Juridisch

Verwerkersovereenkomst (DPA)

Versie: concept-2026-07-22 · onderdeel van de signup-flow: acceptatie via checkbox; versie en tijdstip worden per klant gelogd

Deze verwerkersovereenkomst hoort bij de Algemene voorwaarden van EcomChain en gaat bij strijdigheid over gegevensbescherming vóór op die voorwaarden. Zij bevat de elementen die artikel 28 lid 3 AVG voorschrijft voor de verhouding verwerkingsverantwoordelijke–verwerker.

Artikel 1 — Definities

1. 1.1AVG: de Algemene verordening gegevensbescherming.
2. 1.2Persoonsgegevens, verwerken, verwerkingsverantwoordelijke, verwerker, betrokkene, datalek (inbreuk in verband met persoonsgegevens): de betekenis die de AVG daaraan geeft.
3. 1.3Kopersgegevens: persoonsgegevens van eindklanten van de Klant die via marketplace-koppelingen (zoals bol, Kaufland en later Amazon) of handmatige invoer in de Dienst terechtkomen.
4. 1.4Dienst: het EcomChain-platform inclusief orderverwerking, facturatie, verzendlabels, klantcontact, retourafhandeling en copiloot-functies, zoals beschreven in de Algemene Voorwaarden.
5. 1.5Sub-verwerker: een door EcomChain ingeschakelde derde die kopersgegevens verwerkt ten behoeve van de Dienst (Bijlage B).
6. 1.6Platformvoorwaarden: de datavoorwaarden van de gekoppelde marketplaces, waaronder de Amazon Data Protection Policy (DPP), de bol-intermediary-voorwaarden en de Kaufland/Mirakl-API-voorwaarden.

Artikel 2 — Onderwerp en duur

1. 2.1Deze overeenkomst regelt de verwerking van kopersgegevens door EcomChain namens de Klant bij het leveren van de Dienst.
2. 2.2De overeenkomst geldt zolang het abonnement loopt, plus de exportperiode van 90 dagen na beëindiging (artikel 13).
3. 2.3Verplichtingen die naar hun aard doorlopen (geheimhouding, verwijdering, medewerking bij incidenten die tijdens de looptijd zijn ontstaan) blijven ook daarna gelden.

Artikel 3 — Instructies van de Klant

1. 3.1EcomChain verwerkt kopersgegevens uitsluitend op schriftelijke instructie van de Klant. Het gebruik van de Dienst (configuratie, klikken op acties, instellen van automatiseringen) geldt als schriftelijke instructie.
2. 3.2Acties die de copiloot uitvoert binnen het door de Klant verleende mandaat (zoals vastgelegd in de Algemene Voorwaarden) gelden als instructies van de Klant. Elke copiloot-actie wordt gelogd met herkomst (audit-trail), zodat achteraf reconstrueerbaar is welke instructie waaraan ten grondslag lag.
3. 3.3Als EcomChain meent dat een instructie in strijd is met de AVG of andere toepasselijke regels, informeert zij de Klant onverwijld en mag zij de uitvoering opschorten totdat de instructie is aangepast of bevestigd.
4. 3.4EcomChain verwerkt kopersgegevens niet voor eigen doeleinden. Uitzondering: geaggregeerde en geanonimiseerde statistieken (benchmarks) die niet meer tot personen of tot de Klant herleidbaar zijn, uitsluitend als de Klant daarvoor heeft gekozen (opt-in).

Artikel 4 — Aard, doel en categorieën van de verwerking

1. 4.1De aard en doelen van de verwerking, de categorieën betrokkenen, de categorieën persoonsgegevens en de bewaartermijnen zijn per verwerking gespecificeerd in Bijlage A.
2. 4.2EcomChain verwerkt geen bijzondere categorieën persoonsgegevens en vraagt de Klant die ook niet aan te leveren. Als bijzondere gegevens onbedoeld toch in vrije-tekstvelden terechtkomen (bijvoorbeeld in klantberichten), behandelt EcomChain ze onder dezelfde waarborgen en verwijdert ze op verzoek van de Klant.

Artikel 5 — Dataminimalisatie en bewaartermijnen (platform-brede DPP-norm)

1. 5.1EcomChain hanteert de strengste geldende platformnorm als lat voor álle kanalen: de Amazon Data Protection Policy (DPP). Concreet: kopers-PII (naam, adres, e-mailadres, telefoonnummer) wordt maximaal 30 dagen na levering in identificeerbare vorm bewaard, ook voor orders van bol en Kaufland. Daarna wordt de PII verwijderd of gepseudonimiseerd.
2. 5.2Uitzondering facturen: factuurgegevens moeten op grond van de Nederlandse fiscale bewaarplicht 7 jaar bewaard blijven. EcomChain lost de spanning tussen de 30-dagen-PII-norm en de 7-jaars-factuurplicht op door pseudonimisering van het factuurarchief: na de 30-dagen-periode blijven factuurregels (bedragen, BTW, datum, ordernummer) bewaard, maar worden direct identificerende koperskenmerken vervangen door een pseudoniem; de sleutel wordt gescheiden en extra beveiligd opgeslagen en alleen gebruikt als een wettelijke plicht (zoals een controle door de Belastingdienst of een creditering) dat vereist.
3. 5.3Uitzonderingen op 5.1 gelden alleen als en zolang een wettelijke plicht of een lopend geschil/retourproces dat vereist; de reden wordt gelogd.
4. 5.4Als een platform zijn datavoorwaarden aanscherpt, mag EcomChain bewaartermijnen en functionaliteit daarop aanpassen; zij informeert de Klant vooraf, tenzij het platform onmiddellijke naleving eist.

Artikel 6 — Geheimhouding

1. 6.1Personen die onder gezag van EcomChain kopersgegevens verwerken (medewerkers, freelancers), zijn contractueel tot geheimhouding verplicht.
2. 6.2Toegang tot kopersgegevens is beperkt tot wat voor de functie noodzakelijk is (least-privilege, zie Bijlage C).

Artikel 7 — Beveiliging

1. 7.1EcomChain treft passende technische en organisatorische maatregelen zoals beschreven in Bijlage C, rekening houdend met de stand van de techniek, de kosten, en de aard en risico's van de verwerking (artikel 32 AVG).
2. 7.2EcomChain mag maatregelen actualiseren, mits het beveiligingsniveau niet daalt. Materiële wijzigingen van Bijlage C worden aan de Klant gemeld.

Artikel 8 — Sub-verwerkers

1. 8.1De Klant geeft algemene toestemming voor het inschakelen van sub-verwerkers. De actuele lijst staat in Bijlage B en wordt gepubliceerd op de EcomChain-website.
2. 8.2Bij een voorgenomen toevoeging of vervanging informeert EcomChain de Klant ten minste 30 dagen vooraf (e-mail en/of in-app). De Klant kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag de Klant het abonnement beëindigen tegen de datum waarop de nieuwe sub-verwerker actief wordt, zonder kosten voor de resterende termijn.
3. 8.3EcomChain legt aan elke sub-verwerker verplichtingen op die ten minste gelijkwaardig zijn aan deze overeenkomst en blijft jegens de Klant volledig aansprakelijk voor de nakoming door sub-verwerkers.
4. 8.4Voor LLM-providers geldt aanvullend: contractuele garantie dat klant- en kopersgegevens niet voor modeltraining worden gebruikt (no-training-afspraak) en EU-verwerking waar beschikbaar.

Artikel 9 — Datalekken en beveiligingsincidenten

1. 9.1EcomChain informeert de Klant zonder onredelijke vertraging, met als streefnorm binnen 24 uur na vaststelling van een datalek dat (mogelijk) kopersgegevens van de Klant raakt.
2. 9.2De melding bevat ten minste: aard van het incident, (vermoedelijk) getroffen categorieën gegevens en betrokkenen, waarschijnlijke gevolgen, genomen en voorgenomen maatregelen, en een contactpunt. Informatie mag in delen worden verstrekt naarmate het onderzoek vordert.
3. 9.3De beoordeling of een melding aan de Autoriteit Persoonsgegevens en/of aan betrokkenen nodig is, ligt bij de Klant als verwerkingsverantwoordelijke; EcomChain levert daarvoor alle redelijkerwijs benodigde informatie en assistentie.
4. 9.4Los van dit artikel heeft EcomChain eigen incident-meldplichten richting platforms (zoals de 24-uurs-notificatie aan Amazon onder de DPP). EcomChain handelt die zelf af conform haar interne datalek- en incident-draaiboek.
5. 9.5EcomChain documenteert alle incidenten (ook niet-meldplichtige) in een incidentregister.

Artikel 10 — Rechten van betrokkenen

1. 10.1Verzoeken van kopers (inzage, rectificatie, verwijdering, beperking, bezwaar, overdraagbaarheid) die EcomChain rechtstreeks bereiken, worden binnen 5 werkdagen doorgeleid naar de Klant; EcomChain beantwoordt ze niet zelf inhoudelijk.
2. 10.2EcomChain ondersteunt de Klant met tooling: zoeken op koper, export van diens gegevens en verwijdering/pseudonimisering, voor zover de wettelijke bewaarplichten (artikel 5.2) dat toelaten.

Artikel 11 — Assistentie bij verplichtingen van de Klant

1. 11.1EcomChain assisteert de Klant, voor zover redelijkerwijs mogelijk en rekening houdend met de aard van de verwerking, bij diens verplichtingen rond beveiliging, datalekmeldingen, gegevensbeschermingseffectbeoordelingen (DPIA's) en voorafgaande raadpleging van de toezichthouder (artikelen 32 t/m 36 AVG).
2. 11.2Voor assistentie die aanzienlijk verder gaat dan de standaard tooling en documentatie mag EcomChain redelijke kosten in rekening brengen tegen vooraf gecommuniceerd tarief.

Artikel 12 — Doorgifte buiten de EER

1. 12.1Verwerking vindt primair plaats binnen de EER (hosting in EU-regio, zie Bijlage B).
2. 12.2Doorgifte naar landen buiten de EER vindt alleen plaats met passende waarborgen, zoals een adequaatheidsbesluit van de Europese Commissie of de standaardcontractsbepalingen (SCC's) van de Europese Commissie, waar nodig aangevuld met extra maatregelen (encryptie, pseudonimisering).
3. 12.3Bijlage B vermeldt per sub-verwerker de locatie/EER-status en de gehanteerde waarborg. Wijzigt de doorgiftesituatie van een sub-verwerker, dan geldt de procedure van artikel 8.2.

Artikel 13 — Duur, beëindiging, teruggave en verwijdering

1. 13.1Na beëindiging van het abonnement heeft de Klant 90 dagen de tijd om kopersgegevens en administratie te exporteren in een gangbaar, machineleesbaar formaat.
2. 13.2Binnen 30 dagen na afloop van de exportperiode verwijdert EcomChain alle kopersgegevens van de Klant, behalve waar een wettelijke bewaarplicht verwijdering verbiedt (dan geldt pseudonimisering conform artikel 5.2 en afscherming tot het einde van die plicht).
3. 13.3Op verzoek verstrekt EcomChain een schriftelijke verwijderingsverklaring.
4. 13.4Back-ups worden volgens het reguliere rotatieschema (Bijlage C) overschreven; gegevens in back-ups worden niet meer hersteld of gebruikt na de verwijdering onder 13.2.

Artikel 14 — Audit

1. 14.1De Klant heeft eenmaal per jaar het recht de naleving van deze overeenkomst te controleren op basis van door EcomChain verstrekte rapportages (beschrijving van maatregelen, samenvatting van de meest recente pentest, sub-verwerkerslijst, incidentoverzicht op hoofdlijnen).
2. 14.2Alleen als die rapportages aantoonbaar onvoldoende zijn om aan een wettelijke plicht of een concreet verzoek van een toezichthouder te voldoen, kan de Klant aanvullende schriftelijke vragen stellen. Fysieke audits op locatie zijn uitgesloten; bij toekomstige enterprise-abonnementen kan dit per aanvulling worden uitgebreid.
3. 14.3Auditinformatie is vertrouwelijk en mag alleen worden gebruikt voor het beoordelen van de naleving.

Artikel 15 — Aansprakelijkheid

1. 15.1Voor aansprakelijkheid onder deze overeenkomst geldt de regeling (plafond en uitsluitingen) uit de Algemene Voorwaarden, voor zover de AVG dwingend niets anders bepaalt.

Artikel 16 — Slotbepalingen

1. 16.1Op deze overeenkomst is Nederlands recht van toepassing; geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement van de vestigingsplaats van EcomChain.
2. 16.2EcomChain mag deze overeenkomst wijzigen als wetgeving, platformvoorwaarden of de dienst dat vereisen; wezenlijke wijzigingen worden ten minste 30 dagen vooraf aangekondigd. Elke versie wordt gearchiveerd; per klant wordt gelogd welke versie wanneer is geaccepteerd.
3. 16.3Als een bepaling ongeldig blijkt, blijft de rest in stand en wordt de ongeldige bepaling vervangen door een geldige die de bedoeling het dichtst benadert.

Bijlage A — Verwerkingsregister (verwerkingen namens de Klant)

Bewaartermijnen volgen de platform-brede DPP-norm uit artikel 5: kopers-PII maximaal 30 dagen na levering, tenzij een wettelijke plicht anders vereist.

Bijlage B — Sub-verwerkers

Actuele versie wordt gepubliceerd op de EcomChain-website; wijzigingen volgens artikel 8 (30 dagen bezwaartermijn). Genoemde leveranciers zijn de beoogde partijen; namen tussen [haken] zijn placeholders tot de leverancierskeuze definitief is.

Bijlage C — Technische en organisatorische maatregelen (TOM's)

Toegang & authenticatie

• Least-privilege: platform-koppelingen gebruiken uitsluitend de minimaal benodigde OAuth-scopes; interne toegangsrechten per rol, standaard "geen toegang".
• Verplichte tweefactorauthenticatie (2FA) voor alle interne accounts en beheerinterfaces; 2FA beschikbaar (en aanbevolen) voor klantaccounts.
• Secrets-management: API-sleutels en tokens in een secrets-vault, nooit in code of logbestanden; rotatie bij vertrek van een medewerker of vermoeden van compromittering.
• Credentials-kluis: platform-tokens en API-sleutels van klanten worden versleuteld opgeslagen met AES-256-GCM, met sleutelbeheer gescheiden van de applicatiedata. aanvulling 22-07-2026
• Sessie-hardening: HttpOnly- en SameSite-cookies, sessie-rotatie na inloggen, automatische sessie-expiratie, rate-limiting op login- en API-endpoints en lockout na herhaalde mislukte inlogpogingen. aanvulling 22-07-2026

Encryptie

• Encryptie in transit: TLS voor alle verbindingen (app, API's, interne diensten).
• Encryptie at rest: databases, bestandsopslag en back-ups versleuteld.
• Pseudonimiseringssleutels (factuurarchief) gescheiden van de data opgeslagen, met apart toegangsregime.

Datalocatie aanvulling 22-07-2026

• EU-datalocatie: alle productiedata (database, bestandsopslag, back-ups) staat in datacenters binnen de EER; verwerking buiten de EER alleen via de sub-verwerkers en waarborgen van Bijlage B en artikel 12.

Logging & monitoring

• Toegangslogging op kopersgegevens: wie, wat, wanneer; logs beschermd tegen wijziging.
• Audit-trail van alle copiloot-acties met herkomst en mandaat-verwijzing.
• Append-only event-log van beveiligings- en gegevensrelevante gebeurtenissen (inlogpogingen, exports, mandaat-wijzigingen, verwijderingen), naast de copiloot-audit-trail. aanvulling 22-07-2026
• Geautomatiseerde alerts op afwijkende toegangspatronen en foutpieken.

Testen & onderhoud

• Jaarlijkse pentest door een externe partij; bevindingen met risicoclassificatie en hersteltermijnen.
• Dependency- en patchbeheer met prioriteit voor beveiligingsupdates.

Back-up & continuïteit

• Versleutelde (encrypted) back-ups met vast rotatieschema; ten minste jaarlijkse restore-test (gedocumenteerd).
• Feature-flags per marketplace-koppeling: een kanaal kan geïsoleerd worden uitgeschakeld bij een incident of API-wijziging.

Organisatie & proces

• Incidentproces conform het interne datalek- en incident-draaiboek, inclusief meldroutes en oefenritme.
• Geheimhoudingsverplichting voor iedereen die toegang heeft; onboarding-/offboarding-checklist voor toegangsrechten.
• Dataminimalisatie als ontwerpprincipe: geen kopers-PII in analytics, foutrapportage of AI-prompts waar dat niet strikt nodig is.
• Jaarlijkse hercheck van platformdatavoorwaarden (DPP, bol, Kaufland/Mirakl) met compliance-fiche per platform.

Teksten tussen [vierkante haken] — waaronder rechtsvorm, KvK-nummer, vestigingsadres en nog niet definitief gekozen leveranciers — zijn placeholders die vóór publicatie van de definitieve versie worden ingevuld. Onderdelen gemarkeerd met "aanvulling 22-07-2026" zijn toegevoegd ten opzichte van het concept van 12-07-2026 en worden meegenomen in de juridische toets.