Verwerkersovereenkomst
Verwerkersovereenkomst
Deze verwerkersovereenkomst maakt onderdeel uit van de algemene voorwaarden tussen jou ("Klant") en Jiyu Ninja B.V., handelend onder de naam Stockpilot, ingeschreven bij de Kamer van Koophandel onder nummer 83679723, Vredenburg 40, 3511 BD Utrecht ("Stockpilot"). Zij is van toepassing wanneer Stockpilot persoonsgegevens verwerkt namens de Klant en wordt geaccepteerd bij het aanmaken van een account.
1. Rollen en reikwijdte
1.1 De Klant is verwerkingsverantwoordelijke en Stockpilot is verwerker voor persoonsgegevens van de klanten van de Klant die via Stockpilot worden verwerkt, waaronder order-, verzend- en retourgegevens uit de webshops, marketplaces, vervoerders en fulfilmentpartijen van de Klant.
1.2 Voor persoonsgegevens die betrekking hebben op de Klant als klant van Stockpilot is Stockpilot verwerkingsverantwoordelijke. Die verwerking valt buiten deze overeenkomst en wordt beheerst door het privacybeleid.
1.3 Bijlage 1 bevat het onderwerp, de duur, de aard en het doel van de verwerking, de categorieën persoonsgegevens en de categorieën betrokkenen.
2. Instructies
2.1 Stockpilot verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructies van de Klant, tenzij Unierechtelijke of lidstaatrechtelijke bepalingen anders voorschrijven. In dat geval stelt Stockpilot de Klant daarvan vooraf op de hoogte, tenzij die wetgeving dit verbiedt.
2.2 De algemene voorwaarden, deze verwerkersovereenkomst en het gebruik dat de Klant maakt van de functionaliteit van de dienst vormen samen de gedocumenteerde instructies van de Klant.
2.3 Stockpilot informeert de Klant wanneer een instructie naar haar oordeel in strijd is met de AVG of andere privacywetgeving.
2.4 Stockpilot gebruikt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en combineert ze niet met gegevens van andere klanten om profielen op te bouwen.
3. Vertrouwelijkheid
Stockpilot zorgt ervoor dat personen die bevoegd zijn de persoonsgegevens te verwerken gebonden zijn aan geheimhouding, contractueel of op grond van de wet, en dat toegang uitsluitend wordt verleend waar dat voor de uitvoering van de dienst nodig is.
4. Beveiliging
4.1 Stockpilot treft passende technische en organisatorische maatregelen zoals vereist door artikel 32 AVG. De geldende maatregelen zijn beschreven in bijlage 2.
4.2 Stockpilot kan deze maatregelen aanpassen, mits het beveiligingsniveau niet wordt verlaagd.
5. Subverwerkers
5.1 De Klant verleent Stockpilot algemene toestemming om subverwerkers in te schakelen. Het actuele overzicht is gepubliceerd op stockpilot.com/subprocessors.
5.2 Stockpilot kondigt het voornemen tot toevoeging of vervanging van een subverwerker ten minste 30 dagen vooraf aan. De Klant kan daartegen binnen die termijn schriftelijk bezwaar maken op redelijke gronden van gegevensbescherming. Wordt het bezwaar niet weggenomen, dan kan de Klant het betreffende onderdeel van de dienst zonder boete beëindigen.
5.3 Stockpilot legt elke subverwerker verplichtingen op die gelijkwaardig zijn aan die in deze overeenkomst en blijft jegens de Klant volledig aansprakelijk voor de uitvoering door die subverwerker.
6. Doorgifte buiten de EER
Vindt doorgifte van persoonsgegevens buiten de Europese Economische Ruimte plaats, dan gebeurt dat op basis van de modelcontractbepalingen van de Europese Commissie of een ander geldig doorgiftemechanisme. Het subverwerkersoverzicht vermeldt per subverwerker waar de verwerking plaatsvindt.
7. Rechten van betrokkenen
7.1 Stockpilot verleent de Klant, rekening houdend met de aard van de verwerking, door middel van passende technische en organisatorische maatregelen bijstand bij het nakomen van de plicht van de Klant om verzoeken van betrokkenen te beantwoorden.
7.2 Benadert een betrokkene Stockpilot rechtstreeks over gegevens die namens de Klant worden verwerkt, dan stuurt Stockpilot het verzoek zonder onnodige vertraging door naar de Klant en reageert zij zelf niet inhoudelijk, tenzij de Klant anders instrueert.
8. Bijstand
Stockpilot verleent de Klant, rekening houdend met de aard van de verwerking en de haar beschikbare informatie, bijstand bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, betreffende beveiliging, meldplicht datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging.
9. Datalekken
9.1 Stockpilot informeert de Klant zonder onnodige vertraging, en in elk geval binnen 48 uur, nadat zij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die namens de Klant worden verwerkt.
9.2 De melding beschrijft, voor zover bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen.
9.3 Melding aan de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van de Klant als verwerkingsverantwoordelijke. Stockpilot verstrekt de informatie die daarvoor redelijkerwijs nodig is.
10. Teruggave en verwijdering
10.1 Bij beëindiging van de dienstverlening kan de Klant, overeenkomstig artikel 28 lid 3 sub g AVG, kiezen tussen teruggave en verwijdering van de persoonsgegevens.
10.2 De Klant kan de persoonsgegevens gedurende het abonnement op elk moment exporteren uit het account, en gedurende 14 dagen na beëindiging, tenzij het account is beëindigd wegens niet-betaling. In dat geval stelt Stockpilot de export op schriftelijk verzoek beschikbaar gedurende 14 dagen nadat het openstaande bedrag is voldaan.
10.3 Stockpilot verwijdert de persoonsgegevens na die periode, tenzij Unierechtelijke of lidstaatrechtelijke bepalingen langere bewaring voorschrijven. Back-ups worden verwijderd volgens de reguliere back-uprotatie, met een maximum van 35 dagen.
10.4 Bewaartermijnen die door een gekoppeld verkoopkanaal worden opgelegd, waaronder het Amazon Data Protection Policy, gaan voor wanneer zij korter zijn dan de termijnen in dit artikel. Persoonsgegevens afkomstig van Amazon worden uiterlijk 30 dagen na levering van de order verwijderd, behoudens wettelijk verplichte bewaring.
10.5 Stockpilot bevestigt de verwijdering op verzoek van de Klant schriftelijk, met vermelding van de datum en de betrokken systemen.
11. Audits
11.1 Stockpilot stelt de Klant alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen.
11.2 De Klant kan eenmaal per kalenderjaar op eigen kosten een audit uitvoeren, na redelijke aankondiging, tijdens kantooruren en zonder onevenredige verstoring van de bedrijfsvoering van Stockpilot. Stockpilot kan aan een auditverzoek voldoen door een bestaande certificering of beoordelingsrapport van een derde te verstrekken.
12. Aansprakelijkheid en duur
12.1 De aansprakelijkheidsbepalingen uit de algemene voorwaarden zijn van toepassing op deze overeenkomst.
12.2 Deze overeenkomst treedt in werking bij acceptatie en blijft van kracht zolang Stockpilot persoonsgegevens namens de Klant verwerkt.
12.3 Bij strijdigheid tussen een bepaling uit deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor waar het de verwerking van persoonsgegevens betreft.
13. Toepasselijk recht
Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Midden-Nederland.
Bijlage 1, details van de verwerking
Onderwerp: het leveren van het Stockpilot-platform voor multichannel voorraad- en orderbeheer.
Duur: zolang het abonnement van kracht is, vermeerderd met de termijnen uit artikel 10.
Aard en doel: het ontvangen, verwerken, afhandelen, verzenden en retourneren van orders, het synchroon houden van voorraad over verkoopkanalen, het aanmaken van verzendlabels, picklijsten, pakbonnen en facturen, en het leveren van support.
Categorieën persoonsgegevens: naam, afleveradres en factuuradres, e-mailadres, telefoonnummer, ordergegevens, verzend- en trackinggegevens, retourgegevens, en overige gegevens die de verkoopkanalen van de Klant in een order opnemen.
Categorieën betrokkenen: klanten en eindklanten van de Klant.
Bijzondere categorieën persoonsgegevens: geen. De Klant instrueert Stockpilot niet tot het verwerken van bijzondere categorieën persoonsgegevens.
Bijlage 2, beveiligingsmaatregelen
Versleuteling van persoonsgegevens tijdens transport met TLS 1.2 of hoger, en in rust met AES-256 of een gelijkwaardige standaard.
Toegangsbeheer volgens het principe van minimale rechten, individueel toegekend, gelogd en periodiek beoordeeld, en ingetrokken zodra niet meer nodig.
Inloggegevens en API-tokens versleuteld opgeslagen en nooit in leesbare vorm gelogd.
Scheiding van klantdata op accountniveau.
Logging en monitoring van systeem- en beveiligingsgebeurtenissen.
Regelmatige back-ups, versleuteld opgeslagen, met hersteltests.
Gedocumenteerde procedure voor incidentafhandeling.
Geheimhoudingsplicht voor alle medewerkers met toegang.
Beoordeling van subverwerkers voorafgaand aan inzet en contractuele oplegging van gelijkwaardige verplichtingen.
1. Rollen en reikwijdte
1.1 De Klant is verwerkingsverantwoordelijke en Stockpilot is verwerker voor persoonsgegevens van de klanten van de Klant die via Stockpilot worden verwerkt, waaronder order-, verzend- en retourgegevens uit de webshops, marketplaces, vervoerders en fulfilmentpartijen van de Klant.
1.2 Voor persoonsgegevens die betrekking hebben op de Klant als klant van Stockpilot is Stockpilot verwerkingsverantwoordelijke. Die verwerking valt buiten deze overeenkomst en wordt beheerst door het privacybeleid.
1.3 Bijlage 1 bevat het onderwerp, de duur, de aard en het doel van de verwerking, de categorieën persoonsgegevens en de categorieën betrokkenen.
2. Instructies
2.1 Stockpilot verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructies van de Klant, tenzij Unierechtelijke of lidstaatrechtelijke bepalingen anders voorschrijven. In dat geval stelt Stockpilot de Klant daarvan vooraf op de hoogte, tenzij die wetgeving dit verbiedt.
2.2 De algemene voorwaarden, deze verwerkersovereenkomst en het gebruik dat de Klant maakt van de functionaliteit van de dienst vormen samen de gedocumenteerde instructies van de Klant.
2.3 Stockpilot informeert de Klant wanneer een instructie naar haar oordeel in strijd is met de AVG of andere privacywetgeving.
2.4 Stockpilot gebruikt de persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en combineert ze niet met gegevens van andere klanten om profielen op te bouwen.
3. Vertrouwelijkheid
Stockpilot zorgt ervoor dat personen die bevoegd zijn de persoonsgegevens te verwerken gebonden zijn aan geheimhouding, contractueel of op grond van de wet, en dat toegang uitsluitend wordt verleend waar dat voor de uitvoering van de dienst nodig is.
4. Beveiliging
4.1 Stockpilot treft passende technische en organisatorische maatregelen zoals vereist door artikel 32 AVG. De geldende maatregelen zijn beschreven in bijlage 2.
4.2 Stockpilot kan deze maatregelen aanpassen, mits het beveiligingsniveau niet wordt verlaagd.
5. Subverwerkers
5.1 De Klant verleent Stockpilot algemene toestemming om subverwerkers in te schakelen. Het actuele overzicht is gepubliceerd op stockpilot.com/subprocessors.
5.2 Stockpilot kondigt het voornemen tot toevoeging of vervanging van een subverwerker ten minste 30 dagen vooraf aan. De Klant kan daartegen binnen die termijn schriftelijk bezwaar maken op redelijke gronden van gegevensbescherming. Wordt het bezwaar niet weggenomen, dan kan de Klant het betreffende onderdeel van de dienst zonder boete beëindigen.
5.3 Stockpilot legt elke subverwerker verplichtingen op die gelijkwaardig zijn aan die in deze overeenkomst en blijft jegens de Klant volledig aansprakelijk voor de uitvoering door die subverwerker.
6. Doorgifte buiten de EER
Vindt doorgifte van persoonsgegevens buiten de Europese Economische Ruimte plaats, dan gebeurt dat op basis van de modelcontractbepalingen van de Europese Commissie of een ander geldig doorgiftemechanisme. Het subverwerkersoverzicht vermeldt per subverwerker waar de verwerking plaatsvindt.
7. Rechten van betrokkenen
7.1 Stockpilot verleent de Klant, rekening houdend met de aard van de verwerking, door middel van passende technische en organisatorische maatregelen bijstand bij het nakomen van de plicht van de Klant om verzoeken van betrokkenen te beantwoorden.
7.2 Benadert een betrokkene Stockpilot rechtstreeks over gegevens die namens de Klant worden verwerkt, dan stuurt Stockpilot het verzoek zonder onnodige vertraging door naar de Klant en reageert zij zelf niet inhoudelijk, tenzij de Klant anders instrueert.
8. Bijstand
Stockpilot verleent de Klant, rekening houdend met de aard van de verwerking en de haar beschikbare informatie, bijstand bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, betreffende beveiliging, meldplicht datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging.
9. Datalekken
9.1 Stockpilot informeert de Klant zonder onnodige vertraging, en in elk geval binnen 48 uur, nadat zij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die namens de Klant worden verwerkt.
9.2 De melding beschrijft, voor zover bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen.
9.3 Melding aan de Autoriteit Persoonsgegevens en aan betrokkenen is de verantwoordelijkheid van de Klant als verwerkingsverantwoordelijke. Stockpilot verstrekt de informatie die daarvoor redelijkerwijs nodig is.
10. Teruggave en verwijdering
10.1 Bij beëindiging van de dienstverlening kan de Klant, overeenkomstig artikel 28 lid 3 sub g AVG, kiezen tussen teruggave en verwijdering van de persoonsgegevens.
10.2 De Klant kan de persoonsgegevens gedurende het abonnement op elk moment exporteren uit het account, en gedurende 14 dagen na beëindiging, tenzij het account is beëindigd wegens niet-betaling. In dat geval stelt Stockpilot de export op schriftelijk verzoek beschikbaar gedurende 14 dagen nadat het openstaande bedrag is voldaan.
10.3 Stockpilot verwijdert de persoonsgegevens na die periode, tenzij Unierechtelijke of lidstaatrechtelijke bepalingen langere bewaring voorschrijven. Back-ups worden verwijderd volgens de reguliere back-uprotatie, met een maximum van 35 dagen.
10.4 Bewaartermijnen die door een gekoppeld verkoopkanaal worden opgelegd, waaronder het Amazon Data Protection Policy, gaan voor wanneer zij korter zijn dan de termijnen in dit artikel. Persoonsgegevens afkomstig van Amazon worden uiterlijk 30 dagen na levering van de order verwijderd, behoudens wettelijk verplichte bewaring.
10.5 Stockpilot bevestigt de verwijdering op verzoek van de Klant schriftelijk, met vermelding van de datum en de betrokken systemen.
11. Audits
11.1 Stockpilot stelt de Klant alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen.
11.2 De Klant kan eenmaal per kalenderjaar op eigen kosten een audit uitvoeren, na redelijke aankondiging, tijdens kantooruren en zonder onevenredige verstoring van de bedrijfsvoering van Stockpilot. Stockpilot kan aan een auditverzoek voldoen door een bestaande certificering of beoordelingsrapport van een derde te verstrekken.
12. Aansprakelijkheid en duur
12.1 De aansprakelijkheidsbepalingen uit de algemene voorwaarden zijn van toepassing op deze overeenkomst.
12.2 Deze overeenkomst treedt in werking bij acceptatie en blijft van kracht zolang Stockpilot persoonsgegevens namens de Klant verwerkt.
12.3 Bij strijdigheid tussen een bepaling uit deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor waar het de verwerking van persoonsgegevens betreft.
13. Toepasselijk recht
Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Midden-Nederland.
Bijlage 1, details van de verwerking
Onderwerp: het leveren van het Stockpilot-platform voor multichannel voorraad- en orderbeheer.
Duur: zolang het abonnement van kracht is, vermeerderd met de termijnen uit artikel 10.
Aard en doel: het ontvangen, verwerken, afhandelen, verzenden en retourneren van orders, het synchroon houden van voorraad over verkoopkanalen, het aanmaken van verzendlabels, picklijsten, pakbonnen en facturen, en het leveren van support.
Categorieën persoonsgegevens: naam, afleveradres en factuuradres, e-mailadres, telefoonnummer, ordergegevens, verzend- en trackinggegevens, retourgegevens, en overige gegevens die de verkoopkanalen van de Klant in een order opnemen.
Categorieën betrokkenen: klanten en eindklanten van de Klant.
Bijzondere categorieën persoonsgegevens: geen. De Klant instrueert Stockpilot niet tot het verwerken van bijzondere categorieën persoonsgegevens.
Bijlage 2, beveiligingsmaatregelen
Versleuteling van persoonsgegevens tijdens transport met TLS 1.2 of hoger, en in rust met AES-256 of een gelijkwaardige standaard.
Toegangsbeheer volgens het principe van minimale rechten, individueel toegekend, gelogd en periodiek beoordeeld, en ingetrokken zodra niet meer nodig.
Inloggegevens en API-tokens versleuteld opgeslagen en nooit in leesbare vorm gelogd.
Scheiding van klantdata op accountniveau.
Logging en monitoring van systeem- en beveiligingsgebeurtenissen.
Regelmatige back-ups, versleuteld opgeslagen, met hersteltests.
Gedocumenteerde procedure voor incidentafhandeling.
Geheimhoudingsplicht voor alle medewerkers met toegang.
Beoordeling van subverwerkers voorafgaand aan inzet en contractuele oplegging van gelijkwaardige verplichtingen.
