Verwerkersovereenkomst
Deze verwerkersovereenkomst beschrijft hoe 123Paracord B.V., handelend onder de naam ShopAlign, persoonsgegevens verwerkt namens een merchant die ShopAlign gebruikt.
1. Partijen en rollen
Verwerkingsverantwoordelijke: de afzonderlijke merchant die ShopAlign gebruikt. De merchant bepaalt de doelen en middelen van de verwerking van de gegevens die hij aan ShopAlign beschikbaar stelt.
Verwerker: 123Paracord B.V., handelend onder de naam ShopAlign, KvK 78342465, Oosterwerf 4, 1911 JB Uitgeest, Nederland. Contact voor privacyvragen en datalekken: info@123paracord.nl.
De merchant en ShopAlign sluiten deze overeenkomst voor de persoonsgegevens die ShopAlign namens de merchant verwerkt bij de geactiveerde diensten. De merchant blijft verantwoordelijk voor een rechtmatige grondslag, transparantie jegens betrokkenen en de rechtmatigheid van zijn instructies. Als ShopAlign voor een afzonderlijke verwerking zelf doel en middelen bepaalt, beoordelen partijen die verwerking afzonderlijk; deze overeenkomst maakt haar niet automatisch tot verwerking namens de merchant.
2. Onderwerp, duur en aard
ShopAlign verwerkt gegevens om geactiveerde functies te leveren, zoals het synchroniseren en tonen van catalogus-, order-, voorraad-, fulfilment-, leveranciers- en rapportagegegevens. De handelingen kunnen ontvangen, opslaan, structureren, raadplegen, synchroniseren, op instructie bijwerken, exporteren, retourneren en verwijderen omvatten.
Deze overeenkomst treedt in werking bij schriftelijke of elektronische aanvaarding als onderdeel van de dienstovereenkomst. De verwerking begint bij activering van de betreffende dienst. De overeenkomst blijft van kracht zolang ShopAlign namens de merchant persoonsgegevens verwerkt, ook tijdens retour, verwijdering en de resterende bewaartermijn van back-ups. Na beëindiging kiest de merchant tussen retour/export en verwijdering overeenkomstig artikel 9.
3. Categorieën betrokkenen en gegevens
De betrokkenen kunnen zijn: klanten en contactpersonen van de merchant, werknemers en andere gebruikers van de merchant, leveranciers en hun contactpersonen, en natuurlijke personen die in een order, retour, levering of vrije tekst voorkomen.
De gegevens kunnen bestaan uit naam, adres, e-mailadres, telefoonnummer, bedrijfs- en contactgegevens, klant- en gebruikers-ID, order-, retour-, verzend- en betaalstatusgegevens, product-, variant-, SKU-, voorraad-, prijs-, leveranciers- en fulfilmentgegevens, alsmede technische gegevens voor authenticatie, synchronisatie, foutopsporing en audit, zoals shop-ID, timestamps en gebeurtenislog. Niet ieder catalogus-, voorraad- of leveranciersgegeven is een persoonsgegeven.
Bijzondere categorieën persoonsgegevens en strafrechtelijke gegevens zijn niet nodig voor de diensten. De merchant levert deze niet aan. Als zulke gegevens toch worden aangetroffen, informeren partijen elkaar en beperken of verwijderen zij deze overeenkomstig de instructie van de merchant en de wet.
4. Doeleinden en instructies
ShopAlign verwerkt persoonsgegevens uitsluitend voor de geactiveerde ShopAlign-functies, support op instructie, beveiliging, fout- en incidentonderzoek, continuïteit, retour of export op verzoek en verwijdering. ShopAlign gebruikt de gegevens niet voor reclame, verkoop, eigen profilering, training van AI-modellen of analyse van de gegevens van de ene merchant ten behoeve van een andere merchant.
ShopAlign volgt deze overeenkomst en verdere gedocumenteerde instructies van de merchant. Een instructie die naar redelijk oordeel in strijd is met toepasselijke privacywetgeving wordt vóór uitvoering gemeld aan de merchant. ShopAlign voert een wettelijke verplichting tot verwerking uit wanneer die op haar rust en informeert de merchant daarover vooraf, tenzij de wet die informatie verbiedt.
5. Vertrouwelijkheid en toegang
Personen die namens ShopAlign toegang hebben tot persoonsgegevens zijn aan een passende geheimhoudingsplicht gebonden en krijgen alleen toegang voor hun taak. Toegang wordt ingetrokken zodra die niet langer nodig is. ShopAlign beperkt toegang tot bevoegde personen en houdt rekening met tenant- en bevoegdheidsgrenzen.
6. Beveiliging
ShopAlign treft passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG, rekening houdend met risico, stand van de techniek, uitvoeringskosten en aard van de verwerking. Deze maatregelen omvatten, voor zover passend bij het risico:
- toegangsbeheer, unieke accounts, least privilege en periodieke controle;
- bescherming van integratietokens en andere geheimen en versleuteling tijdens transport;
- logging en monitoring met beperkte toegang tot logs;
- patch- en wijzigingsbeheer en kwetsbaarhedenbeheer;
- scheiding tussen merchants en beperking van gegevensblootstelling;
- back-up, herstel, incidentrespons en veilige verwijdering.
Deze overeenkomst doet geen verklaring over een specifieke certificering of onafhankelijk auditrapport, tenzij dat afzonderlijk wordt vermeld.
7. Subverwerkers en doorgiften
De merchant verleent algemene schriftelijke toestemming voor het inschakelen van subverwerkers. ShopAlign meldt iedere voorgenomen toevoeging of vervanging ten minste 30 dagen vooraf met naam, dienst, locatie en aard van de verwerking. De merchant kan binnen die termijn gemotiveerd bezwaar maken wanneer de wijziging een aantoonbaar privacy- of beveiligingsrisico oplevert.
Partijen zoeken een redelijke oplossing. ShopAlign schakelt de voorgestelde subverwerker voor de gegevens van deze merchant pas in nadat het bezwaar is opgelost. Lukt dat niet, dan eindigt de betreffende dienst voordat deze subverwerker de gegevens ontvangt. Iedere subverwerker krijgt schriftelijk minstens dezelfde gegevensbeschermingsverplichtingen; ShopAlign blijft verantwoordelijk voor diens nakoming.
Voor de standaard hosting is de volgende subverwerker opgenomen:
| Subverwerker | Dienst | Locatie |
|---|---|---|
| TransIP B.V. | Hosting | Nederland |
Aanvullende AI-, mail- of andere diensten worden alleen als subverwerker ingezet nadat ShopAlign vooraf de provider, het doel, de locatie/regio en de toepasselijke voorwaarden bekend heeft gemaakt en een geldige grondslag en regeling voor de verwerking bestaan. Doorgifte buiten de EER vindt alleen plaats met een geldig AVG-doorgiftemechanisme en passende aanvullende maatregelen. Externe integraties die de merchant zelf contracteert, zijn niet automatisch subverwerkers van ShopAlign.
8. Bijstand en incidenten
ShopAlign helpt de merchant, voor zover nodig gezien de verwerking, bij verzoeken om inzage, rectificatie, wissing, beperking, dataportabiliteit en bezwaar, bij beveiliging van de verwerking, melding en documentatie van inbreuken, bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging, en bij informatieverzoeken van toezichthouders.
Een verzoek van een betrokkene dat ShopAlign rechtstreeks ontvangt, stuurt zij zonder onnodige vertraging door. De merchant beoordeelt en beantwoordt het verzoek, tenzij ShopAlign wettelijk zelf moet handelen.
ShopAlign meldt een daadwerkelijke of vermoedelijke inbreuk in verband met persoonsgegevens zonder onnodige vertraging aan het aangewezen contact van de betrokken merchant. De melding bevat voor zover bekend aard en omvang, betrokken categorieën en aantallen, waarschijnlijke gevolgen, genomen maatregelen en een contactpunt. Ontbrekende informatie wordt zo spoedig mogelijk aangevuld. ShopAlign beperkt de gevolgen, documenteert het incident en werkt mee aan onderzoek, melding en herstel. De merchant kan incidenten en privacyvragen aan ShopAlign melden via info@123paracord.nl.
9. Retour, verwijdering en bewaartermijnen
Bij beëindiging kiest de merchant schriftelijk voor retour/export of verwijdering. ShopAlign maakt de actieve gegevens binnen 30 dagen beschikbaar voor export of verwijdert ze binnen diezelfde termijn. Na retour of export verwijdert ShopAlign de actieve gegevens eveneens binnen die termijn, tenzij een wettelijke bewaarplicht geldt.
Gegevens in back-ups worden uiterlijk binnen 90 dagen na beëindiging verwijderd. Back-ups worden gedurende die periode afgescheiden en niet operationeel gebruikt. Worden eerder verwijderde gegevens bij herstel teruggezet, dan worden zij vóór operationeel gebruik opnieuw verwijderd; herstel verlengt de oorspronkelijke termijn van 90 dagen niet. Gegevens die op grond van de wet moeten worden bewaard, worden afgescheiden, uitsluitend voor dat wettelijke doel bewaard en na het vervallen van de bewaarplicht verwijderd.
10. Informatie, audit en wijzigingen
ShopAlign verstrekt de informatie die de merchant redelijkerwijs nodig heeft om naleving aan te tonen en faciliteert een passende audit door de merchant of een onafhankelijke auditor. Audits worden vooraf afgestemd, beperken verstoring en beschermen gegevens van andere merchants en beveiligingsgevoelige informatie.
ShopAlign meldt relevante wijzigingen in verwerking, subverwerkers of beveiligingsmaatregelen ten minste 30 dagen vooraf, tenzij een kortere termijn noodzakelijk is door een wettelijke verplichting of een acuut beveiligingsrisico. Wijzigingen van deze overeenkomst worden schriftelijk vastgelegd.
11. Aansprakelijkheid en rangorde
De dienstovereenkomst bepaalt commerciële voorwaarden, aansprakelijkheid, toepasselijk recht, looptijd en rangorde. Bij strijdigheid met de dienstovereenkomst gaat deze verwerkersovereenkomst voor ten aanzien van de verwerking van persoonsgegevens. Wettelijke rechten van betrokkenen blijven onverlet.