Verwerkersovereenkomst (DPA)

1. 1.Deze Overeenkomst regelt de verwerking van persoonsgegevens in verband met het leveren van de Shopify-app „SellRules” (de „App”) tussen de verkoper die de App installeert (de „Verkoper”) en JizaiDev, aanbieder van de App („wij”).
2. 2.De Verkoper is de verwerkingsverantwoordelijke voor de persoonsgegevens van kopers, en wij zijn de verwerker die ze verwerkt volgens de instructies van de Verkoper.
3. 3.Ons contactadres: [email protected]

Wij verwerken persoonsgegevens uitsluitend voor de volgende doelen.

1. 1.Verkoopregels per product (pre-order, maatwerk, gedrag bij uitverkocht, aankoopbeperkingen, aanbetaling/restbetaling) toepassen op de webwinkel, de checkout en de orderverwerking
2. 2.Meldingsmails naar kopers sturen (bevestiging van pre-order, vertraging, verzending, weer op voorraad, verzoek om betaling van het restbedrag)
3. 3.De voortgang van pre-orders en maatwerkbestellingen beheren en pakbonnen afdrukken
4. 4.Aankoopbeperkingen beoordelen (per bestelling en per klant, geschiktheid op basis van klanttags)
5. 5.Reageren op verzoeken om inzage en verwijdering via Shopify (customers/data_request, customers/redact, shop/redact)
6. 6.Storingen in de App afhandelen en misbruik voorkomen

De Verkoper stemt ermee in dat wij de volgende subverwerkers inschakelen.

1. 1.Versleuteling tijdens transport: de App accepteert alleen HTTPS-verbindingen. Ook communicatie met Shopify en Resend is met TLS versleuteld.
2. 2.Versleuteling in rust: de database staat op een versleuteld Fly.io-volume en ook automatische snapshots zijn versleuteld. Autorisatiegegevens van de externe AI-koppeling worden daarnaast met AES-GCM versleuteld.
3. 3.Minimale opslag: verzendadressen en telefoonnummers worden niet opgeslagen. Order-webhooks worden beperkt tot de benodigde velden, tijdelijk opgeslagen en na verwerking verwijderd.
4. 4.Toegangsbeperking: beheerderstoegang tot de productieomgeving is beperkt tot onze beheerders. De beheerschermen zijn alleen beschikbaar voor medewerkers die door Shopify zijn geauthenticeerd.
5. 5.Registratie van toegang: het inzien van pakbonnen (met adressen en telefoonnummers) en het downloaden van exports van klantgegevens worden vastgelegd met medewerkers-ID, aantal en tijdstip en 365 dagen bewaard (zonder de persoonsgegevens zelf).
6. 6.Scheiding van productie- en testgegevens: testen gebeurt in een aparte hostingomgeving, met een aparte database en een aparte Shopify-app met ontwikkelwinkels; productiegegevens worden niet voor tests gebruikt.
7. 7.Authenticatie: beheerdersaccounts gebruiken sterke wachtwoorden en hebben tweestapsverificatie ingeschakeld.

1. 1.Wij beschouwen de instellingen van de App en de handelingen van de Verkoper via Shopify als instructies voor de verwerking.
2. 2.Wanneer een koper om inzage, correctie of verwijdering vraagt, reageren wij via customers/data_request en customers/redact van Shopify. Verstrekte gegevens kunnen 7 dagen worden gedownload via „Verzoeken om klantgegevens” in de beheerschermen.

1. 1.Wanneer wij kennisnemen van een inbreuk in verband met persoonsgegevens of een vermoeden daarvan, melden wij dit binnen 24 uur aan Shopify.
2. 2.Getroffen Verkopers informeren wij zonder onredelijke vertraging en uiterlijk 72 uur na kennisname, voor zover bekend met: wanneer en wat er is gebeurd, de betrokken gegevens en het geschatte aantal records, de genomen maatregelen, de acties die de Verkoper moet nemen en ons contactadres. Aanvullende informatie volgt zodra die beschikbaar is.
3. 3.Meldingen worden verstuurd naar het e-mailadres dat is geregistreerd voor de Shopify-winkel van de Verkoper.
4. 4.Wij beperken, onderzoeken en herstellen incidenten en voorkomen herhaling volgens onze interne procedure voor incidentrespons, en houden hiervan een registratie bij.

1. 1.Wanneer de Verkoper de App verwijdert, verwijderen wij de gegevens van die winkel bij ontvangst van de gebeurtenis. Hetzelfde geldt bij ontvangst van shop/redact.
2. 2.Kopieën in automatische snapshots verdwijnen binnen uiterlijk 5 dagen. In alle gevallen worden alle kopieën binnen 30 dagen na de verwijdering van de App gewist.
3. 3.Wij kunnen anonieme totalen bewaren die geen persoonsgegevens bevatten en de winkel niet identificeren.

1. 1.Op verzoek van de Verkoper verstrekken wij informatie waaruit naleving van deze Overeenkomst blijkt (deze Overeenkomst, bewaartermijnen, een beschrijving van de beveiligingsmaatregelen en het aantal toegangsregistraties).
2. 2.Audits ter plaatse vereisen voorafgaande schriftelijke overeenstemming, een aankondiging van 30 dagen en een redelijke omvang en frequentie (hooguit eenmaal per jaar); de kosten zijn voor rekening van de Verkoper.