Versie 1.2 · Ingangsdatum: bij publicatie van versie 1.2

Verwerkersovereenkomst

Dit document is openbare informatie en geen juridisch advies. Vraag advies voor jouw specifieke situatie.

Historische versie 1.1

Bewaarversie ter referentie; niet de actuele bedrijfsgegevens of huidige voorwaarden.

Deze verwerkersovereenkomst (DPA) geldt wanneer Catalogix persoonsgegevens verwerkt voor een zakelijke klant die de Catalogix-service gebruikt. De DPA maakt deel uit van de overeenkomst voor de service. Catalogix is de verwerker en de klant de verwerkingsverantwoordelijke, tenzij partijen voor een specifieke verwerking een andere rol vastleggen. Beide partijen voldoen aan toepasselijke privacywetgeving. 1. Gedocumenteerde instructies en reikwijdte Catalogix verwerkt persoonsgegevens van de klant uitsluitend op gedocumenteerde instructies van de klant, waaronder voor het leveren, beveiligen, ondersteunen en verbeteren van de service zoals beschreven in de serviceovereenkomst en openbare documentatie. De klant bepaalt doel en middelen, gegevenscategorieën en bewaartermijnen. Catalogix meldt het als een instructie mogelijk in strijd is met de wet en kan die instructie opschorten totdat er duidelijkheid is. De service is ontworpen voor leverancierscatalogi en productgegevens. De klant uploadt geen gevoelige persoonsgegevens, betaalgegevens, klant- of personeelsdossiers of gereguleerde gegevens, tenzij partijen schriftelijk hebben vastgesteld dat de service daarvoor geschikt is en de vereiste maatregelen zijn getroffen. 2. Verwerkingsdetails en vertrouwelijkheid Het onderwerp is het hosten, ordenen, vergelijken en exporteren van bestanden en bijbehorende accountgegevens. De verwerking duurt zolang de service loopt en gedurende de beperkte periode voor teruggave of verwijdering. Catalogix zorgt dat bevoegde personen aan geheimhoudingsverplichtingen zijn gebonden. 3. Beveiliging Catalogix past redelijke technische en organisatorische maatregelen toe die passen bij de service en risico’s, waaronder geauthenticeerde toegang, scheiding per organisatie, wachtwoordhashing, sessiecontroles en operationele toegangscontroles. Catalogix belooft geen specifieke certificering of absolute beveiliging. De klant blijft verantwoordelijk voor eigen toegangsbeheer en de geschiktheid van de service voor zijn gegevens. 4. Incidenten met persoonsgegevens Catalogix meldt de klant zonder onredelijke vertraging nadat het kennis heeft genomen van een inbreuk in verband met persoonsgegevens die klantgegevens raakt, voor zover informatie beschikbaar is. De melding beschrijft de bekende aard, waarschijnlijke gevolgen en maatregelen. Catalogix werkt redelijk mee aan de reactie van de klant en maakt zonder goede reden of wettelijke verplichting geen openbare toeschrijving die de klant identificeert. 5. Bijstand Rekening houdend met de aard van de verwerking en de informatie waarover Catalogix beschikt, verleent Catalogix redelijke bijstand bij verzoeken van betrokkenen, beveiligingsverplichtingen, meldingen van incidenten, effectbeoordelingen en overleg met toezichthouders. De klant blijft verantwoordelijk voor reacties aan betrokkenen en toezichthouders. Buitengewone of niet-proportionele bijstand kan vooraf overeengekomen redelijk worden gefactureerd. 6. Audits en informatie Catalogix stelt informatie die redelijkerwijs nodig is om naleving aan te tonen beschikbaar, onder voorbehoud van geheimhouding en beveiliging. De klant mag eenmaal per jaar na redelijke kennisgeving een audit op afstand of vragenlijst verzoeken, en aanvullend na een materieel incident of wanneer de wet dat vereist. Audits mogen de service niet verstoren of gegevens van andere klanten blootleggen. 7. Subverwerkers De klant machtigt Catalogix om de subverwerkers op de openbare pagina Subverwerkers te gebruiken. Catalogix legt subverwerkers schriftelijke privacyverplichtingen op en blijft voor hun verwerking verantwoordelijk voor zover de wet dat vereist. Catalogix meldt een materiële voorgenomen wijziging wanneer de wet dat vereist; de klant kan op redelijke, specifieke privacygronden bezwaar maken. 8. Internationale doorgiften Catalogix verricht niet bewust een beperkte internationale doorgifte van klantgegevens zonder rechtmatig doorgiftemechanisme. Partijen leggen toepasselijke waarborgen vast voordat zo’n doorgifte plaatsvindt. Deze openbare DPA belooft geen regio, adequaatheidsbesluit, modelcontractbepaling of doorgiftelocatie; contractuele bevestiging door de eigenaar is in afwachting waar de leverancierslijst dat vermeldt. 9. Teruggave, verwijdering en bewaring De volgende termijnen zijn kalenderdagen of -maanden. Ruwe leveranciersuploads bewaren we zolang de organisatie actief is; we verwijderen ze op een uitdrukkelijk gebruikersverzoek of uiterlijk 30 dagen na sluiting van de organisatie. Verwerkte catalogusdata, koppelingen en versies bewaren we zolang de organisatie actief is, met een herstelperiode van 30 dagen na sluiting. Gegenereerde exports bewaren we 30 dagen. Transactionele mailrecords en bijbehorende webhookevents bewaren we 90 dagen. Bounce- en complaintsuppressiegegevens bewaren we uitsluitend als hash tot 24 maanden na de laatste relevante gebeurtenis. Checkoutpogingen en growth-events bewaren we 24 maanden. Auditlogs bewaren we 24 maanden en applicatie- en securitylogs 90 dagen. Analytics- en attributiegegevens bewaren we maximaal 13 maanden. Sentry-events bewaren we 30 dagen, uitsluitend als optionele Sentry-monitoring is geconfigureerd. Back-ups bewaren we maximaal 35 dagen voor zover de betreffende infrastructuur dit ondersteunt en contractueel is bevestigd; deze openbare DPA belooft geen algemene providercapaciteit of feitelijk toegepaste back-uptermijn. Facturen en fiscaal relevante billinggegevens bewaren we 7 jaar. Bewijs van acceptatie van de Voorwaarden en het Privacybeleid bewaren we 7 jaar na het einde van de overeenkomst. Records van verwijderjobs bewaren we tot succesvolle afronding en daarna nog 90 dagen. Een legal hold kan verwijdering alleen uitstellen als uitdrukkelijke, beperkte en auditeerbare uitzondering, en niet langer dan aantoonbaar noodzakelijk. Na afloop van de hold geldt het gewone verwijderbeleid. Klanten dienen benodigde gegevens vóór sluiting te exporteren; Catalogix is geen permanent archief. 10. Aansprakelijkheid en rangorde De serviceovereenkomst regelt kosten, garanties, aansprakelijkheid en beëindiging. Bij strijd over gegevensverwerking heeft deze DPA voorrang. Niets beperkt dwingende rechten of verplichtingen uit privacywetgeving. Bijlage 1 — Verwerkingsbeschrijving Betrokkenen: zakelijke gebruikers en contactpersonen die de klant in de service invoert. Gegevens: account- en organisatiegegevens, contactgegevens, leveranciers- en catalogusgegevens, supportcorrespondentie en operationele identificatoren. Bijzondere gegevens: niet bedoeld en mogen niet worden geüpload. Handelingen: verzamelen, hosten, ordenen, vergelijken, transformeren, exporteren, ondersteunen en verwijderen. Doel: de catalogusworkflow van de klant leveren. Duur: de looptijd plus de periode voor teruggave/verwijdering. Bijlage 2 — Goedgekeurde subverwerkers en dienstverleners Replit verzorgt applicatiehosting en Replit App Storage, dat wordt ondersteund door Google Cloud Storage (GCS), voor private bestanden. De applicatiedatabase-infrastructuur verwerkt account-, organisatie- en catalogusrecords; de providerketen en contractuele details moeten aan de hand van actuele afspraken worden bevestigd. Resend is uitsluitend transactionele mailprovider wanneer transactionele verzending is geactiveerd en geconfigureerd. Zoho wordt gebruikt voor de zakelijke mailbox en reply-to-correspondentie voor zover die daadwerkelijk wordt gebruikt. Stripe verwerkt billing alleen wanneer billing is ingeschakeld en wordt gebruikt. Sentry is een optionele monitoringprovider en ontvangt monitoringgegevens alleen als die is geconfigureerd. Providerlocaties, contractvoorwaarden en doorgiftewaarborgen moeten worden gecontroleerd aan de hand van actuele providerafspraken; deze openbare DPA belooft geen specifieke regio, certificering of doorgiftelocatie. Contact: hello@catalogix.io

Catalogix is een product van Glintstone Software, een eenmanszaak. Bedrijfsadres: Le Mairekade 77, 1013 CB Amsterdam, Nederland. KvK-nummer: 92388477 · Btw-identificatienummer: NL004951357B48. Publiek contactadres: hello@catalogix.io.

Deze verwerkersovereenkomst wordt gesloten tussen de klant als verwerkingsverantwoordelijke en Glintstone Software als verwerker voor de hierin beschreven dienstverlening via Catalogix.

Deze verwerkersovereenkomst (DPA) geldt wanneer Glintstone Software persoonsgegevens verwerkt voor een zakelijke klant die de Catalogix-service gebruikt. De DPA maakt deel uit van de overeenkomst voor de service. Glintstone Software is de verwerker en de klant de verwerkingsverantwoordelijke, tenzij partijen voor een specifieke verwerking een andere rol vastleggen. Beide partijen voldoen aan toepasselijke privacywetgeving.

1. Gedocumenteerde instructies en reikwijdte

Glintstone Software verwerkt persoonsgegevens van de klant uitsluitend op gedocumenteerde instructies van de klant, waaronder voor het leveren, beveiligen, ondersteunen en verbeteren van de service zoals beschreven in de serviceovereenkomst en openbare documentatie. De klant bepaalt doel en middelen, gegevenscategorieën en bewaartermijnen. Glintstone Software meldt het als een instructie mogelijk in strijd is met de wet en kan die instructie opschorten totdat er duidelijkheid is.

De service is ontworpen voor leverancierscatalogi en productgegevens. De klant uploadt geen gevoelige persoonsgegevens, betaalgegevens, klant- of personeelsdossiers of gereguleerde gegevens, tenzij partijen schriftelijk hebben vastgesteld dat de service daarvoor geschikt is en de vereiste maatregelen zijn getroffen.

2. Verwerkingsdetails en vertrouwelijkheid

Het onderwerp is het hosten, ordenen, vergelijken en exporteren van bestanden en bijbehorende accountgegevens. De verwerking duurt zolang de service loopt en gedurende de beperkte periode voor teruggave of verwijdering. Glintstone Software zorgt dat bevoegde personen aan geheimhoudingsverplichtingen zijn gebonden.

3. Beveiliging

Glintstone Software past redelijke technische en organisatorische maatregelen toe die passen bij de service en risico’s, waaronder geauthenticeerde toegang, scheiding per organisatie, wachtwoordhashing, sessiecontroles en operationele toegangscontroles. Glintstone Software belooft geen specifieke certificering of absolute beveiliging. De klant blijft verantwoordelijk voor eigen toegangsbeheer en de geschiktheid van de service voor zijn gegevens.

4. Incidenten met persoonsgegevens

Glintstone Software meldt de klant zonder onredelijke vertraging nadat het kennis heeft genomen van een inbreuk in verband met persoonsgegevens die klantgegevens raakt, voor zover informatie beschikbaar is. De melding beschrijft de bekende aard, waarschijnlijke gevolgen en maatregelen. Glintstone Software werkt redelijk mee aan de reactie van de klant en maakt zonder goede reden of wettelijke verplichting geen openbare toeschrijving die de klant identificeert.

5. Bijstand

Rekening houdend met de aard van de verwerking en de informatie waarover Glintstone Software beschikt, verleent Glintstone Software redelijke bijstand bij verzoeken van betrokkenen, beveiligingsverplichtingen, meldingen van incidenten, effectbeoordelingen en overleg met toezichthouders. De klant blijft verantwoordelijk voor reacties aan betrokkenen en toezichthouders. Buitengewone of niet-proportionele bijstand kan vooraf overeengekomen redelijk worden gefactureerd.

6. Audits en informatie

Glintstone Software stelt informatie die redelijkerwijs nodig is om naleving aan te tonen beschikbaar, onder voorbehoud van geheimhouding en beveiliging. De klant mag eenmaal per jaar na redelijke kennisgeving een audit op afstand of vragenlijst verzoeken, en aanvullend na een materieel incident of wanneer de wet dat vereist. Audits mogen de service niet verstoren of gegevens van andere klanten blootleggen.

7. Subverwerkers

De klant machtigt Glintstone Software om de subverwerkers op de openbare pagina Subverwerkers te gebruiken. Glintstone Software legt subverwerkers schriftelijke privacyverplichtingen op en blijft voor hun verwerking verantwoordelijk voor zover de wet dat vereist. Glintstone Software meldt een materiële voorgenomen wijziging wanneer de wet dat vereist; de klant kan op redelijke, specifieke privacygronden bezwaar maken.

8. Internationale doorgiften

Glintstone Software verricht niet bewust een beperkte internationale doorgifte van klantgegevens zonder rechtmatig doorgiftemechanisme. Partijen leggen toepasselijke waarborgen vast voordat zo’n doorgifte plaatsvindt. Deze openbare DPA belooft geen regio, adequaatheidsbesluit, modelcontractbepaling of doorgiftelocatie; contractuele bevestiging door de eigenaar is in afwachting waar de leverancierslijst dat vermeldt.

9. Teruggave, verwijdering en bewaring

De volgende termijnen zijn kalenderdagen of -maanden. Ruwe leveranciersuploads bewaren we zolang de organisatie actief is; we verwijderen ze op een uitdrukkelijk gebruikersverzoek of uiterlijk 30 dagen na sluiting van de organisatie. Verwerkte catalogusdata, koppelingen en versies bewaren we zolang de organisatie actief is, met een herstelperiode van 30 dagen na sluiting. Gegenereerde exports bewaren we 30 dagen.

Transactionele mailrecords en bijbehorende webhookevents bewaren we 90 dagen. Bounce- en complaintsuppressiegegevens bewaren we uitsluitend als hash tot 24 maanden na de laatste relevante gebeurtenis. Checkoutpogingen en growth-events bewaren we 24 maanden. Auditlogs bewaren we 24 maanden en applicatie- en securitylogs 90 dagen. Analytics- en attributiegegevens bewaren we maximaal 13 maanden. Sentry-events bewaren we 30 dagen, uitsluitend als optionele Sentry-monitoring is geconfigureerd.

Back-ups bewaren we maximaal 35 dagen voor zover de betreffende infrastructuur dit ondersteunt en contractueel is bevestigd; deze openbare DPA belooft geen algemene providercapaciteit of feitelijk toegepaste back-uptermijn. Facturen en fiscaal relevante billinggegevens bewaren we 7 jaar. Bewijs van acceptatie van de Voorwaarden en het Privacybeleid bewaren we 7 jaar na het einde van de overeenkomst. Records van verwijderjobs bewaren we tot succesvolle afronding en daarna nog 90 dagen.

Een legal hold kan verwijdering alleen uitstellen als uitdrukkelijke, beperkte en auditeerbare uitzondering, en niet langer dan aantoonbaar noodzakelijk. Na afloop van de hold geldt het gewone verwijderbeleid. Klanten dienen benodigde gegevens vóór sluiting te exporteren; Catalogix is geen permanent archief.

10. Aansprakelijkheid en rangorde

De serviceovereenkomst regelt kosten, garanties, aansprakelijkheid en beëindiging. Bij strijd over gegevensverwerking heeft deze DPA voorrang. Niets beperkt dwingende rechten of verplichtingen uit privacywetgeving.

Bijlage 1 — Verwerkingsbeschrijving

Betrokkenen: zakelijke gebruikers en contactpersonen die de klant in de service invoert. Gegevens: account- en organisatiegegevens, contactgegevens, leveranciers- en catalogusgegevens, supportcorrespondentie en operationele identificatoren. Bijzondere gegevens: niet bedoeld en mogen niet worden geüpload. Handelingen: verzamelen, hosten, ordenen, vergelijken, transformeren, exporteren, ondersteunen en verwijderen. Doel: de catalogusworkflow van de klant leveren. Duur: de looptijd plus de periode voor teruggave/verwijdering.

Bijlage 2 — Goedgekeurde subverwerkers en dienstverleners

Replit verzorgt applicatiehosting en Replit App Storage, dat wordt ondersteund door Google Cloud Storage (GCS), voor private bestanden. De applicatiedatabase-infrastructuur verwerkt account-, organisatie- en catalogusrecords; de providerketen en contractuele details moeten aan de hand van actuele afspraken worden bevestigd. Resend is uitsluitend transactionele mailprovider wanneer transactionele verzending is geactiveerd en geconfigureerd. Zoho wordt gebruikt voor de zakelijke mailbox en reply-to-correspondentie voor zover die daadwerkelijk wordt gebruikt. Stripe verwerkt billing alleen wanneer billing is ingeschakeld en wordt gebruikt. Sentry is een optionele monitoringprovider en ontvangt monitoringgegevens alleen als die is geconfigureerd. Providerlocaties, contractvoorwaarden en doorgiftewaarborgen moeten worden gecontroleerd aan de hand van actuele providerafspraken; deze openbare DPA belooft geen specifieke regio, certificering of doorgiftelocatie.

Contact: hello@catalogix.io