Addendum inzake gegevensverwerking

Dit Addendum maakt deel uit van de Algemene voorwaarden van BrandsGateway (de “Voorwaarden”) tussen Gateway Holdings OÜ, registercode 14276496, Narva mnt 5, 10117 Tallinn, Estland, handelend onder de naam BrandsGateway (de “Verwerker”), en elke zakelijke klant die de Voorwaarden aanvaardt (de “Klant”). De Klant aanvaardt het door de Voorwaarden te aanvaarden. Het is van toepassing vanaf de datum waarop de Klant de Voorwaarden aanvaardt of, voor klanten die vóór 29 oktober 2026 zijn geregistreerd, vanaf die datum. Versie 1.0.

Voor de gegevens van eindconsumenten die de Klant aan de Verwerker toestuurt om bestellingen uit te voeren, is de Klant de verwerkingsverantwoordelijke en is de Verwerker diens verwerker. De Verwerker is uitsluitend zelfstandig verwerkingsverantwoordelijke voor de bestel-, factuur-, douane- en belastingbescheiden die hij wettelijk moet bewaren, en voor gegevens die hij nodig heeft om rechtsvorderingen in te stellen of zich daartegen te verdedigen, met inbegrip van claims bij vervoerders.

Doel: het ontvangen, uitvoeren, verzenden, volgen en retourneren van de bestellingen van de Klant, en de daarmee verband houdende ondersteuning. Gegevens: naam, verzendadres, telefoonnummer, e-mailadres, inhoud van de bestelling en trackinggegevens van de eindconsumenten van de Klant. De gegevens van elke bestelling worden bewaard zolang als nodig is om de bestelling uit te voeren, te leveren en te retourneren en om claims daarover af te handelen, en worden daarna gewist, met uitzondering van de bescheiden in clausule 1, die gedurende hun wettelijke termijn worden bewaard.

De Klant is verantwoordelijk voor de rechtmatigheid van de verwerking en voor het informeren van zijn eindconsumenten, verstrekt alleen de gegevens die voor een bestelling nodig zijn, en geeft zijn instructies schriftelijk.

De Verwerker verwerkt de gegevens uitsluitend op basis van de gedocumenteerde instructies van de Klant: de Voorwaarden, dit Addendum en de bestellingen van de Klant, ook wat betreft doorgiften buiten de EER. Indien het Unierecht of het lidstatelijke recht een andere verwerking vereist, stelt de Verwerker de Klant daarvan vooraf in kennis, tenzij dat recht die kennisgeving om gewichtige redenen van algemeen belang verbiedt. Hij stelt de Klant onmiddellijk in kennis indien hij van mening is dat een instructie inbreuk maakt op de wetgeving inzake gegevensbescherming, en kan de uitvoering van die instructie opschorten totdat de Klant deze bevestigt of wijzigt. Hij gebruikt gegevens van eindconsumenten niet voor enig eigen doel, met inbegrip van marketing, profilering of analyse.

Eenieder die gemachtigd is de gegevens te verwerken, is tot vertrouwelijkheid gehouden.

De Verwerker treft ten minste de maatregelen in Bijlage 1, evalueert deze regelmatig en wijzigt deze niet op een wijze die het beschermingsniveau verlaagt.

De Klant verleent de Verwerker een algemene toestemming om subverwerkers van de volgende soorten in te schakelen: de leveranciers en magazijnen die bestellingen uitvoeren; hosting en opslag; e-mailbezorging; klantenservicetools; netwerkbeveiliging; en foutmonitoring. Sommige daarvan bevinden zich in de Verenigde Staten, overeenkomstig clausule 9. De actuele lijst is op verzoek verkrijgbaar via [email protected].

De Verwerker stelt de Klant ten minste 30 dagen vóór het toevoegen of vervangen van een subverwerker per e-mail in kennis. De Klant kan op redelijke gronden in verband met gegevensbescherming bezwaar maken; als dit niet kan worden opgelost, kan hij de betrokken diensten beëindigen. De Verwerker legt elke subverwerker bij overeenkomst verplichtingen inzake gegevensbescherming op die de gegevens ten minste even goed beschermen als dit Addendum, en blijft volledig voor hen aansprakelijk.

Om een bestelling te leveren, verstrekt de Verwerker de naam, het adres, het telefoonnummer en het e-mailadres van de geadresseerde en de inhoud en waarde van het pakket aan de vervoerder en, waar nodig, aan douaneautoriteiten en douane-agenten. De Klant geeft hiertoe instructie door de bestelling te plaatsen. Deze ontvangers treden op als zelfstandige verwerkingsverantwoordelijken op grond van hun eigen voorwaarden.

Subverwerkers buiten de EER worden alleen ingeschakeld wanneer een adequaatheidsbesluit op hen van toepassing is (voor de Verenigde Staten uitsluitend organisaties die zijn gecertificeerd onder het EU-VS-kader voor gegevensbescherming), of op grond van de standaardcontractbepalingen van Uitvoeringsbesluit (EU) 2021/914 van de Commissie, Module 3. Voor een Klant buiten de EER in een land zonder adequaatheidsbesluit maakt Module 4 van die bepalingen deel uit van dit Addendum.

De Verwerker helpt de Klant bij het beantwoorden van verzoeken van eindconsumenten, waarbij hij verzoeken die hij ontvangt zonder onredelijke vertraging en uiterlijk binnen 3 werkdagen doorstuurt, en helpt bij beveiliging, melding van inbreuken en gegevensbeschermingseffectbeoordelingen (artikelen 32 tot en met 36 AVG).

De Verwerker stelt de Klant zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat hij kennis heeft gekregen van een inbreuk die de gegevens van de Klant betreft, ook bij een subverwerker, daarvan in kennis, met vermelding van wat bekend is, de waarschijnlijke gevolgen, de genomen maatregelen en een contactpunt.

Wanneer de diensten eindigen, wist de Verwerker de gegevens van eindconsumenten of geeft hij deze terug binnen 30 dagen, naar keuze van de Klant, met uitzondering van de bescheiden in clausule 1, en bevestigt hij dit schriftelijk op verzoek aan [email protected].

De Verwerker verstrekt de informatie die nodig is om aan te tonen dat artikel 28 AVG wordt nageleefd. Als die de redelijke vragen van de Klant niet beantwoordt, kunnen de Klant of diens auditor een audit uitvoeren, met een kennisgevingstermijn van 30 dagen, ten hoogste eenmaal per jaar, tenzij er aanwijzingen zijn van niet-naleving of een inbreuk, of een autoriteit dit vereist. Elke partij draagt haar eigen kosten.

Wijzigingen van dit Addendum worden ten minste 30 dagen voordat zij van toepassing worden per e-mail aan de Klant meegedeeld; de Klant kan de betrokken diensten vóór dat moment beëindigen.

Dit Addendum heeft op het gebied van gegevensbescherming voorrang boven de Voorwaarden. Op verzoek ondertekenen de partijen de standaardcontractbepalingen van Uitvoeringsbesluit (EU) 2021/915 van de Commissie, die dan voorrang hebben. Estisch recht is van toepassing.

Onze servers, databases, bestanden en back-ups worden gehost in datacenters in de EU. Onze websites zijn uitsluitend bereikbaar via versleutelde verbindingen (TLS), achter netwerkbescherming tegen aanvallen, en de databases met bestellingen zijn niet bereikbaar vanaf het internet. Van databases wordt dagelijks een back-up gemaakt, die wordt versleuteld voordat deze de server verlaat.

Iedere persoon gebruikt een persoonlijk account met uitsluitend de rechten die nodig zijn voor de werkzaamheden van die persoon. Toegang tot servers verloopt via persoonlijke cryptografische sleutels, niet via wachtwoorden.

Leveranciers en magazijnen zien alleen de bestellingen die zij uitvoeren.

Applicatiegebeurtenissen en -fouten worden centraal gelogd; alleen het technische team kan de logs lezen.

Personeel en opdrachtnemers zijn tot vertrouwelijkheid gehouden.

Vermoedelijke inbreuken worden gemeld aan [email protected] en afgehandeld door het technische team; Klanten worden in kennis gesteld zoals bepaald in clausule 11.