Verwerkersovereenkomst

Deze overeenkomst is opgesteld op grond van artikel 28 AVG. Zij maakt deel uit van de overeenkomst en wordt aanvaard bij het aanmaken van een account. Wilt u een ondertekend exemplaar, vraag het dan aan via privacy@mercatusflow.com.

Verwerkingsverantwoordelijke: de klant die een overeenkomst met MercatusFlow heeft (hierna: Klant).

Verwerker: ViralVentures B.V., KvK 30152181, handelend onder de naam MercatusFlow.

1.1 Verwerker levert Klant een platform voor marktplaatsintegratie. Bij het gebruik daarvan verwerkt Verwerker persoonsgegevens namens Klant, in het bijzonder gegevens die via gekoppelde marktplaatsen binnenkomen.

1.2 Klant bepaalt doel en middelen van die verwerking en is verwerkingsverantwoordelijke. Verwerker verwerkt uitsluitend op schriftelijke instructie van Klant; het gebruik van de functionaliteit van het platform geldt als zodanige instructie.

1.3 Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden, met uitzondering van het gebruik van geaggregeerde en geanonimiseerde gegevens zoals geregeld in de algemene voorwaarden.

1.4 Op gegevens waarvoor Verwerker zelf verwerkingsverantwoordelijke is — accountgegevens van gebruikers, facturatiegegevens, websitebezoek — is deze overeenkomst niet van toepassing, maar de privacyverklaring van Verwerker.

1.5 Meent Verwerker dat een instructie in strijd is met de AVG of andere gegevensbeschermingswetgeving, dan meldt hij dat onverwijld aan Klant.

De categorieën betrokkenen, soorten persoonsgegevens, doeleinden en duur staan in Bijlage 1.

3.1 Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. De maatregelen staan beschreven in Bijlage 2.

3.2 Verwerker mag maatregelen aanpassen, mits het beschermingsniveau daardoor niet daalt.

3.3 Klant is verantwoordelijk voor de beveiliging aan zijn zijde, waaronder het beheer van gebruikersaccounts, toegangsrechten en de zorgvuldige omgang met inloggegevens en API-tokens.

Verwerker verplicht iedereen die toegang heeft tot de persoonsgegevens tot geheimhouding, hetzij op grond van een arbeidsovereenkomst, hetzij op grond van een afzonderlijke verklaring. Toegang wordt beperkt tot personen voor wie dat noodzakelijk is voor de uitvoering van de dienst of voor support.

5.1 Klant geeft algemene toestemming voor het inschakelen van subverwerkers. De actuele lijst staat in Bijlage 3 van deze overeenkomst.

5.2 Verwerker legt elke subverwerker verplichtingen op die niet minder streng zijn dan die in deze overeenkomst, en blijft jegens Klant volledig aansprakelijk voor de nakoming door subverwerkers.

5.3 Bij toevoeging of vervanging van een subverwerker informeert Verwerker ten minste 30 dagen vooraf per e-mail en past hij Bijlage 3 aan. Klant kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag Klant de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten en met terugbetaling van vooruitbetaalde vergoedingen over de resterende periode.

6.1 Verwerking en opslag vinden plaats binnen de Europese Economische Ruimte.

6.2 Is doorgifte naar een derde land onvermijdelijk, dan gebeurt dat uitsluitend op basis van een adequaatheidsbesluit of standaardcontractbepalingen van de Europese Commissie, aangevuld met eventueel noodzakelijke aanvullende maatregelen. Dergelijke doorgiftes worden in Bijlage 3 vermeld.

7.1 Verwerker verleent, rekening houdend met de aard van de verwerking, redelijke medewerking bij verzoeken van betrokkenen tot inzage, rectificatie, verwijdering, beperking, bezwaar of dataportabiliteit; bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging; en bij het aantoonbaar naleven van de beveiligingsverplichtingen.

7.2 Waar het platform functionaliteit biedt om zelf gegevens in te zien, te exporteren, te corrigeren of te verwijderen, geldt het gebruik daarvan als de primaire wijze waarop Klant aan zijn verplichtingen voldoet.

7.3 Richt een betrokkene zich rechtstreeks tot Verwerker, dan verwijst Verwerker door naar Klant en handelt hij het verzoek niet zelfstandig af.

7.4 Voor bijstand die de gebruikelijke ondersteuning aanzienlijk te boven gaat, mag Verwerker redelijke kosten in rekening brengen, na voorafgaande opgave.

8.1 Verwerker informeert Klant zonder onredelijke vertraging, en in elk geval binnen 48 uur na ontdekking, over een inbreuk in verband met persoonsgegevens die Klant betreft.

8.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en aantallen, de waarschijnlijke gevolgen, de getroffen en voorgenomen maatregelen, en een contactpunt.

8.3 Melding aan de toezichthouder en aan betrokkenen is de verantwoordelijkheid van Klant. Verwerker meldt niet zelfstandig namens Klant, tenzij schriftelijk anders overeengekomen.

9.1 Verwerker stelt op verzoek de informatie beschikbaar die nodig is om naleving van artikel 28 AVG aan te tonen, waaronder beschikbare rapportages en beschrijvingen van maatregelen.

9.2 Klant mag ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden auditor, na aankondiging van ten minste 30 dagen, tijdens kantooruren en zonder de bedrijfsvoering onnodig te verstoren.

9.3 De kosten van een audit komen voor rekening van Klant, tenzij daaruit een materiële tekortkoming van Verwerker blijkt.

10.1 Deze overeenkomst geldt zolang Verwerker persoonsgegevens namens Klant verwerkt.

10.2 Na beëindiging van de hoofdovereenkomst blijven de gegevens gedurende 90 dagen beschikbaar voor export. Daarna verwijdert Verwerker de persoonsgegevens, inclusief kopieën, behoudens gegevens die op grond van een wettelijke plicht bewaard moeten worden en behoudens het controlespoor van wijzigingen aan producten en prijzen, dat Verwerker op grond van een gerechtvaardigd belang 24 maanden bewaart als bewijs bij geschillen. Back-ups worden verwijderd bij het verstrijken van de reguliere back-upcyclus.

10.3 Op eerste verzoek bevestigt Verwerker de verwijdering schriftelijk.

11.1 Op deze overeenkomst is de aansprakelijkheidsregeling uit de algemene voorwaarden van toepassing, voor zover dwingend recht dat toelaat.

11.2 Boetes die door een toezichthouder aan een partij worden opgelegd, komen voor rekening van de partij aan wie de tekortkoming is toe te rekenen.

12.1 Verwerker mag deze overeenkomst overdragen aan een groepsmaatschappij of aan een rechtsopvolger onder algemene of bijzondere titel, gelijktijdig met en onder dezelfde voorwaarden als de hoofdovereenkomst. Klant verleent daaraan bij voorbaat medewerking.

12.2 Een overdracht als bedoeld in lid 1 is geen wijziging van subverwerker en valt niet onder artikel 5. De overnemende partij treedt volledig in de rechten en verplichtingen uit deze overeenkomst.

12.3 Verwerker informeert Klant ten minste 30 dagen vooraf, onder vermelding van de identiteit, het KvK-nummer en de vestigingsplaats van de overnemende partij, en past Bijlage 3 en de privacyverklaring daarop aan. De verwerkingslocatie blijft binnen de EER.

12.4 De overdracht leidt niet tot een lager beschermingsniveau. Blijft de overnemende partij daarin naar het oordeel van Klant aantoonbaar achter, dan mag Klant de overeenkomst opzeggen tegen de datum van overdracht.

Bij strijdigheid tussen deze verwerkersovereenkomst en de algemene voorwaarden prevaleert deze verwerkersovereenkomst, uitsluitend voor zover het de verwerking van persoonsgegevens betreft.

Categorieën betrokkenen

• Afnemers van Klant, afkomstig uit gekoppelde marktplaatsen
• Medewerkers en gebruikers van Klant
• Contactpersonen bij leveranciers van Klant

Soorten persoonsgegevens

• Identificatiegegevens: naam, klantnummer bij de marktplaats
• Contactgegevens: e-mailadres, telefoonnummer, voor zover de marktplaats die verstrekt
• Adresgegevens: bezorg- en factuuradres
• Bestelgegevens: ordernummer, bestelde artikelen, aantallen, bedragen, datum, status
• Logistieke gegevens: verzendwijze, track & trace, retourinformatie
• Communicatie: berichten en retourredenen via de marktplaats
• Gebruikersgegevens van Klant: naam, zakelijk e-mailadres, rol, gebruikslogs

Het platform is niet bedoeld voor de verwerking van bijzondere categorieën persoonsgegevens of van strafrechtelijke gegevens. Klant voert die niet in, ook niet via vrije tekstvelden.

Doeleinden

• Ophalen, tonen en beheren van orders en retouren
• Verzenden van order- en verzendinformatie naar logistieke systemen en marktplaatsen
• Rapportage en analyse ten behoeve van Klant
• Ondersteuning en foutoplossing

Duur: de looptijd van de overeenkomst, plus de termijn uit artikel 10.2.

• Versleuteling van transport (TLS 1.2 of hoger) en van gegevens in rust
• Logische scheiding van klantomgevingen op basis van een tenantidentificatie, afgedwongen in de applicatielaag
• Toegangsbeheer op basis van rollen, met het principe van minimale rechten
• Meervoudige authenticatie voor beheerderstoegang
• Logging van toegang en van wijzigingen aan gegevens, 24 maanden bewaard
• Gescheiden ontwikkel-, test- en productieomgevingen; geen productiegegevens in test
• Geautomatiseerde dagelijkse back-ups met periodieke hersteltest
• Beheer van kwetsbaarheden: geautomatiseerde afhankelijkheidsscans en tijdige patching
• Geheimhoudingsverplichting voor alle medewerkers en ingeschakelde derden
• Procedure voor het herkennen, melden en afhandelen van beveiligingsincidenten
• Hosting binnen de EER bij een ISO 27001-gecertificeerde provider

Mollie is voor de betaling zelf verwerkingsverantwoordelijke; voor de gegevens die wij daarbij aanleveren treedt Mollie op als subverwerker.