Privacybeleid

Wie zijn wij

WEBSHOT is een Nederlandse onderneming gespecialiseerd in enterprise e-commerce — waaronder het ontwerp, de ontwikkeling en het beheer van Magento/Adobe Commerce webshops — alsmede hostingdiensten, zoekmachine-optimalisatie en aanverwante digitale dienstverlening.

WEBSHOT treedt op als verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG, Verordening (EU) 2016/679) voor de persoonsgegevens die zij verwerkt in het kader van haar eigen bedrijfsvoering, acquisitie, klantenservice en website. Voor persoonsgegevens die opdrachtgevers via de door WEBSHOT gehoste systemen (o.a. Magento-webshops) verwerken, treedt WEBSHOT op als verwerker en de opdrachtgever als verwerkingsverantwoordelijke.

Welke persoonsgegevens verwerken wij

In het kader van hostingdiensten voor Magento- en andere e-commerce platforms verwerkt WEBSHOT persoonsgegevens van klanten van de opdrachtgever (eindgebruikers). WEBSHOT handelt hierbij uitsluitend als verwerker op instructie van de opdrachtgever. De aard van deze gegevens (o.a. naam, adres, bestelhistorie, betaalgegevens) wordt bepaald door de opdrachtgever. Zie ook artikel 4.

Naam, contactgegevens, cv, portfolio en correspondentie in het kader van werving en selectie of het aangaan van een overeenkomst van opdracht.

WEBSHOT verwerkt geen bijzondere categorieën van persoonsgegevens (zoals gezondheidsgegevens, strafrechtelijke gegevens of biometrische gegevens) tenzij dit uitdrukkelijk vereist is en een geldige rechtsgrondslag bestaat.

Grondslagen en doeleinden van verwerking

WEBSHOT verwerkt persoonsgegevens uitsluitend op basis van een van de grondslagen van artikel 6 AVG. Het onderstaande overzicht geeft per verwerkingsdoel de grondslag aan.

Voor zover WEBSHOT verwerkt op basis van gerechtvaardigd belang heeft zij een afweging gemaakt tussen het eigen belang en het belang en de grondrechten van de betrokkene. Deze afweging valt steeds uit in het voordeel van WEBSHOT, tenzij de betrokkene zwaarwegende bezwaren heeft — in welk geval betrokkene bezwaar kan maken (zie artikel 10).

Hostingdiensten en verwerkerschap

Wanneer WEBSHOT hostingdiensten verleent voor de webshop of overige digitale infrastructuur van een opdrachtgever, verwerkt WEBSHOT de persoonsgegevens van eindgebruikers (klanten van de opdrachtgever) uitsluitend in opdracht en op instructie van die opdrachtgever. De opdrachtgever blijft te allen tijde de verwerkingsverantwoordelijke in de zin van de AVG.

Conform artikel 28 AVG sluit WEBSHOT met iedere opdrachtgever waarvoor zij als verwerker optreedt een verwerkersovereenkomst. Hierin worden vastgelegd: het onderwerp en de duur van de verwerking, de aard en het doel, het soort persoonsgegevens, de categorieën van betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke. Opdrachtgevers die nog geen verwerkersovereenkomst hebben gesloten, worden verzocht contact op te nemen via privacy@webshot.nl.

WEBSHOT-medewerkers hebben slechts toegang tot gehoste systemen en de daarin opgeslagen persoonsgegevens voor zover dat noodzakelijk is voor het verlenen van de afgesproken dienst (o.a. systeembeheer, bugfixing, performance-optimalisatie en beveiligingsbewaking). Toegang is beperkt op basis van het need-to-know principe en wordt gelogd.

De Magento- en Adobe Commerce platformen die WEBSHOT beheert of ontwikkelt bevatten doorgaans klantprofielen, bestelhistorie, adresgegevens en betaalreferenties. WEBSHOT heeft geen zeggenschap over welke gegevens de opdrachtgever verzamelt via de webshop, welke extensies de opdrachtgever installeert, of hoe de opdrachtgever zijn privacybeleid en cookiebanner inricht. Dat is en blijft de verantwoordelijkheid van de opdrachtgever als verwerkingsverantwoordelijke.

De servers van WEBSHOT slaan automatisch technische logbestanden op, waaronder IP-adressen, tijdstempels, verzoeken en foutmeldingen. Deze logs worden uitsluitend gebruikt voor technische diagnostiek, beveiligingsmonitoring en capaciteitsbeheer. Ze worden niet gedeeld met derden, tenzij wettelijk verplicht, en worden bewaard gedurende maximaal 90 dagen, waarna ze worden verwijderd of geanonimiseerd.

Bewaartermijnen

WEBSHOT bewaart persoonsgegevens niet langer dan noodzakelijk voor het doel waarvoor zij zijn verzameld, dan wel voor zover wettelijke verplichtingen een langere bewaring vereisen.

Na afloop van de bewaartermijn worden persoonsgegevens veilig verwijderd of zodanig geanonimiseerd dat heridentificatie redelijkerwijs niet meer mogelijk is.

Delen van gegevens met derden

WEBSHOT verkoopt geen persoonsgegevens aan derden en verstrekt deze niet aan derden zonder wettelijke grondslag of uitdrukkelijke toestemming, behoudens de hieronder genoemde categorieën van ontvangers.

Met alle partijen die als verwerker in opdracht van WEBSHOT persoonsgegevens verwerken, sluit WEBSHOT een verwerkersovereenkomst. Met partijen die als zelfstandige verwerkingsverantwoordelijke opereren (bijv. de Belastingdienst) gelden de wettelijk voorgeschreven kaders.

Doorgifte buiten de Europese Economische Ruimte

WEBSHOT streeft ernaar persoonsgegevens binnen de Europese Economische Ruimte (EER) te verwerken en op te slaan. Indien WEBSHOT gebruik maakt van dienstverleners buiten de EER (bijvoorbeeld cloudproviders met infrastructuur in de VS), zorgt WEBSHOT ervoor dat passende waarborgen van kracht zijn, conform hoofdstuk V AVG:

• Een adequaatheidsbesluit van de Europese Commissie voor het ontvangende land (bijv. EU–VS Data Privacy Framework), of
• Standaard Contractuele Clausules (SCC's) zoals vastgesteld door de Europese Commissie (Uitvoeringsbesluit 2021/914), aangevuld met eventueel benodigde aanvullende technische en organisatorische maatregelen, of
• Bindende bedrijfsvoorschriften (Binding Corporate Rules) van de ontvangende organisatie.

Op verzoek verstrekt WEBSHOT informatie over de specifieke waarborgen die van toepassing zijn op een bepaalde doorgifte. Neem hiervoor contact op via privacy@webshot.nl.

Beveiliging van persoonsgegevens

WEBSHOT neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, ongeoorloofde toegang, openbaarmaking, wijziging of vernietiging, conform artikel 32 AVG. De maatregelen omvatten onder meer:

• Versleutelde verbindingen via TLS/HTTPS voor alle web- en API-communicatie
• Versleuteling van data in rust (encryption at rest) op productieservers
• Firewalls, intrusion detection en DDoS-bescherming op infrastructuurniveau
• Toegangscontrole op basis van rollen en het least privilege principe
• Tweefactorauthenticatie (2FA) voor beheeraccounts en klantportaal
• Regelmatige automatische back-ups met versleutelde opslag op geografisch gescheiden locaties
• Monitoring en logging van systeemtoegang en afwijkend gedrag
• Tijdig uitvoeren van beveiligingsupdates en patches (Magento security patches inbegrepen)

• Geheimhoudingsplicht voor alle medewerkers en ingeschakelde derden
• Toegang tot persoonsgegevens beperkt tot medewerkers met een legitieme werkbehoefte
• Bewustzijnstraining op het gebied van informatiebeveiliging en phishingherkenning
• Procedure voor het melden en afhandelen van datalekken (zie hieronder)
• Periodieke beoordeling van technische maatregelen en leveranciersafspraken

WEBSHOT beschikt over een procedure voor de detectie, beoordeling en melding van datalekken conform artikel 33 en 34 AVG. Indien sprake is van een datalek dat een risico vormt voor de rechten en vrijheden van betrokkenen, meldt WEBSHOT dit binnen 72 uur aan de Autoriteit Persoonsgegevens en, indien vereist, aan de betrokken personen zelf.

Opdrachtgevers die een (vermoedelijk) datalek ontdekken op door WEBSHOT gehoste systemen, worden verzocht dit onverwijld te melden via security@webshot.nl of telefonisch via 0485 – 841 000.

Cookies en vergelijkbare technieken

De website webshot.nl maakt gebruik van cookies en vergelijkbare technologieën. Hieronder geven wij een overzicht van de categorieën.

U kunt cookies verwijderen of blokkeren via de instellingen van uw browser. Let op: het blokkeren van functionele cookies kan de werking van de website of het klantportaal beïnvloeden.

Opmerking voor opdrachtgevers: De door WEBSHOT gebouwde Magento-webshops plaatsen doorgaans cookies van Magento zelf (sessiecookies, vergelijkingslijst, winkelwagen) alsmede mogelijk cookies van door de opdrachtgever geïnstalleerde extensies (betaalproviders, chat, remarketing). De opdrachtgever is verantwoordelijk voor een correcte cookiebanner en cookiebeleid op zijn eigen webshop.

Uw rechten op grond van de AVG

Als betrokkene heeft u de volgende rechten met betrekking tot uw persoonsgegevens die WEBSHOT als verwerkingsverantwoordelijke verwerkt. WEBSHOT behandelt uw verzoek binnen de wettelijke termijn van één maand (met mogelijkheid tot verlenging met twee maanden bij complexe verzoeken).

Dien uw verzoek in via privacy@webshot.nl met een duidelijke omschrijving van uw verzoek en een kopie van een geldig identiteitsbewijs (ter verificatie van uw identiteit — de kopie wordt daarna vernietigd). WEBSHOT reageert kosteloos, tenzij verzoeken kennelijk ongegrond of buitensporig zijn.

Klachten en toezichthouder

Indien u van mening bent dat WEBSHOT uw persoonsgegevens niet in overeenstemming met de AVG verwerkt, verzoeken wij u dit eerst kenbaar te maken via privacy@webshot.nl. Wij nemen iedere klacht serieus en streven naar een oplossing binnen twee weken.

U heeft te allen tijde het recht een klacht in te dienen bij de Nederlandse toezichthoudende autoriteit:

Wijzigingen van dit privacybeleid

WEBSHOT behoudt zich het recht voor dit privacybeleid te wijzigen, bijvoorbeeld bij aanpassing van diensten, wetswijzigingen of uitspraken van toezichthouders. De meest actuele versie is te allen tijde beschikbaar op www.webshot.nl/privacybeleid. De datum bovenaan de pagina geeft aan wanneer het beleid voor het laatst is bijgewerkt.

Bij materiële wijzigingen die betrokkenen rechtstreeks raken, stelt WEBSHOT hen hiervan in kennis via e-mail of via een prominente mededeling op de website.

Contact en privacyvragen

Voor vragen, verzoeken of opmerkingen over dit privacybeleid of de verwerking van uw persoonsgegevens kunt u contact opnemen met WEBSHOT:

WEBSHOT is niet wettelijk verplicht een Functionaris voor Gegevensbescherming (FG) aan te stellen. Voor vragen over gegevensbescherming en privacy kunt u terecht bij het e-mailadres hierboven.