Verwerkersovereenkomst

Partijen en toepasselijkheid

Deze verwerkersafspraken zijn bedoeld voor de overeenkomst tussen de webshop die CookieROAS afneemt, hierna de opdrachtgever, en WSV Commerce B.V., hierna de verwerker. De opdrachtgever wordt geïdentificeerd in de overeengekomen opdracht of orderbevestiging.

De afspraken worden onderdeel van de dienstverlening wanneer partijen ze van toepassing verklaren en aanvaarden. Alleen deze pagina bekijken, een aanvraag indienen of een account hebben geldt niet als aanvaarding. Partijen kunnen de toepasselijke versie bewaren en voegen hun specifieke instructies en afspraken toe aan de opdracht. Dwingend gegevensbeschermingsrecht gaat voor op strijdige afspraken.

De opdrachtgever is verwerkingsverantwoordelijke voor zijn eigen webshopgegevens. Handelt de opdrachtgever zelf als verwerker, bijvoorbeeld voor een klantwebshop, dan schakelt hij WSV Commerce B.V. in als subverwerker met de vereiste toestemming en binnen de instructies van die verantwoordelijke. Onze eigen contact-, account- en bedrijfsadministratie valt onder onze privacyverklaring en niet automatisch onder deze opdracht.

Onderwerp, doel en duur van de verwerking

De opdracht betreft het ontvangen en verwerken van webshopmetingen en beschikbare aankoopgegevens voor de afgesproken trackingdienst. De verwerking omvat verzamelen of importeren, valideren, normaliseren, koppelen, opslaan, analyseren voor het orderoverzicht, aanvullen van geschikte conversiemetingen en doorgeven aan de door de opdrachtgever aangesloten bestemmingen. Optionele monitoring omvat controles en de ingestelde meldingen.

De doelen zijn inzicht geven in aankoopmetingen, bedragen, vastgelegde toestemming en verzendstatus, en de afgesproken conversiemetingen ondersteunen. Dit is geen opdracht om toestemming te omzeilen of onbeperkt persoonsgegevens te verzamelen. De daadwerkelijke verwerking hangt af van de aangesloten webshop, beschikbare gegevens, ingestelde functies en ontvangen toestemmingssignalen.

De verwerking loopt gedurende de overeengekomen dienstverlening en daarna uitsluitend voor noodzakelijke afwikkeling, teruggave of verwijdering volgens deze afspraken en de toepasselijke bewaartermijnen. De opdrachtgever bepaalt de beoogde inzet; de verwerker gebruikt de opgedragen gegevens niet voor eigen advertenties, verkoop aan derden of eigen modeltraining.

Gegevens en betrokkenen

De betrokkenen zijn bezoekers en klanten van de aangesloten webshop, waaronder personen die een aankoop doen of met de webshop interageren. Bevoegde contactpersonen kunnen betrokken zijn voor zover hun gegevens deel uitmaken van de verwerking in opdracht.

• Orderreferenties, orderregels of productreferenties waar aangeleverd, bedragen, valuta en tijdstippen.
• Pagina-, sessie-, browser-, klik- en campagnegegevens en technische informatie over metingen en fouten, voor zover de ingeschakelde functie die verwerkt.
• Vastgelegde toestemmingssignalen, bron en tijdstip, waaronder geweigerd, onbekend of niet waargenomen.
• Aangeleverde klant- of matchgegevens, zoals e-mailgegevens of daarvan afgeleide hashes, waar de ingestelde verwerking dit toelaat.
• Site- en koppelingsreferenties, accountidentificaties en beveiligde toegangsgegevens die nodig zijn om de afgesproken koppelingen uit te voeren.

Deze opsomming verplicht de opdrachtgever niet alle genoemde gegevens aan te leveren. Bijzondere persoonsgegevens en gegevens over strafrechtelijke feiten zijn niet het beoogde invoerdoel van de dienst. De opdrachtgever levert alleen gegevens aan die nodig en toegestaan zijn voor zijn inzet. Hashes en andere gepseudonimiseerde gegevens zijn niet automatisch anoniem.

Schriftelijke instructies en verantwoordelijkheden

De verwerker verwerkt de gegevens uitsluitend op gedocumenteerde instructies van de opdrachtgever, waaronder de geaccepteerde opdracht, deze afspraken en de instellingen en handelingen van bevoegde gebruikers. Instructies voor doorgiften buiten de EER vallen hier ook onder. Wij informeren de opdrachtgever als een instructie naar ons oordeel strijdig is met toepasselijk gegevensbeschermingsrecht en stemmen de verdere afhandeling af.

Verplicht toepasselijk Unierecht of lidstatelijk recht ons tot een andere verwerking, dan informeren wij de opdrachtgever vooraf over die verplichting, tenzij de wet dit om gewichtige redenen van algemeen belang verbiedt.

De opdrachtgever zorgt voor zijn grondslag, informatie aan bezoekers en klanten, vereiste toestemming en bevoegdheid voor de aangesloten domeinen en advertentieaccounts. Onbekende toestemming is geen toestemming. Instellingen of een betaald abonnement vervangen deze verantwoordelijkheden niet. Wij vragen verduidelijking wanneer de opdracht of toestemming niet toereikend duidelijk is.

Geheimhouding en beveiligingsmaatregelen

Wij beperken toegang tot personen die die voor de uitvoering nodig hebben en zorgen dat zij aan geheimhouding zijn gebonden. Bevoegde gebruikers en beheerders gebruiken toegang binnen hun taak. De opdrachtgever beveiligt zijn eigen accounts, apparaten en bevoegdheden en meldt onjuiste toegang of misbruik.

De technische maatregelen omvatten toegangscontroles per organisatie en website, authenticatie, beveiligde websiteverbindingen, begrenzing en validatie van invoer, filtering van gevoelige meetvelden en beveiliging van koppelingsgeheimen. Hashing of veldversleuteling wordt toegepast waar de betreffende functie daarvoor is ingericht. Dat betekent niet dat ieder gegevensveld anoniem of de volledige database automatisch versleuteld is.

Wij treffen passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG. Daarbij beoordelen wij vertrouwelijkheid, integriteit, beschikbaarheid, herstel en periodieke toetsing, rekening houdend met de stand van de techniek, kosten, aard, omvang, context, doelen en risico’s. Herstelkopieën, toegangsbeheer, updates en incidentafhandeling horen daarbij. Deze afspraken bevatten geen onbevestigde certificering, absolute beveiligingsgarantie of afzonderlijke beschikbaarheids-SLA.

Dienstverleners en subverwerkers

De opdrachtgever verleent algemene schriftelijke toestemming voor de subverwerkers die voor zijn opdracht zijn vermeld in het onderstaande overzicht en de geaccepteerde opdracht. Alleen diensten die daadwerkelijk persoonsgegevens voor die opdracht verwerken, zijn voor die verwerking subverwerker. Leveranciers voor onze eigen administratie en ontvangers die de webshop zelf aanwijst, kunnen een andere rol hebben.

Wij informeren de opdrachtgever tijdig vóór het inschakelen van een nieuwe of vervangende subverwerker voor zijn gegevens, met gelegenheid om vóór het nieuwe gebruik gemotiveerd bezwaar te maken op gegevensbeschermingsgronden. Partijen bespreken een passende oplossing of het beëindigen van de betreffende verwerking wanneer geen oplossing mogelijk is. Bij urgente beveiligingsmaatregelen communiceren wij zo spoedig mogelijk; wettelijke toestemmings- en informatieplichten blijven gelden.

Wij leggen de subverwerker voor de opgedragen verwerking dezelfde relevante gegevensbeschermingsverplichtingen op en blijven tegenover de opdrachtgever verantwoordelijk voor de nakoming daarvan. Het overzicht en links naar leveranciersdocumenten zijn geen verklaring dat ieder mogelijk leverancierscontract al namens de opdrachtgever is gesloten.

Advertentieplatformen en internationale doorgiften

Google Ads, Meta en andere door de opdrachtgever gekozen bestemmingen ontvangen uitsluitend gegevens binnen de geactiveerde koppeling en opdracht. De rol van het platform hangt af van de dienst, zijn voorwaarden en de betrokken verwerking. Een gekozen advertentieplatform is niet alleen door vermelding op deze pagina automatisch een subverwerker van WSV Commerce B.V. De opdrachtgever verzorgt de vereiste accountautorisaties en platformafspraken.

Onze eigen Google Analytics-websiteanalyse en onze zakelijke mailbox zijn afzonderlijke verwerkingen voor onze eigen organisatie. Zij worden niet door deze opdracht automatisch ingeschakeld voor bezoekers van de klantwebshop. Beschikbaarheid van een integratie of een logo bewijst geen actieve gegevensoverdracht.

Bij een doorgifte buiten de EER passen partijen de vereisten van hoofdstuk V AVG toe. Waar nodig wordt de toepasselijke grondslag, zoals een geldig adequaatheidsbesluit of standaardcontractbepalingen met de vereiste beoordeling en aanvullende maatregelen, vastgesteld en vastgelegd. Een EU-regio voor een server of voor e-mailverzending bewijst niet dat alle opslag, ondersteuning en verdere verwerking uitsluitend in de EU plaatsvindt.

Rechten van betrokkenen en andere bijstand

De opdrachtgever behandelt verzoeken van zijn bezoekers en klanten. Ontvangen wij rechtstreeks een verzoek over gegevens die wij voor de opdrachtgever verwerken, dan verwijzen wij de betrokkene naar de opdrachtgever en informeren wij die waar passend. Wij nemen geen zelfstandige beslissing over zo’n verzoek buiten de opdracht of een wettelijke verplichting.

Rekening houdend met de aard van de verwerking ondersteunen wij de opdrachtgever met passende technische en organisatorische maatregelen bij het afhandelen van privacyrechten. Voor zover onze verwerking en beschikbare informatie daarvoor relevant zijn, helpen wij ook bij beveiligingsverplichtingen, meldingen van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging overeenkomstig de artikelen 32 tot en met 36 AVG.

Datalekken en informatie over incidenten

Wanneer wij kennis krijgen van een inbreuk in verband met persoonsgegevens die wij voor de opdrachtgever verwerken, melden wij dit zonder onredelijke vertraging aan de opdrachtgever via de overeengekomen contactroute. Wij wachten niet met een eerste melding tot alle onderzoek is afgerond.

De informatie omvat, voor zover beschikbaar, de aard van de inbreuk, betrokken gegevens en categorieën personen, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen en een contactpunt. Ontbrekende informatie volgt stapsgewijs zodra die beschikbaar is. Wij werken mee aan onderzoek, beperking en de noodzakelijke informatie voor de beoordeling door de opdrachtgever.

De opdrachtgever beoordeelt zijn meldplichten aan toezichthouders en betrokkenen. De wettelijke termijn die voor een melding door een verantwoordelijke kan gelden, is geen algemene wachttijd voor onze melding als verwerker. Meld een vermoeden aan info@cookieroas.eu zonder wachtwoorden, toegangstokens of onnodige klantgegevens mee te sturen.

Bijlage: bewaring en verwijdering

Het onderstaande overzicht beschrijft de onderscheiden gegevenscategorieën en technische bewaarinrichting. Een afgesproken zichtbare orderhistorie is niet hetzelfde als de bewaartermijn van alle onderliggende metingen, auditgegevens of herstelkopieën. Afwijkende instellingen en instructies worden voor de opdracht vastgelegd.

Dit overzicht beschrijft de gecontroleerde inrichting en het vastgestelde beleid op 5 november 2026. Instellingen, doelbinding, lopende verwerking en wettelijke bewaarplichten kunnen verschillen. De commerciële 7/90 dagen zichtbare historie zijn geen algemene verwijdertermijn. Leveranciers kunnen eigen verwerkings- en back-upperioden hebben.

Geplande verwijdering wordt uitgevoerd via de betreffende opruimprocessen en kan afhankelijk zijn van verwerking, wachtrijen of een geldige bewaarplicht. De opdrachtgever kan om verduidelijking van de toepasselijke instellingen en de afhandeling van zijn verwijderinstructie vragen. Een ingestelde termijn of een lege dashboardweergave is op zichzelf geen bewijs dat elke kopie al is verwijderd.

Teruggave en verwijdering na afloop

Na afloop van de verwerkingsdiensten verwijdert de verwerker de persoonsgegevens of geeft deze terug, naar keuze van de opdrachtgever, en verwijdert hij bestaande kopieën, tenzij toepasselijk recht bewaring voorschrijft. Partijen leggen de keuze, het benodigde uitvoerformaat, de afsluiting van koppelingen en de uitvoering van de verwijdering vast. Een verzoek kan via info@cookieroas.eu worden ingediend.

Herstelkopieën en eerder gemaakte migratie-, export- of testkopieën worden bij die afhandeling betrokken voor zover zij opgedragen persoonsgegevens bevatten. Ze vallen niet buiten de afspraken doordat ze buiten de live database staan. Voor kopieën die niet direct afzonderlijk kunnen worden verwijderd, worden de beperking van toegang, het verbod op ander gebruik en de toepasselijke uitfasering of verwijdering vastgesteld. Bij herstel moeten eerdere verwijderinstructies worden gerespecteerd.

Wij informeren over relevante resterende kopieën en wettelijke uitzonderingen en bevestigen de uitgevoerde afhandeling op basis van beschikbare controle-informatie. Deze bepaling introduceert geen onbevestigde universele verwijdertermijn voor backups en wijzigt geen bestaande bewaarplicht voor onze eigen bedrijfsadministratie.

Controle, audits en wijzigingen

Wij stellen informatie beschikbaar die nodig is om de naleving van deze verwerkersafspraken aan te tonen en werken mee aan audits, waaronder inspecties, door de opdrachtgever of een door hem gemachtigde auditor. Partijen stemmen een passende uitvoering af, met bescherming van vertrouwelijke informatie, beveiliging en gegevens van andere klanten. Die praktische afspraken beperken geen wettelijke onderzoeksbevoegdheden van een toezichthouder.

Partijen beoordelen relevante wijzigingen in de opdracht, gegevenscategorieën, maatregelen, leveranciers of doorgiften en leggen noodzakelijke aanpassingen vast. Een nieuwe tekst op de website is niet automatisch een nieuwe instructie of een vervanging van eerder aanvaarde afspraken. Deze afspraken bevatten geen afzonderlijke beperking van wettelijke rechten of aansprakelijkheid onder de AVG.

Lees ook onze privacyverklaring voor onze eigen verwerkingen en de algemene voorwaarden voor de dienstverlening.