Verwerkersovereenkomst

Dit is een vertaling voor je gemak. De Engelse versie is de versie die van toepassing is. English

Laatst bijgewerkt: 11 oktober 2026

Dit addendum (“DPA”, verwerkersovereenkomst) maakt deel uit van de servicevoorwaarden van HolaReply voor Shopify en van de servicevoorwaarden van HolaReply voor elke website, tussen de verkoper of website-eigenaar (“jij”, de verwerkingsverantwoordelijke) en SEO Agency Inc (“HolaReply”, “wij”, de verwerker). Het is van toepassing op persoonsgegevens van de klanten van je winkel, of de bezoekers van je website, die wij verwerken om de app of de dienst te leveren. Voor een website betekent “winkel” hieronder je website en “klant” de bezoeker daarvan; wat wordt gezegd over gegevensverzoeken van Shopify en het opzoeken van bestellingen, geldt alleen voor Shopify. Het is bedoeld om te voldoen aan artikel 28 van de AVG (GDPR) en de UK GDPR en vergelijkbare privacywetgeving (waarbij wij optreden als je “service provider” of “processor”).

1. Gegevens van de verwerking

Onderwerp en doel	Het leveren van de app: klanten in de chat van de webwinkel antwoorden vanuit de content van je winkel, aanvragen en vergrendelde onderwerpen doorgeven aan je team, de status van bestellingen opzoeken, gesprekken en aanvragen aan jou tonen, en voldoen aan gegevensverzoeken van Shopify
Duur	Zolang de app is geïnstalleerd of de website in HolaReply staat, gevolgd door verwijdering zoals in artikel 8
Betrokkenen	De klanten en bezoekers van je winkel die de chat gebruiken
Persoonsgegevens	Chatberichten (vragen en antwoorden); contactgegevens die een klant zelf opgeeft (naam, e-mailadres, telefoonnummer, bedrijf) en diens aanvraagbericht; alleen voor het volgen van bestellingen: het bestelnummer en e-mailadres dat de klant typt en het e-mailadres, de status en de trackinggegevens van de bestelling (getoond, niet opgeslagen); de taal van de klant
Bijzondere categorieën	Niet beoogd. Vraag klanten er niet naar; een klant kan ze nog steeds in de chat typen
Niet verwerkt	Betaalgegevens, adressen, klantaccounts, IP-adressen bij gesprekken (alleen een eenrichtingshash in een kortlevende teller voor snelheidsbeperking)

2. Onze verplichtingen

Wij zullen:

1. de persoonsgegevens uitsluitend verwerken op basis van je gedocumenteerde instructies, namelijk deze voorwaarden, deze DPA en je instellingen in de app, tenzij de wet anders vereist (in dat geval laten wij het je eerst weten, tenzij de wet dat verbiedt);
2. ervoor zorgen dat iedereen die wij machtigen om de gegevens te verwerken, tot geheimhouding is verplicht;
3. de beveiligingsmaatregelen uit artikel 4 toepassen;
4. subverwerkers alleen inschakelen zoals in artikel 5;
5. je, voor zover wij dat redelijkerwijs kunnen, helpen klanten te antwoorden die hun rechten uitoefenen (inzage, verwijdering en andere): de verzoeken customers/data_request en customers/redact van Shopify worden automatisch door de app afgehandeld, en aanvragen kunnen in de app worden bekeken en gedownload;
6. je helpen met beveiliging, het melden van datalekken, effectbeoordelingen en het raadplegen van toezichthouders, voor zover die onze verwerking betreffen;
7. de gegevens aan het einde van de dienstverlening verwijderen (artikel 8);
8. de informatie beschikbaar stellen die nodig is om naleving van deze DPA aan te tonen, en audits toestaan zoals in artikel 9;
9. je onmiddellijk laten weten als wij van mening zijn dat een instructie in strijd is met de wetgeving inzake gegevensbescherming.

Wij verkopen geen persoonsgegevens, delen ze niet voor cross-context gedragsgerichte advertenties, gebruiken ze niet om AI-modellen te trainen en combineren ze niet met gegevens van andere winkels.

3. Jouw verplichtingen

Je bevestigt dat je een rechtmatige grondslag voor de verwerking hebt, dat je je klanten de informatie geeft die de wet vereist (je privacyverklaring moet de chat en HolaReply vermelden), en dat je instructies in overeenstemming zijn met de wet.

4. Beveiligingsmaatregelen

• Versleuteling tijdens transport: HTTPS (TLS) voor de chat in de webwinkel, de beheeromgeving en webhooks.
• Versleuteling in rust: chatberichten, de contactgegevens van een gesprek en elk veld van een aanvraag worden versleuteld in de database (XSalsa20-Poly1305, met sleutels die buiten de database worden bewaard); klanten worden alleen opgezocht via gesleutelde hashes van hun e-mailadres of telefoonnummer. Toegangstokens en AI-sleutels worden ook versleuteld. Dagelijkse back-ups worden versleuteld (AES-256-GCM) met een aparte sleutel.
• Scheiding: de gegevens van elke winkel worden gescheiden gehouden; elk verzoek wordt gecontroleerd aan de hand van het sessietoken of de webhookhandtekening van Shopify.
• Minimalisatie: e-mailadressen en telefoonnummers worden verwijderd uit alles wat naar een AI-aanbieder wordt gestuurd; contactvelden worden er nooit naartoe gestuurd; bestelgegevens worden nooit opgeslagen of naar een AI gestuurd.
• Toegangsbeheer en logging: toegang tot de server alleen met SSH-sleutels, voor maximaal twee personen; elke weergave van klantgegevens (in de app of door ons) wordt vastgelegd in een toegangslogboek dat een jaar wordt bewaard en waarvan je de laatste 90 dagen in de app kunt inzien.
• Bewaartermijnen: gesprekken worden bewaard totdat je ze verwijdert, of verwijderd 30, 90 of 365 dagen na het laatste bericht als je een termijn kiest; alles wordt verwijderd 48 uur nadat je de app verwijdert; back-ups worden 14 dagen bewaard.
• Reactie op incidenten: een schriftelijk beleid (artikel 6).
• Externe kopie: elke dagelijkse back-up wordt, nog steeds versleuteld, ook 14 dagen bewaard in een privé Cloudflare R2-bucket.

5. Subverwerkers

Je geeft algemene toestemming voor de onderstaande subverwerkers. Wij laten het je ten minste 30 dagen van tevoren weten voordat wij er een toevoegen of vervangen (in de app of per e-mail en op deze pagina); je kunt op redelijke gronden met betrekking tot gegevensbescherming bezwaar maken, en als wij het bezwaar niet kunnen wegnemen, kun je stoppen met het gebruik van de app. Wij verbinden elke subverwerker aan voorwaarden voor gegevensbescherming die ten minste even beschermend zijn als deze DPA, en blijven voor hen verantwoordelijk.

Subverwerker	Doel	Gegevens	Locatie
Google LLC (Gemini API)	AI-antwoorden en de zoekindex (HolaReply AI, of je Gemini-sleutel)	Winkelcontent; vragen van klanten zonder e-mailadressen en telefoonnummers	Buiten de EER
OpenAI, L.L.C.	Alleen als je OpenAI kiest met je eigen sleutel	Hetzelfde	Buiten de EER
Anthropic, PBC	Alleen als je Claude kiest met je eigen sleutel	Hetzelfde	Buiten de EER
Resend (Plus Five Five, Inc.)	E-mails aan jou en aan je team, en de antwoorden van je team aan klanten	E-mailadressen en de inhoud van de e-mails	Buiten de EER
Hostinger International Ltd	De server waarop de app draait (een virtual private server)	Alle gegevens die wij opslaan (versleutelde velden zoals hierboven)	Buiten de EER
Cloudflare, Inc.	Netwerk en beveiliging vóór app.holareply.com; opslag van de versleutelde externe back-upkopie (R2)	Verzoeken onderweg; versleutelde back-ups (14 dagen)	Wereldwijd netwerk; back-ups buiten de EER
Shopify	Het platform en de facturering	Wat Shopify al heeft	—

6. Inbreuken in verband met persoonsgegevens

Wij informeren je zonder onredelijke vertraging, en binnen 72 uur nadat wij kennis hebben gekregen van een inbreuk in verband met persoonsgegevens die de gegevens van je winkel treft, via het e-mailadres van je winkel, met wat wij weten: de aard van de inbreuk, de betrokken gegevens en personen, de waarschijnlijke gevolgen, wat wij hebben gedaan en wat jij moet doen, en een contactadres (support@holareply.com). Wij vullen dit aan naarmate wij meer te weten komen. Ons beleid voor de reactie op incidenten beschrijft het proces.

7. Internationale doorgifte

Wij en sommige van onze subverwerkers verwerken gegevens buiten de EER, het VK en Zwitserland. Waar zulke gegevens worden doorgegeven, valt de doorgifte onder de standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914 van de Commissie: module 2, doorgifte van verwerkingsverantwoordelijke aan verwerker, en module 3 voor verdere doorgifte aan onze subverwerkers), het UK International Data Transfer Addendum en, voor Zwitserse gegevens, de Zwitserse aanpassingen van die bepalingen, die door verwijzing in deze verwerkersovereenkomst zijn opgenomen, of onder een ander rechtmatig mechanisme, zoals de certificering van een subverwerker onder het Data Privacy Framework.

8. Verwijdering

Wanneer je de app verwijdert, worden alle gegevens van je winkel 48 uur later verwijderd (zodat je bij een herinstallatie binnen die tijd niets kwijtraakt), of direct wanneer Shopify zijn verzoek shop/redact stuurt. Verwijderde gegevens kunnen tot 14 dagen in versleutelde back-ups blijven staan, waarna ze verdwenen zijn. Je kunt je aanvragen vóór het verwijderen van de app als CSV downloaden.

Vraag ons voor een website (support@holareply.com) om die te verwijderen: de gesprekken, aanvragen, content en het team ervan worden binnen 7 dagen verwijderd, en verdwijnen 14 dagen daarna uit de versleutelde back-ups. Tot die tijd worden ze bewaard totdat je ze verwijdert, of gedurende de termijn die je in de Desk kiest.

9. Audits

Op schriftelijk verzoek, maximaal eenmaal per jaar (of na een inbreuk), beantwoorden wij een redelijke beveiligingsvragenlijst en verstrekken wij de documenten waaruit naleving van deze DPA blijkt. Waar de wet een inspectie vereist, vindt die plaats met een aankondiging van 30 dagen, tijdens werktijden, door een auditor die tot geheimhouding is verplicht, op jouw kosten, zonder toegang tot de gegevens van andere klanten.

10. Rangorde

Als deze DPA en de voorwaarden met betrekking tot persoonsgegevens met elkaar in strijd zijn, geldt deze DPA; de modelcontractbepalingen (Standard Contractual Clauses) gaan, waar ze van toepassing zijn, boven beide.

Contact

SEO Agency Inc (HolaReply) — support@holareply.com