Juridisch
Privacybeleid
Laatste wijziging: 25 maart 2026
1. Wie zijn wij
merqori.com is een dienst van merqori B.V., gevestigd te Nederland. Wij zijn de verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG/GDPR) voor de persoonsgegevens die wij verwerken.
- Rechtsnaam: merqori B.V.
- KvK: [KvK: INVULLEN]
- BTW: [BTW: INVULLEN]
- Vestigingsadres: [Vestigingsadres: INVULLEN]
Contact: privacy@merqori.com
Wij hebben geen verplichte functionaris voor gegevensbescherming (FG) aangesteld. Voor privacyvragen kunt u terecht bij: [DPO/Contactpersoon: INVULLEN]
2. Welke gegevens verwerken wij
Wij verwerken de volgende categorieën persoonsgegevens:
- Accountgegevens: naam, zakelijk e-mailadres, wachtwoord (versleuteld), bedrijfsnaam, rol
- Financiële transactiedata: ordergegevens, marketplace-uitbetalingen, commissies, retours en kortingen die u uploadt
- Gebruiksgegevens: inloghistorie, auditlogs van acties binnen de applicatie
- Technische gegevens: IP-adres (voor beveiliging en rate limiting), sessietoken
Wij verwerken geen bijzondere categorieën persoonsgegevens (zoals gezondheidsgegevens of burgerservicenummers).
3. Doeleinden en grondslag
| Doel | Grondslag (AVG) |
|---|---|
| Accountbeheer en authenticatie | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| Uitvoering van de analysedienst | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| Facturering en betalingsverwerking (via Stripe) | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| Beveiliging en fraudepreventie | Gerechtvaardigd belang (Art. 6 lid 1 sub f) |
| Wettelijke bewaarplicht financiële gegevens (7 jaar) | Wettelijke verplichting (Art. 6 lid 1 sub c) |
| Versturen van transactionele e-mails (wachtwoordherstel, welkomstmail) | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
| Productanalyse via PostHog (gebruiksstatistieken om de dienst te verbeteren) | Toestemming (Art. 6 lid 1 sub a) |
| Foutmonitoring via Sentry (opsporen en oplossen van technische fouten) | Gerechtvaardigd belang (Art. 6 lid 1 sub f) |
| AI-ondersteunde analyse van geüploade exports via Anthropic | Uitvoering overeenkomst (Art. 6 lid 1 sub b) |
4. Subverwerkers
Wij maken gebruik van de volgende subverwerkers. Met elk van deze partijen is een verwerkersovereenkomst gesloten:
| Partij | Doel | Locatie |
|---|---|---|
| Neon Inc. | Databasehosting (PostgreSQL) | VS (us-east-2, SCCs van toepassing) |
| Vercel Inc. | Applicatiehosting | VS (SCCs van toepassing) |
| Stripe Inc. | Betalingsverwerking | VS (SCCs van toepassing) |
| Resend Inc. | Transactionele e-mail | VS (SCCs van toepassing) |
| Anthropic PBC | AI-ondersteunde analyse van exports | VS (SCCs van toepassing) |
| PostHog Inc. | Productanalyse (alleen met toestemming) | VS (SCCs van toepassing) |
| Functional Software Inc. (Sentry) | Foutmonitoring | VS (SCCs van toepassing) |
Doorgifte buiten de EER
Een deel van uw gegevens wordt opgeslagen en verwerkt in de Verenigde Staten (onze database bij Neon in regio us-east-2, en de diensten van Stripe, Resend, Anthropic, PostHog, Sentry en Vercel). Voor deze doorgifte naar een derde land baseren wij ons op de door de Europese Commissie vastgestelde Standaard Contractuele Clausules (SCCs), aangevuld met passende aanvullende maatregelen. Een kopie van de getroffen waarborgen kunt u opvragen via privacy@merqori.com.
5. Bewaartermijnen
- Accountgegevens: zolang uw account actief is, plus 30 dagen na verwijdering
- Financiële transactiedata (orders, settlements, fees): 7 jaar na verwerking (wettelijke bewaarplicht)
- Auditlogs: 2 jaar
- Wachtwoord-resettokens: worden na gebruik of vervaldatum (1 uur) automatisch ongeldig
- IP-adressen (rate limiting): maximaal 1 uur in geheugen, niet opgeslagen
6. Uw rechten
Op grond van de AVG heeft u de volgende rechten:
- Recht op inzage (Art. 15): U kunt opvragen welke gegevens wij van u verwerken via Instellingen → Mijn data exporteren, of via privacy@merqori.com
- Recht op rectificatie (Art. 16): U kunt uw naam en e-mailadres wijzigen via de instellingenpagina
- Recht op verwijdering (Art. 17): U kunt uw account en alle bijbehorende data verwijderen via Instellingen → Account verwijderen. Financiële data die onder wettelijke bewaarplicht valt, kan niet eerder worden verwijderd.
- Recht op dataportabiliteit (Art. 20): Via Instellingen → Mijn data exporteren kunt u al uw gegevens downloaden als JSON
- Recht op beperking van de verwerking (Art. 18): U kunt ons vragen de verwerking van uw gegevens tijdelijk te beperken, bijvoorbeeld terwijl de juistheid van gegevens wordt gecontroleerd
- Recht op bezwaar (Art. 21): U kunt bezwaar maken tegen verwerkingen op basis van gerechtvaardigd belang
- Recht om toestemming in te trekken (Art. 7 lid 3): Waar wij gegevens verwerken op basis van uw toestemming (zoals productanalyse via PostHog), kunt u die toestemming op elk moment intrekken. Dit laat de rechtmatigheid van de verwerking vóór intrekking onverlet.
Verzoeken kunt u indienen via privacy@merqori.com. Wij reageren binnen 30 dagen. U heeft ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).
7. Beveiliging
Wij nemen passende technische en organisatorische maatregelen, waaronder:
- Versleuteling van data in transit (TLS/HTTPS)
- Versleuteling van gevoelige configuratiedata in rust (AES-256-GCM)
- Wachtwoorden worden opgeslagen als bcrypt-hash (niet leesbaar)
- Strikte toegangscontrole per organisatie (tenant-isolatie)
- Auditlogging van alle relevante acties
- Verzoeklimieten op authenticatie- en upload-endpoints
8. Cookies
Wij gebruiken uitsluitend functioneel noodzakelijke cookies. Een analytisch of marketing-cookie plaatsen wij niet zonder uw toestemming. Zie ons cookiebeleid voor details.
9. Herkomst van gegevens over derden
De financiële bestanden die onze klanten uploaden (orders, uitbetalingen, retours) kunnen persoonsgegevens van derden bevatten, bijvoorbeeld naam- of adresgegevens van eindklanten die een bestelling hebben geplaatst. Deze gegevens ontvangen wij dus niet rechtstreeks van de betrokkene, maar via onze klant.
Ten aanzien van deze gegevens treedt merqori op als verwerker in opdracht van de klant, die zelf verwerkingsverantwoordelijke is. De klant is verantwoordelijk voor een rechtmatige grondslag (doorgaans uitvoering van een koopovereenkomst of gerechtvaardigd belang, Art. 6 lid 1 sub b of f) en voor de informatieplicht richting diens eindklanten. Wij gebruiken deze gegevens uitsluitend om de reconciliatiedienst voor de klant uit te voeren.
10. Geautomatiseerde besluitvorming
Wij nemen geen besluiten met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen die uitsluitend gebaseerd zijn op geautomatiseerde verwerking, waaronder profilering (Art. 22 AVG). De dienst detecteert afwijkingen als hulpmiddel; beslissingen daarover neemt u zelf.
11. Wijzigingen
Wij kunnen dit privacybeleid periodiek bijwerken. Bij materiële wijzigingen informeren wij u via e-mail of via een melding in de applicatie. De datum bovenaan dit document geeft aan wanneer het beleid voor het laatst is gewijzigd.