Privacybeleid

1. Wie we zijn

We hebben geen functionaris voor gegevensbescherming aangesteld; dat is voor ons niet verplicht. Vragen over privacy stuurt u naar het contactadres hierboven; ze worden behandeld door de bestuurder van het bedrijf.

2. Twee verschillende rollen

Welke regels gelden, hangt af van wiens gegevens het zijn. Invocourier heeft twee petten op:

Wij zijn verwerker voor kopersgegevens

De persoonsgegevens die op facturen staan - de klanten van de handelaar - behoren toe aan de handelaar. De handelaar beslist wat hij factureert en waarom; wij handelen uitsluitend op zijn instructies, via de instellingen van de app. In AVG-termen is de handelaar de verwerkingsverantwoordelijke en zijn wij de verwerker. Hebt u iets gekocht bij een winkel en hebt u een vraag over uw gegevens, neem dan eerst contact op met die winkel; zij zijn de juiste partij om te antwoorden, en wij ondersteunen hen daarbij.

De verplichtingen die ons als verwerker binden, staan in onze verwerkersovereenkomst (DPA, Engels), die automatisch wordt gesloten met elke handelaar die de app installeert.

Wij zijn verwerkingsverantwoordelijke voor onze eigen bedrijfsgegevens

Voor de gegevens die we bijhouden over de handelaars zelf - het account, de instellingen, de facturatie van het abonnement - en voor wie een e-mailadres achterlaat op deze website, zijn wij de verwerkingsverantwoordelijke en is dit beleid onze eigen kennisgeving aan u.

3. Wat we verwerken, en waarom

a. Kopersgegevens op facturen (verwerker)

Komt een bestelling in aanmerking voor een factuur, dan stuurt Shopify ons de bestelling en maken wij het factuurdocument op. Dat document bevat: naam van de koper, facturatieadres, e-mailadres, btw- of ondernemingsnummer als de koper dat heeft opgegeven, de bestelde artikelen en de bedragen. We bewaren het afgewerkte document (de XML, en de pdf als er een is aangemaakt) plus de naam en het btw-nummer van de koper als indexvelden, zodat de handelaar het kan terugvinden.

We bewaren ook het resultaat van btw-nummercontroles bij de Europese VIES-dienst (het nummer, of het geldig was, de geregistreerde handelsnaam en wanneer het is gecontroleerd), want dat is het bewijs voor de btw-behandeling die op de factuur is toegepast.

Doel en rechtsgrond: het opmaken en verzenden van facturen die de handelaar wettelijk moet uitreiken. De rechtsgrond van de handelaar is zijn wettelijke verplichting (art. 6, lid 1, c AVG); de onze is onze overeenkomst met de handelaar (art. 6, lid 1, b) en zijn gedocumenteerde instructies. We vragen het minimum dat een factuur nodig heeft - het telefoonnummer van de koper vragen we niet op bij Shopify.

b. Accountgegevens van de handelaar (verwerkingsverantwoordelijke)

Het .myshopify.com-domein van de winkel, de bedrijfsgegevens die de handelaar zelf invult in Instellingen (juridische naam, adres, btw-nummer, ondernemingsnummer, contact-e-mailadres en -telefoon, IBAN als hij die toevoegt voor betalingsinstructies), zijn facturatievoorkeuren, de authenticatiesessie met Shopify en het aantal documenten dat elke maand wordt uitgereikt, voor de facturatie.

Doel en rechtsgrond: het leveren en factureren van de dienst - onze overeenkomst met de handelaar (art. 6, lid 1, b).

c. E-mailinschrijvingen op deze website (verwerkingsverantwoordelijke)

Gebruikt u de gereedheidscheck en laat u uw e-mailadres achter, dan bewaren we het e-mailadres en de antwoorden die u hebt gekozen (uw land, of u B2B verkoopt, hoe u vandaag factureert). We gebruiken ze om u de gevraagde checklist te sturen en om u te verwittigen wanneer de koppeling voor uw land wordt gelanceerd.

Rechtsgrond: uw toestemming (art. 6, lid 1, a). U kunt die op elk moment intrekken door op eender welk bericht te antwoorden of te schrijven naar [email protected]; we verwijderen het adres dan.

d. Technische logbestanden

Onze webserver registreert verzoeken op de gebruikelijke manier: IP-adres, tijdstip, opgevraagde pagina en de user-agent van de browser. Zo kunnen we storingen opsporen en misbruik herkennen. Rechtsgrond: ons gerechtvaardigd belang om een veilige dienst uit te baten (art. 6, lid 1, f).

4. Wie er nog bij betrokken is

Deze bedrijven verwerken persoonsgegevens namens ons zodat de dienst kan werken. Elk van hen is contractueel gebonden aan onze instructies.

Shopify staat niet in deze lijst: Shopify is het eigen platform van de handelaar en de bron van de bestelgegevens, geen partij aan wie wij gegevens doorgeven.

We houden deze lijst actueel. Voordat een nieuwe subverwerker persoonsgegevens begint te verwerken - bijvoorbeeld een Franse Plateforme Agréée wanneer we de Franse verplichting ondersteunen - werken we deze pagina bij en verwittigen we de handelaars, zodat ze bezwaar kunnen maken.

5. Waar gegevens worden verwerkt

Factuurgegevens worden binnen de Europese Unie opgeslagen en verwerkt, op servers in Helsinki, Finland. Documenten die via het Peppol-netwerk worden verzonden, komen aan bij het toegangspunt van de ontvanger, dat door zijn eigen registratie wordt bepaald.

Cloudflare, dat de netwerkrand vóór onze servers uitbaat, is een Amerikaans bedrijf met een wereldwijd netwerk; verkeer naar deze website kan via infrastructuur buiten de EU lopen. Waar dat een doorgifte inhoudt, steunt die op de standaardcontractbepalingen van de Europese Commissie. Onze back-ups staan ook bij Cloudflare, in een opslagruimte die beperkt is tot de Europese Unie - en ze worden op onze eigen server versleuteld voordat ze worden verzonden, zodat Cloudflare gegevens bewaart die het niet kan lezen.

6. Hoe lang we gegevens bewaren

Facturen, zolang de handelaar Invocourier gebruikt. Facturen zijn boekhoudkundige stukken: de wet verplicht de handelaar ze jaren te bewaren, geen maanden (tien jaar in Frankrijk en België, acht in Duitsland, enzovoort). Zolang de app geïnstalleerd is, houden we het archief van de handelaar precies daarom intact.

Een verzoek tot verwijdering van een koper verwijdert geen factuur. Art. 17, lid 3, b AVG houdt documenten die bestaan om een wettelijke verplichting na te komen buiten het recht op verwijdering, en een uitgereikte factuur is zo'n document. Komt er een verzoek binnen, dan laten we de handelaar weten welke documenten de gegevens van de koper bevatten en bevestigen we dat we verder niets over die persoon bijhouden. Wat die koper betreft en niet op een factuur staat, bewaren we om te beginnen al niet.

Al de rest: accountgegevens en instellingen van de handelaar worden 48 uur na de verwijdering gewist, zoals hierboven. E-mailadressen van inschrijvingen op de website bewaren we tot u zich uitschrijft. Serverlogs worden geroteerd en na maximaal 14 dagen verwijderd.

Back-ups. We houden versleutelde back-ups zodat een storing of een fout de stukken van een handelaar niet kan vernietigen. Back-ups roteren volgens een vast schema en de oudste is nooit ouder dan zes maanden, zodat gegevens die uit het live systeem zijn verwijderd uiterlijk binnen zes maanden ook uit onze back-ups verdwijnen. We zetten geen back-up terug om bewust verwijderde gegevens te recupereren.

7. Uw rechten

Onder de AVG kunt u inzage in uw persoonsgegevens vragen, rectificatie, verwijdering, beperking van de verwerking en overdraagbaarheid, en u kunt bezwaar maken tegen verwerking op grond van gerechtvaardigd belang. Waar de verwerking op toestemming berust, kunt u die op elk moment intrekken zonder gevolgen voor wat daarvoor is gebeurd.

Bent u een koper van wie de gegevens op een factuur staan: neem contact op met de winkel waar u hebt gekocht. Die beslist wat er met die gegevens gebeurt; wij handelen op zijn instructies en helpen hem antwoorden.

Bent u handelaar, of hebt u zich ingeschreven op deze website: schrijf naar [email protected]. We antwoorden binnen 30 dagen.

Vindt u dat we uw gegevens slecht hebben behandeld, dan kunt u klacht indienen bij uw eigen gegevensbeschermingsautoriteit - in België de Gegevensbeschermingsautoriteit (GBA), in Nederland de Autoriteit Persoonsgegevens - of bij de onze, de ANSPDCP in Roemenië.

8. Cookies

Deze website plaatst geen cookies. Er staan geen analytics, geen trackingpixel en geen reclamescript op deze pagina's - daarom vragen we u ook niet om iets te aanvaarden.

De applicatie zelf, in het Shopify-beheer, plaatst alleen de sessiecookies die nodig zijn om een handelaar aangemeld te houden. Die zijn strikt noodzakelijk en worden niet gebruikt om iemand te volgen.

9. Beveiliging

Gegevens worden versleuteld tijdens het transport (overal TLS) en in rust: klantgegevens - de database met het factuurarchief en de inschrijvingslijst van deze website - staan op een versleuteld volume (LUKS2) waarvan de sleutel nooit op de server wordt bewaard, en het wisselgeheugen wordt versleuteld met een sleutel die bij elke start verandert. Back-ups worden op onze server versleuteld voordat ze die verlaten, met een sleutel die alleen wij hebben, zodat het bedrijf dat ze opslaat ze niet kan lezen. De schijf met het besturingssysteem bevat geen klantgegevens en is niet afzonderlijk versleuteld. Toegang tot de server is beperkt tot de bestuurder van het bedrijf, uitsluitend met sleutelauthenticatie en met wachtwoorden uitgeschakeld, en wordt gelogd. We hebben een schriftelijke procedure voor incidenten: als er ooit een inbreuk op persoonsgegevens plaatsvindt, verwittigen we de betrokken handelaars zonder onnodige vertraging en de toezichthoudende autoriteit binnen 72 uur waar de AVG dat vereist.

10. Wijzigingen aan dit beleid

Wanneer we iets wezenlijks veranderen - een nieuwe subverwerker, een nieuwe categorie gegevens, een andere bewaartermijn - passen we de datum bovenaan deze pagina aan en verwittigen we de handelaars voordat de wijziging ingaat. Oudere versies zijn op verzoek beschikbaar.

Bij verschillen tussen de taalversies is de Engelse versie doorslaggevend.