Cloud Vendor SoftwareArchitecture & engineering

Apps / Euro B2B Smart Hub

Privacy Policy

Euro B2B Smart Hub app for Shopify · effective 1 November 2026

Language / Sprache / Taal: English · Deutsch · Nederlands

English

Effective date: 1 November 2026

This policy explains which personal data the Euro B2B Smart Hub app for Shopify ("the App") processes, why, for how long, and who receives it. It covers merchants who install the App and the business customers who register in a merchant's store. It applies the EU General Data Protection Regulation (GDPR) and the Dutch GDPR Implementation Act (UAVG). For our company website, see the website privacy notice.

1. Who we are

Cloud Vendor Software B.V.
Reijnier Vinkeleskade 64B, 1071 SX Amsterdam, the Netherlands
Chamber of Commerce (KvK): 82531072 · VAT: NL862508009B01
Privacy questions: support@cloud-vendor-software.nl

2. Our role

  • Data of your customers (merchant = controller, we = processor). When your business customers register, are checked or are reported through the App, you decide why and how their data is processed. We process it only on your behalf, to provide the App, following the settings you choose in it (Art. 28 GDPR). Section 7 of our Terms and this policy describe that processing.
  • Data of merchants (we = controller). For your shop account, contact details, billing status, support emails and our technical logs, we decide on the processing and are the controller.

3. What we process, why, and for how long

3.1 Merchant account data

  • Data: shop domain and ID, shop name, shop owner name, shop contact email, your own VAT number (if you enter it), plan and subscription status, the access token for your store (stored encrypted).
  • Source: Shopify, when you install the App; your VAT number from you.
  • Purpose: to run the App for your store, apply your plan, send you service emails (welcome email, notifications described in 3.6), and give your VAT number to VIES or HMRC as the requester so they issue a consultation number.
  • Legal basis: performance of our contract with you (Art. 6(1)(b) GDPR).
  • Retention: while the App is installed. When you uninstall, the access token is deleted at once. All other shop data is deleted when Shopify sends its shop deletion request (shop/redact), which Shopify does 48 hours after uninstall.

3.2 Business customer registration (processor)

  • Data: email address, first and last name, company name, VAT number, country and business address entered in the B2B registration form. No phone number is collected.
  • Source: the business customer, through the registration page in your store.
  • Purpose: to create or update the customer in your Shopify store, check the VAT number (3.3), apply the EU reverse charge tax exemption when the number is valid, and handle approval if you review registrations. Depending on your settings and plan, the App also creates a Shopify B2B company and company location for an approved customer.
  • Where it is stored: in your Shopify store only (customer record, address, App metafields such as the VAT number and registration status, tags and tax exemption). We do not keep the registration form data in our own database.
  • Legal basis: determined by you as controller; typically the contract with your customer and your VAT obligations (Art. 6(1)(b) and (c) GDPR).
  • Retention: under your control in Shopify.

3.3 VAT number checks

  • What happens: VAT numbers are checked with the official register of the country: the EU VIES system, HMRC for the United Kingdom, the Swiss UID register, or the Brønnøysund Register Centre for Norway. The register returns whether the number is valid and, where available, the registered company name and address. If you entered your own VAT number, it is sent as the requester. To fill in the address, the registered address may be sent to Google's Address Validation and Geocoding services.
  • VAT number cache (we, as processor): the VAT number, the registered name and address and the time of the check, so that the same number is not looked up again within 24 hours. These entries are not linked to a shop or a customer. They are deleted automatically 30 days after the last check, and at once when a register reports the number as invalid.
  • VAT check history (processor; plans with VAT re-checks): for each check of an approved business customer: Shopify customer ID, customer name, VAT number, date and time, result (valid, invalid or register unavailable), the register's consultation number, the registered company name, and a short note (for example "tax exemption removed"). Purpose: proof for you that a customer's VAT number was checked, for your VAT records. You can view and export it in the App.
  • Monthly re-check: on plans with this feature, saved VAT numbers of your business customers are checked again once a month (see section 10).
  • Legal basis: determined by you as controller; typically your legal obligation to apply VAT correctly and keep records (Art. 6(1)(c) GDPR) and your legitimate interest in verifying business customers (Art. 6(1)(f) GDPR).
  • Retention of the history: the App sets no expiry, because VAT rules require merchants to keep such records for several years. It is kept while the App is installed and deleted with all your shop data on shop/redact. Export it before you uninstall if you need it.

3.4 EC Sales List reports (processor)

  • Data: for a reporting period, per business customer: VAT number, country, net value in euros and number of orders. No names, emails or order IDs are stored.
  • Source: your Shopify orders, read with your permission (read_orders) when you create a report.
  • Purpose: to help you prepare your EC Sales List (recapitulative statement).
  • Retention: deleted automatically 90 days after the report was created, or earlier on shop/redact. A report can be created again from your orders.

3.5 Storefront prices

The App's theme extension runs in the visitor's browser and shows prices with and without VAT. For a logged-in business customer it reads the VAT number and B2B status that your store provides, to show the correct price. It does not send visitor data to our servers; it only talks to your own store. B2B discounts and checkout rules run as Shopify Functions inside Shopify.

3.6 Emails we send

  • To merchants: a welcome email after installation (a copy goes to our support mailbox); a notice of a new business registration (customer's company name); an approval request (customer's name, email, company, VAT number, check result and country); a monthly re-check summary (counts, and the names and VAT numbers of customers whose number failed).
  • To business customers, on your behalf: a message that their B2B registration was approved or rejected (shop name, customer name, company, and the rejection reason you entered). The Shopify account invitation is sent by Shopify.
  • How: through Amazon Simple Email Service (AWS, Frankfurt). We do not store copies of these emails in our database; the recipient address appears in our technical logs (3.7).
  • Legal basis: for merchant emails, our contract with you (Art. 6(1)(b) GDPR); customer emails are sent as your processor.

3.7 Technical logs

  • Data: for each request to our servers: time, method, address, status and duration, and request headers except login tokens, cookies and IP-address headers. We do not log request or response content. VAT numbers in addresses and email recipient addresses are masked (for example DE***789, j***@example.com). Shop domains and Shopify customer IDs are logged to identify requests.
  • Purpose: security, finding and fixing errors.
  • Legal basis: our legitimate interest in running a secure and reliable service (Art. 6(1)(f) GDPR); as your processor for any customer data in them.
  • Retention: 7 days in AWS CloudWatch (Frankfurt). Logs are also forwarded to Better Stack (EU data centre). Background tasks that fail are kept, with their content, for up to 14 days for investigation.

3.8 Support

When you email us, we use your name, email address and message to answer you, based on our contract or our legitimate interest in helping you (Art. 6(1)(b) or (f) GDPR). Our email is hosted by Google Workspace. We keep support emails as long as needed to handle the request and any follow-up.

3.9 Data that is not personal

Your App settings, discount rules, onboarding settings and ECB exchange rates contain no personal data.

4. Cookies and browser storage

  • Storefront: the App sets no cookies and uses no local storage. It keeps a list of which products belong to which collections in the browser's session storage (for reduced VAT rates); this holds no personal data and is removed when the browser tab is closed.
  • Admin: the App runs inside the Shopify admin and sets no cookies of its own. It saves the progress of the setup checklist in your browser's local storage. Shopify's own cookies are covered by Shopify's privacy policy.
  • The App uses no analytics, advertising or tracking. Because the storage above is only used to make the App work, no consent is needed for it.

5. Who receives data

  • Shopify: the platform the App runs on; customer data is written to your Shopify store.
  • Amazon Web Services EMEA SARL (processor): hosting in Frankfurt, Germany (servers, email sending, logs, encrypted configuration).
  • MongoDB, Inc. (processor): our database, MongoDB Atlas, hosted in the EU.
  • Better Stack (processor): log storage in an EU data centre.
  • Google (processor): Google Maps Platform (Address Validation and Geocoding) for registered business addresses; Google Workspace for our email.
  • Official VAT registers, which receive the VAT number checked and, where used, your VAT number as requester: the European Commission (VIES) and the national tax authorities behind it, HM Revenue & Customs (UK), the Swiss UID register of the Federal Statistical Office, and the Brønnøysund Register Centre (Norway). They act under their own responsibility.

The European Central Bank is used only to fetch exchange rates; no personal data is sent to it. We do not sell personal data, share it for advertising, or use it to train AI models.

6. Transfers outside the EU

Our servers and database are in the EU. AWS, MongoDB and Google are US-based groups, so access from outside the EU cannot be ruled out; where personal data is transferred to the US, the transfer relies on the providers' certification under the EU-US Data Privacy Framework and on the European Commission's Standard Contractual Clauses in their data processing terms. Checks with HMRC (UK), the Swiss UID register and Shopify (Canada) are covered by adequacy decisions of the European Commission; Norway is part of the EEA.

7. Security

  • All connections to and from the App use HTTPS (TLS).
  • Store access tokens are encrypted with AES before they are saved; the keys can be rotated. Secrets are kept as encrypted parameters in AWS Systems Manager.
  • Admin requests are authenticated with Shopify session tokens; storefront requests and webhooks are verified with Shopify's HMAC signatures.
  • The database (MongoDB Atlas) and the queue for failed tasks are encrypted at rest.
  • Access to production systems is limited to us.

8. Your rights and privacy requests

You have the right to access, correct and delete your personal data, to restrict or object to its processing, and to receive it in a portable format. Merchants can contact us at support@cloud-vendor-software.nl; we answer within one month.

Business customers of a store should contact the merchant, who is the controller. We help merchants answer such requests. Shopify forwards privacy requests to us as follows:

  • Data request (customers/data_request): the only customer data in our database is the VAT check history. The merchant can export a customer's history from the App's VAT checks page; we send nothing automatically.
  • Deletion request (customers/redact): the customer's data in Shopify is deleted by Shopify. We keep the customer's VAT check history, because merchants must keep VAT records (Art. 17(3)(b) GDPR); it is deleted with the shop's data. A merchant who wants it deleted earlier can ask us. Cached VAT numbers are not linked to the customer and expire within 30 days.
  • Shop deletion (shop/redact): 48 hours after you uninstall, Shopify asks us to delete your shop's data. We then delete your account data, VAT check history, EC Sales List reports, onboarding settings and discounts. Logs expire as described in 3.7.

You can lodge a complaint with the Dutch Data Protection Authority, the Autoriteit Persoonsgegevens, or with the authority in your own EU country.

9. Where providing data is required

A business customer who wants to buy without VAT must give a VAT number; without it the App cannot check eligibility and normal VAT applies.

10. Automated checks

The App checks VAT numbers automatically against the official registers. Depending on the merchant's settings:

  • If a number is valid, the customer gets the EU reverse charge exemption (automatically, or after the merchant approves).
  • If a number is invalid, the customer is registered without the exemption, so VAT is charged, and the merchant is told. In the monthly re-check, an invalid number removes the exemption, the customer is tagged b2b-vat-invalid, and the merchant receives a summary.
  • If a register does not answer, nothing changes and the number is checked again later.

The App does not profile anyone and makes no other automated decisions. The merchant can review each result in the App, re-run a check, and approve or change a customer's tax status in Shopify. A customer who disagrees with a result can contact the merchant.

11. Changes

We will update this policy when the App's processing changes, and publish the new version on this page with a new effective date. For significant changes we will inform merchants through the App or by email.

12. Contact

Cloud Vendor Software B.V., Reijnier Vinkeleskade 64B, 1071 SX Amsterdam, the Netherlands
support@cloud-vendor-software.nl

Deutsch

Gültig ab: 1. November 2026

Diese Erklärung beschreibt, welche personenbezogenen Daten die App Euro B2B Smart Hub für Shopify („die App“) verarbeitet, warum, wie lange und wer sie erhält. Sie gilt für Händler, die die App installieren, und für Geschäftskunden, die sich im Shop eines Händlers registrieren. Grundlage sind die Datenschutz-Grundverordnung (DSGVO) und das niederländische Ausführungsgesetz zur DSGVO (UAVG). Für unsere Firmenwebsite siehe die Datenschutzhinweise der Website.

1. Wer wir sind

Cloud Vendor Software B.V.
Reijnier Vinkeleskade 64B, 1071 SX Amsterdam, Niederlande
Handelskammer (KvK): 82531072 · USt-IdNr.: NL862508009B01
Datenschutzfragen: support@cloud-vendor-software.nl

2. Unsere Rolle

  • Daten Ihrer Kunden (Händler = Verantwortlicher, wir = Auftragsverarbeiter). Wenn sich Ihre Geschäftskunden über die App registrieren, geprüft oder in Berichten erfasst werden, entscheiden Sie über Zweck und Mittel der Verarbeitung. Wir verarbeiten diese Daten nur in Ihrem Auftrag, um die App bereitzustellen, und gemäß den Einstellungen, die Sie in der App wählen (Art. 28 DSGVO). Abschnitt 7 unserer Nutzungsbedingungen und diese Erklärung beschreiben diese Verarbeitung.
  • Daten der Händler (wir = Verantwortlicher). Für Ihr Shop-Konto, Ihre Kontaktdaten, Ihren Abostatus, Support-E-Mails und unsere technischen Protokolle sind wir Verantwortlicher.

3. Was wir verarbeiten, warum und wie lange

3.1 Daten des Händlerkontos

  • Daten: Shop-Domain und -ID, Shop-Name, Name des Shop-Inhabers, Kontakt-E-Mail des Shops, Ihre eigene USt-IdNr. (falls eingegeben), Tarif und Abostatus, das Zugriffstoken für Ihren Shop (verschlüsselt gespeichert).
  • Herkunft: Shopify bei der Installation; Ihre USt-IdNr. von Ihnen.
  • Zweck: Betrieb der App für Ihren Shop, Anwendung Ihres Tarifs, Service-E-Mails (Willkommens-E-Mail und die Benachrichtigungen in 3.6) und Übermittlung Ihrer USt-IdNr. als anfragende Nummer an VIES oder HMRC, damit diese eine Konsultationsnummer vergeben.
  • Rechtsgrundlage: Erfüllung unseres Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO).
  • Speicherdauer: solange die App installiert ist. Bei der Deinstallation wird das Zugriffstoken sofort gelöscht. Alle übrigen Shop-Daten werden gelöscht, wenn Shopify die Löschanfrage für den Shop (shop/redact) sendet; das geschieht 48 Stunden nach der Deinstallation.

3.2 Registrierung von Geschäftskunden (Auftragsverarbeitung)

  • Daten: E-Mail-Adresse, Vor- und Nachname, Firmenname, USt-IdNr., Land und Geschäftsadresse aus dem B2B-Registrierungsformular. Eine Telefonnummer wird nicht erhoben.
  • Herkunft: der Geschäftskunde über die Registrierungsseite in Ihrem Shop.
  • Zweck: Anlegen oder Aktualisieren des Kunden in Ihrem Shopify-Shop, Prüfung der USt-IdNr. (3.3), Anwendung der Steuerbefreiung für das EU-Reverse-Charge-Verfahren bei gültiger Nummer und Freigabe, falls Sie Registrierungen prüfen. Je nach Einstellungen und Tarif legt die App für einen freigegebenen Kunden außerdem ein Shopify-B2B-Unternehmen mit Standort an.
  • Speicherort: nur in Ihrem Shopify-Shop (Kundendatensatz, Adresse, Metafelder der App wie USt-IdNr. und Registrierungsstatus, Tags und Steuerbefreiung). Die Formulardaten speichern wir nicht in unserer eigenen Datenbank.
  • Rechtsgrundlage: wird von Ihnen als Verantwortlichem bestimmt; in der Regel der Vertrag mit Ihrem Kunden und Ihre umsatzsteuerlichen Pflichten (Art. 6 Abs. 1 lit. b und c DSGVO).
  • Speicherdauer: unter Ihrer Kontrolle in Shopify.

3.3 Prüfung von USt-IdNrn.

  • Ablauf: USt-IdNrn. werden beim amtlichen Register des jeweiligen Landes geprüft: im EU-System VIES, bei HMRC für das Vereinigte Königreich, im Schweizer UID-Register oder beim Brønnøysund-Registerzentrum für Norwegen. Das Register meldet, ob die Nummer gültig ist, und, soweit verfügbar, den eingetragenen Firmennamen und die Adresse. Haben Sie Ihre eigene USt-IdNr. eingegeben, wird sie als anfragende Nummer übermittelt. Zum Ausfüllen der Adresse kann die eingetragene Adresse an die Dienste Address Validation und Geocoding von Google gesendet werden.
  • Zwischenspeicher für USt-IdNrn. (wir als Auftragsverarbeiter): USt-IdNr., eingetragener Name und Adresse sowie Zeitpunkt der Prüfung, damit dieselbe Nummer nicht innerhalb von 24 Stunden erneut abgefragt wird. Diese Einträge sind keinem Shop und keinem Kunden zugeordnet. Sie werden 30 Tage nach der letzten Prüfung automatisch gelöscht, und sofort, wenn ein Register die Nummer als ungültig meldet.
  • Prüfprotokoll (Auftragsverarbeitung; Tarife mit erneuter Prüfung): für jede Prüfung eines freigegebenen Geschäftskunden: Shopify-Kunden-ID, Name des Kunden, USt-IdNr., Datum und Uhrzeit, Ergebnis (gültig, ungültig oder Register nicht erreichbar), die Konsultationsnummer des Registers, der eingetragene Firmenname und ein kurzer Vermerk (z. B. „Steuerbefreiung entfernt“). Zweck: Nachweis für Ihre Umsatzsteuerunterlagen, dass die USt-IdNr. eines Kunden geprüft wurde. Sie können es in der App ansehen und exportieren.
  • Monatliche erneute Prüfung: in Tarifen mit dieser Funktion werden gespeicherte USt-IdNrn. Ihrer Geschäftskunden einmal im Monat erneut geprüft (siehe Abschnitt 10).
  • Rechtsgrundlage: wird von Ihnen als Verantwortlichem bestimmt; in der Regel Ihre rechtliche Pflicht, die Umsatzsteuer korrekt anzuwenden und Aufzeichnungen zu führen (Art. 6 Abs. 1 lit. c DSGVO), und Ihr berechtigtes Interesse an der Prüfung von Geschäftskunden (Art. 6 Abs. 1 lit. f DSGVO).
  • Speicherdauer des Protokolls: Die App setzt keine Frist, weil Händler solche Aufzeichnungen nach den Umsatzsteuervorschriften mehrere Jahre aufbewahren müssen. Es bleibt gespeichert, solange die App installiert ist, und wird mit allen Shop-Daten bei shop/redact gelöscht. Exportieren Sie es vor der Deinstallation, wenn Sie es benötigen.

3.4 Berichte für die Zusammenfassende Meldung (Auftragsverarbeitung)

  • Daten: für einen Meldezeitraum je Geschäftskunde: USt-IdNr., Land, Nettowert in Euro und Anzahl der Bestellungen. Namen, E-Mail-Adressen und Bestellnummern werden nicht gespeichert.
  • Herkunft: Ihre Shopify-Bestellungen, die mit Ihrer Berechtigung (read_orders) gelesen werden, wenn Sie einen Bericht erstellen.
  • Zweck: Unterstützung bei der Zusammenfassenden Meldung (EC Sales List).
  • Speicherdauer: automatische Löschung 90 Tage nach Erstellung des Berichts, oder früher bei shop/redact. Ein Bericht kann aus Ihren Bestellungen neu erstellt werden.

3.5 Preise im Shop

Die Theme-Erweiterung der App läuft im Browser des Besuchers und zeigt Preise mit und ohne Umsatzsteuer. Für einen angemeldeten Geschäftskunden liest sie die USt-IdNr. und den B2B-Status, die Ihr Shop bereitstellt, um den richtigen Preis anzuzeigen. Sie sendet keine Besucherdaten an unsere Server, sondern kommuniziert nur mit Ihrem eigenen Shop. B2B-Rabatte und Checkout-Regeln laufen als Shopify Functions innerhalb von Shopify.

3.6 E-Mails, die wir senden

  • An Händler: eine Willkommens-E-Mail nach der Installation (eine Kopie geht an unser Support-Postfach); eine Mitteilung über eine neue Geschäftskunden-Registrierung (Firmenname des Kunden); eine Freigabeanfrage (Name, E-Mail, Firma, USt-IdNr., Prüfergebnis und Land des Kunden); eine monatliche Zusammenfassung der erneuten Prüfung (Anzahlen sowie Namen und USt-IdNrn. der Kunden, deren Nummer ungültig war).
  • An Geschäftskunden, in Ihrem Auftrag: eine Nachricht, dass ihre B2B-Registrierung freigegeben oder abgelehnt wurde (Shop-Name, Name des Kunden, Firma und der von Ihnen eingegebene Ablehnungsgrund). Die Einladung zum Shopify-Kundenkonto sendet Shopify.
  • Versand: über Amazon Simple Email Service (AWS, Frankfurt). Kopien dieser E-Mails speichern wir nicht in unserer Datenbank; die Empfängeradresse erscheint in unseren technischen Protokollen (3.7).
  • Rechtsgrundlage: für E-Mails an Händler unser Vertrag mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO); E-Mails an Kunden senden wir als Ihr Auftragsverarbeiter.

3.7 Technische Protokolle

  • Daten: für jede Anfrage an unsere Server: Zeitpunkt, Methode, Adresse, Status und Dauer sowie die Anfrage-Header außer Anmelde-Token, Cookies und Headern mit IP-Adressen. Den Inhalt von Anfragen und Antworten protokollieren wir nicht. USt-IdNr. in Adressen und Empfängeradressen von E-Mails werden maskiert (zum Beispiel DE***789, j***@example.com). Shop-Domains und Shopify-Kunden-IDs werden protokolliert, um Anfragen zuzuordnen.
  • Zweck: Sicherheit, Fehlersuche und -behebung.
  • Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren und zuverlässigen Dienst (Art. 6 Abs. 1 lit. f DSGVO); für darin enthaltene Kundendaten als Ihr Auftragsverarbeiter.
  • Speicherdauer: 7 Tage in AWS CloudWatch (Frankfurt). Die Protokolle werden außerdem an Better Stack (Rechenzentrum in der EU) weitergeleitet. Fehlgeschlagene Hintergrundaufgaben werden mit ihrem Inhalt bis zu 14 Tage zur Untersuchung aufbewahrt.

3.8 Support

Wenn Sie uns schreiben, verwenden wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht, um Ihnen zu antworten, auf Grundlage unseres Vertrags oder unseres berechtigten Interesses, Ihnen zu helfen (Art. 6 Abs. 1 lit. b oder f DSGVO). Unsere E-Mails werden von Google Workspace gehostet. Wir bewahren Support-E-Mails so lange auf, wie es für die Bearbeitung der Anfrage und etwaige Rückfragen nötig ist.

3.9 Nicht personenbezogene Daten

Ihre App-Einstellungen, Rabattregeln, Onboarding-Einstellungen und die Wechselkurse der EZB enthalten keine personenbezogenen Daten.

4. Cookies und Speicher im Browser

  • Shop: Die App setzt keine Cookies und nutzt keinen Local Storage. Im Session Storage des Browsers speichert sie, welche Produkte zu welchen Kollektionen gehören (für ermäßigte Steuersätze); das enthält keine personenbezogenen Daten und wird beim Schließen des Tabs gelöscht.
  • Admin: Die App läuft im Shopify-Admin und setzt keine eigenen Cookies. Den Fortschritt der Einrichtungs-Checkliste speichert sie im Local Storage Ihres Browsers. Für Shopifys eigene Cookies gilt die Datenschutzerklärung von Shopify.
  • Die App verwendet keine Analyse-, Werbe- oder Tracking-Dienste. Da der genannte Speicher nur für die Funktion der App genutzt wird, ist dafür keine Einwilligung erforderlich.

5. Empfänger

  • Shopify: die Plattform, auf der die App läuft; Kundendaten werden in Ihren Shopify-Shop geschrieben.
  • Amazon Web Services EMEA SARL (Auftragsverarbeiter): Hosting in Frankfurt (Server, E-Mail-Versand, Protokolle, verschlüsselte Konfiguration).
  • MongoDB, Inc. (Auftragsverarbeiter): unsere Datenbank, MongoDB Atlas, gehostet in der EU.
  • Better Stack (Auftragsverarbeiter): Speicherung von Protokollen in einem Rechenzentrum in der EU.
  • Google (Auftragsverarbeiter): Google Maps Platform (Address Validation und Geocoding) für eingetragene Geschäftsadressen; Google Workspace für unsere E-Mails.
  • Amtliche Umsatzsteuerregister, die die geprüfte USt-IdNr. und gegebenenfalls Ihre USt-IdNr. als anfragende Nummer erhalten: die Europäische Kommission (VIES) mit den dahinterstehenden nationalen Steuerbehörden, HM Revenue & Customs (Vereinigtes Königreich), das UID-Register des Schweizer Bundesamts für Statistik und das Brønnøysund-Registerzentrum (Norwegen). Sie handeln in eigener Verantwortung.

Von der Europäischen Zentralbank werden nur Wechselkurse abgerufen; an sie werden keine personenbezogenen Daten übermittelt. Wir verkaufen keine personenbezogenen Daten, geben sie nicht zu Werbezwecken weiter und nutzen sie nicht zum Training von KI-Modellen.

6. Übermittlungen außerhalb der EU

Unsere Server und unsere Datenbank befinden sich in der EU. AWS, MongoDB und Google gehören zu Unternehmensgruppen mit Sitz in den USA, sodass ein Zugriff von außerhalb der EU nicht ausgeschlossen werden kann. Soweit personenbezogene Daten in die USA übermittelt werden, stützt sich dies auf die Zertifizierung der Anbieter nach dem EU-US Data Privacy Framework und auf die Standardvertragsklauseln der Europäischen Kommission in ihren Auftragsverarbeitungsbedingungen. Für Prüfungen bei HMRC (Vereinigtes Königreich), beim Schweizer UID-Register und für Shopify (Kanada) bestehen Angemessenheitsbeschlüsse der Europäischen Kommission; Norwegen gehört zum EWR.

7. Sicherheit

  • Alle Verbindungen zur und von der App nutzen HTTPS (TLS).
  • Zugriffstoken der Shops werden vor dem Speichern mit AES verschlüsselt; die Schlüssel können gewechselt werden. Geheimnisse liegen als verschlüsselte Parameter in AWS Systems Manager.
  • Admin-Anfragen werden mit Shopify-Session-Tokens authentifiziert; Anfragen aus dem Shop und Webhooks werden mit den HMAC-Signaturen von Shopify geprüft.
  • Die Datenbank (MongoDB Atlas) und die Warteschlange für fehlgeschlagene Aufgaben sind im Ruhezustand verschlüsselt.
  • Der Zugang zu den Produktivsystemen ist auf uns beschränkt.

8. Ihre Rechte und Datenschutzanfragen

Sie haben das Recht auf Auskunft, Berichtigung und Löschung Ihrer personenbezogenen Daten, auf Einschränkung der Verarbeitung, auf Widerspruch und auf Datenübertragbarkeit. Händler erreichen uns unter support@cloud-vendor-software.nl; wir antworten innerhalb eines Monats.

Geschäftskunden eines Shops wenden sich bitte an den Händler, der Verantwortlicher ist. Wir unterstützen Händler bei der Beantwortung. Shopify leitet Datenschutzanfragen wie folgt an uns weiter:

  • Auskunftsanfrage (customers/data_request): Die einzigen Kundendaten in unserer Datenbank sind das Prüfprotokoll der USt-IdNr. Der Händler kann das Protokoll eines Kunden auf der Seite „VAT checks“ der App exportieren; automatisch senden wir nichts.
  • Löschanfrage (customers/redact): Die Kundendaten in Shopify löscht Shopify. Das Prüfprotokoll des Kunden bewahren wir auf, weil Händler Umsatzsteuerunterlagen aufbewahren müssen (Art. 17 Abs. 3 lit. b DSGVO); es wird mit den Daten des Shops gelöscht. Ein Händler, der eine frühere Löschung wünscht, kann uns darum bitten. Zwischengespeicherte USt-IdNrn. sind dem Kunden nicht zugeordnet und verfallen innerhalb von 30 Tagen.
  • Löschung des Shops (shop/redact): 48 Stunden nach der Deinstallation fordert Shopify uns auf, die Daten Ihres Shops zu löschen. Wir löschen dann Ihre Kontodaten, das Prüfprotokoll, die Berichte für die Zusammenfassende Meldung, die Onboarding-Einstellungen und die Rabatte. Protokolle verfallen wie in 3.7 beschrieben.

Sie können sich bei der niederländischen Datenschutzbehörde, der Autoriteit Persoonsgegevens, oder bei der Aufsichtsbehörde in Ihrem EU-Land beschweren.

9. Pflicht zur Angabe von Daten

Ein Geschäftskunde, der ohne Umsatzsteuer kaufen möchte, muss eine USt-IdNr. angeben; ohne sie kann die App die Berechtigung nicht prüfen, und es gilt die normale Umsatzsteuer.

10. Automatisierte Prüfungen

Die App prüft USt-IdNrn. automatisch bei den amtlichen Registern. Je nach Einstellungen des Händlers gilt:

  • Ist eine Nummer gültig, erhält der Kunde die Steuerbefreiung für das EU-Reverse-Charge-Verfahren (automatisch oder nach Freigabe durch den Händler).
  • Ist eine Nummer ungültig, wird der Kunde ohne Steuerbefreiung registriert, sodass Umsatzsteuer berechnet wird, und der Händler wird informiert. Bei der monatlichen erneuten Prüfung führt eine ungültige Nummer zur Entfernung der Steuerbefreiung, der Kunde erhält das Tag b2b-vat-invalid, und der Händler bekommt eine Zusammenfassung.
  • Antwortet ein Register nicht, ändert sich nichts, und die Nummer wird später erneut geprüft.

Die App erstellt keine Profile und trifft keine weiteren automatisierten Entscheidungen. Der Händler kann jedes Ergebnis in der App einsehen, eine Prüfung wiederholen und den Steuerstatus eines Kunden in Shopify freigeben oder ändern. Ein Kunde, der mit einem Ergebnis nicht einverstanden ist, kann sich an den Händler wenden.

11. Änderungen

Wir aktualisieren diese Erklärung, wenn sich die Verarbeitung durch die App ändert, und veröffentlichen die neue Fassung mit neuem Gültigkeitsdatum auf dieser Seite. Über wesentliche Änderungen informieren wir Händler in der App oder per E-Mail.

12. Kontakt

Cloud Vendor Software B.V., Reijnier Vinkeleskade 64B, 1071 SX Amsterdam, Niederlande
support@cloud-vendor-software.nl

Nederlands

Ingangsdatum: 1 november 2026

Deze verklaring beschrijft welke persoonsgegevens de app Euro B2B Smart Hub voor Shopify ("de App") verwerkt, waarom, hoe lang en wie ze ontvangt. Ze geldt voor merchants die de App installeren en voor zakelijke klanten die zich in de winkel van een merchant registreren. Ze is gebaseerd op de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG). Voor onze bedrijfswebsite, zie de privacyverklaring van de website.

1. Wie wij zijn

Cloud Vendor Software B.V.
Reijnier Vinkeleskade 64B, 1071 SX Amsterdam
KvK: 82531072 · btw: NL862508009B01
Privacyvragen: support@cloud-vendor-software.nl

2. Onze rol

  • Gegevens van uw klanten (merchant = verwerkingsverantwoordelijke, wij = verwerker). Wanneer uw zakelijke klanten zich via de App registreren, worden gecontroleerd of in rapporten worden opgenomen, bepaalt u het doel en de middelen van de verwerking. Wij verwerken die gegevens alleen in uw opdracht, om de App te leveren, volgens de instellingen die u in de App kiest (art. 28 AVG). Artikel 7 van onze voorwaarden en deze verklaring beschrijven die verwerking.
  • Gegevens van merchants (wij = verwerkingsverantwoordelijke). Voor uw winkelaccount, contactgegevens, abonnementsstatus, supportmails en onze technische logbestanden zijn wij verwerkingsverantwoordelijke.

3. Wat we verwerken, waarom en hoe lang

3.1 Accountgegevens van de merchant

  • Gegevens: winkeldomein en -ID, winkelnaam, naam van de eigenaar, contact-e-mailadres van de winkel, uw eigen btw-nummer (als u het invult), plan en abonnementsstatus, het toegangstoken voor uw winkel (versleuteld opgeslagen).
  • Herkomst: Shopify, bij installatie; uw btw-nummer van u.
  • Doel: de App voor uw winkel laten werken, uw plan toepassen, u servicemails sturen (welkomstmail en de meldingen in 3.6), en uw btw-nummer als aanvrager doorgeven aan VIES of HMRC zodat zij een consultatienummer afgeven.
  • Grondslag: uitvoering van onze overeenkomst met u (art. 6 lid 1 onder b AVG).
  • Bewaartermijn: zolang de App is geïnstalleerd. Bij het verwijderen van de App wordt het toegangstoken direct gewist. Alle andere winkelgegevens worden verwijderd wanneer Shopify het verwijderverzoek voor de winkel (shop/redact) stuurt; Shopify doet dat 48 uur na het verwijderen van de App.

3.2 Registratie van zakelijke klanten (als verwerker)

  • Gegevens: e-mailadres, voor- en achternaam, bedrijfsnaam, btw-nummer, land en bedrijfsadres uit het B2B-registratieformulier. Er wordt geen telefoonnummer gevraagd.
  • Herkomst: de zakelijke klant, via de registratiepagina in uw winkel.
  • Doel: de klant aanmaken of bijwerken in uw Shopify-winkel, het btw-nummer controleren (3.3), bij een geldig nummer de vrijstelling voor de EU-verleggingsregeling toepassen, en de goedkeuring afhandelen als u registraties beoordeelt. Afhankelijk van uw instellingen en plan maakt de App voor een goedgekeurde klant ook een Shopify B2B-bedrijf met bedrijfslocatie aan.
  • Opslag: alleen in uw Shopify-winkel (klantrecord, adres, metavelden van de App zoals het btw-nummer en de registratiestatus, tags en btw-vrijstelling). De formuliergegevens bewaren wij niet in onze eigen database.
  • Grondslag: bepaald door u als verwerkingsverantwoordelijke; meestal de overeenkomst met uw klant en uw btw-verplichtingen (art. 6 lid 1 onder b en c AVG).
  • Bewaartermijn: onder uw beheer in Shopify.

3.3 Controle van btw-nummers

  • Werking: btw-nummers worden gecontroleerd bij het officiële register van het land: het EU-systeem VIES, HMRC voor het Verenigd Koninkrijk, het Zwitserse UID-register of het Brønnøysund-registercentrum voor Noorwegen. Het register meldt of het nummer geldig is en, waar beschikbaar, de geregistreerde bedrijfsnaam en het adres. Als u uw eigen btw-nummer hebt ingevuld, wordt dat als aanvrager meegestuurd. Om het adres in te vullen kan het geregistreerde adres naar de diensten Address Validation en Geocoding van Google worden gestuurd.
  • Tijdelijke opslag van btw-nummers (wij als verwerker): het btw-nummer, de geregistreerde naam en het adres en het tijdstip van de controle, zodat hetzelfde nummer niet binnen 24 uur opnieuw wordt opgevraagd. Deze gegevens zijn niet gekoppeld aan een winkel of klant. Ze worden automatisch verwijderd 30 dagen na de laatste controle, en direct wanneer een register het nummer ongeldig noemt.
  • Controlegeschiedenis (als verwerker; plannen met hercontrole): per controle van een goedgekeurde zakelijke klant: Shopify-klant-ID, naam van de klant, btw-nummer, datum en tijd, resultaat (geldig, ongeldig of register niet bereikbaar), het consultatienummer van het register, de geregistreerde bedrijfsnaam en een korte notitie (bijvoorbeeld "btw-vrijstelling verwijderd"). Doel: bewijs voor uw btw-administratie dat het btw-nummer van een klant is gecontroleerd. U kunt de geschiedenis in de App bekijken en exporteren.
  • Maandelijkse hercontrole: in plannen met deze functie worden de opgeslagen btw-nummers van uw zakelijke klanten eens per maand opnieuw gecontroleerd (zie artikel 10).
  • Grondslag: bepaald door u als verwerkingsverantwoordelijke; meestal uw wettelijke plicht om btw juist toe te passen en een administratie te bewaren (art. 6 lid 1 onder c AVG) en uw gerechtvaardigd belang bij het controleren van zakelijke klanten (art. 6 lid 1 onder f AVG).
  • Bewaartermijn van de geschiedenis: de App stelt geen termijn in, omdat merchants volgens de btw-regels zulke gegevens meerdere jaren moeten bewaren. De geschiedenis blijft bewaard zolang de App is geïnstalleerd en wordt met alle winkelgegevens verwijderd bij shop/redact. Exporteer haar voordat u de App verwijdert als u haar nodig hebt.

3.4 Rapporten voor de opgaaf intracommunautaire prestaties (als verwerker)

  • Gegevens: per aangifteperiode, per zakelijke klant: btw-nummer, land, nettobedrag in euro en aantal bestellingen. Namen, e-mailadressen en ordernummers worden niet opgeslagen.
  • Herkomst: uw Shopify-bestellingen, gelezen met uw toestemming (read_orders) wanneer u een rapport maakt.
  • Doel: u helpen bij de opgaaf intracommunautaire prestaties (EC Sales List).
  • Bewaartermijn: automatisch verwijderd 90 dagen nadat het rapport is gemaakt, of eerder bij shop/redact. Een rapport kan opnieuw uit uw bestellingen worden gemaakt.

3.5 Prijzen in de winkel

De thema-extensie van de App draait in de browser van de bezoeker en toont prijzen met en zonder btw. Voor een ingelogde zakelijke klant leest zij het btw-nummer en de B2B-status die uw winkel beschikbaar stelt, om de juiste prijs te tonen. Zij stuurt geen bezoekersgegevens naar onze servers en communiceert alleen met uw eigen winkel. B2B-kortingen en afrekenregels draaien als Shopify Functions binnen Shopify.

3.6 E-mails die we versturen

  • Aan merchants: een welkomstmail na installatie (een kopie gaat naar onze supportmailbox); een melding van een nieuwe zakelijke registratie (bedrijfsnaam van de klant); een goedkeuringsverzoek (naam, e-mailadres, bedrijf, btw-nummer, controleresultaat en land van de klant); een maandelijks overzicht van de hercontrole (aantallen, en de namen en btw-nummers van klanten van wie het nummer ongeldig was).
  • Aan zakelijke klanten, namens u: een bericht dat hun B2B-registratie is goedgekeurd of afgewezen (winkelnaam, naam van de klant, bedrijf en de reden van afwijzing die u invult). De uitnodiging voor het Shopify-klantaccount verstuurt Shopify.
  • Hoe: via Amazon Simple Email Service (AWS, Frankfurt). Kopieën van deze e-mails bewaren wij niet in onze database; het adres van de ontvanger staat in onze technische logbestanden (3.7).
  • Grondslag: voor e-mails aan merchants onze overeenkomst met u (art. 6 lid 1 onder b AVG); e-mails aan klanten versturen wij als uw verwerker.

3.7 Technische logbestanden

  • Gegevens: per verzoek aan onze servers: tijdstip, methode, adres, status en duur, en de headers van het verzoek behalve inlogtokens, cookies en headers met IP-adressen. De inhoud van verzoeken en antwoorden loggen wij niet. Btw-nummers in adressen en e-mailadressen van ontvangers worden gemaskeerd (bijvoorbeeld DE***789, j***@example.com). Shopdomeinen en Shopify-klant-ID's worden gelogd om verzoeken te herkennen.
  • Doel: beveiliging en het opsporen en oplossen van fouten.
  • Grondslag: ons gerechtvaardigd belang bij een veilige en betrouwbare dienst (art. 6 lid 1 onder f AVG); voor klantgegevens daarin als uw verwerker.
  • Bewaartermijn: 7 dagen in AWS CloudWatch (Frankfurt). De logbestanden worden ook doorgestuurd naar Better Stack (datacenter in de EU). Mislukte achtergrondtaken worden met hun inhoud maximaal 14 dagen bewaard voor onderzoek.

3.8 Support

Als u ons mailt, gebruiken we uw naam, e-mailadres en bericht om u te antwoorden, op basis van onze overeenkomst of ons gerechtvaardigd belang om u te helpen (art. 6 lid 1 onder b of f AVG). Onze e-mail wordt gehost door Google Workspace. We bewaren supportmails zolang dat nodig is om het verzoek en eventuele vervolgvragen af te handelen.

3.9 Gegevens die geen persoonsgegevens zijn

Uw App-instellingen, kortingsregels, onboardinginstellingen en de wisselkoersen van de ECB bevatten geen persoonsgegevens.

4. Cookies en opslag in de browser

  • Winkel: de App plaatst geen cookies en gebruikt geen local storage. In de session storage van de browser bewaart zij welke producten bij welke collecties horen (voor verlaagde btw-tarieven); dat bevat geen persoonsgegevens en verdwijnt wanneer het tabblad wordt gesloten.
  • Admin: de App draait in de Shopify-admin en plaatst geen eigen cookies. De voortgang van de installatiechecklist wordt in de local storage van uw browser bewaard. Voor de eigen cookies van Shopify geldt het privacybeleid van Shopify.
  • De App gebruikt geen analyse-, advertentie- of trackingdiensten. Omdat deze opslag alleen nodig is om de App te laten werken, is er geen toestemming voor nodig.

5. Ontvangers

  • Shopify: het platform waarop de App draait; klantgegevens worden in uw Shopify-winkel vastgelegd.
  • Amazon Web Services EMEA SARL (verwerker): hosting in Frankfurt, Duitsland (servers, e-mailverzending, logbestanden, versleutelde configuratie).
  • MongoDB, Inc. (verwerker): onze database, MongoDB Atlas, gehost in de EU.
  • Better Stack (verwerker): opslag van logbestanden in een datacenter in de EU.
  • Google (verwerker): Google Maps Platform (Address Validation en Geocoding) voor geregistreerde bedrijfsadressen; Google Workspace voor onze e-mail.
  • Officiële btw-registers, die het gecontroleerde btw-nummer ontvangen en, waar van toepassing, uw btw-nummer als aanvrager: de Europese Commissie (VIES) en de nationale belastingdiensten daarachter, HM Revenue & Customs (Verenigd Koninkrijk), het UID-register van het Zwitserse Bundesamt für Statistik en het Brønnøysund-registercentrum (Noorwegen). Zij handelen onder eigen verantwoordelijkheid.

Bij de Europese Centrale Bank worden alleen wisselkoersen opgehaald; er worden geen persoonsgegevens naartoe gestuurd. Wij verkopen geen persoonsgegevens, delen ze niet voor advertenties en gebruiken ze niet om AI-modellen te trainen.

6. Doorgifte buiten de EU

Onze servers en database staan in de EU. AWS, MongoDB en Google zijn onderdeel van concerns met hoofdzetel in de VS, zodat toegang van buiten de EU niet is uitgesloten. Voor zover persoonsgegevens naar de VS worden doorgegeven, gebeurt dat op basis van de certificering van de aanbieders onder het EU-US Data Privacy Framework en de standaardcontractbepalingen van de Europese Commissie in hun verwerkersvoorwaarden. Voor controles bij HMRC (Verenigd Koninkrijk) en het Zwitserse UID-register, en voor Shopify (Canada), gelden adequaatheidsbesluiten van de Europese Commissie; Noorwegen hoort bij de EER.

7. Beveiliging

  • Alle verbindingen van en naar de App gebruiken HTTPS (TLS).
  • Toegangstokens van winkels worden voor opslag versleuteld met AES; de sleutels kunnen worden vervangen. Geheime instellingen staan als versleutelde parameters in AWS Systems Manager.
  • Adminverzoeken worden geauthenticeerd met Shopify-sessietokens; verzoeken uit de winkel en webhooks worden gecontroleerd met de HMAC-handtekeningen van Shopify.
  • De database (MongoDB Atlas) en de wachtrij voor mislukte taken zijn versleuteld opgeslagen.
  • Toegang tot de productiesystemen is beperkt tot ons.

8. Uw rechten en privacyverzoeken

U hebt recht op inzage, rectificatie en verwijdering van uw persoonsgegevens, op beperking van de verwerking, op bezwaar en op overdraagbaarheid van uw gegevens. Merchants kunnen ons bereiken via support@cloud-vendor-software.nl; wij antwoorden binnen een maand.

Zakelijke klanten van een winkel kunnen zich wenden tot de merchant, die verwerkingsverantwoordelijke is. Wij helpen merchants bij het beantwoorden. Shopify stuurt privacyverzoeken als volgt aan ons door:

  • Inzageverzoek (customers/data_request): de enige klantgegevens in onze database zijn de controlegeschiedenis van het btw-nummer. De merchant kan de geschiedenis van een klant exporteren op de pagina "VAT checks" van de App; automatisch sturen wij niets.
  • Verwijderverzoek (customers/redact): de klantgegevens in Shopify worden door Shopify verwijderd. De controlegeschiedenis van de klant bewaren wij, omdat merchants hun btw-administratie moeten bewaren (art. 17 lid 3 onder b AVG); zij wordt met de winkelgegevens verwijderd. Een merchant die eerdere verwijdering wil, kan ons daarom vragen. Tijdelijk opgeslagen btw-nummers zijn niet aan de klant gekoppeld en verlopen binnen 30 dagen.
  • Verwijdering van de winkel (shop/redact): 48 uur nadat u de App verwijdert, vraagt Shopify ons de gegevens van uw winkel te verwijderen. Wij verwijderen dan uw accountgegevens, de controlegeschiedenis, de rapporten voor de opgaaf intracommunautaire prestaties, de onboardinginstellingen en de kortingen. Logbestanden verlopen zoals beschreven in 3.7.

U kunt een klacht indienen bij de Autoriteit Persoonsgegevens of bij de toezichthouder in uw eigen EU-land.

9. Verplichte gegevens

Een zakelijke klant die zonder btw wil kopen, moet een btw-nummer opgeven; zonder nummer kan de App niet controleren of de klant daarvoor in aanmerking komt en geldt het normale btw-tarief.

10. Geautomatiseerde controles

De App controleert btw-nummers automatisch bij de officiële registers. Afhankelijk van de instellingen van de merchant geldt:

  • Is een nummer geldig, dan krijgt de klant de vrijstelling voor de EU-verleggingsregeling (automatisch of na goedkeuring door de merchant).
  • Is een nummer ongeldig, dan wordt de klant zonder vrijstelling geregistreerd, zodat btw wordt berekend, en krijgt de merchant een melding. Bij de maandelijkse hercontrole leidt een ongeldig nummer tot het verwijderen van de vrijstelling, krijgt de klant de tag b2b-vat-invalid en ontvangt de merchant een overzicht.
  • Antwoordt een register niet, dan verandert er niets en wordt het nummer later opnieuw gecontroleerd.

De App maakt geen profielen en neemt geen andere geautomatiseerde besluiten. De merchant kan elk resultaat in de App bekijken, een controle opnieuw uitvoeren en de btw-status van een klant in Shopify goedkeuren of wijzigen. Een klant die het niet eens is met een resultaat, kan contact opnemen met de merchant.

11. Wijzigingen

Wij werken deze verklaring bij wanneer de verwerking door de App verandert, en publiceren de nieuwe versie met een nieuwe ingangsdatum op deze pagina. Over belangrijke wijzigingen informeren wij merchants via de App of per e-mail.

12. Contact

Cloud Vendor Software B.V., Reijnier Vinkeleskade 64B, 1071 SX Amsterdam
support@cloud-vendor-software.nl