Sub-processorlijst

Elke externe partij die (potentieel) persoonsgegevens verwerkt namens Jema One. Klik een verwerker uit voor de details. Onze sub-verwerkers schakelen zelf ook partijen in; die staan op hun eigen lijsten, en een volledig overzicht sturen we op verzoek.

Laatst gewijzigd op 13 oktober 2026. Wijzigingen worden 30 dagen vooraf aangekondigd.

Gewijzigd op 13 oktober 2026

Nieuw op de lijst: overheid.io, voor het opzoeken van een bedrijf in het Handelsregister. De zoekfunctie gebruikt die dienst al. Resellers staan er uitdrukkelijk bij als sub-verwerker; de verwerkersovereenkomst 1.3 zegt het ook. ClouDNS staat niet meer op de lijst, Mollie staat onder de koppelingen die je zelf aanzet, en Actalis, de uitgever van de certificaten, staat onder de ontvangers: zie de kaders onderaan. De lijst noemt alleen nog onze directe sub-verwerkers, niet de partijen die zij zelf inschakelen. Bezwaar maken kan, zoals onderaan beschreven. 46elks verstuurt ook de sms-code bij digitaal ondertekenen, als de afzender daarom vraagt. Nieuw en optioneel: Recommand (België), voor e-facturen via Peppol, als een omgeving dat aanzet. Bij Mistral, die al op de lijst staat, staat Zero Data Retention aan: zie wat wij naar hen sturen. Pushmeldingen gaan nog alleen via Mozilla (Firefox) en Microsoft (Edge): de pushdiensten van Apple en Google gebruiken we niet, en de apps hebben geen pushmeldingen.

UpCloudEU

De server met de applicatie, de databaseserver (PostgreSQL) en Redis

Vestiging: Amsterdam, Nederland
Rechtspersoon: UpCloud Ltd. (Finland)
Wat wij naar hen sturen: Alle gegevens van jouw Jema One-omgeving: de applicatie, de databases en tijdelijke gegevens in Redis. Alles draait op één server, een virtuele machine met high availability: valt de hardware uit, dan start de server automatisch opnieuw op een andere host, in een ander datacenter in dezelfde regio. Een tweede, actief draaiende kopie is er niet. UpCloud, de hostingpartij, versleutelt de hele schijf van de databaseserver.

WorldstreamEU

Opslag van uploads (foto's, PDF's, contracten) en van de back-ups

Vestiging: Naaldwijk, Nederland, in een eigen datacenter
Rechtspersoon: Worldstream B.V.
Wat wij naar hen sturen: Bestanden die je in de app uploadt, in een eigen map per omgeving. Apart daarvan, in een andere bucket: de dagelijkse back-ups van de databases, een nachtelijke kopie van de uploads en, na het verwijderen van een omgeving, het fiscale archief. Worldstream versleutelt de opslag van beide buckets.

netcupEUOptioneel

Server van onze eigen DocuSeal-installatie, voor het digitaal ondertekenen van offertes, contracten, werkbonnen en verwerkersovereenkomsten

Vestiging: Duitsland
Rechtspersoon: netcup GmbH (Karlsruhe)
Wat wij naar hen sturen: Het document dat getekend wordt, de namen en e-mailadressen van de ondertekenaars, hun handtekening, en per ondertekenaar het tijdstip en het IP-adres; met een sms-code ook het mobiele nummer. De software komt van DocuSeal, maar de installatie is van ons: documenten en gegevens gaan niet naar DocuSeal.
Optioneel: Optioneel. Alleen als er digitaal wordt ondertekend via DocuSeal.

LettermintEU

Transactionele mail-verzending (welkomstmails, herinneringen, notificaties)

Vestiging: Nederland
Rechtspersoon: Lettermint B.V.
Wat wij naar hen sturen: Mail-headers en -body van uitgaande mails, ook de uitnodigingen om te tekenen vanuit onze DocuSeal-installatie. Voor delivery-tracking maximaal 30 dagen bewaard.

46elksEUOptioneel

Sms met een eenmalige code: bij het bevestigen van een telefoonnummer, bij het wijzigen of herstellen van een wachtwoord, en bij digitaal ondertekenen als de afzender om een sms-code vraagt

Vestiging: Zweden
Rechtspersoon: 46elks AB (Zweden)
Wat wij naar hen sturen: Het telefoonnummer en de sms met de code. Bij ondertekenen komt die sms van onze DocuSeal-installatie en verstuurt Jema One hem via 46elks. De tekst van het bericht vragen we 46elks niet te bewaren; het nummer en het tijdstip staan wel in hun administratie.
Optioneel: Optioneel. Alleen voor gebruikers die zelf een telefoonnummer opgeven, en voor ondertekenaars als de afzender om een sms-code vraagt; zonder nummer gaat er niets naar 46elks.

Mistral AIEUOptioneel

AI-functies: bonnen en facturen uitlezen, kilometers uit een PDF, samenvattingen van klanten en werkbonnen, concepten voor offertes, welkomstmails, contractteksten en mails over WordPress, de DPIA-samenvatting, de CMDB, het statistiekrapport en de toelichting bij een periode. In onze eigen omgeving ook supporttickets en het sorteren van inkoopmail.

Vestiging: Frankrijk; verwerking in de EU, via het EU-adres api.eu.mistral.ai
Rechtspersoon: Mistral AI SAS
Wat wij naar hen sturen: Alleen wat de functie nodig heeft: een foto of PDF van een bon of factuur (foto's zonder de verborgen gegevens erin, zoals locatie), of de tekst van de gegevens die samengevat of uitgeschreven worden. Bij welkomstmails en contractteksten gaan namen als plaatshouder mee en vullen wij ze pas daarna in. Supporttickets krijgen alleen een concept, dat een medewerker naleest. Bij Mistral staat Zero Data Retention aan voor onze organisatie: Mistral bewaart de inhoud van een verzoek en het antwoord niet nadat het antwoord is teruggegeven, en onze aanroepen worden niet gebruikt om modellen te trainen. Bestanden slaan wij niet bij Mistral op.
Optioneel: Staat standaard aan per omgeving. Een beheerder zet het uit op Instellingen; dan gaat er niets meer naar Mistral, ook niet vanuit automatische taken. Weer aanzetten vraagt het wachtwoord.

overheid.ioEUOptioneel

Een bedrijf opzoeken in het Handelsregister van de KvK, op naam of KvK-nummer, bij het invullen van een klant

Vestiging: Zoetermeer, Nederland
Rechtspersoon: Downsized (eenmanszaak, KvK 58488340), de maker van overheid.io
Wat wij naar hen sturen: De zoekterm: een bedrijfsnaam of een KvK-nummer, en de plaats als je die invult. Bij een eenmanszaak kan de zoekterm een persoonsnaam zijn. De uitslag, naam en adres uit het Handelsregister, komt terug in je omgeving.
Optioneel: Alleen als iemand in de app een bedrijf opzoekt. Zonder zoekopdracht gaat er niets naartoe.

RecommandEUOptioneel

E-facturen versturen en ontvangen via het Peppol-netwerk, voor een omgeving die Peppol aanzet

Vestiging: Peer, België; verwerking in de EER
Rechtspersoon: BRBX BV (ondernemingsnummer 1012.081.766), onder de naam Recommand
Wat wij naar hen sturen: De e-facturen die de omgeving via Peppol verstuurt en ontvangt, met de partijen, adressen, bedragen, IBAN en regels, en bij het aanmelden de gegevens van het bedrijf: naam, KvK- of ondernemingsnummer, btw-nummer en adres.
Optioneel: Optioneel. Alleen als een omgeving Peppol aanzet; zonder Peppol gaat er niets naar Recommand. Bij het aanmelden controleert Recommand de identiteit van de vertegenwoordiger van het bedrijf.
Wie zij zelf inschakelen: Hun eigen lijst met sub-verwerkers

Resellers

Ben je via een reseller bij Jema One gekomen, dan is die reseller een sub-verwerker van ons. Een reseller kan voor de omgevingen van zijn klanten: een omgeving aanmaken, schorsen en weer activeren, het pakket wijzigen, een back-up maken (niet terugzetten), de lijst van gebruikers bekijken, een herstellink sturen, tweestapsverificatie wissen, alle sessies intrekken en de omgeving bijwerken. Een reseller kan een omgeving niet verwijderen of exporteren, niet zoeken naar een persoon, en niet inloggen als een van jouw gebruikers. Elke handeling komt in ons logboek.

Wat is géén sub-processor?

Koppelingen die je zelf aanzet, blijven jouw keuze en jouw contract met die partij: je eigen mailbox (Microsoft 365 of je eigen SMTP-server) en je eigen Mollie-account voor betalingen op je facturen. Bij Mollie gaan het bedrag, het factuurnummer en de naam van de klant op de factuur mee. Wij zijn geen sub-processor van gegevens die naar jouw eigen koppelingen gaan.

Ontvangers die geen sub-processor zijn

VIES, van de Europese Commissie. Controleer je een btw-nummer, of maak je een factuur met verlegde btw, dan gaat dat btw-nummer naar VIES, met het btw-nummer van je omgeving als aanvrager. De uitslag bewaren we in je omgeving.
Pushdiensten van browsers. Zet iemand pushmeldingen aan in de browser, dan loopt een melding via de pushdienst van die browser: Mozilla (Firefox) of Microsoft (Edge). Dat zijn Amerikaanse bedrijven. Ze zien het adres van het toestel, het tijdstip en de grootte, niet de inhoud: die is versleuteld. Adressen van Google en Apple weigeren we, dus in Chrome en Safari, en op een iPhone of iPad, werken pushmeldingen niet.
Actalis (Actalis S.p.A., Ponte San Pietro, Italië), de uitgever van de certificaten. Voor elke omgeving vraagt de server bij Actalis een TLS-certificaat aan. Actalis krijgt alleen de domeinnaam, en legt die, zoals elke uitgever, blijvend vast in openbare certificaatregisters (Certificate Transparency): de naam van een omgeving is daar voor iedereen te vinden.

Alleen voor onze eigen IT-klanten

Een aantal koppelingen werkt alleen in de eigen omgeving van Je-Ma ICT Beheer, voor de klanten van ons IT-bedrijf, zoals DNS-beheer (ClouDNS), domeinregistratie (Openprovider), SSL-certificaten, WordPress en de bank. Ze krijgen nooit gegevens uit jouw omgeving. Daarom staan ze niet op deze lijst.

Pushmeldingen in de app

De apps hebben geen pushmeldingen. Een app meldt geen toestel aan bij Google of Apple en bevat geen software van hen voor meldingen, dus er gaat niets naartoe. Komen er ooit pushmeldingen in een app, dan komt de dienst eerst op deze pagina te staan, met de aankondiging hieronder.

Afstanden in de ritregistratie

Adressen opzoeken en afstanden berekenen gebeurt alleen op een eigen server, bij een partij op deze lijst. Openbare kaartdiensten, zoals die van OpenStreetMap, krijgen geen adressen. Zonder die server staat automatisch berekenen uit en vul je de kilometers zelf in.

Bezwaar tegen een sub-processor?

Wijzigingen aan deze lijst worden 30 dagen vooraf per mail aangekondigd aan alle klanten. In dat venster heb je het recht om bezwaar aan te tekenen en, indien wij het bezwaar niet kunnen wegnemen, de overeenkomst per direct op te zeggen. Bezwaar via support@je-ma.com.