Verwerkersovereenkomst

• De handelaar: het bedrijf dat een account bij Layrr heeft. De handelaar is verwerkingsverantwoordelijke.
• Layrr: milsol B.V., handelend onder de naam Layrr, KVK 98242903, Eglantierbaan 61, 2908 LV Capelle aan den IJssel. Layrr is verwerker.

Deze overeenkomst hoort bij het gebruik van Layrr. Wie een account aanmeldt of Layrr installeert vanuit Shopify, gaat ermee akkoord. Wat hier niet geregeld is, volgt uit de AVG.

Onderwerp is de verwerking van persoonsgegevens die Layrr voor de handelaar uitvoert als onderdeel van de dienst. De overeenkomst loopt zolang de handelaar een account heeft en eindigt pas als Layrr de gegevens volgens artikel 11 heeft verwijderd.

Layrr haalt orders op uit de kanalen die de handelaar koppelt, bewaart daar een kopie van, en gebruikt die uitsluitend voor:

• orders tonen aan de handelaar en zijn medewerkers, en ze laten picken en inpakken;
• verzend- en retourlabels maken bij de vervoerder die de handelaar kiest, en de verzending melden aan het kanaal;
• retouren registreren en afhandelen;
• facturen opmaken en uploaden als de handelaar daarom vraagt;
• het B2B-portaal van de handelaar: zakelijke klanten laten bestellen en betalen.

Layrr gebruikt de gegevens niet voor eigen doeleinden, niet voor marketing, niet om profielen te maken en niet om modellen te trainen, en verkoopt ze niet.

Betrokkenen:

• kopers van de handelaar, consument of zakelijk, via Shopify, bol, Kaufland, TikTok Shop, Amazon of de eigen webshop van de handelaar;
• zakelijke klanten en hun contactpersonen in het B2B-portaal;
• ontvangers van labels die de handelaar met de hand aanmaakt.

Gegevens:

• naam en bedrijfsnaam;
• bezorg- en factuuradres;
• e-mailadres en telefoonnummer;
• ordergegevens: ordernummer, datum, bestelde artikelen, bedragen, verzend- en retourstatus, track & trace;
• bij B2B-klanten ook KVK- en btw-nummer;
• notities die de handelaar zelf bij een klant zet, en de opmerking die een koper bij een bestelling in de eigen webshop schrijft.

Welke velden Layrr per kanaal bewaart en welke alleen live worden opgehaald, staat in de privacyverklaring. Layrr is niet bedoeld voor bijzondere persoonsgegevens. De handelaar zet die niet in notities of andere vrije velden.

Layrr verwerkt de gegevens alleen op instructie van de handelaar. Die instructie bestaat uit deze overeenkomst, de koppelingen en instellingen die de handelaar in Layrr kiest, en de acties die hij en zijn medewerkers in Layrr uitvoeren. Andere instructies geeft de handelaar per mail.

Vindt Layrr dat een instructie in strijd is met de AVG, dan meldt Layrr dat meteen. Moet Layrr op grond van de wet gegevens verwerken of afgeven, dan laat Layrr het de handelaar vooraf weten, tenzij de wet dat verbiedt.

Iedereen die namens Layrr bij de gegevens kan, is tot geheimhouding verplicht. Dat zijn alleen mensen die het voor hun werk nodig hebben; op dit moment is dat uitsluitend de beheerder van Layrr. Die kijkt alleen mee in de omgeving van een handelaar om een vraag of storing op te lossen. De handelaar ziet een melding zolang dat gebeurt, en die acties worden apart vastgelegd.

Layrr neemt passende technische en organisatorische maatregelen tegen verlies en onrechtmatige verwerking. De maatregelen staan in de privacyverklaring onder Beveiliging. Layrr mag ze aanpassen zolang het niveau van de beveiliging niet daalt.

De handelaar geeft toestemming voor de subverwerkers in de lijst in de privacyverklaring. Layrr legt hun dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de handelaar verantwoordelijk voor wat zij doen.

Wil Layrr er een subverwerker bij nemen of er een vervangen, dan meldt Layrr dat minstens 30 dagen vooraf per mail aan de hoofdbeheerder van het account. Heeft de handelaar een gegronde reden om bezwaar te maken en vinden partijen geen oplossing, dan kan de handelaar het account opzeggen voordat de wijziging ingaat.

Gegevens gaan alleen naar een land buiten de Europese Economische Ruimte als daar een passende grondslag voor is, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

Kanalen, vervoerders en andere diensten die de handelaar zelf koppelt met een eigen account, zijn geen subverwerkers van Layrr. Layrr stuurt daar op instructie van de handelaar alleen heen wat nodig is; de afspraken met die partijen maakt de handelaar zelf. Hetzelfde geldt voor een fulfilmentpartij die de handelaar in Layrr toegang geeft.

Ontdekt Layrr een inbreuk op de beveiliging die gegevens van de handelaar raakt, dan meldt Layrr dat binnen 24 uur na ontdekking per mail aan de hoofdbeheerder van het account. Layrr geeft daarbij wat op dat moment bekend is:

• wat er gebeurd is en wanneer;
• welke soorten gegevens en hoeveel betrokkenen het ongeveer raakt;
• de waarschijnlijke gevolgen;
• wat Layrr heeft gedaan en nog doet om de schade te beperken.

Wat later bekend wordt, vult Layrr aan. De handelaar beslist of hij het lek meldt bij de Autoriteit Persoonsgegevens en bij de betrokkenen; Layrr helpt daarbij en doet zelf geen melding namens de handelaar, tenzij de handelaar daarom vraagt.

Layrr helpt de handelaar binnen redelijke termijn om verzoeken van betrokkenen te beantwoorden: inzage, verbetering, verwijdering, beperking, bezwaar en overdraagbaarheid. Krijgt Layrr zo'n verzoek zelf binnen, dan stuurt Layrr het door naar de handelaar en beantwoordt het niet zelf.

Komt een verzoek via Shopify binnen, dan handelt Layrr het af zoals beschreven onder Verzoeken via Shopify. Een verwijderverzoek van een koper van de eigen webshop handelt de handelaar zelf af in Layrr (Instellingen, Marketplaces, Eigen webshop), of Layrr doet het op zijn verzoek. Layrr helpt ook bij een gegevensbeschermingseffectbeoordeling (DPIA) of een vraag van de Autoriteit Persoonsgegevens, voor zover die over Layrr gaat.

Wordt het account opgezegd, dan volgt een bedenktijd van 30 dagen. In die tijd kan de handelaar Layrr per mail vragen het opzeggen terug te draaien of hem een kopie van zijn gegevens te sturen in een gangbaar formaat. Daarna verwijdert Layrr het bedrijf definitief, met alle winkels, orders, klanten, koppelingen en gebruikers. Back-ups worden dagelijks gemaakt en 7 dagen bewaard; daarna zijn ook de kopieën daarin weg.

Verwijdert de handelaar alleen de Shopify-app, dan haalt Layrr na het bericht shop/redact van Shopify de app-koppeling weg en verwijdert het de Shopify-orders van die winkel uit de orderkopie. Gegevens die Layrr op grond van de wet moet bewaren, bewaart Layrr niet langer dan nodig.

Layrr geeft de handelaar op verzoek de informatie die nodig is om aan te tonen dat Layrr zich aan deze overeenkomst houdt, zoals het incidentplan en het toegangsbeleid. Is dat niet genoeg, dan mag de handelaar eens per jaar een controle laten doen door een onafhankelijke deskundige die tot geheimhouding verplicht is. De handelaar kondigt die minstens 30 dagen vooraf aan en draagt de kosten, tenzij de controle laat zien dat Layrr deze overeenkomst niet nakomt.

Layrr kan deze overeenkomst aanpassen. Een wijziging die de bescherming van de gegevens vermindert, kan niet. Een wezenlijke wijziging meldt Layrr minstens 30 dagen vooraf per mail. Op deze overeenkomst is Nederlands recht van toepassing.

Vragen of een getekende versie nodig? Mail naar raymond@milsol.nl.