Verwerkersovereenkomst

Voor de gegevens van jouw klanten zijn wij verwerker en ben jij verwerkingsverantwoordelijke. Deze overeenkomst legt vast wat wij met die gegevens mogen doen en wat je van ons kunt verwachten. Ze maakt onderdeel uit van de gebruiksvoorwaarden en geldt zodra je Soreya gebruikt.

Laatst bijgewerkt: 7 augustus 2026

1. Partijen en rollen

Soreya, ingeschreven bij de Kamer van Koophandel onder nummer 89216563, met btw-nummer NL864913965B01, gevestigd aan Boezem 61, 4303 BC Zierikzee, is verwerker. Jij, de webshop die een account gebruikt, bent verwerkingsverantwoordelijke voor de persoonsgegevens van je klanten die via je gekoppelde kanalen bij ons binnenkomen. Voor je eigen accountgegevens zijn wij zelf verwerkingsverantwoordelijke; daarvoor geldt het privacybeleid en niet deze overeenkomst.

2. Waarover het gaat

Wij verwerken persoonsgegevens uitsluitend om de dienst voor jou uit te voeren: berichten van je klanten in een wachtrij zetten, de bijbehorende order en kennisregels erbij zoeken, een concept-antwoord voorstellen, signalen over je orders en cijfers klaarzetten, en vastleggen wat is voorgesteld en wat jij hebt goedgekeurd.

• Betrokkenen: jouw klanten en anderen die je klantkanalen gebruiken, en de gebruikers die je zelf in je werkruimte uitnodigt.
• Soorten gegevens: naam, e-mailadres, telefoon- of accountnaam op het kanaal waarlangs iemand schrijft, de inhoud van berichten, order- en verzendgegevens, adresgegevens en toegezegde afspraken.
• Geen bijzondere categorieën: de dienst is er niet op ingericht en vraagt er niet om. Schrijft een klant er ongevraagd over in een bericht, dan behandelen we die tekst als gewone berichtinhoud.
• Duur: zolang je abonnement loopt, plus de termijn in artikel 9.

3. Onze instructies zijn jouw instructies

Wij verwerken de gegevens alleen op jouw instructie. Je gebruik van de dienst en deze overeenkomst vormen die instructie. Wij gebruiken de gegevens niet voor eigen doelen, verkopen ze niet, gebruiken ze niet voor advertenties en gebruiken ze niet om AI- of machine-learningmodellen te ontwikkelen, te verbeteren of te trainen, ook niet door derden. Menen wij dat een instructie in strijd is met de wet, dan laten we je dat weten voordat we hem uitvoeren.

De assistent stelt voor, jij beslist. Er gaat niets naar een klant, en er wordt niets gepubliceerd of gewijzigd, zonder dat een mens bij jou dat expliciet goedkeurt. Berichten van klanten behandelen we als gegevens, nooit als opdracht aan het systeem.

4. Geheimhouding

Iedereen die bij ons toegang tot deze gegevens heeft, is tot geheimhouding gehouden en krijgt alleen de toegang die het werk vraagt. Toegang tot gegevens van een werkruimte gebeurt niet voor eigen gebruik en niet zonder noodzaak.

5. Beveiliging

Wij nemen passende technische en organisatorische maatregelen. Concreet:

• Hosting, database en opslag draaien bij Microsoft Azure in de regio West-Europa (Nederland), met versleuteling van gegevens onderweg (TLS) en in opslag.
• Toegangssleutels en tokens van je koppelingen worden versleuteld opgeslagen en nooit gelogd.
• Elke werkruimte is in de opslag afgeschermd: gegevens worden per werkruimte gefilterd, zodat de ene webshop de gegevens van de andere niet kan opvragen.
• Van elke actie van de assistent en van gebruikers wordt vastgelegd wat er gebeurde, met welke bronnen en wie het goedkeurde.
• Voor je mailbox vragen we alleen de rechten die de dienst nodig heeft: lezen en concepten aanmaken, geen verzendrecht.
• Volledige prompt- en antwoordteksten van het taalmodel bewaren we standaard niet.

6. Subverwerkers

Je geeft ons algemene toestemming om subverwerkers in te schakelen. Dit zijn ze op de datum boven deze pagina:

• Microsoft Azure (Nederland, regio West-Europa): hosting, database, opslag en sleutelbeheer.
• Anthropic (Verenigde Staten): het taalmodel dat concepten en overzichten schrijft. Berichtinhoud gaat er alleen naartoe om dat te doen en wordt niet gebruikt voor training. Doorgifte op basis van de standaardcontractbepalingen van de Europese Commissie.
• Resend (Verenigde Staten): de e-mail die wij zelf naar jou en je teamleden sturen, zoals een uitnodiging of je dagoverzicht. Doorgifte op basis van de standaardcontractbepalingen.
• Stripe (Ierland, met doorgifte naar de Verenigde Staten): de betaling van je abonnement. Stripe ontvangt je facturatiegegevens, geen gegevens van je klanten.
• Microsoft en Google: alleen voor de koppelingen die je zelf autoriseert, zoals je Outlook- of Gmail-mailbox en je Google Ads- en Analytics-gegevens. Je bepaalt zelf of je die koppeling maakt en kunt hem op elk moment intrekken.
• Meta: alleen als je WhatsApp, Instagram of Messenger koppelt, voor de berichten op dat kanaal.
• PostHog (Verenigde Staten, met opslag in de Europese Unie): het gebruik van de app in cijfers. Wat erheen gaat is de naam van een handeling, de werkruimte en een onomkeerbaar versleuteld nummer in plaats van een e-mailadres; berichtinhoud, concepten en gegevens van je klanten nooit. Doorgifte op basis van de standaardcontractbepalingen.

Vervangen we een subverwerker of voegen we er een toe, dan melden we dat vooraf via het e-mailadres van je account. Heb je bezwaar, dan mag je het abonnement per direct opzeggen; wij hoeven de wijziging dan niet ongedaan te maken. Aan elke subverwerker leggen we dezelfde verplichtingen op als die wij hier aan jou geven.

7. Rechten van betrokkenen

Krijgt een van jouw klanten een verzoek om inzage, correctie, verwijdering of overdracht, dan handel jij dat af; wij helpen je daarbij en verwijzen zo'n verzoek naar jou als het bij ons binnenkomt. Verzoeken die je webshop of een platform automatisch aan ons doorgeeft, verwerken we ook automatisch. Hoe je een verzoek bij ons indient staat op Gegevens verwijderen.

8. Datalekken

Ontdekken we een inbreuk op de beveiliging met gevolgen voor de gegevens van jouw klanten, dan melden we dat zonder onnodige vertraging en in elk geval binnen 72 uur nadat wij ons ervan bewust zijn geworden, bij het e-mailadres van je account. We melden wat we op dat moment weten over de aard, de betrokken gegevens, de vermoedelijke gevolgen en de maatregelen die we nemen, en vullen dat aan zodra we meer weten. Je eigen termijn van 72 uur om te melden bij de Autoriteit Persoonsgegevens begint op het moment dat wij je informeren. De melding bij de Autoriteit Persoonsgegevens en aan je klanten doe jij; wij leveren de informatie die je daarvoor nodig hebt.

9. Bewaren, teruggeven en verwijderen

Volledige prompt- en antwoordteksten bewaren we standaard niet; zet je uitgebreide logging aan, dan gelden ze maximaal veertien dagen. De audit-log bewaren we standaard vierentwintig maanden. De berichten en ordergegevens in je werkruimte bewaren we zolang je die werkruimte gebruikt.

Na beëindiging van je abonnement kun je je gegevens opvragen. Daarna verwijderen we de gegevens van je klanten binnen dertig dagen uit onze actieve systemen, behalve wat we wettelijk moeten bewaren, zoals facturen. Verbreek je alleen een koppeling, dan verwijderen we de bij die koppeling opgeslagen gegevens en tokens.

10. Controle

Op verzoek geven we je de informatie die je nodig hebt om te beoordelen of wij ons aan deze overeenkomst houden, waaronder een beschrijving van onze maatregelen en de beschikbare verklaringen van onze subverwerkers. Wil je een audit laten uitvoeren, dan werken we daaraan mee, ten hoogste eens per jaar en op een moment dat de dienst niet raakt, tenzij er een concrete aanleiding is. De kosten van zo'n audit zijn voor jou, tenzij eruit blijkt dat wij ons niet aan deze overeenkomst hielden.

11. Aansprakelijkheid en rangorde

Op deze overeenkomst is de aansprakelijkheidsregeling uit de gebruiksvoorwaarden van toepassing, inclusief het maximum, de uitsluitingen en de vervaltermijnen die daar staan. Dat maximum geldt voor alles samen, dus voor aanspraken uit de gebruiksvoorwaarden en uit deze overeenkomst bij elkaar.

Als verwerkingsverantwoordelijke beslis jij wat er met de gegevens van je klanten gebeurt. Wij zijn niet aansprakelijk voor schade die voortkomt uit jouw instructies, uit de gegevens die je aanlevert of laat koppelen, uit de informatie die je aan je klanten geeft, of uit een bestuurlijke boete die aan jou wordt opgelegd, behalve voor zover die het gevolg is van onze opzet of bewuste roekeloosheid. Je vrijwaart ons tegen aanspraken van je klanten en andere betrokkenen die daaruit voortkomen, met dezelfde uitzondering.

Wat de wet dwingend regelt, blijft gelden: deze bepaling beperkt niet wat betrokkenen op grond van artikel 82 AVG rechtstreeks van een verwerker kunnen vorderen, en niet onze aansprakelijkheid bij opzet of bewuste roekeloosheid. Blijkt een beperking niet geldig, dan geldt de verstgaande beperking die wél geldig is.

Wijkt deze overeenkomst af van de gebruiksvoorwaarden op een punt over de verwerking van persoonsgegevens, dan gaat deze overeenkomst voor. Op deze overeenkomst is Nederlands recht van toepassing.

12. Wijzigingen

We passen deze overeenkomst aan als de dienst of de wet daarom vraagt. De datum bovenaan geeft de laatste versie aan. Bij een wijziging die iets van je verwacht, laten we het je vooraf weten.

Lees ook ons privacybeleid en onze gebruiksvoorwaarden.