Verwerkersovereenkomst

1. Partijen en totstandkoming

1.1 Deze verwerkersovereenkomst (de “Verwerkersovereenkomst”) wordt gesloten tussen de onderneming die Add Your Shop gebruikt (de “Handelaar”, “u”), die optreedt als verwerkingsverantwoordelijke, en SBrusse SRL, Rue Auguste Baccus 14, boîte 2, 1350 Orp-Jauche, België, KBO-nummer 0644.917.861 (“wij”), die optreedt als verwerker.

1.2 De Verwerkersovereenkomst maakt deel uit van onze algemene voorwaarden (de “Voorwaarden”) en komt tot stand wanneer u die aanvaardt. Begrippen die in de Voorwaarden zijn gedefinieerd (zoals Webshop, Klant, Bestelling en Inhoud van de Handelaar) hebben hier dezelfde betekenis; de begrippen “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “inbreuk in verband met persoonsgegevens” en “toezichthoudende autoriteit” hebben de betekenis die de Algemene Verordening Gegevensbescherming (EU) 2016/679 (de “AVG”, ook GDPR genoemd) eraan geeft.

1.3 De Verwerkersovereenkomst heeft betrekking op de persoonsgegevens die wij voor uw rekening verwerken om uw Webshop te laten werken en, als u op de Websiteformule intekent, uw Website (de “Klantgegevens”). Wanneer de UK GDPR op die verwerking van toepassing is, omvatten verwijzingen naar de AVG ook de UK GDPR.

2. Beschrijving van de verwerking

• Voorwerp: de exploitatie van uw Webshop en, in voorkomend geval, van uw Website, zoals beschreven in de Voorwaarden.
• Duur: de looptijd van de Voorwaarden, en daarna tot de gegevens zijn teruggegeven en verwijderd overeenkomstig artikel 11.
• Aard van de verwerking: verzameling via de Webshop, vastlegging, opslag, ordening, raadpleging, verstrekking aan u (bijvoorbeeld via een bestelmail) en aan Stripe voor de betaling, opvraging en wissing.
• Doeleinden: het ontvangen en beheren van Bestellingen; het verwerken van betalingen via uw Stripe-account; het versturen van bestelmeldingen aan u en bevestigingen aan Klanten; het organiseren van afhaling, levering of verzending; het behandelen van vragen van Klanten en van de terugbetalingen die u vraagt; de exploitatie van uw Website, met inbegrip van het doorsturen van de berichten die bezoekers u via de Website sturen, bijvoorbeeld met een contactformulier; de beveiliging van de Webshop en de Website en het voorkomen van fraude.
• Betrokkenen: uw Klanten, de ontvangers van leveringen die zij aanwijzen, en de bezoekers van uw Webshop of uw Website, met inbegrip van wie via uw Website contact met u opneemt.
• Categorieën van persoonsgegevens: naam; e-mailadres; telefoonnummer; leveringsadres; inhoud, bedragen en geschiedenis van Bestellingen; gekozen afhaalmoment of leveringswijze; berichten en opmerkingen die Klanten invoeren (zoals een cadeauboodschap); berichten die via uw Website worden verstuurd en de contactgegevens die erbij worden opgegeven; betaalstatus en beperkte betaalgegevens die Stripe doorgeeft (zoals het kaartnetwerk en de laatste vier cijfers van de kaart); leeftijdsbevestiging voor producten met een leeftijdsgrens; technische gegevens zoals het IP-adres en browsergegevens, voor beveiliging en fraudepreventie.
• Bijzondere categorieën van persoonsgegevens: de Webshop is niet ontworpen om die te verzamelen. Als een Klant uit eigen beweging zulke informatie meedeelt in een vrij tekstveld (bijvoorbeeld een allergie), wordt die alleen verwerkt om de Bestelling klaar te maken.

Wij gebruiken ook de referenties en bedragen van Bestellingen, zonder de contactgegevens van Klanten, om onze commissie te berekenen en te factureren en om onze boekhouding te voeren. Voor dat doeleinde treden wij op als verwerkingsverantwoordelijke, zoals beschreven in onze privacybeleid.

3. Uw verplichtingen

Als verwerkingsverantwoordelijke bent u verantwoordelijk voor de rechtmatigheid van de verwerking, voor het bestaan van een rechtsgrond, voor de informatie aan uw Klanten (met name via de privacybeleid van uw Webshop) en voor de instructies die u ons geeft. Vraag ons niet om meer gegevens te verzamelen dan nodig is voor uw Bestellingen.

4. Instructies en vertrouwelijkheid

4.1 Wij verwerken de Klantgegevens uitsluitend op basis van uw gedocumenteerde instructies, ook wat betreft doorgiften naar een derde land, tenzij het recht van de Europese Unie of van een lidstaat ons tot verwerking verplicht; in dat geval stellen wij u vóór de verwerking in kennis van dat wettelijke voorschrift, tenzij de wet dat verbiedt. De Voorwaarden, deze Verwerkersovereenkomst, de instellingen van uw Webshop en uw schriftelijke verzoeken vormen uw instructies.

4.2 Wij stellen u onmiddellijk in kennis als een instructie naar onze mening inbreuk maakt op de AVG of op andere bepalingen inzake gegevensbescherming.

4.3 Alle personen die wij machtigen om de Klantgegevens te verwerken, hebben zich tot geheimhouding verbonden of zijn door een passende wettelijke geheimhoudingsplicht gebonden, en verwerken ze alleen voor zover dat nodig is voor de Dienst.

5. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, zoals artikel 32 van de AVG vereist. Ze worden beschreven in bijlage 1. Wij kunnen ze aanpassen aan de technische ontwikkelingen, op voorwaarde dat het algemene beveiligingsniveau niet daalt.

6. Subverwerkers

6.1 U geeft ons een algemene toestemming om een beroep te doen op de subverwerkers die in bijlage 2 zijn opgesomd.

6.2 Wij brengen u per e-mail op de hoogte ten minste 30 dagen voordat wij een subverwerker toevoegen of vervangen. U kunt daar binnen die termijn bezwaar tegen maken, om redelijke redenen die verband houden met gegevensbescherming. Wij bespreken uw bezwaren dan te goeder trouw met u; als wij er geen oplossing voor vinden, kunt u de Voorwaarden kosteloos beëindigen voordat de wijziging ingaat.

6.3 Wij leggen elke subverwerker contractueel verplichtingen inzake gegevensbescherming op die ten minste hetzelfde beschermingsniveau bieden als deze Verwerkersovereenkomst. Wij blijven ten aanzien van u volledig aansprakelijk voor de nakoming van hun verplichtingen.

7. Bijstand

7.1 Verzoeken van betrokkenen. Als een Klant contact met ons opneemt om zijn rechten uit te oefenen, sturen wij zijn verzoek zonder onredelijke vertraging aan u door en beantwoorden wij het niet zelf, behalve om hem te laten weten dat wij dat hebben gedaan. Rekening houdend met de aard van de verwerking helpen wij u om het verzoek te beantwoorden, met name door de betrokken gegevens of een export te bezorgen.

7.2 Andere verplichtingen. Wij helpen u om uw verplichtingen uit de artikelen 32 tot en met 36 van de AVG na te komen — beveiliging, melding van inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthoudende autoriteit —, rekening houdend met de aard van de verwerking en de informatie waarover wij beschikken.

7.3 Autoriteiten. Als een toezichthoudende autoriteit of een andere overheidsinstantie contact met ons opneemt over Klantgegevens, brengen wij u daarvan op de hoogte, tenzij de wet dat verbiedt.

8. Inbreuken in verband met persoonsgegevens

8.1 Wij melden u elke inbreuk in verband met persoonsgegevens die betrekking heeft op Klantgegevens zonder onredelijke vertraging, en in elk geval binnen 48 uur nadat wij er kennis van hebben gekregen.

8.2 Onze melding beschrijft, voor zover wij dat op dat moment weten: de aard van de inbreuk, met inbegrip van de categorieën en het geschatte aantal betrokkenen en persoonsgegevensregisters in kwestie; de waarschijnlijke gevolgen ervan; de maatregelen die zijn genomen of voorgesteld om de inbreuk aan te pakken en de gevolgen ervan te beperken; en een contactpunt. Wanneer wij niet alle informatie tegelijk kunnen verstrekken, verstrekken wij ze in fasen, zonder verdere onredelijke vertraging.

8.3 Wij nemen de nodige maatregelen om de inbreuk in te dijken en helpen u om uw eigen verplichtingen na te komen, met inbegrip van de melding aan de toezichthoudende autoriteit binnen 72 uur wanneer die vereist is. Als verwerkingsverantwoordelijke beslist u over de melding aan de autoriteit en aan de betrokkenen; wij doen die niet in uw naam, tenzij u ons daarom vraagt of de wet het vereist.

9. Internationale doorgiften

Wij geven Klantgegevens alleen door buiten de Europese Economische Ruimte op uw instructies, die u geeft door deze Verwerkersovereenkomst te aanvaarden voor de subverwerkers die in bijlage 2 zijn opgesomd, en uitsluitend met de waarborgen die hoofdstuk V van de AVG vereist: een adequaatheidsbesluit, zoals het besluit dat geldt voor ondernemingen die gecertificeerd zijn in het kader van het EU-VS-kader voor gegevensbescherming (EU-U.S. Data Privacy Framework, Uitvoeringsbesluit (EU) 2023/1795), of de door de Europese Commissie goedgekeurde standaardcontractbepalingen (Uitvoeringsbesluit (EU) 2021/914). Voor gegevens die onder de UK GDPR vallen, geldt de Britse uitbreiding van het Data Privacy Framework (UK Extension) of het Britse addendum bij die bepalingen.

10. Informatie en audits

10.1 Wij stellen u de informatie ter beschikking die nodig is om aan te tonen dat artikel 28 van de AVG wordt nageleefd, met name deze Verwerkersovereenkomst, de beschrijving van onze beveiligingsmaatregelen, de lijst van subverwerkers en onze antwoorden op redelijke beveiligingsvragenlijsten.

10.2 Als die informatie niet volstaat, kunt u een audit uitvoeren, of laten uitvoeren door een onafhankelijke auditor die tot geheimhouding gehouden is, eenmaal per jaar — of vaker als een toezichthoudende autoriteit dat eist of na een inbreuk in verband met persoonsgegevens. De audit moet ten minste 30 dagen vooraf schriftelijk worden aangevraagd, plaatsvinden tijdens de kantooruren, elke onnodige verstoring vermijden en de vertrouwelijkheid van de gegevens van onze andere klanten en van onze beveiliging respecteren. Elke partij draagt haar eigen kosten.

10.3 Voor de infrastructuur van onze subverwerkers baseren wij ons op de certificeringen en auditverslagen die zij ter beschikking stellen (Cloudflare en Stripe publiceren bijvoorbeeld certificeringen en onafhankelijke auditverslagen).

11. Teruggave en verwijdering

11.1 Wanneer de Voorwaarden eindigen, stoppen wij met de verwerking van de Klantgegevens, behalve voor zover dat nodig is om dit artikel uit te voeren. Gedurende de 30 dagen na het einde kunt u ons een export van uw bestelgegevens in een gangbaar formaat vragen.

11.2 Uiterlijk aan het einde van die 30 dagen verwijderen wij de Klantgegevens, met inbegrip van kopieën, tenzij het recht van de Europese Unie of van een lidstaat de opslag ervan verplicht. Back-ups die ze bevatten, worden verwijderd volgens onze normale back-upcyclus en worden in de tussentijd niet gebruikt, behalve om onze systemen te herstellen.

11.3 Op verzoek bevestigen wij de verwijdering schriftelijk.

12. Stripe

Betalingen worden door Stripe verwerkt in het kader van uw eigen overeenkomst met Stripe, die de gegevensverwerkingsvoorwaarden van Stripe omvat; voor bepaalde doeleinden, zoals fraudepreventie en de naleving van zijn wettelijke verplichtingen, treedt Stripe op als zelfstandige verwerkingsverantwoordelijke. Wanneer wij betalingen aanmaken of terugbetalingen uitvoeren op uw Stripe-account, handelen wij op uw instructies. Stripe staat in bijlage 2 omwille van de transparantie; de verwerkingen die Stripe voor eigen doeleinden uitvoert, vallen onder het privacybeleid van Stripe, en niet onder deze Verwerkersovereenkomst.

13. Aansprakelijkheid, duur en wijzigingen

13.1 Elke partij is aansprakelijk voor haar eigen inbreuken op de AVG overeenkomstig artikel 82 van de AVG. Tussen ons gelden de aansprakelijkheidsbeperkingen van de Voorwaarden, behalve wanneer de wet dat niet toestaat.

13.2 De Verwerkersovereenkomst geldt zolang wij Klantgegevens verwerken. Bij strijdigheid met de Voorwaarden heeft de Verwerkersovereenkomst voorrang voor aangelegenheden van gegevensbescherming.

13.3 Wij kunnen de Verwerkersovereenkomst wijzigen overeenkomstig artikel 14 van de Voorwaarden, met een voorafgaande kennisgeving van ten minste 30 dagen per e-mail en met het recht om de overeenkomst te beëindigen voordat de wijziging van toepassing wordt, tenzij de wijziging wettelijk verplicht is. De Verwerkersovereenkomst is opgesteld in het Engels; er worden een Franse en een Nederlandse versie van verstrekt. Bij verschillen tussen de versies heeft de Engelse versie voorrang, en is artikel 1.4 van de Voorwaarden van toepassing. Ze wordt beheerst door het Belgische recht, en geschillen behoren tot de bevoegdheid van de rechtbank die in de Voorwaarden is aangewezen.

Bijlage 1. Beveiligingsmaatregelen

• Versleuteling tijdens de overdracht: alle verbindingen met de Webshops en Websites, met onze website en met onze tools gebruiken HTTPS (TLS).
• Versleuteling in rust: de database van de Webshops, gehost door Cloudflare, is versleuteld in rust (AES-256).
• Toegangsbeheer en minimale rechten: de toegang tot Klantgegevens is beperkt tot de personen die ze nodig hebben voor de Dienst, met persoonlijke accounts, sterke wachtwoorden en tweestapsverificatie op beheerdersaccounts; toegang wordt ingetrokken wanneer die niet langer nodig is.
• Scheiding: de gegevens van elke Handelaar zijn logisch gescheiden van die van andere Handelaars.
• Logging: beheerderstoegang en wijzigingen aan onze infrastructuur worden gelogd.
• Back-ups: de gegevens worden regelmatig geback-upt, zodat ze na een incident kunnen worden hersteld.
• Betalingen: kaartgegevens worden verzameld en verwerkt door Stripe, dat gecertificeerd is als dienstverlener volgens PCI DSS Level 1; wij bewaren geen kaartnummers.
• Netwerkbescherming: de Webshops en Websites worden aangeboden via het netwerk van Cloudflare, met inbegrip van de bescherming tegen denial-of-service-aanvallen.
• Minimalisering: wij verzamelen alleen de gegevens die nodig zijn voor de Bestellingen en, voor een Website, voor de berichten die via die Website worden verstuurd, en verwijderen ze overeenkomstig artikel 11.
• Incidenten en kwetsbaarheden: wij beschikken over een procedure om incidenten op te sporen, te beoordelen en in te dijken en om ze u te melden binnen de termijn van artikel 8. Kwetsbaarheden kunnen worden gemeld aan security@addyour.shop.
• Dienstverleners: wij kiezen dienstverleners die voldoende garanties bieden, en wij herzien deze lijst wanneer onze diensten veranderen.

Bijlage 2. Subverwerkers