Verwerkersovereenkomst

Vertaling voor het gemak. De juridisch bindende versie wat de inhoud van deze Verwerkersovereenkomst betreft, is de Engelse versie gepubliceerd op gethokku.com/dpa. Bij een wezenlijk verschil tussen deze Nederlandse versie en de Engelse versie prevaleert de Engelse versie, met de uitzondering die is gedocumenteerd in clausule §13.3.

Samenvattingen in begrijpelijke taal verschijnen cursief door het document, ter ondersteuning van de lezing. Ze hebben geen contractuele waarde. Alleen de genummerde paragrafen binden de partijen.

Deze Verwerkersovereenkomst (de “Verwerkersovereenkomst” of “DPA”) is een aanvulling op de Algemene voorwaarden van Hokku en regelt de wijze waarop H-MOON Digital (de “Verwerker”) persoonsgegevens verwerkt voor rekening van de Shopify-ondernemer (de “Verwerkingsverantwoordelijke”, “Ondernemer”) binnen de Hokku-app.

Door Hokku te installeren of te gebruiken, aanvaardt de Ondernemer deze Verwerkersovereenkomst. Een afzonderlijke ondertekening is niet vereist.

Waar deze Verwerkersovereenkomst staat. Hokku wordt gedistribueerd via de Shopify App Store. Shopify treedt op als een afzonderlijke verwerkingsverantwoordelijke ten opzichte van de Ondernemer, onder het Shopify Data Processing Addendum, dat alles dekt wat Shopify rechtstreeks verwerkt. Deze Verwerkersovereenkomst dekt uitsluitend wat H-MOON Digital rechtstreeks verwerkt binnen de Hokku-app — een verwerkingsrelatie die losstaat van die van Shopify. De gegevens die op de marketingwebsite gethokku.com worden verzameld, vallen afzonderlijk onder de Privacyverklaring.

1. Rollen en reikwijdte

Kort gezegd: jouw winkel is de verwerkingsverantwoordelijke. Hokku is de verwerker die handelt volgens jouw instructies.

1.1. De Ondernemer treedt op als Verwerkingsverantwoordelijke van de persoonsgegevens betreffende zijn klantenkring, zijn prospects, zijn personeel en de activiteit op winkelniveau, met inbegrip van de gegevens die Hokku bereiken via de winkel en de Shopify-admin.

1.2. H-MOON Digital treedt op als Verwerker van de persoonsgegevens die de Ondernemer via Hokku verstrekt of genereert, en verwerkt deze uitsluitend volgens de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, vastgelegd in de Algemene voorwaarden van Hokku, in deze Verwerkersovereenkomst en in de gebruikersinterface van Hokku.

1.3. Reikwijdte. Deze Verwerkersovereenkomst is van toepassing op de verwerking die H-MOON Digital uitvoert binnen de Hokku-app en de bijbehorende ondersteuningsinfrastructuur. Zij is niet van toepassing op (a) de verwerking die Shopify uitvoert onder het Shopify-DPA, (b) de verwerking die wordt uitgevoerd op de marketingwebsite gethokku.com, noch (c) de verwerking die door de Ondernemer buiten Hokku wordt uitgevoerd.

2. Categorieën persoonsgegevens en betrokkenen

Kort gezegd: het strikt noodzakelijke zodat Hokku in jouw winkel werkt. Geen advertentiegegevens. Geen tracking buiten het noodzakelijke.

2.1. Categorieën betrokkenen.

• De klantenkring en de prospects van de Ondernemer (eindgebruikers van de winkel).

• Het personeel en de medewerkers van de Ondernemer met toegang tot de Hokku-admin.

• De Ondernemer zelf, wanneer deze een eenmanszaak of ZZP’er is.

  2.2. Categorieën persoonsgegevens die binnen Hokku worden verwerkt.

• Aan de zijde van de klant (winkel van de Ondernemer): pseudonieme identificatoren (Shopify-cart-token), verwijzingen naar producten die zijn bekeken of toegevoegd aan de winkelwagen, URL van de pagina waarop een Hokku-widget wordt weergegeven. Er wordt geen enkel klantidentificerend veld verwerkt — geen naam, geen e-mailadres, geen telefoonnummer, geen factuur- of afleveradres en geen klantidentificatie. Geen tracking van derden, geen advertentie-identificatoren, geen gedragsprofilering.

• Aan de zijde van de bestelling (post-aankoop): bestellingsidentificatie, aanmaakdatum, valuta, totaalbedrag van de bestelling, totaal aan kortingen, totaal aan belastingen, testmarkering en herkomstkanaal; per orderregel: regelidentificatie, productidentificatie, variantidentificatie, aantal en prijs; verzendregels — uitsluitend hun prijs, om gratis verzending te detecteren; toegepaste kortingscodes en hun waarde. Gebruikt om de toename in omzet toe te schrijven aan specifieke Hokku-aanbiedingen (geavanceerde analyses — vanaf Starter) en om het maandelijkse bestelvolume te tellen dat het abonnement bepaalt. Noch de vervoerder, noch het afleveradres, noch de levertijd wordt gelezen.

• Aan de zijde van de ondernemer (admin): URL van de Shopify-winkel, e-mailadres van de winkeleigenaar, identificatoren van Hokku-admingebruikers, IP-adres en user agent voor beveiligingslogs.

  2.3. Categorieën gegevens die uitdrukkelijk NIET worden verwerkt.

• Namen, e-mailadressen, telefoonnummers en factuur- of afleveradressen van de klantenkring — nooit; de query’s van Hokku aan de Shopify Admin API selecteren het klantobject niet, en bestel-webhooks worden verwerkt zonder enig klantidentificerend veld te lezen.

• Betaalkaartgegevens — nooit (Shopify Billing verwerkt alle betalingen voor de Hokku-abonnementsgelden).

• Wachtwoorden of inloggegevens van de klantenkring — nooit.

• Gezondheidsgegevens, biometrische gegevens, religieuze, politieke gegevens of gegevens over seksuele geaardheid — nooit; indien dergelijke gegevens onbedoeld door een Ondernemer worden verzonden via aangepaste Hokku-velden, is de Ondernemer daarvoor als enige verantwoordelijk.

  2.4. Publieksmeting in de winkel van de Ondernemer.

Hokku slaat een technische identificatie op in de browser van de bezoekers van de Ondernemer, om weergaven van en kliks op aanbiedingen te tellen zonder dezelfde bezoeker dubbel te tellen, en om een verkoop te koppelen aan de aanbieding die deze heeft uitgelokt. Die identificatie geldt alleen voor de winkel van de Ondernemer, bevat geen persoonsgegevens (geen naam, geen e-mailadres, geen IP-adres) en wordt na dertien (13) maanden vernieuwd.

Op de ruwe regels met weergaven en kliks wordt de bezoekersidentificatie na vierentwintig (24) uur gewist door een dagelijkse taak — het functionele nut ervan duurt dertig minuten.

Wat op de conversieregels bewaard blijft, is de bestellingsidentificatie, en wel noodzakelijkerwijs: het is de sleutel waarmee H-MOON Digital een customers/redact-verzoek honoreert. Wat op verzoek verwijderbaar moet blijven, valt niet te anonimiseren.

3. Doel van de verwerking en rechtsgrondslag

Kort gezegd: wij verwerken gegevens uitsluitend om Hokku te laten werken, ondersteuning te bieden en de dienst te verbeteren. Jouw AVG-grondslag is “uitvoering van een overeenkomst”.

3.1. Doel. H-MOON Digital verwerkt persoonsgegevens binnen Hokku uitsluitend om:

• (a) Hokku-aanbiedingen (bundels, upsells, cross-sells, enz.) weer te geven in de winkel en de admin van de Ondernemer;

• (b) de toename in omzet toe te wijzen aan Hokku-aanbiedingen voor het dashboard van de Ondernemer;

• (c) het maandelijkse bestelvolume van de Ondernemer te tellen, wat het toepasselijke Hokku-abonnement bepaalt;

• (d) ondersteuning te bieden aan de Ondernemer wanneer daarom wordt verzocht;

• (e) de veiligheid en integriteit van de Dienst te handhaven (rate limiting, detectie van misbruik, audit logs);

• (f) de Dienst te verbeteren (geaggregeerde niet-identificeerbare statistieken, A/B-tests van interfacewijzigingen);

• (g) wettelijke verplichtingen na te komen (fiscale facturering via Shopify, beantwoording van AVG-webhooks, gerechtelijke beslissingen).

  3.2. Rechtsgrondslag. De Verwerkingsverantwoordelijke is verantwoordelijk voor het vaststellen van een rechtsgrondslag op grond van art. 6 van Verordening (EU) 2016/679 (AVG) voor de onderliggende verwerking van de gegevens van zijn klantenkring, alsmede voor de naleving van de verplichtingen die voortvloeien uit de Nederlandse Uitvoeringswet AVG (UAVG) wanneer van toepassing. H-MOON Digital, als Verwerker, verwerkt de gegevens volgens de gedocumenteerde instructies van de Verwerkingsverantwoordelijke, hoofdzakelijk op de grondslag “uitvoering van een overeenkomst” (art. 6.1.b AVG) tussen de Verwerkingsverantwoordelijke en H-MOON Digital, en het “gerechtvaardigd belang” (art. 6.1.f AVG) voor de beveiligingslogs.

4. Subverwerkers

Kort gezegd: een korte lijst van overwegend Europese aanbieders. 30 dagen vooraankondiging voor een nieuwe.

4.1. Subverwerkers geautoriseerd op 27 juni 2026.

4.2. De bijgewerkte lijst van Subverwerkers is ook gepubliceerd op gethokku.com/sub-processors.

4.3. Kennisgeving van nieuwe subverwerkers. H-MOON Digital zal de Ondernemer per e-mail en via bijwerking van /sub-processors informeren met een opzegtermijn van ten minste dertig (30) dagen voordat een nieuwe subverwerker wordt toegevoegd die de verwerking van persoonsgegevens wezenlijk beïnvloedt. De Ondernemer kan binnen deze termijn van 30 dagen schriftelijk bezwaar maken. Indien H-MOON Digital en de Ondernemer geen alternatief overeenkomen, zal het enige rechtsmiddel van de Ondernemer zijn het Hokku-abonnement te beëindigen voordat de nieuwe subverwerker met de verwerking aanvangt.

4.4. Verplichtingen van subverwerkers. Elke subverwerker is gebonden aan gegevensbeschermingsverplichtingen die niet minder beschermend zijn dan die van deze Verwerkersovereenkomst.

4.5. AI-assistent. Wanneer de Ondernemer de optionele Hokku Assistant activeert — een in de app geïntegreerde AI-ondersteuningschat (zie Algemene voorwaarden §15) — wordt de gespreksinhoud (de berichten van de Ondernemer en de gegenereerde antwoorden) door Anthropic verwerkt, uitsluitend om antwoorden te produceren. Deze inhoud wordt dertig (30) dagen bewaard en daarna verwijderd. De Ondernemer wordt verzocht geen gevoelige gegevens via de Assistent te verstrekken.

5. Internationale doorgiften

Kort gezegd: wij geven de voorkeur aan EU-infrastructuur. Wanneer gegevens de EU verlaten, zijn ze gedekt door standaardmechanismen die door de AVG worden erkend.

5.1. De door H-MOON Digital verwerkte persoonsgegevens worden hoofdzakelijk binnen de Europese Unie opgeslagen (Supabase Frankfurt voor de applicatiegegevens; Sentry EU voor foutmonitoring).

5.2. Wanneer een doorgifte buiten de Europese Economische Ruimte (EER) noodzakelijk is (Vercel, een in de Verenigde Staten gevestigde vennootschap — haar toegang tot de gegevens vormt een doorgifte ook al draait de Hokku-admin op EU-compute in Frankfurt; Resend multi-regio voor e-maillevering, Anthropic USA voor de optionele AI-assistent), baseert H-MOON Digital zich op:

• (a) de Modelcontractbepalingen 2021 (Uitvoeringsbesluit (EU) 2021/914 van de Commissie) op grond van Hoofdstuk V van de AVG (Resend, Anthropic);

• (b) het EU-US Data Privacy Framework (Adequaatheidsbesluit (EU) 2023/1795 van de Commissie) voor stromen van de EU naar gecertificeerde Amerikaanse ontvangers (Vercel).

  5.3. De Ondernemer aanvaardt dat H-MOON Digital Modelcontractbepalingen sluit met subverwerkers voor rekening van de Ondernemer, voor zover noodzakelijk voor de uitvoering van de Dienst.

6. AVG-webhooks opgelegd door Shopify

Kort gezegd: wanneer een klant of een winkel Shopify vraagt zijn gegevens te wissen, stuurt Shopify het verzoek naar ons door. Wij voeren het meteen uit, zonder de ons gegunde termijn te benutten.

6.1. Overeenkomstig de verplichtingen van Shopify inzake AVG-webhooks implementeert H-MOON Digital de drie verplichte AVG-webhooks en verwerkt deze volgens het volgende tijdschema:

6.2. De ontvangsten van webhooks worden geregistreerd ten behoeve van audit. De Ondernemer kan een register opvragen van de webhook-acties die zijn winkel betreffen door een e-mail te sturen naar hello@gethokku.com.

7. Beveiligingsmaatregelen

Kort gezegd: versleuteling, toegangscontrole, audit logs. Standaard, serieus genomen.

7.1. H-MOON Digital past passende technische en organisatorische maatregelen toe om een op het risico afgestemd beveiligingsniveau te waarborgen, op grond van art. 32 AVG, waaronder:

• Versleuteling in transit — TLS 1.3 voor al het Hokku-verkeer.

• Versleuteling in rust — AES-256 op de Supabase Frankfurt-database en op alle back-ups.

• Toegangscontrole — minimaal-bevoegde toegang tot productiegegevens, beperkt tot personeel en adviseurs van H-MOON Digital die door geheimhouding zijn gebonden, met verplichte multifactorauthenticatie.

• Audit logs — alle administratieve handelingen op productiegegevens worden geregistreerd met actor, tijdstempel en doelwit, en bewaard gedurende twaalf (12) maanden.

• Kwetsbaarhedenbeheer — geautomatiseerde analyse van afhankelijkheden (OSV-Scanner) en toepassing van beveiligingspatches binnen redelijke termijnen na hun bekendmaking.

• Netwerksegmentatie — productiesystemen zijn geïsoleerd van ontwikkel- en pre-productieomgevingen.

  7.2. De lijst van technische en organisatorische maatregelen kan evolueren; de geldende versie wordt weerspiegeld in deze Verwerkersovereenkomst en blijft in lijn met de industriestandaarden.

8. Melding van datalekken

Kort gezegd: als er iets misgaat met jouw gegevens, lichten we je binnen 24 uur in.

8.1. H-MOON Digital zal de betrokken Ondernemer per e-mail informeren binnen vierentwintig (24) uur na kennisname van een datalek dat de gegevens van de Ondernemer betreft, met de relevante informatie (aard van het datalek, categorieën en bij benadering aantal getroffen betrokkenen, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen).

8.2. Deze toezegging tot kennisgeving binnen 24 uur sluit aan bij de verplichting uit de Shopify Partner Program Agreement § 9.14.2(vi) en gaat verder dan het minimum van 72 uur dat is voorzien in de artikelen 33 en 34 AVG voor de melding aan de toezichthoudende autoriteit en de getroffen betrokkenen.

8.3. De Ondernemer blijft als enige verantwoordelijk voor elke kennisgeving die hij verschuldigd is aan de betrokkenen of aan de Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag — meldplicht datalekken via autoriteitpersoonsgegevens.nl), op grond van de artikelen 33 en 34 AVG, of aan enige andere bevoegde toezichthoudende autoriteit; H-MOON Digital zal redelijke medewerking verlenen, op verzoek van de Ondernemer en tegen redelijke kosten.

9. Bijstand bij rechten van betrokkenen

Kort gezegd: wanneer jouw klantenkring zijn AVG-rechten uitoefent, helpen wij je te reageren.

9.1. H-MOON Digital biedt, rekening houdend met de aard van de verwerking, de Ondernemer passende technische en organisatorische bijstand, voor zover mogelijk, om te voldoen aan zijn verplichting te reageren op verzoeken tot uitoefening van de rechten van betrokkenen voorzien in de artikelen 15-22 AVG (inzage, rectificatie, wissing, beperking van de verwerking, overdraagbaarheid, verzet, niet onderworpen te zijn aan geautomatiseerde besluitvorming).

9.2. Verzoeken die rechtstreeks door H-MOON Digital worden ontvangen en die betrekking hebben op betrokkenen van de Ondernemer, worden zonder onnodige vertraging aan de Ondernemer doorgestuurd.

10. Auditrecht

Kort gezegd: je kunt ons vragen stellen over onze beveiliging en praktijken. Wij antwoorden te goeder trouw.

10.1. H-MOON Digital zal, op redelijk schriftelijk verzoek van de Ondernemer en niet meer dan eenmaal per twaalf maanden (behalve bij een gedocumenteerd incident), aan de Ondernemer alle informatie ter beschikking stellen die nodig is om de naleving van deze Verwerkersovereenkomst aan te tonen, met inbegrip van een schriftelijke samenvatting van haar beveiligingsmaatregelen, de lijst van subverwerkers en het standpunt inzake de Modelcontractbepalingen en het EU-US Data Privacy Framework.

10.2. Voor ondernemers met een specifieke en gedocumenteerde zorg zal H-MOON Digital binnen dertig (30) dagen reageren op een gedocumenteerd auditvragenformulier. Er worden geen audits ter plaatse aangeboden voor de self-service abonnementen; voor enterprise-overeenkomsten kunnen auditmodaliteiten afzonderlijk schriftelijk worden overeengekomen.

11. Teruggave en verwijdering van gegevens bij beëindiging

Kort gezegd: jouw gegevens leven zolang je Hokku gebruikt — behalve je contact met ons supportteam en met Hokku Assistant, dat volgens een eigen schema vanzelf wordt gewist, zonder te wachten tot je de app verwijdert. Bij het verwijderen van de app wissen wij meteen alles wat een persoon identificeert, en bewaren wij jouw aanbiedingen en statistieken 60 dagen voor het geval je terugkomt — daarna wissen wij ook die.

11.1. Zolang de app geïnstalleerd is. H-MOON Digital bewaart de Ondernemersgegevens zolang de Ondernemer Hokku gebruikt, omdat zijn eigen statistieken — met inbegrip van de cijfers sinds het begin — daarop gebouwd zijn.

Contact met ons supportteam en gesprekken met Hokku Assistant hebben hun eigen bewaartermijnen, ook zolang de app geïnstalleerd is: H-MOON Digital verwijdert elk supportticket twaalf (12) maanden na verzending en wist het e-mailadres voor antwoorden dat erin staat na negentig (90) dagen; dezelfde termijn van negentig (90) dagen geldt voor berichten die binnenkomen op support@gethokku.com. Gesprekken met Hokku Assistant worden na dertig (30) dagen verwijderd. De Ondernemer kan bovendien op elk moment via Instellingen de onmiddellijke verwijdering van zijn gegevens aanvragen, met inbegrip van zijn supporttickets en gesprekken met Hokku Assistant.

11.2. Na verwijdering van de app — wat meteen wordt gewist. Shopify stelt H-MOON Digital via de webhook shop/redact 48 uur na de verwijdering op de hoogte. Bij ontvangst wist H-MOON Digital uit de actieve Hokku-systemen de gegevens die een persoon identificeren — toegangstokens, supporttickets en gesprekken met Hokku Assistant — en anonimiseert het de ordernummers die in de statistiekgegevens bewaard blijven, zonder aanvullende vertraging. Buiten dat punt worden geen persoonsgegevens van kopers bewaard.

11.3. Na verwijdering van de app — wat bewaard blijft, en hoe lang. De eigen configuratie van de Ondernemer (aanbiedingen en instellingen) en zijn geaggregeerde statistieken blijven zestig (60) dagen na de verwijdering in de actieve systemen staan, zodat een Ondernemer die binnen die termijn opnieuw installeert zijn werk terugvindt. Het uitleveren van de aanbiedingen stopt in elk geval bij de verwijdering. Na die termijn wist een automatische opschoning deze gegevens definitief; diezelfde opschoning geldt ook wanneer de webhook shop/redact nooit wordt afgeleverd.

11.4. Back-ups. De versleutelde back-ups van onze hostingprovider worden opgeschoond volgens roulerende back-upcycli, waarbij de volledige opschoning binnen dertig (30) aanvullende dagen is afgerond; gegevens die op grond van §11.2 of §11.3 zijn gewist, verdwijnen daar op dezelfde termijn uit.

11.5. Op schriftelijk verzoek, op elk moment zolang de app geïnstalleerd is, verstrekt H-MOON Digital een gestructureerde export van de Ondernemersgegevens in een gangbaar, machineleesbaar formaat. Omdat de toegang van de Ondernemer bij het deïnstalleren eindigt en de bewaarde gegevens zestig (60) dagen later worden gewist, moet de Ondernemer een export aanvragen vóór het deïnstalleren.

11.6. H-MOON Digital mag na beëindiging alleen gegevens bewaren voor zover de toepasselijke wetgeving dat vereist (boekhouding, fiscale verplichtingen); in dat geval is de bewaring beperkt tot de wettelijke minimumduur en worden de gegevens gescheiden van de actieve verwerking.

12. Duur en voortbestaan

Kort gezegd: deze Verwerkersovereenkomst duurt zolang als jouw Hokku-abonnement. De gegevensverplichtingen blijven daarna bestaan.

12.1. Deze Verwerkersovereenkomst treedt in werking bij de eerste installatie van Hokku en blijft van kracht zolang H-MOON Digital persoonsgegevens verwerkt voor rekening van de Ondernemer.

12.2. De secties 5 (Doorgiften), 7 (Beveiliging), 8 (Melding van datalekken), 10 (Audit), 11 (Teruggave en verwijdering) en 13 (Diverse bepalingen) blijven na beëindiging van kracht voor zover noodzakelijk om de verwijderings- en samenwerkingsverplichtingen uit te voeren.

13. Diverse bepalingen

13.1. Toepasselijk recht en bevoegde rechter. Deze Verwerkersovereenkomst wordt beheerst door dezelfde wet en is onderworpen aan dezelfde bevoegde rechter als de Algemene voorwaarden (Frans recht, exclusieve bevoegdheid van de rechtbanken te Parijs — zie Algemene voorwaarden §12), onverminderd de dwingende bepalingen van de AVG en van de Nederlandse Uitvoeringswet AVG (UAVG) die van toepassing zijn op de in Nederland gevestigde Ondernemer.

13.2. Voorrangsorde. In geval van conflict tussen deze Verwerkersovereenkomst en de Algemene voorwaarden wat betreft de verwerking van persoonsgegevens, prevaleert deze Verwerkersovereenkomst.

13.3. Vertalingen. Deze Verwerkersovereenkomst is gepubliceerd in het Engels (canonieke versie) met vertalingen voor het gemak in andere talen. Bij een wezenlijk verschil tussen de Engelse versie en een vertaling prevaleert de Engelse versie die beschikbaar is op gethokku.com/dpa. Uitzondering — wanneer een vertaling clausules of verduidelijkingen bevat die door het dwingend lokaal recht van de jurisdictie van die vertaling worden vereist (bijvoorbeeld verwijzingen naar de AVG, naar de Autoriteit Persoonsgegevens of naar de Nederlandse UAVG), zijn die plaatselijk opgelegde bepalingen binnen die jurisdictie van toepassing en vormen zij geen “verschil” in de zin van deze clausule. De beschikbare talen zijn vermeld in de voettekst van dit document.

13.4. Wijzigingen. Wezenlijke wijzigingen van deze Verwerkersovereenkomst worden aan de ondernemers gemeld onder dezelfde voorwaarden als wijzigingen van de Algemene voorwaarden (zie Algemene voorwaarden §11).

13.5. Contact. Vragen over gegevensbescherming, bezwaren tegen subverwerkers, verzoeken van betrokkenen, auditverzoeken en meldingen van datalekken: hello@gethokku.com. Wij waarderen het onderwerp [DPA] om het bericht te kunnen routeren.

Laatst bijgewerkt: 5 augustus 2026.