Zizrs personuppgiftsbiträdesavtal

Ikraftträdandedatum: 21 maj 2026
Senast uppdaterat: 21 maj 2026
Tillgängligt på: https://www.zizr.com/legal/sv/dpa

Om översättningen: Detta dokument är en svensk översättning av det engelska originalet. Vid avvikelser mellan översättningen och den engelska versionen har den engelska versionen företräde.

Detta personuppgiftsbiträdesavtal (”Biträdesavtalet”) ingås mellan:

Zizr AS (”Personuppgiftsbiträde”, ”Zizr”, ”vi”, ”oss”, ”vår”), organisationsnummer 922 796 556, med registrerat säte på adressen Dronningens gate 38, 7011 Trondheim, Norge,

och

Handlaren (”Personuppgiftsansvarig”, ”Handlaren”, ”du”, ”din”) som har installerat Zizrs Shopify-app och godkänt Zizrs handlaravtal, tillsammans med detta Biträdesavtal, vid installationen.

Detta Biträdesavtal utgör en integrerad del av Zizrs handlaravtal (”Huvudavtalet”) och reglerar Zizrs behandling av Personuppgifter för Handlarens räkning i enlighet med artikel 28 i dataskyddsförordningen (förordning (EU) 2016/679, ”GDPR”), den brittiska dataskyddsförordningen (”UK GDPR”), den norska personuppgiftslagen (personopplysningsloven) och, i tillämpliga fall, de standardavtalsklausuler som har antagits av Europeiska kommissionen (genomförandebeslut (EU) 2021/914, ”SCC”).

Genom att installera Zizr-appen från Shopify App Store och gå vidare förbi godkännandeskärmen i appen bekräftar Handlaren att Handlaren har läst och förstått detta Biträdesavtal och godtagit att vara bunden av det. Zizr för register över godkännanden, inklusive vilken version som har godkänts, tidsstämpeln och Shopify-butikens identifierare.

Innehållsförteckning

1. Definitioner
2. Roller och tillämpningsområde
3. Instruktioner för behandlingen
4. Behandlingens ändamål, art och varaktighet
5. Kategorier av registrerade och personuppgifter
6. Säkerhet i samband med behandlingen
7. Sekretess
8. Underbiträden
9. Överföringar till tredjeland
10. Lagring och radering av uppgifter
11. Bistånd med de registrerades rättigheter
12. Underrättelse om personuppgiftsincidenter
13. Rätt till revision och inspektion
14. Bistånd med regelefterlevnad
15. Förbjuden användning
16. Ansvar
17. Avtalstid och uppsägning
18. Övrigt
19. Tillämplig lag och jurisdiktion

Bilaga I: Beskrivning av behandlingen
Bilaga II: Tekniska och organisatoriska åtgärder
Bilaga III: Förteckning över underbiträden
Bilaga IV: Standardavtalsklausuler (införlivade genom hänvisning)
Bilaga V: Rutin för incidenthantering

1. Definitioner

Begrepp som definieras i GDPR har samma betydelse i detta Biträdesavtal, däribland ”Personuppgifter”, ”Behandling”, ”Personuppgiftsansvarig”, ”Personuppgiftsbiträde”, ”Registrerad”, ”Personuppgiftsincident” och ”Tillsynsmyndighet”.

I detta Biträdesavtal gäller följande:

• ”Tillämplig dataskyddslagstiftning” avser GDPR, UK GDPR, den norska personuppgiftslagen, den schweiziska federala dataskyddslagen (FADP), California Consumer Privacy Act i dess lydelse enligt California Privacy Rights Act (gemensamt ”CCPA/CPRA”) samt all annan integritets- eller dataskyddslagstiftning som är tillämplig på någon av Parternas behandling av Personuppgifter enligt Huvudavtalet.
• ”Tjänsterna” avser Zizrs Shopify-app och tillhörande tjänster som Zizr tillhandahåller Handlaren enligt Huvudavtalet.
• ”Underbiträde” avser varje tredje part som Zizr anlitar för att behandla Personuppgifter för Handlarens räkning i samband med Tjänsterna.
• ”SCC” avser de standardavtalsklausuler som anges i kommissionens genomförandebeslut (EU) 2021/914 av den 4 juni 2021.
• ”Slutkund” eller ”Slutanvändare” avser en kund hos eller en besökare i Handlarens Shopify-butik vars Personuppgifter kan komma att behandlas via Tjänsterna.
• ”Kundpersonuppgifter” avser Personuppgifter som Zizr behandlar för Handlarens räkning enligt detta Biträdesavtal, med undantag för Personuppgifter som Zizr behandlar som självständigt personuppgiftsansvarig enligt avsnitt 2.

2. Roller och tillämpningsområde

2.1 Uppdrag som Personuppgiftsbiträde

Handlaren utser Zizr till Personuppgiftsbiträde för att behandla Kundpersonuppgifter för Handlarens räkning i samband med Tjänsterna. Uppdraget ges i enlighet med artikel 28.1 i GDPR. Vardera Parten ska fullgöra sina respektive skyldigheter enligt Tillämplig dataskyddslagstiftning.

2.2 Biträdesavtalets tillämpningsområde

Detta Biträdesavtal gäller endast Zizrs behandling av Kundpersonuppgifter i egenskap av Personuppgiftsbiträde för Handlarens räkning. Det gäller inte:

• Zizrs behandling av Personuppgifter i egenskap av självständigt personuppgiftsansvarig för säkerhet och förebyggande av bedrägerier, förbättring av algoritmer med hjälp av pseudonymiserade eller aggregerade uppgifter samt benchmarking och forskning och utveckling avseende infrastruktur.
• Zizrs behandling av Slutkunders Personuppgifter i samband med det valfria Zizr ID-kontot, där Zizr agerar som personuppgiftsansvarig enligt separata användarvillkor och ett separat integritetsmeddelande för Zizr ID som avtalas direkt mellan Zizr och Slutkunden.
• Zizrs behandling av Handlarens egna Personuppgifter (till exempel kontaktuppgifter, faktureringsinformation) i syfte att administrera affärsförhållandet enligt Huvudavtalet, vilken regleras av vår Integritetspolicy.

2.3 Rangordning

Vid motstridighet mellan detta Biträdesavtal och Huvudavtalet ska detta Biträdesavtal ha företräde i fråga om behandlingen av Kundpersonuppgifter. Vid motstridighet mellan detta Biträdesavtal och SCC som har införlivats i bilaga IV ska SCC ha företräde i fråga om överföringar till tredjeland som omfattas av kapitel V i GDPR.

3. Instruktioner för behandlingen

3.1 Dokumenterade instruktioner

Zizr ska behandla Kundpersonuppgifter endast på dokumenterade instruktioner från Handlaren, vilka omfattar:

• Detta Biträdesavtal och eventuella ändringar av det.
• Huvudavtalet.
• Handlarens konfiguration av Tjänsterna i Zizr-admin eller Shopify-admin (inklusive vilka funktioner som är aktiverade, vilka behörigheter (scopes) som har beviljats och vilka underbiträden som Handlaren har konfigurerat).
• Eventuella skriftliga instruktioner som Handlaren skickar till privacy@zizr.com.
• Instruktioner som krävs för att följa tillämplig lag, i vilket fall Zizr, där det är tillåtet, ska informera Handlaren om det rättsliga kravet innan behandlingen påbörjas.

Detta uppfyller kraven i artikel 28.3 a i GDPR och klausul 8.1 a i SCC.

3.2 Underrättelse om olagliga eller omöjliga instruktioner

Zizr ska skyndsamt underrätta Handlaren om Zizr anser att en instruktion strider mot Tillämplig dataskyddslagstiftning, eller om Zizr inte kan följa en instruktion på grund av tekniska begränsningar eller rättsliga krav. Zizr har ingen skyldighet att aktivt övervaka att Handlaren följer Tillämplig dataskyddslagstiftning.

3.3 Den Personuppgiftsansvariges skyldigheter

Handlaren garanterar att:

• Handlarens instruktioner till Zizr är förenliga med Tillämplig dataskyddslagstiftning.
• Handlaren har fastställt och dokumenterat den rättsliga grunden för all behandling som Handlaren anlitar Zizr för.
• Handlaren har inhämtat och kommer att upprätthålla alla nödvändiga samtycken, rättigheter och tillstånd, och har lämnat all nödvändig information till Slutkunder, för att möjliggöra Zizrs behandling för Handlarens räkning.
• De Kundpersonuppgifter som görs tillgängliga för Zizr är korrekta och lagligen inhämtade.

4. Behandlingens ändamål, art och varaktighet

4.1 Föremål

Tillhandahållandet av Tjänsterna genom Zizrs Shopify-app, inklusive storleksrekommendationer, FitBack, returanalys, normalisering av produktdata och tillhörande funktioner som Handlaren har aktiverat.

4.2 Ändamål

Kundpersonuppgifter ska behandlas uteslutande för följande ändamål:

• För att leverera Tjänsterna till Handlaren.
• För att besvara begäranden från registrerade som Handlaren har vidarebefordrat.
• För att förbättra, felsöka och säkra Tjänsterna när det är strikt nödvändigt och i enlighet med detta Biträdesavtal.
• För att fullgöra tillämpliga rättsliga förpliktelser.

Detta uppfyller kraven i artikel 28.3 i GDPR och klausul 8.1 i SCC.

4.3 Behandlingens art

Behandlingen omfattar bland annat följande åtgärder:

• Insamling av Kundpersonuppgifter via Shopify Admin API, Shopify Customer Account API, Shopifys webhookar och integrationer i webbutiken (Web Pixels, Theme App Extensions, Customer Privacy API).
• Lagring i Microsoft Azures infrastruktur i Frankrike (regionen France Central).
• Användning av pseudonymisering (till exempel hashning av identifierare) där det är praktiskt möjligt.
• Överföring av härledda resultat (såsom rekommendationer och analyser) tillbaka till Handlaren via Shopify eller Zizr-admin.
• Radering på instruktion eller vid mottagande av Shopifys integritetswebhookar.

4.4 Varaktighet

Behandlingen pågår så länge Handlarens Zizr-abonnemang är aktivt. Kundpersonuppgifter raderas eller återlämnas vid upphörandet i enlighet med avsnitt 10.

Ytterligare information som krävs enligt artikel 28.3 i GDPR och bilaga I.B till SCC finns i bilaga I.

5. Kategorier av registrerade och personuppgifter

5.1 Kategorier av registrerade

• Slutkunder i Handlarens Shopify-butik.
• Handlarens personal som är behörig att använda Tjänsterna för Handlarens räkning.

5.2 Kategorier av personuppgifter

De kategorier av Personuppgifter som behandlas anges i avsnitt 3 i vår Integritetspolicy och sammanfattas i bilaga I. De omfattar:

• Order- och transaktionsdata.
• Begränsade kunddata om Slutkunder (namn, e-postadress eller hashad e-postadress, telefonnummer, leverans- och faktureringsadresser, Shopifys kundidentifierare).
• Produkt- och storleksdata.
• Beteende- och funktionssignaler.
• Handlar- och butiksdata.

5.3 Särskilda kategorier av personuppgifter

Zizr kräver inte, begär inte och behandlar inte avsiktligt särskilda kategorier av personuppgifter enligt artikel 9 i GDPR. Om sådana uppgifter oavsiktligt lämnas (till exempel i fritextanteckningar) kommer Zizr att radera eller minimera dem.

6. Säkerhet i samband med behandlingen

6.1 Tekniska och organisatoriska åtgärder

Zizr ska genomföra och upprätthålla lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, i enlighet med vad som krävs enligt artikel 32 i GDPR. Åtgärderna beskrivs närmare i bilaga II och omfattar kryptering under överföring och i vila, åtkomstkontroller, pseudonymisering, sårbarhetshantering, sekretess för anställda och incidenthantering.

6.2 Säkerhetsuppdateringar

Zizr ser med jämna mellanrum över och uppdaterar sina säkerhetsåtgärder och får uppdatera bilaga II i enlighet med avsnitt 18.5 (Ändringar). Uppdateringar kommer inte att väsentligt sänka säkerhetsnivån.

Detta uppfyller kraven i artikel 28.3 c och artikel 32 i GDPR samt klausul 8.6 i SCC.

7. Sekretess

Zizr ska säkerställa att all personal som är behörig att behandla Kundpersonuppgifter:

• Har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt.
• Får lämplig utbildning i dataskydd och säkerhet.
• Ges åtkomst endast i den utsträckning de behöver den för att utföra sina arbetsuppgifter, i enlighet med principen om lägsta behörighet.

Sekretessåtagandena gäller även efter att anställningen eller uppdraget har upphört och efter att detta Biträdesavtal har upphört.

Detta uppfyller kraven i artikel 28.3 b i GDPR och klausul 8.3 i SCC.

8. Underbiträden

8.1 Allmänt tillstånd

Handlaren ger Zizr ett allmänt skriftligt tillstånd att anlita Underbiträden, med förbehåll för kraven i detta avsnitt. Detta genomför alternativ 2 enligt klausul 9 a i SCC.

8.2 Nuvarande underbiträden

Den aktuella förteckningen över Underbiträden, inklusive var de är belägna och vilken behandling de utför, finns i bilaga III och på Zizrs webbplats på https://www.zizr.com/legal/sv/subprocessors. Zizr håller förteckningen uppdaterad.

8.3 Tillägg eller byte av Underbiträden

Zizr ska underrätta Handlaren minst 15 dagar innan ett Underbiträde som behandlar Kundpersonuppgifter läggs till eller byts ut. Underrättelsen kommer att lämnas genom meddelande i appen eller via e-post till Handlarens registrerade administratörskontakt. Underrättelsen kommer att innehålla det nya Underbiträdets namn, var det är beläget och vilken behandling det utför.

8.4 Rätt att invända

Handlaren får inom underrättelseperioden invända på skäliga grunder som rör dataskydd. Om frågan inte kan lösas inom skälig tid får Handlaren säga upp den berörda delen av Tjänsterna i enlighet med avsnitt 17. Fortsatt användning av Tjänsterna efter underrättelseperiodens utgång utgör godkännande av det nya Underbiträdet.

8.5 Skyldigheter avseende Underbiträden

Zizr ska:

• Genomföra en lämplig due diligence-granskning av varje Underbiträde innan det anlitas och prioritera leverantörer med erkända certifieringar (såsom SOC 2, ISO 27001, ISO 27018).
• Ingå ett skriftligt avtal med varje Underbiträde, genom vilket Underbiträdet åläggs dataskyddsskyldigheter som ger minst samma skydd som skyldigheterna i detta Biträdesavtal.
• Förbli fullt ansvarigt gentemot Handlaren för sina Underbiträdens handlingar och underlåtenheter i samma utsträckning som Zizr skulle ha varit ansvarigt om Zizr hade utfört tjänsterna självt, med förbehåll för de ansvarsbegränsningar som anges i Huvudavtalet.

Om ett Underbiträde behandlar Personuppgifter utanför EES, Storbritannien eller Schweiz ska Zizr säkerställa att lämpliga överföringsmekanismer finns på plats i enlighet med avsnitt 9.

Detta uppfyller kraven i artikel 28.2 och 28.4 i GDPR och klausul 9 i SCC.

9. Överföringar till tredjeland

9.1 Primär plats för behandlingen

Zizrs primära plats för behandlingen ligger inom Europeiska ekonomiska samarbetsområdet (Microsoft Azure, France Central). Vissa Underbiträden behandlar Personuppgifter utanför EES, enligt vad som anges i bilaga III.

9.2 Överföringsmekanism

För överföringar av Kundpersonuppgifter utanför EES, Storbritannien eller Schweiz till länder som inte har erkänts ha en adekvat skyddsnivå förlitar sig Zizr på:

• SCC som har införlivats i bilaga IV (modul två: personuppgiftsansvarig till personuppgiftsbiträde, eller modul tre: personuppgiftsbiträde till underbiträde, beroende på vad som är tillämpligt).
• För överföringar från Storbritannien: det brittiska tillägget UK International Data Transfer Addendum till SCC.
• För överföringar från Schweiz: SCC såsom de har anpassats för Schweiz.
• I förekommande fall, ytterligare ramverk för adekvat skyddsnivå, såsom EU-U.S. Data Privacy Framework, för Underbiträden som deltar i sådana ramverk.

9.3 Genomförande av SCC

Parterna antar modul två (personuppgiftsansvarig till personuppgiftsbiträde) i SCC i bilaga IV, med följande val:

• Klausul 7 (Dockningsklausul): Ingår.
• Klausul 9 (Användning av underbiträden): Alternativ 2, Allmänt skriftligt tillstånd.
• Klausul 11 (Tillgång till prövning): Den valfria texten om ett oberoende organ ingår inte.
• Klausul 17 (Tillämplig lag): Alternativ 1, Irlands lagstiftning.
• Klausul 18 (Val av forum och jurisdiktion): Domstolarna i Irland.

Norsk rätt (med Oslo tingrett som behörig domstol) gäller för detta Biträdesavtal i allmänhet, men SCC i sig regleras av irländsk rätt i enlighet med vad som krävs enligt klausul 17 i SCC, eftersom Norge ingår i EES men inte är en EU-medlemsstat.

9.4 Kompletterande åtgärder

Utöver SCC tillämpar Zizr kompletterande skyddsåtgärder:

• Pseudonymisering genom hashning av identifierare där det är praktiskt möjligt.
• Kryptering under överföring och i vila.
• Geografisk begränsning av behandlingen till kända regioner som anges i bilaga III.
• Åtkomstkontroller för personal, utbildning och sekretessavtal.
• Dokumenterade konsekvensbedömningar av överföringar (Transfer Impact Assessment, TIA) som förvaras i Zizrs interna register.

10. Lagring och radering av uppgifter

10.1 Återlämnande eller radering vid upphörande

När Tjänsterna sägs upp eller löper ut ska Zizr, enligt Handlarens val:

• Återlämna alla Kundpersonuppgifter som har behandlats för Handlarens räkning i ett allmänt använt maskinläsbart format, eller
• Radera eller anonymisera sådana uppgifter, om inte lagring krävs enligt tillämplig lag.

Om Handlaren avinstallerar Zizr-appen i Shopify betraktar Zizr detta som en instruktion om radering och följer Shopifys webhook shop/redact genom att radera eller anonymisera butiksspecifika Kundpersonuppgifter inom 30 dagar, om inte lagring krävs enligt tillämplig lag.

Detta uppfyller kraven i artikel 28.3 g i GDPR och klausul 8.5 i SCC.

10.2 Radering under pågående tjänst

Handlaren får när som helst begära radering av specifika Kundpersonuppgifter via Zizr-admin, genom att utlösa Shopifys webhook customers/redact eller genom skriftlig begäran till privacy@zizr.com. Zizr ska slutföra raderingen inom 30 dagar från mottagandet, om inte lagring krävs enligt tillämplig lag eller raderingen är tekniskt ogenomförbar, i vilket fall Zizr skyndsamt ska informera Handlaren.

10.3 Undantag för lagring

Trots vad som anges ovan får Zizr lagra Kundpersonuppgifter:

• När det krävs enligt tillämplig lag, inklusive norsk bokföringslagstiftning (bokføringsloven, minst fem år för räkenskapsinformation).
• I standardsäkerhetskopior, med förbehåll för sekretess- och säkerhetsåtagandena i detta Biträdesavtal, till dess att säkerhetskopian roteras ut inom ramen för den löpande verksamheten.
• I aggregerad eller avidentifierad form som inte rimligen möjliggör återidentifiering.

11. Bistånd med de registrerades rättigheter

11.1 Skyldighet att bistå

Med beaktande av behandlingens art ska Zizr ge Handlaren skäligt bistånd med att fullgöra Handlarens skyldigheter att besvara begäranden från registrerade om:

• Tillgång till Personuppgifter (artikel 15 i GDPR).
• Rättelse (artikel 16 i GDPR).
• Radering (artikel 17 i GDPR).
• Begränsning av behandling (artikel 18 i GDPR).
• Dataportabilitet (artikel 20 i GDPR).
• Invändning mot behandling (artikel 21 i GDPR).
• Rättigheter i samband med automatiserat individuellt beslutsfattande, i tillämpliga fall (artikel 22 i GDPR).

Detta uppfyller kraven i artikel 28.3 e i GDPR och klausul 8.4 i SCC.

11.2 Begäranden direkt till Zizr

Om Zizr tar emot en begäran direkt från en Slutkund som rör Kundpersonuppgifter som behandlas för Handlarens räkning ska Zizr skyndsamt vidarebefordra begäran till Handlaren och får inte besvara den direkt, om inte Handlaren skriftligen har gett instruktion om det eller det krävs enligt tillämplig lag.

11.3 Integration med Shopifys webhookar

Zizrs primära mekanism för att hantera Slutkunders begäranden om utövande av rättigheter är Shopifys integritetswebhookar (customers/data_request, customers/redact, shop/redact), i enlighet med vad som krävs enligt Shopifys plattformskrav. Zizr tillämpar en svarstid på 30 dagar för dessa webhookar, eller kortare när det krävs enligt lag.

12. Underrättelse om personuppgiftsincidenter

12.1 Tidsfrist för underrättelse

Zizr ska underrätta Handlaren utan onödigt dröjsmål, och under alla omständigheter inom 72 timmar, efter att ha fått kännedom om en Personuppgiftsincident som påverkar Kundpersonuppgifter. Underrättelsen kommer att skickas via e-post till Handlarens registrerade administratörskontakt och, där det är möjligt, genom meddelande i appen.

12.2 Underrättelsens innehåll

Den första underrättelsen ska, i den utsträckning uppgifterna är kända vid tidpunkten, innehålla:

• En beskrivning av personuppgiftsincidenten, inklusive typen av incident, vilka kategorier av registrerade som berörs och det uppskattade antalet poster.
• De sannolika konsekvenserna av personuppgiftsincidenten.
• Åtgärder som har vidtagits eller planeras för att åtgärda personuppgiftsincidenten och begränsa eventuell skada.
• Kontaktuppgifter för uppföljning.

Zizr ska hålla Handlaren uppdaterad allteftersom ytterligare information blir tillgänglig.

12.3 Samarbete

Zizr ska samarbeta med Handlaren när Handlaren fullgör eventuella regulatoriska anmälningsskyldigheter enligt artiklarna 33 och 34 i GDPR, dokumentera alla personuppgiftsincidenter oavsett om anmälningsskyldighet föreligger och genomföra åtgärder för att förhindra upprepning.

12.4 Undantag

Zizr är inte skyldigt att underrätta Handlaren om rutinmässiga säkerhetshändelser som inte äventyrar Personuppgifter, inklusive men inte begränsat till misslyckade inloggningsförsök, portskanningar, intrångsförsök som inte har lyckats samt interna tester eller säkerhetsövningar.

Den detaljerade rutinen för incidenthantering finns i bilaga V.

Detta uppfyller kraven i artikel 28.3 f och artikel 33 i GDPR samt klausul 8.6 i SCC.

13. Rätt till revision och inspektion

13.1 Revisionsrätt

Handlaren har rätt att genomföra revision av Zizrs efterlevnad av detta Biträdesavtal, i enlighet med vad som krävs enligt artikel 28.3 h i GDPR och klausul 8.9 i SCC. Zizr ska tillhandahålla all information som rimligen är nödvändig för att visa efterlevnad.

13.2 Revisionsförfarande

Revisioner ska:

• Vara begränsade till en gång per kalenderår, om inte en Personuppgiftsincident har inträffat eller en Tillsynsmyndighet kräver tätare revisioner.
• Genomföras med minst 30 dagars skriftligt varsel till privacy@zizr.com, under normal kontorstid.
• Utföras på ett sätt som inte i oskälig utsträckning stör Zizrs verksamhet.
• Omfattas av sekretessåtaganden mellan Parterna.
• Till sin omfattning vara begränsade till frågor som rimligen krävs för att bedöma Zizrs efterlevnad av detta Biträdesavtal.

13.3 Revisionsrapporter som alternativ

Zizr får tillgodose Handlarens revisionsrätt genom att på skriftlig begäran tillhandahålla sina vid var tid aktuella revisionsrapporter från tredje part (såsom ISO 27001, SOC 2 Type II eller motsvarande), där sådana finns, samt ytterligare information som är nödvändig för att visa efterlevnad av artikel 28 i GDPR. Handlaren får utöva rätten till revision på plats endast om sådana rapporter inte ger tillräcklig information för att kontrollera efterlevnaden, eller om en Tillsynsmyndighet kräver det.

14. Bistånd med regelefterlevnad

Med beaktande av behandlingens art och den information som Zizr har tillgång till ska Zizr på begäran bistå Handlaren med att:

• Genomföra lämpliga tekniska och organisatoriska säkerhetsåtgärder (artikel 32 i GDPR).
• Underrätta Tillsynsmyndigheter och Registrerade vid en Personuppgiftsincident (artiklarna 33 och 34 i GDPR).
• Genomföra konsekvensbedömningar avseende dataskydd (artikel 35 i GDPR).
• Genomföra förhandssamråd med Tillsynsmyndigheter när det krävs (artikel 36 i GDPR).

Bistånd enligt detta avsnitt lämnas utan extra kostnad vid skäliga förfrågningar. För bistånd som kräver betydande resurser från Zizr (mer än 8 persontimmar per begäran) får Zizr ta ut en skälig avgift enligt sin vid var tid gällande taxa för konsulttjänster, efter förhandsmeddelande och med Handlarens godkännande.

Detta uppfyller kraven i artikel 28.3 f i GDPR och klausulerna 8.6, 8.7, 10 b och 10 c i SCC.

15. Förbjuden användning

Zizr får inte:

• Använda Kundpersonuppgifter för egna ändamål utanför ramen för detta Biträdesavtal, utom vad som uttryckligen anges i avsnitt 2.2 (verksamhet som självständigt personuppgiftsansvarig).
• ”Sälja” eller ”dela” Kundpersonuppgifter, såsom dessa begrepp definieras i CCPA/CPRA eller motsvarande integritetslagar i amerikanska delstater.
• Använda Kundpersonuppgifter för kontextöverskridande beteendebaserad annonsering, utom när Handlaren uttryckligen har konfigurerat sådan behandling och har säkerställt erforderliga samtycken och mekanismer för att avböja (opt-out).
• Kombinera Kundpersonuppgifter från Handlaren med Personuppgifter från andra källor på ett sätt som strider mot Tillämplig dataskyddslagstiftning.

16. Ansvar

Ansvar enligt detta Biträdesavtal omfattas av de ansvarsbegränsningar som anges i Huvudavtalet. Ingenting i detta Biträdesavtal begränsar någon Parts ansvar enligt artiklarna 82 och 83 i GDPR eller enligt SCC, när tillämplig tvingande lag inte tillåter begränsning.

17. Avtalstid och uppsägning

17.1 Avtalstid

Detta Biträdesavtal träder i kraft när Zizr-appen installeras och Huvudavtalet godkänns, och gäller så länge Tjänsterna tillhandahålls.

17.2 Uppsägning

Uppsägning av detta Biträdesavtal ska regleras av Huvudavtalets bestämmelser om uppsägning. Vid upphörandet gäller skyldigheterna att radera uppgifter enligt avsnitt 10.

17.3 Fortsatt giltighet

Följande skyldigheter gäller även efter upphörandet: radering av uppgifter (avsnitt 10), sekretess (avsnitt 7), ansvar (avsnitt 16), tillämplig lag (avsnitt 19) samt alla andra bestämmelser som till sin natur bör fortsätta att gälla.

18. Övrigt

18.1 Meddelanden

Meddelanden enligt detta Biträdesavtal ska skickas till:

• För Zizr: privacy@zizr.com.
• För Handlaren: den e-postadress till Handlarens administratör som finns registrerad i Shopify-admin, eller en annan adress som Handlaren skriftligen har meddelat Zizr.

18.2 Fullständigt avtal

Detta Biträdesavtal utgör, tillsammans med Huvudavtalet och bilagorna, Parternas fullständiga avtal avseende behandlingen av Kundpersonuppgifter och ersätter alla tidigare villkor om personuppgiftsbehandling.

18.3 Bestämmelses ogiltighet

Om någon bestämmelse i detta Biträdesavtal förklaras ogiltig eller icke verkställbar ska övriga bestämmelser fortsätta att gälla med full verkan, och den ogiltiga bestämmelsen ska ersättas med en giltig bestämmelse som ligger så nära den ursprungliga avsikten som möjligt.

18.4 Inga berättigade tredje parter

Utöver vad som uttryckligen föreskrivs för Registrerade enligt SCC ger detta Biträdesavtal inte upphov till några rättigheter för tredje part.

18.5 Ändringar

Zizr får ändra detta Biträdesavtal från tid till annan. Väsentliga ändringar som inverkar negativt på Handlarens rättigheter kommer att meddelas genom meddelande i appen eller via e-post minst 15 dagar innan de börjar gälla. Icke väsentliga ändringar (såsom förtydliganden, rättelser av skrivfel eller uppdateringar av förteckningen över underbiträden i bilaga III) får göras utan förhandsmeddelande. Fortsatt användning av Tjänsterna efter att en väsentlig ändring har börjat gälla utgör godkännande.

19. Tillämplig lag och jurisdiktion

Detta Biträdesavtal regleras av norsk rätt. Parterna godtar att Oslo tingrett har exklusiv behörighet att pröva varje tvist som uppkommer till följd av eller i samband med detta Biträdesavtal, med förbehåll för tvingande konsument- eller dataskyddslagstiftning som ger en annan domstol behörighet.

SCC som har införlivats i bilaga IV regleras av irländsk rätt och omfattas av irländska domstolars behörighet, i enlighet med vad som krävs enligt klausul 17 i SCC.

Bilaga I: Beskrivning av behandlingen

A. Parter

Uppgiftsutförare (Personuppgiftsansvarig): Den Handlare som har installerat Zizr-appen och godkänt detta Biträdesavtal.

Uppgiftsinförare (Personuppgiftsbiträde):
Zizr AS
Dronningens gate 38, 7011 Trondheim, Norge
Organisationsnummer: 922 796 556
Kontakt i integritetsfrågor: privacy@zizr.com
Integritetsansvarig: Petter Hellevik, CEO

B. Beskrivning av behandlingen

1. Kategorier av registrerade. Slutkunder i Handlarens Shopify-butik och Handlarens behöriga personal.

2. Kategorier av Personuppgifter. Enligt vad som anges i avsnitt 3 i Zizrs integritetspolicy, inklusive order- och transaktionsdata, begränsade kunddata om Slutkunder (namn, e-postadress eller hashad e-postadress, telefonnummer, leverans- och faktureringsadresser, Shopifys kundidentifierare), produkt- och storleksdata, beteende- och funktionssignaler samt handlar- och butiksdata.

3. Känsliga uppgifter (särskilda kategorier). Inga behandlas avsiktligt.

4. Behandlingens art och ändamål. Tillhandahållande av Zizrs Tjänster, inklusive storleksrekommendationer, FitBack, returanalys, normalisering av produktdata och tillhörande funktioner som Handlaren har aktiverat.

5. Varaktighet. Så länge Handlarens abonnemang är aktivt, samt under lagringstiderna enligt avsnitt 10.

6. Frekvens. Kontinuerligt, i realtid medan Tjänsterna tillhandahålls.

7. Överföringar till tredjeland. Enligt vad som anges i bilaga III. SCC är införlivade i bilaga IV.

C. Behörig tillsynsmyndighet

Datatilsynet (den norska dataskyddsmyndigheten), datatilsynet.no, Postboks 458 Sentrum, 0105 Oslo, Norge.

Bilaga II: Tekniska och organisatoriska åtgärder

Zizr genomför följande tekniska och organisatoriska åtgärder för att säkerställa fortlöpande konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och Tjänsterna, i enlighet med artikel 32 i GDPR.

1. Åtkomstkontroll och autentisering

• Rollbaserad åtkomstkontroll (RBAC) för interna system och databaser.
• Unika användarkonton för alla teammedlemmar. Delade inloggningar är förbjudna.
• Multifaktorautentisering krävs för administrativ åtkomst.
• Åtkomsträttigheter ses över med jämna mellanrum och återkallas skyndsamt vid byte av roll eller när en medarbetare slutar.
• Principen om lägsta behörighet tillämpas i alla system.

2. Kryptering av data

• Alla data under överföring skyddas med TLS 1.2 eller senare.
• Data i vila krypteras med AES-256 eller motsvarande i Azures infrastruktur.
• Åtkomst till kryptografiska nycklar är begränsad, övervakas och loggas.

3. Säkerhet i infrastruktur och drift

• Primär infrastruktur i Microsoft Azure (France Central), som innehar certifieringar som bland annat ISO 27001 och SOC 2.
• Regelbundna uppdateringar av infrastrukturen och regelbunden patchning av sårbarheter.
• Säkerhetsuppdateringar installeras efter leverantörernas säkerhetsmeddelanden eller interna riskbedömningar.
• Nätverkssegmentering och brandväggsskydd.

4. Säkerhet i databehandlingen

• Personliga identifierare (såsom e-postadresser) hashas där det är praktiskt möjligt före vidare behandling eller före överföring till tredje part.
• Uppgiftsminimering tillämpas som standard. Endast data som är nödvändiga för det angivna ändamålet samlas in.
• Pseudonymisering används där det är praktiskt möjligt.

5. Organisatorisk säkerhet

• All personal är bunden av sekretessavtal och policyer för åtkomstkontroll.
• Personalen får utbildning i dataskydd och säkerhet vid introduktionen och därefter återkommande.
• Åtkomst till Kundpersonuppgifter är begränsad till behörig personal som behöver uppgifterna för att utföra sina arbetsuppgifter.
• Bakgrundskontroller genomförs för personal med åtkomst till produktionssystem, där det är tillåtet enligt lag.

6. Upptäckt och hantering av incidenter

• Loggning och övervakning via Datadog.
• Dokumenterad rutin för incidenthantering (bilaga V).
• Personuppgiftsincidenter meddelas Handlaren i enlighet med avsnitt 12 i Biträdesavtalet.
• Granskningar efter incidenter och grundorsaksanalyser dokumenteras för att förhindra upprepning.

7. Åtskillnad och minimering av data

• Endast data som är nödvändiga för Tjänsterna samlas in och behandlas.
• Handlarspecifika data hålls logiskt åtskilda i system med flera klientorganisationer (multi-tenant).
• Test- och produktionsdata hålls strikt åtskilda, i enlighet med Shopifys nivå 2-krav för skyddade kunduppgifter.

8. Betalningssäkerhet

• All betalningshantering sker via Shopify Billing API. Zizr behandlar inte, lagrar inte och har inte åtkomst till betalkortsinformation.

9. Säkerhetskopiering och återställning

• Azures infrastruktur ger redundans och beständighet för lagrade data.
• Säkerhetskopior krypteras i vila, i enlighet med Shopifys nivå 2-krav.
• Dokumenterade rutiner för säkerhetskopiering och återställning specifikt för Kundpersonuppgifter, med återkommande återställningstester.

10. Sårbarhetshantering

• Regelbunden sårbarhetsskanning och övervakning av beroenden.
• Process för samordnat offentliggörande av sårbarheter som rapporteras externt (privacy@zizr.com).

11. Tillsyn över Underbiträden

• Alla Underbiträden genomgår en säkerhetsbedömning innan de anlitas.
• Företräde ges åt Underbiträden med erkända certifieringar (SOC 2, ISO 27001, ISO 27018 eller motsvarande).
• Avtalen med Underbiträden ålägger skyldigheter som ger minst samma skydd som detta Biträdesavtal.

Bilaga III: Förteckning över underbiträden

Följande Underbiträden anlitas per ikraftträdandedatumet för detta Biträdesavtal. Den aktuella förteckningen finns på https://www.zizr.com/legal/sv/subprocessors och uppdateras i enlighet med avsnitt 8 i detta Biträdesavtal.

OpenAI-inferens utförs via Azure OpenAI Service inom klientorganisationen (tenant) i Microsoft Azure och utgör inte en separat överföring till OpenAI Inc.

Bilaga IV: Standardavtalsklausuler

De standardavtalsklausuler som anges i kommissionens genomförandebeslut (EU) 2021/914 av den 4 juni 2021 införlivas i detta Biträdesavtal genom hänvisning, med följande val:

• Vald modul: Modul två (personuppgiftsansvarig till personuppgiftsbiträde). Modul tre (personuppgiftsbiträde till underbiträde) gäller mellan Zizr och varje Underbiträde utanför EES.
• Klausul 7 (Dockningsklausul): Ingår.
• Klausul 9 (Underbiträden): Alternativ 2, Allmänt skriftligt tillstånd, med 15 dagars varsel.
• Klausul 11 (Tillgång till prövning): Den valfria texten om ett oberoende tvistlösningsorgan har inte valts.
• Klausul 17 (Tillämplig lag): Alternativ 1, irländsk rätt.
• Klausul 18 (Val av forum och jurisdiktion): Domstolarna i Irland.

Den information som krävs i bilagorna till SCC (beskrivning av överföringen, tekniska och organisatoriska åtgärder, förteckning över Underbiträden) finns i bilagorna I, II och III till detta Biträdesavtal.

För överföringar från Storbritannien är UK International Data Transfer Addendum, utfärdat av det brittiska Information Commissioner’s Office, införlivat och kompletterar SCC.

För överföringar från Schweiz anpassas SCC så att de gäller enligt schweizisk dataskyddslagstiftning, med den schweiziska federala dataskydds- och informationskommissionären (FDPIC) som behörig tillsynsmyndighet.

Bilaga V: Rutin för incidenthantering

Denna bilaga beskriver Zizrs rutin för att upptäcka, hantera och underrätta om Personuppgiftsincidenter och andra säkerhetsincidenter som påverkar Kundpersonuppgifter.

1. Definitioner

• Säkerhetsincident. Varje händelse som kan äventyra konfidentialiteten, integriteten eller tillgängligheten hos Zizrs system eller Kundpersonuppgifter.
• Personuppgiftsincident. En Säkerhetsincident som har lett till, eller rimligen kan antas ha lett till, oavsiktlig eller olaglig förstöring, förlust eller ändring av Kundpersonuppgifter eller till obehörigt röjande av eller obehörig åtkomst till Kundpersonuppgifter, enligt definitionen i artikel 4.12 i GDPR.

2. Allvarlighetsklassificering

3. Intern eskalering

När en Säkerhetsincident upptäcks gäller följande:

1. Den teammedlem som upptäcker incidenten rapporterar den omedelbart till den integritetsansvarige och till den jourhavande utvecklingsansvarige.
2. Den integritetsansvarige klassificerar allvarlighetsgraden och inleder hanteringen.
3. Vid P1- och P2-incidenter underrättas CEO och den teknikansvarige inom 1 timme från klassificeringen.
4. Vid P1-incidenter sammankallas ett incidenthanteringsteam inom 4 timmar.

4. Avgränsning och skadebegränsning

Vid P1- och P2-incidenter vidtar incidenthanteringsteamet omedelbara åtgärder för att:

• Avgränsa incidenten (till exempel genom att återkalla inloggningsuppgifter, isolera berörda system, rotera nycklar).
• Säkra bevis och loggar.
• Fastställa omfattningen av berörda uppgifter och registrerade.
• Genomföra skadebegränsande åtgärder för att begränsa ytterligare påverkan.

5. Underrättelse till Handlare

Vid P1-incidenter som utgör en Personuppgiftsincident som påverkar Kundpersonuppgifter underrättar Zizr berörda Handlare:

• Utan onödigt dröjsmål, och under alla omständigheter inom 72 timmar efter att Zizr har fått kännedom om personuppgiftsincidenten.
• Via e-post till Handlarens administratörskontakt och, där det är möjligt, genom meddelande i appen.
• Med det innehåll som krävs enligt avsnitt 12.2 i Biträdesavtalet.

Vid P2-incidenter underrättar Zizr Handlare, om och när det fastställs att Kundpersonuppgifter kan ha påverkats.

6. Dokumentation

Alla Säkerhetsincidenter dokumenteras, inklusive:

• Datum och tid för upptäckt och klassificering.
• Beskrivning av incidenten.
• Berörda system och uppgifter.
• Åtgärder som har vidtagits för att avgränsa, begränsa och lösa incidenten.
• Underrättelser som har lämnats (till vem, när och med vilket innehåll).
• Grundorsaksanalys (för P1-, P2- och P3-incidenter).
• Lärdomar och avhjälpande åtgärder.

Dokumentationen bevaras i minst tre år.

7. Granskning efter incident

Vid P1- och P2-incidenter genomförs en granskning efter incidenten inom 30 dagar från det att incidenten har lösts. Granskningen identifierar strukturella förbättringar, uppdateringar av tekniska och organisatoriska åtgärder och eventuella nödvändiga uppdateringar av denna rutin.

8. Samarbete med Handlare och myndigheter

Zizr samarbetar med Handlare och Tillsynsmyndigheter för att fullgöra skyldigheter avseende underrättelse och utredning, i enlighet med vad som anges i avsnitt 14 i Biträdesavtalet.

Godkännande av dokumentet. Genom att installera Zizr-appen från Shopify App Store och gå vidare förbi godkännandeskärmen i appen bekräftar Handlaren att Handlaren har läst och förstått detta Biträdesavtal, inklusive alla bilagor, och godtagit att vara bunden av det.