Verwerkersovereenkomst (DPA)

Laatst bijgewerkt: 29 mei 2026

1. Partijen

Deze Verwerkersovereenkomst ("DPA") wordt gesloten tussen:

Costplus OÜ, een in Estland geregistreerde onderneming met statutaire zetel aan Pärnu mnt 139b, 11317 Tallinn, Estland, registratienummer 16936614 (“Verwerker, wij, ons, of Cost+"); en
de handelaar die de Cost+ Checkout Shopify-applicatie heeft geïnstalleerd, of anderszins geïntegreerd heeft met de Cost+ Checkout-dienst, door akkoord te gaan met onze Servicevoorwaarden op https://costplus.io/shopify-app-terms.html ("Verwerkingsverantwoordelijke, Handelaar, of u"),

elk een "Partij en gezamenlijk de Partijen".

Deze DPA maakt deel uit van, en is onderworpen aan, de Servicevoorwaarden tussen de Partijen. In geval van strijdigheid tussen deze DPA en de Servicevoorwaarden met betrekking tot de verwerking van Persoonsgegevens, prevaleert deze DPA.

2. Definities

Tenzij anders gedefinieerd, hebben met een hoofdletter geschreven termen de betekenis die daaraan is toegekend in Verordening (EU) 2016/679 (de "AVG"). Voor de leesbaarheid:

"Persoonsgegevens" heeft de betekenis van Artikel 4(1) AVG.
"Verwerking" heeft de betekenis van Artikel 4(2) AVG.
"Betrokkene" betekent een Shopify-klant of eindgebruiker van wie de Persoonsgegevens worden verwerkt op grond van deze DPA.
"Subverwerker" betekent elke derde partij die door de Verwerker wordt ingeschakeld om Persoonsgegevens te verwerken namens de Verwerkingsverantwoordelijke.
"Diensten“ betekent de Cost+ Checkout-dienst (de Shopify-app, bijbehorende API’s en gehoste afrekenpagina’s) die de Verwerker volgens de Servicevoorwaarden aan de Verwerkingsverantwoordelijke levert.

3. Onderwerp, aard, doel en duur van de verwerking

3.1 Onderwerp

De Verwerker verwerkt Persoonsgegevens van klanten van de Verwerkingsverantwoordelijke om de Diensten te leveren. Cost+ Checkout leidt kopers vanuit door de Handelaar beheerde kanalen, zoals e-mailcampagnes, landingspagina’s, advertenties op sociale media of directe Shopify-winkellinks, door één afrekenproces. Na betaling wordt de bijbehorende bestelling in de Shopify-winkel van de Handelaar aangemaakt.

3.2 Aard en doel van de verwerking

De Verwerker verwerkt Persoonsgegevens voor de volgende doeleinden:

Verzamelen van contactgegevens en verzendadres van de koper tijdens het afrekenen;
Berekenen van toepasselijke belastingen en verzendkosten via Shopify's eigen belasting- en verzendberekeningsdiensten;
Aanmaken van de bijbehorende Shopify-bestelling nadat de koper de betaling heeft voltooid;
Verwerken van betalingen via de betalingsinfrastructuur van Cost+ of de door de Handelaar geconfigureerde betaalaanbieder;
Terugbetalingen, annuleringen en gebeurtenissen rond de orderafhandeling die de Handelaar vanuit de Shopify-beheeromgeving start, synchroniseren met de Cost+ Checkout-configuratie van de Handelaar;
Beantwoorden van verzoeken van betrokkenen doorgestuurd door Shopify via de standaard AVG-webhooks (customers/data_request, customers/redact, shop/redact);
Analyses voor de Handelaar leveren op basis van geaggregeerde en gepseudonimiseerde sessiegegevens.

3.3 Duur

De Verwerker verwerkt Persoonsgegevens gedurende de looptijd van de Diensten en bewaart dergelijke gegevens voor de perioden zoals vastgelegd in Artikel 9 hieronder.

4. Soorten Persoonsgegevens en categorieën Betrokkenen

4.1 Soorten Persoonsgegevens

Voor- en achternaam;
E-mailadres;
Telefoonnummer (indien opgegeven);
Verzendadres (straat, stad, postcode, land, optionele adresregel 2, provincie/staat);
Factuuradres (zelfde velden);
Bestelgegevens, waaronder bestelregels, productidentificatoren, aantallen, prijzen, toegepaste kortingscodes, het ordertotaal, de valuta en de afhandelingsstatus;
Betalingsmetadata (betaalmethodetoken of referentie, autorisatie- en capture-ID’s). Volledige kaartnummers (PAN) komen nooit in de systemen van de Verwerker terecht; de PCI DSS-conforme betaalinfrastructuur van Cost+ of de door de Handelaar ingestelde betaalaanbieder tokeniseert deze gegevens.

4.2 Categorieën Betrokkenen

De klanten (kopers) van de Verwerkingsverantwoordelijke die afrekenen via Cost+ Checkout.

5. Verplichtingen van de Verwerker

De Verwerker zal:

5.1 Gedocumenteerde instructies

Persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, ook met betrekking tot doorgifte van Persoonsgegevens aan een derde land of een internationale organisatie, tenzij dit vereist is op grond van Unierecht of het recht van een lidstaat waaraan de Verwerker is onderworpen. In dat geval stelt de Verwerker de Verwerkingsverantwoordelijke in kennis van die wettelijke verplichting voorafgaand aan de verwerking, tenzij dat recht een dergelijke kennisgeving verbiedt op zwaarwegende gronden van algemeen belang. De Partijen komen overeen dat de Servicevoorwaarden, deze DPA en het gebruik van de Diensten door de Verwerkingsverantwoordelijke via standaard configuratie-opties gedocumenteerde instructies vormen in de zin van Artikel 28(3)(a) AVG.

5.2 Vertrouwelijkheid

Waarborgen dat personen die gemachtigd zijn de Persoonsgegevens te verwerken, zich hebben verbonden tot geheimhouding of onderworpen zijn aan een passende wettelijke geheimhoudingsplicht.

5.3 Beveiligingsmaatregelen

Passende technische en organisatorische maatregelen treffen om een beveiligingsniveau te waarborgen dat past bij het risico, zoals vereist door Artikel 32 AVG. Een samenvatting van deze maatregelen is opgenomen in Bijlage 1. De Verwerkingsverantwoordelijke erkent dat Bijlage 1 van tijd tot tijd kan worden bijgewerkt om verbeteringen in de beveiliging van de Verwerker te weerspiegelen, en dat een dergelijke update niet zal resulteren in een wezenlijke verlaging van het beveiligingsniveau.

5.4 Subverwerkers

Subverwerkers uitsluitend inschakelen op de voorwaarden van Artikel 7 hieronder.

5.5 Ondersteuning bij rechten van Betrokkenen

Rekening houdend met de aard van de verwerking, de Verwerkingsverantwoordelijke door passende technische en organisatorische maatregelen ondersteunen, voor zover mogelijk, bij de nakoming van de verplichting van de Verwerkingsverantwoordelijke om te reageren op verzoeken tot uitoefening van de rechten van de Betrokkene op grond van Hoofdstuk III van de AVG.

5.6 Ondersteuning bij overige verplichtingen van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke ondersteunen bij de naleving van de verplichtingen op grond van Artikelen 32 tot en met 36 AVG, rekening houdend met de aard van de verwerking en de informatie waarover de Verwerker beschikt.

5.7 Teruggave of verwijdering bij beëindiging van de Diensten

Op keuze van de Verwerkingsverantwoordelijke alle Persoonsgegevens verwijderen of teruggeven aan de Verwerkingsverantwoordelijke na afloop van de verlening van Diensten met betrekking tot de verwerking, en bestaande kopieën verwijderen, tenzij Unierecht of het recht van een lidstaat opslag van de Persoonsgegevens vereist. De Verwerker verwijdert Persoonsgegevens binnen 90 dagen na het einde van de Diensten, behalve waar een langere bewaartermijn vereist is op grond van Artikel 9.

5.8 Verwerkingsregisters

Een schriftelijk register bijhouden van alle categorieën verwerkingsactiviteiten die namens de Verwerkingsverantwoordelijke worden uitgevoerd, zoals vereist door Artikel 30(2) AVG.

5.9 Audits

De Verwerkingsverantwoordelijke alle informatie ter beschikking stellen die nodig is om de naleving van Artikel 28 AVG aan te tonen, en audits, inclusief inspecties, door de Verwerkingsverantwoordelijke of een andere door de Verwerkingsverantwoordelijke gemandateerde auditor toestaan en daaraan bijdragen. De Verwerkingsverantwoordelijke draagt alle kosten van dergelijke audits die verder gaan dan het verstrekken van de standaardinformatie die reeds beschikbaar is voor de Verwerkingsverantwoordelijke via de Diensten. De Verwerkingsverantwoordelijke geeft een redelijke voorafgaande kennisgeving (minimaal 30 dagen), voert audits uit tijdens normale kantooruren en verstoort de bedrijfsvoering van de Verwerker niet.

6. Verplichtingen van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke garandeert dat:

Er een geldige rechtsgrondslag is vastgesteld op grond van Artikel 6 AVG (en, waar van toepassing, Artikel 9 AVG) voor alle Persoonsgegevens die via de Diensten aan de Verwerker worden verstrekt;
Alle vereiste informatie op grond van Artikelen 13 en 14 AVG aan Betrokkenen is verstrekt, waaronder het gebruik van Cost+ Checkout voor de verwerking van afreken- en bestelgegevens;
Cost+ Checkout correct is geconfigureerd (inclusief procesregels, toegestane landen, betaalmethoden en eventuele aangepaste scripts of blokken), zodat de Diensten uitsluitend Persoonsgegevens verwerken die noodzakelijk zijn voor de rechtmatige doeleinden van de Handelaar;
Verzoeken van Betrokkenen die door de Verwerker zijn doorgestuurd binnen de wettelijk vereiste termijnen worden beantwoord.

7. Subverwerkers

7.1 Algemene toestemming

De Verwerkingsverantwoordelijke verleent algemene toestemming aan de Verwerker om Subverwerkers in te schakelen voor de uitvoering van de Diensten. Een lijst van huidige Subverwerkers wordt bijgehouden in Bijlage 2 en wordt van tijd tot tijd bijgewerkt.

7.2 Kennisgeving van wijzigingen

De Verwerker stelt de Verwerkingsverantwoordelijke in kennis van voorgenomen wijzigingen in de lijst van Subverwerkers (toevoeging of vervanging) met minimaal 30 dagen voorafgaande kennisgeving, zodat de Verwerkingsverantwoordelijke de gelegenheid heeft bezwaar te maken op redelijke gronden. Indien de Verwerkingsverantwoordelijke bezwaar maakt en de Partijen niet binnen 30 dagen tot een oplossing kunnen komen, kan de Verwerkingsverantwoordelijke het betreffende deel van de Diensten zonder opgaaf van reden beëindigen.

7.3 Doorgeven van verplichtingen

De Verwerker legt aan elke Subverwerker, bij wijze van overeenkomst, dezelfde gegevensbeschermingsverplichtingen op als vastgelegd in deze DPA, en blijft volledig aansprakelijk jegens de Verwerkingsverantwoordelijke voor de nakoming van de verplichtingen van elke Subverwerker.

8. Internationale gegevensdoorgiften

8.1 Primaire hosting

De Verwerker host de Diensten in de Europese Unie en verwerkt Persoonsgegevens primair binnen de EU/EER. Sommige gemachtigde Subverwerkers (bijvoorbeeld bepaalde betaalverwerkingspartners) zijn buiten de EER gevestigd; in dat geval waarborgt de Verwerker dat de doorgifte is beschermd door een adequaatheidsbesluit of door Standaardcontractbepalingen zoals uiteengezet in Artikel 8.2, en identificeert de betreffende Subverwerkers in Bijlage 2.

8.2 Doorgiften via Subverwerkers

Waar een Subverwerker buiten de EU/EER is gevestigd, waarborgt de Verwerker dat doorgiften worden gedekt door een adequaatheidsbesluit op grond van Artikel 45 AVG, of door Standaardcontractbepalingen vastgesteld door de Europese Commissie (Module 2: verwerkingsverantwoordelijke-naar-verwerker of Module 3: verwerker-naar-verwerker, naargelang van toepassing), of door een ander geldig doorgiftemechanisme op grond van Hoofdstuk V AVG.

8.3 Verdere doorgiften

Shopify zelf treedt op als onafhankelijke verwerkingsverantwoordelijke met betrekking tot de klantgegevens die de Verwerkingsverantwoordelijke heeft ingevoerd in zijn Shopify-winkel. De ontvangst van dergelijke gegevens van Shopify door de Verwerker, en de teruglevering van door Shopify aangemaakte bestelgegevens aan Shopify, vallen onder de eigen gegevensbeschermingsvoorwaarden van Shopify met de Handelaar en zijn geen verdere doorgiften in de zin van deze DPA.

9. Bewaring en verwijdering

De Verwerker bewaart Persoonsgegevens voor de volgende perioden:

Actieve sessiegegevens (afrekensessies die nog niet zijn voltooid): verwijderd 30 dagen na het verlopen van de sessie;
Voltooide bestelgegevens (sessies die hebben geleid tot een Shopify-bestelling): bewaard gedurende 7 jaar ter naleving van wettelijke bewaarverplichtingen op het gebied van belasting en boekhouding in Estland en de meeste EU-jurisdicties, daarna verwijderd;
Betaaltokens en autorisatieregistraties: bewaard gedurende de bewaartermijn van de onderliggende betaalmethode (doorgaans 7 jaar);
Loggegevens (verzoeklogs, webhook-afleverlogs): bewaard gedurende 90 dagen, daarna gewist;
Audit- en beveiligingslogboeken: bewaard gedurende 1 jaar.

Bij beëindiging van de Diensten verwijdert of retourneert de Verwerker Persoonsgegevens zoals uiteengezet in Artikel 5.7 hierboven, met inachtneming van de bewaartermijnen die door het toepasselijk recht zijn voorgeschreven.

10. Melding van datalekken

De Verwerker stelt de Verwerkingsverantwoordelijke zonder onredelijke vertraging en in elk geval binnen 48 uur in kennis nadat hij kennis heeft gekregen van een datalek dat de gegevens van de Verwerkingsverantwoordelijke treft. De melding bevat minimaal de informatie die vereist is op grond van Artikel 33(3) AVG voor zover beschikbaar, en wordt bijgewerkt naarmate aanvullende informatie beschikbaar komt.

11. Aansprakelijkheid

De aansprakelijkheid van de Partijen op grond van deze DPA is onderworpen aan de aansprakelijkheidsbepalingen van de Servicevoorwaarden, met dien verstande dat enige beperking van aansprakelijkheid in de Servicevoorwaarden de aansprakelijkheid niet uitsluit of beperkt voor zaken waarvoor uitsluiting of beperking onwettig zou zijn op grond van het toepasselijk gegevensbeschermingsrecht.

12. Toepasselijk recht en bevoegde rechter

Deze DPA wordt beheerst door het recht van Estland, zonder rekening te houden met de conflictrechtelijke bepalingen. De Partijen onderwerpen zich aan de exclusieve bevoegdheid van de rechtbanken van Harju County, Estland, voor elk geschil dat voortvloeit uit of verband houdt met deze DPA, onverminderd dwingende wettelijke bepalingen inzake bevoegdheid over consumenten- of betrokkenengeschillen.

13. Looptijd en beëindiging

Deze DPA treedt in werking op de datum waarop de Verwerkingsverantwoordelijke de Diensten voor het eerst installeert of gebruikt en eindigt automatisch bij beëindiging van de Servicevoorwaarden. Bepalingen die naar hun aard de beëindiging overleven (inclusief Artikelen 5.7, 9, 10 en 12) blijven van kracht.

14. Volledige overeenkomst

Deze DPA, samen met de Servicevoorwaarden op https://costplus.io/shopify-app-terms.html en het Privacybeleid op https://costplus.io/privacy-policy.html, vormt de volledige overeenkomst tussen de Partijen met betrekking tot het onderwerp en vervangt alle eerdere afspraken.

Bijlage 1 — Technische en organisatorische maatregelen

De Verwerker treft de volgende technische en organisatorische maatregelen ter bescherming van Persoonsgegevens:

Encryptie

Alle gegevens in transit worden versleuteld met TLS 1.2 of hoger, met certificaten beheerd via Let's Encrypt en automatische vernieuwing.
Shopify API-toegangstokens en inloggegevens van externe betaalaanbieders worden in rust versleuteld met AES-256-GCM met sleutels op applicatieniveau beheerd via HashiCorp Vault Transit of een gelijkwaardig sleutelbeheerssysteem.
Databaseback-ups worden versleuteld vóór overdracht naar externe opslag.

Toegangscontrole

Toegang tot productiesystemen is beperkt tot een gedefinieerde groep gemachtigde medewerkers met individueel identificeerbare accounts, SSH-sleutelgebaseerde authenticatie voor servertoegang en hardware-ondersteunde of TOTP-meerfactorauthenticatie voor beheerdersinterfaces.
Wachtwoorden van handelaren worden op applicatieniveau gehasht met Argon2id en geheugenintensieve parameters.
Toegang tot Persoonsgegevens wordt vastgelegd in logboeken, die worden bewaard volgens Artikel 9 van de DPA.

Infrastructuur

Diensten worden gehost in Tier-III of gelijkwaardige datacenters gelegen binnen de Europese Unie.
Logische scheiding tussen test- en productieomgevingen; productiegegevens worden niet gebruikt in ontwikkel- of testomgevingen.
Regelmatige patching van besturingssystemen, runtimeomgevingen en externe afhankelijkheden.

Personeel

Medewerkers met toegang tot Persoonsgegevens zijn gebonden aan schriftelijke geheimhoudingsverplichtingen die de beëindiging van hun dienstverband overleven.
Inwerkprogramma en periodieke beveiligingsbewustzijnstraining voor alle medewerkers met toegang tot Persoonsgegevens of productie-infrastructuur.

Incidentrespons

Gedocumenteerde procedure voor reactie op beveiligingsincidenten, met betrekking tot detectie, indamming, onderzoek, melding (inclusief aan de Verwerkingsverantwoordelijke binnen 48 uur conform Artikel 10) en evaluatie na het incident.
Driemaandelijkse controle van incidentprocedures en contactgegevens.

Preventie van gegevensverlies

Toegangscontroles op applicatieniveau zijn afgebakend per Handelaar en per sessie. Geen enkele Handelaar kan via de API gegevens van een andere Handelaar inzien.
Auditlogboek van alle toegang tot Persoonsgegevens, bewaard conform Artikel 9.
Regelmatige hersteltests van versleutelde back-ups.

Veilige ontwikkeling

Broncode opgeslagen in een privérepository met verplichte beoordeling van alle wijzigingen vóór samenvoeging.
Geautomatiseerde scan op kwetsbaarheden in afhankelijkheden en regelmatige updates van bibliotheken van derden.
Ten minste jaarlijks penetratietesten zodra de Diensten algemeen beschikbaar zijn.

Bijlage 2 — Goedgekeurde Subverwerkers

Op de datum van de laatste bijwerking van deze DPA zijn de volgende Subverwerkers gemachtigd om Persoonsgegevens namens de Verwerkingsverantwoordelijke te verwerken:

Subverwerker	Doel	Locatie	Overdrachtsmechanisme
OVH SAS	Hosting van cloudinfrastructuur (rekenkracht, opslag en netwerk) en versleutelde externe back-ups	Frankrijk (EU)	Binnen de EER
SMTP2GO	Transactie- en notificatie-e-mails	EU	Binnen de EER
Betaalinfrastructuur van Cost+ (Costplus OÜ)	Tokenisatie, autorisatie, inning en terugbetaling van betalingen	EU	Binnen de EER
Ginger Payments	Betalingsgateway / transactierouting	Nederland (EU)	Binnen de EER
FinteqHub	Betalingsgateway / orkestratie	Cyprus en Litouwen (EU)	Binnen de EER
ComplyPay	Banking-as-a-Service (BaaS)-aanbieder	Denemarken (EU)	Binnen de EER
Rapyd	Kaartacceptatie en betaalverwerking	EU / Verenigd Koninkrijk	Binnen de EER; doorgifte naar het VK op grond van het EU–VK-adequaatheidsbesluit
SHIFT4	Kaartacceptatie en betaalverwerking	EU / Verenigd Koninkrijk	Binnen de EER; doorgifte naar het VK op grond van het EU–VK-adequaatheidsbesluit
Elavon	Kaartacceptatie en betaalverwerking	EU / Verenigd Koninkrijk	Binnen de EER; doorgifte naar het VK op grond van het EU–VK-adequaatheidsbesluit
Clearhaus	Kaartacceptatie en betaalverwerking	Denemarken (EU)	Binnen de EER
Paynetics	Kaartacceptatie / uitgifte van elektronisch geld	Bulgarije (EU)	Binnen de EER
Didit	Identiteitsverificatie en naleving van KYB-, KYC- en AML-eisen	Verenigde Staten / Spanje (EU)	Standaardcontractbepalingen (Art. 46 AVG)

De Verwerker zal een actuele versie van deze lijst bijhouden op https://costplus.io/dpa/sub-processors en zal de Verwerkingsverantwoordelijke informeren over eventuele toevoegingen of vervangingen overeenkomstig Artikel 7.2 van deze DPA.

Einde van de Verwerkersovereenkomst.