Geen SOC 2-rapport of ISO 27001-certificaat
ColPort heeft geen van beide. Vraagt uw inkoopafdeling erom, vraag ons dan wat we in plaats daarvan kunnen laten zien: deze pagina, onze verwerkersovereenkomst en ons register van verwerkingsactiviteiten.
Trustcenter
Hosting, subverwerkers en beveiliging op één plek
Wat er vandaag is, zonder omwegen. Heeft uw inkoop- of privacyteam iets nodig waar deze pagina geen antwoord op geeft, schrijf dan naar security@colport.io.
Laatst bijgewerkt: 10 oktober 2026
Laatst bijgewerkt: 10 oktober 2026
Waar we staan
Wat we hebben, en wat niet
Gehost in Duitsland
Hall en Inn draaien op een server van Hetzner in Duitsland: de applicatie, de database, de bestandsopslag en de achtergrondtaken. Enkele diensten buiten de EU doen mee, zoals het versturen van e-mail en het standaard-AI-model. De lijst met subverwerkers hieronder noemt ze allemaal, en wanneer ze worden gebruikt.
AVG / GDPR
Een cursist kan op de eigen pagina Mijn gegevens alle gegevens downloaden en om verwijdering vragen. Beheerders van een organisatie lezen het register van verwerkingsactiviteiten van ColPort (art. 30 AVG) in de compliance-instellingen van Hall.
AI-infrastructuur
Welke AI drijft ColPort aan, en waar deze draait
Anthropic (Claude), standaard
Onze standaard-AI-aanbieder, in de Verenigde Staten, onder de verwerkersvoorwaarden van Anthropic en de EU-modelcontractbepalingen. Anthropic gebruikt gegevens die via de API binnenkomen niet om zijn modellen te trainen.
Mistral (EU), optie voor dataresidentie
Elke organisatie kan haar AI overzetten naar Mistral, dat binnen de EU (Frankrijk) verwerkt. Semantisch zoeken gebruikt dan een ingebouwde methode in plaats van Voyage AI, zodat de tekst van de organisatie niet naar de VS gaat. Zet het om via Beheer → AI-instellingen.
Wat eruit gaat voordat het model het ziet
Voordat tekst naar een AI-aanbieder gaat, worden e-mailadressen, telefoonnummers, IBAN's, kaartnummers en BSN-achtige nummers erin vervangen door plaatshouders. Namen worden niet verwijderd, dus wat iemand in een assistent typt, komt bij de aanbieder terecht.
AI beoordeelt of scoort nooit
AI stelt uitsluitend content op ter beoordeling door een mens. Alle toetsscores, geslaagd/gezakt, afronding en compliancerapportage worden deterministisch berekend op basis van de SCORM-/xAPI-resultaten en beoordeeld door een persoon, de AI neemt geen meetbeslissingen.
AI is opt-in en vastgelegd
Elke AI-functie zit achter een expliciete opt-in op organisatieniveau, vastgelegd met een DPIA-verklaring (art. 35 AVG). Herkomstlabeling voor door AI opgestelde content is in ontwikkeling; we markeren opgestelde content nog niet, en dat vertellen we liever dan het tegendeel te suggereren.
Technische en organisatorische maatregelen
Bijlage II van de verwerkersovereenkomst, samengevat
Versleuteling
Alleen HTTPS, met HSTS. Telefoonnummers worden AES-256-versleuteld opgeslagen met een eigen sleutel. Clientgeheimen voor SSO en Mill-sleutels worden AES-256-GCM-versleuteld opgeslagen. Wachtwoorden worden als bcrypt-hash opgeslagen.
Scheiding tussen organisaties
Elke query wordt in de applicatie beperkt tot uw organisatie. De database controleert dat niet nog eens.
Audittrail met hashketen
Compliancegebeurtenissen worden per organisatie in een hashketen vastgelegd. Een rij wijzigen of verwijderen breekt de keten, en een beheerder kan de hele keten op elk moment controleren.
Statuscontroles en foutrapporten
Een statuscontrole meldt de toestand van de database en Redis. Foutrapporten gaan naar Sentry als dat aanstaat, nadat e-mailadressen, IP-adressen en cookies eruit zijn gehaald.
Subverwerkers
De 10 subverwerkers
Elke externe dienst waar de code van het platform persoonsgegevens naartoe kan sturen, en wanneer dat gebeurt. Een dienst die voor deze installatie niet aanstaat, ontvangt niets.
| Dienst | Persoonsgegevens die de dienst ontvangt | Waar | Gebruikt wanneer |
|---|---|---|---|
Hetzner Hetzner Online GmbH De server waarop Hall en Inn draaien: de applicatie, de database, de bestandsopslag en de achtergrondtaken. | Alles wat het platform bewaart. | Duitsland Binnen de EU | Altijd. |
Resend Resend, Inc. Verstuurt de e-mails van het platform. | De naam en het e-mailadres van de ontvanger, en de e-mail zelf. | Verenigde Staten Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914) | Wanneer deze installatie e-mail verstuurt. |
Anthropic (Claude) Anthropic PBC Schrijft AI-concepten en beantwoordt de AI-assistenten. | De tekst die naar een AI-functie gaat: opdrachten, cursusmateriaal en wat iemand typt. E-mailadressen, telefoonnummers, IBAN's, kaartnummers en BSN-achtige nummers worden eerst vervangen; namen niet. | Verenigde Staten Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914) | Wanneer een organisatie AI heeft aanstaan en Anthropic haar AI-aanbieder is, de standaard. |
Mistral Mistral AI SAS Schrijft AI-concepten en beantwoordt de AI-assistenten, binnen de EU. | De tekst die naar een AI-functie gaat, met dezelfde nummers en adressen eerst vervangen. | Frankrijk Binnen de EU | Wanneer een organisatie Mistral als AI-aanbieder kiest. |
Voyage AI Voyage AI Zet cursustekst om in zoekvectoren voor de zoekfunctie van Inn en de cursuscoach. | Cursustekst, en de vragen die cursisten aan de cursuscoach stellen. | Verenigde Staten Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914) | Wanneer semantisch zoeken aanstaat, en alleen voor organisaties met Anthropic als AI-aanbieder. |
Google Cloud Translation Google Cloud EMEA Limited Vertaalt cursustekst machinaal. | De cursustekst die wordt vertaald. | Verenigde Staten Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914) | Wanneer machinaal vertalen aanstaat. |
CM.com CM.com Netherlands B.V. Verstuurt sms-berichten. | Het telefoonnummer en het bericht. | Nederland Binnen de EU | Wanneer een organisatie training per sms verstuurt. |
Twilio Twilio Inc. Verstuurt een sms als CM.com dat niet kan. | Het telefoonnummer en het bericht. | Verenigde Staten Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914) | Wanneer CM.com niet is ingesteld of een bericht niet kan versturen. |
Sentry Functional Software, Inc. Verzamelt foutrapporten zodat we fouten kunnen oplossen. | Technische details van een fout. E-mailadressen, IP-adressen en cookies worden verwijderd voordat een rapport wordt verstuurd. | Verenigde Staten Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914) | Wanneer foutrapportage aanstaat. |
Stripe Stripe Payments Europe, Limited Verwerkt betalingen voor cursussen en abonnementen op Inn. | De naam, het e-mailadres en de betaalgegevens van de koper. | Ierland Gegevens kunnen de EU verlaten, onder de EU-modelcontractbepalingen (2021/914) | Wanneer iemand betaalt voor een cursus of abonnement op Inn. |
We laten klanten 30 dagen van tevoren weten dat we een subverwerker toevoegen of vervangen, en u kunt in die periode bezwaar maken.
Niet op deze lijst: de eigen inlogdienst van uw organisatie, die uw organisatie zelf kiest; video's die uw organisatie insluit van YouTube of Vimeo, die pas laden als een cursist op afspelen drukt en die in de privacyverklaring van uw organisatie staan; en de pushdiensten van browsers, die een pushbericht versleuteld doorgeven zodat ze het niet kunnen lezen.
Verantwoord melden
Meld een beveiligingsprobleem
We verwelkomen gecoördineerde meldingen van beveiligingsonderzoekers. Schrijf naar security@colport.io met een beschrijving en de stappen om het te reproduceren. We ondernemen geen juridische stappen tegen onderzoekers die te goeder trouw handelen en ons de tijd geven het probleem op te lossen voordat ze het publiceren.
Documenten
Wat we u kunnen sturen
Verwerkersovereenkomst
Onze standaardverwerkersovereenkomst (art. 28 AVG), met de EU-modelcontractbepalingen voor de doorgiften die de lijst met subverwerkers noemt. Vraag ernaar via dpo@colport.io.
Register van verwerkingsactiviteiten
Het register van verwerkingsactiviteiten van ColPort (art. 30 AVG). Beheerders van een organisatie lezen het in de compliance-instellingen van Hall.