DPA

Deze Verwerkersovereenkomst ("DPA") beschrijft hoe Stackable persoonsgegevens verwerkt in het kader van het leveren van de app aan een handelaar. Deze overeenkomst vormt een aanvulling op onze Gebruiksvoorwaarden en ons Privacybeleid en is van toepassing op de beperkte persoonsgegevens die hieronder worden beschreven.

Voor alle persoonsgegevens die in verband met uw winkel via Stackable worden verwerkt (bijvoorbeeld via de verplichte compliance-webhooks van Shopify), bent u (de handelaar) de verwerkingsverantwoordelijke en treedt Stackable op als uw verwerker, die deze gegevens uitsluitend verwerkt in opdracht van u en voor zover nodig om de dienst te leveren.

Daarnaast treedt Stackable, voor de beperkte accountgegevens die Stackable over u als onze klant bewaart (uw winkeldomein, admin-e-mailadres en personeelsnamen die worden gebruikt voor het activiteitenlogboek in de app), zelfstandig op als verwerkingsverantwoordelijke, zoals beschreven in ons Privacybeleid.

Het onderwerp van de verwerking is het leveren van de Stackable-kortingsapp. De verwerking duurt zolang de app op uw winkel is geïnstalleerd en eindigt volgens het verwijderingstraject in de bewaartermijnsectie van ons Privacybeleid (met inbegrip van de shop/redact-verwijdering die volgt op het verwijderen van de app).

• Het server-side berekenen en toepassen van de kortingscampagnes die u instelt, via Shopify Functions.
• Het vastleggen van geaggregeerde analysegegevens op bestelniveau (bestel-ID, bedrag en welke korting is toegepast), zodat u de prestaties van uw campagnes kunt meten.
• Het namens u beantwoorden van de verplichte compliance-webhooks van Shopify (customers/data_request, customers/redact, shop/redact), zoals beschreven in ons Privacybeleid.
• Het leveren van optionele AI-ondersteunde functies (de campagne-assistent en Scripts Rescue) door de door de merchant aangeleverde invoer die in ons Privacybeleid wordt beschreven - een getypt verzoek, catalogusnamen of een geplakt Script - naar onze AI-subverwerkers te sturen om conceptcampagnes te genereren. Deze invoer betreft zakelijke gegevens van de merchant, geen persoonsgegevens van klanten van de storefront.

Zie "Gegevens die wij verzamelen" en "Wat wij niet verzamelen" in ons Privacybeleid voor de volledige lijst. Kort samengevat: gegevens op winkelniveau en handelaarsaccountgegevens, de configuratie van kortingscampagnes en analysegegevens over bestelbedragen en kortingstoewijzing. Wij verwerken geen persoonlijk identificeerbare klantgegevens van de winkel, behalve de kortstondige, automatisch gewiste ruwe webhookpayload die daar wordt beschreven.

Wij maken gebruik van de volgende subverwerkers om de dienst te leveren. Deze lijst is identiek aan de lijst met subverwerkers in ons Privacybeleid:

Vercel

Hosting en infrastructuur voor de app en deze website (Verenigde Staten).

Supabase

Beheerde Postgres-database: bewaart de hierboven beschreven winkel-, campagne- en analysegegevens (regio Verenigde Staten).

Shopify

Het platform waarop Stackable draait: authenticatie, facturering en de storefront-/checkout-API's waarop de kortingsengine steunt (verwerkt via de eigen wereldwijde infrastructuur van Shopify).

Resend

Transactionele e-mail: verstuurt meldingen van het contactformulier en de wachtlijst (Verenigde Staten).

Google Analytics

Geaggregeerde websiteverkeeranalyse op deze marketingsite, uitsluitend nadat u analytische cookies hebt geaccepteerd; zie ons Cookiebeleid (Verenigde Staten).

Google (Gemini API)

AI-aanbieder voor de in-app campagne-assistent en Scripts Rescue. Wanneer u een korting beschrijft in de assistent, wordt de tekst die u typt verzonden om een passende campagne op te stellen, samen met catalogusnamen uit uw shop (collectietitels, producttags, producttitels) zodat het concept de juiste producten target. Wanneer u een Shopify-Script in Scripts Rescue plakt, wordt de Scripttekst verzonden zodat wij deze als een gelijkwaardige campagne kunnen herbouwen. Wij verzenden nooit persoonsgegevens van klanten - geen namen, e-mailadressen, bestellingen of adressen (Verenigde Staten).

OpenAI

Reserve-AI-aanbieder voor de in-app campagne-assistent en Scripts Rescue, alleen gebruikt als de primaire aanbieder niet beschikbaar is. Verwerkt hetzelfde getypte verzoek en dezelfde catalogusnamen (collectietitels, producttags, producttitels), of de geplakte Scripttekst, geen persoonsgegevens van klanten (Verenigde Staten).

Als wij een subverwerker toevoegen of vervangen die namens u persoonsgegevens verwerkt, werken wij bovenstaande lijst bij en vermelden wij de wijziging in onze changelog. Voortgezet gebruik van Stackable na een dergelijke update geldt als aanvaarding van de nieuwe subverwerker.

Wanneer een subverwerker gegevens buiten uw rechtsgebied verwerkt (bijvoorbeeld in de Verenigde Staten), berust die overdracht op de waarborgen die de subverwerker zelf hanteert, waaronder, waar van toepassing, Standaardcontractbepalingen (SCC's). Wij sluiten momenteel geen afzonderlijke SCC's per handelaar af, maar stellen deze op verzoek beschikbaar naarmate ons handelarenbestand en onze wettelijke verplichtingen daartoe aanleiding geven.

Zie de sectie "Beveiliging" van ons Privacybeleid voor de technische en organisatorische maatregelen die wij toepassen: versleutelde verbindingen, beperkte databasereferenties en toegang die beperkt is tot de teamleden die deze nodig hebben.

Iedereen die op grond van deze DPA toegang heeft tot persoonsgegevens, ons team en onze subverwerkers, is gebonden aan geheimhoudingsverplichtingen met betrekking tot die gegevens, hetzij via een arbeidsovereenkomst, een overeenkomst met een contractant, hetzij via de eigen voorwaarden van de subverwerker met ons.

Als wij kennisnemen van een inbreuk die van invloed is op persoonsgegevens die wij namens u verwerken, stellen wij u onverwijld op de hoogte, en in ieder geval binnen 72 uur nadat wij hiervan kennis hebben genomen, met de informatie die wij op dat moment beschikbaar hebben. Wij werken te goeder trouw met u samen bij eventueel vervolgonderzoek of meldingen die u verplicht bent te doen.

Wij ondersteunen u bij het beantwoorden van verzoeken van betrokkenen door de verplichte compliance-webhooks van Shopify rechtstreeks af te handelen, zoals beschreven in ons Privacybeleid, en door binnen een redelijke termijn te reageren op elk rechtstreeks verzoek dat u aan ons doorstuurt.

Deze DPA blijft van kracht zolang Stackable namens u persoonsgegevens verwerkt. Bij beëindiging (verwijdering van de app) worden gegevens verwijderd volgens het bewaarschema in ons Privacybeleid.

Vragen over deze DPA? Mail ons; zie de contactpagina voor ons ondersteuningsadres.