PPickIt
PrijzenBeginnen
Juridisch

Verwerkersovereenkomst

Bijlage 1 · versie 1.0vwo-1.07 september 2026

Deze overeenkomst hoort bij de algemene voorwaarden van PickIt. Ga je akkoord met die voorwaarden, dan geldt deze bijlage automatisch. Je hoeft hem niet apart te tekenen.
Hoort bij: Algemene voorwaarden (av-1.0) · Privacyverklaring
Partijen
  • —De verwerkingsverantwoordelijke — jij, de klant die PickIt gebruikt. Jij bepaalt waarom en hoe de persoonsgegevens van je kopers verwerkt worden.
  • —De verwerker — Kingsbridge Oakmont, vennootschap onder firma, Paletplein 8, 2526 GW Den Haag, Nederland, KvK 97648639, die PickIt levert. Hieronder: "wij".
1. Waar deze overeenkomst over gaat#1
1.1Om PickIt te kunnen leveren, verwerken wij persoonsgegevens die jij erin zet. Wij doen dat alleen voor jou. Jij bent verwerkingsverantwoordelijke, wij zijn verwerker in de zin van artikel 28 AVG.
1.2Deze overeenkomst gaat niet over de gegevens die wij van jóu als klant verwerken — je bedrijfsgegevens, je inloggegevens, je betaalgegevens. Daarvoor zijn wij zelf verantwoordelijk; wat wij daarmee doen staat in onze privacyverklaring.
1.3Bij tegenstrijdigheid gaat deze bijlage voor op de algemene voorwaarden, voor zover het over persoonsgegevens gaat.
2. Aard en doel van de verwerking#2
2.1Het doel: jouw magazijn laten werken. Concreet verwerken wij persoonsgegevens om bestellingen op te halen uit je webshop, picklijsten te maken, orders te picken en in te pakken, pakbonnen af te drukken, zendingen en verzendlabels aan te maken, retouren af te handelen, voorraad en inkoop bij te houden, rapporten en exports te maken, en om die gegevens via de API en de webhooks aan jouw eigen systemen door te geven.
2.2Verwerkingen die daarbij horen: opslaan, ordenen, opvragen, wijzigen, doorsturen, exporteren, afschermen en verwijderen.
2.3De verwerking duurt zo lang als de overeenkomst duurt, plus wat artikel 11 daarover zegt.
3. Welke gegevens, en van wie#3
3.1Betrokkenen — de kopers en ontvangers van jouw webshop of van de webshops van je fulfilment-klanten; contactpersonen bij je leveranciers; contactpersonen bij je fulfilment-klanten; en de medewerkers die jij in PickIt aanmaakt.
3.2Soorten gegevens — voor zover jij ze in PickIt zet of laat binnenkomen:
Van wieWat
Kopers en ontvangersvoor- en achternaam, bedrijfsnaam, factuur- en bezorgadres (straat, huisnummer, toevoeging, tweede adresregel, postcode, plaats, provincie, land), e-mailadres, telefoonnummer, gegevens van een afhaalpunt, opmerking bij de bestelling, bestelnummer, besteldatum, bestelde artikelen, bedragen, betaalmethode, verzendmethode, track-and-tracecode en de status en geschiedenis van de bestelling, de zending en de retour
Leveranciersnaam, contactpersoon, adres, e-mailadres, telefoon- en mobiel nummer
Fulfilment-klantennaam, contactpersoon, adres, e-mailadres, telefoonnummer, btw-nummer, KvK-nummer
Jouw medewerkersnaam, e-mailadres, rol, taal, tijdzone, versleutelde afdruk van het wachtwoord, tweestapsinstelling, laatste inlogmoment, en hun handelingen in het logboek
3.3Wij vragen niet om bijzondere persoonsgegevens (artikel 9 AVG) en PickIt is er niet op gebouwd. Zet je ze er toch in — bijvoorbeeld in een opmerkingveld — dan doe je dat op eigen verantwoordelijkheid en moet je ons dat vooraf melden, zodat we kunnen beoordelen of er extra maatregelen nodig zijn.
4. Wij werken alleen op jouw instructie#4
4.1Wij verwerken de persoonsgegevens uitsluitend op jouw schriftelijke instructie. De overeenkomst, deze bijlage en het normale gebruik van PickIt zijn samen jouw instructie.
4.2Wij gebruiken de gegevens nooit voor onszelf: niet om ons product te trainen, niet voor analyses over klanten heen, niet voor marketing, en wij verkopen ze niet.
4.3Moeten wij van de wet iets doen wat buiten jouw instructie valt, dan laten wij je dat vooraf weten, tenzij die wet dat verbiedt.
4.4Vinden wij dat een instructie van jou in strijd is met de AVG, dan zeggen wij dat meteen.
4.5Jij staat ervoor in dat je zelf een grondslag hebt voor wat je in PickIt zet, dat je je kopers daarover informeert, en dat jouw instructies aan ons rechtmatig zijn.
5. Geheimhouding#5
5.1Wij houden de persoonsgegevens geheim en geven er niemand toegang toe die daar voor het leveren van PickIt niet bij hoeft.
5.2Iedereen bij ons die er wél bij kan, is tot geheimhouding verplicht — via de arbeidsovereenkomst, de opdrachtovereenkomst of een aparte geheimhoudingsverklaring. Die plicht loopt door nadat het werk is afgelopen.
6. Beveiliging#6
6.1Wij hebben passende technische en organisatorische maatregelen genomen (artikel 32 AVG). Dit is wat er daadwerkelijk is; wij noemen hier bewust niets wat wij nog niet hebben:
  • —Tweestapsverificatie met een authenticator-app (TOTP), per gebruiker in te schakelen. Zonder de code komt er geen sessie tot stand.
  • —Rem op raden — na acht mislukte pogingen staat het inloggen een kwartier op slot, geteld per IP-adres én per gebruiker. Dezelfde rem geldt voor de codes van de tweede stap.
  • —Wachtwoorden worden alleen als bcrypt-hash bewaard, met eisen aan de vorm; een wachtwoord dat al gebruikt werd wordt geweigerd, en een beheerder moet bij het eerste gebruik zelf een wachtwoord kiezen. Bij een wachtwoordwissel vervallen alle andere sessies van die gebruiker.
  • —Rollen — zes rollen met verschillende rechten (van beheerder tot pickmedewerker met minimale rechten), en de mogelijkheid prijzen voor een medewerker te verbergen.
  • —Een gescheiden omgeving per klant — elke klant heeft een eigen subdomein; elk gegeven in de database hangt aan één account; een sessie hoort bij precies één omgeving; en wat een browser zelf over zijn account meestuurt wordt weggegooid voordat de app ernaar kijkt. Op die scheiding staan geautomatiseerde tests die bij elke wijziging draaien.
  • —Versleutelde verbindingen — de app is alleen via https bereikbaar en luistert zelf alleen op de server, achter een aparte poortwachter. De verbinding met de database is versleuteld en wij controleren met welke server we praten.
  • —API-sleutels worden alleen als onomkeerbare afdruk (SHA-256) bewaard, met een eigen vervaldatum per sleutel; de sleutel zelf is één keer zichtbaar.
  • —Logboek — een logboek van gebeurtenissen in de omgeving (met gebruiker, tijdstip en waar van toepassing het IP-adres), een voorraadlogboek dat alleen aangevuld en niet gewijzigd kan worden, en een geschiedenis per bestelling, inkooporder en retour.
  • —Back-ups — de database staat bij Supabase, dat automatisch back-ups maakt.
  • —Opruimen op jouw instelling — per webshop kun je aanzetten dat de persoonsgegevens bij afgeronde en geannuleerde bestellingen automatisch worden gewist. Standaard staat dat uit; zet je het aan, dan gebeurt het standaard 90 dagen na afronding en 30 dagen na annulering, en die termijnen kun je zelf aanpassen. Zie ook artikel 9.4.
6.2Wij mogen deze maatregelen wijzigen, zolang het beschermingsniveau daardoor niet lager wordt.
6.3Jij bent verantwoordelijk voor de beveiliging aan jouw kant: wie je in je omgeving toelaat, welke rol je die persoon geeft, of je tweestapsverificatie aanzet, en hoe je met je API-sleutels en de sleutels van je koppelingen omgaat.
7. Subverwerkers#7
7.1Je geeft ons toestemming om voor de levering van PickIt de volgende subverwerkers in te schakelen:
SubverwerkerWat zij doenWaar zij verwerken
Hetzner Online GmbHde server waarop PickIt draaitFalkenstein, Duitsland (EU)
Supabasede database waarin de gegevens staanFrankfurt, Duitsland (EU); Supabase zelf is een Amerikaans bedrijf en hun ondersteuning kan bij een storing vanuit de VS bij de omgeving
Cloudflarede domeinnaam en het DNS van getpickit.app; staat de beveiligde doorgifte aan, dan loopt het verkeer over hun netwerkVS/wereldwijd
7.2De opslag van de persoonsgegevens gebeurt dus binnen de Europese Unie, in Duitsland. Waar een subverwerker ook buiten de EER kan verwerken, staat dat hierboven met zoveel woorden. Voor die gevallen zorgen wij voor een geldige grondslag voor doorgifte: een adequaatheidsbesluit of de modelbepalingen van de Europese Commissie.
7.3Met elke subverwerker leggen wij ten minste dezelfde verplichtingen vast als in deze bijlage staan. Doet een subverwerker zijn werk niet goed, dan blijven wij daarvoor tegenover jou aansprakelijk.
7.4Willen wij een subverwerker toevoegen of vervangen, dan laten wij dat minstens dertig dagen van tevoren weten. Heb je daar een bezwaar dat met de bescherming van persoonsgegevens te maken heeft, laat het dan binnen die dertig dagen weten. Komen we er samen niet uit, dan mag je de overeenkomst opzeggen tegen de dag waarop de wijziging ingaat, zonder kosten en met terugbetaling van wat je vooruit had betaald.
7.5Geen subverwerkers zijn de partijen die jíj zelf aanzet met je eigen account — je webshopkoppeling (bijvoorbeeld Shopify, WooCommerce, bol.com of ECOMKIT), je verzendprovider (bijvoorbeeld MyParcel of Sendcloud), je printerkoppeling (PrintNode) of een eigen koppeling naar je vervoerder. PickIt stuurt daar in jouw opdracht gegevens naartoe. Dat zijn jouw verwerkers of ontvangers; de afspraken daarover maak je zelf met hen.
7.6In PickIt zit een proefopstelling van een agent die schermen zelf kan bedienen. Die staat uit en gaat alleen aan als jij daarom vraagt. Zet je hem aan, dan gaat de inhoud van het scherm naar Anthropic (VS); Anthropic is vanaf dat moment subverwerker voor jouw omgeving.
7.7Stripe verwerkt alleen jóuw betaalgegevens en komt niet bij de gegevens van je kopers. Die verwerking valt onder onze privacyverklaring, niet onder deze bijlage.
8. Datalekken#8
8.1Ontdekken wij een inbreuk in verband met persoonsgegevens die jouw omgeving raakt, dan melden wij dat aan jou zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat wij ervan op de hoogte zijn. Zo houd jij tijd over binnen de 72 uur die de wet jou geeft.
8.2Wij melden je: wat er is gebeurd, welke soorten gegevens en hoeveel betrokkenen het vermoedelijk raakt, wat de waarschijnlijke gevolgen zijn, welke maatregelen wij hebben genomen of voorstellen, en bij wie je bij ons terechtkunt. Weten wij nog niet alles, dan melden wij wat we weten en vullen we aan.
8.3Melden bij de Autoriteit Persoonsgegevens en het informeren van betrokkenen doe jij; dat is jouw verantwoordelijkheid. Wij melden nooit uit onszelf namens jou, en wij doen ook geen mededelingen over jouw lek aan derden zonder jouw toestemming — tenzij de wet ons daartoe verplicht.
8.4Wij helpen je met de informatie die je nodig hebt om te melden.
9. Verzoeken van betrokkenen en andere hulp#9
9.1Krijgen wij rechtstreeks een verzoek van een van jouw kopers of medewerkers, dan handelen wij dat niet zelf af. Wij sturen het binnen twee werkdagen naar jou door en verwijzen de verzoeker naar jou.
9.2Wij helpen je om zelf aan zo’n verzoek te voldoen. In veel gevallen kun je het al zelf: in PickIt kun je zoeken, bestellingen en contactgegevens bekijken en aanpassen, en alles exporteren. Lukt het je niet, dan helpen wij binnen een redelijke termijn.
9.3Wij helpen je ook bij een beoordeling van gegevensbescherming (DPIA) en bij overleg met de toezichthouder, met de informatie die redelijkerwijs alleen wij kunnen geven.
9.4Voor het recht op vergetelheid heeft PickIt een knop: per webshop kun je instellen dat de persoonsgegevens bij afgeronde en geannuleerde bestellingen automatisch worden gewist na een aantal dagen dat je zelf kiest. Het bestelnummer, de regels en de voorraadgeschiedenis blijven dan staan, zonder de naam, het adres, het e-mailadres, het telefoonnummer en de opmerking.
9.5Voor de hulp uit 9.2 en 9.3 rekenen wij niets, tenzij het om verzoeken gaat die zo vaak of zo omvangrijk zijn dat er echt werk in gaat zitten. Dan spreken we vooraf een redelijk tarief af.
10. Controle#10
10.1Wij geven je op verzoek de informatie die nodig is om te laten zien dat wij ons aan artikel 28 AVG en aan deze bijlage houden.
10.2Je mag één keer per jaar een controle laten uitvoeren, en daarnaast telkens nadat zich een datalek in jouw omgeving heeft voorgedaan.
10.3De regels daarbij: je kondigt de controle minstens dertig dagen van tevoren schriftelijk aan; de controle vindt plaats tijdens kantooruren en verstoort onze dienstverlening zo min mogelijk; de controleur is onafhankelijk en tekent een geheimhoudingsverklaring; en de controleur krijgt geen toegang tot gegevens van andere klanten of tot onze bedrijfsgeheimen.
10.4De kosten van de controle zijn voor jou. Blijkt uit de controle dat wij ons niet aan deze bijlage hielden, dan dragen wij de kosten en herstellen wij het op onze kosten en zonder onnodige vertraging.
11. Teruggave en vernietiging#11
11.1Als de overeenkomst eindigt, houd je dertig dagen toegang tot je omgeving om alles te bekijken en te exporteren. Exporteren gaat via de exportfuncties in PickIt en via de API.
11.2Vraag je erom, dan leveren wij je de persoonsgegevens in een gangbaar bestandsformaat aan.
11.3Daarna verwijderen wij de persoonsgegevens uit de actieve omgeving, uiterlijk zestig dagen na het einde van de overeenkomst. Kopieën in back-ups verdwijnen mee met de normale bewaartermijn van die back-ups; zolang ze er nog zijn, blijft deze bijlage erop van toepassing.
11.4Op jouw schriftelijk verzoek bevestigen wij de verwijdering schriftelijk.
11.5Wij bewaren alleen wat de wet ons verplicht te bewaren. Dat gaat over onze eigen administratie, niet over de inhoud van je magazijn.
12. Aansprakelijkheid en duur#12
12.1De beperking van aansprakelijkheid uit de algemene voorwaarden geldt ook hier, met deze uitzondering: zij geldt niet voor de aansprakelijkheid van een verwerker op grond van artikel 82 AVG tegenover een betrokkene, en niet bij opzet of bewuste roekeloosheid.
12.2Krijgt een van ons een boete of een claim doordat de ander zich niet aan deze bijlage hield, dan draagt die ander dat deel.
12.3Deze bijlage begint zodra je akkoord gaat met de algemene voorwaarden en loopt zolang wij persoonsgegevens voor jou verwerken. De artikelen 5, 8, 11 en 12 blijven daarna gelden.
12.4Wijzigt de wet of onze dienst zo dat deze bijlage moet worden aangepast, dan doen wij dat volgens artikel 15 van de algemene voorwaarden: nieuw kenmerk, dertig dagen vooraf aangekondigd. Deze versie is vwo-1.0.

Wil je een ondertekend exemplaar op papier voor je eigen dossier? Vraag het aan; wij sturen deze tekst dan als getekend document mee. Nodig is het niet — akkoord gaan met de algemene voorwaarden is genoeg.

Verwerkersovereenkomst · Bijlage 1 · versie 1.0 · kenmerk vwo-1.0 · 7 september 2026
Kingsbridge Oakmont (vennootschap onder firma), Paletplein 8, 2526 GW Den Haag, Nederland · KvK 97648639 · btw NL868157119B01.
Deze tekst is in het Nederlands opgesteld. Is er een vertaling, dan is de Nederlandse tekst leidend.

Algemene voorwaarden · Privacyverklaring · Verwerkersovereenkomst