Zizrs databehandleraftale

Ikrafttrædelsesdato: 21. maj 2026
Senest opdateret: 21. maj 2026
Tilgængelig på: https://www.zizr.com/legal/da/dpa

Om oversættelsen: Dette dokument er en dansk oversættelse af den engelske original. I tilfælde af uoverensstemmelse mellem oversættelsen og den engelske version har den engelske version forrang.

Denne databehandleraftale (»Databehandleraftalen«) indgås mellem:

Zizr AS (»Databehandleren«, »Zizr«, »vi«, »os«, »vores«), organisationsnummer 922 796 556, med hjemsted på adressen Dronningens gate 38, 7011 Trondheim, Norge,

og

Forhandleren (»den Dataansvarlige«, »Forhandleren«, »du«, »din«), som har installeret Zizrs Shopify-app og accepteret Zizrs forhandleraftale sammen med denne Databehandleraftale på installationstidspunktet.

Denne Databehandleraftale udgør en integreret del af Zizrs forhandleraftale (»Hovedaftalen«) og regulerer Zizrs behandling af Personoplysninger på vegne af Forhandleren i overensstemmelse med artikel 28 i databeskyttelsesforordningen (forordning (EU) 2016/679, »GDPR«), den britiske databeskyttelsesforordning (»UK GDPR«), den norske lov om behandling af personoplysninger (personopplysningsloven) og, hvor det er relevant, de standardkontraktbestemmelser, som Europa-Kommissionen har vedtaget (gennemførelsesafgørelse (EU) 2021/914, »SCC’erne«).

Ved at installere Zizr-appen fra Shopify App Store og gå videre fra acceptskærmbilledet i appen anerkender Forhandleren at have læst og forstået denne Databehandleraftale og accepteret at være bundet af den. Zizr opbevarer dokumentation for accepten, herunder den accepterede version, tidsstemplet og Shopify-butikkens identifikator.

Indholdsfortegnelse

1. Definitioner
2. Roller og anvendelsesområde
3. Behandlingsinstrukser
4. Behandlingens formål, karakter og varighed
5. Kategorier af registrerede og personoplysninger
6. Behandlingssikkerhed
7. Fortrolighed
8. Underdatabehandlere
9. Overførsler til tredjelande
10. Opbevaring og sletning af data
11. Bistand i forbindelse med de registreredes rettigheder
12. Underretning om brud på persondatasikkerheden
13. Ret til revision og inspektion
14. Bistand til overholdelse
15. Forbudt brug
16. Ansvar
17. Løbetid og ophør
18. Øvrige bestemmelser
19. Lovvalg og værneting

Bilag I: Beskrivelse af behandlingen
Bilag II: Tekniske og organisatoriske foranstaltninger
Bilag III: Liste over underdatabehandlere
Bilag IV: Standardkontraktbestemmelser (indarbejdet ved henvisning)
Bilag V: Procedure for hændelseshåndtering

1. Definitioner

Begreber, der er defineret i GDPR, har samme betydning i denne Databehandleraftale, herunder »Personoplysninger«, »Behandling«, »Dataansvarlig«, »Databehandler«, »Registreret«, »Brud på persondatasikkerheden« og »Tilsynsmyndighed«.

I denne Databehandleraftale gælder følgende definitioner:

• »Gældende databeskyttelseslovgivning« betyder GDPR, UK GDPR, den norske lov om behandling af personoplysninger (personopplysningsloven), den schweiziske forbundslov om databeskyttelse (FADP), California Consumer Privacy Act som ændret ved California Privacy Rights Act (samlet »CCPA/CPRA«) og enhver anden lovgivning om privatliv eller databeskyttelse, der finder anvendelse på en Parts behandling af Personoplysninger i henhold til Hovedaftalen.
• »Tjenesterne« betyder Zizrs Shopify-app og tilknyttede tjenester, som Zizr leverer til Forhandleren i henhold til Hovedaftalen.
• »Underdatabehandler« betyder enhver tredjepart, som Zizr gør brug af til at behandle Personoplysninger på vegne af Forhandleren i forbindelse med Tjenesterne.
• »SCC’erne« betyder de standardkontraktbestemmelser, der er fastsat i Kommissionens gennemførelsesafgørelse (EU) 2021/914 af 4. juni 2021.
• »Slutkunde« eller »Slutbruger« betyder en kunde hos eller en besøgende i Forhandlerens Shopify-butik, hvis Personoplysninger kan blive behandlet via Tjenesterne.
• »Kundepersonoplysninger« betyder Personoplysninger, som Zizr behandler på vegne af Forhandleren i henhold til denne Databehandleraftale, bortset fra Personoplysninger, som Zizr behandler som selvstændig dataansvarlig som anført i punkt 2.

2. Roller og anvendelsesområde

2.1 Udpegelse som Databehandler

Forhandleren udpeger Zizr som Databehandler til at behandle Kundepersonoplysninger på Forhandlerens vegne i forbindelse med Tjenesterne. Udpegelsen sker i overensstemmelse med artikel 28, stk. 1, i GDPR. Hver Part skal overholde sine respektive forpligtelser i henhold til Gældende databeskyttelseslovgivning.

2.2 Denne Databehandleraftales anvendelsesområde

Denne Databehandleraftale gælder kun for Zizrs behandling af Kundepersonoplysninger som Databehandler på Forhandlerens vegne. Den gælder ikke for:

• Zizrs behandling af Personoplysninger i egenskab af selvstændig dataansvarlig med henblik på sikkerhed og forebyggelse af svig, forbedring af algoritmer ved brug af pseudonymiserede eller aggregerede data samt benchmarking og infrastrukturforskning og -udvikling.
• Zizrs behandling af Slutkunders Personoplysninger i forbindelse med den valgfrie Zizr ID-konto, hvor Zizr optræder som dataansvarlig i henhold til særskilte brugsvilkår og en særskilt privatlivsmeddelelse for Zizr ID, som aftales direkte mellem Zizr og Slutkunden.
• Zizrs behandling af Forhandlerens egne Personoplysninger (for eksempel kontaktoplysninger, faktureringsoplysninger) med henblik på at administrere det kommercielle forhold i henhold til Hovedaftalen, hvilket er reguleret af vores Privatlivspolitik.

2.3 Rangorden

I tilfælde af uoverensstemmelse mellem denne Databehandleraftale og Hovedaftalen har denne Databehandleraftale forrang for så vidt angår behandlingen af Kundepersonoplysninger. I tilfælde af uoverensstemmelse mellem denne Databehandleraftale og de SCC’er, der er indarbejdet i bilag IV, har SCC’erne forrang for så vidt angår overførsler til tredjelande, der er omfattet af kapitel V i GDPR.

3. Behandlingsinstrukser

3.1 Dokumenterede instrukser

Zizr må kun behandle Kundepersonoplysninger efter dokumenteret instruks fra Forhandleren, hvilket omfatter:

• Denne Databehandleraftale og eventuelle ændringer af den.
• Hovedaftalen.
• Forhandlerens konfiguration af Tjenesterne via Zizr-administrationen eller Shopify-administrationen (herunder hvilke funktioner der er aktiveret, hvilke API-adgange (scopes) der er givet, og hvilke underdatabehandlere Forhandleren har konfigureret).
• Eventuelle skriftlige instrukser, som Forhandleren sender til privacy@zizr.com.
• Instrukser, der er nødvendige for at overholde gældende lovgivning, i hvilket tilfælde Zizr, hvor det er tilladt, skal underrette Forhandleren om dette retlige krav, inden behandlingen påbegyndes.

Dette opfylder kravene i artikel 28, stk. 3, litra a, i GDPR og bestemmelse 8.1, litra a, i SCC’erne.

3.2 Underretning om ulovlige eller umulige instrukser

Zizr skal uden ugrundet ophold underrette Forhandleren, hvis Zizr vurderer, at en instruks er i strid med Gældende databeskyttelseslovgivning, eller hvis Zizr ikke kan efterkomme en instruks på grund af tekniske begrænsninger eller retlige krav. Zizr er ikke forpligtet til aktivt at overvåge Forhandlerens overholdelse af Gældende databeskyttelseslovgivning.

3.3 Den Dataansvarliges forpligtelser

Forhandleren indestår for, at:

• Forhandlerens instrukser til Zizr er i overensstemmelse med Gældende databeskyttelseslovgivning.
• Forhandleren har fastlagt og dokumenteret det lovlige behandlingsgrundlag for alle de behandlingsaktiviteter, som Forhandleren benytter Zizr til.
• Forhandleren har indhentet og vil opretholde alle nødvendige samtykker, rettigheder og tilladelser og har givet Slutkunder alle nødvendige meddelelser for at muliggøre Zizrs behandling på Forhandlerens vegne.
• De Kundepersonoplysninger, der stilles til rådighed for Zizr, er korrekte og lovligt indhentet.

4. Behandlingens formål, karakter og varighed

4.1 Genstand

Levering af Tjenesterne via Zizrs Shopify-app, herunder størrelsesanbefalinger, FitBack, returanalyse, normalisering af produktdata og tilknyttede funktioner som aktiveret af Forhandleren.

4.2 Formål

Kundepersonoplysninger må udelukkende behandles til følgende formål:

• At levere Tjenesterne til Forhandleren.
• At besvare anmodninger fra registrerede, som Forhandleren har videresendt.
• At forbedre, fejlsøge og sikre Tjenesterne, hvor det er strengt nødvendigt, og i overensstemmelse med denne Databehandleraftale.
• At overholde gældende retlige forpligtelser.

Dette opfylder kravene i artikel 28, stk. 3, i GDPR og bestemmelse 8.1 i SCC’erne.

4.3 Behandlingens karakter

Behandlingsaktiviteterne omfatter:

• Indsamling af Kundepersonoplysninger via Shopify Admin API, Shopify Customer Account API, Shopify-webhooks og webshopintegrationer (Web Pixels, Theme App Extensions, Customer Privacy API).
• Opbevaring i Microsoft Azure-infrastruktur i Frankrig (regionen France Central).
• Brug af pseudonymisering (for eksempel hashing af identifikatorer), hvor det er praktisk muligt.
• Fremsendelse af afledte resultater (såsom anbefalinger og analyser) tilbage til Forhandleren via Shopify eller Zizr-administrationen.
• Sletning efter instruks eller ved modtagelse af Shopifys privatlivswebhooks.

4.4 Varighed

Behandlingen fortsætter, så længe Forhandleren har et aktivt Zizr-abonnement. Kundepersonoplysninger slettes eller tilbageleveres ved ophør som anført i punkt 10.

Yderligere oplysninger, der kræves i henhold til artikel 28, stk. 3, i GDPR og bilag I.B til SCC’erne, fremgår af bilag I.

5. Kategorier af registrerede og personoplysninger

5.1 Kategorier af registrerede

• Slutkunder i Forhandlerens Shopify-butik.
• Forhandlerens personale, der er bemyndiget til at benytte Tjenesterne på vegne af Forhandleren.

5.2 Kategorier af personoplysninger

De kategorier af Personoplysninger, der behandles, fremgår af punkt 3 i vores Privatlivspolitik og er sammenfattet i bilag I. De omfatter:

• Ordre- og transaktionsdata.
• Begrænsede kundedata om Slutkunder (navn, e-mailadresse eller hashet e-mailadresse, telefonnummer, leverings- og faktureringsadresser, Shopify-kundeidentifikator).
• Produkt- og størrelsesdata.
• Adfærds- og funktionssignaler.
• Forhandler- og butiksdata.

5.3 Særlige kategorier af personoplysninger

Zizr hverken kræver, anmoder om eller behandler bevidst særlige kategorier af personoplysninger i henhold til artikel 9 i GDPR. Hvis sådanne oplysninger utilsigtet bliver givet (for eksempel i fritekstnoter), sletter eller minimerer Zizr dem.

6. Behandlingssikkerhed

6.1 Tekniske og organisatoriske foranstaltninger

Zizr skal gennemføre og opretholde passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til risikoen, som krævet i artikel 32 i GDPR. Disse foranstaltninger er nærmere beskrevet i bilag II og omfatter kryptering under transmission og i hvile, adgangskontrol, pseudonymisering, sårbarhedsstyring, medarbejdernes fortrolighedsforpligtelser og hændelseshåndtering.

6.2 Sikkerhedsopdateringer

Zizr gennemgår og opdaterer med jævne mellemrum sine sikkerhedsforanstaltninger og kan opdatere bilag II i overensstemmelse med punkt 18.5 (Ændringer). Opdateringer vil ikke væsentligt forringe sikkerhedsniveauet.

Dette opfylder kravene i artikel 28, stk. 3, litra c, og artikel 32 i GDPR samt bestemmelse 8.6 i SCC’erne.

7. Fortrolighed

Zizr skal sikre, at alt personale, der er autoriseret til at behandle Kundepersonoplysninger:

• Har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt.
• Modtager passende uddannelse i databeskyttelse og sikkerhed.
• Kun får adgang ud fra et arbejdsbetinget behov i overensstemmelse med princippet om mindst mulige rettigheder.

Fortrolighedsforpligtelserne består efter ansættelsesforholdets eller tilknytningens ophør og består efter denne Databehandleraftales ophør.

Dette opfylder kravene i artikel 28, stk. 3, litra b, i GDPR og bestemmelse 8.3 i SCC’erne.

8. Underdatabehandlere

8.1 Generel tilladelse

Forhandleren giver Zizr generel skriftlig tilladelse til at gøre brug af Underdatabehandlere på de betingelser, der fremgår af dette punkt. Dette gennemfører alternativ 2 i bestemmelse 9, litra a, i SCC’erne.

8.2 Aktuelle underdatabehandlere

Den aktuelle liste over Underdatabehandlere, herunder deres placering og behandlingsaktiviteter, fremgår af bilag III og af Zizrs websted på https://www.zizr.com/legal/da/subprocessors. Zizr holder denne liste ajour.

8.3 Tilføjelse eller udskiftning af Underdatabehandlere

Zizr skal underrette Forhandleren mindst 15 dage, før der tilføjes eller udskiftes en Underdatabehandler, som behandler Kundepersonoplysninger. Underretningen gives ved meddelelse i appen eller pr. e-mail til den administratorkontakt, der er registreret for Forhandleren. Underretningen vil indeholde den nye Underdatabehandlers navn, placering og behandlingsaktiviteter.

8.4 Ret til indsigelse

Forhandleren kan inden for varslingsperioden gøre indsigelse af rimelige grunde, der vedrører databeskyttelse. Hvis der ikke inden for rimelig tid kan findes en løsning på indsigelsen, kan Forhandleren opsige den berørte del af Tjenesterne i overensstemmelse med punkt 17. Fortsat brug af Tjenesterne efter varslingsperioden udgør accept af den nye Underdatabehandler.

8.5 Forpligtelser vedrørende Underdatabehandlere

Zizr skal:

• Foretage en passende due diligence-undersøgelse af hver Underdatabehandler, inden denne tages i brug, og herved prioritere leverandører med anerkendte certificeringer (såsom SOC 2, ISO 27001, ISO 27018).
• Indgå en skriftlig aftale med hver Underdatabehandler, som pålægger databeskyttelsesforpligtelser, der yder mindst samme beskyttelse som dem, der følger af denne Databehandleraftale.
• Fortsat være fuldt ansvarlig over for Forhandleren for sine Underdatabehandleres handlinger og undladelser i samme omfang, som Zizr ville være ansvarlig, hvis Zizr selv leverede tjenesterne, med forbehold for de ansvarsbegrænsninger, der fremgår af Hovedaftalen.

Hvis en Underdatabehandler behandler Personoplysninger uden for EØS, Storbritannien eller Schweiz, skal Zizr sikre, at der foreligger passende overførselsgrundlag i overensstemmelse med punkt 9.

Dette opfylder kravene i artikel 28, stk. 2 og 4, i GDPR og bestemmelse 9 i SCC’erne.

9. Overførsler til tredjelande

9.1 Primært behandlingssted

Zizrs primære behandlingssted ligger inden for Det Europæiske Økonomiske Samarbejdsområde (Microsoft Azure, France Central). Nogle Underdatabehandlere behandler Personoplysninger uden for EØS som angivet i bilag III.

9.2 Overførselsgrundlag

Ved overførsler af Kundepersonoplysninger ud af EØS, Storbritannien eller Schweiz til lande, der ikke er anerkendt som lande med et tilstrækkeligt beskyttelsesniveau, baserer Zizr sig på:

• De SCC’er, der er indarbejdet i bilag IV (modul to: dataansvarlig til databehandler, eller modul tre: databehandler til underdatabehandler, alt efter hvad der er relevant).
• For overførsler fra Storbritannien: det britiske UK International Data Transfer Addendum til SCC’erne.
• For overførsler fra Schweiz: SCC’erne som tilpasset for Schweiz.
• Hvor sådanne findes, yderligere ordninger for tilstrækkeligt beskyttelsesniveau såsom EU-U.S. Data Privacy Framework for Underdatabehandlere, der deltager i sådanne ordninger.

9.3 Gennemførelse af SCC’erne

Parterne anvender modul to (dataansvarlig til databehandler) i SCC’erne i bilag IV med følgende valg:

• Bestemmelse 7 (Tillægsbestemmelse): Medtaget.
• Bestemmelse 9 (Brug af underdatabehandlere): Alternativ 2, Generel skriftlig tilladelse.
• Bestemmelse 11 (Klageadgang): Den valgfrie tekst om et uafhængigt organ er ikke medtaget.
• Bestemmelse 17 (Gældende lovgivning): Alternativ 1, lovgivningen i Irland.
• Bestemmelse 18 (Valg af værneting og kompetent domstol): Domstolene i Irland.

Norsk ret (og Oslo tingrett som kompetent domstol) gælder generelt for denne Databehandleraftale, men selve SCC’erne er underlagt irsk ret, som krævet i bestemmelse 17 i SCC’erne, fordi Norge er med i EØS, men ikke er en EU-medlemsstat.

9.4 Supplerende foranstaltninger

Ud over SCC’erne anvender Zizr supplerende beskyttelsesforanstaltninger:

• Pseudonymisering ved hashing af identifikatorer, hvor det er praktisk muligt.
• Kryptering under transmission og i hvile.
• Geografisk begrænsning af behandlingen til kendte regioner, der er angivet i bilag III.
• Adgangskontrol for personale, uddannelse og fortrolighedsaftaler.
• Dokumenterede konsekvensanalyser af overførsler (Transfer Impact Assessment, TIA), som opbevares i Zizrs interne fortegnelser.

10. Opbevaring og sletning af data

10.1 Tilbagelevering eller sletning ved ophør

Ved Tjenesternes ophør eller udløb skal Zizr efter Forhandlerens valg:

• Tilbagelevere alle Kundepersonoplysninger, der er behandlet på vegne af Forhandleren, i et almindeligt anvendt, maskinlæsbart format, eller
• Slette eller anonymisere sådanne oplysninger, medmindre opbevaring kræves i henhold til gældende lovgivning.

Hvis Forhandleren afinstallerer Zizr-appen i Shopify, betragter Zizr dette som en instruks om sletning og efterkommer Shopifys webhook shop/redact ved at slette eller anonymisere butiksspecifikke Kundepersonoplysninger inden for 30 dage, medmindre opbevaring kræves i henhold til gældende lovgivning.

Dette opfylder kravene i artikel 28, stk. 3, litra g, i GDPR og bestemmelse 8.5 i SCC’erne.

10.2 Sletning, mens tjenesten er aktiv

Forhandleren kan til enhver tid anmode om sletning af bestemte Kundepersonoplysninger via Zizr-administrationen, ved at udløse Shopifys webhook customers/redact eller ved skriftlig anmodning til privacy@zizr.com. Zizr skal gennemføre sletningen inden for 30 dage efter modtagelsen, medmindre opbevaring kræves i henhold til gældende lovgivning, eller medmindre sletningen ikke er teknisk mulig, i hvilket tilfælde Zizr uden ugrundet ophold skal underrette Forhandleren.

10.3 Undtagelser vedrørende opbevaring

Uanset ovenstående kan Zizr opbevare Kundepersonoplysninger:

• Som krævet i henhold til gældende lovgivning, herunder norsk bogføringslovgivning (bokføringsloven, mindst fem år for regnskabsmateriale).
• I standardbackups, omfattet af fortroligheds- og sikkerhedsforpligtelserne i denne Databehandleraftale, indtil backuppen roteres ud som led i den almindelige drift.
• I aggregeret eller afidentificeret form, hvor genidentifikation ikke med rimelighed er mulig.

11. Bistand i forbindelse med de registreredes rettigheder

11.1 Pligt til at bistå

Under hensyntagen til behandlingens karakter skal Zizr yde Forhandleren rimelig bistand til opfyldelse af Forhandlerens forpligtelser til at besvare anmodninger fra registrerede vedrørende:

• Indsigt i Personoplysninger (artikel 15 i GDPR).
• Berigtigelse (artikel 16 i GDPR).
• Sletning (artikel 17 i GDPR).
• Begrænsning af behandling (artikel 18 i GDPR).
• Dataportabilitet (artikel 20 i GDPR).
• Indsigelse mod behandling (artikel 21 i GDPR).
• Rettigheder i forbindelse med automatiske individuelle afgørelser, hvor det er relevant (artikel 22 i GDPR).

Dette opfylder kravene i artikel 28, stk. 3, litra e, i GDPR og bestemmelse 8.4 i SCC’erne.

11.2 Direkte anmodninger til Zizr

Hvis Zizr modtager en anmodning direkte fra en Slutkunde vedrørende Kundepersonoplysninger, der behandles på vegne af Forhandleren, skal Zizr uden ugrundet ophold videresende anmodningen til Forhandleren og må ikke svare direkte, medmindre Forhandleren skriftligt har givet instruks herom, eller det kræves i henhold til gældende lovgivning.

11.3 Integration med Shopifys webhooks

Zizrs primære mekanisme til håndtering af Slutkunders anmodninger om udøvelse af rettigheder er Shopifys privatlivswebhooks (customers/data_request, customers/redact, shop/redact), som krævet i Shopifys platformskrav. Zizr arbejder med en svarfrist på 30 dage for disse webhooks eller kortere, hvor det kræves ved lov.

12. Underretning om brud på persondatasikkerheden

12.1 Frist for underretning

Zizr skal underrette Forhandleren uden unødig forsinkelse og under alle omstændigheder inden for 72 timer efter at være blevet bekendt med et Brud på persondatasikkerheden, der berører Kundepersonoplysninger. Underretningen sendes pr. e-mail til den administratorkontakt, der er registreret for Forhandleren, og, hvor det er muligt, ved meddelelse i appen.

12.2 Underretningens indhold

Den første underretning skal, i det omfang oplysningerne er kendt på det pågældende tidspunkt, indeholde:

• En beskrivelse af bruddet, herunder hændelsens art, kategorierne af berørte registrerede og det anslåede antal registreringer.
• De sandsynlige konsekvenser af bruddet.
• De foranstaltninger, der er truffet eller planlagt for at håndtere bruddet og begrænse mulige skadevirkninger.
• Kontaktoplysninger til opfølgning.

Zizr skal holde Forhandleren opdateret, efterhånden som yderligere oplysninger bliver tilgængelige.

12.3 Samarbejde

Zizr skal samarbejde med Forhandleren om opfyldelsen af eventuelle regulatoriske underretningspligter i henhold til artikel 33 og 34 i GDPR, dokumentere alle brud uanset underretningskrav og gennemføre foranstaltninger for at forhindre gentagelse.

12.4 Undtagelser

Zizr er ikke forpligtet til at underrette Forhandleren om rutinemæssige sikkerhedsbegivenheder, der ikke kompromitterer Personoplysninger, herunder, men ikke begrænset til, mislykkede loginforsøg, portscanninger, forsøg på indtrængen, der ikke er lykkedes, samt interne test eller sikkerhedsøvelser.

Den detaljerede Procedure for hændelseshåndtering fremgår af bilag V.

Dette opfylder kravene i artikel 28, stk. 3, litra f, og artikel 33 i GDPR samt bestemmelse 8.6 i SCC’erne.

13. Ret til revision og inspektion

13.1 Ret til revision

Forhandleren har ret til at foretage revision af Zizrs overholdelse af denne Databehandleraftale, som krævet i artikel 28, stk. 3, litra h, i GDPR og bestemmelse 8.9 i SCC’erne. Zizr skal stille alle oplysninger til rådighed, der med rimelighed er nødvendige for at påvise overholdelse.

13.2 Fremgangsmåde ved revision

Revisioner skal:

• Være begrænset til én gang pr. kalenderår, medmindre der er sket et Brud på persondatasikkerheden, eller medmindre en Tilsynsmyndighed kræver hyppigere revisioner.
• Gennemføres med et skriftligt varsel på mindst 30 dage til privacy@zizr.com og inden for normal arbejdstid.
• Udføres på en måde, der ikke forstyrrer Zizrs drift urimeligt.
• Være omfattet af fortrolighedsforpligtelser mellem Parterne.
• Være begrænset i omfang til forhold, der med rimelighed er nødvendige for at vurdere Zizrs overholdelse af denne Databehandleraftale.

13.3 Revisionsrapporter som alternativ

Zizr kan opfylde Forhandlerens ret til revision ved efter skriftlig anmodning at fremlægge sine til enhver tid gældende revisionsrapporter fra tredjeparter (såsom ISO 27001, SOC 2 Type II eller tilsvarende), hvor sådanne foreligger, samt yderligere oplysninger, der er nødvendige for at påvise overholdelse af artikel 28 i GDPR. Forhandleren kan kun udøve retten til revision på stedet, hvis sådanne rapporter ikke giver tilstrækkelige oplysninger til at verificere overholdelsen, eller hvis det kræves af en Tilsynsmyndighed.

14. Bistand til overholdelse

Under hensyntagen til behandlingens karakter og de oplysninger, der er tilgængelige for Zizr, skal Zizr efter anmodning bistå Forhandleren med:

• At gennemføre passende tekniske og organisatoriske sikkerhedsforanstaltninger (artikel 32 i GDPR).
• At underrette Tilsynsmyndigheder og Registrerede i tilfælde af et Brud på persondatasikkerheden (artikel 33 og 34 i GDPR).
• At gennemføre konsekvensanalyser vedrørende databeskyttelse (artikel 35 i GDPR).
• At høre Tilsynsmyndigheder forud for behandlingen, hvor det er påkrævet (artikel 36 i GDPR).

Bistand i henhold til dette punkt ydes uden yderligere omkostninger ved rimelige anmodninger. For bistand, der kræver betydelige ressourcer hos Zizr (mere end 8 persontimer pr. anmodning), kan Zizr opkræve et rimeligt honorar efter sin til enhver tid gældende sats for konsulentydelser, med forbehold for forudgående varsel og Forhandlerens godkendelse.

Dette opfylder kravene i artikel 28, stk. 3, litra f, i GDPR og bestemmelse 8.6, 8.7, 10, litra b, og 10, litra c, i SCC’erne.

15. Forbudt brug

Zizr må ikke:

• Bruge Kundepersonoplysninger til egne formål uden for rammerne af denne Databehandleraftale, bortset fra hvad der udtrykkeligt fremgår af punkt 2.2 (aktiviteter som selvstændig dataansvarlig).
• »Sælge« eller »dele« Kundepersonoplysninger, som disse begreber er defineret i CCPA/CPRA eller tilsvarende privatlivslovgivning i amerikanske delstater.
• Bruge Kundepersonoplysninger til adfærdsbaseret annoncering på tværs af kontekster, medmindre Forhandleren udtrykkeligt har konfigureret en sådan behandling og har tilvejebragt de påkrævede samtykker og fravalgsmekanismer.
• Kombinere Kundepersonoplysninger fra Forhandleren med Personoplysninger fra andre kilder på en måde, der er i strid med Gældende databeskyttelseslovgivning.

16. Ansvar

Ansvar i henhold til denne Databehandleraftale er omfattet af de ansvarsbegrænsninger, der fremgår af Hovedaftalen. Intet i denne Databehandleraftale begrænser en Parts ansvar i henhold til artikel 82 og 83 i GDPR eller i henhold til SCC’erne, hvor gældende ufravigelig lovgivning ikke tillader begrænsning.

17. Løbetid og ophør

17.1 Løbetid

Denne Databehandleraftale træder i kraft ved installation af Zizr-appen og accept af Hovedaftalen og gælder i hele Tjenesternes løbetid.

17.2 Ophør

Denne Databehandleraftales ophør er reguleret af Hovedaftalens bestemmelser om ophør. Ved ophør gælder forpligtelserne til sletning af data i punkt 10.

17.3 Fortsat gyldighed

Følgende forpligtelser består efter ophør: sletning af data (punkt 10), fortrolighed (punkt 7), ansvar (punkt 16), lovvalg (punkt 19) og alle andre bestemmelser, der efter deres natur bør bestå.

18. Øvrige bestemmelser

18.1 Meddelelser

Meddelelser i henhold til denne Databehandleraftale skal sendes til:

• For Zizr: privacy@zizr.com.
• For Forhandleren: den administrator-e-mailadresse, der er registreret for Forhandleren i Shopify-administrationen, eller en anden adresse, som Forhandleren skriftligt har meddelt Zizr.

18.2 Hele aftalen

Denne Databehandleraftale udgør sammen med Hovedaftalen og dens bilag hele aftalen mellem Parterne vedrørende behandlingen af Kundepersonoplysninger og træder i stedet for alle tidligere vilkår om databehandling.

18.3 Delvis ugyldighed

Hvis en bestemmelse i denne Databehandleraftale kendes ugyldig eller ikke kan håndhæves, forbliver de øvrige bestemmelser fuldt ud gyldige og i kraft, og den ugyldige bestemmelse skal erstattes af en gyldig bestemmelse, der kommer den oprindelige hensigt nærmest.

18.4 Ingen begunstigede tredjeparter

Bortset fra hvad der udtrykkeligt er fastsat for Registrerede i henhold til SCC’erne, skaber denne Databehandleraftale ingen rettigheder for tredjeparter.

18.5 Ændringer

Zizr kan fra tid til anden ændre denne Databehandleraftale. Væsentlige ændringer, der påvirker Forhandlerens rettigheder negativt, meddeles ved meddelelse i appen eller pr. e-mail mindst 15 dage, før de træder i kraft. Uvæsentlige ændringer (såsom præciseringer, rettelser af stavefejl eller opdateringer af listen over underdatabehandlere i bilag III) kan foretages uden forudgående varsel. Fortsat brug af Tjenesterne, efter at en væsentlig ændring er trådt i kraft, udgør accept.

19. Lovvalg og værneting

Denne Databehandleraftale er underlagt norsk ret. Parterne vedtager Oslo tingrett som eneværneting for enhver tvist, der udspringer af eller har forbindelse med denne Databehandleraftale, med forbehold for ufravigelig forbruger- eller databeskyttelseslovgivning, der henlægger kompetencen til et andet værneting.

De SCC’er, der er indarbejdet i bilag IV, er underlagt irsk ret og de irske domstoles kompetence, som krævet i bestemmelse 17 i SCC’erne.

Bilag I: Beskrivelse af behandlingen

A. Parter

Dataeksportør (Dataansvarlig): Forhandleren, som har installeret Zizr-appen og accepteret denne Databehandleraftale.

Dataimportør (Databehandler):
Zizr AS
Dronningens gate 38, 7011 Trondheim, Norge
Organisationsnummer: 922 796 556
Kontakt vedrørende privatliv: privacy@zizr.com
Privatlivsansvarlig: Petter Hellevik, CEO

B. Beskrivelse af behandlingen

1. Kategorier af registrerede. Slutkunder i Forhandlerens Shopify-butik og Forhandlerens bemyndigede personale.

2. Kategorier af Personoplysninger. Som anført i punkt 3 i Zizrs privatlivspolitik, herunder ordre- og transaktionsdata, begrænsede kundedata om Slutkunder (navn, e-mailadresse eller hashet e-mailadresse, telefonnummer, leverings- og faktureringsadresser, Shopify-kundeidentifikator), produkt- og størrelsesdata, adfærds- og funktionssignaler samt forhandler- og butiksdata.

3. Følsomme oplysninger (særlige kategorier). Ingen behandles bevidst.

4. Behandlingens karakter og formål. Levering af Zizrs Tjenester, herunder størrelsesanbefalinger, FitBack, returanalyse, normalisering af produktdata og tilknyttede funktioner som aktiveret af Forhandleren.

5. Varighed. Så længe Forhandleren har et aktivt abonnement, med tillæg af opbevaringsperioderne i punkt 10.

6. Hyppighed. Løbende, i realtid under leveringen af Tjenesterne.

7. Overførsler til tredjelande. Som angivet i bilag III. SCC’erne er indarbejdet i bilag IV.

C. Kompetent tilsynsmyndighed

Datatilsynet (det norske datatilsyn), datatilsynet.no, Postboks 458 Sentrum, 0105 Oslo, Norge.

Bilag II: Tekniske og organisatoriske foranstaltninger

Zizr gennemfører følgende tekniske og organisatoriske foranstaltninger for at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og Tjenester i overensstemmelse med artikel 32 i GDPR.

1. Adgangskontrol og autentificering

• Rollebaseret adgangskontrol (RBAC) for interne systemer og databaser.
• Unikke brugerkonti til alle teammedlemmer. Delte logins er forbudt.
• Multifaktorautentificering håndhæves for administrativ adgang.
• Adgangsrettigheder gennemgås med jævne mellemrum og inddrages uden ugrundet ophold ved rolleskift eller fratræden.
• Princippet om mindst mulige rettigheder håndhæves på tværs af alle systemer.

2. Datakryptering

• Alle data under transmission beskyttes med TLS 1.2 eller højere.
• Data i hvile krypteres med AES-256 eller tilsvarende i Azure-infrastrukturen.
• Adgangen til kryptografiske nøgler er begrænset, overvåges og logges.

3. Infrastruktur- og hostingsikkerhed

• Primær infrastruktur på Microsoft Azure (France Central), som har certificeringer, herunder ISO 27001 og SOC 2.
• Regelmæssige infrastrukturopdateringer og patching af sårbarheder.
• Sikkerhedsopdateringer udrulles på grundlag af leverandørernes sikkerhedsmeddelelser eller interne risikovurderinger.
• Netværkssegmentering og firewallbeskyttelse.

4. Sikkerhed i databehandlingen

• Personlige identifikatorer (såsom e-mailadresser) hashes, hvor det er praktisk muligt, inden yderligere behandling eller inden fremsendelse til tredjeparter.
• Dataminimering anvendes som standard. Der indsamles kun data, som er nødvendige for det angivne formål.
• Pseudonymisering anvendes, hvor det er praktisk muligt.

5. Organisatorisk sikkerhed

• Alt personale er bundet af fortrolighedsaftaler og politikker for adgangskontrol.
• Personalet modtager introduktionsuddannelse og tilbagevendende uddannelse i databeskyttelse og sikkerhed.
• Adgangen til Kundepersonoplysninger er begrænset til autoriseret personale ud fra et arbejdsbetinget behov.
• Der foretages baggrundstjek af personale med adgang til produktionssystemer, hvor loven tillader det.

6. Detektion og håndtering af hændelser

• Logning og overvågning via Datadog.
• Dokumenteret Procedure for hændelseshåndtering (bilag V).
• Brud på persondatasikkerheden meddeles Forhandleren i overensstemmelse med punkt 12 i Databehandleraftalen.
• Evalueringer efter hændelser og analyser af grundårsager dokumenteres for at forhindre gentagelse.

7. Adskillelse og minimering af data

• Der indsamles og behandles kun data, som er nødvendige for Tjenesterne.
• Forhandlerspecifikke data holdes logisk adskilt i multi-tenant-systemer.
• Test- og produktionsdata holdes strengt adskilt i overensstemmelse med Shopifys niveau 2-krav til beskyttede kundedata.

8. Betalingssikkerhed

• Al betalingsbehandling håndteres via Shopify Billing API. Zizr behandler, opbevarer eller tilgår ikke betalingskortoplysninger.

9. Backup og gendannelse

• Azure-infrastrukturen sikrer redundans og holdbarhed for lagrede data.
• Backups krypteres i hvile i overensstemmelse med Shopifys niveau 2-krav.
• Dokumenterede procedurer for backup og gendannelse specifikt for Kundepersonoplysninger med periodiske gendannelsestest.

10. Sårbarhedsstyring

• Regelmæssig sårbarhedsscanning og overvågning af afhængigheder.
• Proces for koordineret offentliggørelse af eksternt indberettede sårbarheder (privacy@zizr.com).

11. Tilsyn med Underdatabehandlere

• Alle Underdatabehandlere gennemgår en sikkerhedsvurdering, inden de tages i brug.
• Underdatabehandlere med anerkendte certificeringer (SOC 2, ISO 27001, ISO 27018 eller tilsvarende) foretrækkes.
• Aftalerne med Underdatabehandlere pålægger forpligtelser, der yder mindst samme beskyttelse som denne Databehandleraftale.

Bilag III: Liste over underdatabehandlere

Følgende Underdatabehandlere anvendes pr. ikrafttrædelsesdatoen for denne Databehandleraftale. Den aktuelle liste vedligeholdes på https://www.zizr.com/legal/da/subprocessors og opdateres i overensstemmelse med punkt 8 i denne Databehandleraftale.

OpenAI-inferens udføres via Azure OpenAI Service inden for Microsoft Azure-tenanten og udgør ikke en særskilt overførsel til OpenAI Inc.

Bilag IV: Standardkontraktbestemmelser

De standardkontraktbestemmelser, der er fastsat i Kommissionens gennemførelsesafgørelse (EU) 2021/914 af 4. juni 2021, er indarbejdet i denne Databehandleraftale ved henvisning med følgende valg:

• Valgt modul: Modul to (dataansvarlig til databehandler). Modul tre (databehandler til underdatabehandler) gælder mellem Zizr og enhver Underdatabehandler uden for EØS.
• Bestemmelse 7 (Tillægsbestemmelse): Medtaget.
• Bestemmelse 9 (Underdatabehandlere): Alternativ 2, Generel skriftlig tilladelse, med 15 dages varsel.
• Bestemmelse 11 (Klageadgang): Den valgfrie tekst om et uafhængigt tvistbilæggelsesorgan er ikke valgt.
• Bestemmelse 17 (Gældende lovgivning): Alternativ 1, irsk ret.
• Bestemmelse 18 (Valg af værneting og kompetent domstol): Domstolene i Irland.

De oplysninger, der kræves i bilagene til SCC’erne (beskrivelse af overførslen, tekniske og organisatoriske foranstaltninger, liste over Underdatabehandlere), fremgår af bilag I, II og III til denne Databehandleraftale.

For overførsler fra Storbritannien er UK International Data Transfer Addendum, der er udstedt af det britiske Information Commissioner’s Office, indarbejdet, og det supplerer SCC’erne.

For overførsler fra Schweiz er SCC’erne tilpasset, så de finder anvendelse i henhold til schweizisk databeskyttelsesret, med den schweiziske forbundskommissær for databeskyttelse og informationsfrihed (FDPIC) som kompetent tilsynsmyndighed.

Bilag V: Procedure for hændelseshåndtering

Dette bilag fastlægger Zizrs procedure for at opdage, reagere på og underrette om Brud på persondatasikkerheden og andre sikkerhedshændelser, der berører Kundepersonoplysninger.

1. Definitioner

• Sikkerhedshændelse. Enhver begivenhed, der kan kompromittere fortroligheden, integriteten eller tilgængeligheden af Zizrs systemer eller Kundepersonoplysninger.
• Brud på persondatasikkerheden. En Sikkerhedshændelse, der har ført til, eller som med rimelig sandsynlighed har ført til, hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til Kundepersonoplysninger, som defineret i artikel 4, nr. 12, i GDPR.

2. Klassificering af alvorsgrad

3. Intern eskalering

Når en Sikkerhedshændelse opdages:

1. Det teammedlem, der opdager hændelsen, rapporterer den straks til den privatlivsansvarlige og den vagthavende udviklingsleder.
2. Den privatlivsansvarlige klassificerer alvorsgraden og iværksætter håndteringen.
3. Ved P1- og P2-hændelser underrettes CEO’en og den tekniske leder inden for 1 time efter klassificeringen.
4. Ved P1-hændelser indkaldes et hændelseshåndteringsteam inden for 4 timer.

4. Inddæmning og skadesbegrænsning

Ved P1- og P2-hændelser tager håndteringsteamet straks skridt til at:

• Inddæmme hændelsen (for eksempel ved at tilbagekalde loginoplysninger, isolere berørte systemer, rotere nøgler).
• Sikre beviser og logfiler.
• Fastlægge omfanget af berørte data og registrerede.
• Gennemføre afbødende foranstaltninger for at begrænse yderligere konsekvenser.

5. Underretning af Forhandlere

Ved P1-hændelser, der udgør et Brud på persondatasikkerheden, som berører Kundepersonoplysninger, underretter Zizr de berørte Forhandlere:

• Uden unødig forsinkelse og under alle omstændigheder inden for 72 timer efter, at Zizr er blevet bekendt med bruddet.
• Pr. e-mail til Forhandlerens administratorkontakt og, hvor det er muligt, ved meddelelse i appen.
• Med det indhold, der kræves i henhold til punkt 12.2 i Databehandleraftalen.

Ved P2-hændelser underretter Zizr Forhandlere, hvis og når det fastslås, at Kundepersonoplysninger kan være blevet berørt.

6. Dokumentation

Alle Sikkerhedshændelser dokumenteres, herunder:

• Dato og tidspunkt for opdagelse og klassificering.
• Beskrivelse af hændelsen.
• Berørte systemer og data.
• Tiltag, der er iværksat for at inddæmme, afbøde og løse hændelsen.
• Afgivne underretninger (til hvem, hvornår og med hvilket indhold).
• Analyse af grundårsagen (for P1-, P2- og P3-hændelser).
• Erfaringer og afhjælpende tiltag.

Dokumentationen opbevares i mindst tre år.

7. Evaluering efter hændelser

Ved P1- og P2-hændelser gennemføres en evaluering efter hændelsen inden for 30 dage efter, at hændelsen er løst. Evalueringen identificerer systemiske forbedringer, opdateringer af tekniske og organisatoriske foranstaltninger og eventuelle nødvendige opdateringer af denne procedure.

8. Samarbejde med Forhandlere og myndigheder

Zizr samarbejder med Forhandlere og Tilsynsmyndigheder om opfyldelsen af underretnings- og undersøgelsesforpligtelser som anført i punkt 14 i Databehandleraftalen.

Accept af dokumentet. Ved at installere Zizr-appen fra Shopify App Store og gå videre fra acceptskærmbilledet i appen anerkender Forhandleren at have læst og forstået denne Databehandleraftale, herunder alle bilag, og accepteret at være bundet af den.