Avtal
Personuppgiftsbiträdesavtal
Hur Norvek behandlar dina kunders uppgifter för din räkning.
Version 1.0Gäller från 9 november 202611 kapitelCirka 3 min läsning
Innehåll
Detta personuppgiftsbiträdesavtal utgör en bilaga till Allmänna villkor och uppfyller kraven i artikel 28.3 dataskyddsförordningen (EU) 2016/679 (GDPR). Avtalet gäller automatiskt när Handlaren använder funktioner där Norvek behandlar personuppgifter för Handlarens räkning.
Kapitel 1
Roller och tillämpning
Parter
Handlaren är personuppgiftsansvarig och [Bolagets fullständiga namn], organisationsnummer [Organisationsnummer], är personuppgiftsbiträde för de personuppgifter som anges i kapitel 3.
När avtalet tillämpas
Plattformens Shopify-integration hämtar för närvarande inte uppgifter om Slutkunder. Avtalet blir tillämpligt i den utsträckning Slutkunders personuppgifter behandlas av Norvek, till exempel när orderhantering används.
Definitioner
Begrepp i detta avtal har samma betydelse som i GDPR.
Kapitel 2
Instruktioner
Dokumenterade instruktioner
Norvek behandlar personuppgifter endast enligt Handlarens dokumenterade instruktioner. Detta avtal, Allmänna villkor och Handlarens konfiguration av Plattformen utgör instruktionerna.
Undantag enligt lag
Om unionsrätt eller svensk rätt kräver annan behandling informerar Norvek Handlaren innan behandlingen sker, om inte sådan information är förbjuden enligt lag.
Olaglig instruktion
Norvek ska omedelbart informera Handlaren om en instruktion enligt Norveks bedömning strider mot dataskyddsreglerna.
Handlarens ansvar
Handlaren ansvarar för att det finns rättslig grund för behandlingen och att Slutkunder har informerats i enlighet med artiklarna 13 och 14 GDPR.
Kapitel 3
Behandlingens omfattning
Beskrivning av behandlingen
Behandlingen har följande omfattning.
| Moment | Beskrivning |
|---|---|
| Ändamål | Att förmedla, utföra och följa upp beställningar samt hantera reklamationer och returer |
| Art | Lagring, överföring till Leverantörer och transportörer, sökning, radering |
| Registrerade | Handlarens Slutkunder och mottagare av försändelser |
| Personuppgifter | Namn, leveransadress, e-postadress, telefonnummer, ordernummer, köpta produkter och spårningsuppgifter |
| Särskilda kategorier | Ska inte behandlas i Plattformen |
| Varaktighet | Under avtalstiden och till dess radering har skett enligt kapitel 10 |
Kapitel 4
Säkerhet och sekretess
Säkerhetsåtgärder
Norvek vidtar de tekniska och organisatoriska åtgärder som krävs enligt artikel 32 GDPR, däribland krypterad överföring, behörighetsstyrning, säkerhetskopiering och de åtgärder som beskrivs i Säkerhetspolicy.
Sekretess
Personer som arbetar under Norveks ledning och har tillgång till personuppgifterna ska omfattas av tystnadsplikt eller lagstadgad sekretess.
Kapitel 5
Underbiträden
Allmänt godkännande
Handlaren ger Norvek ett allmänt förhandsgodkännande att anlita underbiträden. Aktuell förteckning finns i Underbiträden och leverantörer.
Ändringar
Norvek informerar Handlaren minst 30 dagar innan ett underbiträde läggs till eller byts ut. Handlaren får invända av sakliga skäl inom denna tid. Kan parterna inte enas får Handlaren säga upp berörd tjänst.
Avtal med underbiträden
Norvek ska ingå skriftligt avtal med varje underbiträde som ålägger denne motsvarande skyldigheter och ansvarar gentemot Handlaren för underbiträdets fullgörande.
Kapitel 6
Överföring till tredje land
Villkor för överföring
Personuppgifter får överföras utanför EU och EES endast om det finns stöd enligt kapitel V GDPR, såsom beslut om adekvat skyddsnivå eller standardavtalsklausuler.
Kapitel 7
Bistånd
Registrerades rättigheter
Norvek ska, med hänsyn till behandlingens art, hjälpa Handlaren att besvara begäran från registrerade. Begäran som når Norvek direkt vidarebefordras utan onödigt dröjsmål.
Övrigt bistånd
Norvek ska bistå Handlaren med att fullgöra skyldigheter enligt artiklarna 32 till 36 GDPR. Bistånd som går utöver vad som är normalt får debiteras enligt skälig timkostnad.
Kapitel 8
Personuppgiftsincidenter
Anmälan
Norvek ska utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident underrätta Handlaren och lämna den information som krävs enligt artikel 33 GDPR, i den mån den är tillgänglig.
Kapitel 9
Granskning
Rätt till information och revision
Norvek ska ge Handlaren tillgång till all information som krävs för att visa att skyldigheterna i artikel 28 GDPR har fullgjorts och möjliggöra granskning. Granskning ska föranmälas minst 30 dagar i förväg, utföras under kontorstid och inte röja annan kunds uppgifter. Handlaren står kostnaden.
Kapitel 10
Radering och återlämnande
Vid avtalets upphörande
När behandlingen upphör ska Norvek enligt Handlarens val radera eller återlämna personuppgifterna inom 30 dagar, om inte lagring krävs enligt unionsrätt eller svensk rätt. Säkerhetskopior skrivs över inom 14 dagar.
Shopify
När en Butik avinstallerar anslutningen eller Shopify begär radering raderas tillhörande uppgifter i enlighet med Shopifys krav.
Kapitel 11
Ansvar och giltighet
Ansvar
Ansvaret mellan parterna regleras av artikel 82 GDPR och ansvarsbegränsningarna i Allmänna villkor, i den mån sådan begränsning är tillåten.
Giltighet
Detta avtal gäller så länge Norvek behandlar personuppgifter för Handlarens räkning. Tillämplig lag och tvistlösning följer av Allmänna villkor.