Versie 1.1 · 8 november 2026

Verwerkersovereenkomst

Als je NXT Commerce gebruikt, verwerken wij gegevens van jouw klanten in jouw opdracht. In deze overeenkomst staat wat we met die gegevens doen, hoe we ze beschermen en wat jij van ons mag verwachten. Hij hoort bij de algemene voorwaarden en geldt vanaf het moment dat je een account aanmaakt.

1. Partijen en rollen

Jij, de verkoper die NXT Commerce gebruikt, bent de verwerkingsverantwoordelijke: jij bepaalt waarvoor de gegevens van je klanten worden gebruikt.

Wij, BaasLabz, Stadspolderring 177, 3315 CJ Dordrecht, KvK 42142492 (info@baaslabz.nl), zijn de verwerker: wij verwerken die gegevens alleen om NXT Commerce voor jou te laten werken.

Bol is geen partij bij deze overeenkomst. De gegevens komen via de koppeling (API) en de e-mailintegratie die bol jou als verkoper aanbiedt.

2. Wat we verwerken en waarom

We verwerken persoonsgegevens alleen voor deze doelen:

• bestellingen ophalen en tonen, verzendlabels maken en zendingen bij bol melden;
• klantvragen ontvangen, een concept van een antwoord laten schrijven en het antwoord namens jou versturen;
• voorraad, inkoop en productteksten (daarin staan normaal gesproken geen persoonsgegevens van klanten);
• de dienst beveiligen, back-ups maken en storingen oplossen.

Van wie: klanten van je winkel op bol, en de mensen die jij toegang geeft tot je account.

Welke gegevens: naam, aanhef, bezorg- en factuuradres, het (door bol afgeschermde) e-mailadres en eventueel telefoonnummer zoals bol die bij een bestelling meegeeft, bestel- en verzendgegevens (artikelen, bedragen, track & trace), en de inhoud van berichten tussen jou en je klanten. Van jou en je medewerkers: naam, e-mailadres en gegevens over het gebruik van je account.

We verwerken bewust geen bijzondere persoonsgegevens (zoals gezondheid of geloof). Zet zulke gegevens dus niet in notities of eigen regels. Staan ze in een bericht van een klant, dan behandelen we dat bericht zoals alle andere klantberichten en wissen we het volgens artikel 9.

3. Alleen op jouw instructie

We verwerken de gegevens alleen voor de doelen in artikel 2 en volgens de instellingen die jij in NXT Commerce kiest (bijvoorbeeld of labels of antwoorden automatisch worden verstuurd). We gebruiken ze niet voor onszelf, verkopen ze niet en gebruiken ze niet om AI-modellen te trainen. Moeten we gegevens verstrekken omdat de wet dat eist, dan laten we je dat vooraf weten, tenzij de wet dat verbiedt. Vinden we een instructie in strijd met de AVG, dan zeggen we dat.

4. Geheimhouding

Iedereen die bij ons met de gegevens werkt, is tot geheimhouding verplicht. Alleen wie het voor zijn werk echt nodig heeft, kan erbij.

5. Beveiliging

We nemen passende technische en organisatorische maatregelen. Op dit moment onder meer:

• alle verbindingen versleuteld (https); je bol-sleutels versleuteld opgeslagen (AES-256);
• wachtwoorden alleen als sterke hash (scrypt), inlogslot na herhaalde foute pogingen, en beveiliging tegen het misbruiken van formulieren;
• servers in de Europese Unie (Frankrijk), elke winkel strikt gescheiden van andere winkels;
• naar de AI-dienst gaat alleen de tekst die voor een antwoord of tekst nodig is, zonder adressen, sleutels of wachtwoorden;
• elke nacht een back-up, die we 14 dagen bewaren;
• een logboek van wat de tool namens jou deed, dat je zelf kunt inzien.

We passen deze maatregelen aan als dat nodig is om een passend niveau te houden.

6. Subverwerkers

Je geeft ons toestemming om de volgende partijen in te schakelen. Met elk van hen hebben we (of maken we) afspraken die minstens zo streng zijn als deze overeenkomst.

Willen we een subverwerker toevoegen of vervangen, dan laten we je dat minstens 30 dagen van tevoren weten. Ben je het er niet mee eens, dan kun je je account op elk moment opzeggen.

7. Gegevens buiten de Europese Unie

De gegevens staan in de Europese Unie. Alleen voor de AI-functies gaat tekst naar Groq in de Verenigde Staten. Dat doen we alleen met passende waarborgen zoals de AVG die eist (zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie), en we sturen zo weinig mogelijk mee. Wil je geen AI gebruiken, laat het ons weten; de rest van NXT Commerce werkt dan gewoon.

8. Rechten van je klanten en hulp bij je verplichtingen

Vraagt een klant jou om inzage, correctie of verwijdering, dan helpen we je daarbij. Komt zo'n verzoek bij ons binnen, dan sturen we het door naar jou. We helpen je ook als je een gegevensbeschermingseffectbeoordeling (DPIA) moet doen of de Autoriteit Persoonsgegevens moet raadplegen, voor zover dat redelijk is.

9. Hoe lang we gegevens bewaren

• Namen en adressen bij bestellingen: we wissen ze 60 dagen nadat een bestelling is verzonden of geannuleerd.
• Klantvragen: namen en berichten wissen we 60 dagen nadat een gesprek is gesloten.
• Binnengekomen e-mails in hun oorspronkelijke vorm: 30 dagen.
• Het logboek: 180 dagen. Back-ups: 14 dagen.
• Verwijder je je account, dan wissen we je winkel met alle gegevens meteen. Uit de back-ups verdwijnen ze vanzelf binnen 14 dagen.

Wil je bij het einde eerst een kopie van je gegevens, vraag het ons voordat je je account verwijdert.

10. Datalekken

Ontdekken we een beveiligingsincident waarbij gegevens van jouw klanten betrokken (kunnen) zijn, dan melden we dat zonder onnodige vertraging, en uiterlijk binnen 48 uur nadat we het ontdekten. We vertellen wat er gebeurde, welke gegevens het betreft, wat de gevolgen kunnen zijn en wat we eraan doen, zodat jij binnen 72 uur kunt beslissen of je het bij de Autoriteit Persoonsgegevens of je klanten moet melden. We helpen je daarbij.

11. Controle

We geven je de informatie die nodig is om te laten zien dat we ons aan deze overeenkomst houden. Wil je een controle (audit) laten doen, dan kan dat hooguit één keer per jaar, na overleg, door een onafhankelijke deskundige met geheimhoudingsplicht en op jouw kosten, tenzij de controle een ernstige tekortkoming van onze kant aantoont.

12. Aansprakelijkheid

Voor aansprakelijkheid gelden de afspraken in de algemene voorwaarden. Dat laat onverlet wat de AVG dwingend voorschrijft.

13. Looptijd, wijzigingen en recht

Deze overeenkomst geldt zolang je NXT Commerce gebruikt en eindigt als je account is verwijderd. Verplichtingen die naar hun aard doorlopen (zoals geheimhouding en het wissen van gegevens), blijven gelden. Veranderen we deze overeenkomst wezenlijk, dan laten we je dat vooraf weten. Op deze overeenkomst is Nederlands recht van toepassing; geschillen leggen we voor aan de rechtbank Rotterdam.

Vragen over deze overeenkomst of over privacy? Mail naar info@baaslabz.nl. Lees ook de privacyverklaring.