Versie 1 oktober 2026
Verwerkersovereenkomst Sembium LLC, handelend onder de naam Business Mine
Deze Verwerkersovereenkomst maakt onlosmakelijk deel uit van de Algemene Voorwaarden van Sembium LLC, handelend onder de naam Business Mine, en is opgesteld conform artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).
Partijen
1. Sembium LLC, handelend onder de naam Business Mine, een limited liability company naar het recht van Wyoming, Verenigde Staten, Wyoming Filing ID 2026-001893070, EIN 37-2221810, Nederlands btw-identificatienummer NL828340092B01, registered address 1309 Coffeen Avenue, STE 1200, Sheridan, Wyoming 82801, Verenigde Staten, hierna: “Verwerker”;
2. De Licentienemer zoals gedefinieerd in de Algemene Voorwaarden, hierna: “Verwerkingsverantwoordelijke”;
gezamenlijk: “Partijen”.
Overwegende dat
a. Verwerker aan Verwerkingsverantwoordelijke een softwaredienst levert voor het beheren en analyseren van diens verkoopactiviteiten op online verkoopplatforms;
b. Verwerker daarbij persoonsgegevens verwerkt waarvan Verwerkingsverantwoordelijke de verwerkingsverantwoordelijke is;
c. Partijen op grond van artikel 28 lid 3 AVG hun afspraken schriftelijk vastleggen.
Artikel 1 — Onderwerp, aard en duur
1.1 Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de uitvoering van de Overeenkomst, zoals nader omschreven in Bijlage A.
1.2 Deze Verwerkersovereenkomst geldt voor de duur van de Overeenkomst en eindigt van rechtswege op het moment dat de Overeenkomst eindigt, onverminderd artikel 10.
Artikel 2 — Instructies
2.1 Verwerker verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van Verwerkingsverantwoordelijke, waaronder begrepen de instructies die besloten liggen in het gebruik van de dienst, tenzij een Unierechtelijke of lidstaatrechtelijke bepaling Verwerker tot verwerking verplicht.
2.2 Verwerker stelt Verwerkingsverantwoordelijke voorafgaand aan een verwerking op grond van een wettelijke verplichting daarvan in kennis, tenzij die wetgeving deze kennisgeving verbiedt om gewichtige redenen van algemeen belang.
2.3 Verwerker stelt Verwerkingsverantwoordelijke onmiddellijk in kennis indien naar zijn mening een instructie in strijd is met de AVG of met andere gegevensbeschermingsbepalingen.
2.4 Verwerker verwerkt de persoonsgegevens niet voor eigen doeleinden.
Artikel 3 — Geanonimiseerde gegevens
3.1 Het is Verwerker toegestaan gegevens te aggregeren en onomkeerbaar te anonimiseren. Onomkeerbaar geanonimiseerde gegevens zijn geen persoonsgegevens in de zin van de AVG en vallen buiten het bereik van deze Verwerkersovereenkomst.
3.2 Verwerker anonimiseert nimmer persoonsgegevens van klanten van Verwerkingsverantwoordelijke ten behoeve van eigen doeleinden. Op die gegevens is uitsluitend artikel 2 van toepassing.
3.3 Het gebruik van Bedrijfsdata is geregeld in artikel 15 van de Algemene Voorwaarden. Persoonsgegevens van klanten van Verwerkingsverantwoordelijke vallen daar niet onder.
Artikel 4 — Vertrouwelijkheid
4.1 Verwerker waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting tot vertrouwelijkheid zijn gebonden.
4.2 Verwerker beperkt de toegang tot de persoonsgegevens tot die personen voor wie toegang noodzakelijk is voor de uitvoering van de Overeenkomst.
Artikel 5 — Beveiliging
5.1 Verwerker treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. De op het moment van sluiten geldende maatregelen zijn beschreven in Bijlage B.
5.2 Verwerker mag de maatregelen wijzigen, mits het beschermingsniveau niet daalt.
Artikel 6 — Subverwerkers
6.1 Verwerkingsverantwoordelijke verleent Verwerker algemene schriftelijke toestemming voor het inschakelen van subverwerkers. De op het moment van sluiten ingeschakelde subverwerkers zijn opgenomen in Bijlage C.
6.2 Verwerker informeert Verwerkingsverantwoordelijke over voorgenomen wijzigingen inzake de toevoeging of vervanging van subverwerkers, waarbij Verwerkingsverantwoordelijke gedurende veertien dagen na die kennisgeving bezwaar kan maken.
6.3 Verwerker legt aan iedere subverwerker bij overeenkomst dezelfde verplichtingen op als in deze Verwerkersovereenkomst zijn opgenomen, en blijft jegens Verwerkingsverantwoordelijke volledig aansprakelijk voor het nakomen van de verplichtingen door de subverwerker.
Artikel 7 — Doorgifte buiten de EER
7.1 Verwerker verwerkt de persoonsgegevens binnen de Europese Economische Ruimte, tenzij in Bijlage C anders is vermeld.
7.2 Doorgifte naar een land buiten de EER vindt uitsluitend plaats op basis van een adequaatheidsbesluit of van passende waarborgen als bedoeld in artikel 46 AVG, waaronder de standaardcontractbepalingen van de Europese Commissie.
Artikel 8 — Rechten van betrokkenen
8.1 Verwerker verleent Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking, bijstand door middel van passende technische en organisatorische maatregelen bij het vervullen van diens plicht te antwoorden op verzoeken om uitoefening van de rechten van betrokkenen.
8.2 Ontvangt Verwerker rechtstreeks een verzoek van een betrokkene, dan geeft hij dit onverwijld door aan Verwerkingsverantwoordelijke en beantwoordt hij het verzoek niet zelf, tenzij Verwerkingsverantwoordelijke hem daartoe opdracht geeft.
Artikel 9 — Inbreuken en bijstand
9.1 Verwerker informeert Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in ieder geval binnen achtenveertig uur, nadat hij kennis heeft genomen van een inbreuk in verband met persoonsgegevens, onder verstrekking van de informatie bedoeld in artikel 33 lid 3 AVG voor zover beschikbaar.
9.2 Verwerker verleent bijstand bij het nakomen van de verplichtingen uit de artikelen 32 tot en met 36 AVG, rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie.
Artikel 10 — Teruggave en verwijdering
10.1 Na afloop van de Overeenkomst verwijdert Verwerker, naar keuze van Verwerkingsverantwoordelijke, alle persoonsgegevens of geeft hij deze terug, en verwijdert hij bestaande kopieën, tenzij opslag van de persoonsgegevens Unierechtelijk of lidstaatrechtelijk is verplicht.
10.2 Verwerkingsverantwoordelijke maakt zijn keuze binnen dertig dagen na afloop van de Overeenkomst kenbaar. Blijft die keuze uit, dan verwijdert Verwerker de persoonsgegevens na het verstrijken van die termijn.
10.3 Het bepaalde in dit artikel laat onverlet het recht van Verwerker onomkeerbaar geanonimiseerde gegevens en Bedrijfsdata als bedoeld in artikel 15 van de Algemene Voorwaarden te blijven gebruiken.
Artikel 11 — Audit
11.1 Verwerker stelt Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de in artikel 28 AVG neergelegde verplichtingen aan te tonen.
11.2 Verwerker maakt audits, waaronder inspecties, door Verwerkingsverantwoordelijke of een door deze gemachtigde controleur mogelijk en draagt daaraan bij. Een audit vindt ten hoogste eenmaal per kalenderjaar plaats, na een aankondiging van ten minste dertig dagen, en de kosten daarvan komen voor rekening van Verwerkingsverantwoordelijke, tenzij uit de audit een tekortkoming van Verwerker blijkt.
Artikel 12 — Aansprakelijkheid en toepasselijk recht
12.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.
12.2 De aansprakelijkheidsregeling uit de Algemene Voorwaarden is van overeenkomstige toepassing, voor zover dwingend recht zich daar niet tegen verzet.
Bijlage A — Omschrijving van de verwerking
Onderwerp
Het leveren van een softwaredienst voor verkoopanalyse, voorraadbeheer, advertentiebeheer en klantenservice ten behoeve van verkopers op online verkoopplatforms.
Aard en doel
Het geautomatiseerd ophalen, opslaan, structureren, analyseren en tonen van gegevens uit de gekoppelde verkoopkanalen van Verwerkingsverantwoordelijke, alsmede het namens Verwerkingsverantwoordelijke opstellen en verzenden van klantenservicecorrespondentie.
Categorieën betrokkenen
Klanten van Verwerkingsverantwoordelijke die een bestelling hebben geplaatst of contact hebben opgenomen via het verkoopplatform.
Categorieën persoonsgegevens
Naam, adres (straat, huisnummer, postcode, plaats, land), e-mailadres en telefoonnummer van klanten; bij zakelijke klanten ook bedrijfsnaam en btw- of KvK-nummer; afhaalpunt; de inhoud van klantenservicecorrespondentie en door klanten meegestuurde bestanden; gespreksverslagen en telefoonnummers bij telefonische klantenservice; en de ordergegevens die daarbij horen. Er worden geen bijzondere categorieën persoonsgegevens als bedoeld in artikel 9 AVG verwerkt.
Duur
Voor de duur van de Overeenkomst, met deze bewaartermijnen:
Klantgegevens bij bestellingen en retouren (naam, adres en contactgegevens): versleuteld opgeslagen en zeven jaar na de bestelling of retour geautomatiseerd verwijderd, in verband met de administratieve bewaarplicht.
Tijdelijke kopieën van klant- en ordergegevens voor klantenservice: dertig dagen na de laatste verwerking verwijderd.
Klantenservicecorrespondentie: vierentwintig maanden bewaard.
Door klanten meegestuurde bestanden: negentig dagen bewaard.
Gespreksverslagen van telefonische klantenservice: in de regel negentig dagen.
Overige technische kopieën, zoals ontvangen berichten van verkoopplatforms, conceptantwoorden en adresgegevens voor verzonden kaartjes: voor de duur van de Overeenkomst. Na afloop van de Overeenkomst geldt artikel 10.
Bijlage B — Technische en organisatorische maatregelen
Versleuteling
Gegevens in transit uitsluitend via TLS. Persoonsgegevens van klanten in rust versleuteld met AES-256-GCM.
Toegangsbeheer
Toegang op basis van rollen, met multifactorauthenticatie op alle beheeromgevingen. Toegang tot de productiedatabase verloopt uitsluitend via een goedgekeurde toegangsmethode en wordt vastgelegd in een auditlog dat twaalf maanden wordt bewaard.
Scheiding van gegevens
Logische scheiding per klant op databaseniveau, afgedwongen op rijniveau.
Beschikbaarheid
Dagelijkse geautomatiseerde back-up van de database, met export naar gescheiden objectopslag.
Beveiligingsbeheer
Geautomatiseerde afhankelijkheidscontrole, periodieke kwetsbaarheidsscans, foutmonitoring, en een schriftelijk incidentresponsplan met melding binnen tweeënzeventig uur conform artikel 33 AVG.
Ontwikkelproces
Wijzigingen uitsluitend via versiebeheer met verplichte review en geautomatiseerde tests, met een gescheiden testomgeving.
Bijlage C — Subverwerkers
OVH — Kernhosting van applicatie en database — Europese Unie
Cloudflare — Frontendhosting, netwerkverkeer en bestandsopslag
Postmark — Verzending van transactionele e-mail — Verenigde Staten
Sentry — Foutmonitoring — Europese Unie
Anthropic — Verwerking ten behoeve van AI-functies — Verenigde Staten
OpenAI — Verwerking ten behoeve van AI-functies — Verenigde Staten
Voor subverwerkers buiten de Europese Economische Ruimte vindt doorgifte plaats op basis van de standaardcontractbepalingen van de Europese Commissie.
