Verwerkersvoorwaarden voor handelaars

1. Wat dit document is

Deze Verwerkersvoorwaarden voor handelaars maken deel uit van de Clofy-handelaarsvoorwaarden en gelden vanaf het moment dat u een Shopify-winkel met Clofy verbindt. Ze leggen uw gedocumenteerde instructies vast voor de persoonsgegevens die Clofy namens u verwerkt, en ze zeggen onomwonden waar Clofy net voor zichzelf handelt.

Ze vervangen het Privacybeleid niet, dat dezelfde verwerking in gewone taal beschrijft.

2. De partijen

U — de handelaar die de aangesloten Shopify-winkel uitbaat.

Clofy
ClofyBroeke 101/204, 9600 Ronse, BelgiumOndernemingsnummer: 0802.680.146BTW: BE0802680146info@clofy.be

3. Wie in welke rol optreedt

Clofy heeft twee onderscheiden rollen, en die tot één rol herleiden zou verkeerd beschrijven wat er werkelijk gebeurt.

3.1 Clofy als uw verwerker

Voor de bestel- en terugbetalingsgegevens die Clofy uit uw Shopify-winkel leest, bent u de verwerkingsverantwoordelijke en is Clofy uw verwerker. Clofy verwerkt die enkel om de dienst te leveren waar u om vroeg: uw catalogus tonen, door Clofy opgeleverde verkopen herkennen, de vergoeding berekenen, en terugbetalingen en annuleringen als correcties verwerken.

3.2 Clofy als zelfstandig verwerkingsverantwoordelijke

Voor haar eigen facturatiegegevens, haar wettelijke boekhoudkundige bewijsstukken en haar correspondentie met u als zakelijke contactpersoon is Clofy zelfstandig verwerkingsverantwoordelijke. Dat zijn Clofy's eigen wettelijke verplichtingen. U kan Clofy niet opdragen een boekhoudkundige registratie te wissen die zij wettelijk moet bijhouden, en Clofy doet niet alsof dat wel kan.

3.3 Een woord over shoppergegevens

Bezoekers van de Clofy-marktplaats zijn Clofy's eigen gebruikers, en Clofy is voor hen verwerkingsverantwoordelijke. Die relatie staat los van deze en wordt in het Privacybeleid beschreven.

De precieze kwalificatie verwerkingsverantwoordelijke/verwerker van een marktplaats die zowel shoppers doorverwijst als bestelgegevens leest, is een punt dat Clofy behoudend heeft geformuleerd en voor extern juridisch nazicht heeft aangemerkt. Waar de rollen werkelijk gedeeld zijn, beschrijft dit document wat elke partij effectief doet in plaats van een etiket te poneren.

4. Onderwerp, duur, aard en doel

• Onderwerp: het uitbaten van de Clofy-marktplaatskoppeling voor uw winkel
• Duur: van installatie tot u de app verwijdert, plus de bewaartermijnen in punt 10
• Aard: verzamelen, bewaren, structureren, berekenen, wissen
• Doel: catalogusweergave, verkooptoeschrijving, commissieberekening, correcties bij terugbetaling en annulering, verificatie van de facturatie

5. Categorieën gegevens en betrokkenen

Betrokkenen: uw klanten, voor bestellingen die via Clofy tot stand komen.

Categorieën persoonsgegevens: bestel-id en -nummer, bestelmunt en financiële bedragen (goederensubtotaal, kortingen, btw, verzending, douanerechten, terugbetaalde bedragen), de financiële status van de bestelling, tijdstempels, en de niet-herleidbare Clofy-referentie die de checkout aan de bestelling koppelt.

Niet verwerkt: klantnaam, e-mailadres, telefoonnummer, facturatieadres, leveradres, detail per bestellijn of betaalgegevens. De interne datastructuren die de gegevens van Shopify ontvangen, bevatten geen van deze velden, zodat die waarden niet gelezen, bewaard of gelogd kunnen worden — ook niet wanneer Shopify ze meestuurt. Een automatische test controleert dit op de types zelf, zodat zo'n veld toevoegen een bewuste daad is die eerst de build doet falen.

Er worden geen bijzondere categorieën persoonsgegevens verwerkt.

6. Uw instructies

Clofy verwerkt de hierboven beschreven gegevens enkel op uw gedocumenteerde instructies. Uw winkel verbinden, en deze voorwaarden, vormen die instructies. Clofy zal ze niet voor enig ander doel verwerken — in het bijzonder niet om uw klanten te profileren, niet om hen te adverteren, niet om modellen te trainen, en niet om ze te verkopen of te delen.

Is Clofy op grond van Unierecht of het recht van een lidstaat verplicht de gegevens anders te verwerken, dan meldt zij u dat vooraf, tenzij dat recht dit verbiedt.

Lijkt een instructie van u in strijd met de gegevensbeschermingswetgeving, dan zegt Clofy dat in plaats van ze stilzwijgend uit te voeren.

7. Vertrouwelijkheid en beveiliging

Iedereen met toegang tot de gegevens is tot vertrouwelijkheid gehouden. Toegang blijft beperkt tot wat iemand nodig heeft om de dienst te laten werken.

Technische maatregelen die vandaag van kracht zijn:

• HTTPS/TLS voor al het verkeer, tussen browsers, Clofy en Shopify
• Uw Shopify access- en refreshtoken worden door de applicatie versleuteld vóór opslag, zodat de databank ze niet in leesbare vorm bevat
• Versleuteling in rust door de beheerde databank- en hostingplatformen
• Elke Shopify-webhook wordt HMAC-geverifieerd voordat er iets mag wijzigen
• Beschermde bestelgegevens worden op typeniveau uitgesloten in plaats van achteraf gefilterd, zodat ze niet in logs kunnen belanden
• Toegangsgegevens leven enkel in de hostingomgeving en staan in geen enkel bronbestand

8. Subverwerkers

U geeft algemene toestemming voor het gebruik van onderstaande subverwerkers. Clofy legt elk van hen gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan deze voorwaarden, en blijft tegenover u aansprakelijk voor hun prestaties.

Shopify staat niet als subverwerker vermeld: het is uw eigen platform en uw eigen verwerker, en Clofy ontvangt de gegevens ervan in plaats van ze namens u daarheen te sturen.

Clofy verwittigt u redelijk vooraf bij het toevoegen of vervangen van een subverwerker, en u kan zich op redelijke gegevensbeschermingsgronden verzetten. Raakt een bezwaar niet opgelost, dan kan u de relatie beëindigen door de app te verwijderen, wat altijd kan en niets kost.

9. Internationale doorgifte

Sommige subverwerkers zijn buiten de Europese Economische Ruimte gevestigd, of kunnen gegevens daarbuiten verwerken. Waar dat het geval is, steunt de doorgifte op de modelcontractbepalingen van de Europese Commissie of op een ander mechanisme dat onder hoofdstuk V van de GDPR is toegestaan, zoals bepaald in de verwerkersvoorwaarden van die dienstverlener.

Clofy beweert geen specifieke hostingregio voor een dienstverlener tenzij zij die bevestigd heeft. Vraag het en Clofy vertelt u wat zij voor een bepaalde dienstverlener weet.

10. Bewaring en verwijdering

• Operationele bestelgegevens: uiterlijk 180 dagen na de laatste relevante gebeurtenis voor die bestelling gewist — bevestiging, terugbetaling, annulering of facturatiecorrectie. Een geplande taak dwingt dit af; niets dat nog op een aanrekening of een tegoed wacht, wordt vroegtijdig gewist
• Bij de-installatie: uw winkel wordt als inactief gemarkeerd en uw bewaarde toegangsgegevens worden meteen gewist
• Bij het Shopify-verzoek tot verwijdering van winkelgegevens: Clofy wist het winkelrecord, toeschrijvingsgegevens, financiële bestelgegevens, terugbetalingscorrecties, facturatiegebeurtenissen, hangende installatierecords, zichtbaarheidsinstellingen van producten en bezoekerssessiegegevens van uw winkel
• Bij een verzoek tot wissing van klantgegevens: Shopify noemt de betrokken bestellingen en Clofy wist de financiële rijen voor precies die bestellingen. De enige uitzondering is een bestelling waarop nog een aanrekening of een tegoed openstaat: die wissen zou geld annuleren dat in de ene of de andere richting verschuldigd is, dus wordt ze door de geplande taak verwijderd zodra ze afgehandeld is
• Back-ups: gegevens kunnen in de back-ups van het beheerde databankplatform blijven bestaan tot die volgens de cyclus van de dienstverlener vervallen

Teruggave of verwijdering op het einde. Wanneer de relatie eindigt, wist Clofy de persoonsgegevens die zij voor u verwerkt, volgens het schema hierboven. Wil u eerst een kopie, vraag die dan voor u de-installeert: Clofy bezorgt u de toeschrijvings- en financiële bestelgegevens van uw winkel in een leesbare vorm en wist ze daarna. Er bestaat geen scenario waarin Clofy die gegevens bijhoudt omdat u er niet om vroeg.

Wat Clofy bewaart: een minimale boekhoudkundige registratie van de omzet die zij u heeft aangerekend — begin en einde van de periode, geaggregeerde totalen, uw winkelidentificatie en niet-herleidbare facturatiereferenties. Ze bevat geen bestel-id's, geen bestellijnen en geen klantgegevens. Clofy bewaart ze omdat de Belgische boekhoudwetgeving een onderneming verplicht haar eigen omzet te kunnen staven, en hanteert daarvoor een bewaartermijn van tien jaar.

11. Bijstand

• Verzoeken van betrokkenen: oefent een van uw klanten een recht tegenover u uit en houdt Clofy relevante gegevens bij, dan staat Clofy u binnen een redelijke termijn bij. De Shopify-webhooks voor het wissen van klantgegevens worden automatisch afgehandeld
• Beveiligingsincidenten: Clofy verwittigt u zonder onnodige vertraging nadat zij kennis krijgt van een inbreuk op persoonsgegevens die uw gegevens raakt, met wat zij op dat moment weet in plaats van te wachten op een volledig beeld
• Gegevensbeschermingseffectbeoordelingen: Clofy bezorgt de informatie waarover zij beschikt ter ondersteuning van een DPIA of voorafgaande raadpleging

12. Audit

Clofy stelt de informatie ter beschikking die nodig is om de naleving van deze voorwaarden aan te tonen, en beantwoordt redelijke schriftelijke vragen over haar verwerking.

Clofy is een kleine SaaS-aanbieder. Audits ter plaatse blijven beperkt tot wat evenredig is: niet vaker dan eenmaal per jaar tenzij er een incident was, op uw kosten, met redelijke verwittiging, en zonder toegang tot de gegevens van andere handelaars of tot gedeelde infrastructuur.

13. Wijzigingen en contact

Deze voorwaarden hebben een versienummer. De versie die van kracht was toen u verbond, wordt bij uw winkel geregistreerd, en Clofy verwittigt u van inhoudelijke wijzigingen.

Contact gegevensbescherming: info@clofy.be