Talen: English · Čeština · Deutsch · Español · Français · Italiano · Nederlands · Polski · Português · Română
Dit document bestaat in tien talen. De Engelse versie is de referentieversie.

Verwerkersovereenkomst van cosmetiFULL

Laatst bijgewerkt: 3 oktober 2026

De Engelse versie is de referentieversie en prevaleert bij afwijkingen tussen de versies, zoals bepaald in clausule 18.2.

1. Partijen, definities en rollen

1.1 De Aanbieder. „Aanbieder”: de vennootschap die in het onderstaande kader wordt geïdentificeerd en die het cosmetiFULL-platform exploiteert op grond van artikel 1 van de Algemene Voorwaarden van cosmetiFULL.

Kader 1. Identificatie van de Aanbieder

Nicodemo & Signa Company Srl, een vennootschap naar Roemeens recht

Statutaire zetel: Strada Lucian Blaga nr. 21, ap. 16, 310023 Arad, Roemenië

Nummer in het handelsregister: J02/809/2003

Uniek registratienummer / btw-nummer: RO15617609

E-mail voor elke mededeling met betrekking tot deze Verwerkersovereenkomst: info@cosmetifull.com

1.2 De Klant. „Klant”: de zakelijke klant (fabrikant, consultant of onafhankelijke veiligheidsbeoordelaar) die met de Aanbieder de overeenkomst heeft gesloten die door de Algemene Voorwaarden van cosmetiFULL wordt beheerst.

1.3 Het Platform. „Platform”: het cosmetiFULL-platform dat in artikel 2 van de Algemene Voorwaarden wordt beschreven: vandaag LabelCheck (toetsing van cosmetica-etiketten aan de EU-regels) en ExpertDesk (professionele begeleiding voortgebracht door een systeem voor kunstmatige intelligentie), en de diensten die beschikbaar zullen worden gesteld, waaronder PIFBuilder en FormulaArchive. Deze Verwerkersovereenkomst geldt voor elke dienst van het Platform vanaf de dag waarop die dienst te koop wordt aangeboden.

1.4 Rollen op grond van de AVG. Voor de persoonsgegevens in het materiaal dat de Klant op het Platform aanlevert of daarin opslaat, is de Klant de verwerkingsverantwoordelijke en de Aanbieder de verwerker, in de zin van art. 4, punt 7, art. 4, punt 8, en art. 28 van Verordening (EU) 2016/679 („AVG”). Deze Verwerkersovereenkomst regelt uitsluitend die verhouding.

1.5 Verwerking waarvoor de Aanbieder zelfstandig verwerkingsverantwoordelijke is. De Aanbieder is zelfstandig verwerkingsverantwoordelijke, en deze Verwerkersovereenkomst is niet van toepassing, voor: account-, authenticatie- en toegangsgegevens; gegevens over vooruitbetaalde tegoeden, aankopen en facturatie; technische logs en beveiligingslogs; de communicatie met de Klant, met inbegrip van feedbackberichten en het korte fragment van de analyse waarop een feedbackbericht betrekking heeft; de inhoud van de gesprekken in ExpertDesk, die onder de eigen privacyverklaring van die dienst valt. Deze verwerking wordt beschreven in de Privacyverklaring van cosmetiFULL.

1.6 Definities. De begrippen „persoonsgegevens”, „verwerking”, „betrokkene”, „inbreuk in verband met persoonsgegevens” en soortgelijke begrippen hebben de betekenis die de AVG eraan geeft.

2. Onderwerp en aanvaarding

2.1 Onderwerp. Deze Verwerkersovereenkomst regelt de verwerking van persoonsgegevens die de Aanbieder namens de Klant verricht bij het leveren van het Platform, overeenkomstig art. 28, lid 3, AVG.

2.2 Aanvaarding. Deze Verwerkersovereenkomst is Bijlage 2 bij de Algemene Voorwaarden van cosmetiFULL en maakt voor zakelijke klanten deel uit van die voorwaarden (artikel 26). De Klant aanvaardt haar samen met de Algemene Voorwaarden wanneer hij het verzoek om toegang tot het Platform verstuurt: op het verzoekformulier staat dat het versturen ervan de aanvaarding van de Algemene Voorwaarden inhoudt. Wordt een nieuwe versie van deze Verwerkersovereenkomst gepubliceerd, met inbegrip van deze versie voor een Klant die de diensten al vóór de publicatie ervan gebruikte, dan aanvaardt de Klant die nieuwe versie door de diensten na de publicatie te blijven gebruiken, overeenkomstig artikel 17 van de Algemene Voorwaarden en met de rechten die dat artikel hem geeft. Het sluiten in elektronische vorm is toegestaan op grond van art. 28, lid 9, AVG.

2.3 Voorrang. Bij strijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden gaat deze Verwerkersovereenkomst voor op het gebied van gegevensbescherming.

3. Duur

Deze Verwerkersovereenkomst geldt gedurende de hele duur van de contractuele relatie met betrekking tot het Platform en eindigt wanneer die relatie eindigt, onverminderd de verplichtingen die naar hun aard voortduren, in het bijzonder het wissen of terugbezorgen van gegevens op grond van clausule 13, de geheimhouding en clausule 17.

4. Aard en doel van de verwerking

4.1 De Aanbieder verwerkt persoonsgegevens namens de Klant om de functies van het Platform te leveren: opslag van de analyses, documenten en bijlagen die de Klant in zijn account opslaat; door kunstmatige intelligentie ondersteunde analyse van de aangeleverde inhoud (de afbeeldingen die voor een analyse worden aangeleverd, worden verwerkt om het resultaat op te leveren en worden niet bewaard); het opstellen van concepten en rapporten; beheer van de toegang van de leden van de organisatie van de Klant volgens de rollen die de Klant toekent; verzending van transactionele service-e-mails en, binnen de grenzen van clausule 17, de afgeleide kennis.

4.2 De gedetailleerde beschrijving van de verwerking (onderwerp, aard, doel, categorieën van gegevens en van betrokkenen) staat in Bijlage A, die een integrerend deel van deze Verwerkersovereenkomst vormt.

4.3 Het systeem ondersteunt, het beslist niet. De diensten van het Platform zijn hulpmiddelen. Professionele conclusies, in het bijzonder de beoordeling van de veiligheid van een cosmetisch product, blijven de bevoegdheid en de verantwoordelijkheid van de gekwalificeerde specialist van de Klant, bijvoorbeeld de veiligheidsbeoordelaar. De software is zo ontworpen dat zij geen conclusies trekt in de plaats van de beoordelaar.

5. Instructies van de Klant

5.1 De Aanbieder verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Klant (art. 28, lid 3, punt a), AVG). Als schriftelijke instructies gelden: (a) deze Verwerkersovereenkomst; (b) de Algemene Voorwaarden; (c) het gebruik van de functies van het Platform door de Klant en zijn gemachtigde gebruikers, bijvoorbeeld het aanleveren van een document, het starten van een analyse of het uitnodigen van een lid van de eigen organisatie.

5.2 Dit geldt ook voor doorgiften van gegevens naar derde landen, die plaatsvinden zoals beschreven in clausule 9 en in Bijlage C en die de Klant toestaat door deze Verwerkersovereenkomst te aanvaarden.

5.3 Instructies die verder gaan dan de standaardfuncties kunnen schriftelijk worden overeengekomen, indien zij redelijk en technisch uitvoerbaar zijn; eventuele extra kosten worden vooraf geoffreerd.

5.4 Is de Aanbieder van mening dat een instructie van de Klant inbreuk maakt op de AVG of op andere bepalingen inzake gegevensbescherming, dan stelt hij de Klant daarvan onmiddellijk in kennis, zoals art. 28, lid 3, tweede alinea, AVG bepaalt, en kan hij de uitvoering van de instructie opschorten totdat zij is verduidelijkt.

6. Vertrouwelijkheid van gemachtigde personen

De Aanbieder zorgt ervoor dat de personen die gemachtigd zijn de persoonsgegevens te verwerken, zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden, en dat hun toegang tot de gegevens beperkt blijft tot wat nodig is om de dienst te leveren (art. 28, lid 3, punt b), AVG).

7. Beveiliging van de verwerking

7.1 De Aanbieder treft de technische en organisatorische maatregelen die in Bijlage B worden beschreven (art. 28, lid 3, punt c), en art. 32 AVG), rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en de doeleinden van de verwerking en de risico's voor de rechten en vrijheden van betrokkenen.

7.2 De maatregelen in Bijlage B kunnen in de loop van de tijd worden aangepast, mits het algehele beveiligingsniveau niet wordt verlaagd.

7.3 De Aanbieder houdt rekening met de bijzondere commerciële gevoeligheid van de verwerkte inhoud, zoals recepturen en productdocumentatie: de maatregelen in Bijlage B gelden voor de volledige inhoud die de Klant aanlevert, niet alleen voor persoonsgegevens in strikte zin.

8. Andere verwerkers

8.1 Algemene schriftelijke toestemming. De Klant verleent de Aanbieder algemene schriftelijke toestemming om andere verwerkers (subverwerkers) in dienst te nemen, op grond van art. 28, lid 2, AVG. De lijst van de huidige andere verwerkers, met hun rol, het land, de plaats van verwerking en de toegepaste waarborg, staat in Bijlage C.

8.2 Kennisgeving van wijzigingen. De Aanbieder informeert de Klant over elke beoogde toevoeging of vervanging van een andere verwerker voordat de nieuwe andere verwerker gegevens van de Klant begint te verwerken. De kennisgeving wordt per e-mail verzonden naar het e-mailadres van het account van de Klant en naar de overige adressen die de Klant heeft gevraagd toe te voegen door te schrijven naar info@cosmetifull.com, en gaat gepaard met de publicatie van de bijgewerkte versie van Bijlage C. Wordt de wijziging door de Aanbieder besloten, dan wordt de kennisgeving ten minste 30 dagen van tevoren verzonden. Wordt de wijziging door een andere verwerker besloten, dan doet de Aanbieder de kennisgeving binnen 5 werkdagen nadat hij ervan op de hoogte is gesteld, en krijgt de Klant de volledige resterende kennisgevingstermijn; de kennisgeving vermeldt hoeveel dagen dat zijn en waarom. Een kortere kennisgevingstermijn is alleen mogelijk wanneer de vervanging noodzakelijk is en om redenen van beveiliging of continuïteit van de dienst niet kan worden uitgesteld: in dat geval wordt de kennisgeving zonder onredelijke vertraging verzonden en vermeldt zij de reden.

8.3 Recht van bezwaar. Binnen de kennisgevingstermijn die in de kennisgeving is vermeld, kan de Klant bezwaar maken door te schrijven naar info@cosmetifull.com, op redelijke en met stukken onderbouwde gronden die verband houden met gegevensbescherming. De termijn om bezwaar te maken loopt in elk geval vanaf de kennisgeving. De partijen zoeken te goeder trouw naar een oplossing, bijvoorbeeld een configuratie waarbij de nieuwe andere verwerker niet wordt ingeschakeld. Bestaat er geen werkbare oplossing, dan kan de Klant de betrokken dienst zonder boete beëindigen, en betaalt de Aanbieder de niet verbruikte vooruitbetaalde tegoeden terug op grond van artikel 11.3 van de Algemene Voorwaarden.

8.4 Doorgegeven verplichtingen. Met elke andere verwerker heeft de Aanbieder een verwerkersovereenkomst gesloten die verplichtingen inzake gegevensbescherming oplegt in overeenstemming met art. 28, lid 4, AVG. De Aanbieder blijft ten aanzien van de Klant volledig aansprakelijk voor het nakomen van de verplichtingen van zijn andere verwerkers.

9. Doorgiften buiten de Europese Economische Ruimte

9.1 Sommige andere verwerkers verwerken gegevens buiten de Europese Economische Ruimte (EER) of behoren tot groepen die buiten de EER zijn gevestigd. Elke doorgifte naar een derde land vindt plaats op basis van een adequaatheidsbesluit van de Europese Commissie (art. 45 AVG) of van de door de Europese Commissie vastgestelde standaardbepalingen inzake gegevensbescherming (art. 46, lid 2, punt c), AVG), die zijn opgenomen in de verwerkersovereenkomst van de andere verwerker, zoals per andere verwerker vermeld in Bijlage C, samen met de aanvullende waarborgen die daar zijn vermeld.

9.2 Bijlage C vermeldt voor elke andere verwerker de verleende dienst, het land van de aanbieder, de plaats waar de gegevens worden verwerkt en de toegepaste waarborg, met dezelfde inhoud als artikel 16 van de Privacyverklaring.

10. Bijstand bij de rechten van betrokkenen

10.1 Rekening houdend met de aard van de verwerking verleent de Aanbieder de Klant door middel van passende technische en organisatorische maatregelen bijstand bij het beantwoorden van verzoeken van betrokkenen op grond van hoofdstuk III AVG (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar), zoals art. 28, lid 3, punt e), AVG bepaalt.

10.2 In de praktijk: vanuit zijn account raadpleegt de Klant zijn eigen analyses en verklaringen, slaat hij ze op als PDF en verwijdert hij ze; de volledige export van de gegevens, in een gestructureerd, machineleesbaar formaat, wordt kosteloos geleverd op schriftelijk verzoek aan info@cosmetifull.com, zoals bepaald in artikel 21a.7 van de Algemene Voorwaarden. Voor alles wat de Klant niet zelf uitvoert, handelt de Aanbieder op zijn schriftelijke verzoek zonder onredelijke vertraging.

10.3 Richt een betrokkene zich rechtstreeks tot de Aanbieder over een verwerking waarvoor de Klant de verwerkingsverantwoordelijke is, dan stuurt de Aanbieder het verzoek zonder onredelijke vertraging door naar de Klant en beantwoordt hij het niet inhoudelijk, tenzij de Klant daartoe instructie geeft of de wet dat vereist.

11. Inbreuken in verband met persoonsgegevens

11.1 De Aanbieder meldt de Klant elke inbreuk in verband met persoonsgegevens die gegevens betreft die namens de Klant worden verwerkt, zonder onredelijke vertraging en in elk geval binnen 24 uur nadat hij er kennis van heeft genomen, op het e-mailadres van het account van de Klant (art. 28, lid 3, punt f), en art. 33, lid 2, AVG).

11.2 De melding bevat, voor zover de informatie beschikbaar is: de aard van de inbreuk, de categorieën en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. De informatie kan in fasen worden verstrekt.

11.3 Het is aan de Klant, als verwerkingsverantwoordelijke, om te beoordelen of de inbreuk moet worden gemeld aan de toezichthoudende autoriteit (art. 33 AVG) en moet worden meegedeeld aan de betrokkenen (art. 34 AVG); de Aanbieder verleent de redelijkerwijs noodzakelijke medewerking.

12. Bijstand bij beveiliging, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging

Rekening houdend met de aard van de verwerking en de hem ter beschikking staande informatie verleent de Aanbieder de Klant bijstand bij het nakomen van de verplichtingen uit hoofde van de artikelen 32 tot en met 36 AVG (beveiliging, melding en mededeling van inbreuken, gegevensbeschermingseffectbeoordeling, voorafgaande raadpleging), in het bijzonder door de informatie in Bijlage B en Bijlage C ter beschikking te stellen.

13. Wissen of terugbezorgen van gegevens

13.1 Wanneer de dienst eindigt, wist de Aanbieder, naar keuze van de Klant, alle persoonsgegevens die namens de Klant zijn verwerkt of bezorgt hij die aan de Klant terug, en verwijdert hij bestaande kopieën, tenzij opslag ervan Unierechtelijk of naar Roemeens recht verplicht is (art. 28, lid 3, punt g), AVG).

13.2 Vanaf de sluiting van het account blijft de inhoud 30 dagen beschikbaar om te downloaden en wordt daarna binnen de volgende 60 dagen gewist, of eerder op verzoek van de Klant (artikel 21 van de Algemene Voorwaarden en artikel 17 van de Privacyverklaring). Gedurende dat venster, en op elk eerder moment, kan de Klant om terugbezorging van de gegevens vragen in het formaat dat in artikel 21a.7 van de Algemene Voorwaarden wordt beschreven. Vraagt de Klant om over te stappen naar een andere aanbieder of alleen om wissing, dan gelden de termijnen van artikel 21a van de Algemene Voorwaarden.

13.3 Back-upkopieën die nog gewiste gegevens bevatten, worden binnen 30 dagen na de wissing overschreven. Bij de aanbieder van kunstmatige intelligentie worden de doorgestuurde inhoud en de resultaten niet langer dan 30 dagen na ontvangst of aanmaak bewaard, behalve gedurende de langere periode die die aanbieder hanteert bij een schending van zijn gebruiksbeleid (artikel 8 van de Privacyverklaring).

14. Audits en informatie

14.1 De Aanbieder stelt de Klant alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen van art. 28 AVG aan te tonen, in de eerste plaats via deze Verwerkersovereenkomst en de bijlagen ervan en door redelijke verzoeken om informatie schriftelijk te beantwoorden.

14.2 De Aanbieder maakt audits, waaronder inspecties, door de Klant of door een andere door de Klant gemachtigde controleur mogelijk en draagt eraan bij (art. 28, lid 3, punt h), AVG), onder de volgende voorwaarden: een schriftelijke aankondiging van ten minste 30 dagen, behalve bij een lopende inbreuk; niet vaker dan eenmaal per kalenderjaar, behalve wanneer de wet dat vereist of na een vastgestelde inbreuk; tijdens kantooruren; een geheimhoudingsplicht voor de controleur; geen toegang tot gegevens van andere klanten van de Aanbieder; de kosten komen voor rekening van de Klant. Bij andere verwerkers worden audits in de regel uitgevoerd aan de hand van de documentatie en de certificeringen die zij beschikbaar stellen.

14.3 De Aanbieder stelt de Klant onmiddellijk in kennis indien naar zijn mening een verzoek om een audit inbreuk maakt op de AVG of op andere toepasselijke bepalingen.

15. Toegang door personen buiten de organisatie van de Klant

Vandaag geven de diensten van het Platform alleen de gebruikers van de eigen organisatie van de Klant toegang tot de inhoud van de Klant. Wordt toegang voor merkeigenaren of voor specialisten buiten de organisatie van de Klant ingevoerd, dan wordt deze Verwerkersovereenkomst bijgewerkt voordat die toegang wordt aangeboden.

16. Aansprakelijkheid

De aansprakelijkheid van de partijen voor de verwerking die onder deze Verwerkersovereenkomst valt, volgt artikel 24 van de Algemene Voorwaarden. De aansprakelijkheid van elke partij jegens betrokkenen op grond van art. 82 AVG blijft onverlet.

17. Afgeleide kennis

17.1 De Klant geeft de Aanbieder de instructie om uit de gegevens die namens de Klant worden verwerkt geaggregeerde, gede-identificeerde informatie af te leiden over hoe de controles presteren (de „afgeleide kennis”, beschreven in artikel 20 van de Algemene Voorwaarden en artikel 19 van de Privacyverklaring) en die te bewaren om de diensten en de kennisbank van de Aanbieder te verbeteren, ook na afloop van deze Verwerkersovereenkomst.

17.2 Waarborgen: (a) een datapunt wordt alleen gebruikt binnen een aggregaat dat ten minste 20 gebeurtenissen van ten minste 5 verschillende accounts omvat; (b) accounts worden geteld met eenrichtingscodes, nooit op naam of e-mailadres; (c) voor dit doel worden alleen metagegevens van de controles en gesloten codes bewaard, niet de tekst van documenten; (d) originele documenten, recepturen, samenstellingen waaraan een product herkend zou kunnen worden en de namen van producten, bedrijven en personen blijven buiten beschouwing; (e) de Aanbieder probeert de Klant, zijn producten of een persoon niet opnieuw te identificeren, en verbiedt ontvangers van aggregaten dat te doen; (f) aggregaten worden alleen aan derden verstrekt in een vorm die noch de Klant, noch zijn producten, noch een persoon identificeert.

17.3 De Klant kan deze instructie op elk moment intrekken, met werking voor de toekomst, door de schakelaar „Bijdragen aan de kennis van cosmetiFULL” in de accountvoorkeuren uit te zetten of door te schrijven naar info@cosmetifull.com. De intrekking is kosteloos en heeft geen gevolg voor de dienst.

17.4 Volledige casussen. Een uittreksel uit een productinformatiedossier wordt alleen in de casusbibliotheek van de Aanbieder opgenomen met de uitdrukkelijke goedkeuring, uittreksel voor uittreksel, van de veiligheidsbeoordelaar die voor de Klant optreedt, nadat namen, contactgegevens en alles waaraan het product herkend kan worden zijn verwijderd, en na toetsing door een onafhankelijke deskundige. Elke goedkeuring is een specifieke schriftelijke instructie.

17.5 Deze clausule geldt voor gegevens die vanaf 3 oktober 2026 worden gegenereerd. Eerdere verwerking om de kennisbank te verbeteren berust op de schriftelijke toestemmingen die tijdens de bètafase zijn verzameld.

18. Slotbepalingen

18.1 Wijzigingen. De Aanbieder kan deze Verwerkersovereenkomst bijwerken om wijzigingen in de wet of in de dienst te weerspiegelen. Ingrijpende wijzigingen worden de Klant op een duurzame gegevensdrager ten minste 30 dagen van tevoren meegedeeld, met dezelfde rechten als die welke artikel 17 van de Algemene Voorwaarden geeft. Voor andere verwerkers geldt clausule 8.

18.2 Talen. Deze Verwerkersovereenkomst wordt gepubliceerd in dezelfde talen als de Algemene Voorwaarden: Italiaans, Engels, Roemeens, Pools, Spaans, Frans, Duits, Nederlands, Portugees en Tsjechisch. De Engelse versie is de referentieversie en prevaleert bij afwijkingen tussen de versies (artikel 30 van de Algemene Voorwaarden).

18.3 Toepasselijk recht en bevoegde rechter. Op deze Verwerkersovereenkomst is het Roemeense recht van toepassing. De rechtbanken van Arad, Roemenië, zijn bij uitsluiting bevoegd voor elk geschil dat eruit voortvloeit (de artikelen 28 en 29 van de Algemene Voorwaarden).

18.4 Deelbaarheid. Is een clausule ongeldig, dan blijven de overige clausules onverlet; de ongeldige clausule wordt vervangen door een geldige clausule waarvan de werking zo dicht mogelijk bij die van de ongeldige clausule ligt.

Bijlage A. Beschrijving van de verwerking

A.1 Onderwerp van de verwerking. Het leveren van de diensten van het Platform namens de Klant: opslag, organisatie en door kunstmatige intelligentie ondersteunde analyse van de inhoud met betrekking tot cosmetische producten die de Klant aanlevert of opslaat.

A.2 Duur. Gedurende de hele duur van de contractuele relatie, vermeerderd met de termijn voor het wissen of terugbezorgen op grond van clausule 13.

A.3 Aard en doel. Opslag van de analyses, documenten en bijlagen die in het account zijn opgeslagen; verwerking van inhoud via modellen voor kunstmatige intelligentie om analyses, bevindingen en concepten op te leveren (de afbeeldingen die voor een analyse worden aangeleverd, worden niet bewaard); beheer van de toegang van leden volgens de rollen die de Klant toekent; verzending van transactionele e-mails; registratie van activiteiten voor beveiligingsdoeleinden. Het systeem ondersteunt de specialist en neemt geen besluiten in diens plaats (clausule 4.3).

A.4 Soorten persoonsgegevens.

• Identificatie- en zakelijke contactgegevens van natuurlijke personen: namen, zakelijke e-mailadressen, rollen of functies.
• Persoonsgegevens die kunnen voorkomen in het materiaal dat de Klant aanlevert, bijvoorbeeld de verantwoordelijke persoon die op een etiket is vermeld, een technisch contactpersoon, of namen en handtekeningen in bijgevoegde documenten.
• Bijzondere categorieën van persoonsgegevens (art. 9 AVG) worden door het Platform niet gevraagd en zijn er niet voor bestemd; de Klant verbindt zich ertoe ze niet aan te leveren.

A.5 Verwerkte inhoud. Etiketontwerpen, teksten, recepturen en productdocumentatie, de analyses en documenten die in het account zijn opgeslagen, en de berichten in de chat voor verduidelijkingen. Het gaat hoofdzakelijk om vertrouwelijke bedrijfsinformatie van de Klant en minder om persoonsgegevens; die inhoud wordt in elk geval beschermd door dezelfde maatregelen als in Bijlage B.

A.6 Categorieën van betrokkenen.

• Personeel en medewerkers van de Klant die het Platform gebruiken.
• Met naam genoemde contactpersonen van de eigen klanten van de Klant (merkeigenaren) die de Klant registreert of die in documenten voorkomen.
• Veiligheidsbeoordelaars, intern bij de Klant of genoemd in de aangeleverde documenten.
• Natuurlijke personen die in de aangeleverde documenten worden genoemd, bijvoorbeeld de ondertekenaars van testrapporten.

A.7 Organisatie van de gegevens. Elk onderdeel van de inhoud is gekoppeld aan het account en aan de organisatie van de Klant die het heeft aangemaakt, en van de gebruikers van het Platform hebben alleen de leden van die organisatie er toegang toe, volgens de rol die de Klant heeft toegekend.

Bijlage B. Technische en organisatorische maatregelen

De vermelde maatregelen beschrijven het Platform zoals het vandaag werkt. Zij kunnen worden aangepast zonder dat het beschermingsniveau wordt verlaagd (clausule 7.2).

B.1 Scheiding tussen klanten. Elke lees- en schrijfbewerking op inhoud wordt gefilterd op het account en op de organisatie waartoe die inhoud behoort, en een klant kan de inhoud van een andere klant niet bereiken. De scheiding wordt met geautomatiseerde tests gecontroleerd.

B.2 Minimale opslag. De afbeeldingen die voor een analyse worden aangeleverd, worden verwerkt om het resultaat op te leveren en worden niet bewaard. Ook de bijlagen bij een verklaring worden verwerkt om het resultaat op te leveren en worden nu niet bewaard: zij worden pas bewaard vanaf het moment waarop de functie voor bijlagen in de dienst actief is. De bestanden die de Klant bijvoegt en bewaart, worden opgeslagen in een bestandsopslag die gescheiden is van de database, die alleen de verwijzing ernaar en de metagegevens bevat.

B.3 Administratieve toegang. Toegang tot de beheerconsole van de Aanbieder vereist, naast de inloggegevens, een tweede factor (een tijdgebonden code), waarvan het geheim versleuteld wordt bewaard. Administratieve toegang is beperkt tot de personen die deze nodig hebben.

B.4 Authenticatie van gebruikers. Gebruikers loggen in met een e-mailadres en een wachtwoord. Wachtwoorden worden nooit in leesbare vorm opgeslagen: zij worden opgeslagen als een PBKDF2-SHA256-afleiding met een salt per gebruiker en 100.000 iteraties.

B.5 Intrekking van toegang. Het blokkeren van een persoon en het wijzigen van diens wachtwoord maken de reeds uitgegeven sessies ongeldig, ook in de diensten van het Platform, zonder te wachten tot zij vanzelf verlopen.

B.6 Logboek van handelingen. De handelingen die beheerders van de Aanbieder verrichten op accounts, organisaties, tegoeden en toegang, worden vastgelegd met de auteur, de datum, de vorige waarde en de nieuwe waarde, in een logboek dat de database alleen laat aangroeien en nooit laat wijzigen of verwijderen. Beveiligingslogs worden 12 maanden bewaard.

B.7 Versleuteling. De communicatie tussen de gebruiker en het Platform verloopt via HTTPS (TLS). De databases en de bestandsopslag worden door de infrastructuuraanbieder automatisch in rust versleuteld met AES-256.

B.8 Organisatorische maatregelen. De toegang van personeel tot gegevens is beperkt tot wat nodig is en is onderworpen aan geheimhoudingsverplichtingen (clausule 6). Technische geheimen, zoals sleutels en inloggegevens van diensten, worden buiten de broncode beheerd, via de versleutelde hulpmiddelen van het hostingplatform.

Bijlage C. Toegestane andere verwerkers

Lijst bijgewerkt op 3 oktober 2026. Wijzigingen volgen clausule 8.

Alle accounts bij de andere verwerkers staan op naam van de Aanbieder. De Klant kan een kopie van de waarborgen opvragen door te schrijven naar info@cosmetifull.com.

Overige verwerkers van de Aanbieder. Artikel 11.1 van de Privacyverklaring noemt ook Proton AG (zakelijke e-mail), SmartBill van Intelligent IT SRL (het uitreiken van facturen) en Airtable (interne klantrelatieadministratie). Zij verwerken gegevens waarvoor de Aanbieder de verwerkingsverantwoordelijke is (clausule 1.5) en ontvangen niet de inhoud die de Klant op het Platform aanlevert; zij zijn dus geen andere verwerkers in de zin van deze Verwerkersovereenkomst. De waarborgen die op hun doorgiften worden toegepast, staan in artikel 16 van de Privacyverklaring.

Zelfstandige verwerkingsverantwoordelijken. Stripe, dat een gemengde rol heeft, en de ontvangers die als zelfstandige verwerkingsverantwoordelijken optreden, ontvangen de inhoud van de Klant niet en zijn geen andere verwerkers (de artikelen 11.3 en 12 van de Privacyverklaring).

Interne meldingen. Het interne meldingskanaal op Telegram ontvangt met ingang van 16 september 2026 uitsluitend vaste teksten zonder persoonsgegevens of inhoud van de Klant, en is om die reden geen andere verwerker (artikel 11.2 van de Privacyverklaring).

Einde van de gepubliceerde tekst.

Privacyverklaring

Algemene voorwaarden