Verwerkersovereenkomst voor de gehoste apps van codesaur

CONCEPT v1, nog niet juridisch getoetst. Geldt pas na goedkeuring door een jurist.

Laatst bijgewerkt: [datum]

Deze overeenkomst is er in het Nederlands en het Engels. Bij verschil gaat de Nederlandse tekst voor.

Deze verwerkersovereenkomst geldt alleen voor de gehoste apps van codesaur (nu: VAT & Company Autofill voor Shopify en Lightspeed). Plugins die de Klant zelf installeert (Shopware, WooCommerce, Adobe Commerce, PrestaShop) sturen geen persoonsgegevens naar codesaur; daarvoor is geen verwerkersovereenkomst nodig.

Partijen

1. De Klant: de exploitant van de webwinkel die een App van codesaur installeert, zoals bekend in het account bij het platform, hierna: de Klant, als verwerkingsverantwoordelijke;
2. codesaur, eenmanszaak van Hans de Jong, ingeschreven bij de Kamer van Koophandel onder nummer 42167270, gevestigd aan De Dintel 19, 5463 NR Veghel, hierna: codesaur, als verwerker.

Overwegingen

1. codesaur levert de App vanaf eigen servers. De App controleert btw-nummers (VIES), Nederlandse adressen (PDOK), Belgische adressen (BeST) en, als de Klant dat aanzet, gegevens uit het Handelsregister (KVK API) voor de kopers van de webwinkel, en toont de Klant een logboek van die controles.
2. Daarbij verwerkt codesaur persoonsgegevens in opdracht van de Klant.
3. Artikel 28 lid 3 AVG vereist dat die verwerking wordt geregeld in een overeenkomst. Partijen leggen dat in deze verwerkersovereenkomst vast.
4. Deze verwerkersovereenkomst maakt deel uit van de overeenkomst tussen partijen en geldt naast de Gebruiksvoorwaarden van codesaur (plugins.codesaur.nl/nl/legal/terms/). De Klant aanvaardt haar door de App te installeren.

Artikel 1. Definities

Begrippen met een hoofdletter hebben de betekenis uit de Gebruiksvoorwaarden (onder meer App, Klant, Store, Gegevensbronnen, Werkdag). Daarnaast geldt:

1. AVG: de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679).
2. Persoonsgegevens, Verwerken, Betrokkene, Inbreuk in verband met persoonsgegevens: zoals bedoeld in artikel 4 AVG.
3. Datalek: een Inbreuk in verband met persoonsgegevens die betrekking heeft op Persoonsgegevens die codesaur voor de Klant Verwerkt.
4. Subverwerker: een derde die codesaur inschakelt en die daarbij Persoonsgegevens van de Klant Verwerkt.
5. Dashboard: de beheeromgeving van de App waarin de Klant instellingen, het logboek en zijn gegevens beheert.

Artikel 2. Onderwerp en rollen

1. De Klant is verwerkingsverantwoordelijke voor de Persoonsgegevens van zijn kopers en andere bezoekers die de App verwerkt. codesaur is daarvoor verwerker.
2. Welke Persoonsgegevens codesaur verwerkt, van welke Betrokkenen, met welk doel en hoe lang, staat in bijlage 1.
3. Buiten deze overeenkomst valt de verwerking waarvoor codesaur zelf verwerkingsverantwoordelijke is: de inloggegevens van de Dashboard-gebruikers van de Klant, de administratie van het abonnement, de website en support. Die verwerking staat in de privacyverklaring (plugins.codesaur.nl/nl/legal/privacy/).
4. De Gegevensbronnen (VIES, PDOK, BeST, KVK API) die codesaur op instructie van de Klant raadpleegt, zijn geen Subverwerkers. Het zijn zelfstandige ontvangers die onder hun eigen voorwaarden werken. Voor de KVK API is de Klant zelf klant van de Kamer van Koophandel.
5. Het platform van de webwinkel (Shopify, Lightspeed) is geen Subverwerker van codesaur. De Klant heeft daarmee een eigen overeenkomst.

Artikel 3. Instructies

1. codesaur Verwerkt de Persoonsgegevens alleen op schriftelijke instructie van de Klant. De overeenkomst, deze verwerkersovereenkomst, de instellingen in het Dashboard en het gebruik dat de Klant van de App maakt, gelden als die instructie. Aanvullende instructies geeft de Klant per e-mail.
2. codesaur gebruikt de Persoonsgegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet om taalmodellen of andere modellen te trainen.
3. Is codesaur wettelijk verplicht Persoonsgegevens te Verwerken buiten de instructies om, dan meldt codesaur dat vooraf aan de Klant, tenzij de wet dat verbiedt.
4. codesaur laat de Klant direct weten als een instructie naar zijn oordeel in strijd is met de AVG of andere regels over gegevensbescherming.

Artikel 4. Geheimhouding

1. codesaur houdt de Persoonsgegevens geheim. Wie onder verantwoordelijkheid van codesaur toegang krijgt tot Persoonsgegevens, is aan dezelfde geheimhouding gebonden. Op dit moment is dat alleen Hans de Jong.
2. codesaur gebruikt zijn technische toegang tot de gegevens van de Klant alleen voor beheer, beveiliging en het verhelpen van storingen, op verzoek van de Klant, of als een wettelijke plicht daartoe dwingt.

Artikel 5. Beveiliging

1. codesaur neemt passende technische en organisatorische maatregelen om de Persoonsgegevens te beveiligen, zoals bedoeld in artikel 32 AVG.
2. De maatregelen staan in bijlage 2. codesaur mag ze aanpassen, als het niveau van beveiliging daardoor niet lager wordt.

Artikel 6. Subverwerkers

1. De Klant geeft codesaur algemene toestemming om de Subverwerkers in bijlage 3 in te schakelen. De actuele lijst staat op plugins.codesaur.nl/nl/legal/subprocessors/.
2. codesaur meldt een nieuwe of vervangende Subverwerker ten minste 30 dagen vooraf, met een melding in het Dashboard en per e-mail aan de inlogadressen van de Klant, en past de lijst aan.
3. De Klant kan binnen die 30 dagen op redelijke gronden bezwaar maken. Komen partijen er niet uit, dan kan de Klant de App verwijderen en zijn abonnement opzeggen vóór de nieuwe Subverwerker wordt ingeschakeld. Voor terugbetaling gelden de regels van de Store.
4. codesaur legt elke Subverwerker schriftelijk ten minste dezelfde verplichtingen op als in deze overeenkomst, en blijft tegenover de Klant verantwoordelijk voor de Subverwerker.

Artikel 7. Doorgifte buiten de EER

1. codesaur Verwerkt de Persoonsgegevens alleen binnen de Europese Economische Ruimte, op de locaties in bijlage 3.
2. Doorgifte naar een land buiten de EER gebeurt alleen met voorafgaande schriftelijke toestemming van de Klant en met waarborgen zoals bedoeld in hoofdstuk V AVG.

Artikel 8. Rechten van Betrokkenen

1. De Klant kan de meeste verzoeken zelf afhandelen in het Dashboard: alle gegevens downloaden (JSON), het logboek direct leegmaken en alle gegevens verwijderen. Bij Shopify handelt de App de privacyverzoeken van Shopify (gegevensverzoek, wissen van een koper, wissen van een winkel) automatisch af.
2. Waar dat niet kan, helpt codesaur de Klant binnen redelijke grenzen om verzoeken van Betrokkenen te beantwoorden (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar).
3. Krijgt codesaur zo’n verzoek rechtstreeks, dan stuurt codesaur het binnen 5 Werkdagen door naar de Klant en beantwoordt het niet zelf.

Artikel 9. Datalekken

1. codesaur meldt een Datalek zonder onredelijke vertraging aan de Klant, en uiterlijk 48 uur nadat codesaur het heeft ontdekt, per e-mail aan de inlogadressen van de Klant.
2. De melding bevat, voor zover bekend: wat er is gebeurd, welke Persoonsgegevens en hoeveel Betrokkenen het betreft, de waarschijnlijke gevolgen, en de maatregelen die codesaur heeft genomen of voorstelt. Wat later bekend wordt, meldt codesaur zodra het bekend is.
3. codesaur neemt direct maatregelen om het Datalek te beperken en herhaling te voorkomen, en legt elk Datalek vast.
4. De Klant beslist of het Datalek wordt gemeld aan de Autoriteit Persoonsgegevens en aan Betrokkenen. codesaur meldt niet zelf, tenzij de wet dat verplicht.

Artikel 10. Bijstand

codesaur helpt de Klant binnen redelijke grenzen bij zijn verplichtingen uit de artikelen 32 tot en met 36 AVG, zoals een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, met de informatie waarover codesaur beschikt.

Artikel 11. Informatie en audit

1. codesaur geeft de Klant op verzoek de informatie die nodig is om aan te tonen dat codesaur deze overeenkomst nakomt, bijvoorbeeld door een vragenlijst in te vullen.
2. Is die informatie aantoonbaar onvoldoende, dan mag de Klant een audit laten uitvoeren door een onafhankelijke deskundige met een geheimhoudingsplicht. Een audit is hooguit eenmaal per jaar, wordt ten minste 30 dagen vooraf aangekondigd en verstoort de dienstverlening aan andere klanten niet. Na een Datalek mag een audit eerder.
3. De kosten van een audit zijn voor de Klant, tenzij de audit tekortkomingen van betekenis aan het licht brengt. codesaur herstelt gevonden tekortkomingen zo snel als redelijkerwijs mogelijk.

Artikel 12. Duur, einde, teruggave en verwijdering

1. Deze overeenkomst loopt zolang codesaur Persoonsgegevens voor de Klant Verwerkt.
2. De bewaartermijnen staan in bijlage 1.
3. Verwijdert de Klant de App of kiest hij in het Dashboard “Alle gegevens verwijderen”, dan verwijdert codesaur alle gegevens van de Klant. Bij Shopify wordt de toegangssleutel direct bij het verwijderen van de App gewist en de rest bij het wisverzoek van Shopify voor de winkel, of uiterlijk 49 uur na het verwijderen van de App.
4. Vóór de verwijdering kan de Klant zijn gegevens downloaden in het Dashboard.
5. Back-ups worden 14 dagen bewaard. Verwijderde gegevens zijn daardoor uiterlijk 14 dagen na verwijdering ook uit de back-ups verdwenen.
6. codesaur bevestigt de verwijdering op verzoek schriftelijk. Verwijdering blijft achterwege voor zover de wet codesaur verplicht gegevens te bewaren.

Artikel 13. Aansprakelijkheid

Voor de aansprakelijkheid van partijen geldt artikel 11 van de Gebruiksvoorwaarden. Dat laat de aansprakelijkheid tegenover Betrokkenen op grond van artikel 82 AVG onverlet.

Artikel 14. Slotbepalingen

1. Bij strijd tussen deze verwerkersovereenkomst en de Gebruiksvoorwaarden gaat deze verwerkersovereenkomst voor, voor zover het om de Verwerking van Persoonsgegevens gaat.
2. codesaur kan deze verwerkersovereenkomst wijzigen op dezelfde manier als de Gebruiksvoorwaarden (artikel 14 van de voorwaarden). Een wijziging verlaagt de bescherming van de Persoonsgegevens niet.
3. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechtbank Oost-Brabant.

Bijlage 1. Beschrijving van de verwerking

Onderdeel	Beschrijving
Doel	Klantgegevens van zakelijke kopers controleren en aanvullen in de afrekening en accountpagina’s van de webwinkel; de Klant laten zien waarom een controle mislukte; de dienst beschermen tegen misbruik
Aard van de verwerking	De invoer uit de webwinkel ontvangen, het openbare register raadplegen, het antwoord tijdelijk bewaren (cache), het terugsturen naar de webwinkel, een gemaskeerde regel in het logboek schrijven, KvK-aanvragen tellen, back-ups maken en gegevens verwijderen
Betrokkenen	Kopers en mogelijke kopers van de Klant (vooral zakelijke kopers, onder wie eenmanszaken)
Persoonsgegevens	Btw-nummers en KvK-nummers (persoonsgegevens bij eenmanszaken), postcode, huisnummer, straat, plaats; bedrijfsnaam en adres zoals de registers die teruggeven; IP-adres (alleen als hash met geheime sleutel, voor limieten); bij Shopify: klantgegevens in webhooks van Shopify (versleuteld)
Bijzondere en strafrechtelijke gegevens	Geen
Locatie	Europese Economische Ruimte, zie bijlage 3

Bewaartermijnen

Gegevens	Bewaartermijn
Logboek (gemaskeerde invoer, geen IP-adres)	ingesteld door de Klant, 1 tot 180 dagen (standaard 30)
Cache van antwoorden	VIES 24 uur; PDOK en BeST 7 dagen (gedeeld tussen winkels); KvK 7 dagen (per winkel)
Limiettellers (hash van het IP-adres)	ten hoogste 1 dag
Inloglinks / koppelingen vanuit het platform	15 minuten / 5 minuten
Dashboard-sessies	2 uur zonder activiteit, ten hoogste 12 uur
Aantal KvK-aanvragen per maand	24 maanden
Instellingen, inlogadressen, versleutelde KvK-sleutel	tot verwijdering van de App of “Alle gegevens verwijderen”
Shopify: winkelgegevens (versleutelde toegangssleutel, abonnement, opties)	toegangssleutel tot verwijdering van de App; de rest tot het wisverzoek van Shopify, uiterlijk 49 uur na verwijdering
Shopify: webhook-opdrachten (versleutelde inhoud met klantgegevens)	inhoud tot de opdracht is uitgevoerd of de koper is gewist; het record 7 dagen
Back-ups	14 dagen

Bijlage 2. Beveiligingsmaatregelen

Onderwerp	Maatregel
Hosting	Eén server bij [VPS-aanbieder] in [land, EER]; alleen poort 80 en 443 open
Versleuteling onderweg	Al het verkeer via HTTPS (TLS), met automatisch vernieuwde certificaten
Beheerderstoegang	Alleen Hans de Jong, alleen met een SSH-sleutel
KvK-sleutel	Versleuteld opgeslagen (XChaCha20-Poly1305, gebonden aan de winkel); nooit getoond, gelogd of geëxporteerd
Toegangssleutels van het platform	Versleuteld opgeslagen
Logboek	Alleen gemaskeerde invoer (bijvoorbeeld NL00*******B01, 1234 **), nooit IP-adressen of volledige invoer
Limieten	Per IP-adres en per winkel; het IP-adres alleen als hash met geheime sleutel, ten hoogste 1 dag bewaard; een storing bij een register blokkeert de afrekening niet (circuit breaker)
Inloggen op het Dashboard	Eenmalige inloglinks (15 minuten) of ondertekende eenmalige links vanuit het platform (5 minuten); sessies verlopen na 2 uur zonder activiteit en na ten hoogste 12 uur; beveiligde HttpOnly-cookies; bescherming tegen CSRF en clickjacking
Geheimen	Inlogcodes, sessie-ID’s en het beheertoken alleen als hash opgeslagen
Back-ups	Dagelijks, 14 dagen bewaard, op [back-uplocatie, EER]
Testen	Geautomatiseerde tests bij elke wijziging, ook op beveiliging (sleutel nooit in logs of antwoorden, CSRF, eenmalig gebruik)
Incidenten	Datalekken worden gemeld en vastgelegd volgens artikel 9

Bijlage 3. Subverwerkers

De actuele lijst staat op plugins.codesaur.nl/nl/legal/subprocessors/. Bij het sluiten van deze overeenkomst:

Subverwerker	Wat zij doen	Welke gegevens	Locatie
[VPS-aanbieder]	Hosting van de server en de database	alle gegevens in bijlage 1	[land, EER]
[SMTP-aanbieder]	Versturen van inloglinks voor het Dashboard	e-mailadres van de Dashboard-gebruiker, inloglink	[land, EER]
[Aanbieder back-upopslag]	Kopieën van de dagelijkse back-up op een andere locatie	alle gegevens in bijlage 1	[land, EER]

Geen subverwerkers (zelfstandige ontvangers, artikel 2 lid 4): Europese Commissie (VIES), Kadaster (PDOK), Belgische overheid (BeST-adressenregister), Kamer van Koophandel (KVK API, alleen als de Klant die aanzet, met zijn eigen sleutel). De uitgever van de TLS-certificaten ontvangt alleen de domeinnaam van de server, geen persoonsgegevens.