Verwerkersovereenkomst Loomie

Laatst bijgewerkt op: 6 juni 2026

1. Partijen en rolverdeling

• Verwerker: Loomie B.V., KvK 76292177, gevestigd te Denariusstraat 21C, 4903 RC Oosterhout ("Loomie").
• Verwerkingsverantwoordelijke: de klant die een account aanmaakt en gebruikmaakt van de Dienst ("Klant").

De Klant bepaalt het doel en de middelen van de verwerking en is daarmee verwerkingsverantwoordelijke. Loomie verwerkt persoonsgegevens uitsluitend in opdracht van de Klant en is daarmee verwerker in de zin van de AVG.

2. Definities

• AVG: Verordening (EU) 2016/679 (Algemene Verordening Gegevensbescherming).
• Persoonsgegevens: alle gegevens over een geïdentificeerde of identificeerbare natuurlijke persoon die via de Dienst worden verwerkt.
• Verwerking: elke bewerking met betrekking tot persoonsgegevens.
• Subverwerker: een door Loomie ingeschakelde derde die persoonsgegevens verwerkt.
• Dienst: het Loomie-platform zoals beschreven in de Algemene Voorwaarden.

3. Onderwerp en duur

• Onderwerp: de verwerking van persoonsgegevens die nodig is om de Dienst te leveren.
• Aard en doel: hosting, opslag, synchronisatie en verwerking van account- en integratiegegevens ten behoeve van voorraadbeheer en aanverwante functionaliteit.
• Duur: deze DPA geldt zolang de Overeenkomst tussen Loomie en de Klant van kracht is.

4. Verwerking in opdracht

• Loomie verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Klant, waaronder het gebruik van de Dienst zelf, tenzij een wettelijke verplichting anders bepaalt.
• Loomie gebruikt de persoonsgegevens niet voor eigen doeleinden en verkoopt deze niet aan derden.
• Loomie waarborgt dat personen die toegang hebben tot de persoonsgegevens tot geheimhouding zijn verplicht.
• Loomie informeert de Klant indien een instructie naar haar oordeel in strijd is met de AVG.

5. Categorieën gegevens en betrokkenen

Afhankelijk van het gebruik van de Dienst kan het gaan om:

• Betrokkenen: gebruikers/medewerkers van de Klant en, voor zover van toepassing, contactpersonen.
• Accountgegevens: naam, e-mailadres, organisatie, rol.
• Integratie- en technische gegevens: API-tokens, IP-adres, loggegevens.

Loomie verwerkt geen bijzondere categorieën van persoonsgegevens, tenzij de Klant deze zelf in de Dienst invoert; dat is dan voor risico van de Klant.

6. Beveiliging (art. 32 AVG)

Loomie treft passende technische en organisatorische maatregelen, waaronder:

• Versleuteling van API-tokens en TLS/HTTPS op alle verbindingen
• Toegangsbeperking op basis van rollen en multi-tenant data-isolatie
• Logging en monitoring van toegang
• Regelmatige beveiligingsupdates en back-ups

7. Subverwerkers

• De Klant geeft Loomie algemene toestemming om subverwerkers in te schakelen voor het leveren van de Dienst.
• Loomie legt aan subverwerkers ten minste dezelfde verplichtingen op als in deze DPA.
• Belangrijkste subverwerkers zijn onder meer: Stripe (betalingen), Supabase (database/hosting) en de gebruikte cloud-/e-mailproviders.
• Bij voorgenomen wijziging van subverwerkers informeert Loomie de Klant, die het recht heeft hiertegen op redelijke gronden bezwaar te maken.

8. Internationale doorgifte

Verwerking vindt in beginsel plaats binnen de EER. Indien gegevens worden doorgegeven naar een land buiten de EER, zorgt Loomie voor passende waarborgen, zoals de standaard contractbepalingen (SCC's) van de Europese Commissie of een adequaatheidsbesluit.

9. Rechten van betrokkenen

Loomie verleent de Klant redelijke medewerking bij het afhandelen van verzoeken van betrokkenen (inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar). Richt een betrokkene zich rechtstreeks tot Loomie, dan verwijst Loomie deze door naar de Klant.

10. Datalekken

• Loomie informeert de Klant zonder onredelijke vertraging — en waar mogelijk binnen 48 uur — na kennisname van een inbreuk in verband met persoonsgegevens.
• Loomie verstrekt de informatie die de Klant nodig heeft om aan zijn eigen meldplicht (richting de Autoriteit Persoonsgegevens en betrokkenen) te voldoen.
• De Klant blijft verantwoordelijk voor het beoordelen en melden van het datalek.

11. Audits en controle

Loomie stelt de Klant op verzoek de informatie ter beschikking die nodig is om naleving van deze DPA aan te tonen, en maakt audits mogelijk — al dan niet door een door de Klant gemachtigde, onafhankelijke auditor — met inachtneming van redelijke termijnen en vertrouwelijkheid.

12. Teruggave en verwijdering

Na beëindiging van de Overeenkomst verwijdert Loomie de persoonsgegevens binnen een redelijke termijn, of geeft deze op verzoek terug, tenzij een wettelijke bewaarplicht (zoals de fiscale bewaarplicht voor factuurgegevens) anders bepaalt.

13. Aansprakelijkheid

Op deze DPA is de aansprakelijkheidsregeling uit de Algemene Voorwaarden van toepassing. Op deze overeenkomst is Nederlands recht van toepassing.

14. Ondertekening

Door gebruik te maken van de Dienst aanvaardt de Klant deze verwerkersovereenkomst. Een afzonderlijk door beide partijen ondertekend exemplaar is op verzoek beschikbaar via support@loomie.nl.

Zie ook onze Privacyverklaring en ons Cookiebeleid.