Privacybeleid

1. Inleiding

Dit beleid legt uit wat Clofy met persoonsgegevens doet op www.clofy.be en in het Clofy-partnerportaal, en wat het bewust niet doet.

Clofy is een ontdekkingsplatform voor onafhankelijke modeboetieks. Het toont hun producten op één plaats en stuurt een shopper voor de aankoop door naar de eigen webshop van de boetiek. Clofy is nooit de verkoper, ontvangt nooit de betaling en is geen partij bij de aankoop.

2. Wie verantwoordelijk is voor je gegevens

Clofy, ondernemingsnummer 0802.680.146, gevestigd te Broeke 101/204, 9600 Ronse, Belgium, is verantwoordelijk voor de verwerking die in dit privacybeleid beschreven staat.

Verwerkingsverantwoordelijke voor het Clofy-platform:

ClofyBroeke 101/204, 9600 Ronse, BelgiumOndernemingsnummer: 0802.680.146BTW: BE0802680146info@clofy.be

Clofy heeft geen functionaris voor gegevensbescherming aangesteld: het is een kleine onderneming waarvan de kernactiviteit geen grootschalige monitoring is, zodat de wettelijke drempel voor zo'n aanstelling niet gehaald wordt. Privacyvragen gaan naar het adres hierboven en worden door een mens beantwoord.

Belangrijk. Wanneer je doorklikt naar een boetiek en daar koopt, ben je op de eigen webshop van die boetiek. Vanaf dat moment is de boetiek de verwerkingsverantwoordelijke voor je gegevens, en geldt haar privacybeleid, niet dit.

3. Wat Clofy verwerkt, en waarom

Elk doel hieronder heeft zijn eigen rechtsgrond. Niets wat op gerechtvaardigd belang steunt wordt als toestemming voorgesteld, of omgekeerd.

4. Wat Clofy niet verzamelt

• Geen betaalgegevens. Betalen gebeurt in de eigen checkout van de boetiek en raakt Clofy nooit
• Geen leveradres en geen bestelgeschiedenis van jou. Die horen bij de boetiek waar je kocht
• Geen shopperaccounts. Je kan je niet registreren op Clofy, dus er valt geen profiel op te bouwen
• Geen shopperidentiteit uit Shopify-bestellingen. Zie punt 12.4 — de code kan die velden niet lezen, en een test dwingt dat af
• Niets wordt verkocht. Clofy verkoopt geen persoonsgegevens, aan niemand, voor geen enkele prijs

5. Waar Clofy zich op gerechtvaardigd belang beroept

Drie doelen hierboven steunen op gerechtvaardigd belang: de dienst draaiende houden en verdedigen, productweergaven tellen voor boetieks, en een bericht beantwoorden dat je stuurde. Telkens heeft Clofy dat belang afgewogen tegen wat het jou kost en de verwerking beperkt tot het minimum dat nog werkt — geen identificator in je browser voor de weergaveteller, geen kopie van je bericht in een databank, en uit geen van beide een profiel.

Je kan daar op elk moment bezwaar tegen maken, volgens punt 8. Maak je bezwaar tegen verwerking op grond van gerechtvaardigd belang, dan stopt Clofy, tenzij zij dwingende gronden kan aantonen die zwaarder wegen dan jouw belangen.

6. Wie het nog ziet

Clofy doet een beroep op onderstaande dienstverleners, elk voor één doel en geen ander. Wie aangeduid staat als verwerker, handelt uitsluitend op instructie van Clofy onder een verwerkersovereenkomst.

Over Meta. Voor de pixel zijn Clofy en Meta Platforms Ireland gezamenlijke verwerkingsverantwoordelijken voor het verzamelen en doorsturen van de gegevens, en verwerkt Meta ze daarna voor haar eigen doeleinden onder haar eigen voorwaarden. Clofy is verantwoordelijk om het je eerst te vragen en voor deze informatie; Meta is verantwoordelijk voor wat zij daarna doet. Je kan je rechten tegenover elk van ons uitoefenen. De kern van die regeling staat hier; de volledige verdeling staat in Meta's Business Tools-voorwaarden.

Over de kaart. De boetiekkaart en de openingsuren komen van Google Maps Platform. Die laden pas op een pagina die een kaart toont, en op zo'n pagina ziet Google — net als elke website die je bezoekt — je IP-adres en welk kaartgebied opgevraagd wordt. Clofy stuurt je locatie zelf niet door naar Google: die blijft in je browser en wordt enkel afgerond naar ongeveer honderd meter gebruikt om afstanden te berekenen. Google verwerkt wat zij zo ontvangt als zelfstandig verwerkingsverantwoordelijke, onder haar eigen privacybeleid. Openingsuren worden opgehaald op het moment dat ze getoond worden en niet door Clofy bewaard.

Daarbuiten geeft Clofy gegevens enkel door waar de wet dat vereist, en enkel in de mate dat ze dat vereist.

7. Gegevens buiten Europa

Sommige dienstverleners hierboven zijn buiten de Europese Economische Ruimte gevestigd, of verwerken gegevens daarbuiten. PostHog verwerkt analysegegevens in de Verenigde Staten, en Postmark, Meta, Render en Vercel zijn Amerikaanse bedrijven. Clofy beweert niet dat alles in de EU blijft, want dat zou niet waar zijn.

Die doorgiftes steunen op de standaardcontractbepalingen van de Europese Commissie en, voor dienstverleners die gecertificeerd zijn, op het EU–US Data Privacy Framework, zoals bepaald in de eigen verwerkersvoorwaarden van elke dienstverlener. Vraag het en Clofy vertelt je welk mechanisme voor een bepaalde dienstverlener geldt, en wat zij daarvan heeft nagekeken.

8. Je rechten

Onder de GDPR kan je Clofy vragen om:

• Je te vertellen wat het over jou bijhoudt (art. 15)
• Het te corrigeren (art. 16)
• Het te wissen (art. 17), behalve waar de wet Clofy verplicht het te bewaren — een boekhoudkundige registratie is het belangrijkste voorbeeld
• Te beperken wat het ermee doet (art. 18)
• Het aan jou of aan een andere dienstverlener te bezorgen in overdraagbare vorm (art. 20), waar de verwerking op toestemming of op een overeenkomst steunt
• Te stoppen, waar de verwerking op gerechtvaardigd belang steunt (art. 21)
• Je toestemming in te trekken op elk moment, zonder dat dit raakt aan wat daarvoor rechtmatig gebeurde

Schrijf naar info@clofy.be of gebruik het contactformulier. Verzoeken worden door een mens behandeld en er is geen zelfbedieningsscherm: Clofy zegt dat liever dan een knop aan te prijzen die niet bestaat. Je krijgt binnen één maand antwoord, en is een verzoek complex, dan laat Clofy je dat weten vóór die maand om is in plaats van erna.

Clofy mag genoeg informatie vragen om zeker te zijn dat het verzoek van jou komt — meestal het e-mailadres waaraan de gegevens hangen. Zij zal geen identiteitsdocumenten eisen voor een vraag die zij ook zonder kan beantwoorden.

Je kan ook klacht indienen bij de Belgische Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, www.gegevensbeschermingsautoriteit.be. Je hoeft Clofy niet eerst te contacteren, al gaat dat meestal sneller.

9. Cookies, tracking en geautomatiseerde besluiten

Niets niet-essentieels start voor je akkoord gaat, en je antwoordt per doel: de site meten en bezoeken doorgeven aan Meta zijn verschillende vragen. Weigeren is één klik, op dezelfde plaats als aanvaarden, en de vraag negeren laat alles uit staan. Je kan van gedacht veranderen via de link onderaan elke pagina, en een wijziging geldt onmiddellijk.

De volledige lijst — wat er bewaard wordt, waarvoor het dient en hoe lang het meegaat — staat in het cookiebeleid.

Geen geautomatiseerde besluitvorming. Clofy neemt over jou geen geautomatiseerd besluit met rechtsgevolgen of vergelijkbaar ingrijpende gevolgen. Het profileert je niet en personaliseert niet wat je ziet: twee mensen die hetzelfde woord zoeken, zien dezelfde producten in dezelfde volgorde. Hoe die volgorde bepaald wordt, staat in hoe de rangschikking werkt.

10. Beveiliging

Wat vandaag van kracht is:

• HTTPS/TLS op elke verbinding, tussen je browser, Clofy, Shopify en elke dienstverlener
• Shopify-toegangsgegevens worden door de applicatie versleuteld voor ze de databank bereiken, zodat de bewaarde waarde onbruikbaar is voor wie de rij in handen krijgt
• Wachtwoorden van het partnerportaal worden enkel bewaard als hash met salt en key stretching — nooit in een vorm die iemand kan teruglezen
• Elke Shopify-webhook wordt op handtekening geverifieerd voordat er iets mag wijzigen
• Shopperidentiteit wordt op typeniveau uitgesloten uit Shopify-bestelgegevens, zodat ze zelfs per ongeluk niet in een log of een databank kan belanden
• Formulierinvoer wordt in sessieopnames gemaskeerd voor ze je browser verlaat
• Toegang beperkt tot wat iemand nodig heeft om de dienst te laten werken; toegangsgegevens leven enkel in de hostingomgeving, nooit in de broncode

Clofy heeft geen beveiligingscertificering en beweert er geen te hebben. Geen enkel systeem is perfect veilig, en een beleid dat iets anders beloofde, zou niets waard zijn. Dreigt een inbreuk een risico voor je rechten op te leveren, dan meldt Clofy dat binnen 72 uur aan de toezichthoudende autoriteit en brengt zij jou zonder onnodige vertraging op de hoogte.

11. Kinderen

Clofy richt zich niet op kinderen en verwerkt niet bewust gegevens van iemand jonger dan 16. Er zijn geen shopperaccounts, dus er valt voor een kind niets te registreren. Denk je dat gegevens van een kind bij Clofy terechtkwamen, schrijf dan naar info@clofy.be en ze worden gewist.

12. Aangesloten Shopify-boetieks

Dit deel gaat over handelaars die een Shopify-winkel met Clofy verbinden. Dat is een andere relatie dan hierboven, en beide worden bewust apart gehouden.

12.1 Wie waarvoor verantwoordelijk is

Voor de beperkte bestelgegevens die Clofy uit uw winkel leest, bent u de verwerkingsverantwoordelijke en handelt Clofy op uw gedocumenteerde instructies. Die instructies staan in de Verwerkersvoorwaarden voor handelaars.

Daarnaast is Clofy zelfstandig verwerkingsverantwoordelijke voor haar eigen facturatie- en boekhoudgegevens, voor uw account op het partnerportaal en voor haar correspondentie met u als zakelijke contactpersoon. Dat zijn Clofy's eigen verplichtingen en geen verwerking namens u.

12.2 Wat Clofy mag lezen

Verbinden gebeurt via de officiële app-installatie van Shopify (OAuth). Clofy vraagt twee toestemmingen en geen andere:

• read_products — uw catalogus, om die op Clofy te tonen
• read_orders — de financiële velden van bestellingen en terugbetalingen, om door Clofy opgeleverde verkopen te herkennen en de vergoeding te berekenen

12.3 Wat Clofy werkelijk bewaart

• Winkelidentiteit: uw myshopify-domein en het numerieke Shopify-winkel-id
• Toegangsgegevens: uw Shopify access- en refreshtoken, versleuteld, en gewist wanneer u de app verwijdert
• Catalogusgegevens: producttitels, beschrijvingen, afbeeldingen, prijzen en voorraad
• Financiële bestelgegevens: bestel-id en -nummer, munt, goederensubtotaal, kortingen, btw-, verzend- en douanebedragen, terugbetaalde bedragen, de financiële status van de bestelling en tijdstempels
• Toeschrijving: de niet-herleidbare referentie die een Clofy-checkout aan de resulterende bestelling koppelt
• Facturatiestatus: proefperiodedata, wat aan Shopify werd gerapporteerd, correcties en overgedragen tegoed
• Operationele logs: dat gebeurtenissen ontvangen en verwerkt zijn

12.4 Wat Clofy niet nodig heeft

Voor deze commissiefunctionaliteit verwerkt Clofy niet de naam, het e-mailadres, het telefoonnummer, het facturatieadres of het leveradres van uw klant. De interne datastructuren die de bestel- en terugbetalingsgegevens van Shopify ontvangen, bevatten die velden niet, zodat die waarden niet gelezen, bewaard of gelogd kunnen worden — ook niet wanneer Shopify ze meestuurt — en een automatische test dwingt dat af.

Clofy ontvangt ook nooit betaalgegevens. Betalen gebeurt in uw eigen Shopify-checkout.

12.5 Waarom Clofy dit verwerkt

• Om uw producten op Clofy te tonen
• Om te herkennen welke verkopen Clofy heeft opgeleverd
• Om de commissieplichtige omzet en de vergoeding te berekenen
• Om terugbetalingen en annuleringen als correcties te verwerken
• Om verbruik aan Shopify-facturatie te rapporteren en te verifiëren
• Om aan Clofy's eigen boekhoudverplichtingen te voldoen

De omrekening van munteenheden voor facturatie gebeurt met de gepubliceerde dagelijkse referentiekoersen van de Europese Centrale Bank. Daar komen geen persoonsgegevens bij kijken.

Clofy gebruikt deze gegevens niet voor profilering, niet voor geautomatiseerde besluiten met juridische of vergelijkbaar ingrijpende gevolgen en niet voor advertenties, en verkoopt ze niet.

12.6 De app verwijderen, wissen en de privacyverzoeken van Shopify

• Verwijdert u de app, dan wordt Clofy door Shopify verwittigd, markeert zij uw winkel als inactief, wist zij uw bewaarde toegangsgegevens en stopt zij nieuwe activiteit voor uw winkel
• Stuurt Shopify het verzoek tot verwijdering van winkelgegevens dat op een de-installatie volgt, dan wist Clofy het winkelrecord, toeschrijvingsgegevens, financiële bestelgegevens, terugbetalingscorrecties, facturatiegebeurtenissen, hangende installatierecords, zichtbaarheidsinstellingen van producten en bezoekerssessiegegevens van uw winkel
• Vraagt een van uw klanten aan Shopify om zijn gegevens te wissen, dan ontvangt Clofy de betrokken bestel-id's en wist zij de financiële rijen voor die bestellingen — behalve waar een bestelling nog een aanrekening of een tegoed draagt dat niet is afgewikkeld, en dat wordt verwijderd zodra dat wel zo is
• Vraagt een van uw klanten aan Shopify een kopie van zijn gegevens, dan antwoordt Clofy dat zij geen klantidentiteit bijhoudt, wat het waarheidsgetrouwe antwoord is en geen formaliteit
• Wat overblijft is een minimale boekhoudkundige registratie van de omzet die Clofy heeft aangerekend: periodetotalen, uw winkelidentificatie en niet-herleidbare facturatiereferenties. Ze bevat geen bestelgegevens en geen klantgegevens

12.7 Hoelang handelaarsgegevens bewaard blijven

• Operationele toeschrijvings- en financiële bestelgegevens: tot 180 dagen na de meest recente relevante gebeurtenis voor die bestelling — bevestiging, terugbetaling, annulering of facturatiecorrectie, welke het laatst is. Een geplande taak dwingt dit af, en niets dat nog op een aanrekening of een tegoed wacht, wordt vroegtijdig gewist
• Winkelrecord en toegangsgegevens: zolang de app geïnstalleerd is; toegangsgegevens worden bij de-installatie gewist
• Account op het partnerportaal: zolang het account bestaat. Aanmeldgegevens worden gewist wanneer de sessie verloopt, binnen 7 dagen
• Minimale boekhoudkundige registratie: bewaard zolang de Belgische boekhoud- en fiscale wetgeving van Clofy vereist dat zij haar eigen omzet kan staven. Clofy hanteert hiervoor een bewaartermijn van tien jaar

Het Shopify-verzoek tot verwijdering van winkelgegevens kan operationele gegevens sneller dan 180 dagen wissen.

12.8 Waar handelaarsgegevens verwerkt worden

Zie de dienstverleners in punt 6 en de waarborgen bij doorgifte in punt 7. Dezelfde dienstverleners verwerken handelaarsgegevens.

13. Links naar andere websites

Clofy linkt naar de webshops van aangesloten boetieks. Het is niet verantwoordelijk voor wat die sites met je gegevens doen, en raadt aan het privacybeleid te lezen van elke shop waar je koopt — dat is het beleid dat je aankoop beheerst.

14. Wijzigingen aan dit beleid

Dit beleid heeft een versienummer en een datum bovenaan de pagina. Clofy kondigt wezenlijke wijzigingen aan op de website voordat ze van kracht worden, en gaat een wijziging over iets waarvoor je toestemming gaf, dan vraagt zij het opnieuw in plaats van ervan uit te gaan dat het oude antwoord nog geldt.

15. Contact

Privacy en gegevensbescherming: info@clofy.be
Al de rest: info@clofy.be
Website: www.clofy.be/contact