Zizrs databehandleravtale

Ikrafttredelsesdato: 21. mai 2026
Sist oppdatert: 21. mai 2026
Tilgjengelig på: https://www.zizr.com/legal/no/dpa

Om oversettelsen: Dette dokumentet er en norsk oversettelse av den engelske originalen. Ved motstrid mellom oversettelsen og den engelske versjonen går den engelske versjonen foran.

Denne databehandleravtalen («Databehandleravtalen») inngås mellom:

Zizr AS («Databehandler», «Zizr», «vi», «oss», «vår»), organisasjonsnummer 922 796 556, med forretningsadresse Dronningens gate 38, 7011 Trondheim, Norge,

og

Forhandleren («Behandlingsansvarlig», «Forhandleren», «du», «din») som har installert Zizrs Shopify-app og akseptert Zizrs forhandleravtale, sammen med denne Databehandleravtalen, på installasjonstidspunktet.

Denne Databehandleravtalen utgjør en integrert del av Zizrs forhandleravtale («Hovedavtalen») og regulerer Zizrs behandling av Personopplysninger på vegne av Forhandleren i samsvar med artikkel 28 i personvernforordningen (forordning (EU) 2016/679, «GDPR»), den britiske personvernforordningen («UK GDPR»), personopplysningsloven og, der det er relevant, standard personvernbestemmelser vedtatt av Europakommisjonen (gjennomføringsbeslutning (EU) 2021/914, «SCC-ene»).

Ved å installere Zizr-appen fra Shopify App Store og gå videre fra akseptskjermbildet i appen erkjenner Forhandleren at Forhandleren har lest, forstått og akseptert å være bundet av denne Databehandleravtalen. Zizr fører oversikt over aksepter, herunder hvilken versjon som ble akseptert, tidsstempelet og Shopify-butikkens identifikator.

Innholdsfortegnelse

1. Definisjoner
2. Roller og virkeområde
3. Instrukser for behandlingen
4. Behandlingens formål, art og varighet
5. Kategorier av registrerte og personopplysninger
6. Sikkerhet ved behandlingen
7. Konfidensialitet
8. Underdatabehandlere
9. Overføring til tredjeland
10. Oppbevaring og sletting av data
11. Bistand med de registrertes rettigheter
12. Varsling om brudd på personopplysningssikkerheten
13. Rett til revisjon og inspeksjon
14. Bistand til etterlevelse
15. Forbudt bruk
16. Ansvar
17. Varighet og opphør
18. Øvrige bestemmelser
19. Lovvalg og verneting

Vedlegg I: Beskrivelse av behandlingen
Vedlegg II: Tekniske og organisatoriske tiltak
Vedlegg III: Liste over underdatabehandlere
Vedlegg IV: Standard personvernbestemmelser (inntatt ved henvisning)
Vedlegg V: Prosedyre for hendelseshåndtering

1. Definisjoner

Begreper som er definert i GDPR, har samme betydning i denne Databehandleravtalen, herunder «Personopplysninger», «Behandling», «Behandlingsansvarlig», «Databehandler», «Registrert», «Brudd på personopplysningssikkerheten» og «Tilsynsmyndighet».

I denne Databehandleravtalen gjelder følgende definisjoner:

• «Gjeldende personvernlovgivning» betyr GDPR, UK GDPR, personopplysningsloven, den sveitsiske føderale personvernloven (FADP), California Consumer Privacy Act som endret ved California Privacy Rights Act (samlet «CCPA/CPRA») og all annen lovgivning om personvern eller databeskyttelse som gjelder for en av Partenes behandling av Personopplysninger etter Hovedavtalen.
• «Tjenestene» betyr Zizrs Shopify-app og tilknyttede tjenester som Zizr leverer til Forhandleren etter Hovedavtalen.
• «Underdatabehandler» betyr enhver tredjepart som Zizr engasjerer for å behandle Personopplysninger på vegne av Forhandleren i forbindelse med Tjenestene.
• «SCC-ene» betyr de standard personvernbestemmelsene som er fastsatt i Kommisjonens gjennomføringsbeslutning (EU) 2021/914 av 4. juni 2021.
• «Sluttkunde» eller «Sluttbruker» betyr en kunde eller besøkende i Forhandlerens Shopify-butikk som kan få sine Personopplysninger behandlet via Tjenestene.
• «Kundepersonopplysninger» betyr Personopplysninger som Zizr behandler på vegne av Forhandleren etter denne Databehandleravtalen, med unntak av Personopplysninger som Zizr behandler som selvstendig behandlingsansvarlig som angitt i punkt 2.

2. Roller og virkeområde

2.1 Utpeking som Databehandler

Forhandleren utpeker Zizr som Databehandler for å behandle Kundepersonopplysninger på Forhandlerens vegne i forbindelse med Tjenestene. Utpekingen skjer i samsvar med GDPR artikkel 28 nr. 1. Hver Part skal oppfylle sine respektive forpliktelser etter Gjeldende personvernlovgivning.

2.2 Virkeområdet for denne Databehandleravtalen

Denne Databehandleravtalen gjelder bare for Zizrs behandling av Kundepersonopplysninger som Databehandler på Forhandlerens vegne. Den gjelder ikke for:

• Zizrs behandling av Personopplysninger i egenskap av selvstendig behandlingsansvarlig for sikkerhet og svindelforebygging, forbedring av algoritmer ved bruk av pseudonymiserte eller aggregerte data, og benchmarking og infrastrukturrelatert forskning og utvikling.
• Zizrs behandling av Sluttkunders Personopplysninger i forbindelse med den valgfrie Zizr ID-kontoen, der Zizr opptrer som behandlingsansvarlig etter separate bruksvilkår og en separat personvernerklæring for Zizr ID som avtales direkte mellom Zizr og Sluttkunden.
• Zizrs behandling av Forhandlerens egne Personopplysninger (for eksempel kontaktopplysninger, faktureringsinformasjon) med det formål å forvalte det kommersielle forholdet etter Hovedavtalen, som reguleres av vår personvernerklæring.

2.3 Rangordning

Ved motstrid mellom denne Databehandleravtalen og Hovedavtalen skal denne Databehandleravtalen gå foran når det gjelder behandlingen av Kundepersonopplysninger. Ved motstrid mellom denne Databehandleravtalen og SCC-ene som er inntatt i vedlegg IV, skal SCC-ene gå foran når det gjelder overføringer til tredjeland som er omfattet av GDPR kapittel V.

3. Instrukser for behandlingen

3.1 Dokumenterte instrukser

Zizr skal bare behandle Kundepersonopplysninger etter dokumenterte instrukser fra Forhandleren, som omfatter:

• Denne Databehandleravtalen og eventuelle endringer i den.
• Hovedavtalen.
• Forhandlerens konfigurasjon av Tjenestene gjennom Zizr-administrasjonen eller Shopify-administrasjonen (herunder hvilke funksjoner som er aktivert, hvilke tilganger (scopes) som er gitt, og hvilke underdatabehandlere som er konfigurert av Forhandleren).
• Eventuelle skriftlige instrukser som Forhandleren sender til privacy@zizr.com.
• Instrukser som er nødvendige for å overholde gjeldende rett, i hvilket tilfelle Zizr, der det er tillatt, skal informere Forhandleren om dette rettslige kravet før behandlingen begynner.

Dette oppfyller kravene i GDPR artikkel 28 nr. 3 bokstav a og klausul 8.1 bokstav a i SCC-ene.

3.2 Varsling om ulovlige eller umulige instrukser

Zizr skal snarest varsle Forhandleren dersom Zizr mener at en instruks er i strid med Gjeldende personvernlovgivning, eller dersom Zizr ikke kan etterkomme en instruks på grunn av tekniske begrensninger eller rettslige krav. Zizr har ingen plikt til aktivt å overvåke Forhandlerens etterlevelse av Gjeldende personvernlovgivning.

3.3 Den Behandlingsansvarliges forpliktelser

Forhandleren garanterer at:

• Forhandlerens instrukser til Zizr er i samsvar med Gjeldende personvernlovgivning.
• Forhandleren har fastsatt og dokumentert behandlingsgrunnlaget for alle behandlingsaktiviteter som Forhandleren engasjerer Zizr til.
• Forhandleren har innhentet og vil opprettholde alle nødvendige samtykker, rettigheter og tillatelser, og har gitt Sluttkunder all nødvendig informasjon, for å muliggjøre Zizrs behandling på Forhandlerens vegne.
• Kundepersonopplysningene som gjøres tilgjengelige for Zizr, er korrekte og lovlig innhentet.

4. Behandlingens formål, art og varighet

4.1 Behandlingens gjenstand

Levering av Tjenestene gjennom Zizrs Shopify-app, herunder størrelsesanbefalinger, FitBack, returanalyse, normalisering av produktdata og tilknyttede funksjoner slik de er aktivert av Forhandleren.

4.2 Formål

Kundepersonopplysninger skal utelukkende behandles for følgende formål:

• Å levere Tjenestene til Forhandleren.
• Å besvare anmodninger fra registrerte som er videresendt av Forhandleren.
• Å forbedre, feilsøke og sikre Tjenestene der det er strengt nødvendig og i samsvar med denne Databehandleravtalen.
• Å overholde gjeldende rettslige forpliktelser.

Dette oppfyller kravene i GDPR artikkel 28 nr. 3 og klausul 8.1 i SCC-ene.

4.3 Behandlingens art

Behandlingsaktivitetene omfatter:

• Innsamling av Kundepersonopplysninger via Shopify Admin API, Shopify Customer Account API, Shopifys webhooks og integrasjoner i nettbutikken (Web Pixels, Theme App Extensions, Customer Privacy API).
• Lagring i Microsoft Azure-infrastruktur i Frankrike (regionen France Central).
• Bruk av pseudonymisering (for eksempel hashing av identifikatorer) der det er praktisk mulig.
• Oversendelse av avledede resultater (som anbefalinger og analyser) tilbake til Forhandleren via Shopify eller Zizr-administrasjonen.
• Sletting etter instruks eller ved mottak av Shopifys personvern-webhooks.

4.4 Varighet

Behandlingen pågår så lenge Forhandlerens Zizr-abonnement er aktivt. Kundepersonopplysninger slettes eller tilbakeleveres ved opphør som angitt i punkt 10.

Ytterligere informasjon som kreves etter GDPR artikkel 28 nr. 3 og vedlegg I.B til SCC-ene, er angitt i vedlegg I.

5. Kategorier av registrerte og personopplysninger

5.1 Kategorier av registrerte

• Sluttkunder i Forhandlerens Shopify-butikk.
• Forhandlerens personell som er autorisert til å samhandle med Tjenestene på vegne av Forhandleren.

5.2 Kategorier av personopplysninger

Kategoriene av Personopplysninger som behandles, er angitt i punkt 3 i vår personvernerklæring og oppsummert i vedlegg I. De omfatter:

• Ordre- og transaksjonsdata.
• Begrensede kundedata om Sluttkunder (navn, e-postadresse eller hashet e-postadresse, telefonnummer, leverings- og fakturaadresser, Shopify-kundeidentifikator).
• Produkt- og størrelsesdata.
• Atferds- og funksjonssignaler.
• Forhandler- og butikkdata.

5.3 Særlige kategorier av personopplysninger

Zizr krever ikke, ber ikke om og behandler ikke med hensikt særlige kategorier av personopplysninger etter GDPR artikkel 9. Dersom slike opplysninger utilsiktet blir gitt (for eksempel i fritekstnotater), vil Zizr slette eller minimere dem.

6. Sikkerhet ved behandlingen

6.1 Tekniske og organisatoriske tiltak

Zizr skal gjennomføre og opprettholde egnede tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er egnet med hensyn til risikoen, slik GDPR artikkel 32 krever. Disse tiltakene er nærmere beskrevet i vedlegg II og omfatter kryptering under overføring og ved lagring, tilgangskontroll, pseudonymisering, sårbarhetshåndtering, konfidensialitetsforpliktelser for ansatte og hendelseshåndtering.

6.2 Sikkerhetsoppdateringer

Zizr gjennomgår og oppdaterer sine sikkerhetstiltak med jevne mellomrom og kan oppdatere vedlegg II i samsvar med punkt 18.5 (Endringer). Oppdateringer vil ikke vesentlig redusere sikkerhetsnivået.

Dette oppfyller kravene i GDPR artikkel 28 nr. 3 bokstav c og artikkel 32 samt klausul 8.6 i SCC-ene.

7. Konfidensialitet

Zizr skal sørge for at alt personell som er autorisert til å behandle Kundepersonopplysninger:

• Har forpliktet seg til konfidensialitet eller er underlagt en egnet lovfestet taushetsplikt.
• Får egnet opplæring i personvern og sikkerhet.
• Bare gis tilgang ut fra tjenstlig behov, i samsvar med prinsippet om minste privilegium.

Konfidensialitetsforpliktelsene består etter at ansettelsesforholdet eller oppdraget er avsluttet, og etter at denne Databehandleravtalen er opphørt.

Dette oppfyller kravene i GDPR artikkel 28 nr. 3 bokstav b og klausul 8.3 i SCC-ene.

8. Underdatabehandlere

8.1 Generell tillatelse

Forhandleren gir Zizr generell skriftlig tillatelse til å engasjere Underdatabehandlere, med forbehold for kravene i dette punktet. Dette gjennomfører alternativ 2 i klausul 9 bokstav a i SCC-ene.

8.2 Gjeldende underdatabehandlere

Den gjeldende listen over Underdatabehandlere, herunder deres lokalisering og behandlingsaktiviteter, er angitt i vedlegg III og på Zizrs nettsted på https://www.zizr.com/legal/no/subprocessors. Zizr holder denne listen oppdatert.

8.3 Tilføyelse eller utskifting av Underdatabehandlere

Zizr skal varsle Forhandleren minst 15 dager før en Underdatabehandler som behandler Kundepersonopplysninger, legges til eller skiftes ut. Varslingen vil skje ved varsel i appen eller per e-post til Forhandlerens registrerte administratorkontakt. Varselet vil inneholde den nye Underdatabehandlerens navn, lokalisering og behandlingsaktiviteter.

8.4 Innsigelsesrett

Forhandleren kan innen varslingsperioden fremsette innsigelse på rimelig grunnlag knyttet til personvern. Dersom innsigelsen ikke kan løses innen rimelig tid, kan Forhandleren si opp den berørte delen av Tjenestene i samsvar med punkt 17. Fortsatt bruk av Tjenestene etter varslingsperioden anses som aksept av den nye Underdatabehandleren.

8.5 Forpliktelser knyttet til Underdatabehandlere

Zizr skal:

• Gjennomføre en egnet aktsomhetsvurdering av hver Underdatabehandler før engasjementet, og prioritere leverandører med anerkjente sertifiseringer (som SOC 2, ISO 27001, ISO 27018).
• Inngå en skriftlig avtale med hver Underdatabehandler som pålegger personvernforpliktelser som ikke gir svakere beskyttelse enn dem som følger av denne Databehandleravtalen.
• Forbli fullt ut ansvarlig overfor Forhandleren for sine Underdatabehandleres handlinger og unnlatelser i samme utstrekning som Zizr ville vært ansvarlig dersom Zizr selv utførte tjenestene, med forbehold for ansvarsbegrensningene i Hovedavtalen.

Dersom en Underdatabehandler behandler Personopplysninger utenfor EØS, Storbritannia eller Sveits, skal Zizr sørge for at egnede overføringsgrunnlag er på plass i samsvar med punkt 9.

Dette oppfyller kravene i GDPR artikkel 28 nr. 2 og 4 og klausul 9 i SCC-ene.

9. Overføring til tredjeland

9.1 Primært behandlingssted

Zizrs primære behandlingssted ligger innenfor Det europeiske økonomiske samarbeidsområde (Microsoft Azure, France Central). Enkelte Underdatabehandlere behandler Personopplysninger utenfor EØS, slik det fremgår av vedlegg III.

9.2 Overføringsgrunnlag

For overføringer av Kundepersonopplysninger ut av EØS, Storbritannia eller Sveits til land som ikke er anerkjent for å sikre et tilstrekkelig beskyttelsesnivå, bygger Zizr på:

• SCC-ene som er inntatt i vedlegg IV (modul to: behandlingsansvarlig til databehandler, eller modul tre: databehandler til underdatabehandler, alt etter hva som er relevant).
• For overføringer fra Storbritannia: det britiske tillegget UK International Data Transfer Addendum til SCC-ene.
• For overføringer fra Sveits: SCC-ene slik de er tilpasset for Sveits.
• Der det er tilgjengelig, ytterligere adekvansrammeverk som EU-U.S. Data Privacy Framework, for Underdatabehandlere som deltar i slike rammeverk.

9.3 Gjennomføring av SCC-ene

Partene vedtar modul to (behandlingsansvarlig til databehandler) i SCC-ene i vedlegg IV, med følgende valg:

• Klausul 7 (tiltredelsesklausul): inkludert.
• Klausul 9 (bruk av Underdatabehandlere): alternativ 2, generell skriftlig tillatelse.
• Klausul 11 (klageadgang): valgfri tekst om uavhengig organ ikke inkludert.
• Klausul 17 (lovvalg): alternativ 1, irsk rett.
• Klausul 18 (verneting og jurisdiksjon): domstolene i Irland.

Norsk rett (med Oslo tingrett som kompetent domstol) gjelder for denne Databehandleravtalen i sin alminnelighet, men selve SCC-ene er underlagt irsk rett, slik klausul 17 i SCC-ene krever, fordi Norge er med i EØS, men ikke er en EU-medlemsstat.

9.4 Supplerende tiltak

I tillegg til SCC-ene anvender Zizr supplerende beskyttelsestiltak:

• Pseudonymisering gjennom hashing av identifikatorer der det er praktisk mulig.
• Kryptering under overføring og ved lagring.
• Geografisk begrensning av behandlingen til kjente regioner som er angitt i vedlegg III.
• Tilgangskontroll for personell, opplæring og konfidensialitetsavtaler.
• Dokumenterte vurderinger av overføringen (Transfer Impact Assessment, TIA), som oppbevares i Zizrs interne arkiver.

10. Oppbevaring og sletting av data

10.1 Tilbakelevering eller sletting ved opphør

Ved opphør eller utløp av Tjenestene skal Zizr, etter Forhandlerens valg:

• Tilbakelevere alle Kundepersonopplysninger som er behandlet på vegne av Forhandleren, i et alminnelig brukt, maskinlesbart format, eller
• Slette eller anonymisere slike data, med mindre oppbevaring er påkrevd etter gjeldende rett.

Dersom Forhandleren avinstallerer Zizr-appen i Shopify, behandler Zizr dette som en sletteinstruks og etterkommer Shopifys webhook shop/redact ved å slette eller anonymisere Kundepersonopplysninger knyttet til butikken innen 30 dager, med mindre oppbevaring er påkrevd etter gjeldende rett.

Dette oppfyller kravene i GDPR artikkel 28 nr. 3 bokstav g og klausul 8.5 i SCC-ene.

10.2 Sletting mens tjenesten er aktiv

Forhandleren kan når som helst be om sletting av bestemte Kundepersonopplysninger gjennom Zizr-administrasjonen, ved å utløse Shopifys webhook customers/redact eller ved skriftlig anmodning til privacy@zizr.com. Zizr skal fullføre slettingen innen 30 dager etter mottak, med mindre oppbevaring er påkrevd etter gjeldende rett, eller med mindre slettingen er teknisk ugjennomførbar, i hvilket tilfelle Zizr snarest skal informere Forhandleren.

10.3 Unntak for oppbevaring

Uavhengig av det ovenstående kan Zizr oppbevare Kundepersonopplysninger:

• Slik gjeldende rett krever, herunder norsk regnskapslovgivning (bokføringsloven, minst fem år for regnskapsmateriale).
• I ordinære sikkerhetskopier, underlagt konfidensialitets- og sikkerhetsforpliktelsene i denne Databehandleravtalen, inntil sikkerhetskopien roteres ut som ledd i den ordinære driften.
• I aggregert eller avidentifisert form som ikke med rimelighet gjør reidentifisering mulig.

11. Bistand med de registrertes rettigheter

11.1 Bistandsplikt

Idet det tas hensyn til behandlingens art, skal Zizr yte Forhandleren rimelig bistand til å oppfylle Forhandlerens forpliktelser til å besvare anmodninger fra registrerte som gjelder:

• Innsyn i Personopplysninger (GDPR artikkel 15).
• Retting (GDPR artikkel 16).
• Sletting (GDPR artikkel 17).
• Begrensning av behandling (GDPR artikkel 18).
• Dataportabilitet (GDPR artikkel 20).
• Rett til å protestere mot behandling (GDPR artikkel 21).
• Rettigheter knyttet til automatiserte individuelle avgjørelser, der det er relevant (GDPR artikkel 22).

Dette oppfyller kravene i GDPR artikkel 28 nr. 3 bokstav e og klausul 8.4 i SCC-ene.

11.2 Anmodninger direkte til Zizr

Dersom Zizr mottar en anmodning direkte fra en Sluttkunde som gjelder Kundepersonopplysninger som behandles på vegne av Forhandleren, skal Zizr snarest videresende anmodningen til Forhandleren og skal ikke svare direkte, med mindre Forhandleren har gitt skriftlig instruks om det eller gjeldende rett krever det.

11.3 Integrasjon med Shopifys webhooks

Zizrs primære mekanisme for å håndtere Sluttkunders anmodninger om utøvelse av rettigheter er Shopifys personvern-webhooks (customers/data_request, customers/redact, shop/redact), slik det følger av Shopifys plattformkrav. Zizr arbeider etter en svarfrist på 30 dager for disse webhookene, eller raskere der loven krever det.

12. Varsling om brudd på personopplysningssikkerheten

12.1 Varslingsfrist

Zizr skal varsle Forhandleren uten ugrunnet opphold, og under enhver omstendighet innen 72 timer, etter å ha fått kjennskap til et Brudd på personopplysningssikkerheten som berører Kundepersonopplysninger. Varselet vil bli levert per e-post til Forhandlerens registrerte administratorkontakt og, der det er mulig, ved varsel i appen.

12.2 Varselets innhold

Det første varselet skal, i den utstrekning det er kjent på det aktuelle tidspunktet, inneholde:

• En beskrivelse av bruddet, herunder typen hendelse, kategoriene av berørte registrerte og anslått antall registreringer.
• De sannsynlige konsekvensene av bruddet.
• Tiltak som er truffet eller planlagt for å håndtere bruddet og for å begrense mulig skade.
• Kontaktinformasjon for oppfølging.

Zizr skal oppdatere Forhandleren etter hvert som ytterligere informasjon blir tilgjengelig.

12.3 Samarbeid

Zizr skal samarbeide med Forhandleren om å oppfylle eventuelle regulatoriske varslingsplikter etter GDPR artikkel 33 og 34, dokumentere alle brudd uavhengig av varslingskrav og gjennomføre tiltak for å hindre gjentakelse.

12.4 Unntak

Zizr er ikke forpliktet til å varsle Forhandleren om rutinemessige sikkerhetsrelaterte hendelser som ikke kompromitterer Personopplysninger, herunder, men ikke begrenset til, mislykkede påloggingsforsøk, portskanninger, forsøk på inntrenging som ikke har lyktes, og intern testing eller sikkerhetsøvelser.

Den detaljerte prosedyren for hendelseshåndtering er angitt i vedlegg V.

Dette oppfyller kravene i GDPR artikkel 28 nr. 3 bokstav f og artikkel 33 samt klausul 8.6 i SCC-ene.

13. Rett til revisjon og inspeksjon

13.1 Revisjonsrett

Forhandleren har rett til å revidere Zizrs etterlevelse av denne Databehandleravtalen, slik GDPR artikkel 28 nr. 3 bokstav h og klausul 8.9 i SCC-ene krever. Zizr skal gi all informasjon som med rimelighet er nødvendig for å påvise etterlevelse.

13.2 Fremgangsmåte ved revisjon

Revisjoner skal:

• Være begrenset til én gang per kalenderår, med mindre det har inntruffet et Brudd på personopplysningssikkerheten, eller med mindre en Tilsynsmyndighet krever hyppigere revisjon.
• Gjennomføres med minst 30 dagers skriftlig varsel til privacy@zizr.com, innenfor normal arbeidstid.
• Utføres på en måte som ikke urimelig forstyrrer Zizrs drift.
• Være underlagt konfidensialitetsforpliktelser mellom Partene.
• Være begrenset i omfang til forhold som med rimelighet er nødvendige for å vurdere Zizrs etterlevelse av denne Databehandleravtalen.

13.3 Revisjonsrapporter som alternativ

Zizr kan oppfylle Forhandlerens revisjonsrett ved på skriftlig anmodning å fremlegge sine til enhver tid gjeldende revisjonsrapporter fra tredjeparter (som ISO 27001, SOC 2 Type II eller tilsvarende), der slike finnes, og ytterligere informasjon som er nødvendig for å påvise etterlevelse av GDPR artikkel 28. Forhandleren kan bare utøve retten til stedlig revisjon der slike rapporter ikke gir tilstrekkelig informasjon til å verifisere etterlevelse, eller der en Tilsynsmyndighet krever det.

14. Bistand til etterlevelse

Idet det tas hensyn til behandlingens art og den informasjonen som er tilgjengelig for Zizr, skal Zizr på anmodning bistå Forhandleren med å:

• Gjennomføre egnede tekniske og organisatoriske sikkerhetstiltak (GDPR artikkel 32).
• Varsle Tilsynsmyndigheter og Registrerte ved et Brudd på personopplysningssikkerheten (GDPR artikkel 33 og 34).
• Gjennomføre vurderinger av personvernkonsekvenser (GDPR artikkel 35).
• Gjennomføre forhåndsdrøftinger med Tilsynsmyndigheter før behandlingen, der det kreves (GDPR artikkel 36).

Bistand etter dette punktet ytes uten ekstra kostnad for rimelige anmodninger. For bistand som krever betydelige ressurser fra Zizr (mer enn 8 timeverk per anmodning), kan Zizr kreve et rimelig honorar etter sin til enhver tid gjeldende sats for konsulenttjenester, med forbehold om forhåndsvarsel og godkjenning fra Forhandleren.

Dette oppfyller kravene i GDPR artikkel 28 nr. 3 bokstav f og klausul 8.6, 8.7, 10 bokstav b og 10 bokstav c i SCC-ene.

15. Forbudt bruk

Zizr skal ikke:

• Bruke Kundepersonopplysninger til egne formål utenfor rammene av denne Databehandleravtalen, unntatt slik det uttrykkelig fremgår av punkt 2.2 (aktiviteter som selvstendig behandlingsansvarlig).
• «Selge» eller «dele» Kundepersonopplysninger, slik disse begrepene er definert i CCPA/CPRA eller tilsvarende personvernlover i amerikanske delstater.
• Bruke Kundepersonopplysninger til atferdsbasert annonsering på tvers av kontekster, unntatt der Forhandleren uttrykkelig har konfigurert slik behandling og har sørget for de påkrevde samtykkene og reservasjonsmekanismene.
• Kombinere Kundepersonopplysninger fra Forhandleren med Personopplysninger fra andre kilder på en måte som er i strid med Gjeldende personvernlovgivning.

16. Ansvar

Ansvar etter denne Databehandleravtalen er underlagt ansvarsbegrensningene i Hovedavtalen. Ingenting i denne Databehandleravtalen begrenser en Parts ansvar etter GDPR artikkel 82 og 83 eller etter SCC-ene der gjeldende ufravikelig rett ikke tillater begrensning.

17. Varighet og opphør

17.1 Varighet

Denne Databehandleravtalen trer i kraft ved installasjon av Zizr-appen og aksept av Hovedavtalen, og gjelder så lenge Tjenestene leveres.

17.2 Opphør

Opphør av denne Databehandleravtalen skal reguleres av Hovedavtalens bestemmelser om opphør. Ved opphør gjelder forpliktelsene til sletting av data i punkt 10.

17.3 Bestemmelser som består etter opphør

Følgende forpliktelser består etter opphør: sletting av data (punkt 10), konfidensialitet (punkt 7), ansvar (punkt 16), lovvalg (punkt 19) og eventuelle andre bestemmelser som etter sin art bør bestå.

18. Øvrige bestemmelser

18.1 Varsler

Varsler etter denne Databehandleravtalen skal sendes til:

• For Zizr: privacy@zizr.com.
• For Forhandleren: Forhandlerens administrator-e-postadresse som er registrert i Shopify-administrasjonen, eller en annen adresse som Forhandleren skriftlig har meddelt Zizr.

18.2 Hele avtalen

Denne Databehandleravtalen utgjør, sammen med Hovedavtalen og tilhørende vedlegg, hele avtalen mellom Partene om behandlingen av Kundepersonopplysninger og erstatter alle tidligere databehandlervilkår.

18.3 Delvis ugyldighet

Dersom en bestemmelse i denne Databehandleravtalen kjennes ugyldig eller ikke kan håndheves, skal de øvrige bestemmelsene fortsatt gjelde fullt ut, og den ugyldige bestemmelsen skal erstattes av en gyldig bestemmelse som i størst mulig grad gjenspeiler den opprinnelige hensikten.

18.4 Ingen begunstigede tredjeparter

Med unntak av det som uttrykkelig er fastsatt for Registrerte i SCC-ene, gir denne Databehandleravtalen ingen rettigheter til tredjeparter.

18.5 Endringer

Zizr kan fra tid til annen endre denne Databehandleravtalen. Vesentlige endringer som påvirker Forhandlerens rettigheter negativt, vil bli meddelt ved varsel i appen eller per e-post minst 15 dager før de trer i kraft. Ikke-vesentlige endringer (som presiseringer, rettelser av skrivefeil eller oppdateringer av listen over underdatabehandlere i vedlegg III) kan gjøres uten forhåndsvarsel. Fortsatt bruk av Tjenestene etter at en vesentlig endring har trådt i kraft, anses som aksept.

19. Lovvalg og verneting

Denne Databehandleravtalen er underlagt norsk rett. Partene vedtar Oslo tingrett som eksklusivt verneting for enhver tvist som oppstår som følge av eller i forbindelse med denne Databehandleravtalen, med forbehold for ufravikelig forbruker- eller personvernlovgivning som gir verneting et annet sted.

SCC-ene som er inntatt i vedlegg IV, er underlagt irsk rett og hører under domstolene i Irland, slik klausul 17 i SCC-ene krever.

Vedlegg I: Beskrivelse av behandlingen

A. Parter

Dataeksportør (Behandlingsansvarlig): Forhandleren som har installert Zizr-appen og akseptert denne Databehandleravtalen.

Dataimportør (Databehandler):
Zizr AS
Dronningens gate 38, 7011 Trondheim, Norge
Organisasjonsnummer: 922 796 556
Personvernkontakt: privacy@zizr.com
Personvernansvarlig: Petter Hellevik, CEO

B. Beskrivelse av behandlingen

1. Kategorier av registrerte. Sluttkunder i Forhandlerens Shopify-butikk og Forhandlerens autoriserte personell.

2. Kategorier av Personopplysninger. Som angitt i punkt 3 i Zizrs personvernerklæring, herunder ordre- og transaksjonsdata, begrensede kundedata om Sluttkunder (navn, e-postadresse eller hashet e-postadresse, telefonnummer, leverings- og fakturaadresser, Shopify-kundeidentifikator), produkt- og størrelsesdata, atferds- og funksjonssignaler og forhandler- og butikkdata.

3. Sensitive opplysninger (særlige kategorier). Ingen behandles med hensikt.

4. Behandlingens art og formål. Levering av Zizrs Tjenester, herunder størrelsesanbefalinger, FitBack, returanalyse, normalisering av produktdata og tilknyttede funksjoner slik de er aktivert av Forhandleren.

5. Varighet. Så lenge Forhandlerens abonnement er aktivt, med tillegg av oppbevaringstidene i punkt 10.

6. Hyppighet. Løpende, i sanntid under levering av Tjenestene.

7. Overføringer til tredjeland. Som angitt i vedlegg III. SCC-ene er inntatt i vedlegg IV.

C. Kompetent tilsynsmyndighet

Datatilsynet, datatilsynet.no, Postboks 458 Sentrum, 0105 Oslo, Norge.

Vedlegg II: Tekniske og organisatoriske tiltak

Zizr gjennomfører følgende tekniske og organisatoriske tiltak for å sikre vedvarende konfidensialitet, integritet, tilgjengelighet og robusthet i behandlingssystemene og Tjenestene, i samsvar med GDPR artikkel 32.

1. Tilgangskontroll og autentisering

• Rollebasert tilgangskontroll (RBAC) for interne systemer og databaser.
• Unike brukerkontoer for alle teammedlemmer. Delte pålogginger er forbudt.
• Flerfaktorautentisering håndheves for administrativ tilgang.
• Tilgangsrettigheter gjennomgås med jevne mellomrom og trekkes snarest tilbake ved rolleendring eller fratreden.
• Prinsippet om minste privilegium håndheves i alle systemer.

2. Kryptering av data

• Alle data under overføring beskyttes med TLS 1.2 eller høyere.
• Lagrede data krypteres med AES-256 eller tilsvarende i Azure-infrastrukturen.
• Tilgang til kryptografiske nøkler er begrenset, overvåket og logget.

3. Sikkerhet for infrastruktur og hosting

• Primær infrastruktur på Microsoft Azure (France Central), som har sertifiseringer, herunder ISO 27001 og SOC 2.
• Regelmessige infrastrukturoppdateringer og retting av sårbarheter.
• Sikkerhetsoppdateringer rulles ut i tråd med sikkerhetsvarsler fra leverandører eller interne risikovurderinger.
• Nettverkssegmentering og brannmurbeskyttelse.

4. Sikkerhet ved databehandling

• Personlige identifikatorer (som e-postadresser) hashes der det er praktisk mulig før videre behandling eller før oversendelse til tredjeparter.
• Dataminimering anvendes som standard. Bare data som er nødvendige for det angitte formålet, samles inn.
• Pseudonymisering brukes der det er praktisk mulig.

5. Organisatorisk sikkerhet

• Alt personell er bundet av konfidensialitetsavtaler og retningslinjer for tilgangskontroll.
• Personell får innføringsopplæring og gjentakende opplæring i personvern og sikkerhet.
• Tilgang til Kundepersonopplysninger er begrenset til autorisert personell ut fra tjenstlig behov.
• Bakgrunnssjekk gjennomføres for personell med tilgang til produksjonssystemer, der loven tillater det.

6. Oppdagelse og håndtering av hendelser

• Logging og overvåking via Datadog.
• Dokumentert prosedyre for hendelseshåndtering (vedlegg V).
• Brudd på personopplysningssikkerheten varsles til Forhandleren i samsvar med punkt 12 i Databehandleravtalen.
• Gjennomganger etter hendelser og rotårsaksanalyser dokumenteres for å hindre gjentakelse.

7. Dataatskillelse og dataminimering

• Bare data som er nødvendige for Tjenestene, samles inn og behandles.
• Forhandlerspesifikke data holdes logisk atskilt i flerleietakersystemer.
• Test- og produksjonsdata holdes strengt atskilt, i tråd med Shopifys nivå 2-krav for beskyttede kundedata.

8. Betalingssikkerhet

• All betalingsbehandling håndteres via Shopify Billing API. Zizr behandler ikke, lagrer ikke og har ikke tilgang til betalingskortinformasjon.

9. Sikkerhetskopiering og gjenoppretting

• Azure-infrastrukturen gir redundans og holdbarhet for lagrede data.
• Sikkerhetskopier er kryptert ved lagring, i tråd med Shopifys nivå 2-krav.
• Dokumenterte prosedyrer for sikkerhetskopiering og gjenoppretting spesifikt for Kundepersonopplysninger, med gjenopprettingstester med jevne mellomrom.

10. Sårbarhetshåndtering

• Regelmessig sårbarhetsskanning og overvåking av avhengigheter.
• Prosess for koordinert offentliggjøring av eksternt rapporterte sårbarheter (privacy@zizr.com).

11. Kontroll med Underdatabehandlere

• Alle Underdatabehandlere gjennomgår en sikkerhetsvurdering før de engasjeres.
• Underdatabehandlere med anerkjente sertifiseringer (SOC 2, ISO 27001, ISO 27018 eller tilsvarende) foretrekkes.
• Avtaler med Underdatabehandlere pålegger forpliktelser som ikke gir svakere beskyttelse enn denne Databehandleravtalen.

Vedlegg III: Liste over underdatabehandlere

Følgende Underdatabehandlere er engasjert per ikrafttredelsesdatoen for denne Databehandleravtalen. Den gjeldende listen vedlikeholdes på https://www.zizr.com/legal/no/subprocessors og oppdateres i samsvar med punkt 8 i denne Databehandleravtalen.

OpenAI-inferens utføres via Azure OpenAI Service innenfor Microsoft Azure-tenanten og utgjør ikke en separat overføring til OpenAI Inc.

Vedlegg IV: Standard personvernbestemmelser

De standard personvernbestemmelsene som er fastsatt i Kommisjonens gjennomføringsbeslutning (EU) 2021/914 av 4. juni 2021, er inntatt i denne Databehandleravtalen ved henvisning, med følgende valg:

• Valgt modul: modul to (behandlingsansvarlig til databehandler). Modul tre (databehandler til underdatabehandler) gjelder mellom Zizr og enhver Underdatabehandler utenfor EØS.
• Klausul 7 (tiltredelsesklausul): inkludert.
• Klausul 9 (Underdatabehandlere): alternativ 2, generell skriftlig tillatelse, med 15 dagers varsel.
• Klausul 11 (klageadgang): valgfri tekst om uavhengig tvisteløsningsorgan er ikke valgt.
• Klausul 17 (lovvalg): alternativ 1, irsk rett.
• Klausul 18 (verneting og jurisdiksjon): domstolene i Irland.

Den informasjonen som kreves i vedleggene til SCC-ene (beskrivelse av overføringen, tekniske og organisatoriske tiltak, liste over Underdatabehandlere), er gitt i vedlegg I, II og III til denne Databehandleravtalen.

For overføringer fra Storbritannia er UK International Data Transfer Addendum, utstedt av den britiske tilsynsmyndigheten Information Commissioner’s Office, inntatt og supplerer SCC-ene.

For overføringer fra Sveits er SCC-ene tilpasset slik at de får anvendelse etter sveitsisk personvernlovgivning, med den sveitsiske føderale personvern- og informasjonskommissæren (FDPIC) som kompetent tilsynsmyndighet.

Vedlegg V: Prosedyre for hendelseshåndtering

Dette vedlegget fastsetter Zizrs prosedyre for å oppdage, håndtere og varsle om Brudd på personopplysningssikkerheten og andre sikkerhetshendelser som berører Kundepersonopplysninger.

1. Definisjoner

• Sikkerhetshendelse. Enhver hendelse som kan kompromittere konfidensialiteten, integriteten eller tilgjengeligheten til Zizrs systemer eller Kundepersonopplysninger.
• Brudd på personopplysningssikkerheten. En Sikkerhetshendelse som har ført til, eller som med rimelig sannsynlighet har ført til, utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til Kundepersonopplysninger, som definert i GDPR artikkel 4 nr. 12.

2. Klassifisering av alvorlighetsgrad

3. Intern eskalering

Når en Sikkerhetshendelse oppdages:

1. Det teammedlemmet som oppdager hendelsen, rapporterer den umiddelbart til personvernansvarlig og til vakthavende utviklingsleder.
2. Personvernansvarlig klassifiserer alvorlighetsgraden og iverksetter håndteringen.
3. For P1- og P2-hendelser varsles CEO og teknisk leder innen 1 time etter klassifiseringen.
4. For P1-hendelser sammenkalles et hendelseshåndteringsteam innen 4 timer.

4. Inndemming og skadebegrensning

For P1- og P2-hendelser iverksetter håndteringsteamet umiddelbare tiltak for å:

• Demme inn hendelsen (for eksempel ved å tilbakekalle påloggingsopplysninger, isolere berørte systemer, rotere nøkler).
• Sikre bevis og logger.
• Kartlegge omfanget av berørte data og registrerte.
• Gjennomføre skadebegrensende tiltak for å begrense ytterligere konsekvenser.

5. Varsling av Forhandlere

For P1-hendelser som utgjør et Brudd på personopplysningssikkerheten som berører Kundepersonopplysninger, varsler Zizr berørte Forhandlere:

• Uten ugrunnet opphold, og under enhver omstendighet innen 72 timer etter at Zizr har fått kjennskap til bruddet.
• Per e-post til Forhandlerens administratorkontakt og, der det er mulig, ved varsel i appen.
• Med det innholdet som kreves etter punkt 12.2 i Databehandleravtalen.

For P2-hendelser varsler Zizr Forhandlere dersom og når det fastslås at Kundepersonopplysninger kan ha blitt berørt.

6. Dokumentasjon

Alle Sikkerhetshendelser dokumenteres, herunder:

• Dato og klokkeslett for oppdagelse og klassifisering.
• Beskrivelse av hendelsen.
• Berørte systemer og data.
• Tiltak som er truffet for å demme inn, begrense skadene av og løse hendelsen.
• Varsler som er gitt (til hvem, når og med hvilket innhold).
• Rotårsaksanalyse (for P1-, P2- og P3-hendelser).
• Erfaringer og utbedringstiltak.

Dokumentasjonen oppbevares i minst tre år.

7. Gjennomgang etter hendelsen

For P1- og P2-hendelser foretas en gjennomgang etter hendelsen innen 30 dager etter at hendelsen er løst. Gjennomgangen identifiserer systemiske forbedringer, oppdateringer av tekniske og organisatoriske tiltak og eventuelle nødvendige oppdateringer av denne prosedyren.

8. Samarbeid med Forhandlere og myndigheter

Zizr samarbeider med Forhandlere og Tilsynsmyndigheter om å oppfylle varslings- og undersøkelsesplikter, som angitt i punkt 14 i Databehandleravtalen.

Aksept av dokumentet. Ved å installere Zizr-appen fra Shopify App Store og gå videre fra akseptskjermbildet i appen erkjenner Forhandleren at Forhandleren har lest, forstått og akseptert å være bundet av denne Databehandleravtalen, herunder alle vedlegg.