Verwerkersovereenkomst (DPA)

Versie 1.0 · Van kracht vanaf: 2026-10-23

Dit is een vertaling. Voor zakelijke klanten gaat de Engelse versie voor. Voor consumenten met gewone verblijfplaats in een land waar het Nederlands een officiële taal is, is deze versie gelijkelijk authentiek met de Engelse versie; als de twee versies verschillen, geldt de betekenis die voor de consument het gunstigst is. Voor andere consumenten gaat de Engelse versie voor, tenzij het dwingende consumentenrecht van hun land anders bepaalt.

Deze verwerkersovereenkomst (“DPA”) maakt deel uit van de overeenkomst tussen de Klant en de Aanbieder voor de Consentl-dienst die de Klant gebruikt (de “Overeenkomst”):

• voor Consentl voor Shopify (de Shopify-app): de Servicevoorwaarden en Aanhangsel 1;
• voor Consentl voor websites (het dashboard op app.consentl.com, de API op api.consentl.com en de integraties voor platforms): de Servicevoorwaarden voor websites en Aanhangsel 2.

De DPA wordt elektronisch gesloten wanneer de Klant haar aanvaardt zoals beschreven in het toepasselijke Aanhangsel. De Aanbieder bewaart een registratie van de aanvaarding (document, versie, datum en tijdstip, het account of de winkel, en de persoon die heeft aanvaard). Een Klant die een door beide partijen ondertekend exemplaar wenst, kan daarom vragen via [email protected].

Partijen

• Klant: de onderneming of persoon die een Consentl-dienst gebruikt voor haar webwinkel of website en deze DPA aanvaardt, geïdentificeerd aan de hand van haar Shopify-winkel (Aanhangsel 1) of haar Consentl-account (Aanhangsel 2).
• Aanbieder: STL EMBEDED CREATIONS SRL, Str. Kovari 75, 400217 Cluj-Napoca, Cluj, Roemenië; inschrijvingsnummer in het handelsregister J2020001305120, fiscaal identificatienummer (CUI) 42512332 (niet geregistreerd voor de btw; btw-identificatienummer voor intracommunautaire handelingen RO46686340). Contact voor deze DPA: [email protected].

1. Definities en toepassingsgebied

1.1 “Gegevensbeschermingswetgeving”: de wetgeving die van toepassing is op de verwerking op grond van deze DPA, in het bijzonder Verordening (EU) 2016/679 (“AVG”), Richtlijn 2002/58/EG zoals nationaal omgezet, de UK GDPR en de Data Protection Act 2018, de Swiss Federal Act on Data Protection (“FADP”), de California Consumer Privacy Act zoals gewijzigd door de CPRA (“CCPA”) en de andere privacywetten van Amerikaanse staten, de Canadese PIPEDA en de Act respecting the protection of personal information in the private sector van Quebec (“Quebec Law 25”), en de Braziliaanse LGPD, telkens zoals gewijzigd en voor zover elk daarvan van toepassing is.

1.2 Begrippen zoals “verwerkingsverantwoordelijke”, “verwerker”, “persoonsgegevens”, “verwerking”, “betrokkene”, “inbreuk in verband met persoonsgegevens” en “toezichthoudende autoriteit” hebben de betekenis die de AVG eraan geeft. Voor andere wetten omvatten zij de overeenkomstige begrippen (bijvoorbeeld “business”, “service provider”, “consumer” en “personal information” op grond van de CCPA; “operador” op grond van de LGPD).

1.3 “Persoonsgegevens van de Klant”: persoonsgegevens die de Aanbieder bij het leveren van de dienst namens de Klant verwerkt, zoals beschreven in Bijlage I. Daaronder vallen niet de gegevens waarvoor de Aanbieder verwerkingsverantwoordelijke is (bijvoorbeeld de account- en personeelsgegevens van de Klant, factureringsgegevens, correspondentie met de ondersteuning en beveiligingslogs). Die gegevens worden beschreven in de privacyverklaringen van de Aanbieder.

1.4 “Kennisgevingsadres”: het e-mailadres waarnaar de Aanbieder kennisgevingen op grond van deze DPA stuurt (artikel 15.4), zoals bepaald in Aanhangsel 1, S1.6 (Shopify), of Aanhangsel 2, S2.5 (websites).

1.5 Rangorde: als deze DPA strijdig is met de Overeenkomst, gaat deze DPA voor. Als zij strijdig is met standaardcontractbepalingen of andere bepalingen inzake doorgifte die op grond van artikel 9 zijn opgenomen, gaan die bepalingen voor. Een Aanhangsel gaat voor de dienst waarop het betrekking heeft voor op de hoofdtekst van deze DPA.

2. Rollen

2.1 De Klant is de verwerkingsverantwoordelijke voor de Persoonsgegevens van de Klant, of een verwerker die voor een andere verwerkingsverantwoordelijke handelt. De Aanbieder is een verwerker, of een subverwerker.

2.2 De Klant beslist of hij elke functie gebruikt (toestemmingsbanner en toestemmingslogboek, formulier voor privacyverzoeken, herroepingsfunctie, optionele acties met klantgegevens, cookiescans) en hoe hij die configureert. De configuratie die de Klant kiest, is een instructie (artikel 3).

2.3 Klant die als verwerker optreedt. Wanneer de Klant de gegevens voor een andere verwerkingsverantwoordelijke verwerkt (bijvoorbeeld een bureau dat websites of winkels voor zijn klanten beheert), is de Aanbieder diens subverwerker. De Klant staat ervoor in dat zijn verwerkingsverantwoordelijke toestemming heeft gegeven voor het gebruik van de Aanbieder en van de subverwerkers in Bijlage III, geeft de instructies van de verwerkingsverantwoordelijke door, en stuurt de kennisgevingen die hij van de Aanbieder ontvangt door aan zijn verwerkingsverantwoordelijke. De Aanbieder mag afgaan op instructies van de Klant alsof die van de verwerkingsverantwoordelijke afkomstig zijn.

2.4 Het platform waarop de Klant zijn winkel of website exploiteert (bijvoorbeeld Shopify, WordPress, Shopware, PrestaShop, Magento of een websitebouwer), is geen subverwerker van de Aanbieder. Het platform verwerkt gegevens op grond van zijn eigen overeenkomsten met de Klant.

3. Instructies (art. 28, lid 3, onder a, AVG)

3.1 De Aanbieder verwerkt de Persoonsgegevens van de Klant uitsluitend op basis van schriftelijke instructies van de Klant, onder meer met betrekking tot doorgiften naar derde landen, tenzij een op de Aanbieder van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling anders vereist. In dat geval stelt de Aanbieder de Klant vóór de verwerking in kennis van dat wettelijke voorschrift, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.

3.2 De schriftelijke instructies van de Klant zijn: deze DPA en de Overeenkomst; de instellingen en handelingen die de Klant in de dienst verricht (bijvoorbeeld het plan en de daaruit voortvloeiende bewaartermijn, exports, verwijderingen en privacyacties met één klik); en andere schriftelijke instructies die de partijen zijn overeengekomen.

3.3 De Aanbieder stelt de Klant onmiddellijk in kennis als naar zijn mening een instructie inbreuk maakt op de Gegevensbeschermingswetgeving. De Aanbieder is niet verplicht instructies juridisch te toetsen.

3.4 De Klant is verantwoordelijk voor de rechtmatigheid van zijn instructies, voor het hebben van een rechtsgrond voor de verwerking, voor het informeren van betrokkenen (in het bijzonder in zijn eigen privacyverklaring en cookiebeleid) en voor het configureren van de dienst voor zijn winkel of website, zijn trackers en de wetten die daarop van toepassing zijn.

3.5 Verzoeken van overheidsinstanties. Als een overheidsinstantie om Persoonsgegevens van de Klant verzoekt, verwijst de Aanbieder haar naar de Klant, informeert hij de Klant onverwijld, tenzij de wet dat verbiedt, vecht hij een verzoek dat hij onrechtmatig acht aan wanneer hij daarvoor redelijke gronden heeft, en verstrekt hij alleen wat hij wettelijk verplicht is te verstrekken.

4. Vertrouwelijkheid (art. 28, lid 3, onder b, AVG)

4.1 De Aanbieder waarborgt dat de personen die gemachtigd zijn om de Persoonsgegevens van de Klant te verwerken, zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting tot vertrouwelijkheid zijn gebonden. De toegang is beperkt tot de met name genoemde personen die deze nodig hebben om de dienst te exploiteren, te ondersteunen of te beveiligen (Bijlage II).

4.2 Het personeel van de Aanbieder mag softwarehulpmiddelen, waaronder AI-programmeerassistenten, gebruiken om de dienst te ontwikkelen en te onderhouden. Deze hulpmiddelen werken met broncode en testgegevens. Zij krijgen geen toegang tot Persoonsgegevens van de Klant, tot productiedatabases of tot productielogs (Bijlage II). Als de Aanbieder ooit anders besluit, wordt de aanbieder van een dergelijk hulpmiddel een subverwerker en is artikel 6 van toepassing voordat het wordt gebruikt.

5. Beveiliging (art. 28, lid 3, onder c, en art. 32 AVG)

5.1 De Aanbieder treft de technische en organisatorische maatregelen die in Bijlage II zijn beschreven. Deze kunnen worden bijgewerkt naarmate de techniek zich ontwikkelt, mits het algehele beschermingsniveau niet wordt verlaagd.

5.2 De Klant is verantwoordelijk voor de beveiliging van zijn eigen accounts (Shopify-account, Consentl-account en teamleden, beheer van het platform), de toegang van zijn personeel, de code van zijn site en de instellingen die hij kiest.

6. Subverwerkers (art. 28, leden 2 en 4, en art. 28, lid 3, onder d, AVG)

6.1 Algemene toestemming. De Klant verleent de Aanbieder algemene schriftelijke toestemming om subverwerkers in te schakelen. De subverwerkers op de datum van deze DPA zijn vermeld in Bijlage III en op de lijst van subverwerkers, die voor elke subverwerker vermeldt voor welke dienst deze wordt gebruikt.

6.2 Kennisgeving van wijzigingen. De Aanbieder licht de Klant ten minste 30 dagen vóór de wijziging in over elke voorgenomen toevoeging of vervanging van een subverwerker, of over een nieuw doel of een nieuwe locatie van een bestaande subverwerker, per e-mail aan het Kennisgevingsadres en door een vermelding in het wijzigingslogboek van de lijst van subverwerkers.

6.3 Bezwaar. De Klant kan binnen die termijn op redelijke gronden die verband houden met gegevensbescherming bezwaar maken, per e-mail aan [email protected], met vermelding van de gronden. De Aanbieder antwoordt binnen 14 dagen en biedt een redelijk alternatief aan (bijvoorbeeld de subverwerker niet voor de Klant gebruiken) of legt uit waarom hij dat niet kan. Als het bezwaar niet binnen 30 dagen na het bezwaar is opgelost, mag de Klant de Overeenkomst voor de betrokken dienst opzeggen met ingang van een datum vóór die waarop de wijziging op hem van toepassing wordt. De Klant dient zijn gegevens eerst te exporteren (artikel 11).

6.4 Terugbetaling. Bij een opzegging op grond van 6.3 betaalt de Aanbieder de vergoedingen terug die zijn betaald voor het ongebruikte deel van de lopende factureringsperiode, zoals bepaald in het toepasselijke Aanhangsel.

6.5 Vervanging in noodgevallen. Als een subverwerker dringend moet worden vervangen (beveiligingsincident, insolventie, beëindiging of tekortkoming door de subverwerker), mag de Aanbieder de wijziging met een kortere termijn doorvoeren. Hij informeert de Klant zo spoedig mogelijk. De Klant kan nog steeds bezwaar maken op grond van 6.3; als hij opzegt, wordt de terugbetaling op grond van 6.4 berekend vanaf de datum van de wijziging.

6.6 Doorgeven van verplichtingen en aansprakelijkheid. De Aanbieder legt elke subverwerker bij overeenkomst verplichtingen inzake gegevensbescherming op die inhoudelijk gelijk zijn aan die van deze DPA, in het bijzonder afdoende garanties met betrekking tot het toepassen van passende technische en organisatorische maatregelen. De Aanbieder blijft ten aanzien van de Klant volledig aansprakelijk voor het nakomen van de verplichtingen van zijn subverwerkers, met inachtneming van artikel 14.

7. Bijstand

7.1 Verzoeken van betrokkenen (art. 28, lid 3, onder e, AVG). Rekening houdend met de aard van de verwerking verleent de Aanbieder de Klant door middel van passende technische en organisatorische maatregelen bijstand bij het beantwoorden van verzoeken om uitoefening van de rechten van de betrokkene op grond van hoofdstuk III AVG en van overeenkomstige rechten op grond van andere wetten. De dienst biedt:

• het formulier voor privacyverzoeken met verificatie per e-mail en een logboek van verzoeken met termijnen;
• CSV-export van het toestemmingslogboek; (Aanhangsel 1) CSV-exports van privacyverzoeken en herroepingen; (Aanhangsel 2) een JSON-export van alle gegevens van het account van de Klant, met inbegrip van de privacyverzoeken en herroepingen van elke site;
• het herroepingslogboek;
• (Aanhangsel 1, optioneel) export en wissing van de Shopify-gegevens van de klant.

Toestemmingsregistraties zijn gepseudonimiseerd: een registratie kan worden gevonden aan de hand van de toestemmings-ID die de betrokkene kan aflezen uit de cookie consentl in zijn browser, met behulp van de filters van het toestemmingslogboek en de CSV-export. Op schriftelijke instructie van de Klant verwijdert de Aanbieder binnen 30 dagen afzonderlijke toestemmingsregistraties of andere afzonderlijke registraties, totdat de dienst dit als functie aanbiedt. Als de Aanbieder rechtstreeks van een betrokkene een verzoek ontvangt, stuurt hij het verzoek zonder onnodige vertraging door naar de Klant en beantwoordt hij het niet zelf, tenzij de Klant hem daartoe opdracht geeft.

7.2 Andere verplichtingen (art. 28, lid 3, onder f, AVG). Rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie verleent de Aanbieder de Klant bijstand bij het doen nakomen van de artikelen 32 tot en met 36 AVG (beveiliging, melding van inbreuken en mededeling aan betrokkenen, gegevensbeschermingseffectbeoordelingen, voorafgaande raadpleging) en van overeenkomstige verplichtingen op grond van andere Gegevensbeschermingswetgeving (bijvoorbeeld privacyeffectbeoordelingen op grond van Quebec Law 25 voordat gegevens buiten Quebec worden verstrekt), in het bijzonder door de informatie in Bijlagen I–III te verstrekken.

7.3 Bijstand die verder gaat dan de functies van de dienst en redelijke ondersteuning per e-mail, kan tegen redelijke kosten in rekening worden gebracht als deze omvangrijk is en niet door een tekortkoming van de Aanbieder wordt veroorzaakt.

8. Inbreuken in verband met persoonsgegevens (art. 33, lid 2, AVG)

8.1 De Aanbieder stelt de Klant zonder onnodige vertraging, en indien mogelijk binnen 48 uur, in kennis nadat hij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die betrekking heeft op Persoonsgegevens van de Klant, met inbegrip van een inbreuk bij een subverwerker die de subverwerker aan de Aanbieder heeft gemeld. De Aanbieder stuurt de informatie die hij van een subverwerker ontvangt binnen dezelfde termijn door. De kennisgeving wordt per e-mail naar het Kennisgevingsadres gestuurd.

8.2 De kennisgeving bevat, voor zover beschikbaar (en waar nodig in fasen): de aard van de inbreuk, met inbegrip van de categorieën en bij benadering het aantal betrokkenen en registraties in kwestie; het contactpunt voor meer informatie; de waarschijnlijke gevolgen; en de genomen of voorgestelde maatregelen, met inbegrip van maatregelen ter beperking van de eventuele nadelige gevolgen (art. 33, lid 3, AVG).

8.3 De Aanbieder neemt redelijke maatregelen om de inbreuk in te dammen en te verhelpen, houdt een register van inbreuken bij en werkt mee aan de melding door de Klant aan toezichthoudende autoriteiten en, waar vereist, aan diens mededeling aan betrokkenen (art. 34 AVG).

8.4 Voor persoonlijke informatie die onder het recht van Quebec valt, stelt de Aanbieder de Klant bovendien onverwijld in kennis van elke poging tot schending van de vertrouwelijkheid van die informatie waarvan hij kennis krijgt.

8.5 Een kennisgeving houdt geen erkenning van schuld in. Kennisgevingen die de Aanbieder op grond van de eigen voorwaarden van een platform aan dat platform moet doen (Aanhangsel 1), vertragen de kennisgeving aan de Klant niet.

9. Doorgifte naar derde landen

9.1 De Aanbieder slaat de Persoonsgegevens van de Klant op in de Europese Unie (DigitalOcean, Frankfurt, Duitsland). Sommige subverwerkers zijn buiten de EER gevestigd of kunnen van daaruit toegang tot gegevens hebben (Bijlage III).

9.2 Doorgifte aan subverwerkers. Doorgiften aan subverwerkers buiten de EER, Zwitserland en het Verenigd Koninkrijk die niet onder een adequaatheidsbesluit vallen (met inbegrip van het EU-VS-kader voor gegevensbescherming voor gecertificeerde ontvangers), vinden plaats op grond van de standaardcontractbepalingen van de EU (Uitvoeringsbesluit (EU) 2021/914 van de Commissie), module drie (verwerker aan verwerker), die de Aanbieder met zijn rechtstreekse subverwerkers sluit en elke subverwerker met zijn eigen subverwerkers.

9.3 Klanten in derde landen (module vier). Voor zover de verstrekking door de Aanbieder van Persoonsgegevens van de Klant aan een Klant die is gevestigd in een derde land zonder adequaatheidsbesluit (bijvoorbeeld door een export, een melding per e-mail of de weergave van gegevens in het dashboard) een doorgifte in de zin van hoofdstuk V AVG is, nemen de partijen module vier (verwerker aan verwerkingsverantwoordelijke) van de standaardcontractbepalingen door middel van verwijzing op, met de volgende opties: clausule 7 (koppelingsclausule) opgenomen; de facultatieve formulering in clausule 11 niet gebruikt; clausule 17: het recht van Roemenië; clausule 18: de rechtbanken van Cluj-Napoca, Roemenië. De Bijlagen I–III bij deze DPA vullen de bijlagen bij de standaardcontractbepalingen in. Wanneer de Klant een verwerker is (artikel 2.3), is in plaats daarvan module drie van toepassing, met dezelfde opties. Als de Europese Commissie standaardcontractbepalingen vaststelt voor importeurs wier verwerking op grond van artikel 3, lid 2, AVG onder de AVG valt, zijn die bepalingen in plaats daarvan van toepassing op dergelijke Klanten.

9.4 Verenigd Koninkrijk. Voor zover een doorgifte door de Aanbieder van persoonsgegevens die onder de UK GDPR vallen een beperkte doorgifte (restricted transfer) is die niet onder Britse adequaatheidsregels valt, is het door de UK Information Commissioner uitgevaardigde International Data Transfer Addendum to the EU Standard Contractual Clauses (versie B1.0) van toepassing op de op grond van 9.3 opgenomen bepalingen, waarbij tabel 1 is ingevuld met de bovenstaande gegevens van de partijen, tabel 2 met de module en de opties die in 9.3 zijn gekozen, tabel 3 met de Bijlagen I–III, en tabel 4 elk van beide partijen toestaat het Addendum te beëindigen zoals daarin bepaald.

9.5 Zwitserland. Voor doorgiften die onder de FADP vallen, zijn de standaardcontractbepalingen van toepassing met de volgende aanpassingen: verwijzingen naar de AVG worden gelezen als verwijzingen naar de FADP; de Swiss Federal Data Protection and Information Commissioner (FDPIC) is een bevoegde toezichthoudende autoriteit; en het begrip “lidstaat” omvat Zwitserland, zodat betrokkenen in hun gewone verblijfplaats een rechtsvordering kunnen instellen.

9.6 Brazilië. Wanneer de LGPD van toepassing is op een doorgifte van persoonsgegevens van de Klant aan de Aanbieder en geen adequaatheidsbesluit van de Braziliaanse autoriteit (ANPD) daarop van toepassing is, worden de standaardcontractbepalingen opgenomen die zijn goedgekeurd bij Resolution CD/ANPD No. 19/2024, met de Klant als exporteur (verwerkingsverantwoordelijke) en de Aanbieder als importeur (operador).

9.7 De Klant kan via [email protected] om een kopie vragen van de waarborgen waarop wordt gesteund.

10. Privacywetten van Amerikaanse staten (CCPA/CPRA-bepalingen voor service providers)

10.1 Voor persoonlijke informatie die onder de CCPA valt, is de Klant een “business” (onderneming) en de Aanbieder een “service provider” (dienstverlener) (Cal. Civ. Code §1798.140(ag)). De Klant verstrekt persoonlijke informatie aan de Aanbieder alleen voor de volgende beperkte en gespecificeerde business purposes (bedrijfsdoeleinden): het registreren en bewijzen van de toestemming en de opt-outkeuzes van consumenten (met inbegrip van opt-outvoorkeurssignalen zoals Global Privacy Control); het ontvangen, verifiëren, volgen en documenteren van privacyverzoeken en herroepingsverzoeken van consumenten; het verzenden van de bijbehorende transactionele e-mails; het scannen van de winkel of website van de Klant op cookies en trackers; en de beveiliging, integriteit en foutopsporing van de dienst (§1798.140(e)(2), (e)(3) en (e)(5)).

10.2 Het is de Aanbieder niet toegestaan (§1798.100(d); 11 CCR §7051(a)):

• de persoonlijke informatie te verkopen of te delen (sell or share);
• haar te bewaren, te gebruiken of bekend te maken voor enig ander doel (met inbegrip van enig commercieel doel) dan de in 10.1 gespecificeerde bedrijfsdoeleinden, of anders dan zoals toegestaan door de CCPA en de uitvoeringsvoorschriften daarvan;
• haar te bewaren, te gebruiken of bekend te maken buiten de directe zakelijke relatie met de Klant;
• haar te combineren met persoonlijke informatie die is ontvangen van of namens een andere persoon, of die is verzameld uit de eigen interactie van de Aanbieder met de consument, behalve zoals toegestaan door de uitvoeringsvoorschriften van de CCPA (11 CCR §7050).

10.3 De Aanbieder komt de verplichtingen na die op grond van de CCPA en de uitvoeringsvoorschriften daarvan op hem van toepassing zijn, biedt hetzelfde niveau van privacybescherming als de CCPA van businesses verlangt, en treft redelijke beveiligingsprocedures en -praktijken (Cal. Civ. Code §1798.81.5). Hij stelt de Klant zonder onnodige vertraging, en in ieder geval binnen vijf werkdagen, in kennis als hij vaststelt dat hij deze verplichtingen niet langer kan nakomen.

10.4 De Klant mag redelijke en passende maatregelen nemen om ervoor te zorgen dat de Aanbieder de persoonlijke informatie gebruikt in overeenstemming met de verplichtingen van de Klant op grond van de CCPA, met inbegrip van de informatie- en auditrechten van artikel 12 (één audit per periode van 12 maanden en aanvullende audits in de gevallen genoemd in artikel 12.2), en om, na kennisgeving, ongeoorloofd gebruik van de persoonlijke informatie te stoppen en te verhelpen, onder meer door de Aanbieder te vragen de verwijdering te bevestigen.

10.5 De Klant stelt de Aanbieder in kennis van elk verzoek van een consument op grond van de CCPA waaraan de Aanbieder moet voldoen en verstrekt de Aanbieder de informatie die hij daarvoor nodig heeft. De Aanbieder verleent de Klant bijstand bij het beantwoorden van verifieerbare verzoeken van consumenten (artikel 7.1).

10.6 De Aanbieder stelt de Klant de informatie ter beschikking die deze redelijkerwijs nodig heeft voor zijn risicobeoordelingen en cyberbeveiligingsaudits op grond van de uitvoeringsvoorschriften van de CCPA, en werkt daaraan mee.

10.7 De Aanbieder schakelt elke onderaannemer die de persoonlijke informatie verwerkt in op grond van een schriftelijke overeenkomst met dezelfde beperkingen (artikel 6), en verklaart dat hij de beperkingen van dit artikel 10 begrijpt en zal naleven.

10.8 Voor de andere privacywetten van Amerikaanse staten (bijvoorbeeld Virginia, Colorado, Connecticut, Utah, Texas, Oregon en de andere staten die door de regiovoorinstellingen van de dienst worden bestreken) is de Aanbieder een “processor” (verwerker). De artikelen 3 tot en met 8, 11 en 12 bevatten de bepalingen voor verwerkers die die wetten vereisen: instructies, vertrouwelijkheid, verwijdering of teruggave, informatie, medewerking aan beoordelingen, audits (of, waar de wet dat toestaat, een onafhankelijk auditrapport), en het doorgeven van verplichtingen aan onderaannemers met de mogelijkheid bezwaar te maken (artikel 6).

10.9 De Aanbieder verkoopt of deelt geen persoonlijke informatie en gebruikt gevoelige persoonlijke informatie (sensitive personal information) voor geen enkel doel.

11. Verwijdering of teruggave (art. 28, lid 3, onder g, AVG)

11.1 Teruggave. De exportfuncties van de dienst (de in de Aanhangsels vermelde CSV-exports) zijn het middel waarmee de Klant zijn gegevens verkrijgt. De Klant kiest voor teruggave door te exporteren voordat de gegevens worden verwijderd.

11.2 Bewaren tijdens de Overeenkomst. De Persoonsgegevens van de Klant worden bewaard en verwijderd zoals bepaald in Bijlage I. Het bewijs van toestemming wordt ten minste bewaard zolang de toestemming die het documenteert wordt gebruikt (geldigheidsduur van de toestemming + 30 dagen); bij een planwijziging die de bewaartermijn verkort, blijft de vorige termijn 30 dagen gelden. Afgesloten privacyverzoeken en herroepingen worden standaard 2 jaar bewaard, zodat de Klant aan zijn bewaarverplichtingen kan voldoen (bijvoorbeeld 11 CCR §7101), en worden 3 jaar nadat ze zijn afgesloten automatisch verwijderd. De Klant mag opdracht geven tot eerdere verwijdering: in de dienst waar een verwijderfunctie bestaat, en anders door een schriftelijke instructie, die de Aanbieder binnen 30 dagen uitvoert.

11.3 Nadat de Overeenkomst is beëindigd, verwijdert de Aanbieder alle Persoonsgegevens van de Klant zoals bepaald in het toepasselijke Aanhangsel. Kopieën in versleutelde back-ups van de database worden overschreven binnen de bewaartermijn voor back-ups van de beheerde database (dagelijkse back-ups en herstel naar een tijdstip, 7 dagen bewaard) en worden niet teruggezet, behalve voor herstel na een calamiteit; als een back-up wordt teruggezet, worden de verwijderingen die sinds de back-up zijn uitgevoerd opnieuw toegepast. De Aanbieder slaat geen verzoeklogs op en exporteert ze niet: de applicatielogs bestaan alleen als runtime-uitvoer van de draaiende applicatie bij DigitalOcean, die wordt gewist wanneer een nieuwe versie wordt uitgerold (ze bevatten geen IP-adressen van bezoekers of inhoud van verzoeken, Bijlage II). Verzoekgegevens in het edge-netwerk van de hostingaanbieder en de logs van transactionele e-mails van Brevo worden binnen de bewaartermijnen van die subverwerkers verwijderd en worden niet voor enig ander doel gebruikt. Nog te bevestigen: DigitalOcean bevestigt de bewaartermijn van zijn edge-netwerk.

11.4 Verwijdering is niet van toepassing wanneer de Aanbieder op grond van Unierecht of lidstatelijk recht verplicht is de gegevens op te slaan; de Aanbieder beschermt ze dan en verwerkt ze alleen voor dat doel.

11.5 Overstappen (Verordening (EU) 2023/2854, dataverordening). Wanneer de dataverordening van toepassing is, kan de Klant overstappen naar een andere aanbieder of naar zijn eigen systemen zoals bepaald in de Overeenkomst: de exporteerbare gegevens zijn het toestemmingslogboek, de privacyverzoeken, de herroepingen, de cookieverklaring en de bannerinstellingen; de Klant heeft een ophaalperiode van ten minste 30 dagen; de Aanbieder brengt geen overstapkosten in rekening en wist de gegevens na de ophaalperiode.

11.6 Op verzoek bevestigt de Aanbieder de verwijdering schriftelijk.

12. Informatie en audits (art. 28, lid 3, onder h, AVG)

12.1 De Aanbieder stelt de Klant alle informatie ter beschikking die nodig is om aan te tonen dat aan art. 28 AVG is voldaan, in het bijzonder deze DPA en de bijlagen daarbij, en, op verzoek, de beveiligingscertificeringen of -rapporten van zijn belangrijkste subverwerkers (bijvoorbeeld het SOC 2 Type II-rapport en het ISO/IEC 27001-certificaat van DigitalOcean), voor zover hun voorwaarden toestaan dat deze worden gedeeld.

12.2 De Aanbieder maakt audits, waaronder inspecties, door de Klant of door een door hem gemachtigde controleur mogelijk en draagt daaraan bij, onder de volgende voorwaarden:

• ten minste 30 dagen vooraf schriftelijk aangekondigd;
• niet meer dan één audit per periode van 12 maanden, tenzij een toezichthoudende autoriteit dat vereist, na een inbreuk in verband met persoonsgegevens, of wanneer de Klant redelijke aanwijzingen heeft dat deze DPA niet wordt nageleefd;
• eerst een audit door middel van een schriftelijke vragenlijst en documenten; een inspectie ter plaatse of op afstand alleen als de antwoorden niet volstaan;
• tijdens kantooruren, zonder toegang tot gegevens van andere klanten of tot bedrijfsgeheimen van de Aanbieder verder dan nodig is;
• de controleur is tot geheimhouding verplicht en is geen concurrent van de Aanbieder;
• elke partij draagt haar eigen kosten, tenzij de audit een wezenlijke tekortkoming van de Aanbieder aan het licht brengt.

13. Verplichtingen van de Klant

De Klant:

• gebruikt de dienst in overeenstemming met de Gegevensbeschermingswetgeving en geeft alleen rechtmatige instructies;
• informeert betrokkenen over de verwerking, met inbegrip van het gebruik van Consentl, in zijn eigen privacyverklaring en cookiebeleid, met gebruikmaking van de informatie in Bijlage I;
• configureert de dienst correct (regio's, categorieën, blokkering van trackers, teksten) en controleert het resultaat; de Aanbieder garandeert niet dat enige configuratie ertoe leidt dat de winkel of website aan de wet voldoet (zie de Overeenkomst);
• vraagt betrokkenen niet om via de formulieren bijzondere categorieën van gegevens (art. 9 AVG) in te dienen;
• beantwoordt privacyverzoeken en herroepingsverzoeken binnen de wettelijke termijnen;
• verstrekt de Aanbieder toegangsgegevens (Aanhangsel 2: HTTP-basic-auth-gegevens voor scans) alleen voor sites die hij mag laten scannen;
• houdt zijn Kennisgevingsadres actueel.

14. Aansprakelijkheid

14.1 De totale aansprakelijkheid van elke partij die voortvloeit uit of verband houdt met deze DPA, is beperkt tot het hoogste van (a) driemaal de vergoedingen die de Klant voor de betrokken dienst heeft betaald in de 12 maanden vóór de eerste gebeurtenis die tot aansprakelijkheid leidt, en (b) EUR 5.000.

14.2 De grens van 14.1 is niet van toepassing op: aansprakelijkheid voor opzet of grove nalatigheid; aansprakelijkheid jegens betrokkenen op grond van art. 82 AVG en op grond van clausule 12 van de standaardcontractbepalingen (die niet kan worden beperkt); en aansprakelijkheid die wettelijk niet kan worden beperkt. Wanneer de Klant een consument is, is artikel 14.1 alleen van toepassing voor zover het dwingende consumentenrecht dat op hem van toepassing is dat toestaat.

14.3 Voor vorderingen op grond van deze DPA vervangt de grens van 14.1 de beperking van aansprakelijkheid in de Overeenkomst. Wanneer beide partijen jegens een betrokkene aansprakelijk zijn voor dezelfde schade, kan elke partij van de andere het deel van de schadevergoeding terugvorderen dat overeenstemt met het aandeel van de andere partij in de verantwoordelijkheid (art. 82, lid 5, AVG), binnen de grens van 14.1.

14.4 Boetes die een toezichthoudende autoriteit aan een partij oplegt, worden door die partij gedragen, behalve voor zover ze het gevolg zijn van een schending van deze DPA door de andere partij; in dat geval kunnen ze binnen de grens van 14.1 worden teruggevorderd.

15. Looptijd, wijzigingen, kennisgevingen en toepasselijk recht

15.1 Deze DPA is van toepassing zolang de Aanbieder Persoonsgegevens van de Klant verwerkt en eindigt daarna automatisch. De artikelen 8, 11, 14 en 15 blijven van kracht.

15.2 Wijzigingen. De Aanbieder mag deze DPA bijwerken om wijzigingen in de wet, in de dienst of in de subverwerkers weer te geven. Wijzigingen die de bescherming van de Klant verminderen, kondigt hij ten minste 30 dagen vooraf aan per e-mail aan het Kennisgevingsadres; de Klant kan dan bezwaar maken en opzeggen zoals in 6.3 en 6.4. Wijzigingen die door de wet worden vereist, of die uitsluitend de bescherming van de Klant verbeteren, kunnen eerder ingaan. Wanneer een wijziging betrekking heeft op een beding dat de Klant uitdrukkelijk heeft aanvaard (artikel 15.6), vraagt de Aanbieder om een nieuwe uitdrukkelijke aanvaarding; zolang die niet is gegeven, blijft de vorige versie van dat beding van toepassing. Eerdere versies van deze DPA blijven op verzoek beschikbaar.

15.3 Bewijs. De elektronische registraties van aanvaardingen, kennisgevingen en instructies die de Aanbieder bewaart, strekken tussen de partijen tot bewijs van de inhoud en de datum ervan (Roemeense Wet nr. 214/2024 betreffende het gebruik van elektronische handtekeningen).

15.4 Kennisgevingen. De Aanbieder stuurt kennisgevingen op grond van deze DPA (wijzigingen van subverwerkers, inbreuken, wijzigingen van de DPA) per e-mail naar het Kennisgevingsadres dat in het toepasselijke Aanhangsel is gedefinieerd. De Klant houdt het actueel. De Klant stuurt kennisgevingen naar [email protected].

15.5 Toepasselijk recht en bevoegde rechter. Op deze DPA is Roemeens recht van toepassing. De bevoegde rechtbanken van Cluj-Napoca, Roemenië, hebben exclusieve bevoegdheid, behalve wanneer de standaardcontractbepalingen of dwingend recht (met inbegrip van de regels ter bescherming van consumenten) anders bepalen.

15.6 Uitdrukkelijke aanvaarding (artikel 1203 van het Roemeense Burgerlijk Wetboek). De Klant aanvaardt uitdrukkelijk de volgende bedingen van deze DPA: 6.3–6.5 (regeling voor bezwaar, beëindiging en terugbetaling), 14 (beperking van aansprakelijkheid), 15.2 (wijzigingen) en 15.5 (toepasselijk recht en exclusieve bevoegdheid). Zakelijke klanten aanvaarden deze met een afzonderlijk selectievakje wanneer zij de Overeenkomst aanvaarden.

Aanhangsel 1 — Consentl voor Shopify

S1.1 Dienst en Overeenkomst. De dienst is de Consentl-app voor Shopify (de “App”). De Klant is de handelaar die de App in zijn Shopify-winkel installeert. De Overeenkomst zijn de Servicevoorwaarden.

S1.2 Totstandkoming. De DPA wordt aanvaard in de aanvaardingsstap van de App (bij de onboarding, en opnieuw voor een nieuwe versie die dat vereist), samen met de Servicevoorwaarden.

S1.3 Shopify. Shopify is geen subverwerker van de Aanbieder. Op instructie van de Klant verstrekt de Aanbieder gegevens aan Shopify als het eigen platform van de Klant: het e-mailadres van een klant van de winkel die zich afmeldt voor verkoop of delen (opt-out), of die een Global Privacy Control-signaal verzendt terwijl hij is ingelogd, zodat Shopify de opt-out bij de klant registreert (dataSaleOptOut); verzoeken om gegevenswissing die via de optionele acties met één klik worden doorgestuurd; en de gepubliceerde bannerconfiguratie, opgeslagen als metafields van de winkel.

S1.4 Verplichte compliancewebhooks van Shopify. De App verwerkt de verplichte meldingen customers/data_request, customers/redact en shop/redact van Shopify zoals beschreven in Bijlage I-A.

S1.5 Optionele scopes. De scopes read_customers, write_customers en read_orders worden alleen aangevraagd wanneer de Klant de privacyacties met één klik of het koppelen van herroepingen aan bestellingen inschakelt, en worden door de Klant uitdrukkelijk verleend.

S1.6 Kennisgevingsadres. Het privacy- en beveiligingscontact dat de Klant aanwijst in de Instellingen van de App. Zolang er geen is aangewezen, het e-mailadres van het account van de eigenaar van de Shopify-winkel zoals door Shopify verstrekt, en als Shopify er geen verstrekt, het contact-e-mailadres van de winkel.

S1.7 Terugbetalingen. Terugbetalingen op grond van artikel 6.4 worden via Shopify gedaan, als terugbetaling of als app-tegoed, naar keuze van de Aanbieder.

S1.8 Einde van de Overeenkomst en verwijdering. Wanneer de App wordt verwijderd, verwijdert de Aanbieder het toegangstoken onmiddellijk en alle andere Persoonsgegevens van de Klant wanneer Shopify de melding shop/redact stuurt (48 uur na de verwijdering van de App), en in elk geval uiterlijk 30 dagen na de verwijdering van de App. Vóór de verwijdering kan de Klant overstappen naar het Free-plan en de App geïnstalleerd houden zolang hij nodig heeft om zijn gegevens te exporteren (dit is ook de ophaalperiode voor het overstappen op grond van 11.5); exports zijn bij elk plan beschikbaar. De Aanbieder stuurt de Klant per e-mail een waarschuwing met het aantal registraties wanneer de App wordt verwijderd.

S1.9 Kennisgevingen aan het platform. Wanneer de voorwaarden van Shopify de Aanbieder verplichten Shopify in kennis te stellen van een beveiligingsincident dat gegevens van handelaars of klanten treft, doet de Aanbieder dat naast de kennisgeving op grond van artikel 8.

S1.10 Bijlagen. Bijlage I-A beschrijft de verwerking in de App.

Aanhangsel 2 — Consentl voor websites en de integraties voor platforms

S2.1 Dienst en Overeenkomst. De dienst is Consentl voor websites: het dashboard op app.consentl.com, de openbare API op api.consentl.com (loader, banner, toestemmingsbeacons, formulieren voor privacyverzoeken en herroepingen, gehoste cookieverklaring en toegankelijkheidspagina's) en de cookiescanner (de “Dienst”), rechtstreeks gebruikt of via de integraties die de Aanbieder publiceert (website snippet, Google Tag Manager-sjabloon, plugins voor WordPress/WooCommerce, Shopware, PrestaShop en Magento, en handleidingen voor andere websitebouwers). De Overeenkomst zijn de Servicevoorwaarden voor websites.

S2.2 Totstandkoming. Zakelijke klanten aanvaarden de DPA met een selectievakje wanneer zij hun account aanmaken, en opnieuw voor een nieuwe versie die dat vereist; een account dat de huidige versie niet heeft aanvaard, wordt gevraagd dat te doen voordat het het dashboard verder kan gebruiken. Voor klanten die de Dienst als consument gebruiken, maakt de DPA deel uit van de Servicevoorwaarden voor websites die zij aanvaarden wanneer zij hun account aanmaken.

S2.3 Integraties. De integraties draaien op de eigen server of het eigen platform van de Klant. Zij slaan daar geen persoonsgegevens van bezoekers op. Hun server-side aanroepen van api.consentl.com (het controleren van de sitesleutel, het ophalen van de loader zodat deze in de pagina kan worden geplaatst) bevatten alleen de sitesleutel, de taal en de hostnaam van de site. Persoonsgegevens van de Klant worden door de Aanbieder alleen verwerkt wanneer browsers van bezoekers api.consentl.com aanroepen. De Aanbieder is geen verwerker voor het platform of het winkelsysteem van de Klant.

S2.4 Gegevensstromen. Bijlage I-B vermeldt de gegevens: toestemmingsregistraties (met inbegrip van registraties die zonder verifieerbare browseroorsprong worden verzonden en die met strengere limieten worden aanvaard), bannertellers, privacyverzoeken en herroepingen die via de formulieren worden verzonden, e-mails aan bezoekers, cookiescans van de sites van de Klant en, bij het Enterprise-plan, de HTTP-basic-auth-gegevens die de Klant verstrekt voor het scannen van beveiligde sites.

S2.5 Kennisgevingsadres. Het kennisgevingsadres dat de Klant op de pagina “Account” instelt, zodra het is bevestigd (via de bevestigingslink, of omdat het het geverifieerde adres van een lid van het account is). Zolang er geen is bevestigd, de geverifieerde e-mailadressen van de accounteigenaren en beheerders.

S2.6 Terugbetalingen. Terugbetalingen op grond van artikel 6.4 worden via Stripe gedaan op het oorspronkelijke betaalmiddel, naar rato van het ongebruikte deel van de betaalde periode.

S2.7 Einde van de Overeenkomst en verwijdering.

• De Klant kan op elk moment en bij elk plan het toestemmingslogboek van een site als CSV exporteren en alle gegevens van zijn account (“Mijn gegevens downloaden (JSON)”) als JSON, met inbegrip van de instellingen, cookielijst, privacyverzoeken, herroepingen en het toestemmingslogboek van elke site.
• Het verwijderen van een site verwijdert de gegevens ervan onmiddellijk (cascade); het dashboard vraagt om bevestiging en raadt aan eerst te exporteren. Het verwijderen van een site is de instructie van de Klant om de gegevens van die site te wissen.
• Wanneer een betaald abonnement eindigt, gaat de site over naar het Free-plan en blijven de gegevens ervan beschikbaar voor export (dit is ook de ophaalperiode voor het overstappen op grond van 11.5).
• Verwijdering van het account: de accounteigenaar verwijdert het account in het dashboard (na het opzeggen van betaalde abonnementen) of vraagt erom via [email protected]. Het account blijft 30 dagen beschikbaar (ophaalperiode: exporteren, of de verwijdering annuleren; banners blijven werken), daarna worden het account, de sites ervan en alle Persoonsgegevens van de Klant van die sites verwijderd.
• Back-ups en logs van subverwerkers: artikel 11.3.

S2.8 Automatische verwijdering. De Dienst verwijdert automatisch: toestemmingsregistraties na de bewaartermijn van de site (Bijlage I-B); privacyverzoeken waarvan het e-mailadres nooit is bevestigd 30 dagen na indiening; elk ander privacyverzoek en elke herroeping 3 jaar na de laatste wijziging, ongeacht de status; dagelijkse tellers en A/B-tellers na 2 jaar; scanresultaten, met uitzondering van de laatste scan van een site, 400 dagen na de scan. Eerdere verwijdering op instructie van de Klant: artikel 11.2.

S2.9 Bijlagen. Bijlage I-B beschrijft de verwerking in de Dienst.

Bijlage I — Beschrijving van de verwerking

A. Lijst van partijen

Bevoegde toezichthoudende autoriteit: de autoriteit die op grond van clausule 13 van de standaardcontractbepalingen bevoegd is voor de Klant (gegevensexporteur); voor de Aanbieder: de Roemeense ANSPDCP (www.dataprotection.ro (externe website)).

Gemeenschappelijk voor beide diensten

• Categorieën van betrokkenen: bezoekers van de winkel of website van de Klant (toestemmingsregistraties, bannerweergaven); personen die via de winkel of website een privacyverzoek of een herroeping indienen; (Shopify, optioneel) klanten wier Shopify-profiel en bestellingen via de privacyacties met één klik worden gelezen of gewist.
• Bijzondere categorieën van gegevens: niet beoogd. De Klant mag er niet om vragen. Vrije-tekstvelden kunnen ze bevatten als een aanvrager ze invult; ze worden beschermd zoals alle andere gegevens.
• Aard van de verwerking: verzameling via het script en de formulieren van de storefront of website, opslag, opvraging en weergave aan de Klant, export, verzending per e-mail, geautomatiseerde verwijdering.
• Doeleinden: de bedrijfsdoeleinden van artikel 10.1.
• Frequentie: doorlopend, gedurende de looptijd van de Overeenkomst.
• Subverwerkers: Bijlage III.

B. Consentl voor Shopify (Bijlage I-A)

Categorieën van persoonsgegevens

Bewaartermijnen

C. Consentl voor websites (Bijlage I-B)

Categorieën van persoonsgegevens

Bewaartermijnen

Bijlage II — Technische en organisatorische maatregelen

Maatregelen die op de datum van deze DPA zijn getroffen, voor beide diensten, tenzij een product wordt genoemd. Maatregelen die als gepland zijn beschreven, zijn nog niet getroffen. Sommige maatregelen verwijzen naar het interne beveiligings- en incidentbeleid van de Aanbieder, het register van productietoegang en het register van de verwerkingsactiviteiten; deze documenten zijn intern, en de Klant kan op grond van artikel 12.1 op verzoek een kopie ontvangen.

Pseudonimisering en minimalisering

• IP-adressen worden bij ontvangst vóór opslag ingekort tot IPv4 /24 of IPv6 /48; het volledige IP-adres wordt nooit naar de database of naar applicatielogs geschreven (het wordt alleen in het geheugen gehouden, Bijlage I).
• Toestemmingsregistraties gebruiken een willekeurige identificatiecode die in de browser wordt gegenereerd en worden niet aan klantaccounts gekoppeld; pagina-URL's worden tot het pad teruggebracht; user agents worden ingekort tot 400 tekens.
• Bannerweergaven worden alleen als dagelijkse tellers opgeslagen; de runtime verzendt niets vóór een beslissing, en een weergave wordt geteld samen met de eerste beslissing van de bezoeker (geen afzonderlijk weergaveverzoek).
• Shopify: klant- en orderrecords worden op verzoek uit Shopify gelezen en niet gekopieerd, behalve de identificatiecodes die nodig zijn om een verzoek of herroeping aan de klant of bestelling te koppelen. Optionele Shopify-scopes voor klantgegevens worden alleen aangevraagd wanneer de Klant de functies inschakelt die ze nodig hebben.

Versleuteling

• Al het verkeer wordt via HTTPS (TLS) geleverd. Webhooks en API-aanroepen van Shopify en API-aanroepen van Stripe en Brevo gebruiken TLS.
• De beheerde PostgreSQL-databases en hun back-ups worden door DigitalOcean in rust versleuteld.
• Wachtwoorden van Shopify-storefronts en scangegevens voor toegang van websites worden versleuteld met AES-256-GCM; de sleutels worden alleen in de versleutelde omgevingsvariabelen van het hostingplatform bewaard.
• Tokens voor de verificatie van e-mailadressen en voor het dashboard worden alleen als SHA-256-hashes opgeslagen; tokens voor eenmalig gebruik worden na gebruik verwijderd of als gebruikt gemarkeerd.

Vertrouwelijkheid en toegangscontrole

• Shopify: beheerderstoegang vereist een Shopify-sessietoken dat bij elk verzoek wordt geverifieerd (App Bridge, token exchange); gegevens zijn altijd beperkt tot de geauthenticeerde winkel. Webhooks worden alleen met een geldige HMAC-handtekening aanvaard.
• Websites: wachtwoorden gehasht met scrypt; sessietokens opgeslagen als SHA-256-hashes, levensduur van 30 dagen en verloop na 7 dagen inactiviteit; CSRF-bescherming op elk formulier van het dashboard; gevoelige handelingen vereisen een recente bevestiging met het wachtwoord; dashboard en openbare API op afzonderlijke hosts; elke pagina van een site controleert het lidmaatschap van de gebruiker; webhooks van Stripe worden op hun handtekening gecontroleerd.
• Openbare endpoints aanvaarden alleen een geldige openbare sleutel en een overeenkomende host of winkeldomein; toestemmingsbeacons worden aan een schema getoetst, in omvang beperkt (4 KB) en in frequentie beperkt per IP-adres en per winkel of site (de limieten gelden per serverinstantie).
• Geheimen (API-sleutels, app-geheimen, sleutels voor e-mail en betalingen) worden opgeslagen als versleutelde omgevingsvariabelen van het hostingplatform en als GitHub Actions-secrets, nooit in de broncode.
• Productietoegang (DigitalOcean, databases, logs) is beperkt tot de met name genoemde personen die zijn vermeld in het register van productietoegang van de Aanbieder, waarin ook wordt bijgehouden of tweefactorauthenticatie is ingeschakeld op de accounts die toegang geven tot productiesystemen en tot de mailboxen (DigitalOcean, GitHub, Stripe, Brevo, Proton, dat de mailboxen [email protected] en [email protected] host, de domeinregistrar en, voor de Shopify-app, het Shopify Partner/Dev Dashboard). Het register wordt ten minste eenmaal per jaar herzien en telkens wanneer iemand toetreedt of vertrekt.
• De productiedatabases aanvaarden alleen verbindingen van de eigen applicaties van de Aanbieder; lokale machines en CI kunnen geen verbinding maken.
• De interne beheeromgeving van de Aanbieder (klantenlijsten, installaties, gebruiksstatistieken) is alleen-lezen, is alleen beschikbaar voor met name genoemde beheerdersaccounts met tweefactorauthenticatie en een recente herauthenticatie, toont geen inhoud van toestemmingsregistraties en geen gegevens van klanten van winkels of bezoekers, leest de Shopify-database via een alleen-lezenrol die is beperkt tot kolommen zonder bezoekersgegevens, en registreert elke toegang (wie, wanneer, wat) in een auditlog waaraan alleen kan worden toegevoegd.
• AI-programmeerassistenten en andere ontwikkelhulpmiddelen werken met broncode, stagingsystemen en testgegevens. Zij hebben nooit toegang tot productiedatabases, productielogs of Persoonsgegevens van de Klant: zij lezen geen productielogs, voeren geen query's of eenmalige taken uit op productiedatabases en kopiëren geen productiegegevens. Zij mogen wijzigingen in de infrastructuur aanbrengen (applicatiespecificaties, omgevingsvariabelen, geheimen die worden geschreven zonder ze te lezen). Als deze regel ooit wordt gewijzigd, wordt de aanbieder van het hulpmiddel (bijvoorbeeld Anthropic PBC voor Claude) eerst in Bijlage III vermeld (artikel 6).
• Er worden geen persoonsgegevens uit de productieomgeving geplaatst in de broncoderepository, issues, CI-logs, testfixtures of schermafbeeldingen.
• Beschermde klantgegevens van Shopify (protected customer data): de maatregelen die in het Shopify Partner Dashboard zijn verklaard, zijn de maatregelen die in deze Bijlage worden beschreven; een kopie van de verklaring wordt bij de DPA-registraties bewaard. Toegang via de beheeromgeving wordt gelogd; andere toegang tot persoonsgegevens van klanten door personeel (bijvoorbeeld een databasetaak tijdens een incident) wordt nog niet afzonderlijk gelogd (gepland).

Scheiding

• Staging en productie draaien als afzonderlijke applicaties met afzonderlijke databases; gegevens van Shopify en van websites staan in afzonderlijke databases.
• De Dienst voor websites gebruikt specifieke databasegebruikers zonder beheerdersrechten (de scanner heeft een eigen gebruiker, beperkt tot de scantabellen). De Shopify-App maakt momenteel verbinding met de beheerdersgebruiker van het databasecluster; een specifieke gebruiker is gepland.
• De worker van de cookiescanner is geïsoleerd van de webapplicaties (afzonderlijke container, een browseromgeving zonder databasegegevens of geheimen, uitgaand verkeer beperkt tot openbare adressen op de poorten 80/443, een tijdsbudget per scan). Hij bedient meerdere omgevingen en beschikt over hun databasegegevens; op de database van de Dienst voor websites gebruikt hij de beperkte scannerrol.

Integriteit

• Toestemmingsregistraties kunnen in de applicatie alleen worden toegevoegd (geen bewerkfunctie).
• Databasemigraties hebben een versienummer en worden vóór elke uitrol automatisch toegepast.
• Wijzigingen worden op branches ontwikkeld en bij elke push in CI gecontroleerd door geautomatiseerde typecontrole, linting, tests en builds. Productie wordt alleen vanaf de productiebranch uitgerold, en een merge naar die branch vereist de uitdrukkelijke goedkeuring van de eigenaar; CI moet slagen voordat productie wordt uitgerold. Deze regels maken deel uit van het beveiligings- en incidentbeleid van de Aanbieder.

Beschikbaarheid en veerkracht

• Beheerde hosting met statuscontroles en automatische herstarts; beheerde databases met automatische dagelijkse back-ups en herstel naar een tijdstip, 7 dagen bewaard.
• Eerdere uitrols kunnen worden teruggedraaid.

Bewaren en verwijderen

• Geautomatiseerde opschoontaken volgens Bijlage I (elke 6 uur: toestemmingsregistraties, statistieken, privacyverzoeken, herroepingen, scans en, voor websites, accounts waarvan de verwijderingstermijn is verstreken). Shopify: verplichte compliancewebhooks.

E-mail

• Transactionele e-mails worden via de Brevo-API verzonden vanaf het domein consentl.com (SPF, DKIM, DMARC). De tracking van openen en klikken van Brevo is geanonimiseerd (geen betrokkenheidsgegevens gekoppeld aan de ontvanger), en de Aanbieder gebruikt geen betrokkenheidsgegevens.
• In productie is de API-sleutel voor e-mail altijd geconfigureerd; zonder deze sleutel (alleen bij ontwikkeling) worden e-mails naar het applicatielog geschreven in plaats van te worden verzonden. Een codebeveiliging die weigert de inhoud van berichten in productie te loggen, is gepland.

Logging

• Applicatielogs bevatten operationele gegevens (winkeldomeinen of site-ID's, resultaten van taken, foutmeldingen) en geen IP-adressen van bezoekers of inhoud van verzoeken. Verzoeklogs: Bijlage I. De Aanbieder slaat geen logs op en stuurt ze niet door: runtimelogs bestaan bij DigitalOcean alleen zolang de applicatie draait en worden gewist wanneer een nieuwe versie wordt uitgerold; build- en deploymentlogs, die geen persoonsgegevens van bezoekers bevatten, worden door DigitalOcean 90 dagen bewaard. Verzoekgegevens in het edge-netwerk: artikel 11.3.

Locatie

• Applicatieservers en databases in Frankfurt, Duitsland (DigitalOcean-regio fra/fra1).

Organisatorisch

• Geheimhoudingsverplichting van elke persoon met toegang (artikel 4); schriftelijke geheimhoudingsverklaringen van alle medewerkers of opdrachtnemers.
• De reactie op incidenten volgt het schriftelijke beveiligings- en incidentbeleid van de Aanbieder: detecteren, indammen, binnen 24 uur beoordelen, de Klant in kennis stellen volgens artikel 8 (en, als verwerkingsverantwoordelijke, de toezichthoudende autoriteit binnen 72 uur), herstellen, en elke inbreuk vastleggen in een register van inbreuken. Een verantwoordelijke voor incidenten (en, zodra aangewezen, een vervangend contactpersoon) wordt in het register van productietoegang vermeld.
• Er wordt een register van de verwerkingsactiviteiten als verwerker (art. 30, lid 2, AVG) bijgehouden, dat ten minste eenmaal per jaar wordt herzien.
• Gegevensbescherming door ontwerp: privacybeoordeling van nieuwe functies vóór de release.

Bijlage III — Subverwerkers

De subverwerkers die op de datum van deze DPA zijn toegestaan. Details, locaties, waarborgen en het wijzigingslogboek staan op de lijst van subverwerkers.

Bron: docs/legal/nl/DPA.md in de Consentl-repository.