The Dutch version of this Privacy Notice is available below.

De Nederlandse versie van deze privacyverklaring staat hieronder.

English

Acroya B.V. trading as SOUS | Last updated: July 2026

Version 1.2 | Full Privacy Policy available at: poweredbysous.com/privacy/full

This notice explains how SOUS collects and uses your personal data. It applies to visitors to our website, merchants who use the SOUS platform, and end-customers who shop through a SOUS-powered storefront. A full Privacy Policy with complete technical and legal detail is available at poweredbysous.com/privacy/full.

1. Who We Are

SOUS is a trading name of Acroya B.V., a company incorporated in the Netherlands. We are the data controller for personal data processed in connection with our website and platform services.

2. Who This Notice Applies To

This notice covers three groups of people:

• Website visitors - anyone who browses poweredbysous.com, requests a demo, signs up for our newsletter, or purchases a subscription online.

• Merchants - food and beverage businesses that use the SOUS Merchant Portal, including our Spotlight listing management service.

• End-customers - individuals who place orders through a merchant's SOUS-powered online shop.

Where SOUS processes end-customer data on behalf of a merchant, the merchant is the data controller for that data and SOUS acts as a processor under a Data Processing Agreement (DPA) found at poweredbysous.com/legal/dpa.

3. What Data We Collect

Website visitors

• Contact details you provide (name, email, company, phone) when submitting a form or booking a demo.

• Subscription and billing data if you purchase a plan online. Payment card processing is handled by our payment provider - we do not store card numbers.

• Usage and device data collected automatically: IP address, browser type, pages visited, and similar technical data.

Merchants

• Business identity and KYC data collected during onboarding (legal entity name, address, VAT number, KvK number, and identity verification carried out by our payment processor).

• Platform and configuration data, including product catalogues, pricing, logistics settings, and financial records.

• Business listing data for Spotlight subscribers: your business profile (name, address, hours, menus, images) published to directories such as Google Maps, Apple Maps, and TripAdvisor.

End-customers

• Order data - name, delivery address, order contents, delivery preferences, and order status.

• Payment metadata - transaction references. Full payment processing is handled by our payment provider.

• Communication preferences - opt-in status for merchant communications.

We do not intentionally collect special category data (such as health or biometric data) or data about children under 16.

4. Why We Process Your Data and Our Legal Basis

We process personal data for the following main purposes:

• To operate and deliver the platform - including processing orders, handling payments, and managing merchant accounts. Legal basis: contract performance (Art. 6(1)(b) GDPR).

• To manage business listings (Spotlight) - publishing and synchronising your business profile across directories and managing reviews. Legal basis: contract performance and legitimate interests.

• To send newsletters and marketing - only with your opt-in consent. Legal basis: consent (Art. 6(1)(a) GDPR). You can unsubscribe at any time.

• For B2B sales outreach - to business contacts in the food and beverage sector. Legal basis: legitimate interests. You can opt out at any time.

• For analytics and platform improvement - using aggregated, anonymised data. Non-essential analytics cookies require your consent. Legal basis: consent or legitimate interests.

• For security and fraud prevention - protecting the platform and our users. Legal basis: legitimate interests and legal obligation.

• To comply with legal obligations - such as tax and accounting requirements. Legal basis: legal obligation (Art. 6(1)(c) GDPR).

5. Who We Share Your Data With

We share personal data only as necessary to deliver our services. We work with trusted service providers in the following categories, all engaged under data protection agreements:

• Payment and financial services providers - for payment processing, payouts, and merchant KYC/KYB verification.

• Cloud infrastructure and hosting providers - for storing and processing platform data.

• Logistics and delivery providers - for fulfilling orders and shipments.

• Business directory and review platforms - for publishing and managing your business listings (Spotlight).

• AI and analytics tools - for platform performance monitoring and AI-assisted features such as review response suggestions.

• Email and communication tools - for transactional and marketing communications.

• Security and fraud prevention tools - for DDoS protection, vulnerability scanning, and web security.

A full list of named processors and sub-processors, including their locations and data transfer safeguards, is set out in our Data Processing Agreement at poweredbysous.com/legal/dpa.

We do not sell your personal data. We do not allow third parties to market their products directly to you through our platform without your consent.

6. International Transfers

Some of our service providers are located outside the European Economic Area (EEA), primarily in the United States. Where we transfer personal data outside the EEA, we ensure appropriate safeguards are in place - typically Standard Contractual Clauses (SCCs) approved by the European Commission, or, where applicable, the EU-US Data Privacy Framework adequacy decision. Details of the transfer safeguards for each provider are set out in the full Privacy Policy.

7. Google User Data

Where a merchant connects a Google account to our Spotlight service, we access Google Analytics metrics via Google OAuth, on a read-only basis and limited to the scope the merchant authorises.

We use this data solely to provide visibility, search, and performance insights within the Merchant Portal.

We use this data solely to provide and improve these merchant-facing features. We do not sell Google user data, use it for advertising, or use it to train or improve generalised artificial intelligence or machine learning models. A merchant can revoke our access at any time through their Google account settings.

SOUS's use and transfer of information received from Google APIs adheres to the Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), including the Limited Use requirements.

8. How We Protect Your Data

We maintain appropriate technical and organisational measures to protect personal data against unauthorised access, loss, or misuse. These include:

• Encryption - data is encrypted in transit using TLS 1.2 or higher, and sensitive data is encrypted at rest using AES-256.

• Access controls - role-based access limits personal data to authorised personnel on a need-to-know basis; credentials are managed via a secrets manager, and access is logged and reviewed.

• Infrastructure security - our platform runs on Google Cloud with DDoS mitigation and a web application firewall; inbound requests are validated to prevent forged events.

• Monitoring and response - access is centrally logged, systems are continuously scanned for vulnerabilities, and we maintain an incident response process with breach notification.

No method of transmission or storage is completely secure, but we review our security practices on an ongoing basis. Where we become aware of a personal data breach, we notify affected parties and the relevant supervisory authority as required by law.

9. How Long We Keep Your Data

• Website enquiries and demo records: up to 24 months after last contact, or earlier on request.

• Merchant account data: for the duration of the contract and 7 years thereafter (statutory accounting and tax obligations).

• End-customer order and transaction data: 7 years (tax and consumer law obligations).

• Analytics data: 14 months (rolling).

• Marketing subscriptions: until you unsubscribe. We retain suppression records indefinitely to honour opt-outs.

10. Your Rights

Under the GDPR, you have the right to:

• Access the personal data we hold about you.

• Rectification of inaccurate or incomplete data.

• Erasure of your data in certain circumstances.

• Restriction of processing in certain circumstances.

• Data portability for data you have provided to us, where processing is based on consent or contract.

• Object to processing based on legitimate interests, including direct marketing (which is an absolute right).

• Withdraw consent at any time, where processing is based on consent.

To exercise any of these rights, contact us at [email protected]. We will respond within one month.

You also have the right to lodge a complaint with the Dutch Data Protection Authority (Autoriteit Persoonsgegevens) at www.autoriteitpersoonsgegevens.nl, or with your local supervisory authority if you are based in another EU member state or the UK.

11. Cookies

We use cookies and similar technologies on our website. Strictly necessary cookies (required for the website to function, including payment security cookies) are used without your consent. Non-essential cookies - such as analytics cookies - are only activated with your prior consent. You can manage your preferences at any time via the Cookie Settings link in our website footer.

12. Changes to This Notice

We may update this notice from time to time. The date at the top shows when it was last revised. Material changes will be highlighted on our website and, where appropriate, communicated directly to merchants and registered users.

13. Contact Us

For any questions about this notice or how we use your data:

Email: [email protected]
Post: Acroya B.V. (SOUS), Vijzelstraat 77A, 1017 HG Amsterdam, The Netherlands
Website: www.poweredbysous.com

Nederlands

Acroya B.V. handelend als SOUS | Laatste update: juli 2026

Versie 1.2 | Volledig privacybeleid beschikbaar op: poweredbysous.com/privacy/full

Deze verklaring legt uit hoe SOUS uw persoonsgegevens verzamelt en gebruikt. Ze is van toepassing op bezoekers van onze website, merchants die het SOUS-platform gebruiken, en eindklanten die bestellen via een SOUS-webshop. Een volledig privacybeleid met technische en juridische details is beschikbaar op poweredbysous.com/privacy/full.

1. Wie zijn wij

SOUS is een handelsnaam van Acroya B.V., een in Nederland gevestigde onderneming. Wij zijn de verwerkingsverantwoordelijke voor persoonsgegevens die worden verwerkt in verband met onze website en platformdiensten.

2. Voor wie geldt deze verklaring

Deze verklaring is van toepassing op drie groepen:

• Websitebezoekers - iedereen die poweredbysous.com bezoekt, een demo aanvraagt, zich inschrijft voor onze nieuwsbrief of online een abonnement afsluit.

• Merchants - horecaondernemers die het SOUS Merchant Portal gebruiken, inclusief onze Spotlight-dienst voor vermeldingsbeheer.

• Eindklanten - consumenten die een bestelling plaatsen via de SOUS-webshop van een merchant.

Wanneer SOUS eindklantgegevens verwerkt namens een merchant, is de merchant de verwerkingsverantwoordelijke voor die gegevens en treedt SOUS op als verwerker op basis van een verwerkersovereenkomst (DPA).

3. Welke gegevens wij verzamelen

Websitebezoekers

• Contactgegevens die u invult (naam, e-mail, bedrijf, telefoon) via een formulier of bij het boeken van een demo.

• Abonnements- en factureringsgegevens bij een online aankoop. Betaalkaartverwerking verloopt via onze betalingsdienstaanbieder - wij slaan geen kaartnummers op.

• Gebruiks- en apparaatgegevens automatisch verzameld: IP-adres, browsertype, bezochte pagina's en vergelijkbare technische gegevens.

Merchants

• Bedrijfsidentiteits- en KYC-gegevens verzameld bij onboarding (handelsnaam, adres, btw-nummer, KvK-nummer en identiteitsverificatie via onze betalingsdienstaanbieder).

• Platform- en configuratiegegevens, inclusief productcatalogi, prijzen, logistieke instellingen en financiële gegevens.

• Bedrijfsvermeldingsgegevens voor Spotlight-abonnees: uw bedrijfsprofiel (naam, adres, openingstijden, menu's, afbeeldingen) gepubliceerd op directories zoals Google Maps, Apple Maps en TripAdvisor.

Eindklanten

• Bestelgegevens - naam, bezorgadres, inhoud van de bestelling, bezorgvoorkeuren en bestelstatus.

• Betalingsmetadata - transactiereferenties. Volledige betalingsverwerking verloopt via onze betalingsdienstaanbieder.

• Communicatievoorkeuren - opt-instatus voor berichten van de merchant.

Wij verzamelen niet opzettelijk bijzondere categorieën persoonsgegevens (zoals gezondheids- of biometrische gegevens) of gegevens van kinderen onder de 16 jaar.

4. Waarom wij uw gegevens verwerken en onze rechtsgrond

Wij verwerken persoonsgegevens voor de volgende hoofddoeleinden:

• Uitvoering en levering van het platform - inclusief het verwerken van bestellingen, betalingen en merchantaccounts. Rechtsgrond: uitvoering van een overeenkomst (art. 6 lid 1 sub b AVG).

• Beheer van bedrijfsvermeldingen (Spotlight) - publiceren en synchroniseren van uw bedrijfsprofiel en reviewbeheer. Rechtsgrond: uitvoering van een overeenkomst en gerechtvaardigde belangen.

• Verzenden van nieuwsbrieven en marketing - uitsluitend met uw uitdrukkelijke toestemming. Rechtsgrond: toestemming (art. 6 lid 1 sub a AVG). U kunt zich op elk moment uitschrijven.

• B2B-salescontact - met zakelijke contacten in de horeca. Rechtsgrond: gerechtvaardigde belangen. U kunt zich op elk moment afmelden.

• Analyses en platformverbetering - op basis van geaggregeerde, geanonimiseerde gegevens. Niet-essentiële analysecookies vereisen uw toestemming. Rechtsgrond: toestemming of gerechtvaardigde belangen.

• Beveiliging en fraudepreventie - bescherming van het platform en onze gebruikers. Rechtsgrond: gerechtvaardigde belangen en wettelijke verplichting.

• Naleving van wettelijke verplichtingen - zoals fiscale en boekhoudkundige verplichtingen. Rechtsgrond: wettelijke verplichting (art. 6 lid 1 sub c AVG).

5. Met wie wij uw gegevens delen

Wij delen persoonsgegevens uitsluitend voor zover noodzakelijk voor onze dienstverlening. Wij werken samen met betrouwbare dienstverleners in de volgende categorieën, allen gebonden aan verwerkersovereenkomsten:

• Betalings- en financiële dienstverleners - voor betalingsverwerking, uitbetalingen en KYC/KYB-verificatie van merchants.

• Cloud-infrastructuur- en hostingproviders - voor de opslag en verwerking van platformgegevens.

• Logistieke dienstverleners en bezorgpartners - voor de afhandeling van bestellingen en leveringen.

• Bedrijfsdirectories en reviewplatforms - voor het publiceren en beheren van uw bedrijfsvermeldingen (Spotlight).

• AI- en analysetools - voor platformmonitoring en AI-ondersteunde functies, zoals suggesties voor reviewreacties.

• E-mail- en communicatietools - voor transactionele en marketingcommunicatie.

• Beveiligings- en fraudepreventietools - voor DDoS-bescherming, kwetsbaarheidsscans en webbeveiliging.

Een volledige lijst van genoemde verwerkers en subverwerkers, inclusief hun vestigingsplaats en gegevensoverdrachtsgaranties, is opgenomen in onze Verwerkersovereenkomst op poweredbysous.com/legal/dpa.

Wij verkopen uw persoonsgegevens niet. Wij staan derden niet toe hun producten rechtstreeks bij u onder de aandacht te brengen via ons platform zonder uw toestemming.

6. Internationale doorgifte

Sommige van onze dienstverleners zijn gevestigd buiten de Europese Economische Ruimte (EER), voornamelijk in de Verenigde Staten. Bij doorgifte van persoonsgegevens buiten de EER zorgen wij voor passende waarborgen - doorgaans Standaard Contractuele Clausules (SCC's) goedgekeurd door de Europese Commissie, of de adequaatheidsbeslissing voor het EU-VS Dataprivacykader. Details van de waarborgen per aanbieder zijn opgenomen in het volledig privacybeleid.

7. Google-gebruikersgegevens

Wanneer een merchant een Google-account koppelt aan onze Spotlight-dienst, benaderen wij Google Analytics-statistieken via Google OAuth, uitsluitend met leestoegang en beperkt tot de reikwijdte (scope) die de merchant autoriseert. Wij gebruiken deze gegevens uitsluitend om inzichten in zichtbaarheid, zoekresultaten en prestaties te bieden binnen het Merchant Portal.

Wij verkopen Google-gebruikersgegevens niet, gebruiken deze niet voor advertenties en gebruiken deze niet om algemene kunstmatige-intelligentie- of machine-learning-modellen te trainen of te verbeteren. Een merchant kan onze toegang op elk moment intrekken via de instellingen van zijn Google-account.

Het gebruik en de doorgifte door SOUS van informatie die is ontvangen via Google API's voldoet aan het Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), inclusief de Limited Use-vereisten.

8. Hoe Wij Uw Gegevens Beschermen

Wij treffen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen ongeoorloofde toegang, verlies of misbruik. Deze omvatten onder meer:

• Versleuteling - gegevens worden tijdens de overdracht versleuteld met TLS 1.2 of hoger, en gevoelige gegevens worden in rust versleuteld met AES-256.

• Toegangsbeheer - op rollen gebaseerde toegang (RBAC) beperkt de toegang tot persoonsgegevens tot geautoriseerd personeel op need-to-know-basis; inloggegevens worden beheerd via een secrets manager en toegang wordt gelogd en gecontroleerd.

• Infrastructuurbeveiliging - ons platform draait op Google Cloud met DDoS-mitigatie en een web application firewall; inkomende verzoeken worden gevalideerd om vervalste events te voorkomen.

• Monitoring en respons - toegang wordt centraal gelogd, systemen worden doorlopend gescand op kwetsbaarheden, en wij onderhouden een incidentresponsproces met datalekmelding.

Geen enkele methode van overdracht of opslag is volledig veilig, maar wij evalueren onze beveiligingsmaatregelen doorlopend. Wanneer wij kennisnemen van een inbreuk in verband met persoonsgegevens, stellen wij de betrokkenen en de relevante toezichthoudende autoriteit op de hoogte voor zover de wet dit vereist.

9. Hoe lang wij uw gegevens bewaren

• Websitevragen en demo-aanvragen: tot 24 maanden na het laatste contact, of eerder op verzoek.

• Merchantaccountgegevens: gedurende de looptijd van de overeenkomst en 7 jaar daarna (wettelijke boekhoud- en belastingverplichtingen).

• Bestel- en transactiegegevens van eindklanten: 7 jaar (belasting- en consumentenwetgeving).

• Analysegegevens: 14 maanden (voortschrijdend).

• Marketingabonnementen: totdat u zich uitschrijft. Wij bewaren afmeldingsregistraties voor onbepaalde tijd om uw opt-out te respecteren.

10. Uw rechten

Op grond van de AVG heeft u het recht op:

• Inzage in de persoonsgegevens die wij van u verwerken.

• Rectificatie van onjuiste of onvolledige gegevens.

• Verwijdering van uw gegevens in bepaalde omstandigheden.

• Beperking van de verwerking in bepaalde omstandigheden.

• Gegevensoverdraagbaarheid voor gegevens die u aan ons heeft verstrekt, wanneer de verwerking gebaseerd is op toestemming of een overeenkomst.

• Bezwaar tegen verwerking op basis van gerechtvaardigde belangen, inclusief direct marketing (absoluut recht).

• Intrekking van toestemming op elk moment, wanneer de verwerking gebaseerd is op toestemming.

Om uw rechten uit te oefenen, neemt u contact op via [email protected]. Wij reageren binnen één maand.

U heeft ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via www.autoriteitpersoonsgegevens.nl, of bij de toezichthoudende autoriteit in uw lidstaat.

11. Cookies

Wij gebruiken cookies en vergelijkbare technologieën op onze website. Strikt noodzakelijke cookies (vereist voor de werking van de website, waaronder betalingsbeveiligingscookies) worden geplaatst zonder uw toestemming. Niet-essentiële cookies - zoals analysecookies - worden uitsluitend geactiveerd met uw voorafgaande toestemming. U kunt uw voorkeuren op elk moment beheren via de Cookieinstellingen-link in de voettekst van onze website.

12. Wijzigingen in deze verklaring

Wij kunnen deze verklaring van tijd tot tijd bijwerken. De datum bovenaan geeft aan wanneer deze voor het laatst is herzien. Wezenlijke wijzigingen worden op onze website aangekondigd en, waar van toepassing, rechtstreeks aan merchants en geregistreerde gebruikers gecommuniceerd.

13. Contact

Voor vragen over deze verklaring of het gebruik van uw gegevens:

E-mail: [email protected]
Post: Acroya B.V. (SOUS), Vijzelstraat 77A, 1017 HG Amsterdam, Nederland
Website: www.poweredbysous.com