Verwerkersovereenkomst

1. Definities

“Privacywetgeving” betekent de UK GDPR, de UK Data Protection Act 2018, de AVG van de EU en alle andere privacywetgeving die op de verwerking van toepassing is. “Persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene” en “inbreuk op persoonsgegevens” hebben de betekenis uit die wetgeving. “Dienst” heeft de betekenis uit de Gebruiksvoorwaarden.

2. Wat deze DPA dekt

Deze DPA geldt niet voor gegevens die we voor eigen doeleinden gebruiken, zoals accountgegevens, facturatie, fraudepreventie en orderregistraties die we wettelijk moeten bewaren. Voor die gegevens zijn wij de verwerkingsverantwoordelijke, en het Privacybeleid legt dat uit.

3. Jouw verantwoordelijkheden

• Jij bepaalt waarom de gegevens van je bezoekers worden verwerkt en zorgt dat je daarvoor een rechtsgrond hebt.
• Je vertelt je bezoekers en kopers hoe je hun gegevens gebruikt, bijvoorbeeld in je eigen privacyverklaring waarnaar je pagina linkt.
• Je vraagt toestemming waar de wet dat eist, bijvoorbeeld voordat je de Conversions API van Meta koppelt, als de wet in het land van je bezoekers daarvoor toestemming vereist.
• Je geeft ons alleen rechtmatige instructies. Je instellingen in de Dienst zijn je instructies.

4. Onze verantwoordelijkheden

• We verwerken de persoonsgegevens alleen op basis van je gedocumenteerde instructies. Dat zijn de Gebruiksvoorwaarden, deze DPA en je instellingen, tenzij de wet anders eist. Vinden we dat een instructie in strijd is met de wet, dan laten we het je weten.
• Iedereen bij LoadFocus LTD die toegang heeft tot de gegevens is gehouden aan geheimhouding.
• We beschermen de gegevens met de maatregelen in paragraaf 5.
• We schakelen subverwerkers alleen in zoals paragraaf 6 bepaalt.
• We helpen je bij het beantwoorden van verzoeken van betrokkenen (paragraaf 7) en bij je verplichtingen rond beveiliging, meldingen van inbreuken en gegevensbeschermingseffectbeoordelingen, voor zover de aard van de verwerking dat toelaat.
• We verwijderen of retourneren de gegevens aan het einde van de Dienst (paragraaf 9).
• We geven je de informatie die je nodig hebt om aan te tonen dat we artikel 28 naleven, en we staan audits toe zoals paragraaf 10 bepaalt.

5. Beveiligingsmaatregelen

• Versleuteling tijdens verzending: pagina's, de app en onze API's worden via HTTPS aangeboden.
• Toegang: de database en de sessieopslag accepteren alleen verbindingen vanaf onze eigen servers en vereisen een wachtwoord. Alleen medewerkers die het voor hun werk nodig hebben, kunnen bij de productiesystemen.
• Geheimen: sleutels en wachtwoorden staan in AWS Systems Manager Parameter Store en nooit in onze code.
• Accounts: inloggen via Google; een opgeslagen wachtwoord wordt gehasht met bcrypt; sessies gebruiken beveiligde, HTTP-only cookies.
• Bescherming tegen misbruik: limieten op het aantal pogingen bij inloggen en account aanmaken, en controles dat verzoeken van onze eigen site komen.
• Gegevensminimalisatie: IP-adressen van kopers worden alleen opgeslagen als verkorte eenrichtingshash; identificatiegegevens van kaarten bij mislukte betalingen bewaren we maximaal 48 uur.

We beoordelen deze maatregelen wanneer de Dienst verandert. Op de beveiligingspagina staat hoe je een kwetsbaarheid meldt.

6. Subverwerkers

Je geeft ons toestemming om deze subverwerkers te gebruiken voor de gegevens die deze DPA dekt:

Elke subverwerker is gebonden door een schriftelijk contract met gegevensbeschermingsbepalingen die minstens even beschermend zijn als deze DPA. Wij blijven verantwoordelijk voor hen.

We laten je per e-mail weten wanneer er een nieuwe subverwerker komt, minimaal 30 dagen voordat die begint. Binnen die tijd kun je per e-mail bezwaar maken, met je redenen. Kunnen we je bezwaar niet oplossen, dan kun je je account sluiten en betalen we vooruitbetaalde kosten terug voor de tijd die je niet hebt gebruikt.

7. Verzoeken van betrokkenen

Vraagt een bezoeker of koper ons om inzage in, correctie of verwijdering van zijn of haar gegevens, dan geven we het verzoek zonder vertraging aan jou door en beantwoorden we het niet zelf, tenzij de wet ons daartoe verplicht. Je kunt mailen naar hello@more.you en wij helpen je de gegevens van die persoon te vinden, te exporteren of te verwijderen.

8. Inbreuken op persoonsgegevens

Merken we een inbreuk op persoonsgegevens op die gegevens onder deze DPA treft, dan laten we het je zonder onredelijke vertraging weten, en in elk geval binnen 48 uur. We vertellen wat er is gebeurd, welke gegevens en hoeveel mensen het treft, wat we eraan doen en wie je kunt benaderen. Meer details sturen we zodra we ze weten.

9. Verwijdering aan het einde

Sluit je je account, dan gaan je pagina's offline en stoppen we met het verwerken van de gegevens voor jou. We verwijderen ze binnen 90 dagen, tenzij de wet ons verplicht ze te bewaren. Voordat je je account sluit, kun je ons via hello@more.you om een kopie van je statistieken en bestellingen vragen.

10. Informatie en audits

Op verzoek beantwoorden we redelijke schriftelijke vragen over hoe we de gegevens beschermen. Zijn die antwoorden niet genoeg om aan te tonen dat we deze DPA naleven, of vraagt een toezichthouder erom, dan kun je ons eens per jaar auditen, met een aankondiging van 30 dagen, tijdens kantooruren, via een onafhankelijke auditor die tot geheimhouding is gehouden. Jij betaalt de audit.

11. Internationale doorgifte

We zitten in het Verenigd Koninkrijk en onze servers staan in de Verenigde Staten. Gaan persoonsgegevens uit het VK of de Europese Economische Ruimte naar een land zonder adequaatheidsbesluit, dan gebruiken we een doorgiftemechanisme dat de wet erkent: de UK Extension to the EU-US Data Privacy Framework als de ontvanger gecertificeerd is, of de standaardcontractbepalingen van de EU met het UK Addendum.

Zit je in de Europese Economische Ruimte en ontvangen wij persoonsgegevens van jou, dan gelden de standaardcontractbepalingen van de EU (module 2, verwerkingsverantwoordelijke naar verwerker, of module 3 als je zelf verwerker bent) tussen jou en ons en maken ze deel uit van deze DPA. Clausule 7 geldt niet, optie 2 van clausule 9 geldt met de termijn uit paragraaf 6, de optionele tekst in clausule 11 geldt niet, en clausules 17 en 18 kiezen het recht en de gerechten van Ierland. De bijlagen zijn de paragrafen 2, 5 en 6 van deze DPA.

12. Aansprakelijkheid, rangorde van documenten en recht

De aansprakelijkheidsbeperkingen in de Gebruiksvoorwaarden gelden ook voor deze DPA, behalve waar de privacywetgeving ze niet toestaat. Wijken deze DPA en de Gebruiksvoorwaarden over persoonsgegevens van elkaar af, dan gaat deze DPA voor. Wijken de standaardcontractbepalingen en deze DPA van elkaar af, dan gaan de bepalingen voor.

Op deze DPA is hetzelfde recht van toepassing als op de Gebruiksvoorwaarden, behalve waar paragraaf 11 of de privacywetgeving iets anders zegt. We mogen haar aanpassen om de wet of wijzigingen in de Dienst te volgen, en we laten het je per e-mail weten vóór een wijziging die je bescherming verkleint.

13. Contact

Vragen over deze DPA: hello@more.you.