# Verwerkersovereenkomst > De Shoprocket-verwerkersovereenkomst met de verplichtingen voor gegevensverwerking onder de AVG/GDPR. Laatst bijgewerkt op 26 april 2026 Dit is een vertaling voor het gemak. De [Engelse versie](https://v3.shoprocket.io/gdpr.md) is de juridisch bindende versie en heeft voorrang als de twee verschillen. Deze Shoprocket-verwerkersovereenkomst ("Addendum") wijzigt de Shoprocket-Algemene voorwaarden ("Overeenkomst") tussen jou ("Jij") en **Shoprocket LTD** (bedrijfsnr. 12656598, geregistreerd in Engeland en Wales op 20-22 Wenlock Road, Londen, NG 17U). Als je een aparte SLA met Shoprocket hebt, verwijzen verwijzingen naar de Overeenkomst naar die SLA. Dit Addendum is onderworpen aan en opgenomen in de Overeenkomst. Elke term met een hoofdletter die hier niet is gedefinieerd, heeft de betekenis die in de Overeenkomst is gegeven. --- ## Definities - **Accountinstellingen**: Configuraties voor je Shoprocket-account (inclusief beveiliging) waarmee je beheert hoe Shoprocket Persoonsgegevens verwerkt. - **Zakelijke doeleinden**: De Diensten zoals gedefinieerd in de Overeenkomst. - **Klantaccountgegevens**: Persoonsgegevens over je relatie met Shoprocket (bijv. bevoegde contactpersonen, factureringsgegevens), plus informatie die Shoprocket verzamelt voor accountbeheer, identiteitscontroles of wettelijke vereisten. - **Klantgebruiksgegevens**: Gebruiksgegevens die Shoprocket verwerkt in verband met je gebruik van de Diensten (bijv. logs, prestatiestatistieken, gegevens voor misbruikpreventie). - **Wetgeving inzake gegevensbescherming**: Omvat de CCPA, de EU-AVG/GDPR, de Zwitserse Federale Wet op de gegevensbescherming, de UK GDPR, de DPA 2018 en de PECR 2003, telkens zoals bijgewerkt. Termen (bijv. "Verwerkingsverantwoordelijke", "Verwerker") volgen de EU-AVG/GDPR. - **EER**: Europese Economische Ruimte. - **EU-SCC's**: De modelcontractbepalingen volgens Besluit 2021/914 van de Commissie. - **Doorgifte buiten de EER**: Een doorgifte van Persoonsgegevens (onder de EU-AVG/GDPR) buiten de EER zonder adequaatheidsbesluit op grond van artikel 45 EU-AVG/GDPR. - **Doorgifte buiten het VK**: Een doorgifte van Persoonsgegevens (onder de UK GDPR) buiten het VK zonder adequaatheidsbesluit van de Britse Secretary of State. - **Dienstverlener**: Zoals gedefinieerd in de CCPA. - **Diensten**: De tools van Shoprocket voor het maken en beheren van online winkels ("Shoprocket-winkel"), het beheren van producten, betalingen, verzending, marketing en elke tool of dienst die Shoprocket kan aanbieden. - **Shoprocket-account**: Je account dat toegang geeft tot de Diensten, inclusief Accountinstellingen, op [https://www.shoprocket.io](https://www.shoprocket.io). - **Shoprocket-privacybeleid**: De mededeling op [https://shoprocket.io/privacy](https://shoprocket.io/privacy), zoals bijgewerkt. - **Shoprocket-winkel**: Je e-commercesite die door Shoprocket wordt gehost of gefaciliteerd. - **Bijzondere categorieën van gegevens**: Zoals gedefinieerd in artikel 4(13), 4(14), 4(15) en 9 van de EU/UK AVG/GDPR (naargelang van toepassing). - **Modelcontractbepalingen (SCC's)**: De EU-SCC's en UK-SCC's, naargelang relevant. - **UK-SCC's**: De EU-SCC's zoals gewijzigd door het IDTA-addendum van de Britse ICO. - **Wij/Ons/Onze**: Shoprocket LTD (inclusief "Shoprocket" en "Shoprocket.io"). - **Jij/Je/Jouw**: De contractpartij die in de Overeenkomst wordt genoemd. --- ## Instructies van de klant Dit Addendum en de Overeenkomst (inclusief instructies in je Accountinstellingen) vormen de **Gedocumenteerde instructies** voor hoe Shoprocket Persoonsgegevens verwerkt. Shoprocket verwerkt Persoonsgegevens alleen volgens instructie. Aanvullende instructies buiten deze voorwaarden vereisen voorafgaande schriftelijke overeenstemming (en kunnen extra kosten met zich meebrengen). Shoprocket mag dit Addendum en de Overeenkomst beëindigen als je instructies in strijd zijn met de Wetgeving inzake gegevensbescherming of afwijken van overeengekomen instructies. Gezien de aard van de verwerking kan Shoprocket over het algemeen niet beoordelen of je instructies in strijd zijn met de wet; als het zich toch zo'n oordeel vormt, brengt het je daarvan op de hoogte en kun je de instructies wijzigen of intrekken. --- ## Gegevensverwerking 1. **Verwerking door Shoprocket** - **Verwerker/Dienstverlener**: Behalve voor Klantaccountgegevens en Klantgebruiksgegevens verwerkt Shoprocket Persoonsgegevens (onder de EU/UK AVG/GDPR) of persoonlijke informatie (onder de CCPA) namens jou. - **Zelfstandig Verwerkingsverantwoordelijke**: Shoprocket is Verwerkingsverantwoordelijke voor Persoonsgegevens die rechtstreeks van klanten van de Winkel worden verzameld en voor Klantaccountgegevens of Klantgebruiksgegevens. 2. **Opslag** - Persoonsgegevens worden opgeslagen op: 1. AWS-servers in Ierland (of andere EER-regio's), 2. Hetzner-servers in Neurenberg/Falkenstein (Duitsland). 3. **Reikwijdte en doel** - Shoprocket verwerkt Persoonsgegevens alleen voor zover nodig voor de Zakelijke doeleinden die je opgeeft (in overeenstemming met de aangeschafte Diensten) en in overeenstemming met de Wetgeving inzake gegevensbescherming. - Als de wet vereist dat er anders wordt verwerkt, stelt Shoprocket je daarvan op de hoogte, tenzij de wet dat verbiedt. - Shoprocket volgt je schriftelijke instructies onverwijld op om Persoonsgegevens te wijzigen, over te dragen of te verwijderen, of om ongeoorloofde verwerking te stoppen. - Shoprocket houdt Persoonsgegevens vertrouwelijk, tenzij openbaarmaking is toegestaan of wettelijk vereist. - Shoprocket helpt je zonder extra kosten bij je nalevingsverplichtingen (bijv. verzoeken van betrokkenen, DPIA's). - Shoprocket stelt je op de hoogte van wettelijke wijzigingen die de Overeenkomst of dit Addendum kunnen beïnvloeden. 4. **Shoprocket als zelfstandig Verwerkingsverantwoordelijke** - Voor Klantaccountgegevens en Klantgebruiksgegevens is Shoprocket geen gezamenlijk verwerkingsverantwoordelijke, maar verwerkt het die gegevens voor het beheren van zijn relatie met jou, het voorkomen van fraude- en beveiligingsincidenten, het voldoen aan wettelijke verplichtingen enzovoort, in overeenstemming met het Shoprocket-privacybeleid. 5. **CCPA** - Behalve voor Klantaccountgegevens en Klantgebruiksgegevens is Shoprocket je Dienstverlener onder de CCPA; het zal dergelijke persoonlijke informatie niet "verkopen" en gebruikt die alleen om de Diensten uit te voeren of zoals anderszins bij wet is toegestaan. 6. **Add-ons** - Je kunt add-ons van derden ("Add-ons") integreren onder afzonderlijke EULA's met elke uitgever. Shoprocket draagt de noodzakelijke Persoonsgegevens over aan de Add-on-uitgever, maar is niet verantwoordelijk voor hun verwerking. De huidige Add-ons die Shoprocket aanbiedt zijn onder meer: - **Amazon, eBay, Facebook Marketplace, Google Shopping, Instagram Shopping**: Afhandeling en synchronisatie over meerdere kanalen. - **Affirm, Afterpay, Alipay, Apple Pay, Click to Pay, GrabPay, GooglePay, iDEAL, Klarna, Microsoft Pay, PayPal, P24, Sofort, Stripe, WeChat Pay**: Betalingsintegraties die diverse methoden/valuta's ondersteunen. - **Zapier**: Automatiseert gegevensoverdrachten/workflows tussen Shoprocket en andere applicaties. - Als Shoprocket en jij SCC's hebben, geldt je instructie om Add-ons te integreren als toestemming voor het overdragen van Persoonsgegevens aan die Add-on-uitgevers indien de SCC's dat vereisen. 7. **Jouw verantwoordelijkheden** - Jij bent de Verwerkingsverantwoordelijke voor alle Persoonsgegevens die Shoprocket namens jou verzamelt of verwerkt. - Jij bent verantwoordelijk voor het voldoen aan vereisten voor kennisgevingen/toestemming en voor naleving van de Wetgeving inzake gegevensbescherming. --- ## Soorten Persoonsgegevens en doeleinden van verwerking - **Onderwerp**: Persoonsgegevens die je uploadt naar de Diensten, inclusief je Shoprocket-account of Winkel. - **Duur**: Door jou bepaald (tot je je Shoprocket-abonnement of de relevante integraties opschort/beëindigt). - **Doel**: De Diensten leveren volgens jouw instructie (bijv. het beheren van je Shoprocket-winkel/-account). - **Aard van de verwerking**: Het e-commerceplatform van Shoprocket (en eventuele Subverwerkers/Add-on-uitgevers) kan Persoonsgegevens opslaan of verwerken. - **Soorten Persoonsgegevens**: Gegevens die je uploadt (bijv. contactgegevens, klantgegevens, transactiegegevens). - **Betrokkenen**: Jij, je klanten, werknemers, aannemers, agenten, leveranciers of verkopers. --- ## Beveiliging van gegevensverwerking Shoprocket handhaaft passende technische en organisatorische maatregelen om Persoonsgegevens te beschermen tegen ongeoorloofde of onrechtmatige verwerking, onopzettelijk verlies of vernietiging, in overeenstemming met **artikel 32** van de EU/UK AVG/GDPR. Maatregelen omvatten (waar passend): - Pseudonimisering/versleuteling van gegevens; - Waarborging van de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van systemen; - Tijdig herstel van de beschikbaarheid van gegevens na incidenten; - Regelmatig testen, beoordelen en evalueren van deze maatregelen. ### Medewerkers van Shoprocket - Shoprocket zorgt ervoor dat werknemers, aannemers en agenten die Persoonsgegevens verwerken getraind zijn, gebonden zijn aan geheimhouding en zich volledig bewust zijn van hun verplichtingen op het gebied van gegevensbescherming. ### Beveiliging (herhaald) - Shoprocket werkt technische/organisatorische waarborgen voortdurend bij om ongeoorloofde verwerking te voorkomen, waaronder versleuteling, veerkracht van systemen, herstelbaarheid en effectiviteitstests. --- ## Inbreuk op Persoonsgegevens 1. **Melding** - Shoprocket meldt je binnen **72 uur** (en zonder onnodige vertraging) als het kennisneemt van: 1. Verlies/beschadiging van Persoonsgegevens; 2. Enige onopzettelijke, ongeoorloofde of onrechtmatige verwerking; 3. Een Inbreuk op Persoonsgegevens. 2. **Informatie** - Shoprocket verstrekt een beschrijving van het incident, de getroffen gegevenscategorieën/aantallen en de genomen of voorgestelde maatregelen om de gevolgen te beperken. 3. **Samenwerking** - Shoprocket stemt het onderzoek met jou af en informeert geen derden zonder je schriftelijke toestemming, tenzij dat wettelijk vereist is. 4. **Kosten** - Shoprocket draagt de redelijke kosten voor deze verplichtingen, tenzij het incident voortvloeit uit jouw instructies, nalatigheid of schending, in welk geval jij de redelijke kosten van Shoprocket draagt (inclusief professionele adviseurs). --- ## Subverwerkers Shoprocket gebruikt momenteel de volgende **Subverwerkers** voor het hosten/verwerken van gegevens, infrastructuur-/netwerkdiensten of andere servicefuncties: | **Naam** | **Beschrijving** | **Locatie** | | --- | --- | --- | | **200OK LLC (Profitwell)** | Abonnementsrapportage/-analyse. | MA, VS | | **Amazon Web Services EMEA SARL** | Cloudhosting, rekenkracht, opslag. | Luxemburg, EU | | **Automattic, Inc. (Gravatar)** | Laat gebruikers profielafbeeldingen uploaden naar Shoprocket-accounts. | CA, VS | | **Cloudflare, Inc.** | Netwerkbeveiliging en connectiviteit. | CA, VS | | **Crisp IM SAS** | Livechat- en klantberichtenapp voor gebruikersondersteuning. | Frankrijk, EU | | **Facebook Technologies Ireland** | Facebook Pixels voor conversies, advertentieoptimalisatie, doelgroepopbouw. | Ierland, EU | | **Google Ireland Limited** | Google Analytics (gedragsanalyse), Adwords (advertentieplaatsing/monetisatie). | Ierland, EU | | **GmbH** | Cloudhosting, rekenkracht en opslag. | Duitsland, EU | | **TPS Unlimited, Inc. (Taxjar)** | Belastingautomatisering voor EU-btw & Amerikaanse omzetbelasting op Shoprocket-winkels. | CA, VS | | **Twilio, Inc. (Sendgrid)** | Berichten via meerdere kanalen (e-mail, sms, WhatsApp). | Ierland, EU | | **Twitter, Inc.** | Twitter Pixel voor conversietracking en prestatiecijfers van advertenties. | CA, VS | Je geeft Shoprocket toestemming om de bovenstaande Subverwerkers te gebruiken en een algemene machtiging om andere toe te voegen ("Goedgekeurde Subverwerkers"). Shoprocket geeft ten minste **30 dagen** van tevoren bericht (via de website, e-mail of een Accountmelding) voordat een nieuwe Subverwerker wordt gebruikt. Je kunt binnen **10 dagen** na de melding schriftelijk bezwaar maken om redelijke redenen van gegevensbescherming. Als er een essentiële Subverwerker bij betrokken is en er binnen **90 dagen** geen alternatief wordt gevonden, kun je de betreffende Diensten stopzetten of beëindigen (met betaling van eventueel verschuldigde kosten). Als je binnen 10 dagen geen bezwaar maakt, wordt de nieuwe Subverwerker geacht goedgekeurd te zijn. Wanneer Shoprocket een Subverwerker inschakelt: - Beperkt het de toegang tot wat strikt nodig is om de Diensten te leveren of te verbeteren; - Legt het hen dezelfde verplichtingen op het gebied van gegevensbescherming op; - Blijft het aansprakelijk voor hun naleving. Als SCC's van toepassing zijn, geldt je machtiging als voorafgaande schriftelijke toestemming onder Clausule 9(c) of de relevante clausules van de UK-SCC's. Shoprocket mag niet-essentiële commerciële details onleesbaar maken voordat het subverwerkingscontracten met je deelt. --- ## Doorgifte van Persoonsgegevens Shoprocket mag Persoonsgegevens buiten de EER, het VK of Zwitserland doorgeven om de Diensten te leveren (bijv. sommige Add-on-uitgevers/Subverwerkers in de VS). Waar geen adequaatheidsbesluit geldt, zorgt Shoprocket voor passende waarborgen overeenkomstig de Wetgeving inzake gegevensbescherming. - **Doorgiften buiten de EER**: Gedekt door de EU-SCC's (Module Een voor Shoprocket als Verwerkingsverantwoordelijke, Module Twee voor Shoprocket als Verwerker). Bepaalde clausules (bijv. het aansluiten bij Clausule 7) zijn niet van toepassing; geschillen vallen onder Iers recht en Ierse rechtbanken. - **Doorgiften buiten het VK**: Gedekt door het IDTA-addendum. - **Doorgiften vanuit Zwitserland**: Vergelijkbaar met de EU-SCC's, met aanpassingen voor de Zwitserse FADP. - **Aanvullende maatregelen**: - Er bestaan op de datum van dit Addendum geen formele verzoeken van overheden om toegang tot gegevens. - Als Shoprocket wordt gedwongen je gegevens openbaar te maken, stelt het je daarvan op de hoogte (tenzij verboden) en helpt het je beschermende maatregelen te zoeken. - Shoprocket en jij bespreken regelmatig of de wetten in het land van ontvangst gelijkwaardige bescherming bieden of aanvullende maatregelen vereisen. - Als een doorgiftemechanisme niet meer geldig is of een Toezichthoudende autoriteit het opschort, mag Shoprocket alternatieve regelingen treffen of doorgiften opschorten. Wanneer je een Subverwerker/Add-on buiten de EER goedkeurt, machtig je Shoprocket ook om namens jou SCC's te ondertekenen. --- ## Klachten, verzoeken van betrokkenen en rechten van derden Shoprocket geeft je onverwijld alle informatie of hulp die je nodig hebt om: 1. Te voldoen aan rechten van Betrokkenen (inzage, rectificatie, wissing, overdraagbaarheid, bezwaren enzovoort). 2. Te reageren op of te voldoen aan informatie-/beoordelingsverzoeken van toezichthouders. Shoprocket meldt je onmiddellijk als het klachten of mededelingen over de verwerking ontvangt, en binnen **14 dagen** als het een verzoek van een Betrokkene ontvangt. Shoprocket helpt bij het beantwoorden en maakt Persoonsgegevens niet openbaar aan derden, tenzij de wet of jouw instructies dat vereisen. --- ## Looptijd en beëindiging Dit Addendum blijft van kracht zolang de Overeenkomst van kracht is, of zolang Shoprocket gerelateerde Persoonsgegevens bewaart. Bepalingen die voor gegevensbescherming moeten blijven gelden, blijven van kracht. Elke wezenlijke schending van deze verwerkersovereenkomst is een wezenlijke schending van de Overeenkomst, waardoor je onmiddellijk en zonder verdere aansprakelijkheid kunt beëindigen. Als wijzigingen in de Wetgeving inzake gegevensbescherming een partij beletten haar verplichtingen na te komen, kunnen de partijen de verwerking opschorten totdat weer aan de regels wordt voldaan. Als dit niet binnen **90 dagen** is opgelost, kan elke partij met onmiddellijke ingang beëindigen door kennisgeving. --- ## Teruggave en vernietiging van gegevens - **Op verzoek** verstrekt Shoprocket jou (of een door jou schriftelijk aangewezen derde) kopieën van of toegang tot Persoonsgegevens in een door jou opgegeven formaat (waar redelijk). - **Bij beëindiging** geeft Shoprocket Persoonsgegevens terug of verwijdert deze, tenzij voortgezette opslag wettelijk vereist is. Als verwijdering onuitvoerbaar of onwettig is, blokkeert Shoprocket verdere verwerking en blijft het de gegevens beschermen. - **SCC-certificeringen**: Als SCC's van toepassing zijn, certificeert Shoprocket op je schriftelijke verzoek de verwijdering onder Clausule 8.1(d) van de EU-SCC's (of UK-SCC's). - Als een wet/regelgeving Shoprocket verplicht bepaalde gegevens te bewaren, stelt het je op de hoogte van de grondslag en de termijn en verwijdert het ze daarna wanneer ze niet langer vereist zijn. - Shoprocket certificeert de verwijdering binnen **30 dagen** nadat die is voltooid. --- ## Registers Shoprocket houdt gedetailleerde, nauwkeurige, actuele registers bij van alle verwerking van Persoonsgegevens (bijv. beveiligingsmaatregelen, subverwerkers, verwerkingsdoeleinden, eventuele internationale doorgiften). Deze registers moeten je in staat stellen de naleving door Shoprocket te verifiëren. Op verzoek worden kopieën verstrekt. --- ## Garanties Shoprocket garandeert dat: 1. Zijn werknemers, onderaannemers of agenten met toegang tot Persoonsgegevens betrouwbaar, integer en passend getraind zijn. 2. Het Persoonsgegevens verwerkt in volledige overeenstemming met de Wetgeving inzake gegevensbescherming en gerelateerde wetten. 3. Het geen reden heeft te geloven dat de wet het leveren van de overeengekomen Diensten verhindert. 4. Het, rekening houdend met technologie en kosten, passende maatregelen neemt om ongeoorloofde verwerking of onopzettelijke schade/verlies te voorkomen, met een beveiliging die evenredig is aan het risico en de gevoeligheid van de gegevens. --- ## Ondertekening en wijzigingen Door de Overeenkomst te ondertekenen, ga je akkoord met dit Addendum en ben je eraan gebonden. Shoprocket mag dit Addendum bijwerken met **30 dagen schriftelijke kennisgeving** als dat om wettelijke of regelgevende redenen nodig is. Als je bezwaar maakt en er geen gezamenlijke oplossing wordt bereikt, kun je de getroffen Diensten beëindigen door schriftelijke kennisgeving binnen die termijn (met betaling van eventueel gemaakte kosten). Uit zo'n beëindiging ontstaan geen verdere vorderingen. ## Bijlage A **Beveiligingsnormen van Shoprocket** (Termen met een hoofdletter die hier niet zijn gedefinieerd, hebben de betekenis die in het Addendum is toegekend.) Deze Bijlage schetst de technische en organisatorische maatregelen van Shoprocket om: 1. Persoonsgegevens te beveiligen tegen onopzettelijk of onrechtmatig verlies, toegang of openbaarmaking; 2. Voorzienbare beveiligingsrisico's te identificeren en ongeoorloofde toegang tot de Diensten (inclusief je Shoprocket-account) te voorkomen; 3. Beveiligingsrisico's te minimaliseren via risicobeoordeling en tests. Shoprocket wijst een of meer werknemers aan om toezicht te houden op deze praktijken voor informatiebeveiliging en gerelateerde vragen te beantwoorden. --- ## 1. Model van gedeelde verantwoordelijkheid Shoprocket is een **cloudgebaseerde SaaS**-applicatie die wordt gehost door: - **Amazon Web Services (AWS)** in de regio eu-west-1 (Ierland) - **Hetzner Online** in Falkenstein, Duitsland **AWS** draait het hoofdplatform van Shoprocket, de infrastructuur en de gegevenshosting. **Hetzner Online** biedt aanvullende dedicated serverruimte voor afbeeldingen, digitale downloads, logs en facturen. Onder dit model: - **Shoprocket** beheert de beveiliging op applicatieniveau (bijv. gebruikerstoegang, applicatiepatches). - **AWS / Hetzner** beheren de fysieke beveiliging en de onderliggende cloudomgeving. Voor meer details over de beveiliging van AWS en Hetzner verwijzen we naar hun respectieve documentatie. --- ## 2. AWS- en Hetzner Online-servers ### AWS Shoprocket heeft AWS gekozen na zorgvuldige beoordeling onder artikel 28(3)(c) en 32 van de UK GDPR. AWS is gecertificeerd onder tal van normen (bijv. SOC 1/2/3, ISO 27001/27017/27018, PCI DSS, FedRAMP, HITRUST) en biedt uitgebreide nalevingsdocumentatie. Shoprocket configureert AWS om Persoonsgegevens alleen in de EU/EER op te slaan. ### Hetzner Online Hetzner Online, gecertificeerd onder DIN ISO/IEC 27001, biedt dedicated serverruimte voor bepaalde gegevensback-ups en logs. De datacenters van Hetzner Online in Neurenberg en Falkenstein worden door derden geauditeerd en gecertificeerd en hebben een Information Security Management System (ISMS) geïmplementeerd. --- ## 3. Ontwerp, integriteit en beschikbaarheid van de Shoprocket-applicatie - **Architectuur**: De Shoprocket-applicatie is gebouwd met een JavaScript-framework en vertrouwt op Amazon's Relational Database Service (Amazon RDS) voor MySQL. - **Hoge prestaties en redundantie**: AWS regelt automatisch de load balancing en Shoprocket onderhoudt dagelijkse back-ups op Amazon S3. Back-ups worden voor veerkracht in verschillende AWS-regio's opgeslagen. Daarnaast worden back-ups opgeslagen op de dedicated servers van Hetzner Online (met RAID-1-schijfsystemen). - **Security by design**: Shoprocket controleert regelmatig op bekende webkwetsbaarheden (bijv. OWASP Top Ten) en implementeert XSS-bescherming en sanitisatie. Een gespecialiseerde externe partij test jaarlijks de code en infrastructuur op kwetsbaarheden, aangevuld met een externe dienst voor kwetsbaarheidsscans. --- ## 4. Versleuteling - **In rust**: Persoonsgegevens op AWS/Hetzner worden versleuteld met **AES-256** of hoger. - **Sleutelbeheer**: AWS Key Management Service (KMS) zorgt ervoor dat niemand (inclusief AWS-personeel) toegang heeft tot sleutels in leesbare vorm; sleutels worden jaarlijks geroteerd. Hetzner implementeert volledige schijfversleuteling met AES-256 plus verplichte authenticatie. - **Onderweg**: Alle externe gegevensoverdrachten gebruiken **TLS 1.2+**. API's en webinterfaces vereisen HTTPS (geen onversleutelde verbindingen). --- ## 5. Beperking van serverlocaties tot de EER/EU Shoprocket slaat gegevens **uitsluitend in de EER** op (AWS in Ierland, Hetzner in Duitsland), waardoor risico's van doorgiften buiten de EER worden geminimaliseerd (bijv. naleving van het Schrems II-arrest). --- ## 6. Beschikbaarheidszones De front-end-/back-endsystemen van Shoprocket zijn **redundant verspreid** over meerdere beschikbaarheidszones (zowel AWS als Hetzner). Elke zone heeft meerdere ISP's, stroombronnen en snelle verbindingen, wat zorgt voor hoge beschikbaarheid en optimale prestaties. --- ## 7. Inbraakdetectie Shoprocket gebruikt een **inbraakdetectiesysteem (IDS)** om te monitoren: - Logbestanden op ongebruikelijke vermeldingen, - Wijzigingen in bestandsintegriteit, - Netwerkverkeer (spoofing, bekende exploits, rootkits), - Poortwijzigingen en - AWS-accountgebeurtenissen (bijv. wijzigingen in de configuratie). Kritieke afwijkingen activeren automatische preventieve maatregelen. Het IDS ondersteunt ook de vereisten van PCI DSS 3.0. --- ## 8. Logging / auditspoor Shoprocket logt: - Systeemgebeurtenissen, - Fouten, - Gebruikersactiviteit, - Database-aanmeldingen/-verzoeken, - Andere beveiligingsgerelateerde gebeurtenissen. Met **AWS CloudTrail** legt Shoprocket alle gebeurtenissen in zijn cloudomgevingen vast voor transparantie en forensisch onderzoek. --- ## 9. Monitoring Shoprocket gebruikt meerdere **monitoringtools** om beschikbaarheid en prestaties te waarborgen, waarbij het volgt: - **Beschikbaarheid**: Toegankelijkheid van de applicatie, gezondheid van backend/systeem; - **Resources**: CPU, netwerkinterfaces, opslaggebruik; - **Prestaties**: Responstijden van applicatie/database; - **Beveiliging**: IDS-status, systeemupdates, fout-/toegangslogs. Het personeel van Shoprocket volgt ook beveiligingsupdates, kwetsbaarheidsmeldingen en relevante beveiligingsblogs (zoals OWASP). --- ## 10. Beveiligingsaudits en penetratietests Shoprocket voert periodiek **interne en externe beveiligingstests** uit. Externe partijen controleren op kwetsbaarheden, terwijl interne audits de effectiviteit van technische en organisatorische maatregelen beoordelen. --- ## 11. Wijzigingsbeheer Shoprocket onderhoudt versiebeheerde **repositories** voor codewijzigingen, met een stagingomgeving die de productie spiegelt. Wijzigingen worden getest vóór implementatie, zodat tijdstip en inhoud herleidbaar zijn. --- ## 12. Toegangsbeheer - **Need-to-know-principe**: Alleen werknemers van wie de rol systeemtoegang vereist, krijgen die. - **IAM-systemen**: Toegangsbeheer gebruikt het identiteitsbeheer van AWS/Hetzner. - **Beveiliging**: Backendsystemen zijn alleen bereikbaar via beveiligde, geauthenticeerde verbindingen. Een zeer beperkt aantal medewerkers heeft voor diagnostische doeleinden directe toegang tot gegevens; die toegang wordt gelogd en gemonitord. ## Bijlage B **Grensoverschrijdende doorgiften** ## DEEL 1 - doorgiften buiten de EER 1. **Bijlage I.A van de Modelcontractbepalingen (SCC's)** - **Gegevensexporteur**: Jij (volgens de Overeenkomst). - Contactgegevens: Zoals in de Overeenkomst. - Rol: Verwerkingsverantwoordelijke. - **Module Een**: Gegevensimporteur is een Verwerkingsverantwoordelijke (voor Klantaccountgegevens & Klantgebruiksgegevens). - **Module Twee**: Gegevensimporteur is een Verwerker (voor alle overige Persoonsgegevens). - Handtekening/datum: Door de Overeenkomst & verwerkersovereenkomst aan te gaan, wordt de Gegevensexporteur geacht de SCC's te hebben ondertekend vanaf de Ingangsdatum. - **Gegevensimporteur**: Shoprocket. - Contactgegevens: Zoals in de Overeenkomst. - Handtekening/datum: Door de Overeenkomst & verwerkersovereenkomst aan te gaan, wordt de Gegevensimporteur geacht de SCC's te hebben ondertekend vanaf de Ingangsdatum. 2. **Bijlage I.B van de SCC's** - Betrokkenen: Beschreven in clausule 4.6 van het Addendum. - Categorieën Persoonsgegevens: Beschreven in clausule 4.5 van het Addendum. - Geen Bijzondere categorieën van gegevens bedoeld voor doorgifte. - Frequentie: Doorlopend gedurende de looptijd van de Overeenkomst. - Aard: Zie clausule 4.4 van het Addendum. - Doel: Zie clausule 4.3 van het Addendum. - Bewaring: Looptijd van de Overeenkomst, tenzij anders vermeld. - Doorgiften aan Subverwerkers: Onderwerp, aard en duur volgens clausule 9 van het Addendum. 3. **Bijlage I.C van de SCC's** - Bevoegde toezichthoudende autoriteit: Zoals in clausule 10(e) van het Addendum. - De **Beveiligingsnormen van Shoprocket (Bijlage A)** voldoen aan de vereisten van Bijlage II van de SCC's. 4. **Conflict** - Bij strijdigheid tussen de SCC's en de verwerkersovereenkomst of Overeenkomst hebben de SCC's voorrang. --- ## DEEL 2 - doorgiften buiten het VK 1. Het **IDTA-addendum** is van toepassing op doorgiften buiten het VK, met ingang van **21 maart 2022**. 2. Termen die niet in de Overeenkomst of verwerkersovereenkomst zijn gedefinieerd, volgen de betekenis in **Deel 2 van Bijlage 2** (Verplichte clausules). ### Deel 1: Tabellen ### Tabel 1 van het IDTA-addendum 1. **Tabel 1** - **Gegevensexporteur**: Jij (volgens de Overeenkomst). - Contactgegevens: Zoals in de Overeenkomst. - Handtekening/datum: Door de Overeenkomst & het Addendum aan te gaan, wordt de Exporteur geacht het IDTA-addendum te hebben ondertekend vanaf de Ingangsdatum. - **Gegevensimporteur**: Shoprocket. - Contactgegevens: Zoals in de Overeenkomst. - Handtekening/datum: Door de Overeenkomst & verwerkersovereenkomst aan te gaan, wordt de Importeur geacht het IDTA-addendum te hebben ondertekend vanaf de Ingangsdatum. ### Tabel 2 van het IDTA-addendum 1. **Tabel 2** - **Goedgekeurde EU-SCC's**: De clausules/modules uit de Goedgekeurde EU-SCC's die voor dit Addendum gelden. - Gebruikte modules/clausules: - Module 1 en Module 2, Clausule 7 en Clausule 11 (optie) zijn niet van toepassing, Clausule 9a is Algemene machtiging met een kennisgevingstermijn van 30 dagen (clausule 9.2 van het Addendum). - Geen combinatie van Persoonsgegevens van de Importeur met gegevens van de Exporteur. ### Tabel 3 van het IDTA-addendum 1. **Bijlage I.A** - **Gegevensexporteur**: Jij (verwerkingsverantwoordelijke). - **Gegevensimporteur**: Shoprocket (verwerkingsverantwoordelijke voor Klantaccount-/gebruiksgegevens; verwerker voor overige Persoonsgegevens). - Handtekening/datum: Geacht ondertekend te zijn bij het aangaan van de Overeenkomst & verwerkersovereenkomst. 2. **Bijlage I.B** - Betrokkenen, gegevenscategorieën, afwezigheid van Bijzondere categorieën van gegevens, doorlopende doorgiften, aard/doel van de verwerking en bewaring komen overeen met clausules 4.4, 4.3, 4.5, 4.6 van het Addendum. - Informatie over Subverwerkers volgens clausule 9 van het Addendum. - Bijlage III (lijst van Subverwerkers) is niet van toepassing, omdat Shoprocket een algemene machtiging gebruikt. ### Tabel 4 van het IDTA-addendum 1. De Importeur mag dit IDTA-addendum beëindigen op grond van clausule 26 van dit IDTA-addendum. ### Deel 2: Verplichte clausules 1. Elke Partij is gebonden aan deze voorwaarden van het IDTA-addendum in ruil voor de instemming van de andere Partij, waardoor betrokkenen rechten kunnen afdwingen zoals aangegeven. 2. Het aangaan van dit IDTA-addendum staat gelijk aan het ondertekenen van de Goedgekeurde EU-SCC's (inclusief elke vereiste handtekening volgens Bijlage 1A/Clausule 7). ### Uitleg 1. Termen uit de Goedgekeurde EU-SCC's hebben hier dezelfde betekenis; aanvullende relevante termen (bijv. "Addendum-EU-SCC's", "Goedgekeurd Addendum", "UK-wetgeving inzake gegevensbescherming") worden in dit IDTA-addendum gedefinieerd. 2. Dit IDTA-addendum moet worden uitgelegd in overeenstemming met de UK-wetgeving inzake gegevensbescherming en moet voldoen aan "Passende waarborgen". 3. Elke wijziging van de Goedgekeurde EU-SCC's die daarin of in het Goedgekeurde Addendum niet is toegestaan, is nietig. Strijdige bepalingen vallen terug op de ongewijzigde SCC-voorwaarden. 4. Bij strijdigheid met de UK-wetgeving inzake gegevensbescherming gaat die laatste voor. 5. Elke onduidelijkheid wordt zo opgelost dat deze het best aansluit bij de UK-wetgeving inzake gegevensbescherming. 6. Verwijzingen naar wetgeving omvatten alle herziene of geconsolideerde versies. ### Hiërarchie 1. Clausule 5 van de Goedgekeurde EU-SCC's bepaalt dat deze voorrang hebben boven andere overeenkomsten, maar voor Beperkte doorgiften geldt de hiërarchie in Sectie 17 hieronder. 2. Bij strijdigheid of tegenstrijdigheid met de Goedgekeurde EU-SCC's gaat het Goedgekeurde Addendum voor, behalve waar de SCC's **meer bescherming** bieden aan betrokkenen, in welk geval de SCC-voorwaarden voorgaan. 3. Niets hierin heeft invloed op SCC's die de partijen gebruiken voor naleving van de EU-AVG/GDPR. ### Opname en wijzigingen van de EU-SCC's 1. Het IDTA-addendum neemt de Goedgekeurde EU-SCC's op met de noodzakelijke wijzigingen zodat ze werken voor UK-gerelateerde doorgiften, de hiërarchie van Clausule 5 terzijde stellen en ervoor zorgen dat ze worden beheerst door **Engels recht/Engelse rechtbanken** (tenzij anders gekozen voor Schotland of Noord-Ierland). 2. Als er geen specifiek alternatief is overeengekomen, geldt Sectie 22. 3. Verdere wijzigingen van de Goedgekeurde EU-SCC's zijn niet toegestaan, behalve wat nodig is volgens Sectie 19. 4. **Wijzigingen** van de Addendum-EU-SCC's omvatten verduidelijkingen over verwijzingen naar UK-wetgeving inzake gegevensbescherming, het vervangen van verwijzingen naar Verordening (EU) 2016/679 door "UK-wetgeving inzake gegevensbescherming", het verwijderen van verwijzingen naar Verordening (EU) 2018/1725, het aanpassen van Clausule 17/18 aan Engels recht/Engelse rechtbanken enzovoort. Voetnoten maken geen deel uit van de IDTA, behalve voetnoten 8, 9, 10, 11. ### Wijzigingen van deze IDTA 1. Partijen mogen Clausules 17 of 18 wijzigen om te verwijzen naar Schotse of Noord-Ierse rechtbanken. 2. Partijen mogen ook de opmaak van Tabellen aanpassen bij wederzijdse schriftelijke overeenstemming, mits hetzelfde beschermingsniveau behouden blijft. 3. De ICO kan van tijd tot tijd een herzien Goedgekeurd Addendum uitgeven, dat dit IDTA-addendum vanaf de ingangsdatum automatisch wijzigt en mogelijk een beoordeling door de partijen vereist. 4. Als de wijzigingen van de ICO de kosten of het risico van een partij aanzienlijk en onevenredig verhogen en geen vermindering van die kosten/risico's mogelijk is, mag die partij deze IDTA met redelijke opzegtermijn aan de andere partij beëindigen voordat het herziene Addendum van kracht wordt. 5. Er is geen toestemming van een derde nodig voor wijzigingen, maar wijzigingen moeten voldoen aan de voorwaarden van dit IDTA-addendum. --- - HTML version: https://v3.shoprocket.io/nl/avg - Language: Nederlands (nl) - Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Deutsch](https://v3.shoprocket.io/de/dsgvo.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Español](https://v3.shoprocket.io/es/rgpd.md), [Français](https://v3.shoprocket.io/fr/rgpd.md), [עברית](https://v3.shoprocket.io/he/gdpr.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/gdpr.md), [Italiano](https://v3.shoprocket.io/it/gdpr.md), [日本語](https://v3.shoprocket.io/ja/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Norsk](https://v3.shoprocket.io/nb/gdpr.md), [Polski](https://v3.shoprocket.io/pl/rodo.md), [Português](https://v3.shoprocket.io/pt/rgpd.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [Türkçe](https://v3.shoprocket.io/tr/gdpr.md), [中文](https://v3.shoprocket.io/zh/gdpr.md)