Partijen
Verwerkingsverantwoordelijke: De Klant (het bedrijf dat de gebruiksvoorwaarden van Klirry heeft aanvaard).
Verwerker: Per Philip Alexander Hjelmberg, een eenmanszaak (enskild firma), Drottninggatan 12, 352 29 Växjö, Zweden, Zweeds btw-nummer SE850529273301 ("Klirry"), gerund door de oprichter.
Samen "de Partijen".
Wanneer deze VWO geldt. Deze VWO wordt samen met de gebruiksvoorwaarden aanvaard en is bindend voordat enige verwerking namens de Klant plaatsvindt: zij geldt vanaf het moment dat de Klant een winkel koppelt of gegevens uploadt, ook tijdens de Proefperiode van 21 dagen en op testaccounts.
Opmerking over de reikwijdte: Deze VWO regelt uitsluitend de verwerking van Bestelgegevens door Klirry — de activiteit waarbij Klirry optreedt als verwerker op gedocumenteerde instructies van de Klant. Accountgegevens (het eigen personeel van de Klant dat bij Klirry inlogt) worden door Klirry verwerkt als zelfstandig verwerkingsverantwoordelijke, die zijn eigen doeleinden en middelen bepaalt, en worden geregeld door de gebruiksvoorwaarden en het privacybeleid, niet door deze VWO — zie de paragraaf "Onze twee rollen" van het privacybeleid. Waar de operationele paragrafen van deze VWO (bijv. paragraaf 7, verwijdering) een proces beschrijven dat Bestelgegevens en Accountgegevens samen verwijdert, beschrijft dat alleen het technische mechanisme; het breidt de verwerkersverplichtingen van artikel 28 niet uit tot Accountgegevens.
Definities
| Term | Betekenis |
|---|---|
| AVG | Verordening (EU) 2016/679 van het Europees Parlement en de Raad |
| Persoonsgegevens | Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (AVG art. 4 lid 1) |
| Verwerking | Elke bewerking met betrekking tot Persoonsgegevens (AVG art. 4 lid 2) |
| Verwerkingsverantwoordelijke | De Klant — de entiteit die de doeleinden en middelen van de Verwerking bepaalt |
| Verwerker | Klirry — verwerkt Persoonsgegevens namens de Verwerkingsverantwoordelijke |
| Subverwerker | Elke derde die Klirry inschakelt om Persoonsgegevens van de Verwerkingsverantwoordelijke te Verwerken |
| Betrokkene | De natuurlijke persoon wiens Persoonsgegevens worden Verwerkt |
| Bestelgegevens | De gegevens op bestelniveau, betaal- en verzendkostengegevens en advertentiegegevens die voor de Klant worden geïmporteerd of geüpload, zoals opgesomd in bijlage 1. Geen naam, e-mail, adres of telefoonnummer van eindconsumenten wordt geïmporteerd, maar de externe bestel-ID en de overige bestelvelden zijn gepseudonimiseerde persoonsgegevens die de Klant in zijn eigen systemen weer aan een persoon kan koppelen. |
| Diensten | De software-as-a-service van Klirry voor winstgevendheid en beslissingen, beschreven in de gebruiksvoorwaarden, paragraaf 3. |
Opbouw van het document
Deze VWO bestaat uit de hoofdtekst en vier bijlagen:
- Bijlage 1 — Betrokkenen en categorieën Persoonsgegevens
- Bijlage 2 — Technische en organisatorische maatregelen (TOM)
- Bijlage 3 — Subverwerkers (gegenereerd uit het leveranciersregister)
- Bijlage 4 — Gekoppelde platforms: de eigen platforms van de Klant waaruit Klirry op instructie van de Klant leest of waarnaar het verzendt (gegenereerd uit hetzelfde register; geen subverwerkers)
1. Onderwerp, duur, aard en doel
1.1 Onderwerp
Klirry verwerkt Persoonsgegevens namens de Verwerkingsverantwoordelijke om de Diensten te leveren: de werkelijke winst van het e-commercebedrijf van de Verwerkingsverantwoordelijke berekenen door bestelgegevens, gegevens over betaalkosten en verzendkosten, advertentie-uitgaven, btw-tarieven en de kosteninstellingen van de Verwerkingsverantwoordelijke te combineren, en die omzetten in beslissingen over adverteren, producten, landen en markten, betaalmethoden en verzending. Gegevens uit Google Analytics 4 zijn, wanneer gekoppeld, uitsluitend een indicatief signaal en worden nooit in het winstcijfer opgenomen.
1.2 Aard van de verwerking
- Verzameling: Bestelgegevens en advertentie-uitgavengegevens worden verzameld via de integraties van de Verwerkingsverantwoordelijke met zijn e-commerceplatform en advertentieaccounts (alleen-lezen opvragingen; zie gebruiksvoorwaarden §3 voor de enige objecten die Klirry op een platform aanmaakt) en uit bestanden die de Verwerkingsverantwoordelijke uploadt (bijvoorbeeld afrekenbestanden van betaaldienstverleners en vrachtfacturen).
- Opslag: Gegevens worden in de EU opgeslagen op de infrastructuur van Klirry (zie bijlage 2).
- Aggregatie: Bestelgegevens worden geaggregeerd per datum, land, product, betaalmethode, verzendmethode en campagne om winst en beslissingen te berekenen.
- Geen verwerking voor eigen doeleinden: Klirry gebruikt Bestelgegevens niet voor eigen marketing, wederverkoop, benchmarking of analyse en gebruikt ze niet om AI-modellen te trainen.
1.3 Doel van de verwerking
Het enige doel van de Verwerking onder deze VWO is het leveren van de Diensten zoals beschreven in de gebruiksvoorwaarden, §3 ("Wat de dienst doet").
1.4 Duur
De Verwerking begint wanneer de Klant een gegevensbron koppelt of gegevens uploadt en duurt voort totdat de overeenkomst is geëindigd en de ophaalperiode van paragraaf 7 is verstreken.
2. Verplichtingen van de verwerker
2.1 Gedocumenteerde instructies
Klirry verwerkt Persoonsgegevens uitsluitend op gedocumenteerde instructies van de Verwerkingsverantwoordelijke. De Diensten zoals door de Klant geconfigureerd vormen de volledige set instructies. Als Klirry van mening is dat een instructie in strijd is met de gegevensbeschermingswetgeving, informeert Klirry de Verwerkingsverantwoordelijke onverwijld.
2.2 Vertrouwelijkheid en toegang voor ondersteuning
Klirry zorgt ervoor dat alle personen die gemachtigd zijn Persoonsgegevens te verwerken, gebonden zijn aan een geheimhoudingsplicht. Toegang tot Persoonsgegevens in productie is beperkt tot de oprichter en personen met een gedocumenteerde operationele behoefte (minimale rechten). Voor ondersteuning kan de oprichter een account openen als de Klant (impersonatie); elke start en stop wordt in het auditlogboek vastgelegd met de handelende oprichter en het account, en de geïmpersoneerde sessie wordt als zodanig in de applicatie getoond. Impersonatie wordt alleen gebruikt om een ondersteuningsverzoek te beantwoorden of een storing te onderzoeken.
2.3 Geen verwerking voor eigen doeleinden
Klirry verwerkt Bestelgegevens niet voor enig ander doel dan het uitvoeren van de Diensten.
2.4 Internationale doorgiften
Klirry geeft Persoonsgegevens van de Verwerkingsverantwoordelijke niet door aan een land buiten de EU/EER of aan een internationale organisatie, behalve op gedocumenteerde instructies van de Verwerkingsverantwoordelijke of wanneer het recht van de Unie of van een lidstaat dat vereist (in welk geval Klirry de Verwerkingsverantwoordelijke vooraf informeert, tenzij de wet dit verbiedt). Een toegestane doorgifte vindt alleen plaats onder een mechanisme dat geldig is volgens hoofdstuk V van de AVG (een adequaatheidsbesluit of modelcontractbepalingen met aanvullende maatregelen waar nodig). Bestelgegevens worden in de EU gehost; bijlage 3 vermeldt de regio van elke subverwerker, inclusief elke doorgifte buiten de EU/EER.
2.5 Beveiliging en bijstand (artikelen 32–36)
Klirry voert de maatregelen in bijlage 2 uit (artikel 32) en staat de Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de beschikbare informatie, bij in het waarborgen van de naleving van de artikelen 32 tot en met 36: melding van datalekken (paragraaf 5), gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging, door op schriftelijk verzoek binnen 30 kalenderdagen de informatie over de in deze VWO beschreven verwerking te verstrekken.
3. Toestemming voor subverwerkers
3.1 Algemene toestemming
De Verwerkingsverantwoordelijke verleent Klirry algemene schriftelijke toestemming om Subverwerkers in te schakelen voor het leveren van de Diensten, onder voorbehoud van deze paragraaf.
3.2 Huidige Subverwerkers
De Subverwerkers staan vermeld in bijlage 3, gegenereerd uit hetzelfde register als de openbare pagina /legal/subprocessors, zodat beide niet kunnen afwijken. Bijlage 3 maakt deel uit van deze VWO. Een leverancier die als "Nog niet ingeschakeld" is aangemerkt, wordt pas toegevoegd na de kennisgeving in paragraaf 3.3. Hulpmiddelen die Klirry als verwerkingsverantwoordelijke voor eigen doeleinden gebruikt (facturering, nieuwsbrief, websiteanalyse) zijn geen Subverwerkers van de gegevens van de Verwerkingsverantwoordelijke; zij staan alleen ter wille van de transparantie op de openbare pagina.
3.2a Doorgifte van verplichtingen en verantwoordelijkheid
Klirry legt elke Subverwerker bij schriftelijke overeenkomst gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan die in deze VWO (artikel 28 lid 4) en blijft jegens de Verwerkingsverantwoordelijke volledig aansprakelijk voor de nakoming van de verplichtingen van zijn Subverwerkers.
3.3 Wijzigingen van Subverwerkers
Klirry informeert de Verwerkingsverantwoordelijke over elke voorgenomen toevoeging of vervanging van een Subverwerker ten minste 30 dagen van tevoren per e-mail aan het account-e-mailadres van de Verwerkingsverantwoordelijke.
3.4 Bezwaarrecht
De Verwerkingsverantwoordelijke kan bezwaar maken tegen een wijziging door schriftelijke kennisgeving aan privacy@klirry.com binnen 14 dagen na de kennisgeving. Kunnen de Partijen het bezwaar niet binnen 30 dagen oplossen, dan kan de Verwerkingsverantwoordelijke de Diensten beëindigen met naar evenredigheid terugbetaling van vooruitbetaalde vergoedingen voor de ongebruikte periode.
4. Bijstand bij rechten van betrokkenen
4.1 Omvang van de bijstand
Klirry staat de Verwerkingsverantwoordelijke bij in het beantwoorden van verzoeken op grond van AVG art. 15–22 door:
- een gegevensexport te leveren van alle Bestelgegevens en Accountgegevens die voor de tenant van de Klant worden bewaard, in JSON of CSV, via de self-serviceexport (Instellingen → Je gegevens exporteren; formaat gedocumenteerd op
/legal/export-format); - definitieve verwijdering te leveren volgens paragraaf 7;
- schriftelijke verzoeken om technische bijstand te beantwoorden binnen 30 kalenderdagen.
4.2 Beperking bij verzoeken van eindconsumenten
Klirry slaat geen namen, e-mailadressen, telefoonnummers of adressen van eindconsumenten op, dus een eindconsument die rechtstreeks contact opneemt met Klirry kan niet aan een record worden gekoppeld. Zulke verzoeken worden afgehandeld door de Verwerkingsverantwoordelijke, die de bestelling in zijn eigen winkel kan identificeren en Klirry de bestelidentificatie kan geven zodat Klirry kan bijstaan. Bestelrecords blijven gepseudonimiseerde persoonsgegevens die de Verwerkingsverantwoordelijke weer kan koppelen (bijlage 1, A1.2); deze paragraaf beperkt hoe een verzoek Klirry kan bereiken, niet wat de gegevens zijn.
5. Melding van datalekken
5.1 Verplichtingen van Klirry
Bij een inbreuk op de beveiliging van Persoonsgegevens die gegevens van de Verwerkingsverantwoordelijke raakt, zal Klirry:
1. de Verwerkingsverantwoordelijke onverwijld en uiterlijk binnen 24 uur nadat Klirry er kennis van heeft genomen op de hoogte stellen. De kennisgeving mag in fasen: een eerste melding met wat bekend is, gevolgd door de rest naarmate het bekend wordt; 2. de informatie verstrekken die AVG art. 33 lid 3 vereist: de aard van de inbreuk en het geschatte aantal Betrokkenen en records, een contactpunt, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen; 3. met de Verwerkingsverantwoordelijke samenwerken zodat deze zijn eigen verplichtingen jegens toezichthouders en Betrokkenen kan nakomen; 4. derden niet namens de Verwerkingsverantwoordelijke over de inbreuk informeren, behalve wanneer de wet dit vereist.
5.2 Interne procedure
Klirry hanteert een incidentprocedure en een incidentenregister dat de kortste geldende termijn bewaakt: 24 uur (Verwerkingsverantwoordelijke, Shopify), 48 uur (Stripe), 72 uur (toezichthouder, IMY, waar Klirry zelf verwerkingsverantwoordelijke is).
6. Technische en organisatorische maatregelen (bijlage 2)
De maatregelen staan in bijlage 2. Klirry mag ze bijwerken, mits het beveiligingsniveau niet wordt verlaagd.
7. Verwijdering en teruggave bij beëindiging
7.1 Ophaalperiode
Nadat de overeenkomst is geëindigd (opzegging door de Verwerkingsverantwoordelijke, een proefperiode die nooit wordt betaald, of een pauze wegens niet-betaling) heeft de Verwerkingsverantwoordelijke een ophaalperiode waarin alle Bestelgegevens en Accountgegevens in JSON of CSV kunnen worden gedownload: ten minste 30 kalenderdagen na opzegging; 30 kalenderdagen vanaf het einde van de Proefperiode voor een proefaccount dat nooit een betalend account wordt (verwijdering op dag 51 nadat het account werd geopend); 60 kalenderdagen vanaf de pauze voor een account dat wegens niet-betaling is gepauzeerd. Voor een Shopify-winkel worden de gegevens verwijderd binnen 30 dagen na het verwijderverzoek (redact) dat Shopify na de-installatie verstuurt.
7.2 Wat wordt verwijderd en wat wordt bewaard
Na de ophaalperiode verwijdert Klirry permanent alle Persoonsgegevens die betrekking hebben op de tenant van de Klant: Bestelgegevens (bestellingen, bestelregels, toerekeningsresultaten, beslissingen), advertentie-uitgavengegevens, gegevens over betaalkosten en verzendkosten, kostenconfiguratie, koppelingen en hun inloggegevens, gebruikers, sessies en tokens, en de operationele gegevens die voortkomen uit het gebruik van het product door de Klant (feedback, meldingsvoorkeuren, status van de kostenbeoordeling, classificatiegeschiedenis, beslissingsbewijzen, to-do-items, het afleverlogboek van transactionele e-mails). De verwijdering wordt in gebundelde transacties uitgevoerd door de geautomatiseerde verwijderpijplijn.
De enige gegevens die worden bewaard, staan hieronder uitputtend vermeld, elk met bewaartermijn en rechtsgrond. Dit is de ene bewaartabel die wordt gebruikt in het privacybeleid, deze VWO, het register van verwerkingsactiviteiten, het gegevensoverzicht en de pagina over gegevensverwijdering. Bestelgegevens staan nooit in deze tabel: ze worden verwijderd.
| Gegevens | Bewaring | Rechtsgrond |
|---|---|---|
| Klantgegevens zolang het account bestaat (bestellingen, bestelregels, advertentie-uitgaven, kosten, koppelingen, gebruikers, instellingen, rapporten) | Zolang het account bestaat | Overeenkomst; voor Bestelgegevens de instructie van de Klant als verwerkingsverantwoordelijke (AVG art. 28) |
| Klantgegevens na opzegging, na een proefperiode die nooit wordt betaald, of na een pauze wegens niet-betaling | Ophaalperiode met volledige JSON/CSV-export, daarna definitieve verwijdering per e-mail bevestigd: na opzegging ten minste 30 dagen; na een proefperiode die nooit wordt betaald 30 dagen vanaf het einde van de proefperiode (dag 51 nadat het account werd geopend); na een pauze wegens niet-betaling 60 dagen vanaf de pauze (dag 7 na de eerste mislukte betaling) | EU-dataverordening art. 25 lid 2; AVG art. 28 lid 3 sub g |
| Shopify-winkelgegevens nadat de app is verwijderd (shop/redact) | Verwijderd binnen 30 dagen na het verwijderverzoek | Shopify API Terms 6.2.3 |
| Eigen facturen, creditnota's en boekhoudkundige gegevens, inclusief het VIES-resultaat en het locatiebewijs achter elke factuur | 7 jaar na afloop van het boekjaar | Bokföringslagen (1999:1078) 7 hoofdstuk 2 §; AVG art. 6 lid 1 sub c en art. 17 lid 3 sub b |
| Btw-gegevens voor het One-Stop Shop-systeem (OSS) | 10 jaar na afloop van het transactiejaar | Mervärdesskattelagen (2023:200); AVG art. 6 lid 1 sub c |
| Bewijs van aanvaarding: versie van de voorwaarden, tijdstip, account, aanvaardende gebruiker, wijze van aanvaarding | 10 jaar vanaf de aanvaarding (de algemene verjaringstermijn), gepseudonimiseerd zodra het account is verwijderd | AVG art. 6 lid 1 sub f en art. 5 lid 2: bewijs van de overeenkomst in een rechtsvordering |
| Auditlogboek van beveiligingsrelevante handelingen | Zolang het account bestaat; na verwijdering 6 maanden, gepseudonimiseerd, daarna verwijderd | AVG art. 6 lid 1 sub f: beveiliging, fraudepreventie, rechtsvorderingen |
| Sleutelgebonden HMAC-kenmerk om misbruik van proefperioden op te sporen (zonder de sleutel niet terug te herleiden; gepseudonimiseerd, niet anoniem). Het blokkeert een tweede proefperiode alleen wanneer de eerdere proefperiode nooit is betaald | 12 maanden vanaf de start van de eerste proefperiode | AVG art. 6 lid 1 sub f: herhaalde gratis proefperioden voorkomen |
| Ondersteuningscorrespondentie (e-mails tussen een klant en Klirry-ondersteuning) | 12 maanden na het laatste bericht in het gesprek | AVG art. 6 lid 1 sub f: vervolgvragen beantwoorden en een vordering verdedigen; daarna verwijderd |
| E-mailblokkeerlijst (een adres dat is gebounced, heeft geklaagd of zich heeft afgemeld; alleen het adres, zonder koppeling aan een account) | Geen vaste einddatum: bewaard zodat het adres nooit meer wordt gemaild, totdat de eigenaar om verwijdering vraagt | AVG art. 6 lid 1 sub f; ePrivacy en Marknadsföringslagen (2008:486) 19 § |
| Verwijderbevestigingen (datum en rijaantallen, met een hash in plaats van het account) | 3 jaar | AVG art. 5 lid 2 en art. 17: bewijs dat verwijdering heeft plaatsgevonden |
| Verwijderverzoeken van Meta (willekeurige bevestigingscode, een sleutelgebonden hash van het Meta-gebruikers-id, status en data; geen naam of e-mail) | 3 jaar | AVG art. 5 lid 2 en 17: bewijs dat de door Meta doorgestuurde verwijdering heeft plaatsgevonden |
| Transactionele mails in de taakwachtrij (ontvangeradres en de waarden die in het bericht worden ingevuld) | Een verzonden mail: 1 uur, en de waarden worden gewist op het moment van verzenden. Een mail die definitief mislukte: de waarden worden gewist bij de laatste poging en de taak wordt hoogstens 7 dagen bewaard | AVG art. 6 lid 1 b en f: het bericht bezorgen en een mislukte bezorging onderzoeken |
| Sleutelgebonden HMAC van een trackingnummer van een vervoerder op een bestelling | 180 dagen na de besteldatum | Verwerker: instructie van de Klant (koppeling van vervoerdersfacturen) |
| Nieuwsbriefabonnementen | Tot afmelding; een afgemeld adres blijft op de blokkeerlijst; een onbevestigd abonnement wordt na 30 dagen verwijderd | AVG art. 6 lid 1 sub a toestemming; Marknadsföringslagen 19 § |
| Websiteanalyse (alleen na toestemming van de bezoeker) | 13 maanden | AVG art. 6 lid 1 sub a toestemming; ePrivacy |
| Foutrapporten (Sentry) | Hoogstens 30 dagen | AVG art. 6 lid 1 sub f: de dienst draaiende houden |
| Versleutelde databaseback-ups | Dumps vóór een release: 14 dagen. Een nachtelijke kopie buiten de server is nog niet in gebruik en zou hoogstens 30 dagen worden bewaard. Verwijderde gegevens verdwijnen binnen die tijd uit de back-ups | AVG art. 32: beschikbaarheid en herstel |
| Het record van een verwijderverzoek (status en het adres waarnaar de bevestiging ging) | 7 dagen nadat de verwijdering per e-mail is bevestigd; het blijvende bewijs is het verwijderingscertificaat (3 jaar, geen persoonsgegevens) | AVG art. 6 lid 1 f: de klant laten zien dat de verwijdering heeft plaatsgevonden |
| Tokens voor wachtwoordherstel, e-mailverificatie en uitnodiging (gehasht; een uitnodiging bevat ook het e-mailadres van de uitgenodigde), en de inloglinks en sessies van affiliatepartners (gehasht) | 7 dagen nadat het token is verlopen of gebruikt | AVG art. 6 lid 1 f: veilig inloggen en vragen over verlopen links beantwoorden |
| Logboek van gebeurtenissen die Stripe heeft gestuurd (gebeurtenis-id, type, een payload zonder persoonsgegevens), om dubbele te negeren | 90 dagen na ontvangst | AVG art. 6 lid 1 f: elke factureringsgebeurtenis één keer verwerken en fouten onderzoeken |
| Een klik op een partnerlink waarop geen aanmelding volgde (alleen partner en tijdstip; geen bezoekersidentificatie) | 120 dagen na de klik. Een klik die tot een aanmelding leidde, wordt een anoniem aantal voor de partner zodra het account is verwijderd | AVG art. 6 lid 1 f en art. 5 lid 1 e: een partner crediteren binnen het attributievenster van 90 dagen |
| Contactgegevens van een affiliatepartner (naam of label, contactadres, uitbetalingswijze) | Zolang de partnerovereenkomst loopt; gewist 12 maanden nadat de partner is geschorst of, als nooit geactiveerd, na de laatste wijziging. Uitbetalingsbescheiden volgen de rij voor facturen | AVG art. 6 lid 1 b de partnerovereenkomst; art. 6 lid 1 f de daaropvolgende fraudecontroleperiode |
| Achtergrondtaken die definitief mislukten (tenant- en koppelings-id en de fouttekst), bewaard voor onderzoek | 30 dagen na de mislukking (mailtaken: hoogstens 7 dagen, zie de rij voor de mailwachtrij) | AVG art. 6 lid 1 f: een mislukte taak onderzoeken en opnieuw uitvoeren |
| IP-adres in een snelheidslimietsleutel (Redis), om misbruik van inloggen en de API af te remmen | 2 minuten na het laatste verzoek; tellers voor pogingen met de tweede factor 30 minuten | AVG art. 6 lid 1 f: accounts beschermen tegen raden |
| Applicatie- en proxylogs op de server (pad, status, tijd; geheimen en persoonsgegevens worden vóór het loggen verwijderd) | Roteren op grootte, niet op tijd: hoogstens 250 MB per container en 1 GB hostjournaal; oudere regels worden overschreven. Foutdetails daarbuiten staan in de foutmonitoring (30 dagen) | AVG art. 6 lid 1 f en art. 32: de dienst laten draaien en beveiligen |
7.3 Verwijderbevestiging
Klirry stuurt binnen 5 werkdagen na de verwijdering een verwijderbevestiging naar het account-e-mailadres van de Verwerkingsverantwoordelijke, met de datum en de betrokken tabellen (aantallen, niet de inhoud).
7.4 Afgebroken beëindiging
Als de Verwerkingsverantwoordelijke zijn abonnement binnen de ophaalperiode heractiveert, wordt de verwijdering geannuleerd en is niets verwijderd.
8. Auditrechten
8.1 Informatie
Klirry stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van AVG art. 28 aan te tonen, inclusief deze VWO en de bijlagen, de relevante delen van zijn beveiligingsdocumentatie en, wanneer beschikbaar, samenvattingen van audits of penetratietests door derden.
8.2 Audits en inspecties
De Verwerkingsverantwoordelijke (of een door hem onder geheimhouding aangewezen auditor) mag de naleving van deze VWO door Klirry auditen. Audits vinden eerst plaats aan de hand van documentatie en beveiligingsrapporten; waar dat niet volstaat, door een inspectie met redelijke aankondiging (normaal 30 dagen), tijdens kantooruren, eenmaal per jaar tenzij er een inbreuk is of een toezichthouder meer eist, zonder de dienst onredelijk te verstoren en zonder toegang tot gegevens van andere klanten. De toestemming van Klirry is niet vereist voor een audit waartoe de AVG de Verwerkingsverantwoordelijke gerechtigt; deze praktische regels regelen alleen hoe zij wordt uitgevoerd. Platformexploitanten (bijvoorbeeld Shopify) mogen Klirry ook beoordelen zoals hun voorwaarden vereisen.
8.3 Aansprakelijkheid
De aansprakelijkheid van Klirry onder deze VWO volgt de beperking in de gebruiksvoorwaarden, §13 ("Aansprakelijkheid") — het hoogste van de vergoedingen die in de 12 maanden vóór de vordering zijn betaald en 10.000 SEK, met dezelfde uitzonderingen voor opzet, grove nalatigheid en aansprakelijkheid die wettelijk niet kan worden beperkt — tenzij dwingend recht anders vereist.
9. Toepasselijk recht en bevoegde rechter
Op deze VWO is Zweeds recht van toepassing, net als op de gebruiksvoorwaarden (§20). Geschillen worden beslecht door dezelfde rechter als onder de gebruiksvoorwaarden: Växjö tingsrätt (rechtbank Växjö) als rechter in eerste aanleg.
10. Platformspecifieke bepalingen
Google Ads (Google Ads API Terms §7(B)). Waar de Verwerkingsverantwoordelijke een Google Ads-account koppelt, is deze VWO de schriftelijke overeenkomst met de klant van het Google Ads-programma die §7(B)(i) vereist: zij beschrijft de verwerking, en Klirry bevestigt dat het persoonsgegevens verwerkt in lijn met de eigen verplichtingen van de Verwerkingsverantwoordelijke onder de toepasselijke gegevensbeschermingsvoorwaarden van Google (§7(B)(ii)) — uitsluitend om de Diensten te leveren, zonder verder gebruik, verkoop of gebruik voor benchmarks of AI-training.
Shopify, Meta en andere. Platformgegevens worden alleen gebruikt voor de Verwerkingsverantwoordelijke die ze heeft gekoppeld, worden gescheiden gehouden van de gegevens van alle andere klanten en worden niet over klanten heen gebruikt.
Totstandkoming
Deze VWO maakt deel uit van de gebruiksvoorwaarden en komt tot stand wanneer de Klant die aanvaardt (inclusief aanvaarding tijdens registratie of bij installatie vanuit Shopify); een afzonderlijke handtekening is niet vereist. Een Klant die een ondertekend exemplaar nodig heeft, kan er een aanvragen via privacy@klirry.com.
Bijlage 1 — Betrokkenen en categorieën Persoonsgegevens
A1.1 Categorieën Betrokkenen
| Categorie | Beschrijving | Opmerkingen |
|---|---|---|
| Accountgebruikers | Het personeel van de Klant dat het Klirry-dashboard gebruikt | Alleen zakelijke e-mail (geen naamveld). Gebied van de verwerkingsverantwoordelijke; ter informatie getoond (A1.4). |
| Eindconsumenten | De winkelklanten van de Klant wier bestellingen worden geïmporteerd | Geen directe contactgegevens (naam, e-mail, telefoon, adres) worden geïmporteerd. Bestelrecords blijven gepseudonimiseerde persoonsgegevens die de Verwerkingsverantwoordelijke weer kan koppelen. Zie A1.2. |
A1.2 Categorieën Persoonsgegevens — Bestelgegevens
| Veld | Categorie | Doel | Opmerkingen |
|---|---|---|---|
| Externe bestel-ID | Gepseudonimiseerde identificatie | Ontdubbeling en bijwerken | Gepseudonimiseerde persoonsgegevens: de Verwerkingsverantwoordelijke kan haar in zijn winkel opzoeken om een met naam bekende persoon te bereiken |
| Bestelnummer | Gepseudonimiseerde identificatie | Verwijzing in het dashboard en de export | Zoals hierboven |
| Besteldatum en -tijd | Temporeel | Aggregatie per periode | ISO 8601 |
| Bestemmingsland | Geografisch (landniveau) | Btw-opzoeking | Alleen land — niets onder landniveau |
| Valuta, besteltotaal, btw-bedrag, in rekening gebrachte verzending, korting | Financieel | Winstberekening | Gehele getallen in kleinste eenheid |
| Naam van de betaalmethode | Operationeel | Toerekening van betaalkosten | Bijvoorbeeld "klarna", "card" — geen kaartnummers |
| Naam van de verzendmethode; vlag voor gevolgde verzending | Operationeel | Toerekening van verzendkosten | Naam in vrije tekst gaat door een filter voor persoonsgegevens |
| Financiële status, leverstatus, terugbetaald bedrag | Operationeel / Financieel | Nettoomzet, afhandeling van terugbetalingen | |
| Bestelregels: SKU, titel, aantal, stuksprijs | Operationeel | Toerekening van inkoopkosten | Titel in vrije tekst gaat door een filter voor persoonsgegevens |
Campagneparameters uit het adres van de landingspagina: utm_source, utm_medium, utm_campaign, utm_content | Marketing | Toerekening van advertenties | Vrije tekst |
fbclid_present, gclid_present | Marketing | Toerekening van advertenties | Booleaanse waarden aanwezig/afwezig; de klik-ID zelf wordt nooit opgeslagen |
tracking_hmac | Gepseudonimiseerde identificatie | Facturen van vervoerders aan bestellingen koppelen | Een sleutelgebonden HMAC per klant van het trackingnummer van de vervoerder; het nummer zelf wordt niet opgeslagen; gewist 180 dagen na de besteldatum |
| Afrekengegevens van betaalproviders (Stripe, Klarna, PayPal) | Financieel | Werkelijke betaalkosten per bestelling | Provider, afschrijvingsreferentie, kostenbedrag, valuta, tijdstip van vastlegging; uit de API van de provider of een geüpload bestand (bijvoorbeeld Klarna-afrekening) |
| Vrachtfactuurregels (PostNord, DHL, GLS) | Financieel | Werkelijke verzendkosten per bestelling | Vervoerder, factuurreferentie, kosten, valuta, gekoppeld via tracking_hmac; geüpload door de Verwerkingsverantwoordelijke |
| Advertentiegegevens (Meta, Google Ads; TikTok wanneer beschikbaar) | Marketing | Advertentie-uitgaven en prestaties | Identificaties en namen van campagne, advertentieset en advertentie, uitgaven, klikken, vertoningen per dag; geen gegevens over de mensen die de advertenties zien |
| Samenvattingsgegevens uit Google Analytics 4 (wanneer gekoppeld) | Marketing | Alleen indicatief signaal | Geaggregeerde sessies en conversies; nooit in het winstcijfer opgenomen |
| Door de Verwerkingsverantwoordelijke ingevoerde kosteninstellingen | Operationeel | Winstberekening | Geen persoonsgegevens van eindconsumenten |
A1.3 Uitdrukkelijke negatieve lijst — gegevens die NIET worden verzameld
Uitgesloten op het niveau van de opvraging door de adapter (niet opgehaald, niet gekoppeld, niet na het ophalen verwijderd):
- Naam, e-mail, telefoon, adres van de klant (straat, postcode, plaats)
- IP-adres, user agent, browsergegevens van eindconsumenten
- Ruwe trackingnummers van vervoerders en ruwe klik-ID's
- Geografische gegevens onder landniveau
- Zweedse persoonlijke identiteitsnummers of gelijkwaardige nummers
- Betaalkaartnummers of bankgegevens
- Namen van medewerkers of verkopers bij terugbetalingen
- Aangepaste attributen, bestelnotities en andere klantgerichte vrije-tekstvelden (behalve de
titlevan het product, die door het filter voor persoonsgegevens gaat)
Deze uitsluitingen worden afgedwongen in de code van Klirry voor gegevensopname, niet alleen door beleid.
A1.4 Accountgegevens (gebied van de verwerkingsverantwoordelijke, ter informatie)
| Veld | Opmerkingen |
|---|---|
| Zakelijk e-mailadres | Inlogidentificatie |
| Wachtwoord (argon2id-hash) | Alleen hash |
| Rol (eigenaar / lid) | Toegangsbeheer |
| TOTP-geheim (versleuteld met AES-256-GCM) | Als tweefactorauthenticatie aan staat |
| Regels in het auditlogboek | Handeling, handelende gebruiker, tijd, opgeschoonde metadata |
Accountgegevens worden door Klirry verwerkt als verwerkingsverantwoordelijke en vallen buiten de reikwijdte van artikel 28 van deze VWO.
Bijlage 2 — Technische en organisatorische maatregelen (TOM)
De volgende beheersmaatregelen zijn per de datum van deze VWO geïmplementeerd.
| # | Maatregel | Implementatie |
|---|---|---|
| 1 | Versleuteling in rust — inloggegevens | AES-256-GCM met willekeurige 12-byte IV; sleutels apart van de gegevens opgeslagen |
| 2 | Tenantisolatie — Row Level Security | PostgreSQL RLS op alle tenanttabellen; ontbrekende context → nul rijen; een RLS-testsuite draait vóór elke release |
| 3 | Authenticatie | argon2id-wachtwoordhashing; blokkade van veelgebruikte wachtwoorden; optionele TOTP |
| 4 | Rate limiting | Sliding-window-rate-limits in Redis op alle authenticatie-eindpunten |
| 5 | Opname zonder persoonsgegevens | Adapters halen nooit namen, e-mailadressen, adressen of telefoonnummers van klanten op; een filter voor persoonsgegevens is een tweede verdedigingslinie |
| 6 | Logging zonder persoonsgegevens | Centrale logger verwijdert e-mail- en tokenpatronen vóór de uitvoer |
| 7 | Gegevensopslag in de EU | Productiedatabase en applicatie draaien op Hetzner-infrastructuur in Duitsland. Foutbewaking gebruikt een EU-gegevenslocatie van een Amerikaanse aanbieder (bijlage 3, met modelcontractbepalingen); e-mailaflevering gebruikt een EU-aanbieder |
| 8 | Back-ups | Versleutelde (age) databasedumps worden vóór elke release gemaakt en op herstelbaarheid gecontroleerd en na 14 dagen opgeschoond. Een geplande nachtelijke kopie buiten de server naar een Hetzner Storage Box (hoogstens 30 dagen) is voorbereid maar nog niet in gebruik; deze rij wordt bijgewerkt wanneer dat zo is |
| 9 | Toegangslogboek | Elke authenticatie-, beheer- en kostenschrijfhandeling wordt vastgelegd in een append-only auditlogboek; ondersteuningsimpersonatie wordt gelogd |
| 10 | Scannen op geheimen | gitleaks pre-commit-hook en in de testrun vóór de release; eigen regels voor platformsleutels |
| 11 | Scannen op kwetsbaarheden in afhankelijkheden | pnpm audit --audit-level=high in de testrun vóór de release |
| 12 | Beveiligingsheaders | CSP, HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy |
| 13 | CSRF-bescherming | Sec-Fetch-Site-/Origin-controle op alle muterende eindpunten |
| 14 | Invoervalidatie | Zod-schemavalidatie op alle API-invoer; limiet op de omvang van de body |
| 15 | Uitdienstprocedure | Controlelijst voor het intrekken van toegang wanneer iemand vertrekt |
| 16 | Incidentrespons | Schriftelijke procedure met de termijnen van 24/48/72 uur en een incidentenregister |
| 17 | Releasepoort | Elke release doorstaat de volledige testrun (lint, types, unit, RLS, integratie, end-to-end) en een op herstel geverifieerde back-up voordat zij wordt uitgerold |
Klirry mag deze maatregelen op elk moment versterken maar zal ze niet wezenlijk verminderen.
Bijlage 3 — Subverwerkers
| Subverwerker | Doel | Regio | Persoonsgegevens | Status |
|---|---|---|---|---|
| Hetzner Online GmbH | Cloudhosting: servers, database, opslagvolumes en versleutelde back-ups | Duitsland (Falkenstein) | Alle Bestelgegevens en Accountgegevens | In gebruik |
| Scaleway SAS | Alleen transactionele e-mail: account-, beveiligings-, proefperiode- en berichtmails (nooit marketing) | Frankrijk (Parijs, fr-par) | E-mailadressen van de gebruikers van de Klant en de inhoud van de aan hen verzonden berichten | Nog niet ingeschakeld; 30 dagen kennisgeving (3.3) |
| Functional Software, Inc. (Sentry) | Foutbewaking en crashrapportage | EU-gegevenslocatie (de.sentry.io); de aanbieder is een Amerikaans bedrijf | Opgeschoonde stacktraces en tenant- of gebruikersidentificaties (UUID's); volgens de configuratie geen persoonsgegevens (een beforeSend-filter verwijdert persoonsgegevens, waaronder Zweedse persoonlijke identiteitsnummers) | Nog niet ingeschakeld; 30 dagen kennisgeving (3.3) |
Een leverancier die als "Nog niet ingeschakeld" is aangemerkt, wordt pas toegevoegd na de kennisgeving in paragraaf 3.3, onder een schriftelijke overeenkomst die voldoet aan paragraaf 3.2a, en alleen als hij gegevens verwerkt in de EU/EER of onder een geldig mechanisme van hoofdstuk V (paragraaf 2.4).
Bijlage 4 — Gekoppelde platforms (gegevensbronnen die de Klant kiest)
De onderstaande platforms zijn die van de Klant zelf: de Klant kiest ervoor ze te koppelen en Klirry leest eruit (of verzendt, bij een meldingsbestemming, ernaartoe) op gedocumenteerde instructie van de Klant onder deze verwerkersovereenkomst. Het zijn door de Klant gekozen gegevensbronnen en bestemmingen, geen subverwerkers van Klirry: Klirry schakelt ze niet in om gegevens van de Klant te verwerken. De toegang is alleen-lezen waar de tabel dat aangeeft, en de Klant kan haar op elk moment intrekken op de manier die de laatste kolom beschrijft.
| Platform | Rol | Wat Klirry leest of verzendt | Toegang | Zo trekt u de toegang in |
|---|---|---|---|---|
| Shopify | Bronplatform en betaalkanaal. Shopify Inc. (Canada) en Shopify Commerce Singapore Pte. Ltd. zijn de wederpartijen van Klirry onder de Partner Program Agreement; de handelaar sluit een overeenkomst met Shopify International Limited (Ierland). Klirry leest bestellingen en producten met de rechten read_orders en read_products; Shopify is een zelfstandig verwerkingsverantwoordelijke voor zijn eigen gegevens en geen subverwerker van Klirry. | Bestellingen en producten (de machtigingen read_orders en read_products). Geen klantnaam, e-mailadres, adres of telefoonnummer wordt opgeslagen | Alleen-lezen | Verwijder de app in uw Shopify-beheer of koppel het los in Klirry onder Instellingen, Koppelingen (Klirry stopt direct met lezen) |
| Meta | Bronplatform voor advertentie-uitgaven en prestaties (recht ads_read). Meta is een zelfstandig verwerkingsverantwoordelijke; Klirry is niet de verwerker van Meta en Meta is niet de subverwerker van Klirry. | Advertentiekosten en resultaten per advertentieaccount (de machtiging ads_read) | Alleen-lezen | Verwijder Klirry bij de gekoppelde apps in uw Meta-bedrijfsinstellingen of koppel het los in Klirry onder Instellingen, Koppelingen (Klirry stopt direct met lezen) |
| Bronplatform voor Google Ads-uitgaven (gepland) en Google Analytics 4 als indicatief signaal (gepland, nooit in het winstcijfer). Google is een zelfstandig verwerkingsverantwoordelijke. | Google Ads-kosten en Google Analytics 4-sessies (beide gepland; nooit onderdeel van het winstcijfer) | Alleen-lezen | Verwijder Klirry onder toegang van derden in uw Google-account of koppel het los in Klirry onder Instellingen, Koppelingen (Klirry stopt direct met lezen) | |
| TikTok | Gepland bronplatform voor advertentie-uitgaven. Vandaag niet gekoppeld. TikTok is een zelfstandig verwerkingsverantwoordelijke. | Advertentiekosten (gepland; vandaag niet gekoppeld) | Alleen-lezen | Verwijder Klirry in uw TikTok-bedrijfsinstellingen of koppel het los in Klirry onder Instellingen, Koppelingen (Klirry stopt direct met lezen) |
| WooCommerce | Voorbereid, nog niet aan klanten aangeboden. Bronplatform: uw eigen WooCommerce-winkel, die u zelf host. Klirry roept de REST-API van de winkel aan op het adres dat u invoert. De winkeleigenaar is verwerkingsverantwoordelijke; Klirry is niet de verwerker van de winkel en de winkel is niet de subverwerker van Klirry. | Bestellingen en bestelregels uit de REST-API van de winkel. Geen klantnaam, e-mailadres, adres of telefoonnummer wordt opgeslagen | Alleen-lezen (een leessleutel die u aanmaakt) | Verwijder de REST API-sleutel in WooCommerce (Instellingen, Geavanceerd, REST API) of koppel het los in Klirry onder Instellingen, Koppelingen (Klirry stopt direct met lezen) |
| PrestaShop | Voorbereid, nog niet aan klanten aangeboden. Bronplatform: uw eigen PrestaShop-winkel, die u zelf host. Klirry roept de Webservice van de winkel aan op het adres dat u invoert. De winkeleigenaar is verwerkingsverantwoordelijke; Klirry is niet de verwerker van de winkel. | Bestellingen en bestelregels uit de Webservice van de winkel. Geen klantnaam, e-mailadres, adres of telefoonnummer wordt opgeslagen | Alleen-lezen (een Webservice-sleutel die u aanmaakt) | Verwijder de sleutel onder Geavanceerde parameters, Webservice in PrestaShop of koppel het los in Klirry onder Instellingen, Koppelingen (Klirry stopt direct met lezen) |
| Shopware 6 | Voorbereid, nog niet aan klanten aangeboden. Bronplatform: uw eigen Shopware 6-winkel. Klirry roept de Admin-API van de winkel aan op het adres dat u invoert. De winkeleigenaar is verwerkingsverantwoordelijke; Klirry is niet de verwerker van de winkel. | Bestellingen en bestelregels via een zoekverzoek (een leesactie; er worden geen wijzigingen verzonden). Geen klantnaam, e-mailadres, adres of telefoonnummer wordt opgeslagen | Alleen-lezen (een integratie die u aanmaakt) | Verwijder de integratie onder Instellingen, Systeem, Integraties in Shopware of koppel het los in Klirry onder Instellingen, Koppelingen (Klirry stopt direct met lezen) |
| BigCommerce | Voorbereid, nog niet aan klanten aangeboden. Bronplatform. BigCommerce is een zelfstandig verwerkingsverantwoordelijke voor de eigen gegevens; Klirry is niet zijn verwerker en BigCommerce is niet de subverwerker van Klirry. | Bestellingen (REST-API v2). Geen klantnaam, e-mailadres, adres of telefoonnummer wordt opgeslagen | Alleen-lezen (een API-account op winkelniveau met alleen leestoegang tot bestellingen) | Verwijder het API-account in uw BigCommerce-winkel of koppel het los in Klirry onder Instellingen, Koppelingen (Klirry stopt direct met lezen) |
| Wix | Voorbereid, nog niet aan klanten aangeboden. Bronplatform. Wix is een zelfstandig verwerkingsverantwoordelijke voor de eigen gegevens; Klirry is niet zijn verwerker en Wix is niet de subverwerker van Klirry. | Bestellingen (zoeken in eCommerce-bestellingen, een leesactie). Geen klantnaam, e-mailadres, adres of telefoonnummer wordt opgeslagen | Alleen-lezen (een API-sleutel met de machtiging eCommerce-bestellingen lezen) | Verwijder de API-sleutel in uw Wix-account of koppel het los in Klirry onder Instellingen, Koppelingen (Klirry stopt direct met lezen) |
| Quickbutik | Voorbereid, nog niet aan klanten aangeboden. Bronplatform. Quickbutik is een zelfstandig verwerkingsverantwoordelijke voor de eigen gegevens; Klirry is niet zijn verwerker en Quickbutik is niet de subverwerker van Klirry. | Bestellingen via de API van de winkel (alleen JSON GET). Geen klantnaam, e-mailadres, adres of telefoonnummer wordt opgeslagen | Alleen-lezen (de API-sleutel van de winkel die u aanmaakt) | Verwijder of vernieuw de API-sleutel in uw Quickbutik-account of koppel het los in Klirry onder Instellingen, Koppelingen (Klirry stopt direct met lezen) |
| PayPal | Voorbereid, nog niet aan klanten aangeboden. Bron van betalingskosten. PayPal is een zelfstandig verwerkingsverantwoordelijke voor de eigen gegevens; Klirry is niet zijn verwerker en PayPal is niet de subverwerker van Klirry. | Transacties en hun kosten uit het rapport Transaction Search. Geen betalersnaam of e-mail wordt opgeslagen | Alleen-lezen (een REST-app die u aanmaakt met Transaction Search) | Verwijder de REST-app in het PayPal-ontwikkelaarsdashboard of koppel het los in Klirry onder Instellingen, Koppelingen (Klirry stopt direct met lezen) |
| Stripe (uw eigen Stripe-account) | Voorbereid, nog niet aan klanten aangeboden. Bron van betalingskosten uit het Stripe-account dat U bij Stripe hebt. Dat is een andere relatie dan het eigen gebruik van Stripe door Klirry om zijn klanten te factureren (zie de leverancierslijst): hier is Stripe een zelfstandig verwerkingsverantwoordelijke voor uw accountgegevens en leest Klirry ze alleen. | Betalingen en saldotransacties, om de werkelijke kosten te leren kennen. Geen kaarthouder- of klantgegevens worden opgeslagen | Alleen-lezen (een beperkte sleutel met Charges: Read en Balance Transactions: Read) | Verwijder de beperkte sleutel in uw Stripe-dashboard (Developers, API keys) of koppel het los in Klirry onder Instellingen, Koppelingen (Klirry stopt direct met lezen) |
| Slack (uw eigen werkruimte) | Een bestemming die U kiest: als u een inkomende webhook-URL van uw eigen Slack-werkruimte plakt, stuurt Klirry daar waarschuwingen heen naast de e-mail. Klirry heeft geen eigen Slack-werkruimte die klantgegevens ontvangt. Slack is een zelfstandig verwerkingsverantwoordelijke voor de berichten in uw werkruimte; Slack is geen subverwerker van Klirry. | Er wordt niets gelezen. Klirry stuurt de beslissingszin van een waarschuwingsmail en een link naar de beslissingspagina naar de webhook die u hebt ingesteld | Alleen verzenden, naar uw eigen webhook | Verwijder de inkomende webhook in Slack of verwijder het Slack-adres in Klirry onder Instellingen |
Wijzigingslogboek
Elke vermelding noemt de versie, de datum en wat er is gewijzigd. Een wijziging van het nummer van de hoofdversie is een wezenlijke wijziging: zij wordt ten minste 30 dagen voordat zij ingaat per e-mail aan klanten aangekondigd.
| Version | Datum | Wijziging |
|---|---|---|
| 1.0 | 2026-10-10 | Eerste gepubliceerde versie. |
| 1.1 | 2026-10-11 | Bijlage 4 (gekoppelde platforms) toegevoegd; bewaartabel aangevuld met nieuwe klassen; Stripe gemarkeerd als gepland tot live-modus. Kleine wijziging: nog geen klant is in live-modus, er komt geen subverwerker bij en termijnen worden alleen korter of betreffen nieuwe klassen, dus geen aankondiging van 30 dagen. |