Deze Verwerkersovereenkomst ("DPA") maakt deel uit van de overeenkomst tussen de klant die een PANOpeak-account aanmaakt ("Verwerkingsverantwoordelijke", "u") en PANOpeak ("Verwerker", "wij"), en is van toepassing telkens wanneer PANOpeak namens u persoonsgegevens verwerkt in verband met de PANOpeak-repricingdienst (de "Dienst"). Zij wordt elektronisch geaccepteerd: een workspace-beheerder moet de versie accepteren die wordt getoond onder Instellingen → Verwerkersovereenkomst voordat een marktplaats gekoppeld kan worden, en die acceptatie, versie, tijdstempel en wie heeft geaccepteerd, worden geregistreerd en zijn op verzoek beschikbaar. Dit vormt de uitvoering van de DPA tussen partijen onder art. 28 lid 3 AVG.
1. Definities
"AVG" betekent Verordening (EU) 2016/679. "Verwerkingsverantwoordelijke", "Verwerker", "Betrokkene", "Persoonsgegevens", "Verwerking" en "Inbreuk in verband met persoonsgegevens" hebben de betekenis die de AVG eraan geeft. "Subverwerker" betekent een derde partij die door PANOpeak wordt ingeschakeld om Persoonsgegevens te verwerken bij het leveren van de Dienst.
2. Onderwerp en duur
Het onderwerp van deze DPA is de Verwerking van Persoonsgegevens door PANOpeak voor zover nodig om de Dienst te leveren: het opslaan en doorgeven van uw marktplaatskoppelingen, het berekenen en uitvoeren van prijswijzigingen binnen de door u geconfigureerde grenzen, en het aan u leveren van de daaruit voortvloeiende analyses, meldingen en audittrail. Deze DPA loopt zolang PANOpeak namens u Persoonsgegevens verwerkt onder de Dienst, gedurende de looptijd van uw account of abonnement, plus elke periode daarna waarin PANOpeak gegevens bewaart onder Sectie 5 (bijvoorbeeld de respijtperiode van 30 dagen bij verwijdering).
3. Aard en doel van de verwerking
PANOpeak verwerkt Persoonsgegevens om: verzoeken aan de marktplaatsen die u koppelt te authenticeren en door te geven; uw listings, prijzen en de op die listings zichtbare concurrerende aanbiedingen op te slaan en te reconciliëren; door u geautoriseerde prijswijzigingen uit te voeren, binnen uw geconfigureerde bodem en plafond; de meldingen, rapporten en exports te genereren die de Dienst biedt; en beveiligings- en auditlogs van het bovenstaande bij te houden.
4. Categorieën van betrokkenen
Persoonsgegevens die onder deze DPA worden verwerkt kunnen betrekking hebben op: de geautoriseerde gebruikers van uw workspace (uw medewerkers, op naam en werk-e-mailadres); en, incidenteel, personen die herleidbaar zijn uit openbare marktplaats-aanbiedingsgegevens, bijvoorbeeld een eenmanszaak als concurrerende verkoper wiens geregistreerde handelsnaam ook zijn persoonlijke naam is. PANOpeak verwerkt geen gegevens over de eindconsumenten die bij uw marktplaats-listings kopen; die relatie bestaat tussen u en de marktplaats.
5. Categorieën van persoonsgegevens, en bewaring
Naam van de accounthouder, werk-e-mailadres en (indien gebruikt) metadata voor tweefactorauthenticatie; API-inloggegevens en OAuth-tokens voor marktplaatsen, versleuteld opgeslagen; catalogus-, prijs- en concurrerende-aanbiedingsgegevens die bereikbaar zijn via uw marktplaatskoppelingen; en auditlog-vermeldingen die acties in de Dienst registreren. Operationele historie (listings, prijshistorie, concurrentie-snapshots) wordt bewaard voor het venster dat uw abonnement omvat, 30, 90 of 730 dagen afhankelijk van het abonnement, en vervalt daarna automatisch; geen enkel abonnement bewaart deze langer dan 730 dagen. Bij een verzoek tot verwijdering van een workspace worden gegevens bewaard voor een opzegbare respijtperiode van 30 dagen en vervolgens definitief verwijderd. Volledige bewaardetails staan in ons Privacybeleid.
6. Verplichtingen van PANOpeak als Verwerker
- Persoonsgegevens uitsluitend verwerken op uw gedocumenteerde instructies, ook wat betreft doorgiften, tenzij het EU-recht of het recht van een lidstaat anders vereist.
- Ervoor zorgen dat personen die bevoegd zijn de gegevens te verwerken, aan geheimhouding gebonden zijn.
- Passende technische en organisatorische maatregelen implementeren onder art. 32 (Sectie 9 hieronder) en u op redelijk verzoek bijstaan bij het nakomen van uw eigen verplichtingen onder art. 32-36, met inbegrip van gegevensbeschermingseffectbeoordelingen.
- U bijstaan bij het beantwoorden van verzoeken van betrokkenen, voor zover de Dienst u dit zelf mogelijk maakt; waar dat niet zo is, reageren wij op uw instructie binnen een redelijke termijn, gelet op de wettelijke termijn van één maand waar u aan gebonden bent.
- U zonder onnodige vertraging op de hoogte stellen nadat wij kennis hebben genomen van een inbreuk in verband met persoonsgegevens die uw gegevens treft, met de informatie die op dat moment redelijkerwijs voor ons beschikbaar is en zoals die zich ontwikkelt.
- Bij het einde van de levering van de Dienst, naar uw keuze alle Persoonsgegevens verwijderen of teruggeven, en bestaande kopieën verwijderen, behalve waar het EU-recht of het recht van een lidstaat PANOpeak verplicht deze te bewaren (bijvoorbeeld factuurgegevens).
- U de informatie beschikbaar stellen die redelijkerwijs nodig is om naleving van deze DPA aan te tonen, en meewerken aan en bijdragen aan audits, met inbegrip van inspecties, uitgevoerd door u of een door u gemachtigde auditor, met redelijke kennisgeving en niet vaker dan eenmaal per jaar zonder aanleiding.
- Als een instructie die u ons geeft naar ons redelijk oordeel in strijd is met de AVG of een andere toepasselijke gegevensbeschermingsbepaling, stellen wij u daarvan op de hoogte voordat wij deze uitvoeren, tenzij de wet ons verplicht om hier toch aan te voldoen.
7. Subverwerkers
U geeft algemene toestemming aan PANOpeak om de hieronder genoemde subverwerkers in te schakelen. Subverwerkers worden versiebeheerd: de geldende lijst is degene die u heeft geaccepteerd, getoond met het versienummer onder Instellingen → Verwerkersovereenkomst. Het toevoegen van een subverwerker aan een reeds geldende lijst is niet toegestaan; hiervoor is een nieuwe versie vereist, waarvan wij u vooraf kennisgeving geven voordat deze van kracht wordt, zodat u de gelegenheid heeft bezwaar te maken.
Wij leggen elke subverwerker gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan die in deze DPA, en indien een subverwerker zijn gegevensbeschermingsverplichtingen niet nakomt, blijven wij volledig aansprakelijk jegens u voor de nakoming van de verplichtingen van die subverwerker.
| Subverwerker | Doel | Locatie |
|---|---|---|
| Cloudflare | Hosting, CDN, WAF, botbescherming, opslag van de wachtlijst en geplande taken | EU (Western Europe), US company (Standard Contractual Clauses) |
| Stripe | Facturering en betalingen | EU + US (Standard Contractual Clauses) |
| Resend | Transactionele e-mail | EU |
Een conceptversie van de volgende versie (1.1) voegt eMAG Marketplace SA (Roemenië, EU) en TikTok Shop (EU + derde landen, onder Standard Contractual Clauses) toe voor klanten die deze marktplaatsen koppelen, zodra een lopende juridische beoordeling of zij optreden als subverwerker of als zelfstandige ontvanger van uw geïnstrueerde gegevens, is afgerond. Deze is nog niet van kracht en verwerkt niets onder deze DPA totdat zij is gepubliceerd en u hiervan kennisgeving heeft ontvangen.
8. Internationale doorgiften
Wij kiezen waar praktisch mogelijk voor in de EU gevestigde subverwerkers. Stripe verwerkt factureringsgegevens deels in de Verenigde Staten; die doorgifte is gedekt door de Standard Contractual Clauses van de Europese Commissie. Wij werken deze sectie bij als de grondslag voor doorgifte van een subverwerker verandert.
9. Beveiligingsmaatregelen
Technische en organisatorische maatregelen die momenteel van kracht zijn, omvatten: TLS tijdens transport, overal; versleuteling van marktplaats-inloggegevens in rust; row-level security per tenant in de database, zodat de gegevens van de ene workspace niet bereikbaar zijn via de sessie van een andere; gehashte wachtwoorden, nooit in platte tekst opgeslagen; rolgebaseerde toegangscontrole binnen elke workspace (viewer, analist, beheerder); een alleen-toevoegen auditlog van beveiligingsrelevante acties; en een gedocumenteerd incidentproces. Beheer van geheimen via een speciaal daarvoor bestemde secretsmanager, en een formeel opgeroepen wachtdienstrooster, zijn in ontwikkeling; wij werken deze sectie bij zodra elk daadwerkelijk is ingevoerd, in plaats van een maatregel te beschrijven voordat zij bestaat.
10. Uw verplichtingen als Verwerkingsverantwoordelijke
U bent verantwoordelijk voor het hebben van een rechtsgrond voor de Persoonsgegevens die u ons instrueert te verwerken (met inbegrip van gegevens die bereikbaar zijn via de marktplaats-inloggegevens die u verstrekt), voor de juistheid van uw instructies, en voor het beantwoorden van verzoeken van betrokkenen waar de Dienst u de selfservicemiddelen biedt om dit zelf rechtstreeks te doen.
11. Aansprakelijkheid en looptijd
Aansprakelijkheid onder deze DPA is onderworpen aan de beperking van aansprakelijkheid in onze Algemene Voorwaarden. Deze DPA eindigt automatisch wanneer de onderliggende overeenkomst voor de Dienst eindigt, onder voorbehoud van de bepalingen van Sectie 6 over verwijdering of teruggave van gegevens.
12. Toepasselijk recht
Op deze DPA is Nederlands recht van toepassing, in overeenstemming met onze Algemene Voorwaarden.