Deze pagina is voorlopig alleen in het Nederlands beschikbaar. De taalkeuze bovenaan opent de voorpagina in een andere taal.
Bewaar deze concepttekst (.txt)
1. Wie doet wat met gegevens?
Uitgeest S.L. levert BrightNexo aan zakelijke organisaties. Een organisatie kan winkel, leverancier, producent of meerdere daarvan zijn. De commerciële rol bepaalt niet automatisch de privacyrol. Die hangt af van wie het doel en de middelen van een concrete verwerking bepaalt.
Voor gegevens van websitebezoekers en eigen zakelijke contacten zijn we zelf verantwoordelijk zoals beschreven in de privacyverklaring. Wanneer we klant-, order- of bestandsgegevens uitsluitend in opdracht van jouw organisatie verwerken, leggen we onze rol en jouw instructies vast in een verwerkersovereenkomst. Als partijen samen doelen en middelen bepalen, vraagt dat een afzonderlijke beoordeling en passende afspraken.
2. Deze pagina en de verwerkersovereenkomst
Deze pagina beschrijft uitgangspunten. Zij is op zichzelf geen volledige, klantgebonden verwerkersovereenkomst en bewijst niet dat alle technische maatregelen al zijn gecontroleerd. De concrete verwerkersafspraken bevatten onder meer de werkzaamheden, categorieën gegevens en personen, duur, instructies, beveiliging, ingeschakelde verwerkers, hulp bij verzoeken en incidenten, controle en afhandeling bij vertrek.
Die afspraken moeten aansluiten op de feitelijke inrichting en vóór verwerking namens jou toepasselijk zijn. Publicatie van een nieuwe webtekst vervangt geen vereiste klantafspraak.
3. Scheiding en noodzakelijke uitwisseling
De inrichting moet voorkomen dat organisaties elkaars gegevens zonder grond kunnen inzien. Medewerkers krijgen alleen de toegang die past bij hun taak. Een organisatie met zowel een winkel- als een leveranciersrol krijgt daardoor geen vrij zicht op alle andere deelnemers.
Gegevensuitwisseling is wel nodig bij een gekozen samenwerking: bijvoorbeeld productspecificaties van leverancier naar winkel, en een deelorder met bestand en afleveradres van winkel naar leverancier. De opdracht, rechten en toegestane doeleinden bepalen wat wordt gedeeld. Dat is iets anders dan algemeen hergebruik van een klantenbestand of inzage in de marge van een andere organisatie.
Of een ontvangende leverancier voor een verwerking zelfstandig verantwoordelijk is of als verwerker handelt, moet per dienstverlening worden vastgesteld. Een leverancier is niet alleen door het ontvangen van een order onze subverwerker.
4. Gebruik, vertrouwelijkheid en materiaal
We gebruiken gegevens voor de overeengekomen dienstverlening, ondersteuning en beveiliging, of waar een eigen wettelijke verplichting geldt. Klantgegevens en vertrouwelijke ideeën worden niet zonder aparte grondslag of toestemming ingezet voor reclame van derden, commerciële exploitatie buiten de opdracht of het trainen van algemene AI-modellen.
Ingeschakelde personen zijn passend aan vertrouwelijkheid gebonden. Je bestaande rechten op merk, content en bestanden blijven behouden. Voor gegevens van derden en leveranciersmateriaal moet je beschikken over de benodigde rechten. De voorwaarden beschrijven het beperkte gebruiksrecht voor uitvoering.
5. Ingeschakelde partijen en internationale verwerking
Voor bijvoorbeeld hosting, mail of een geactiveerde AI-functie kunnen andere partijen nodig zijn. In de verwerkersafspraken wordt vastgelegd welke partijen voor jouw verwerking worden ingezet, voor welk doel, waar zij verwerken en op welke grond zij zijn toegestaan. Een wijziging van subverwerkers volgt de overeengekomen autorisatie- en bezwaarprocedure.
Een datacentrum in Europa sluit toegang vanuit andere landen niet automatisch uit. Doorgifte buiten de Europese Economische Ruimte vereist een passende wettelijke grond en waarborgen. De toepasselijke afspraken en informatie over die waarborgen moeten voor de betreffende verwerking beschikbaar zijn. Alleen een lijst met leveranciersnamen is daarvoor niet voldoende.
6. Beveiliging, incidenten en controle
De beveiligingsmaatregelen moeten passen bij de risico’s, waaronder toegangsbeheer, veilige gegevensoverdracht, logging waar nodig, back-ups en controle van herstel. De daadwerkelijk ingerichte maatregelen, verantwoordelijken en toetsing worden in de klantgebonden afspraken beschreven. Er wordt hier geen certificering, volledige auditlogging of specifieke hersteltermijn geclaimd.
Bij een persoonsgegevensincident informeren en ondersteunen we de verantwoordelijke organisatie zonder onredelijke vertraging volgens de wettelijke en contractuele verplichtingen. Benodigde informatie wordt aangevuld zodra die beschikbaar is. Reguliere supportafspraken mogen een wettelijke incidentmelding niet vertragen.
Als we namens jou verwerken, werken we mee aan de overeengekomen controle en verzoeken van betrokkenen. Bij een verzoek over een bestelling bepalen we eerst welke organisatie daarvoor verantwoordelijk is. Gegevens worden niet zonder bevoegdheid aan een andere winkel of leverancier verstrekt.
7. Bewaren, teruggeven en verwijderen
De bewaartermijnen of criteria worden per verwerking vastgelegd. Bij het einde van verwerking namens jou worden persoonsgegevens volgens de verwerkersafspraken teruggegeven of verwijderd, behalve waar de wet opslag verplicht. Ook kopieën en back-ups moeten in die afhandeling zijn betrokken. Een algemene claim ‘alles wordt meteen verwijderd’ zou onjuist zijn zolang wettelijke bewaarplichten, overdracht en back-upcycli niet zijn uitgewerkt.
Voor export en overstappen gelden ook de vertrekafspraken en waar toepasselijk de Data Act. Daarvoor moet vooraf vaststaan welke gegevens en bestanden exporteerbaar zijn, in welke formaten, via welke procedure en gedurende welke ophaalperiode. Verwijderen mag de overeengekomen en wettelijke gelegenheid tot overdracht niet doorkruisen.
8. Vragen en toepasselijkheid
Neem contact op via support@brightnexo.com voor vragen over deze afspraken of gegevensbescherming. De algemene voorwaarden kunnen dwingende privacyrechten of een toepasselijke verwerkersovereenkomst niet opzijzetten. Wijzigingen worden volgens de geldende afspraken gecommuniceerd.