Aanvulling inzake gegevensverwerking

• Fabrixa B.V. · Markerkant 13 10, 1314 AN Almere, Nederland · KvK 74188445 · Versie 1.0, van kracht vanaf 22 oktober 2026

1. Toepassingsgebied en partijen

1.1 Dit Addendum inzake gegevensverwerking (“DPA”) maakt deel uit van de Servicevoorwaarden van Fabrixa (de “Voorwaarden”) tussen Fabrixa B.V. (“Fabrixa”) en de zakelijke klant die een Fabrixa-account heeft (“Klant”). Het is van toepassing telkens wanneer Fabrixa namens de Klant persoonsgegevens verwerkt bij het leveren van de Diensten.

1.2 Wat betreft gegevens van eindklanten (namen van ontvangers, afleveradressen, contactgegevens en eventuele persoonsgegevens in ontwerpbestanden of opmerkingen bij bestellingen) is de Klant de verwerkingsverantwoordelijke, of een verwerker die namens zijn eigen klanten optreedt, en is Fabrixa de verwerker of subverwerker. Wanneer de klant zelf als verwerker optreedt, garandeert de klant dat zijn verwerkingsverantwoordelijke toestemming heeft gegeven voor de inschakeling van Fabrixa en voor de voorwaarden van deze DPA.

1.3 Wat betreft de gegevens van de klant met betrekking tot de eigen rekening, facturering, ondersteuning en gebruik is Fabrixa een onafhankelijke verwerkingsverantwoordelijke; die verwerking wordt beschreven in het privacybeleid, niet in deze DPA.

1.4 Aanvaarding. Deze DPA wordt elektronisch aanvaard door akkoord te gaan met de Voorwaarden. Op verzoek verstrekt Fabrixa een medeondertekend exemplaar voor de administratie van de Klant; het ondertekende exemplaar heeft dezelfde inhoud en heeft geen invloed op de ingangsdatum.

2. Gegevens over de verwerking

2.1 Het onderwerp, de duur, de aard, het doel, de categorieën gegevens en de betrokkenen worden uiteengezet in bijlage 1. De verwerking duurt zolang de Klant gebruikmaakt van de Diensten, vermeerderd met de verwijderingstermijn zoals vermeld in artikel 10.

3. Instructies van de klant

3.1 Fabrixa verwerkt persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de klant, ook met betrekking tot doorgifte naar een derde land, tenzij dit op grond van EU-wetgeving of de wetgeving van een lidstaat verplicht is; in dat geval stelt Fabrixa de klant vóór de verwerking in kennis van die wettelijke verplichting, tenzij de wet dit om belangrijke redenen van algemeen belang verbiedt.

3.2 De instructies van de Klant omvatten: de Voorwaarden, deze DPA, de opdrachten, instellingen en API-verzoeken die de Klant via het platform indient, en schriftelijke instructies die naar het ondersteuningskanaal van Fabrixa worden verzonden. Fabrixa kan kosten in rekening brengen voor instructies die buiten het kader van de Diensten vallen.

3.3 Fabrixa stelt de Klant onverwijld op de hoogte indien een opdracht naar haar mening in strijd is met de AVG of andere toepasselijke wetgeving inzake gegevensbescherming. Fabrixa kan de opdracht opschorten totdat de Klant deze bevestigt of aanpast.

3.4 De klant is verantwoordelijk voor de rechtmatigheid van de door hem verstrekte persoonsgegevens, voor de informatie die hij aan eindklanten verstrekt, en ervoor te zorgen dat er geen bijzondere categorieën van gegevens (artikel 9 AVG) of gegevens van kinderen worden opgenomen in ontwerpen of opmerkingen bij bestellingen.

4. Vertrouwelijkheid

4.1 Fabrixa zorgt ervoor dat iedereen die door het bedrijf wordt gemachtigd om persoonsgegevens te verwerken — medewerkers, ingehuurde krachten en de technische partner — gebonden is aan een contractuele of wettelijke geheimhoudingsplicht en de gegevens uitsluitend verwerkt voor zover dat nodig is voor de uitvoering van hun taken.

5. Beveiliging

5.1 Fabrixa implementeert en handhaaft de technische en organisatorische maatregelen uit bijlage 2, rekening houdend met de stand van de techniek, de implementatiekosten, de aard, de omvang, de context en de doeleinden van de verwerking, alsmede de risico’s voor de betrokkenen (artikel 32 AVG). Fabrixa kan bijlage 2 bijwerken, mits het algemene beschermingsniveau niet daalt.

6. Subverwerkers

6.1 Algemene machtiging. De klant verleent Fabrixa een algemene schriftelijke machtiging om subverwerkers in te schakelen voor de in bijlage 1 beschreven verwerking.

6.2 Huidige lijst. De op de ingangsdatum ingeschakelde subverwerkers staan vermeld op https://www.fabrixa.com/sub-processors/ (bijlage 3 verwijst naar die lijst). In de lijst worden voor elke subverwerker de dienst, de locatie van de verwerking en het overdrachtsmechanisme vermeld.

6.3 Kennisgeving van wijzigingen. Fabrixa publiceert elke voorgenomen toevoeging of vervanging van een subverwerker op die pagina en stuurt de accounteigenaar een e-mail ten minste 30 dagen voordat de nieuwe subverwerker begint met het verwerken van klantgegevens. Wijzigingen die worden doorgevoerd om de Diensten te beschermen tegen een dreigend beveiligingsrisico, kunnen onmiddellijk van kracht worden, waarbij zo spoedig mogelijk daarna kennisgeving wordt gedaan.

6.4 Recht van bezwaar. De klant kan binnen 30 dagen na de kennisgeving schriftelijk bezwaar maken via privacy@fabrixa.com, op basis van redelijke, gedocumenteerde gronden op het gebied van gegevensbescherming. De partijen bespreken het bezwaar te goeder trouw. Indien Fabrixa niet binnen 30 dagen een redelijk alternatief kan aanbieden, kan de klant de betreffende diensten zonder boete beëindigen door middel van een schriftelijke kennisgeving; vooruitbetaalde saldi op de wallet worden pro rata terugbetaald.

6.5 Doorwerking. Fabrixa legt elke subverwerker via een schriftelijke overeenkomst gegevensbeschermingsverplichtingen op die ten minste het beschermingsniveau van deze DPA waarborgen, en blijft jegens de Klant volledig aansprakelijk voor de prestaties van de subverwerker.

6.6 Productie- en logistieke partners worden per bestelling ingeschakeld en staan gerangschikt per categorie en land. Op verzoek en onder voorbehoud van een geheimhoudingsverklaring deelt Fabrixa aan de klant de naam mee van de partner die een specifieke bestelling heeft afgehandeld.

7. Klantenservice

7.1 Verzoeken van betrokkenen. Fabrixa stuurt elk verzoek dat het van een eindklant ontvangt binnen vijf werkdagen door naar de klant en reageert er niet rechtstreeks op, tenzij de klant anders aangeeft. Fabrixa ondersteunt de klant met passende technische en organisatorische maatregelen om verzoeken op grond van hoofdstuk III van de AVG te beantwoorden.

7.2 Fabrixa ondersteunt de Klant, rekening houdend met de aard van de verwerking en de informatie waarover Fabrixa beschikt, bij het nakomen van de verplichtingen van de Klant uit hoofde van de artikelen 32 tot en met 36 van de AVG (beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaand overleg).

8. Inbreuk op de bescherming van persoonsgegevens

8.1 Fabrixa stelt de Klant onverwijld, en in ieder geval binnen 48 uur nadat het kennis heeft genomen van een inbreuk op de bescherming van persoonsgegevens die betrekking heeft op gegevens van de Klant, hiervan op de hoogte. In de kennisgeving worden de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en betrokken gegevensrecords, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt beschreven. De informatie kan in fasen worden verstrekt.

8.2 Fabrixa stelt eindklanten of toezichthoudende autoriteiten niet namens de klant op de hoogte, tenzij de klant hiertoe opdracht geeft of dit wettelijk verplicht is.

9. Internationale doorgifte

9.1 Fabrixa verwerkt klantgegevens binnen de Europese Economische Ruimte. Doorgifte naar een derde land vindt uitsluitend plaats met de waarborgen van hoofdstuk V van de AVG: een adequaatheidsbesluit of de modelcontractbepalingen (Besluit (EU) 2021/914 van de Commissie), waar nodig aangevuld met aanvullende maatregelen. Het doorgiftemechanisme per subverwerker wordt vermeld in de lijst van subverwerkers.

10. Verwijdering en teruggave

10.1 Na beëindiging van de Diensten, of op schriftelijk verzoek van de Klant, verwijdert Fabrixa de gegevens van de Klant binnen 30 dagen, tenzij de wetgeving van de EU of van een lidstaat een langere bewaartermijn voorschrijft. Facturen en de voor fiscale doeleinden benodigde ordergegevens worden volgens de Nederlandse wetgeving 7 jaar bewaard; gegevens met betrekking tot geschillen en vorderingen worden bewaard gedurende de geldende verjaringstermijn. Gegevens waarvoor een wettelijke bewaarplicht geldt, blijven voor elk ander gebruik geblokkeerd.

10.2 Alvorens de gegevens te verwijderen, kan de klant de bestelgegevens via het platform en API exporteren. Fabrixa biedt tegen zijn standaardtarieven redelijke ondersteuning bij andere exportformaten.

11. Controles en informatie

11.1 Fabrixa stelt de Klant alle informatie ter beschikking die nodig is om aan te tonen dat aan artikel 28 van de AVG wordt voldaan: deze gegevensverwerkingsovereenkomst, de lijst met subverwerkers, bijlage 2 en, op verzoek, een ingevulde beveiligingsvragenlijst en de meest recente rapporten of certificeringen van derden met betrekking tot haar hostingproviders.

11.2 Indien die informatie redelijkerwijs ontoereikend is, mag de Klant of een onafhankelijke auditor die aan een geheimhoudingsplicht is gebonden, de relevante verwerkingsactiviteiten van Fabrixa één keer per 12 maanden controleren, na een schriftelijke kennisgeving van 30 dagen, tijdens kantooruren, zonder de bedrijfsvoering te verstoren, op kosten van de Klant. Controles die door een toezichthoudende autoriteit worden vereist, of die volgen op een inbreuk op persoonsgegevens, zijn niet beperkt in frequentie. Controles hebben geen betrekking op de gegevens van andere klanten of op de bedrijfsruimten van productiepartners; daarvoor vertrouwt Fabrixa op contractuele garanties en haar eigen leverancierscontroles.

12. Algemeen

12.1 De aansprakelijkheid uit hoofde van deze DPA is geregeld in artikel 13 van de Voorwaarden.

12.2 Indien deze DPA op het gebied van gegevensbescherming in strijd is met de Voorwaarden, prevaleert deze DPA. Indien de standaardcontractbepalingen van toepassing zijn op een doorgifte, prevaleren deze boven deze DPA.

12.3 Fabrixa kan deze DPA bijwerken om rekening te houden met wijzigingen in de wetgeving of in de Diensten; wezenlijke wijzigingen worden op dezelfde wijze bekendgemaakt als wijzigingen met betrekking tot subverwerkers (artikel 6.3). Voortgezet gebruik van de Diensten na de ingangsdatum houdt instemming in.

12.4 Deze verwerkersovereenkomst is in het Engels gesloten. Vertalingen op de website worden voor het gemak aangeboden; de Engelse versie prevaleert. Het toepasselijke recht en de bevoegde rechtbanken worden bepaald overeenkomstig artikel 16 van de Voorwaarden (Nederland; Amsterdam).

12.5 Contactpersoon voor deze DPA, kennisgevingen en vragen over gegevensbescherming: privacy@fabrixa.com.

Bijlage 1 — Gegevens over de verwerking

Bijlage 2 — Technische en organisatorische maatregelen

Bijlage 3 — Subverwerkers

De huidige lijst wordt bijgehouden op https://www.fabrixa.com/sub-processors/ en maakt deel uit van deze DPA zoals deze luidt op de datum van inwerkingtreding; latere wijzigingen vallen onder artikel 6.