## Partijen

1. **De Winkel:** de onderneming die bij het aanmelden op app.volledo.com,
   of later per e-mail of in een eigen afspraak, met deze overeenkomst
   akkoord gaat (verwerkingsverantwoordelijke).
2. **Kulekci**, Newtonstraat 13, 4004 KD Tiel, KvK 85621013, btw
   NL004144494B07, aanbieder van het platform Volledo, hierna "Volledo"
   (verwerker).

Deze overeenkomst hoort bij de Algemene voorwaarden Volledo en een
eventuele eigen afspraak tussen de Winkel en Volledo (samen "de
Hoofdovereenkomst"). De Winkel gaat er met hetzelfde vinkje mee akkoord
als met de Algemene voorwaarden. Volledo legt vast welke versie de Winkel
heeft geaccepteerd en wanneer.

## Artikel 1. Begrippen

Begrippen uit de Algemene Verordening Gegevensbescherming (AVG), zoals
persoonsgegevens, verwerking, betrokkene, verwerker, subverwerker en
inbreuk in verband met persoonsgegevens (datalek), hebben in deze
overeenkomst dezelfde betekenis als in de AVG.

- **Koppeling:** een verbinding die een gebruiker van de Winkel zelf in
  Volledo maakt tussen de winkel en een dienst van een derde, zoals een
  AI-assistent, waarna die dienst via Volledo gegevens van de winkel kan
  lezen of concepten kan aanmaken (zie Bijlage D).

## Artikel 2. Onderwerp en instructie

1. Volledo verwerkt persoonsgegevens uitsluitend namens de Winkel en
   volgens diens schriftelijke instructies, voor zover nodig om Volledo te
   leveren zoals beschreven in de Hoofdovereenkomst en Bijlage A.
2. Het gebruik van Volledo door de Winkel en zijn gebruikers, waaronder
   het aanzetten van functies en het maken van Koppelingen, geldt als
   instructie van de Winkel.
3. Volledo verwerkt de gegevens niet voor eigen doeleinden, met één
   uitzondering die de Winkel hierbij als instructie geeft: Volledo mag
   geanonimiseerde en geaggregeerde gegevens over het gebruik van het
   platform gebruiken om het platform te verbeteren, zonder dat die tot
   personen of tot de Winkel herleidbaar zijn.
4. Vindt Volledo een instructie in strijd met de AVG of andere wetgeving,
   dan meldt Volledo dat direct aan de Winkel.
5. Moet Volledo op grond van een wettelijke plicht gegevens verstrekken,
   dan meldt Volledo dat vooraf aan de Winkel, tenzij de wet dat verbiedt.

## Artikel 3. Geheimhouding

Volledo zorgt dat iedereen die onder zijn gezag toegang heeft tot de
persoonsgegevens tot geheimhouding verplicht is, door een overeenkomst of
een wettelijke plicht.

## Artikel 4. Beveiliging

1. Volledo neemt passende technische en organisatorische maatregelen
   (art. 32 AVG), zoals beschreven in Bijlage C.
2. Volledo mag die maatregelen aanpassen, zolang het niveau van
   beveiliging niet daalt.

## Artikel 5. Subverwerkers

1. De Winkel geeft algemene toestemming voor de inzet van de
   subverwerkers in Bijlage B.
2. Volledo meldt een nieuwe of vervangende subverwerker minstens 30 dagen
   vooraf per e-mail aan de eigenaar van de Winkel. De Winkel kan binnen
   die termijn op redelijke gronden bezwaar maken; komen partijen er niet
   uit, dan mag de Winkel de Hoofdovereenkomst opzeggen per de
   ingangsdatum van de wijziging.
3. Volledo legt elke subverwerker ten minste dezelfde verplichtingen op als
   in deze overeenkomst en blijft tegenover de Winkel aansprakelijk voor
   diens nakoming.
4. Een dienst die de Winkel zelf kiest en via een Koppeling verbindt (zoals
   de AI-assistent van de Winkel), is geen subverwerker van Volledo. Zie
   Bijlage D.

## Artikel 6. Doorgifte buiten de EER

1. Volledo verwerkt de gegevens in de Europese Economische Ruimte, tenzij
   Bijlage B voor een subverwerker iets anders vermeldt.
2. Gaan gegevens naar een land buiten de EER, dan gebeurt dat alleen met
   een geldige grondslag uit hoofdstuk V AVG, zoals een
   adequaatheidsbesluit (bijvoorbeeld het EU-VS Data Privacy Framework voor
   gecertificeerde partijen) of de standaardcontractbepalingen van de
   Europese Commissie. Bijlage B noemt per subverwerker de grondslag.
3. Doorgifte via een Koppeling gebeurt op instructie van de Winkel; de
   Winkel is verantwoordelijk voor de grondslag daarvan (Bijlage D).

## Artikel 7. Rechten van betrokkenen

Volledo helpt de Winkel, voor zover redelijk en met de functies van het
platform, bij verzoeken van betrokkenen (inzage, correctie, verwijdering,
beperking, overdraagbaarheid en bezwaar). Komt een verzoek bij Volledo
binnen, dan stuurt Volledo het zonder inhoudelijke reactie door aan de
Winkel.

## Artikel 8. Datalekken

1. Volledo meldt een datalek dat persoonsgegevens van de Winkel raakt
   zonder onredelijke vertraging aan de Winkel, en uiterlijk 24 uur nadat
   Volledo het heeft ontdekt.
2. De melding bevat wat op dat moment bekend is: de aard van het lek, de
   soorten en het geschatte aantal betrokkenen en gegevens, de
   waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een
   contactpersoon. Wat later bekend wordt, volgt zo snel mogelijk.
3. De Winkel beslist of hij het lek meldt bij de Autoriteit
   Persoonsgegevens en aan betrokkenen. Volledo helpt daarbij.

## Artikel 9. Bijstand en controle

1. Volledo helpt de Winkel, voor zover redelijk, bij een
   gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging
   (art. 35 en 36 AVG).
2. Volledo stelt de informatie beschikbaar die nodig is om naleving van
   deze overeenkomst aan te tonen, en werkt mee aan een audit door de
   Winkel of een onafhankelijke deskundige die geheimhouding heeft
   toegezegd, na een aankondiging van minstens 30 dagen, hooguit één keer
   per jaar tenzij er een concrete aanwijzing is van een tekortkoming.
3. Elke partij draagt haar eigen kosten van een audit; de kosten van de
   deskundige zijn voor de Winkel. Blijkt uit de audit dat Volledo deze
   overeenkomst op een wezenlijk punt niet nakomt, dan draagt Volledo de
   redelijke kosten van de deskundige.

## Artikel 10. Duur en einde

1. Deze overeenkomst loopt zolang de Hoofdovereenkomst loopt en zolang
   Volledo daarna nog persoonsgegevens van de Winkel verwerkt.
2. Tot het einde van de termijnen in de Algemene voorwaarden (artikel 6 en
   8 daar) levert Volledo op verzoek een export van de gegevens van de
   Winkel in een gangbaar formaat, zodat de Winkel zelf aan zijn eigen
   bewaarplichten kan voldoen (zoals de fiscale bewaarplicht voor zijn
   facturen, die bij de Winkel ligt). Daarna verwijdert Volledo de
   persoonsgegevens binnen 90 dagen, of eerder als de Winkel daarom vraagt,
   behalve wat Volledo zelf wettelijk moet bewaren, of wat de Winkel
   schriftelijk vraagt langer te bewaren tegen een aparte afspraak.
3. Back-ups worden niet apart gewist maar lopen af volgens de
   bewaartermijn van de back-up, die 7 dagen is.

## Artikel 11. Aansprakelijkheid

Voor de aansprakelijkheid van Volledo onder deze overeenkomst geldt
artikel 14 van de Algemene voorwaarden Volledo, met het minimumbedrag per
gebeurtenis dat daar staat, ook tijdens de proef en tijdens een gratis
periode. Dit laat de rechten die betrokkenen zelf op grond van de AVG
hebben onverlet.

## Artikel 12. Slot

1. Bij tegenstrijdigheid gaat deze overeenkomst voor op de
   Hoofdovereenkomst voor zover het de verwerking van persoonsgegevens
   betreft.
2. Volledo mag deze overeenkomst en de bijlagen wijzigen op de manier van
   artikel 17 van de Algemene voorwaarden; voor een nieuwe subverwerker
   geldt artikel 5.
3. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen
   gaan naar de bevoegde rechter van de Rechtbank Gelderland.

## Bijlage A. De verwerking

**Doel:** het leveren van Volledo aan de Winkel: webshop, kassa en
bestellingen, klantenservice (mail, WhatsApp, telefoon), facturen,
voorraad, marketing met toestemming, en de koppelingen die de Winkel zelf
aanzet.

**Betrokkenen:** klanten en bezoekers van de webshop, mensen die de Winkel
benaderen via mail, WhatsApp of telefoon, inschrijvers op nieuwsbrieven,
en gebruikers (medewerkers) van de Winkel in het portaal.

**Soorten gegevens:**
- naam, adres, e-mailadres, telefoonnummer;
- bestellingen, betalingen (status en bedrag; geen kaartgegevens, die
  verwerkt de betaaldienst), retouren, facturen;
- inhoud van berichten en gesprekken met de Winkel, opnames en
  uitgeschreven tekst van telefoongesprekken (als de Winkel telefonie
  gebruikt);
- toestemmingen voor marketing en meting;
- websitegebruik, alleen met toestemming waar dat nodig is;
- het activiteitenlog van gebruikers van de Winkel (wie wat deed in de
  winkel) en de uitnodigingen die de Winkel aan nieuwe gebruikers stuurt.
  Het account zelf, het inloggen en het bewijs van akkoord verwerkt
  Volledo als eigen verantwoordelijke (privacyverklaring op
  volledo.com/privacy).

**Bijzondere persoonsgegevens:** worden niet bewust verwerkt. Klanten
kunnen ze zelf in een bericht zetten; de Winkel is zich daarvan bewust.

**Bewaartermijnen:** zolang de Hoofdovereenkomst loopt, met artikel 10.
Wil de Winkel gegevens eerder laten verwijderen, zoals oude
gespreksopnames, dan kan hij dat in het portaal doen waar het portaal dat
biedt, en anders op verzoek bij Volledo.

## Bijlage B. Subverwerkers

Stand: 28 oktober 2026.

| Partij | Wat | Persoonsgegevens | Waar | Grondslag doorgifte |
|---|---|---|---|---|
| Supabase (Supabase Pte. Ltd., Singapore) | database, bestandsopslag, inloggen | alle soorten uit Bijlage A | EU: Frankfurt (AWS eu-central-1); toegang voor beheer en ondersteuning kan van buiten de EER komen | standaardcontractbepalingen (in de verwerkersovereenkomst van Supabase) |
| Vercel (Vercel Inc., VS) | hosting van portaal en webshop, robottoets bij het aanmelden | alles wat door het platform loopt | portaal draait in Frankfurt; Vercel verwerkt ook in de VS | EU-VS Data Privacy Framework; daarnaast standaardcontractbepalingen |
| Resend (Plus Five Five, Inc., VS) | versturen en ontvangen van mail | naam, e-mailadres, inhoud van mails | verzenden en ontvangen vanuit Ierland (eu-west-1); account- en logboekgegevens in de VS | EU-VS Data Privacy Framework; daarnaast standaardcontractbepalingen |
| Anthropic (Anthropic Ireland, Limited) | AI-hulp in de klantenservice: antwoordvoorstel, samenvatting, urgentie | inhoud van berichten | verwerking ook in de VS | standaardcontractbepalingen |
| Sentry (Functional Software, Inc., VS) | foutbewaking | technische gegevens, mogelijk een e-mailadres of id in een foutmelding | foutmeldingen in Frankfurt; accountgegevens van Volledo zelf in de VS | EU-VS Data Privacy Framework; daarnaast standaardcontractbepalingen |
| Telnyx (Telnyx LLC, VS), alleen bij telefonie | telefonie en opnames | telefoonnummer, opname (daarna bij Telnyx verwijderd), en bij doorschakelen naam en korte klant- en bestelinformatie van de beller, uitgesproken via tekst-naar-spraak | VS | EU-VS Data Privacy Framework; daarnaast standaardcontractbepalingen |
| Deepgram (Deepgram, Inc., VS), alleen bij telefonie | uitschrijven van gespreksopnames | opname en uitgeschreven tekst | verwerking in de EU (EU-endpoint) | standaardcontractbepalingen |
| WhatsApp (WhatsApp Ireland Limited, onderdeel van Meta), alleen bij WhatsApp | WhatsApp Business-berichten | telefoonnummer, profielnaam, inhoud van berichten en bijlagen | Ierland, met doorgifte aan Meta in de VS | EU-VS Data Privacy Framework; daarnaast standaardcontractbepalingen |

**Geen subverwerkers van Volledo**, omdat zij zelf bepalen wat zij met de
gegevens doen of omdat de Winkel ze zelf aanzet:
- **Mollie, Stripe en Pay.nl:** de betaaldienst die de Winkel kiest, is
  voor de betaling zelf verwerkingsverantwoordelijke.
- **Meta (Conversions API), Google Ads en Microsoft Clarity:** alleen als
  de Winkel meting of advertenties aanzet, en alleen met toestemming van de
  bezoeker. Meta is voor het verzamelen en doorgeven samen met de Winkel
  verantwoordelijk (art. 26 AVG, volgens de voorwaarden van Meta); Google
  en Microsoft zijn zelfstandig verantwoordelijk. De Winkel vermeldt deze
  partijen in zijn eigen privacyverklaring.
- **Pushdiensten van de browsers** (Google, Apple, Microsoft, Mozilla):
  bezorgen meldingen aan gebruikers van de Winkel; de inhoud gaat
  versleuteld mee en is voor hen niet leesbaar.
- **Leveranciers en vervoerders die de Winkel zelf koppelt:** ontvangen of
  leveren gegevens (zoals een bezorgadres) op instructie van de Winkel en
  zijn daarvoor zelf verantwoordelijk.
- **PDOK (Kadaster):** de kassa zoekt het adres op bij postcode en
  huisnummer, zonder naam of andere gegevens van de klant.

## Bijlage C. Beveiligingsmaatregelen (samenvatting)

- scheiding per winkel in de applicatie én in de database, getoetst met
  tests waarin de ene winkel niets van de andere ziet;
- versleuteld verkeer (https) en versleutelde opslag bij de database- en
  hostingaanbieder;
- tweestapsverificatie voor het portaal, per gebruiker aan te zetten,
  rollen per gebruiker (eigenaar, beheerder, medewerker, kijker), "overal
  uitloggen";
- activiteitenlog van wie wat deed in het portaal en via koppelingen;
- geheimen niet in code, alleen in afgeschermde omgevingsinstellingen;
- foutbewaking en alarmen op betaalpaden;
- toegangssleutels (en, zodra Koppelingen beschikbaar zijn,
  koppelingspassen) alleen als hash opgeslagen, intrekbaar, met een limiet
  op het aantal aanroepen;
- dagelijkse back-ups bij de databaseaanbieder, 7 dagen bewaard.

## Bijlage D. Koppelingen en de AI-assistent van de Winkel

Deze bijlage geldt zodra Koppelingen in Volledo beschikbaar zijn; tot die
tijd heeft hij geen werking.

1. **Instructie van de Winkel.** Een Koppeling wordt alleen gemaakt door
   een gebruiker van de Winkel, nadat de eigenaar van de Winkel
   AI-koppelingen voor de winkel heeft aangezet. Met het maken van een
   Koppeling geeft de Winkel Volledo de instructie om de gegevens die bij
   die Koppeling zijn toegestaan aan de gekozen dienst te verstrekken.
2. **Keuze en verantwoordelijkheid van de Winkel.** De Winkel kiest de
   dienst (bijvoorbeeld Claude van Anthropic of ChatGPT van OpenAI) en is
   zelf verantwoordelijk voor de afspraken met die aanbieder, waaronder een
   eigen verwerkersovereenkomst en de grondslag voor doorgifte buiten de
   EER. Die aanbieder is geen subverwerker van Volledo.
3. **Advies over het abonnement.** Volledo raadt de Winkel aan
   klantgegevens alleen te delen met een zakelijk abonnement van de
   AI-aanbieder dat een verwerkersovereenkomst kent. Consumentenabonnementen
   sluiten zakelijk gebruik soms uit en kennen geen verwerkersovereenkomst.
4. **Wat Volledo doet.** Volledo:
   - laat bij het koppelen zien welke dienst toegang vraagt en welke
     rechten, en vraagt altijd een bewuste klik;
   - zet de toegang tot gegevens van klanten standaard uit; alleen de
     eigenaar of een beheerder kan die per Koppeling aanzetten;
   - geeft een Koppeling nooit meer rechten dan de rol van de gebruiker die
     hem maakte;
   - laat via een Koppeling geen betalingen, terugbetalingen,
     publicaties of wijzigingen van wettelijke gegevens toe;
   - legt elke aanroep vast in het activiteitenlog;
   - laat de Winkel elke Koppeling op elk moment intrekken, waarna die
     direct geen toegang meer heeft.
5. **Privacyverklaring van de Winkel.** Zet de Winkel de toegang tot
   klantgegevens voor een Koppeling aan, dan vermeldt de Winkel de
   AI-aanbieder in zijn eigen privacyverklaring.

Versie 1.0, 28 oktober 2026.