Verwerkersovereenkomst (VWO)

§ 1 Voorwerp en duur van de verwerking

(1) Voorwerp: de verwerking van persoonsgegevens vindt plaats in het kader van het gebruik van de cloudsoftware "BISpicy Warenwirtschaft".

(2) Duur: de verwerking wordt uitgevoerd gedurende de looptijd van de hoofdovereenkomst. Na beëindiging worden alle persoonsgegevens binnen 30 dagen verwijderd, tenzij wettelijke bewaarplichten van toepassing zijn.

(3) Aard van de verwerking:

• Verzamelen, opslaan en gebruiken van stamgegevens van klanten
• Verwerking van ordergegevens en transacties
• Aanmaken van facturen en pakbonnen
• Doorgifte aan vervoerders voor de afhandeling van orders

§ 2 Categorieën van betrokkenen en gegevens

2.1 Categorieën van betrokkenen

• Klanten / eindklanten van de verwerkingsverantwoordelijke
• Leveranciers van de verwerkingsverantwoordelijke
• Medewerkers van de verwerkingsverantwoordelijke
• Contactpersonen bij zakelijke partners

2.2 Categorieën van persoonsgegevens

Gegevenscategorie	Voorbeelden
Contactgegevens	Naam, adres, e-mail, telefoonnummer
Contractgegevens	Orders, facturen, klantnummers
Betaalgegevens	Bankgegevens, betalingsgeschiedenis (versleuteld)
Verzendgegevens	Bezorgadressen, trackingnummers

§ 3 Verplichtingen van de verwerker

De verwerker verbindt zich ertoe:

1. Binding aan instructies: persoonsgegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke (art. 28, lid 3, onder a) AVG)
2. Vertrouwelijkheid: te waarborgen dat alle personen die gemachtigd zijn gegevens te verwerken, zich tot vertrouwelijkheid hebben verbonden (art. 28, lid 3, onder b) AVG)
3. Beveiligingsmaatregelen: alle technische en organisatorische maatregelen te treffen die vereist zijn op grond van art. 32 AVG
4. Subverwerkers: alleen andere verwerkers in te schakelen met voorafgaande toestemming van de verwerkingsverantwoordelijke (art. 28, lid 2 AVG)
5. Bijstand: de verwerkingsverantwoordelijke bij te staan bij het nakomen van de verplichtingen uit hoofde van de art. 32 tot en met 36 AVG
6. Verwijdering: alle persoonsgegevens na afloop van de overeenkomst te verwijderen of terug te geven
7. Verantwoordingsplicht: de verwerkingsverantwoordelijke alle informatie ter beschikking te stellen die nodig is om de naleving aan te tonen

§ 4 Technische en organisatorische maatregelen (TOM)

De verwerker heeft de volgende maatregelen getroffen conform art. 32 AVG:

4.1 Vertrouwelijkheid

• Fysieke toegangscontrole: datacenters met fysieke toegangscontroles (DigitalOcean EU)
• Logische toegangscontrole: met een wachtwoord beveiligde gebruikersaccounts, optionele tweefactorauthenticatie
• Autorisatiecontrole: op rollen gebaseerd rechtensysteem
• Scheidingscontrole: scheiding van tenants door individuele databases

4.2 Integriteit

• Overdrachtscontrole: TLS 1.3-versleuteling voor alle gegevensoverdrachten
• Invoercontrole: logging van alle gegevensinvoer en -wijzigingen

4.3 Beschikbaarheid en veerkracht

• Beschikbaarheidscontrole: 99,9 % uptimegarantie, redundante systemen
• Herstelbaarheid: dagelijkse automatische back-ups, geteste herstelprocedures

4.4 Procedures voor regelmatige toetsing

• Regelmatige beveiligingsaudits
• Penetratietests door externe dienstverleners
• 24/7 systeemmonitoring

§ 5 Subverwerkers

(1) De verwerkingsverantwoordelijke stemt in met de inschakeling van de volgende subverwerkers:

Subverwerker	Locatie	Verwerkingsdoel
DigitalOcean LLC	Frankfurt (EU)	Backend-hosting, database, cloudback-ups (Spaces, S3-compatibel)
Stripe Payments Europe Ltd.	Dublin (EU)	Betalingsverwerking softwarelicentie
Google LLC (Firebase Cloud Messaging)	EU/VS (modelcontractbepalingen)	Pushmeldingen naar gekoppelde kassa-apparaten (geen persoonsgegevens)
Anthropic PBC (alleen bij gebruik van de AI-functies)	VS (modelcontractbepalingen, art. 46 AVG)	AI-ondersteunde herkenning van inkoopfacturen, AI-artikelaanmaak en AI-repricing. Verzonden gegevens worden niet gebruikt voor modeltraining (Anthropic Commercial Terms / DPA).
Fiskaly GmbH (bij actieve kassakoppeling)	Duitsland / Oostenrijk (EU)	Cloud-TSE (KassenSichV) en RKSV-cloudondertekening
Vervoerders (DHL, DPD, GLS, Hermes, UPS, FedEx) — indien geactiveerd	EU	Aanmaken van verzendlabels, track & trace (op instructie)
Marktplaatsen en shops (Amazon, eBay, Etsy, Shopify, Magento, WooCommerce, Shopware) — indien geactiveerd	EU / wereldwijd (afhankelijk van aanbieder)	Bestel- en artikelsynchronisatie op instructie van de verwerkingsverantwoordelijke

(2) De verwerker informeert de verwerkingsverantwoordelijke voordat hij andere subverwerkers inschakelt. De verwerkingsverantwoordelijke kan binnen 14 dagen bezwaar maken.

(3) Opmerking met betrekking tot vervoerders: de doorgifte van ontvangersgegevens aan vervoerders vindt uitsluitend plaats op uitdrukkelijke instructie van de verwerkingsverantwoordelijke (door het aanmaken van een verzendlabel in de software) ten behoeve van de uitvoering van de verzendopdracht.

§ 6 Rechten van betrokkenen

(1) De verwerker staat de verwerkingsverantwoordelijke bij in het nakomen van de rechten van betrokkenen (art. 12 tot en met 22 AVG):

• Recht op inzage (art. 15 AVG)
• Recht op rectificatie (art. 16 AVG)
• Recht op gegevenswissing (art. 17 AVG)
• Recht op beperking van de verwerking (art. 18 AVG)
• Recht op gegevensoverdraagbaarheid (art. 20 AVG)

(2) De verwerker biedt een exportfunctie die alle persoonsgegevens exporteert in een machineleesbaar formaat (CSV/JSON).

§ 7 Meldingsplichten bij gegevensinbreuken

(1) De verwerker stelt de verwerkingsverantwoordelijke zonder onnodige vertraging, en uiterlijk 24 uur nadat hij hiervan kennis heeft genomen, in kennis van iedere inbreuk in verband met persoonsgegevens.

(2) De melding bevat ten minste:

• Een beschrijving van de aard van de inbreuk
• De betrokken gegevenscategorieën en het bij benadering aantal records
• De waarschijnlijke gevolgen
• De getroffen of voorgestelde maatregelen om de inbreuk aan te pakken

§ 8 Verwijdering en teruggave van gegevens

(1) Na beëindiging van de hoofdovereenkomst worden alle persoonsgegevens:

• Op verzoek geëxporteerd en in een gangbaar formaat aan de verwerkingsverantwoordelijke overhandigd
• Na een periode van 30 dagen onherroepelijk verwijderd

(2) Er gelden uitzonderingen voor gegevens die op grond van wettelijke bewaarplichten langer moeten worden bewaard (bijv. facturen: 10 jaar).

§ 9 Controlerechten

(1) De verwerkingsverantwoordelijke heeft het recht om de naleving van deze overeenkomst te controleren.

(2) De verwerker stelt hiertoe het volgende ter beschikking:

• Bewijzen van de technische en organisatorische maatregelen
• Actuele certificeringen en auditrapporten
• Op verzoek: inspecties ter plaatse (op afspraak)

§ 10 Slotbepalingen

(1) Toepasselijk recht: het Duitse recht is van toepassing, met inachtneming van de AVG.

(2) Wijzigingen: wijzigingen van deze overeenkomst vereisen de tekstvorm.

(3) Salvatorische clausule: mochten afzonderlijke bepalingen ongeldig zijn, dan blijft de geldigheid van de overige bepalingen onaangetast.