| Verwerkingsverantwoordelijke | __________________________________ (webshop), KvK ______________ |
|---|---|
| Verwerker | Headle B.V. (Retourly), Nederland |
| Datum | ____ / ____ / ________ |
Artikel 1. Onderwerp
Verwerker verwerkt persoonsgegevens van consumenten van de verwerkingsverantwoordelijke uitsluitend voor het afhandelen van retouren en herroepingen via het Retourly-platform, en alleen op basis van diens instructies.
Artikel 2. Categorieën gegevens
Naam, e-mailadres, adres, telefoonnummer, bestelgegevens (ordernummer, artikelen, bedragen), retourredenen en toelichtingen, foto's van artikelen, betaalreferenties (geen kaartgegevens), IP-adres en user agent bij herroepingen.
Artikel 3. Duur en bewaartermijnen
Retourdata wordt 24 maanden na afhandeling geanonimiseerd; foto's worden na 6 maanden verwijderd. Op verzoek van de verwerkingsverantwoordelijke gebeurt dit eerder.
Artikel 4. Subverwerkers
Hetzner (hosting en bestandsopslag, EU), Sendcloud (retourlabels en vervoerders), Pay.nl (betalingen), SendGrid (e-mail) en Sentry (foutmonitoring). Door de verwerkingsverantwoordelijke zelf gekoppelde accounts (zoals een eigen MyParcel-account) vallen buiten deze lijst. Wijzigingen worden 30 dagen vooraf gemeld, met de mogelijkheid bezwaar te maken.
Artikel 5. Beveiliging
Versleutelde opslag van credentials, TLS op alle verbindingen, tweestapsverificatie op beheerderstoegang, een append-only gebeurtenislogboek per retour, rate limiting en bescherming tegen het raden van bestellingen op het consumentenportaal.
Artikel 6. Rechten van betrokkenen
Verwerker ondersteunt inzage- en verwijderverzoeken binnen 5 werkdagen via de export- en anonimiseringsfuncties van het platform. Verzoeken die verwerker rechtstreeks ontvangt, worden doorgestuurd naar de verwerkingsverantwoordelijke.
Artikel 7. Datalekken
Verwerker meldt een inbreuk in verband met persoonsgegevens binnen 48 uur na ontdekking aan de verwerkingsverantwoordelijke, met de aard van de inbreuk, de getroffen gegevens en de genomen maatregelen.
Artikel 8. Geheimhouding en personeel
Alleen medewerkers die dat voor hun werk nodig hebben, hebben toegang tot persoonsgegevens; zij zijn gebonden aan geheimhouding.
Artikel 9. Audit
Eenmaal per jaar kan de verwerkingsverantwoordelijke op eigen kosten een audit laten uitvoeren, na aankondiging van minimaal 30 dagen.
Artikel 10. Einde van de overeenkomst
Bij beëindiging van het abonnement levert verwerker op verzoek een export van de data; daarna wordt de data geanonimiseerd conform artikel 3.
Versie september 2026. Wijzigingen in de subverwerkers worden 30 dagen vooraf gemeld aan het e-mailadres van de eigenaar van het account.