Verwerkersovereenkomst Laposta voor Shopify

Versie 1.0, 12 november 2026.

1. Partijen en toepassing

Deze verwerkersovereenkomst geldt tussen de merchant die de app Laposta Integration ("de App") op een Shopify-winkel installeert ("u", de verwerkingsverantwoordelijke) en Miix, de ontwikkelaar van de App ("wij", de verwerker). Zij is van toepassing op alle persoonsgegevens die wij namens u verwerken zolang de App geïnstalleerd is, conform artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

Door de App te installeren of te blijven gebruiken, aanvaardt u deze verwerkersovereenkomst. Zij vult ons privacybeleid voor de App en onze algemene voorwaarden aan (artikel 20). Wilt u een ondertekend exemplaar, neem dan contact met ons op (zie artikel 15).

2. Onderwerp, aard en doel van de verwerking

Wij verwerken persoonsgegevens uitsluitend om de functionaliteit van de App te leveren: het synchroniseren van klantgegevens en e-mailmarketingtoestemming tussen uw Shopify-winkel en uw eigen Laposta-account, in de richting(en) die u instelt. Wij gebruiken de gegevens niet voor andere doeleinden, verkopen ze niet en combineren ze niet met gegevens van andere merchants.

3. Categorieën betrokkenen en persoonsgegevens

Betrokkenen: klanten en potentiële klanten van uw Shopify-winkel.

Persoonsgegevens, voor zover u deze velden in de App koppelt:

Naam, e-mailadres, telefoonnummer
Adresgegevens en bedrijfsnaam
Status van e-mailmarketingtoestemming
Andere klantvelden die u koppelt (zoals tags, notities, taal, aantal bestellingen en totaal besteed)

Daarnaast bewaren wij gegevens over u als merchant: uw winkeldomein, Shopify-toegangsgegevens, uw Laposta API-key en uw lijst- en veldkoppelingen.

4. Duur van de verwerking

Persoonsgegevens van klanten worden alleen tijdens doorgifte verwerkt: ze worden uit het ene systeem gelezen en naar het andere geschreven, en niet in de database van de App opgeslagen. Technische serverlogs kunnen e-mailadressen van klanten bevatten voor het oplossen van storingen; deze logs worden maximaal 30 dagen bewaard. Deze verwerkersovereenkomst geldt zolang de App op uw winkel geïnstalleerd is.

5. Instructies

Wij verwerken persoonsgegevens uitsluitend op basis van uw schriftelijke instructies. Uw configuratie van de App (gekoppelde lijsten, veldkoppelingen, twee-weg sync aan of uit) geldt als uw instructie. Als een instructie naar ons oordeel in strijd is met de AVG, informeren wij u. Wij verwerken alleen zonder instructie als een Unierechtelijke of lidstaatrechtelijke bepaling ons daartoe verplicht; in dat geval informeren wij u, tenzij die wetgeving dat verbiedt.

6. Geheimhouding

Alleen personen die door Miix zijn gemachtigd en toegang nodig hebben om de App te beheren en te ondersteunen, hebben toegang tot de persoonsgegevens. Zij zijn tot geheimhouding verplicht.

7. Beveiligingsmaatregelen

Wij nemen passende technische en organisatorische maatregelen conform artikel 32 AVG, waaronder:

Versleuteling tijdens transport (HTTPS/TLS) voor alle communicatie met Shopify, Laposta en onze database
Versleuteling in rust (AES-256) van onze database en back-ups
Verificatie van alle binnenkomende webhooks (HMAC-handtekeningen voor Shopify; per-winkel tokens en handtekeningen voor Laposta)
Strikte scheiding van gegevens per winkel, en gescheiden test- en productieomgevingen
Toegang tot productiesystemen beperkt tot gemachtigde personen, beveiligd met sterke wachtwoorden en tweestapsverificatie
Dagelijkse, wekelijkse en maandelijkse versleutelde back-ups van configuratiegegevens
Een vastgelegde procedure voor beveiligingsincidenten

8. Subverwerkers

U geeft ons algemene toestemming om subverwerkers in te schakelen. Wij maken momenteel gebruik van:

Railway Corporation: hosting van de applicatie (datacenter in Nederland) en de database (datacenter in de Verenigde Staten).

Shopify en Laposta zijn geen subverwerkers van ons: u heeft met hen eigen overeenkomsten, en de App handelt namens u tussen die diensten.

Wij leggen onze subverwerkers verplichtingen op die ten minste hetzelfde beschermingsniveau bieden als deze verwerkersovereenkomst. Bij doorgifte van persoonsgegevens buiten de Europese Economische Ruimte zorgen wij voor passende waarborgen, zoals de standaardcontractbepalingen van de Europese Commissie. Voorgenomen wijzigingen in onze subverwerkers melden wij ten minste 30 dagen vooraf; maakt u bezwaar, dan kunt u de App verwijderen.

9. Rechten van betrokkenen

Rekening houdend met de aard van de verwerking helpen wij u bij het beantwoorden van verzoeken van betrokkenen (zoals inzage, rectificatie of verwijdering). Omdat klantgegevens in uw Shopify-winkel en uw Laposta-account staan, kunt u de meeste verzoeken daar direct afhandelen. Wij ondersteunen de verplichte privacy-webhooks van Shopify voor inzage- en verwijderverzoeken.

10. Datalekken

Wij informeren u zonder onredelijke vertraging, en in ieder geval binnen 48 uur, nadat wij kennis hebben genomen van een inbreuk in verband met persoonsgegevens die uw gegevens betreft. De melding bevat, voor zover bekend, de aard van de inbreuk, de betrokken gegevens en betrokkenen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Wij helpen u bij het voldoen aan uw meldplicht aan de Autoriteit Persoonsgegevens en aan betrokkenen.

11. Bijstand

Waar redelijkerwijs nodig helpen wij u bij gegevensbeschermingseffectbeoordelingen (DPIA's) en voorafgaande raadpleging van de toezichthouder, voor zover deze betrekking hebben op de App.

12. Verwijdering en teruggave van gegevens

Wanneer u de App verwijdert, worden uw sessiegegevens direct verwijderd en uw configuratiegegevens (inclusief uw Laposta API-key en lijstkoppelingen) binnen 48 uur, naar aanleiding van het verwijderverzoek van Shopify. Wij bewaren geen kopieën van persoonsgegevens van klanten. Gegevens die al naar uw Laposta-account of Shopify-winkel zijn gesynchroniseerd, blijven daar onder uw beheer.

13. Audits

Wij stellen alle informatie beschikbaar die redelijkerwijs nodig is om naleving van deze verwerkersovereenkomst aan te tonen. U mag eenmaal per jaar, met een aankondiging van ten minste 30 dagen en op eigen kosten, een audit (laten) uitvoeren door een onafhankelijke, tot geheimhouding verplichte auditor.

14. Aansprakelijkheid en toepasselijk recht

Op deze verwerkersovereenkomst zijn de algemene voorwaarden van Miix van toepassing; bij strijdigheid gaat deze verwerkersovereenkomst voor. De aansprakelijkheid van Miix is beperkt conform artikel 12 van die voorwaarden: tot het bedrag dat de verzekering uitkeert, of bij gebreke daarvan tot de vergoedingen die u in de twaalf maanden voorafgaand aan de schadeveroorzakende gebeurtenis voor de App heeft betaald, behalve in geval van opzet of bewuste roekeloosheid of waar de wet een dergelijke beperking niet toestaat. Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter te Arnhem.

15. Contact

Miix / Fred Klopper
Groningensingel 51-45
6835 EB Arnhem
KvK 09114618
E-mail: hallo@miix.dev