Voor inkoop en securityreview
Wat je inkoop- of securityteam vraagt voor een groter contract, beantwoord zoals het vandaag is. Jithox wordt door één persoon gerund. Is het antwoord nee, dan staat hier nee.
De gebruikelijke vragen
| Onderwerp | Stand | Antwoord |
|---|---|---|
| Security-vragenlijst | Ja | Een ingevulde standaardvragenlijst, ook met elke vraag waarop het antwoord nee is (Engels). |
| Verwerkersovereenkomst | Ja | De EU-standaardcontractbepalingen 2021/915 met ingevulde bijlagen. Ondertekend op aanvraag. |
| Lijst van subverwerkers | Ja | Hieronder op deze pagina, gelijk aan bijlage IV van de overeenkomst. Een nieuwe melden we 14 dagen vooraf. |
| Hosting en datalocatie | Ja | Applicatie in Frankfurt (Vercel fra1), database in Frankfurt (Neon eu-central-1), MCP-servers in Helsinki (Hetzner). Sommige subverwerkers verwerken buiten de EU; de lijst zegt welke. |
| Statuspagina | Deels | Actuele beschikbaarheid per server. Geen incidentgeschiedenis. |
| Uptime-SLA | Nee | Geen financiële SLA en geen uptimecijfer: we meten de beschikbaarheid niet, dus we publiceren geen getal. |
| Incidentproces | Deels | Een gepubliceerd veiligheidsadres (security.txt) en melding van een datalek zonder onnodige vertraging volgens de overeenkomst. Geen vast aantal uren en geen piketdienst. |
| Support en reactietijd | Deels | Eén mailbox, en een mens leest elk bericht. Geen gegarandeerde reactietijd. |
| Factuur op naam van je bedrijf, met btw | Ja | Je factuuradres en btw-nummer worden bij het afrekenen gevraagd, en Stripe maakt na betaling een factuur. |
| Contractvoorwaarden | Deels | Voorwaarden in gewone taal, niet door een jurist nagelezen. Toepasselijk recht en rechtbank staan er niet in. |
| Aansprakelijkheid | Nee | De dienst wordt geleverd zoals hij is, zonder garanties. Er is geen aansprakelijkheidsplafond gepubliceerd. |
| Exit en dataportabiliteit | Deels | Aan het einde van het contract kies je verwijderen of teruggeven (clausule 10(d) van de overeenkomst). Er is geen export in zelfbediening: gegevens worden met de hand aangeleverd. |
| Onafhankelijke penetratietest | Nee | Er is er geen uitgevoerd. Onze eigen tests zijn geen onafhankelijke penetratietest. |
| ISO 27001 of SOC 2 | Nee | We hebben geen ISO 27001, geen SOC 2 en geen ander certificaat. |
| Cyber- of aansprakelijkheidsverzekering | Nee | We bieden geen verzekeringsbewijs aan. |
Security-vragenlijst
Zo'n 60 standaardvragen, beantwoord in één bestand (Engels): bedrijf, certificaten, datalocatie, gegevensbescherming, technische maatregelen, beschikbaarheid, incidenten, support en commerciële voorwaarden. Voeg het toe aan je leveranciersreview, of stuur ons je eigen formulier.
Subverwerkers
Dit is bijlage IV van onze verwerkersovereenkomst, zoals ze in de overeenkomst staat (Engels). De tabel wordt uit het bestand van de overeenkomst gelezen, dus deze pagina kan er niet van afwijken.
| # | Sub-processor | What it does for Jithox | Engaged | Where (as published by the sub-processor) | Its own DPA / sub-processor list | Source in code |
|---|---|---|---|---|---|---|
| 1 | Vercel Inc. | Website/API hosting, runtime logs and Web Analytics | Hosting; Analytics through the configured client/server paths | Compute configured fra1; actual log and Analytics storage regions UNKNOWN | https://vercel.com/legal/dpa | vercel.json:8; src/features/site-analytics/track-funnel.ts:78-105 |
| 2 | Neon | Configured Postgres stores for application records and enabled event writers, not all copies of all data | Database-backed paths; anonymous/free public MCP telemetry skips its DB writer | Current region and backup/PITR retention UNKNOWN in B1 | https://neon.com/dpa (redirects to platform terms §3.4) | src/lib/db.ts:22-44; src/app/api/mcp/route.ts:319-332 |
| 3 | Hetzner Online GmbH | Servers of the MCP fleet on mcp.jithox.com | Always | Helsinki, Finland (measured: AS24940) | https://www.hetzner.com/AV/DPA_en.pdf | docs/website/ZAKELIJK_AFNEMEN.md:24 |
| 4 | Clerk, Inc. | Sign-in: e-mail, name, session | Always | United States, per Clerk's own DPA (account data is processed under the EU-U.S. Data Privacy Framework; Clerk's Trust Center sub-processor list is at clerk.com/legal/subprocessors, current as of 10-07-2026) | https://clerk.com/legal/dpa | package.json (@clerk/nextjs); src/features/auth/clerk.ts |
| 5 | Stripe | Card payment and checkout: buyer name, e-mail, billing address, VAT id | Always (paid orders) | Ireland (Stripe Payments Europe, Ltd., contracting entity for a non-US account) and United States (Stripe, Inc., operational replication for fraud prevention), per Stripe's own DPA §1 and §3.2 | https://stripe.com/legal/dpa | package.json (stripe) |
| 6 | Resend | E-mail addresses/content for sending and inbound handling | When the relevant mail feature and credentials/sender are configured; not a default recipient of the eight public checks | Historical published location: United States; actual current account configuration and retention UNKNOWN | https://resend.com/legal/dpa | src/features/mcp-email/client/email-client.ts:160-234; src/features/workspace/inbound-email-body.ts:21 |
| 7 | OpenAI | Separate drafting/image/audio features, not an internal model call in the current eight public check adapters | Feature and key dependent; image/audio plugins use a configured environment key and are retired from /api/mcp. It is not established that every key belongs to the customer | Actual request processing location and retention UNKNOWN; the historically consulted provider list names multiple countries | Signed agreement on file UNKNOWN; historical provider list: https://platform.openai.com/subprocessors | src/features/hosted-draft-beta/hosted-openai-draft-transport.ts:25; src/features/mcp-plugins/plugins/receipt-vision-plugin.ts:187-189; src/features/release/retired-tools.ts:26-27 |
| 8 | Anthropic | Only in C: drafting with a model key the customer brings | Only when the controller configures an Anthropic model key | Worldwide, per Anthropic's own sub-processor list (trust.anthropic.com/subprocessors, checked 23-09-2026: AWS and Google Cloud, the underlying infrastructure for all products, are both listed with country "Worldwide", not a specific country) | https://www.anthropic.com/legal/data-processing-addendum | src/features/model-engine/model-engine.ts:67 |
| 9 | DeepSeek | Only in C: fallback model for drafting | Only if the DeepSeek fallback is configured (owner does not use it today, see PRODUCT memory) | People's Republic of China, as stated in DeepSeek's own privacy policy (cdn.deepseek.com/policies/en-US/deepseek-privacy-policy.html, "Data storage": "we directly collect, process and store your Personal Data in People's Republic of China") | ONBEKEND — DeepSeek publishes a privacy policy, not a GDPR-standard DPA or SCC package; no EU adequacy decision covers China | src/features/ai-gateway/config.ts:47; src/features/ai/deepseek.ts:25 |
| 10 | Upstash (Redis) | Rate limiting and duplicate detection | Only if configured (Upstash env vars set for the deployment) | Selectable AWS region at database-creation time (Upstash documents both EU options, e.g. eu-west-1 Ireland and eu-central-1 Frankfurt, and US options); which region the current database uses is ONBEKEND, eigenaar controleren | https://upstash.com/static/trust/dpa.pdf (sub-processor list at upstash.com/static/trust/subprocessors.pdf) | src/features/security/rate-limit-store.ts:149-150; src/features/agent-preflight/dedupe-store.ts:62-63 |
| 11 | Vercel Blob | Workspace media bytes | Only through a configured media-storage path; not automatically every image/audio tool | Blob region and physical deletion/backups UNKNOWN; not inferred from compute region | https://vercel.com/legal/dpa | src/features/media-assets/store.ts:24-72; src/app/api/workspace/media/route.ts:52-67 |
| 12 | Google Cloud Tasks | Queue for agent actions | Only if enabled (the owner does not use this today) | Region is a per-project GCP configuration choice; Google's Cloud DPA (cloud.google.com/terms/data-processing-addendum §10) states data may be processed in any country where Google or its sub-processors maintain facilities unless a region is pinned; which region Jithox would pin is ONBEKEND, eigenaar controleren (not configured) | https://cloud.google.com/terms/data-processing-addendum | src/features/agent-actions/google-cloud-tasks-agent-action-dispatch-queue.ts:247 |
| 13 | Sentry (not an active recipient in this adapter) | Error-monitoring placeholder | Adapter is not installed; setting a DSN alone does not send an event | Not established; current adapter logs to console instead | https://sentry.io/legal/dpa/ | src/features/monitoring/error-monitoring.ts:59-60,102-117 |
| 14 | Telegram | Notification that a draft is ready | Only if configured (the owner does not use this today) | For EEA/UK sign-ups Telegram states its data centres are in the Netherlands (telegram.org/privacy §"Where do we store your data"); a bot's outbound message to an existing chat runs over the same Telegram infrastructure | https://telegram.org/privacy (no separate GDPR sub-processor DPA is published for the Bot API; the Standard Bot Privacy Policy at telegram.org/privacy-tpa applies to bots without their own policy) | src/features/workspace/draft-ready-notifier.ts:83 |
| 15 | Payhip | Sale and delivery of Jithox downloads (withdrawn from sale on 2026-09-18; existing buyers keep access); sends Jithox a webhook with buyer data, of which Jithox stores the buyer e-mail only as a SHA-256 hash | Only for existing buyers of the withdrawn product; no new sales | EU, per Payhip's own privacy policy (payhip.com/privacy, "Where we store your personal data": "All information We hold about you is stored on secure servers in the EU"); the data controller, Payhip Limited, is registered in London, UK, but that is the controller's registered office, not the stated storage location | ONBEKEND — Payhip publishes a privacy policy, not a standalone GDPR DPA; no separate sub-processor list found | src/content/site/offers.ts:158-159,166; src/app/api/webhooks/payhip/route.ts:69 |
Contact voor inkoop
Eén adres. Zet "Procurement" in het onderwerp, en een mens leest het.
- Je bedrijf, en waarvoor je Jithox wilt gebruiken.
- Je eigen vragenlijst of contract, als je die hebt.
- Of je een ondertekende verwerkersovereenkomst nodig hebt.
Er is geen gegarandeerde reactietijd, en elke wijziging aan onze voorwaarden beslist de eigenaar.