Versie 28 september 2026
Subverwerkers, compleet.
Wie welk deel van Union AI draait, waar dat gebeurt en onder welke jurisdictie de moederentiteit valt. Inclusief de delen die niet Europees zijn, want een lijst die die weglaat, is geen transparantie maar reclame.
De volledige lijst met subverwerkers
| Partij | Rol | Verwerkingsregio | Entiteit |
|---|---|---|---|
| Scaleway SAS | AI-inferentie: alle prompts en antwoorden | Europese Unie (fr-par) | Frankrijk |
| Cloudflare, Inc. | Hosting, CDN en TLS-terminatie | Europese Unie (EU-regio van Cloudflare) | Verenigde Staten |
| Neon (Databricks) | Database: accounts, tegoed, gebruik | EU-regio (op AWS) | Verenigde Staten |
| Stripe | Betalingen en bepalen van de btw | Verwerking in de EU via Stripe Payments Europe Ltd, Ierland | Verenigde Staten (moederentiteit) |
| Scaleway SAS | Transactionele e-mail | Frankrijk | Frankrijk |
| Linkup Technologies SAS | Zoeken op het web, alleen als je Zoeken aanzet: de zoekopdracht, verder niets | Niet vast: Linkup kan een zoekopdracht naar de VS, de EU, Canada of Azië-Pacific routeren | Frankrijk |
| Google Ireland Ltd | Websitestatistieken (Google Analytics) en advertentiemeting (Google Ads): cookieloos tot je op Accepteren klikt, daarna cookies en een gehasht e-mailadres. Nooit de chat of de API | Niet vast: Google kan in de VS verwerken, onder het EU-US Data Privacy Framework | Verenigde Staten (moederentiteit) |
| Meta Platforms Ireland Ltd | Advertentiemeting (Meta Pixel en Conversions API), alleen nadat je op Accepteren klikt: de advertentieklik en een gehasht e-mailadres. Nooit de chat of de API | Niet vast: Meta kan in de VS verwerken, onder het EU-US Data Privacy Framework | Verenigde Staten (moederentiteit) |
Verandert deze lijst, dan laten we dat zakelijke klanten met een verwerkersovereenkomst vooraf weten, zodat je bezwaar kunt maken voordat de wijziging ingaat.
Google Drive en OneDrive (inclusief SharePoint) staan niet op deze lijst, omdat ze niet van ons zijn: het zijn je eigen accounts. Koppel je er een, dan bewaren we het e-mailadres van dat account en een versleuteld inlogtoken, en halen we een bestand pas op als je het in de chat kiest. Het bestand wordt dan behandeld als een upload: gelezen op onze servers en beantwoord door het model binnen de Europese Unie. Verbreek je de koppeling, dan wordt het token verwijderd.
Wat we daarom wel en niet beweren
Elke laag van Union AI draait in een Europese regio. Drie van de partijen achter die lagen hebben een Amerikaanse moederentiteit, en regio is niet hetzelfde als jurisdictie, dus houden we onze beloftes bij wat we zelf in de hand hebben: waar je prompts worden verwerkt en waar het model draait. Linkup, voor zoeken op het web, is een Frans bedrijf, maar belooft standaard niet dat het een zoekopdracht binnen de EU verwerkt.
- Klopt: Alle AI-inferentie draait op infrastructuur binnen de Europese Unie.
- Klopt: Je prompts en output gaan nooit naar de Verenigde Staten of China.
- Klopt: Met zoeken op het web aan gaat er één ding naar buiten: een korte zoekopdracht die ons eigen model uit je bericht schrijft, met de instructie om namen en andere persoonlijke gegevens weg te laten. Je gesprek, je bestanden en je account gaan nooit naar de zoekprovider.
- Klopt: De modellen draaien onder ons beheer en worden niet getraind op klantdata.
- Klopt niet: “Zoeken op het web blijft in de EU.” Niet gegarandeerd. Volgens de documentatie van Linkup kunnen zoekopdrachten via de VS, de EU, Canada en Azië-Pacific worden gerouteerd, tenzij een enterprise-overeenkomst iets anders bepaalt, en is zero data retention er alleen voor enterprise-klanten. Een zoekopdracht weerspiegelt wat je vroeg, dus laat Zoeken uit bij een bericht waarvan je niet wilt dat er een zoekopdracht van wordt gemaakt.
Wat elke laag van je prompt ziet
Niet elke subverwerker ziet hetzelfde. Concreet:
| Laag | Ziet | Ziet niet |
|---|---|---|
| Scaleway (inferentie) | De prompt en het gegenereerde antwoord | Je identiteit, je betaalgegevens, je gebruiksgeschiedenis |
| Cloudflare | Versleuteld verkeer; TLS wordt beëindigd aan de edge in de EU-regio van Cloudflare, dus de inhoud van het request gaat door het geheugen van die edge | Iets wat wordt opgeslagen: API-verkeer wordt niet gecachet |
| Neon | Account, saldo, aantallen tokens en tijdstempels per request | De inhoud van je prompts en antwoorden |
| Stripe | Naam, e-mailadres, btw-nummer, betaalgegevens en bedragen | Alles wat je met het model doet |
| Linkup (alleen met Zoeken aan) | Eén korte zoekopdracht per bericht, door ons model uit je bericht geschreven | Je gesprek, je bestanden, je account en je IP-adres |
Cloudflare draait in zijn EU-regio
Waarom niet elke partij Europees is
Technisch kun je de hele stack alleen met Europese bedrijven bouwen. Maar dat lukt vandaag niet als je het ook betrouwbaar wilt draaien en de prijzen op onze prijzenpagina wilt rekenen. We hebben ervoor gekozen het deel dat inhoudelijk het meest telt, namelijk waar je prompt wordt verwerkt en waar het model draait, volledig Europees te houden, en open te zijn over de rest in plaats van er een soevereiniteitsverhaal omheen te bouwen.
We zijn een jong bedrijf en deze stack is werk in uitvoering. Kan een Europees alternatief een van deze rollen betrouwbaar overnemen, dan stappen we over, en dat melden we hier.
Wat elke laag wel en niet kan lezen, lopen we stap voor stap door in waar je prompts heen gaan: EU-dataresidentie voor AI. De bewaartermijnen achter deze partijen staan in de privacyverklaring, en zakelijke klanten krijgen dezelfde lijst contractueel via de verwerkersovereenkomst.
Veelgestelde vragen
Wat is een subverwerker?
Een subverwerker is een derde partij die persoonsgegevens verwerkt in opdracht van een verwerker. Gebruik je een AI-dienst voor gegevens van anderen, dan verwerken de subverwerkers van die dienst die gegevens een schakel verderop in de keten. Daarom moet de volledige lijst openbaar zijn en hoor je vooraf bericht te krijgen als die verandert.
Verlaat je data de EU als je een AI-API gebruikt?
Dat hangt af van welke data en welke provider. Bij Union AI worden de prompt en het antwoord verwerkt op infrastructuur binnen de Europese Unie en gaan ze nooit naar de Verenigde Staten of China, terwijl bij hosting, database en betalingen bedrijven met een Amerikaanse moederentiteit betrokken zijn. Zet je zoeken op het web aan, dan gaat een korte zoekopdracht naar Linkup, die hem buiten de EU kan verwerken. Vraag elke provider deze vragen apart te beantwoorden, want de meeste beantwoorden alleen de eerste.
Stuurt zoeken op het web mijn prompt naar een zoekmachine?
Nee. Zet je Zoeken aan, dan schrijft ons eigen model binnen de EU één korte zoekopdracht uit je bericht, en alleen die zoekopdracht gaat naar Linkup, een Franse zoek-API. Linkup kan zoekopdrachten buiten de EU routeren, tenzij een enterprise-overeenkomst iets anders bepaalt, dus de zoekopdracht kan de EU verlaten, ook al doet je gesprek dat niet. Met Zoeken uit gaat er helemaal niets naar Linkup.
Kan een Europese cloud onder de Amerikaanse CLOUD Act vallen?
Ja, als de exploitant een Amerikaans bedrijf is of een dochteronderneming daarvan. De CLOUD Act geldt voor data die een provider in bezit, in bewaring of onder zijn zeggenschap heeft, ongeacht waar die is opgeslagen, dus een datacenter in Frankfurt plaatst data daar niet vanzelf buiten. Drie partijen in onze keten hebben een Amerikaans moederbedrijf, en bij geen van hen worden je prompts verwerkt: dat gebeurt bij Scaleway, een Frans bedrijf, binnen de Europese Unie.
Wie kan mijn prompts lezen?
Bij Union AI ziet alleen de inferentielaag de inhoud van een prompt en het antwoord, en die ziet geen identiteit, geen betaalgegevens en geen geschiedenis. De database ziet je account, saldo en aantallen tokens, en de betaalprovider ziet alleen factuurgegevens. Met zoeken op het web aan ziet de zoekprovider een korte zoekopdracht die uit je bericht is geschreven, nooit het gesprek zelf.
Wat hoort er op de lijst met subverwerkers van een AI-provider te staan?
Vier kolommen: de partij, wat die doet, de regio waarin die verwerkt, en de rechtspersoon erachter. Een lijst met regio's maar zonder rechtspersonen verbergt de vraag naar de jurisdictie, en juist die telt bij verzoeken om toegang uit het buitenland. Er hoort ook bij te staan hoe lang van tevoren je hoort dat de lijst verandert.
Krijg ik bericht als er een subverwerker verandert?
Ja. Zakelijke klanten met een verwerkersovereenkomst krijgen minstens 30 dagen voordat een wijziging ingaat bericht, zodat er tijd is om bezwaar te maken. Maak je bezwaar en komen we er niet uit, dan kun je de overeenkomst beëindigen en krijg je ongebruikt tegoed terug.