Deze versie beschrijft onze gegevensverwerking en vastgestelde afspraken. De termijnen voor eigen contactaanvragen, gesloten accounts en historische kopieën worden handmatig uitgevoerd. Voorwaarden en verwerkersafspraken gelden wanneer zij onderdeel zijn van de overeengekomen opdracht; alleen deze pagina bekijken is geen aanvaarding.
Wie is verantwoordelijk?
CookieROAS is een dienst van WSV Commerce B.V. Wij zijn verwerkingsverantwoordelijke voor onze eigen website, contactaanvragen, accountbeheer en bedrijfsadministratie.
WSV Commerce B.V.Burgemeester Minkenbergstraat 306107 AE Stevensweert, NederlandKvK 76001474info@cookieroas.euVoor gegevens van bezoekers en klanten van aangesloten webshops handelen wij op instructie van de webshop. De webshop bepaalt de doeleinden en rechtsgrond en is doorgaans verwerkingsverantwoordelijke; wij zijn verwerker binnen de afgesproken instructies. Deze verklaring vervangt niet de privacyverklaring van die webshop of onze verwerkersovereenkomst. De rol van Google of Meta hangt af van het product en de voorwaarden; zij zijn niet voor iedere verwerking onze subverwerker.
Contact, accounts en rechtsgronden
Bij contact verwerken wij de ingevulde naam, het e-mailadres, onderwerp, webshopadres, platform, bericht en taal. Resend bezorgt de aanvraag aan onze contactmailbox en verstuurt een ontvangstbevestiging zonder kopie van je bericht. E-mail kan nog afkomstig zijn van info@cookierisk.eu. De applicatie bewaart het bericht niet in een afzonderlijke contactdatabase; het staat wel in de betrokken e-mailsystemen. Tijdelijke technische kenmerken helpen dubbele verzending en misbruik te beperken.
Voor accounts verwerken wij naam, e-mailadres, organisatie, rol, sessiegegevens en, waar van toepassing, IP-adres en browserinformatie. Wachtwoorden worden als wachtwoordhash bewaard. Functionele sessiegegevens zijn nodig om toegang te verlenen en te beveiligen.
Wij gebruiken deze gegevens om je vraag te beantwoorden en de dienst te leveren. Ben je zelf contractspartij, dan is de grondslag uitvoering van de overeenkomst of de door jou gevraagde voorbereiding daarvan (artikel 6 lid 1 onder b AVG). Voor zakelijke contactpersonen en beveiliging gebruiken wij het gerechtvaardigde belang bij klantencontact, toegangsbeheer en misbruikpreventie (onder f), na belangenafweging. Wettelijk verplichte administratie berust op een wettelijke verplichting (onder c). Voor eigen websiteanalyse vragen wij toestemming (onder a).
Verplichte formuliervelden zijn nodig om de aanvraag te behandelen; zonder die gegevens kunnen wij deze niet afhandelen. Aanvullende informatie is vrijwillig. Stuur geen wachtwoorden, toegangstokens of onnodige klantgegevens.
Welke webshopgegevens verwerken wij?
Afhankelijk van ingeschakelde functies ontvangen wij gegevens van de meetcode in de browser, de webshop of orderimport en aangesloten platformen:
- Orderreferenties, aankoopbedragen, valuta, tijdstippen en bronverwijzingen; bij passende Google-verrijking ook productreferenties, aantallen en prijzen.
- Pseudonieme sessie- en gebeurteniskenmerken, paginacontext, verwijzende domeinen, waargenomen meet- en verzendpogingen en foutinformatie.
- Toestemmingssignalen met tijdstip en herkomst, waaronder geweigerd, onbekend en privacyvoorkeuren zoals Global Privacy Control.
- Advertentieklik- en browserkenmerken en campagnegegevens, voor zover functie, instellingen en vereiste toestemming dit toelaten. Optionele Google-verrijking kan reeds gehashte e-mailadressen of telefoonnummers en beperkte sessieattributen gebruiken.
- Afgeleid land en globale browser- of apparaatkenmerken. Gewone meetinname bewaart niet standaard het ruwe IP-adres of de volledige user-agent; netwerkdiensten zien deze bij het verzoek. Accountbeveiliging en optionele Google-sessieattributen kunnen wel een IP-adres respectievelijk volledige landing-page-user-agent verwerken.
- Integratiegegevens zoals account-ID’s, toegangstokens en opgeslagen toegangsgegevens voor beveiligde imports of websites.
Op instructie van de webshop gebruiken wij dit om aankopen te meten, meetverschillen te tonen, geschikte conversies aan te vullen, dubbeltellingen te voorkomen en verzendstatus en toestemming per order te tonen. Monitoring gebruikt meetgegevens voor controles en ingestelde meldingen.
Paginaverzameling kan beperkt zijn tot een hash of ook paden en geselecteerde querygegevens bevatten. Bekende gevoelige velden worden gefilterd; een pad of onbekende querywaarde kan toch persoonsgegevens bevatten. Beperkte ruwe meetgegevens kunnen bij uitdrukkelijke inschakeling versleuteld worden bewaard. Hashing en versleuteling maken gegevens niet automatisch anoniem.
De software ondersteunt optionele checkout-e-mailverrijking, die het e-mailadres in de browser normaliseert en hasht. Deze functie staat momenteel uit. De huidige Meta-aankoopkoppeling gebruikt fbc en fbp, aankoopbedrag, valuta en gebeurtenisgegevens; zij voegt geen e-mail, telefoonnummer, IP-adres of user-agent toe.
De webshop moet rechtsgrond en bezoekersinformatie beoordelen. Beperkte toestemmings- en technische meetbewijzen kunnen vóór akkoord worden vastgelegd; dit is iets anders dan toestemming voor advertentietracking. Server-side verwerking vervangt geen vereiste toestemming; onbekend betekent geen akkoord. De huidige Google-browseraankoopinstellingen vereisen geaccepteerde toestemming. De software ondersteunt ook een optionele beperkte verzending bij expliciet geweigerde Google-signalen; die instelling staat uit en vereist vóór gebruik een afzonderlijke beoordeling door de webshop.
Ontvangers en verwerking buiten de EER
Voor hosting, opslag, netwerkverwerking, back-ups en e-mail gebruiken wij de onderstaande dienstverleners voor de genoemde onderdelen. Een ingeschakelde Google Ads- of Meta-koppeling verzendt de gegevens die bij die bestemming en verwerking horen. Een integratielogo betekent niet dat die bestemming voor iedere webshop actief is.
| Dienstverlener | Functie | Locatie en afbakening |
|---|---|---|
| Vercel Inc. | Website, API, ontvangst en verwerking van verzoeken | Applicatiefuncties Frankfurt (fra1); wereldwijde infrastructuur en mogelijke doorgiften buiten de EER |
| Hetzner Online GmbH | Database en versleutelde offsite back-ups | Database Helsinki, Finland; back-ups Neurenberg, Duitsland |
| Railway Corporation | Achtergrondverwerking en geplande verwerkingstaken | Hostingregio en overige verwerkingslocaties volgens de actieve providerafspraken; geen algemene EU-garantie |
| Cloudflare, Inc. | Netwerk, first-party proxy, tijdelijke intake en e-maildoorsturing | Wereldwijd netwerk; regionale opslag en doorgiften volgens toepasselijke dienstinstellingen en voorwaarden |
| Resend (Plus Five Five, Inc.) | Contactberichten, bevestigingen en ingeschakelde notificatiemails | Opgeslagen e-mail en logs in de VS; standaard 30 dagen, eigen back-ups 7 dagen. Een EU-verzendregio betekent geen EU-opslag |
| Google Workspace | Onze eigen zakelijke contactmailbox; niet automatisch een ontvanger van webshopmeetdata | Mailbox- en eventuele archiefinstellingen zijn afzonderlijk; dienstverlening en mogelijke doorgiften volgens het Workspace-contract |
Andere ontvangers kunnen bevoegde medewerkers, ingeschakelde adviseurs en autoriteiten zijn, voor zover toegang nodig is voor hun taak of een wettelijke verplichting. Toegang wordt beperkt tot het relevante doel.
Een Europese serverlocatie sluit toegang of verwerking buiten de Europese Economische Ruimte niet uit. Doorgifte waarop hoofdstuk V AVG van toepassing is vereist passende waarborgen, zoals een toepasselijk adequaatheidsbesluit of standaardcontractbepalingen van de Europese Commissie met de vereiste aanvullende beoordeling en maatregelen. Vraag via ons contactadres informatie over de waarborgen voor jouw verwerking. Deze lijst bevestigt niet dat alle contracten en doorgiftevoorwaarden onafhankelijk zijn gecontroleerd of dat alle verwerking uitsluitend in de EU plaatsvindt.
Bewaartermijnen en verwijderen
De termijnen hieronder onderscheiden gegevenscategorieën. De zichtbare orderhistorie van een abonnement betekent niet dat alle onderliggende gegevens tegelijk worden verwijderd.
| Gegevens | Termijn of criterium | Wat dit betekent |
|---|---|---|
| Consent-, tracking- en orderbewijs | Standaard 90 dagen; een kortere ingestelde termijn kan gelden | Brongegevens kunnen één extra verwerkingsdag nodig zijn. Actieve verzending, afhankelijkheden of een mislukte opruiming kunnen verwijdering uitstellen. |
| Sessiesamenvattingen | Standaard 400 dagen, of de ingestelde kortere termijn | Dit is afzonderlijke samenvattingshistorie; verwijderen van detailbewijs verwijdert deze niet automatisch. |
| Versleutelde ruwe meetpayloads en inzagelog | Payloads 30 dagen; inzagelog 400 dagen | Alleen voor ingeschakelde ruwe opslag. Beveiligings- en verantwoordingsgegevens hebben een eigen bewaardoel. |
| Installatie- en afwijzingsdiagnostiek | Geslaagde/informatieve checks 14 dagen; overige checks standaard 90 dagen; ingest-afwijzingen 14 dagen | Kortere ingestelde categorieperioden kunnen gelden. |
| Verwerkings- en systeemdiagnostiek | Publicatielogs standaard 30 dagen; geslaagde cronregistraties 14 dagen, overige 90 dagen | Lopende of noodzakelijke laatste registraties blijven beschermd. Metriekbatches hebben een afzonderlijke periode van acht dagen. |
| Advertentie- en verrijkingsvelden | Afzonderlijke vervaltermijnen; veel versleutelde klik-, sessie- en verrijkingsvelden vervallen na 90 dagen | Periodieke opruiming wist de vervallen velden en kan vertragen. Het wissen van een veld verwijdert niet automatisch de orderreferentie, hash, verzendstatus of bijbehorende bewijsregistratie. |
| Verzendbewijs, ontdubbeling en verwijderbewijzen | Zolang nodig voor de aansluiting, verwerking of het aantonen van uitgevoerde acties | Geen algemene leeftijdsgebonden verwijdering voor alle tabellen. Sommige vingerafdrukken blijven tot websiteverwijdering; verwijderbewijzen kunnen bij de organisatie blijven. |
| Accounts, sessies en toegangsconfiguratie | Tijdens gebruik; accountgegevens binnen 30 dagen na accountbeëindiging, behoudens wettelijke administratie of een concreet geschil | Een verlopen sessie is ongeldig, maar is daarmee niet automatisch uit de database verwijderd. Accountverwijdering wordt handmatig afgehandeld; een verzoek voor webshopgegevens wordt afzonderlijk uitgevoerd. |
| Contactaanvragen en e-mail | Afgehandelde aanvragen maximaal 12 maanden na afhandeling; Resend bewaart verzonden e-mail/logs standaard 30 dagen | Contactberichten staan in de e-mailketen, niet in een afzonderlijke contacttabel van de applicatie. Mailboxopruiming wordt handmatig uitgevoerd; databaseopruiming wist geen Google Workspace-mailbox. |
| Databaseback-ups | Drie volledige en veertien differentiële back-ups | Aantallen, geen gegarandeerd aantal dagen. De back-upfrequentie en succesvolle uitvoering bepalen de ouderdom. De gecontroleerde back-ups zijn versleuteld. |
| Historische export-, migratie- en herstelkopieën | Binnen 30 dagen nadat is vastgesteld dat de kopie niet meer nodig is, na controle op herstelbaarheid en wettelijke uitzonderingen | Een productieopruiming verwijdert bestaande losse archief- en testkopieën niet automatisch. Ze worden handmatig beoordeeld en verwijderd, met toegangsbeperking en respect voor verwijderinstructies. |
Dit overzicht beschrijft de gecontroleerde inrichting en het vastgestelde beleid op 5 november 2026. Instellingen, doelbinding, lopende verwerking en wettelijke bewaarplichten kunnen verschillen. De commerciële 7/90 dagen zichtbare historie zijn geen algemene verwijdertermijn. Leveranciers kunnen eigen verwerkings- en back-upperioden hebben.
Afgehandelde contactaanvragen bewaren wij maximaal 12 maanden na afhandeling. Accountgegevens verwijderen wij binnen 30 dagen na beëindiging van het account, behalve gegevens die nodig blijven voor wettelijke administratie of een concreet geschil. Wij voeren deze verwijdering handmatig uit; er is geen algemene automatische account- of mailboxopruiming. Wettelijk te bewaren administratie wordt afzonderlijk behandeld.
Verwijdering uit de actieve database verwijdert niet onmiddellijk iedere back-up. Versleutelde back-ups hebben een eigen rotatie. Bij herstel moeten eerdere verwijderinstructies opnieuw worden toegepast; back-ups zijn niet bedoeld voor regulier gebruik van verwijderde gegevens. Externe mailboxen, advertentieplatformen en andere ontvangers hebben daarnaast eigen toepasselijke bewaar- en verwijderafspraken.
Verwijdering aanvragen kan via info@cookieroas.eu. Neem voor een bestelling eerst contact op met de webshop. Wij ondersteunen hem bij gegevens die wij namens hem verwerken.
Beveiliging en incidenten
Maatregelen omvatten organisatie- en sitegebonden toegangscontroles, authenticatie, begrenzing van inkomende gegevens, filtering van gevoelige meetvelden en versleuteling voor aangewezen identificatoren, ruwe gegevens en geheimen. Orderreferenties kunnen versleuteld en met een sitegebonden HMAC-index worden verwerkt. Een hash garandeert geen anonimiteit.
Geen systeem is risicovrij. Meld een vermoeden van een datalek of onbedoelde toegang aan info@cookieroas.eu. Stuur geen wachtwoorden, tokens of onnodige klantgegevens. Meldingen, samenwerking en verantwoordelijkheden vallen onder de AVG en toepasselijke verwerkersafspraken.
Jouw privacyrechten
Afhankelijk van de verwerking heb je recht op inzage, correctie, verwijdering, beperking en gegevensoverdraagbaarheid. Je kunt bezwaar maken tegen verwerking op grond van gerechtvaardigd belang. Toestemming kun je intrekken zonder de rechtmatigheid van eerdere verwerking aan te tasten. Deze rechten zijn niet onbeperkt; een wettelijke bewaarplicht kan verwijdering beperken.
Stuur je verzoek naar info@cookieroas.eu. Wij controleren je identiteit waar nodig passend, zonder standaard een volledige identiteitskopie te vragen. Wij reageren in beginsel binnen een maand. Bij complexe of talrijke verzoeken kan dit met maximaal twee maanden worden verlengd; daarover informeren wij je binnen de eerste maand met de reden.
Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens of een andere bevoegde toezichthouder. Voor verwerking onder verantwoordelijkheid van een webshop behandelt die webshop je verzoek, met onze ondersteuning.
Versie en aanvullende afspraken
Deze inhoud is op 5 november 2026 getoetst aan de onderzochte code en beschikbare configuratie. Dit garandeert niet dat iedere leveranciersvoorwaarde of toekomstige instelling gelijk blijft. De versie hierboven vermeldt de datum en de wijze waarop de afspraken gelden. We passen de verklaring aan bij relevante wijzigingen en informeren betrokkenen waar nodig.
De verwerkersovereenkomst regelt webshopinstructies, beveiliging, subverwerkers, hulp bij rechten, incidenten en beëindiging. Zie ook de voorwaarden.
Bronnen: AVG, met name artikelen 5, 6, 12–22, 28 en 44–49 en standaardcontractbepalingen van de Europese Commissie.
Versie 1.0 · 5 november 2026 · WSV Commerce B.V. · Bewaar deze tekst via de afdruk- of PDF-functie van je browser.