Privacyverklaring

§1Twee rollen — belangrijk

Ecommy verwerkt persoonsgegevens in twee rollen:

• Verwerkingsverantwoordelijke voor onze eigen klant (de merchant): account-, contact- en facturatiegegevens van de webshop-eigenaar.
• Verwerker namens de merchant voor de data uit hun gekoppelde systemen (Shopify, Mollie, Klaviyo e.a.; de volledige lijst staat in §2a) — daaronder gegevens van eindklanten van de webshop. Hiervoor geldt een verwerkersovereenkomst (DPA) met de merchant; de merchant is verantwoordelijke.

§2Welke gegevens, en waarom

Als verantwoordelijke (merchant-account): naam, e-mail, bedrijfsnaam, KVK/BTW, inlog- en facturatiegegevens. Doel: account, support, facturatie. Grondslag: overeenkomst + gerechtvaardigd belang. Inloggen verloopt via Google Cloud Identity Platform (Firebase Authentication). Daar staan uw e-mailadres, uw wachtwoord (versleuteld opgeslagen als hash — wij zien uw wachtwoord nooit) en, als u die instelt, het geheim van uw tweede factor.

Wij bewaren in de sessie-cookie een intern gebruikers-id (idpSubject) — uitsluitend voor account-acties zoals het instellen van tweefactor; dit id wordt nooit met derden gedeeld (alleen terug naar de identiteitsdienst zelf). Voor een wachtwoord-reset of een uitnodiging sturen wij de e-mail zelf, met onze eigen mail-sub-verwerker (Resend, §5) — de identiteitsdienst mailt u niet.

Als verwerker (namens de merchant):

Wij verwerken geen bijzondere categorieën persoonsgegevens en bouwen geen profielen voor externe doeleinden. Analyse vergelijkt een shop met zijn eigen historie, niet met markt-data.

§2aGegevens uit gekoppelde advertentie- en kanaalbronnen

Naast uw webshop en betaaldienst kunt u advertentie- en kanaalbronnen koppelen. Die leveren cijfers over uw eigen winkel — uitgaven, vertoningen, klikken en bereik — en géén persoonsgegevens van uw eindklanten. Wat er wél een persoonsgegeven is, is de toegang zelf: het account waarmee u de koppeling autoriseert en het token dat daarbij hoort. Dat bewaren wij versleuteld en uitsluitend om de koppeling te laten werken.

Wij lezen alleen. Geen van deze koppelingen schrijft iets terug in uw account: wij plaatsen geen advertenties, wijzigen geen budgetten, publiceren niets en verwijderen niets. Waar een leverancier alleen een gecombineerde lees-en-schrijf-toegang aanbiedt — dat is bij Google Ads het geval, daar bestaat geen alleen-lezen variant — gebruiken wij die uitsluitend om te lezen.

Gegevens die wij via Google-API's ontvangen, gebruiken wij uitsluitend om de winst- en verliesrekening en de bereikcijfers van uw eigen winkel te tonen. Wij verkopen ze niet, delen ze niet met derden voor hun eigen doeleinden, gebruiken ze niet voor advertentietargeting en gebruiken ze niet om AI-modellen te trainen. Dit gebruik voldoet aan het Google API Services User Data Policy, inclusief de Limited Use-eisen. Dezelfde regel geldt voor de gegevens van de andere bronnen hierboven.

Bewaren en intrekken. Deze gegevens vallen onder de termijnen in §4: zolang de koppeling actief is, en verwijderd binnen 30 dagen na opzegging. U trekt een koppeling in door hem in de app te ontkoppelen — daarbij verwijderen wij het token én de keuze van het account of de rekening waar het bij hoorde. Een koppeling intrekken bij de leverancier zelf (bijvoorbeeld via uw Google-accountinstellingen) werkt óók, en dan stopt de aanvoer bij de eerstvolgende ronde.

§3AI-verwerking

Onze AI genereert inzichten uitsluitend op de eigen data van de shop (geen externe benchmarks). AI-modellen draaien EU-resident (zie §5). Er worden geen persoonsgegevens gebruikt om AI-modellen van derden te trainen.

§4Bewaartermijnen

• Merchant-account + facturatie: facturatiegegevens 7 jaar (fiscale bewaarplicht Belastingdienst); overige account-/contactgegevens worden eerder verwijderd na beëindiging.
• Verwerkte merchant-data (orders/klanten/betalingen/retouren; wij = verwerker): zolang de koppeling actief is; verwijdering 30 dagen na opzegging (export-/heractivatie-venster), of eerder op instructie van de merchant (verantwoordelijke).
• Pixel-/trackingevents: geaggregeerd voor analyse; ruwe events bewaard maximaal 14 maanden, daarna verwijderd/geanonimiseerd. (Cookie _ec_uid max. 400 dagen, na consent.)
• Recht op verwijdering (erasure) — eindklanten van een shop: cascaderend uitgevoerd over alle lagen waar wij die persoon bewaren, inclusief samengevoegde identiteiten; audit-bewijs bewaard.
• Recht op verwijdering (erasure) — Ecommy-accounts (merchantgebruikers): wij verwijderen of anonimiseren je gegevens in alle lagen waar wij ze bewaren, en handelen je verzoek binnen 30 dagen af. Verwijder je iemand uit een winkel, dan vervalt zijn toegang tot die winkel; het wissen van het account zelf is een apart verzoek. Van rechtenwijzigingen bewaren we gepseudonimiseerd bewijs, omdat wij moeten kunnen aantonen wie wanneer toegang had.

§5Waar staat de data — EU-residency

Opslag en verwerking van uw shop-data vinden plaats in de EU (Google Cloud, regio europe-west4). Versleuteling in rust en transport; klantdata is per omgeving/dataset gescheiden met row-level security. Twee onderdelen lopen via de Verenigde Staten — het inloggen en de e-mailverzending; die staan hieronder.

Sub-verwerkers:

• Google Cloud Identity Platform — het inloggen zelf. Dit raakt iedere gebruiker bij elke inlog, en het gaat om opslag en niet om doorvoer: uw e-mailadres, uw wachtwoord-hash en uw tweefactor-geheim staan daar zolang uw account bestaat. Waarborg: de standaardcontractbepalingen (SCC's) van Google Cloud.
• Resend — de verzending van e-mail. api.resend.com staat buiten de EER, ook als de bezorging via een EU-regio loopt. Dit raakt alleen wie een wachtwoord-herstelmail of uitnodiging ontvangt, en het is doorvoer en geen opslag. Waarborg: standaardcontractbepalingen (SCC's).

Op die twee doorgiften na vindt alle verwerking in de EU plaats. Uw shop-data — orders, klanten, betalingen, retouren — verlaat de EU niet.

§5aAdvertentie-conversies (Meta Conversions API)

Wanneer de merchant Meta-advertenties koppelt, sturen wij server-side conversie-gebeurtenissen (bv. een aankoop) namens de merchant naar Meta (Conversions API, graph.facebook.com). Dit gebeurt uitsluitend na marketing-toestemming van de eindklant (fail-closed: zonder toestemming geen verzending) en met gehashte identificatoren (SHA-256 van e-mail/telefoon) — nooit ruwe persoonsgegevens.

• Rol van Meta: voor deze conversie-data treedt Meta op als eigen verwerkingsverantwoordelijke onder Meta's Business Tools Terms, niet als sub-verwerker van Ecommy.
• Doorgifte buiten de EER: de call naar Meta gaat naar de VS; waarborg = de standaardcontractbepalingen (SCC's) binnen Meta's Business Tools Terms.
• Grondslag: toestemming (art. 6(1)(a)). Toestemming kan worden ingetrokken; daarna stopt de verzending en geldt het recht op verwijdering (cascaderend, zie §4 + §6).
• DPIA: voor deze verwerking is een gegevensbeschermingseffectbeoordeling opgesteld.

§6Rechten van betrokkenen

Inzage, rectificatie, verwijdering, beperking, bezwaar, dataportabiliteit. Eindklanten van een webshop richten verzoeken aan de merchant (verantwoordelijke); wij ondersteunen die als verwerker. Klachten: Autoriteit Persoonsgegevens.

§7Cookies / tracking

First-party pixel uitsluitend na toestemming (consent). Na marketing-toestemming kunnen conversies server-side met Meta worden gedeeld voor advertentie-meting (gehasht; zie §5a). Geen tracking zonder grondslag; geen verkoop van gegevens aan derden.

Deze website (ecommy.nl): wij gebruiken Google Analytics 4 om te zien hoe de site gebruikt wordt (bezochte pagina's, herkomst, apparaat). Google Analytics laadt pas nadat u in de cookiebanner op Accepteren klikt; daarvóór plaatsen wij geen Google-cookies. Advertentiesignalen staan uit. Uw keuze bewaren wij in de cookie ecommy_consent (6 maanden); die is noodzakelijk en wordt ook geplaatst als u weigert. U kunt uw keuze altijd wijzigen via Cookie-instellingen onderaan elke pagina.

§8Beveiliging

Envelope-encryptie (KMS, per-tenant sleutels voor tokens), RLS-tenant-isolatie, audit-logging, EU-dataopslag, dataminimalisatie. Incident-respons en datalek-melding conform AVG.

§9Wijzigingen

Wij kunnen deze verklaring aanpassen; materiële wijzigingen melden we vooraf.