Verwerkersovereenkomst
Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van IntentBundle en geldt automatisch zodra je de app installeert. Hij voldoet aan artikel 28 van de Algemene verordening gegevensbescherming (AVG).
- Verwerkingsverantwoordelijke: de merchant die IntentBundle installeert ("jij").
- Verwerker: Digiten Ai, Admiraliteitslaan 982, 5224 EX 's-Hertogenbosch, KvK 42074801 ("wij").
1. Onderwerp en duur
1.1 Wij verwerken persoonsgegevens van bezoekers van jouw webshop, uitsluitend om de app voor jou te laten werken: een bundel tonen, kortingen toepassen, resultaten meten, bewaarde bundels en leads beheren en, als jij dat aanzet, gegevens naar jouw Klaviyo-account sturen.
1.2 Deze overeenkomst loopt zolang wij persoonsgegevens voor jou verwerken.
2. Welke gegevens, van wie
| Betrokkenen | Gegevens |
|---|---|
| Bezoekers van je webshop | Bekeken producten en kijktijd (op het apparaat), een willekeurige bezoeker-code, taal, A/B-groep |
| Bezoekers die een bundel bewaren | E-mailadres, producten in de bundel, bedragen en korting, of en wanneer ze toestemming gaven voor e-mail |
| Kopers | Bestelnummer, producten en bedragen van bestellingen met een bundel (geen naam, adres of betaalgegevens) |
We verwerken geen bijzondere persoonsgegevens. Stuur ons die ook niet, bijvoorbeeld in een supportticket.
3. Jouw instructies
3.1 We verwerken de gegevens alleen op jouw instructies. Je instellingen in de app gelden als je instructies. Andere instructies geef je schriftelijk.
3.2 We gebruiken de gegevens niet voor onszelf, verkopen ze niet en combineren ze niet met gegevens van andere merchants, behalve geanonimiseerd en samengevoegd om de app te verbeteren.
3.3 Vinden we dat een instructie in strijd is met de wet, dan laten we je dat direct weten.
3.4 Moeten we gegevens verstrekken omdat de wet ons daartoe verplicht, dan laten we je dat vooraf weten, tenzij dat niet mag.
4. Geheimhouding
Iedereen die bij ons toegang heeft tot de gegevens, is tot geheimhouding verplicht.
5. Beveiliging
We nemen passende technische en organisatorische maatregelen, waaronder:
- versleutelde verbindingen (HTTPS/TLS) tussen webshop, app en database;
- versleuteling van API-sleutels in de database;
- gegevens van elke winkel strikt gescheiden in de app; elke vraag aan de database is beperkt tot één winkel;
- toegang tot het beheer alleen met wachtwoord en een tweede factor, en alleen voor wie het nodig heeft;
- beperking van het aantal verzoeken om misbruik te voorkomen;
- zo min mogelijk gegevens: de kijkgeschiedenis blijft op het apparaat van de bezoeker;
- vaste bewaartermijnen die automatisch worden toegepast (zie artikel 10).
6. Subverwerkers
6.1 Je geeft toestemming voor de volgende subverwerkers:
| Partij | Waarvoor | Waar |
|---|---|---|
| Railway Corporation | Hosting van de app en de database | Verenigde Staten / EU, met waarborgen zoals hieronder |
6.2 Shopify en Klaviyo zijn geen subverwerkers van ons: Shopify is het platform dat jij gebruikt, en Klaviyo is jouw eigen dienst waar wij op jouw instructie gegevens naartoe sturen.
6.3 Een nieuwe subverwerker melden we minstens 30 dagen van tevoren. Heb je een gegronde reden om bezwaar te maken, dan zoeken we samen een oplossing; lukt dat niet, dan kun je opzeggen.
6.4 We leggen subverwerkers minstens dezelfde verplichtingen op als in deze overeenkomst staan.
7. Buiten de EER
Gegevens gaan alleen naar een land buiten de Europese Economische Ruimte als daar een passend beschermingsniveau is, zoals een besluit van de Europese Commissie (bijvoorbeeld het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.
8. Hulp bij verzoeken en verplichtingen
8.1 Krijgen we een verzoek van een betrokkene, dan sturen we dat naar jou door. We helpen je met inzage en verwijdering; Shopify's verzoeken om gegevens in te zien of te verwijderen (customers/data_request, customers/redact) verwerken we automatisch.
8.2 We helpen je redelijkerwijs bij een gegevensbeschermingseffectbeoordeling (DPIA) of overleg met de toezichthouder, voor zover dat over de app gaat.
9. Datalekken
Ontdekken we een inbreuk op de beveiliging die gevolgen heeft voor jouw gegevens, dan melden we dat zonder onredelijke vertraging, uiterlijk binnen 48 uur nadat we het ontdekten, aan het e-mailadres van je winkel. We geven de informatie die je nodig hebt om het eventueel bij de Autoriteit Persoonsgegevens en de betrokkenen te melden, en we nemen maatregelen om de gevolgen te beperken.
10. Bewaren en verwijderen
- Bewaarde bundels en leads: 24 maanden na de laatste wijziging.
- Indeling in een A/B-test: 13 maanden.
- Verzoek van een bezoeker om verwijdering (via Shopify): direct.
- Na het verwijderen van de app: alle gegevens van je winkel binnen 48 uur nadat Shopify het verwijderverzoek stuurt; back-ups bij onze hostingpartij worden binnen 90 dagen overschreven.
Wil je je gegevens eerst hebben, exporteer dan je leads in de app (CSV) voordat je de app verwijdert.
11. Controle
Je mag ons vragen aan te tonen dat we ons aan deze overeenkomst houden. We geven je dan de informatie die daarvoor nodig is. Een audit door een onafhankelijke deskundige kan maximaal één keer per jaar, met 30 dagen aankondiging, tijdens kantooruren, met geheimhouding en op jouw kosten.
12. Aansprakelijkheid
Voor de aansprakelijkheid geldt artikel 10 van de algemene voorwaarden. Jij staat ervoor in dat je de gegevens rechtmatig laat verwerken, dat je je bezoekers informeert en, waar nodig, hun toestemming vraagt.
13. Overig
Op deze overeenkomst is Nederlands recht van toepassing. Bij tegenstrijdigheid met de algemene voorwaarden gaat deze overeenkomst voor als het om persoonsgegevens gaat.