Versie 1.0 van 28 oktober 2026 · code verwerkersovereenkomst-2026-10-28

Verwerkers­overeenkomst Volledo

Afdrukken of opslaan als pdfTekst downloadenVaste link naar deze versie

Partijen

1. De Winkel: de onderneming die bij het aanmelden op app.volledo.com, of later per e-mail of in een eigen afspraak, met deze overeenkomst akkoord gaat (verwerkingsverantwoordelijke).
2. Kulekci, Newtonstraat 13, 4004 KD Tiel, KvK 85621013, btw NL004144494B07, aanbieder van het platform Volledo, hierna "Volledo" (verwerker).

Deze overeenkomst hoort bij de Algemene voorwaarden Volledo en een eventuele eigen afspraak tussen de Winkel en Volledo (samen "de Hoofdovereenkomst"). De Winkel gaat er met hetzelfde vinkje mee akkoord als met de Algemene voorwaarden. Volledo legt vast welke versie de Winkel heeft geaccepteerd en wanneer.

Artikel 1. Begrippen

Begrippen uit de Algemene Verordening Gegevensbescherming (AVG), zoals persoonsgegevens, verwerking, betrokkene, verwerker, subverwerker en inbreuk in verband met persoonsgegevens (datalek), hebben in deze overeenkomst dezelfde betekenis als in de AVG.

• Koppeling: een verbinding die een gebruiker van de Winkel zelf in Volledo maakt tussen de winkel en een dienst van een derde, zoals een AI-assistent, waarna die dienst via Volledo gegevens van de winkel kan lezen of concepten kan aanmaken (zie Bijlage D).

Artikel 2. Onderwerp en instructie

1. Volledo verwerkt persoonsgegevens uitsluitend namens de Winkel en volgens diens schriftelijke instructies, voor zover nodig om Volledo te leveren zoals beschreven in de Hoofdovereenkomst en Bijlage A.
2. Het gebruik van Volledo door de Winkel en zijn gebruikers, waaronder het aanzetten van functies en het maken van Koppelingen, geldt als instructie van de Winkel.
3. Volledo verwerkt de gegevens niet voor eigen doeleinden, met één uitzondering die de Winkel hierbij als instructie geeft: Volledo mag geanonimiseerde en geaggregeerde gegevens over het gebruik van het platform gebruiken om het platform te verbeteren, zonder dat die tot personen of tot de Winkel herleidbaar zijn.
4. Vindt Volledo een instructie in strijd met de AVG of andere wetgeving, dan meldt Volledo dat direct aan de Winkel.
5. Moet Volledo op grond van een wettelijke plicht gegevens verstrekken, dan meldt Volledo dat vooraf aan de Winkel, tenzij de wet dat verbiedt.

Artikel 3. Geheimhouding

Volledo zorgt dat iedereen die onder zijn gezag toegang heeft tot de persoonsgegevens tot geheimhouding verplicht is, door een overeenkomst of een wettelijke plicht.

Artikel 4. Beveiliging

1. Volledo neemt passende technische en organisatorische maatregelen (art. 32 AVG), zoals beschreven in Bijlage C.
2. Volledo mag die maatregelen aanpassen, zolang het niveau van beveiliging niet daalt.

Artikel 5. Subverwerkers

1. De Winkel geeft algemene toestemming voor de inzet van de subverwerkers in Bijlage B.
2. Volledo meldt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf per e-mail aan de eigenaar van de Winkel. De Winkel kan binnen die termijn op redelijke gronden bezwaar maken; komen partijen er niet uit, dan mag de Winkel de Hoofdovereenkomst opzeggen per de ingangsdatum van de wijziging.
3. Volledo legt elke subverwerker ten minste dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de Winkel aansprakelijk voor diens nakoming.
4. Een dienst die de Winkel zelf kiest en via een Koppeling verbindt (zoals de AI-assistent van de Winkel), is geen subverwerker van Volledo. Zie Bijlage D.

Artikel 6. Doorgifte buiten de EER

1. Volledo verwerkt de gegevens in de Europese Economische Ruimte, tenzij Bijlage B voor een subverwerker iets anders vermeldt.
2. Gaan gegevens naar een land buiten de EER, dan gebeurt dat alleen met een geldige grondslag uit hoofdstuk V AVG, zoals een adequaatheidsbesluit (bijvoorbeeld het EU-VS Data Privacy Framework voor gecertificeerde partijen) of de standaardcontractbepalingen van de Europese Commissie. Bijlage B noemt per subverwerker de grondslag.
3. Doorgifte via een Koppeling gebeurt op instructie van de Winkel; de Winkel is verantwoordelijk voor de grondslag daarvan (Bijlage D).

Artikel 7. Rechten van betrokkenen

Volledo helpt de Winkel, voor zover redelijk en met de functies van het platform, bij verzoeken van betrokkenen (inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar). Komt een verzoek bij Volledo binnen, dan stuurt Volledo het zonder inhoudelijke reactie door aan de Winkel.

Artikel 8. Datalekken

1. Volledo meldt een datalek dat persoonsgegevens van de Winkel raakt zonder onredelijke vertraging aan de Winkel, en uiterlijk 24 uur nadat Volledo het heeft ontdekt.
2. De melding bevat wat op dat moment bekend is: de aard van het lek, de soorten en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon. Wat later bekend wordt, volgt zo snel mogelijk.
3. De Winkel beslist of hij het lek meldt bij de Autoriteit Persoonsgegevens en aan betrokkenen. Volledo helpt daarbij.

Artikel 9. Bijstand en controle

1. Volledo helpt de Winkel, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging (art. 35 en 36 AVG).
2. Volledo stelt de informatie beschikbaar die nodig is om naleving van deze overeenkomst aan te tonen, en werkt mee aan een audit door de Winkel of een onafhankelijke deskundige die geheimhouding heeft toegezegd, na een aankondiging van minstens 30 dagen, hooguit één keer per jaar tenzij er een concrete aanwijzing is van een tekortkoming.
3. Elke partij draagt haar eigen kosten van een audit; de kosten van de deskundige zijn voor de Winkel. Blijkt uit de audit dat Volledo deze overeenkomst op een wezenlijk punt niet nakomt, dan draagt Volledo de redelijke kosten van de deskundige.

Artikel 10. Duur en einde

1. Deze overeenkomst loopt zolang de Hoofdovereenkomst loopt en zolang Volledo daarna nog persoonsgegevens van de Winkel verwerkt.
2. Tot het einde van de termijnen in de Algemene voorwaarden (artikel 6 en 8 daar) levert Volledo op verzoek een export van de gegevens van de Winkel in een gangbaar formaat, zodat de Winkel zelf aan zijn eigen bewaarplichten kan voldoen (zoals de fiscale bewaarplicht voor zijn facturen, die bij de Winkel ligt). Daarna verwijdert Volledo de persoonsgegevens binnen 90 dagen, of eerder als de Winkel daarom vraagt, behalve wat Volledo zelf wettelijk moet bewaren, of wat de Winkel schriftelijk vraagt langer te bewaren tegen een aparte afspraak.
3. Back-ups worden niet apart gewist maar lopen af volgens de bewaartermijn van de back-up, die 7 dagen is.

Artikel 11. Aansprakelijkheid

Voor de aansprakelijkheid van Volledo onder deze overeenkomst geldt artikel 14 van de Algemene voorwaarden Volledo, met het minimumbedrag per gebeurtenis dat daar staat, ook tijdens de proef en tijdens een gratis periode. Dit laat de rechten die betrokkenen zelf op grond van de AVG hebben onverlet.

Artikel 12. Slot

1. Bij tegenstrijdigheid gaat deze overeenkomst voor op de Hoofdovereenkomst voor zover het de verwerking van persoonsgegevens betreft.
2. Volledo mag deze overeenkomst en de bijlagen wijzigen op de manier van artikel 17 van de Algemene voorwaarden; voor een nieuwe subverwerker geldt artikel 5.
3. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de bevoegde rechter van de Rechtbank Gelderland.

Bijlage A. De verwerking

Doel: het leveren van Volledo aan de Winkel: webshop, kassa en bestellingen, klantenservice (mail, WhatsApp, telefoon), facturen, voorraad, marketing met toestemming, en de koppelingen die de Winkel zelf aanzet.

Betrokkenen: klanten en bezoekers van de webshop, mensen die de Winkel benaderen via mail, WhatsApp of telefoon, inschrijvers op nieuwsbrieven, en gebruikers (medewerkers) van de Winkel in het portaal.

Soorten gegevens:

• naam, adres, e-mailadres, telefoonnummer;
• bestellingen, betalingen (status en bedrag; geen kaartgegevens, die verwerkt de betaaldienst), retouren, facturen;
• inhoud van berichten en gesprekken met de Winkel, opnames en uitgeschreven tekst van telefoongesprekken (als de Winkel telefonie gebruikt);
• toestemmingen voor marketing en meting;
• websitegebruik, alleen met toestemming waar dat nodig is;
• het activiteitenlog van gebruikers van de Winkel (wie wat deed in de winkel) en de uitnodigingen die de Winkel aan nieuwe gebruikers stuurt. Het account zelf, het inloggen en het bewijs van akkoord verwerkt Volledo als eigen verantwoordelijke (privacyverklaring op volledo.com/privacy).

Bijzondere persoonsgegevens: worden niet bewust verwerkt. Klanten kunnen ze zelf in een bericht zetten; de Winkel is zich daarvan bewust.

Bewaartermijnen: zolang de Hoofdovereenkomst loopt, met artikel 10. Wil de Winkel gegevens eerder laten verwijderen, zoals oude gespreksopnames, dan kan hij dat in het portaal doen waar het portaal dat biedt, en anders op verzoek bij Volledo.

Bijlage B. Subverwerkers

Stand: 28 oktober 2026.

Geen subverwerkers van Volledo, omdat zij zelf bepalen wat zij met de gegevens doen of omdat de Winkel ze zelf aanzet:

• Mollie, Stripe en Pay.nl: de betaaldienst die de Winkel kiest, is voor de betaling zelf verwerkingsverantwoordelijke.
• Meta (Conversions API), Google Ads en Microsoft Clarity: alleen als de Winkel meting of advertenties aanzet, en alleen met toestemming van de bezoeker. Meta is voor het verzamelen en doorgeven samen met de Winkel verantwoordelijk (art. 26 AVG, volgens de voorwaarden van Meta); Google en Microsoft zijn zelfstandig verantwoordelijk. De Winkel vermeldt deze partijen in zijn eigen privacyverklaring.
• Pushdiensten van de browsers (Google, Apple, Microsoft, Mozilla): bezorgen meldingen aan gebruikers van de Winkel; de inhoud gaat versleuteld mee en is voor hen niet leesbaar.
• Leveranciers en vervoerders die de Winkel zelf koppelt: ontvangen of leveren gegevens (zoals een bezorgadres) op instructie van de Winkel en zijn daarvoor zelf verantwoordelijk.
• PDOK (Kadaster): de kassa zoekt het adres op bij postcode en huisnummer, zonder naam of andere gegevens van de klant.

Bijlage C. Beveiligingsmaatregelen (samenvatting)

• scheiding per winkel in de applicatie én in de database, getoetst met tests waarin de ene winkel niets van de andere ziet;
• versleuteld verkeer (https) en versleutelde opslag bij de database- en hostingaanbieder;
• tweestapsverificatie voor het portaal, per gebruiker aan te zetten, rollen per gebruiker (eigenaar, beheerder, medewerker, kijker), "overal uitloggen";
• activiteitenlog van wie wat deed in het portaal en via koppelingen;
• geheimen niet in code, alleen in afgeschermde omgevingsinstellingen;
• foutbewaking en alarmen op betaalpaden;
• toegangssleutels (en, zodra Koppelingen beschikbaar zijn, koppelingspassen) alleen als hash opgeslagen, intrekbaar, met een limiet op het aantal aanroepen;
• dagelijkse back-ups bij de databaseaanbieder, 7 dagen bewaard.

Bijlage D. Koppelingen en de AI-assistent van de Winkel

Deze bijlage geldt zodra Koppelingen in Volledo beschikbaar zijn; tot die tijd heeft hij geen werking.

1. Instructie van de Winkel. Een Koppeling wordt alleen gemaakt door een gebruiker van de Winkel, nadat de eigenaar van de Winkel AI-koppelingen voor de winkel heeft aangezet. Met het maken van een Koppeling geeft de Winkel Volledo de instructie om de gegevens die bij die Koppeling zijn toegestaan aan de gekozen dienst te verstrekken.
2. Keuze en verantwoordelijkheid van de Winkel. De Winkel kiest de dienst (bijvoorbeeld Claude van Anthropic of ChatGPT van OpenAI) en is zelf verantwoordelijk voor de afspraken met die aanbieder, waaronder een eigen verwerkersovereenkomst en de grondslag voor doorgifte buiten de EER. Die aanbieder is geen subverwerker van Volledo.
3. Advies over het abonnement. Volledo raadt de Winkel aan klantgegevens alleen te delen met een zakelijk abonnement van de AI-aanbieder dat een verwerkersovereenkomst kent. Consumentenabonnementen sluiten zakelijk gebruik soms uit en kennen geen verwerkersovereenkomst.
4. Wat Volledo doet. Volledo:
   • laat bij het koppelen zien welke dienst toegang vraagt en welke rechten, en vraagt altijd een bewuste klik;
   • zet de toegang tot gegevens van klanten standaard uit; alleen de eigenaar of een beheerder kan die per Koppeling aanzetten;
   • geeft een Koppeling nooit meer rechten dan de rol van de gebruiker die hem maakte;
   • laat via een Koppeling geen betalingen, terugbetalingen, publicaties of wijzigingen van wettelijke gegevens toe;
   • legt elke aanroep vast in het activiteitenlog;
   • laat de Winkel elke Koppeling op elk moment intrekken, waarna die direct geen toegang meer heeft.
5. Privacyverklaring van de Winkel. Zet de Winkel de toegang tot klantgegevens voor een Koppeling aan, dan vermeldt de Winkel de AI-aanbieder in zijn eigen privacyverklaring.

Versie 1.0, 28 oktober 2026.