Verwerkersovereenkomst

De merchant is de verwerkingsverantwoordelijke: hij bepaalt waarom en hoe de persoonsgegevens van kopers en ontvangers worden verwerkt. Kadoobon.be (“Kadoobon”) is de verwerker en verwerkt die gegevens uitsluitend namens de merchant.

Deze overeenkomst maakt onlosmakelijk deel uit van de algemene voorwaarden. Bij tegenstrijdigheid over de verwerking van persoonsgegevens heeft deze verwerkersovereenkomst voorrang.

Ze treedt in werking zodra de merchant een account aanmaakt en loopt zolang Kadoobon persoonsgegevens namens de merchant verwerkt.

Voor de gegevens van de merchant zelf (zijn account, facturatie en gebruik van het platform) is Kadoobon zelf verwerkingsverantwoordelijke; daarop is de privacyverklaring van toepassing en niet deze overeenkomst.

Voorwerp: het aanmaken, verkopen, leveren, opvolgen en inwisselen van digitale cadeaubonnen via het platform, inclusief de bijbehorende winkelpagina, widget, e-mails, saldopagina, rapportage en API.

Aard van de verwerking: verzamelen, vastleggen, opslaan, raadplegen, gebruiken, verstrekken aan de in artikel 7 genoemde sub-verwerkers, wissen en vernietigen.

Doel: uitsluitend het leveren van de in de algemene voorwaarden beschreven dienst aan de merchant. Kadoobon gebruikt de gegevens nooit voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet voor profilering of reclame.

Duur: zolang de overeenkomst met de merchant loopt, aangevuld met de in artikel 11 beschreven termijnen voor teruggave en verwijdering.

Categorieën betrokkenen: kopers van cadeaubonnen, ontvangers van cadeaubonnen, en personeel van de merchant dat bonnen inwisselt aan de kassa.

Persoonsgegevens van kopers: naam, e-mailadres, besteldetails (bedrag, datum, gekozen product), betaalreferentie en, indien gebruikt, de promocode.

Persoonsgegevens van ontvangers: naam, e-mailadres, het persoonlijke bericht van de koper, de geplande leverdatum en de aan de bon gekoppelde gegevens (code, saldo, geldigheidsduur, inwisselhistoriek).

Er worden geen bijzondere categorieën persoonsgegevens (artikel 9 AVG) of gegevens over strafrechtelijke veroordelingen verwerkt. De merchant zorgt ervoor dat vrije tekstvelden — zoals het persoonlijke bericht — niet voor zulke gegevens worden gebruikt.

Kadoobon slaat geen volledige kaartnummers of andere betaalinstrumentgegevens op; die worden rechtstreeks door de betaalprovider verwerkt.

Kadoobon verwerkt de persoonsgegevens uitsluitend op gedocumenteerde instructie van de merchant. De algemene voorwaarden, deze overeenkomst en het normale gebruik van de functies van het platform gelden als die instructie.

Verwerkt Kadoobon gegevens op grond van een wettelijke verplichting, dan meldt Kadoobon dat vooraf aan de merchant, tenzij die wetgeving zo'n melding verbiedt om gewichtige redenen van algemeen belang.

Kadoobon informeert de merchant onmiddellijk als een instructie naar zijn oordeel in strijd is met de AVG of andere gegevensbeschermingswetgeving.

De merchant staat ervoor in dat hij een geldige rechtsgrond heeft voor de verwerkingen die hij via het platform uitvoert, en dat hij de betrokkenen correct informeert.

Kadoobon verbindt zich tot geheimhouding van de persoonsgegevens en geeft er geen kennis van aan derden, behalve aan de sub-verwerkers uit artikel 7 of wanneer dat wettelijk verplicht is.

Iedereen die namens Kadoobon toegang heeft tot de persoonsgegevens is gebonden aan een geheimhoudingsplicht, contractueel of wettelijk.

Toegang tot productiegegevens is beperkt tot een klein aantal geautoriseerde personen en enkel voor zover nodig voor onderhoud en ondersteuning.

Het platform beschikt over een beheerdersfunctie waarmee ondersteuning het account van een merchant kan bekijken om problemen op te lossen. Die toegang wordt beperkt tot ondersteuningsdoeleinden en is voor de merchant zichtbaar via een waarschuwingsbalk in het dashboard.

Kadoobon neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard en risico's van de verwerking.

Al het verkeer tussen browsers, het platform en de onderliggende diensten verloopt versleuteld via TLS. Gegevens worden versleuteld opgeslagen bij de databaseleverancier.

De gegevens van elke merchant zijn op databaseniveau van elkaar afgeschermd, zodat een merchant uitsluitend zijn eigen gegevens kan raadplegen.

Betaalsleutels en andere geheimen worden afzonderlijk en beveiligd bewaard en worden nooit meegestuurd naar de browser. Wijzigingen aan uitbetalingsinstellingen leiden tot een automatische waarschuwingsmail aan de accounthouder.

Handelingen die de status van een account, bon of bestelling wijzigen worden vastgelegd in een controlelogboek dat de merchant zelf kan raadplegen.

Kadoobon evalueert deze maatregelen periodiek en past ze aan wanneer risico's, technieken of de dienst wijzigen.

De merchant geeft Kadoobon een algemene toestemming om sub-verwerkers in te schakelen voor hosting, opslag en e-mailbezorging. De actuele lijst staat in de privacyverklaring.

Op het ogenblik van deze versie zijn dat: Supabase (database en authenticatie, EU — regio Frankfurt), Vercel (hosting van de applicatie), Resend (bezorging van e-mails), Sentry (foutmeldingen en storingsanalyse, EU — regio Duitsland) en PostHog (gebruiksstatistieken en schermopnames, EU — regio Duitsland).

Mollie en Stripe treden voor de betaalgegevens op als zelfstandige verwerkingsverantwoordelijke onder hun eigen voorwaarden en privacybeleid; zij zijn in die hoedanigheid geen sub-verwerker van Kadoobon. De merchant sluit met zijn betaalprovider zijn eigen overeenkomst.

Kadoobon legt elke sub-verwerker contractueel dezelfde verplichtingen op als in deze overeenkomst, en blijft tegenover de merchant volledig aansprakelijk voor de naleving door die sub-verwerker.

Bij een voorgenomen vervanging of toevoeging van een sub-verwerker brengt Kadoobon de merchant ten minste 30 dagen vooraf op de hoogte per e-mail. De merchant kan binnen die termijn op redelijke gronden bezwaar maken; wordt daar geen oplossing voor gevonden, dan kan de merchant de overeenkomst kosteloos beëindigen.

De persoonsgegevens worden in beginsel binnen de Europese Economische Ruimte opgeslagen; de database bevindt zich in de EU.

Waar een sub-verwerker gegevens buiten de EER zou verwerken, gebeurt dat uitsluitend op basis van een geldig overdrachtsmechanisme, zoals een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie, aangevuld met passende bijkomende maatregelen.

Kadoobon stelt de merchant op verzoek de relevante informatie over die waarborgen ter beschikking.

Kadoobon helpt de merchant, rekening houdend met de aard van de verwerking, om verzoeken van betrokkenen te beantwoorden (inzage, verbetering, verwijdering, beperking, bezwaar en overdraagbaarheid).

Het platform biedt daarvoor functies waarmee de merchant zelf gegevens kan opzoeken, corrigeren en exporteren. Waar dat niet volstaat, verleent Kadoobon binnen een redelijke termijn bijstand.

Richt een betrokkene zich rechtstreeks tot Kadoobon, dan verwijst Kadoobon hem door naar de merchant en brengt Kadoobon de merchant daarvan op de hoogte, zonder zelf inhoudelijk op het verzoek in te gaan.

Kadoobon verleent redelijke bijstand bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een eventuele voorafgaande raadpleging van de toezichthoudende autoriteit, voor zover die betrekking heeft op de verwerking via het platform.

Kadoobon meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging aan de merchant nadat Kadoobon er kennis van heeft gekregen, en in elk geval tijdig genoeg om de merchant toe te laten zijn eigen meldplicht van 72 uur na te komen.

De melding bevat ten minste: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen, en een contactpunt.

Kadoobon documenteert elke inbreuk en verleent de merchant redelijke bijstand bij de melding aan de toezichthoudende autoriteit en, waar vereist, aan de betrokkenen.

De melding aan de toezichthoudende autoriteit en aan de betrokkenen gebeurt door de merchant als verwerkingsverantwoordelijke; Kadoobon doet dat niet in zijn plaats.

De merchant kan zijn gegevens gedurende de hele looptijd van de overeenkomst zelf exporteren via het dashboard (CSV).

Na afloop van de overeenkomst verwijdert Kadoobon de persoonsgegevens, of geeft ze terug als de merchant daar binnen 30 dagen na beëindiging om verzoekt. Gedurende die periode blijft een export mogelijk.

Kadoobon mag gegevens langer bewaren voor zover een wettelijke bewaarplicht dat vereist, bijvoorbeeld boekhoudkundige en fiscale verplichtingen. In dat geval blijven ze uitsluitend voor dat doel bewaard en blijft deze overeenkomst erop van toepassing.

Reservekopieën worden volgens het normale rotatieschema overschreven; tot dat moment blijven ze beveiligd en worden ze niet actief gebruikt.

Beëindiging van de overeenkomst laat de verplichting van de merchant tegenover houders van uitstaande cadeaubonnen onverlet; de merchant zorgt zelf dat hij over de nodige gegevens beschikt om die bonnen te blijven honoreren.

Kadoobon stelt de merchant op verzoek de informatie ter beschikking die redelijkerwijs nodig is om de naleving van artikel 28 AVG aan te tonen.

De merchant kan ten hoogste eenmaal per kalenderjaar een audit laten uitvoeren, en daarnaast telkens na een inbreuk die de merchant raakt. De audit wordt ten minste 30 dagen vooraf aangekondigd, gebeurt tijdens kantooruren en verstoort de dienstverlening niet onnodig.

De audit kan worden uitgevoerd door de merchant zelf of door een onafhankelijke auditor die niet met Kadoobon concurreert en die tot geheimhouding gehouden is.

De kosten van de audit draagt de merchant, tenzij daaruit een wezenlijke tekortkoming van Kadoobon blijkt; in dat geval draagt Kadoobon de redelijke kosten en herstelt hij de tekortkoming zonder onredelijke vertraging.

De aansprakelijkheidsregeling uit de algemene voorwaarden is ook op deze overeenkomst van toepassing, onverminderd de dwingende aansprakelijkheidsregels van artikel 82 AVG tegenover betrokkenen.

Kadoobon mag deze overeenkomst wijzigen wanneer wetgeving, de dienst of de sub-verwerkers dat vereisen. Wezenlijke wijzigingen worden ten minste 30 dagen vooraf per e-mail aangekondigd, met een kosteloos opzegrecht voor de merchant vóór de ingangsdatum.

Op deze overeenkomst is Belgisch recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechtbanken van Hasselt, onverminderd dwingende bevoegdheidsregels.