01Wie doet wat
Jij, de bloemist, bent de verwerkingsverantwoordelijke voor de persoonsgegevens van je klanten: jij bepaalt waarom en hoe ze worden gebruikt. Bunchy is de verwerker: wij verwerken ze alleen om je winkel voor je te laten draaien, volgens jouw instructies, namelijk deze voorwaarden en wat je in het portal doet.
02Welke gegevens we verwerken
Namen, e-mailadressen, telefoonnummers en postadressen van je klanten en van de mensen naar wie ze bloemen sturen; kaartteksten; gegevens over bestellingen, betalingen en facturen; bezorgfoto’s; e-mails die vanuit je winkel zijn verstuurd; en berichten die bezoekers aan je winkelassistent typen. We hebben geen bijzondere persoonsgegevens nodig, zoals gegevens over gezondheid, en je hoort die ook niet in te voeren, behalve wat een klant er zelf voor kiest te schrijven (bijvoorbeeld in een kaarttekst bij een condoleance).
We verwerken ze zolang je Bunchy gebruikt, en daarna gedurende de termijn die in onze privacyverklaring staat.
03Wat we beloven
- We gebruiken de gegevens alleen om Bunchy aan je te leveren, nooit voor eigen doeleinden, en we verkopen ze nooit.
- Iedereen bij Bunchy die ze kan inzien, is tot geheimhouding verplicht.
- We houden ze veilig, met versleuteling tijdens verzending en opslag, onleesbaar opgeslagen wachtwoorden, toegang op basis van rollen, tweestapsverificatie en versleutelde dagelijkse back-ups die 90 dagen worden bewaard.
- We helpen je bij verzoeken van je klanten om hun gegevens in te zien, te corrigeren, te downloaden of te verwijderen. Het meeste daarvan kun je zelf in het portal doen.
- We laten het je zonder onredelijke vertraging weten, en binnen 48 uur nadat we het ontdekken, als er een datalek is waarbij gegevens van je klanten betrokken zijn.
- We helpen je, waar dat redelijk is, met gegevensbeschermingseffectbeoordelingen (DPIA’s) en met vragen van het Information Commissioner’s Office.
- Als je je winkel sluit, kun je eerst alles downloaden. Kies je voor “Deze winkel definitief verwijderen” of vraag je ons je account te verwijderen, dan verwijderen we de gegevens van je klanten binnen 30 dagen na het verzoek (en binnen nog eens 90 dagen uit onze back-ups). We bewaren alleen je facturen en creditfacturen, zonder de namen of contactgegevens van je klanten, gedurende 7 jaar na de factuurdatum, omdat de Britse belastingwet voorschrijft dat die gegevens worden bewaard; dat is de wettelijke bewaarplicht die artikel 28(3)(g) van de UK GDPR toestaat.
- We geven je de informatie die je redelijkerwijs nodig hebt om te controleren of we ons aan deze beloften houden.
04Subverwerkers
Je gaat ermee akkoord dat we de volgende diensten inschakelen om Bunchy te laten draaien, elk gebonden aan afspraken over gegevensbescherming die minstens zo streng zijn als deze:
- Cloudflare (hosting, database, bestandsopslag, en Workers AI als terugvaloptie voor AI-hulp)
- Amazon Web Services (versleutelde back-ups en beveiligingslogboeken in Londen; Claude AI op Amazon Bedrock in het Verenigd Koninkrijk of de EU, dat geen prompts bewaart of aan Anthropic doorgeeft)
- Stripe (kaartbetalingen)
- Onze e-maildienst (het versturen van e-mails vanuit je winkel)
We laten het je minstens 30 dagen van tevoren weten als we een subverwerker toevoegen of vervangen. Heb je een goede reden om bezwaar te maken, laat het ons dan weten; als we er samen niet uitkomen, kun je kosteloos opzeggen.
05Buiten het Verenigd Koninkrijk
Als een subverwerker gegevens buiten het Verenigd Koninkrijk verwerkt, valt de doorgifte onder de Britse adequaatheidsregelingen of het UK International Data Transfer Addendum.
06Jouw deel
Jij zorgt ervoor dat je een wettige grondslag hebt om de gegevens van je klanten te verzamelen, dat de privacyverklaring van je winkel hun vertelt hoe die worden gebruikt (Bunchy schrijft er een voor je, die je zelf controleert), en dat je ons alleen vraagt te doen wat wettelijk is toegestaan.