dpa | package.json (@clerk/nextjs); src/features/auth/clerk.ts |
| 5 | Stripe | Card payment and checkout: buyer name, e-mail, billing address, VAT id | Always (paid orders) | Ireland (Stripe Payments Europe, Ltd., contracting entity for a non-US account) and United States (Stripe, Inc., operational replication for fraud prevention), per Stripe's own DPA §1 and §3.2 | https://stripe.com/legal/dpa | package.json (stripe) |
| 6 | Resend | Sending e-mail and receiving inbound e-mail (addresses, message content) | Always | United States, per Resend's own sub-processor list (resend.com/legal/subprocessors); Resend's DPA (§4) names the list as authoritative | https://resend.com/legal/dpa | src/features/mcp-email/client/email-client.ts:215; src/features/workspace/inbound-email-body.ts:21 |
| 7 | OpenAI | A (MCP tools parse_receipt_vision, transcribe_and_slice_audio: receipt images and audio files) and C (drafting, receipt reading, audio transcription) | Only if OPENAI_API_KEY is set for the controller's account; the tools refuse the call otherwise | Mixed, per OpenAI's published sub-processor list for the API product (platform.openai.com/subprocessors, checked 23-09-2026): Microsoft (cloud infrastructure) is listed for 22 countries including several EU/EEA states (e.g. France, Germany, Ireland, Italy, Netherlands, Poland, Spain, Sweden), CoreWeave lists Sweden among its countries, Google Cloud Platform lists Finland and Netherlands, while Amazon Web Services is listed as United States only; the list does not state which entity or country handles a given request | ONBEKEND whether Jithox has a signed DPA with OpenAI on file (the provider's own DPA page returned HTTP 403 to our automated check on 23-09-2026); the platform.openai.com/subprocessors page above is public and does not require sign-in | src/features/hosted-draft-beta/hosted-openai-draft-transport.ts:25; src/features/mcp-plugins/plugins/receipt-vision-plugin.ts:189; src/features/mcp-plugins/plugins/transcribe-audio-plugin.ts:162 |
| 8 | Anthropic | Only in C: drafting with a model key the customer brings | Only when the controller configures an Anthropic model key | Worldwide, per Anthropic's own sub-processor list (trust.anthropic.com/subprocessors, checked 23-09-2026: AWS and Google Cloud, the underlying infrastructure for all products, are both listed with country "Worldwide", not a specific country) | https://www.anthropic.com/legal/data-processing-addendum | src/features/model-engine/model-engine.ts:67 |
| 9 | DeepSeek | Only in C: fallback model for drafting | Only if the DeepSeek fallback is configured (owner does not use it today, see PRODUCT memory) | People's Republic of China, as stated in DeepSeek's own privacy policy (cdn.deepseek.com/policies/en-US/deepseek-privacy-policy.html, "Data storage": "we directly collect, process and store your Personal Data in People's Republic of China") | ONBEKEND — DeepSeek publishes a privacy policy, not a GDPR-standard DPA or SCC package; no EU adequacy decision covers China | src/features/ai-gateway/config.ts:47; src/features/ai/deepseek.ts:25 |
| 10 | Upstash (Redis) | Rate limiting and duplicate detection | Only if configured (Upstash env vars set for the deployment) | Selectable AWS region at database-creation time (Upstash documents both EU options, e.g. eu-west-1 Ireland and eu-central-1 Frankfurt, and US options); which region the current database uses is ONBEKEND, eigenaar controleren | https://upstash.com/static/trust/dpa.pdf (sub-processor list at upstash.com/static/trust/subprocessors.pdf) | src/features/security/rate-limit-store.ts:149-150; src/features/agent-preflight/dedupe-store.ts:62-63 |
| 11 | Vercel Blob | Storage of media files | Only if used (a controller submits a receipt image/audio file or other stored media) | Covered by the Vercel DPA and the Vercel region configured for the project (see row 1: fra1, Frankfurt); Vercel Blob does not publish a separate region list from the main platform | https://vercel.com/legal/dpa | src/features/media-assets/store.ts:34 |
| 12 | Google Cloud Tasks | Queue for agent actions | Only if enabled (the owner does not use this today) | Region is a per-project GCP configuration choice; Google's Cloud DPA (cloud.google.com/terms/data-processing-addendum §10) states data may be processed in any country where Google or its sub-processors maintain facilities unless a region is pinned; which region Jithox would pin is ONBEKEND, eigenaar controleren (not configured) | https://cloud.google.com/terms/data-processing-addendum | src/features/agent-actions/google-cloud-tasks-agent-action-dispatch-queue.ts:247 |
| 13 | Sentry | Error monitoring | Only if SENTRY_DSN is set | Depends on the data-storage-location setting a Sentry customer picks at signup (EU or US region); Sentry's own sub-processor list (sentry.io/legal/subprocessors) names AWS, Google Cloud and Cloudflare as its infrastructure, each available in EU or US; which region Jithox's project uses is ONBEKEND, eigenaar controleren (not configured) | https://sentry.io/legal/dpa/ | src/features/monitoring/error-monitoring.ts:66-67 |
| 14 | Telegram | Notification that a draft is ready | Only if configured (the owner does not use this today) | For EEA/UK sign-ups Telegram states its data centres are in the Netherlands (telegram.org/privacy §"Where do we store your data"); a bot's outbound message to an existing chat runs over the same Telegram infrastructure | https://telegram.org/privacy (no separate GDPR sub-processor DPA is published for the Bot API; the Standard Bot Privacy Policy at telegram.org/privacy-tpa applies to bots without their own policy) | src/features/workspace/draft-ready-notifier.ts:83 |
| 15 | Payhip | Sale and delivery of Jithox downloads (withdrawn from sale on 2026-09-18; existing buyers keep access); sends Jithox a webhook with buyer data, of which Jithox stores the buyer e-mail only as a SHA-256 hash | Only for existing buyers of the withdrawn product; no new sales | EU, per Payhip's own privacy policy (payhip.com/privacy, "Where we store your personal data": "All information We hold about you is stored on secure servers in the EU"); the data controller, Payhip Limited, is registered in London, UK, but that is the controller's registered office, not the stated storage location | ONBEKEND — Payhip publishes a privacy policy, not a standalone GDPR DPA; no separate sub-processor list found | src/content/site/offers.ts:158-159,166; src/app/api/webhooks/payhip/route.ts:69 |
Contact voor inkoop
Eén adres. Zet "Procurement" in het onderwerp, en een mens leest het.
- Je bedrijf, en waarvoor je Jithox wilt gebruiken.
- Je eigen vragenlijst of contract, als je die hebt.
- Of je een ondertekende verwerkersovereenkomst nodig hebt.
Er is geen gegarandeerde reactietijd, en elke wijziging aan onze voorwaarden beslist de eigenaar.