Verwerkersovereenkomst

Jij bent de verwerkingsverantwoordelijke. Jij bepaalt welke persoonsgegevens er zijn, waarvoor ze gebruikt worden en op welke grondslag. Wij zijn de verwerker. Wij verwerken ze voor jou en niet voor onszelf.

Ecomations is een handelsnaam van Rovito, een eenmanszaak gevestigd in Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 89939131, btw-nummer NL004774781B81, Blauwe Hof 7415, 6602 XT Wijchen, Netherlands. Waar hieronder “wij” staat, bedoelen we Rovito. Je bereikt ons over alles op deze pagina op info@ecomations.io.

Je gaat met deze overeenkomst akkoord in de app, voordat je je Shopify-winkel of je advertentieaccount koppelt. Wij leggen daarbij vast welke versie je hebt gezien. De datum bovenaan deze pagina is die versie.

Wijzigen wij deze overeenkomst, dan geldt daarvoor artikel 13 van de voorwaarden: minimaal dertig dagen vooraf per e-mail, en je kunt opzeggen tegen de datum waarop de wijziging ingaat. Wij vragen je daarna opnieuw om akkoord, want een nieuwe versie is een nieuwe afspraak. Spreekt deze overeenkomst de voorwaarden tegen, dan geldt voor persoonsgegevens wat hier staat.

Het onderwerp is het verwerken van persoonsgegevens uit jouw winkel, jouw advertentieaccount en jouw eigen aanlevering, voor zover dat nodig is om te leveren wat in artikel 3 van de voorwaarden staat: product launches, en de onderdelen van de app die je zelf aanzet.

De duur. Deze overeenkomst begint op het moment dat je ermee akkoord gaat, of eerder als je ons eerder toegang geeft, en loopt zolang wij voor je werken. Zeg je op, dan blijft deze overeenkomst gelden tot wij de gegevens hebben verwijderd volgens artikel 12.

De aard. Wij verzamelen, leggen vast, bewaren, raadplegen, gebruiken, wijzigen, geven door aan de subverwerkers uit artikel 8 en verwijderen. Dat gebeurt grotendeels geautomatiseerd, in onze app en in de systemen van die subverwerkers.

Het doel. Alleen het leveren van onze dienst: een gelokaliseerde productlisting, een sizechart, creatives, ad copy, het klaarzetten van de bijbehorende campagne in je eigen advertentieaccount, en de onderdelen die je zelf aanzet, zoals de pakketstatus van je orders, het behandelen van chargebacks en je winstoverzicht. Daarnaast voor support en voor onze facturatie.

Wat wij er niet mee doen. Wij gebruiken jouw gegevens niet voor onze eigen marketing, wij verkopen of verhuren ze niet, wij maken er geen profielen mee en wij trainen er geen eigen modellen op. Er worden geen besluiten met rechtsgevolgen voor personen automatisch genomen.

Dit zijn de soorten persoonsgegevens die wij voor je verwerken:

• Accountgegevens van de mensen die bij jou in de app werken: naam, e-mailadres, rol, en inlog- en sessiegegevens.
• Gegevens uit je Shopify-winkel: ordergegevens met de naam van je klant, het bezorgadres, het e-mailadres, de orderregels, bedragen, de verzend- en trackingstatus, en gegevens over retouren en disputen. Alleen voor zover een functie die jij hebt aangezet die nodig heeft.
• Gegevens uit je Meta-advertentieaccount: je campagnes, advertenties en de resultaten daarvan, en toegang tot je advertentiedataset waar conversie-optimalisatie wordt gebruikt. Wij halen de persoonsgegevens van jouw bezoekers en kopers niet uit die dataset en bewaren ze niet.
• Materiaal dat je aanlevert of dat wij voor je maken, zoals productfoto’s en merkmateriaal, waarop personen te zien kunnen zijn.
• Correspondentie: wat je ons stuurt over je account, je opdrachten en je support.

En dit zijn de categorieën betrokkenen:

• jij en de mensen binnen jouw onderneming die de app gebruiken;
• jouw klanten en kopers;
• jouw websitebezoekers, voor zover zij via jouw advertentieaccount in beeld komen;
• personen die te zien zijn op materiaal dat je aanlevert.

Geen bijzondere categorieën persoonsgegevens. Wij vragen niet om gegevens over gezondheid, geloof, politieke voorkeur, etniciteit, vakbond, seksleven, biometrie of genetica, en ook niet om een burgerservicenummer of strafrechtelijke gegevens. Lever ze niet aan. Doe je dat toch, dan verwerken wij ze niet in jouw opdracht.

Wij verwerken jouw persoonsgegevens uitsluitend op jouw gedocumenteerde instructie. Die instructie bestaat uit deze overeenkomst, de algemene voorwaarden, je onboardingsformulier, de instellingen die je in de app kiest en wat je ons daarna schriftelijk opdraagt. Buiten die instructie verwerken wij niets, en nooit voor een eigen doel.

Vinden wij dat een instructie in strijd is met de AVG of met andere privacywetgeving, dan zeggen wij dat tegen je voordat wij hem uitvoeren, en wij mogen de uitvoering opschorten tot je hem hebt aangepast of bevestigd.

Moeten wij op grond van Europees of Nederlands recht toch iets verwerken dat buiten jouw instructie valt, dan laten wij je dat vooraf weten, tenzij die wet ons verbiedt dat te melden.

Jij staat ervoor in dat je een geldige grondslag hebt voor wat je ons laat doen, en dat je de betrokkenen hebt geïnformeerd zoals de AVG dat van jou vraagt. Wij kunnen dat niet voor je beoordelen; wij zien jouw winkel, niet jouw privacyverklaring.

Toegang tot jouw gegevens heeft alleen wie die voor het werk nodig heeft, en niet langer dan daarvoor nodig is.

Iedereen die namens ons toegang heeft, of dat een medewerker, freelancer of partner is, is tot geheimhouding verplicht. Wij leggen dat schriftelijk vast voordat iemand toegang krijgt, en die verplichting blijft gelden nadat het werk voor ons stopt. Rovito is een eenmanszaak, dus de groep mensen met toegang is klein; de regel geldt bij iedere nieuwe persoon onverkort.

Wij nemen passende technische en organisatorische maatregelen, zoals artikel 32 AVG die vraagt. Dit zijn ze vandaag:

• Al het verkeer naar de app en naar onze leveranciers loopt versleuteld, over TLS.
• De sleutels waarmee wij bij jouw winkel komen, zoals je Shopify-token en het clientgeheim, staan versleuteld in de database. Nooit in platte tekst, en nooit in een logregel.
• De tabellen met winkelgegevens staan achter row level security zonder publieke policies: alleen de serverrol van de app komt erbij, geen bezoeker en geen andere databaserol.
• Toegang is per winkel geregeld. Iemand ziet alleen de winkels waar hij lid van is, en wij houden bij wie dat zijn.
• Inloggen, wachtwoorden en sessies lopen via onze authenticatieleverancier, niet via een eigen wachtwoordenlijst.
• Wij halen zo weinig mogelijk op: een functie krijgt de gegevens die hij nodig heeft en niet het hele klantenbestand. Wij vragen nooit volledige toegang tot je advertentieaccount, en je trekt die toegang op elk moment zelf weer in.
• Onze hosting- en databaseleverancier maken back-ups en houden logbestanden bij, zodat wij kunnen herstellen en kunnen nakijken wat er is gebeurd.

Geen enkele maatregel is een garantie. Verandert de dienst of het risico, dan beoordelen wij deze lijst opnieuw, en wij passen hem aan als dat nodig is.

Je geeft ons algemene toestemming om subverwerkers in te schakelen. Wij leggen elk van hen schriftelijk dezelfde verplichtingen op als wij hier tegenover jou aangaan, en wij blijven tegenover jou verantwoordelijk voor wat zij doen.

Dit zijn de subverwerkers die wij vandaag gebruiken:

• Vercel Inc.: hosting van deze website en van de app.
• Supabase, Inc.: de database en de bestandsopslag achter de app. De gegevens staan op servers in de Europese Unie (Frankfurt, Duitsland).
• Stripe: je abonnement, je betalingen en je facturen.
• Anthropic (Claude): het schrijven van listings, sizecharts en ad copy.
• Higgsfield, OpenAI en Google: het genereren en bewerken van beelden.
• Resend of Postmark: de e-mail die de app verstuurt, zoals bevestigingen, meldingen en het herstellen van je wachtwoord. Wij gebruiken er één tegelijk.
• Google Ireland Limited (Google Workspace): de mailbox achter info@ecomations.io, en dus onze correspondentie met je.

Jouw eigen platforms zijn geen subverwerkers van ons. Shopify, Meta, Canva en de integraties die je zelf koppelt, blijven jouw platforms: jij hebt daar je eigen overeenkomst, jij geeft ons toegang en jij trekt die zelf weer in. Wij gebruiken die toegang alleen voor het doel uit artikel 3.

Een nieuwe subverwerker melden wij vooraf. Minimaal dertig dagen voordat wij hem gaan gebruiken, per e-mail op het adres van je account. Ben je het er niet mee eens, dan laat je ons dat binnen die dertig dagen weten en zoeken we samen een oplossing. Komen we er niet uit, dan kun je opzeggen tegen de datum waarop de wijziging ingaat.

Verzoeken van betrokkenen horen bij jou: jij beantwoordt ze, want jij bent verantwoordelijk. Komt er bij ons een verzoek binnen dat over jouw gegevens gaat, dan antwoorden wij er zelf niet inhoudelijk op. Wij verwijzen die persoon naar jou en laten jou het verzoek zo snel mogelijk zien, in elk geval binnen vijf werkdagen.

Wij helpen je met inzage, correctie, verwijdering, beperking, bezwaar en dataportabiliteit, voor zover onze systemen dat kunnen, en snel genoeg dat jij jouw wettelijke termijn van één maand haalt.

Kost die hulp structureel meer werk dan een incidenteel verzoek, dan spreken wij vooraf een vergoeding af. Wij brengen nooit iets in rekening zonder dat je het van tevoren weet.

Ontdekken wij een inbreuk op de beveiliging waarbij persoonsgegevens die wij voor jou verwerken verloren gaan, gewijzigd worden of in verkeerde handen komen, dan melden wij dat aan jou zonder onnodige vertraging en in elk geval binnen 48 uur nadat wij het hebben ontdekt. Wij mailen het adres van je account, en als het spoed heeft bellen of appen wij je daarnaast.

In die melding staat wat wij op dat moment weten:

• wat er is gebeurd en wanneer;
• welke soorten persoonsgegevens het betreft en, zo goed als wij dat kunnen inschatten, hoeveel betrokkenen en hoeveel records;
• wat de waarschijnlijke gevolgen zijn;
• wat wij al hebben gedaan om het te stoppen en de schade te beperken, en wat wij nog gaan doen;
• bij wie je ons kunt bereiken over dit lek.

Weten wij iets nog niet, dan zeggen wij dat en sturen wij het na zodra wij het weten. Wij houden van elke inbreuk een eigen overzicht bij.

Jij beslist over het melden. Of er gemeld wordt bij de Autoriteit Persoonsgegevens en of de betrokkenen worden geïnformeerd, bepaal jij. Wij doen dat niet namens jou en wij benaderen jouw klanten daar niet zelf over.

Wij geven je de informatie en de medewerking die je nodig hebt om te voldoen aan de artikelen 32 tot en met 36 van de AVG: je eigen beveiliging, de melding van een datalek, een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de toezichthouder.

Loopt er een onderzoek of een vraag van de Autoriteit Persoonsgegevens over deze verwerking, dan werken wij daaraan mee en houden wij jou op de hoogte.

Stopt onze overeenkomst, of verwijder je onze app uit je Shopify-winkel, dan gaat er een termijn van dertig dagen lopen. Die termijn is niet van ons: Shopify geeft ons dertig dagen na een verwijdering om de gegevens van een winkel weg te halen, en de app rekent vanaf het moment van verwijderen, niet vanaf het moment dat wij het merken.

Binnen die dertig dagen kun je nog om een kopie vragen van wat wij voor je hebben gemaakt. Dat werk is van jou (artikel 10 van de voorwaarden). Kom je binnen die dertig dagen terug, bijvoorbeeld door de app opnieuw te installeren, dan stopt de klok en verlies je niets.

Loopt de termijn af, dan verwijderen wij je Shopify-toegang en het versleutelde geheim daarachter, de bestanden die je hebt geüpload en die wij voor je hebben gemaakt, je opdrachten en de resultaten daarvan, je meldingen, je antwoorden uit de onboarding, en wie toegang had tot jouw omgeving.

Wat wij wel bewaren, en waarom. Facturen en de administratie daarachter, omdat de Nederlandse belastingwet ons verplicht die zeven jaar te bewaren. En een lege regel van je winkel met de datum waarop is verwijderd, zodat de verwijdering zelf aantoonbaar blijft. In die regel staat niets meer van jouw klanten: alleen het adres van je winkel en die datum. Kopieën in de back-ups van onze leveranciers verdwijnen mee met hun eigen bewaartermijn.

Vraag je eerder om verwijdering, dan doen wij dat binnen dertig dagen na je verzoek, behalve waar wij wettelijk moeten bewaren. Wij bevestigen per e-mail dat het is gebeurd.

Op jouw verzoek geven wij je de informatie die nodig is om te laten zien dat wij ons aan deze overeenkomst houden.

Je mag die naleving laten controleren: één keer per jaar, en daarnaast als er een concrete aanleiding is, zoals een datalek of een vraag van de toezichthouder. Je kondigt het minimaal twee weken vooraf aan, het gebeurt op werkdagen en het mag de dienst niet onnodig verstoren. Laat je het door iemand anders doen, dan is die persoon tot geheimhouding verplicht en is het geen concurrent van ons.

De kosten van de audit zijn voor jou. Blijkt uit de audit dat wij ons niet aan deze overeenkomst houden, dan dragen wij onze eigen kosten en herstellen wij het op onze kosten.

Over de subverwerkers uit artikel 8 geven wij je door welke informatie zij zelf over hun beveiliging publiceren. Hun systemen kunnen wij niet namens jou laten auditen; dat is wat de afspraak met hen regelt.

De gegevens in de app staan opgeslagen in de Europese Unie. Een deel van de leveranciers uit artikel 8 is een Amerikaans bedrijf, of gebruikt infrastructuur die dat is, en hun medewerkers kunnen bij de systemen komen om ze te ondersteunen.

Gaan persoonsgegevens daarmee buiten de Europese Economische Ruimte, dan gebeurt dat op basis van de waarborgen die hoofdstuk V van de AVG vraagt: een adequaatheidsbesluit van de Europese Commissie, of de standaardcontractbepalingen van de Europese Commissie. Buiten die gevallen geven wij niets door naar een land buiten de EER, en nooit zonder jouw instructie.

Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen leggen we voor aan de bevoegde rechter in het arrondissement waar Rovito is gevestigd, tenzij de wet dwingend iets anders bepaalt.

Waar deze overeenkomst zwijgt, geldt de AVG zelf. Is een bepaling hier nietig of niet van toepassing, dan blijft de rest gelden en vervangen wij die bepaling door een geldige die hetzelfde beoogt.