Privacyverklaring

• Layrr verkoopt geen gegevens en verhuurt ze niet.
• Layrr gebruikt gegevens van kopers alleen om orders te verwerken, labels te maken en retouren af te handelen. Niet voor marketing, niet voor profielen en niet om kopers te volgen.
• Layrr neemt geen geautomatiseerde besluiten met rechtsgevolgen of vergelijkbare gevolgen voor mensen.
• In de orderkopie wist Layrr de gegevens van kopers 730 dagen na de bestelling, bij Amazon-orders 30 dagen na het afronden.
• De database staat in Ierland en alle verbindingen zijn versleuteld.

Layrr is een handelsnaam van milsol B.V., ingeschreven bij de Kamer van Koophandel onder nummer 98242903 en gevestigd aan Eglantierbaan 61, 2908 LV Capelle aan den IJssel.

Vragen over privacy gaan naar raymond@milsol.nl. Dat adres komt bij de maker van Layrr binnen, niet bij een helpdesk.

De AVG kent een verwerkingsverantwoordelijke (wie bepaalt waarom gegevens verwerkt worden) en een verwerker (wie dat in opdracht doet). Layrr is allebei, voor verschillende gegevens.

Layrr als verwerkingsverantwoordelijke

Voor de accounts van handelaren en hun medewerkers, voor aanmeldingen, voor aanvragen voor fulfilment en voor het bezoek aan layrr.nl. Layrr bepaalt hier zelf wat er gebeurt, en deze verklaring is de verantwoording daarvan.

Layrr als verwerker

Voor de gegevens van de kopers van een handelaar: naam, adres, e-mailadres en telefoonnummer zoals ze uit Shopify, bol, Kaufland, TikTok Shop, Amazon of de eigen webshop van de handelaar binnenkomen, en de klanten van het B2B-portaal. De handelaar is daarvoor verantwoordelijk; Layrr verwerkt ze alleen in zijn opdracht, om orders te verwerken, verzendlabels te maken en retouren af te handelen. De afspraken daarover staan in de verwerkersovereenkomst.

Heb je iets besteld bij een winkel die Layrr gebruikt? Dan is die winkel je eerste aanspreekpunt. Layrr helpt de winkel om je vraag te beantwoorden.

Bezoek aan layrr.nl

• Geen advertentie- of trackingcookies, geen Google Analytics, geen pixels van sociale netwerken.
• Layrr telt bezoeken zelf: per paginaweergave het pad, de site waar je vandaan kwam (alleen de domeinnaam), een eventuele campagnecode en of het een telefoon of computer is. Om bezoekers te tellen maakt de server een hash van IP-adres, browser, de dag en een geheime sleutel. Die hash wisselt elke dag en het IP-adres zelf wordt niet opgeslagen. De regels verdwijnen na 90 dagen. Met Do Not Track aan, of ingelogd, telt Layrr je niet.
• Vercel meet de laadtijd van pagina's (Speed Insights), zonder cookies en zonder die metingen aan een persoon te koppelen.
• Twee functionele cookies, alleen tijdens het installeren van de Shopify-app: één van tien minuten om de installatie te beveiligen en één van een uur die onthoudt dat de installatie bezig is.
• Na het inloggen bewaart je browser de inlogsessie in de lokale opslag. Daar kan alleen layrr.nl bij.
• De iconen in de app en op de site komen van de icoondienst Iconify (api.iconify.design). Die ziet daarbij het IP-adres van je browser.

Layrr legt een kopie van de orders vast, zodat het orderoverzicht snel is en het magazijn kan doorwerken als een kanaal even niet antwoordt. Per bron is dat:

Dit gebruikt Layrr er alleen voor: de order tonen aan de handelaar en zijn medewerkers, picken en inpakken, een verzend- of retourlabel maken bij de vervoerder die de handelaar kiest, de verzending melden aan het kanaal, een retour verwerken, en een factuur opmaken als de handelaar daarom vraagt. Werkt de handelaar met een fulfilmentpartij in Layrr, dan ziet die partij de orders die zij moet verzenden. Die toegang zet de handelaar zelf aan.

Layrr stuurt kopers geen marketingmail, maakt geen profielen van ze en combineert geen gegevens van verschillende handelaren. De enige mail aan klanten zijn de orderbevestigingen en facturen van het B2B-portaal, die uit naam van de handelaar naar zijn zakelijke klanten gaan. Omgevingen van handelaren zijn van elkaar gescheiden.

Layrr werkt met een klein aantal vaste partijen. Zij verwerken gegevens alleen voor Layrr en hebben daar een verwerkersovereenkomst voor.

Gaan gegevens naar een partij in de Verenigde Staten, dan gebeurt dat op basis van het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

Diensten die de handelaar zelf koppelt

De handelaar koppelt zijn eigen verkoopkanalen, vervoerders en andere diensten, met een eigen account. Layrr stuurt daar alleen heen wat nodig is voor de handeling die de handelaar start. De afspraken met die partijen maakt de handelaar zelf.

Een overheid of rechter kan Layrr verplichten gegevens af te geven. Dan geeft Layrr niet meer dan gevraagd wordt en laat het de handelaar weten, tenzij dat niet mag.

• Alle verkeer met layrr.nl en de backend loopt over TLS (https), en browsers worden verplicht dat te blijven doen (HSTS).
• De database en de back-ups zijn versleuteld opgeslagen (AES-256, door Supabase).
• Koppelsleutels staan in een tabel waar alleen de backend bij kan, nooit de browser. De sleutels van Shopify, Amazon en Mollie zijn daarnaast apart versleuteld (AES-256-GCM), met een sleutel die buiten de database staat.
• Elke tabel heeft rijbeveiliging per bedrijf: een gebruiker kan alleen bij de gegevens van zijn eigen bedrijf, ook als de applicatie ergens een filter zou vergeten.
• Per gebruiker bepaalt de handelaar welke schermen iemand ziet. Wat niet is toegestaan is dicht.
• Het platformbeheer van Layrr vraagt tweestapsverificatie.
• Wachtwoorden worden alleen als hash opgeslagen. In het logboek komen geen wachtwoorden, sleutels of gegevens van kopers.
• Testomgevingen draaien op een eigen database met testgegevens en raken nooit echte orders.
• Er is een incidentplan. Bij een datalek hoort de handelaar het binnen 24 uur.

Je hebt het recht om je gegevens in te zien, te laten verbeteren of verwijderen, de verwerking te laten beperken, bezwaar te maken en je gegevens mee te nemen naar een andere partij. Een toestemming kun je altijd intrekken.

• Gebruiker, aanmelder of aanvrager: mail naar raymond@milsol.nl. Je krijgt binnen een maand antwoord.
• Koper van een winkel: neem contact op met de winkel. Die is verantwoordelijk voor je gegevens en Layrr helpt hem. Mail je Layrr zelf, dan stuurt Layrr je vraag door naar de winkel. Bestelde je bij een eigen webshop die zijn orders aan Layrr doorgeeft, dan wist de winkel je gegevens in Layrr op het e-mailadres waarmee je bestelde, of vraagt hij Layrr dat te doen.

Ben je het niet eens met hoe Layrr met je gegevens omgaat, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens. Mail Layrr gerust eerst; meestal is het sneller opgelost.

Shopify stuurt privacyverzoeken van klanten en winkels door naar de apps die een winkel gebruikt. Layrr legt elk verzoek vast en handelt het zo af:

• customers/data_request: een klant wil weten wat er van hem bewaard is. Layrr stuurt de winkel binnen 30 dagen een overzicht van zijn orders en een eventuele klantnotitie.
• customers/redact: een klant wil gewist worden. Layrr wist meteen de klantgegevens van de genoemde orders, alleen bij die winkel.
• shop/redact: een winkel heeft de app verwijderd. Layrr haalt de app-koppeling weg en verwijdert de Shopify-orders van die winkel uit de orderkopie. Is de app intussen opnieuw geïnstalleerd, dan blijft alles staan.

Verandert er iets aan deze verklaring, dan staat de nieuwe datum bovenaan. Gaat het om iets wezenlijks, zoals een nieuwe subverwerker, dan hoort de hoofdbeheerder van elk account het vooraf per mail.

Vragen? Mail naar raymond@milsol.nl.