Personuppgiftsbiträdesavtal (DPA)

1. 1.Avtalet reglerar behandlingen av personuppgifter i samband med tillhandahållandet av Shopify-appen ”SellRules” (”Appen”) mellan den handlare som installerar Appen (”Handlaren”) och JizaiDev, leverantör av Appen (”vi”).
2. 2.Handlaren är personuppgiftsansvarig för köparnas personuppgifter, och vi är personuppgiftsbiträde som behandlar dem enligt Handlarens instruktioner.
3. 3.Vår kontakt: [email protected]

Vi behandlar personuppgifter endast för följande ändamål.

1. 1.Tillämpa försäljningsregler per produkt (förbeställning, tillverkning på beställning, beteende vid slutsålt, köpbegränsningar, handpenning/restbetalning) i butiken, kassan och orderhanteringen
2. 2.Skicka aviseringsmejl till köpare (bekräftelse av förbeställning, försening, leverans, i lager igen, begäran om betalning av restbelopp)
3. 3.Hantera förloppet för förbeställningar och beställningar som tillverkas på beställning samt skriva ut packsedlar
4. 4.Bedöma köpbegränsningar (per beställning och per kund, behörighet via kundtaggar)
5. 5.Hantera Shopifys begäranden om tillgång och radering (customers/data_request, customers/redact, shop/redact)
6. 6.Hantera fel i Appen och förebygga missbruk

Handlaren godkänner att vi anlitar följande underbiträden.

1. 1.Kryptering vid överföring: Appen tar endast emot HTTPS-anslutningar. Kommunikation med Shopify och Resend krypteras också med TLS.
2. 2.Kryptering i vila: Databasen ligger på en krypterad Fly.io-volym, och automatiska ögonblicksbilder är också krypterade. Behörighetsuppgifter för den externa AI-integrationen krypteras dessutom med AES-GCM.
3. 3.Minimal lagring: Leveransadresser och telefonnummer lagras inte. Order-webhooks begränsas till nödvändiga fält, lagras tillfälligt och raderas efter behandling.
4. 4.Åtkomstbegränsning: Administrativ åtkomst till produktionsmiljön är begränsad till våra operatörer. Administrationsvyerna är endast tillgängliga för personal som autentiserats av Shopify.
5. 5.Åtkomstloggning: Visning av packsedlar (med adresser och telefonnummer) och nedladdning av kunddataexporter registreras med personal-ID, antal och tidpunkt och sparas i 365 dagar (utan själva personuppgifterna).
6. 6.Åtskillnad mellan produktions- och testdata: Tester görs i en separat värdmiljö, med en separat databas och en separat Shopify-app med utvecklingsbutiker; produktionsdata används inte för tester.
7. 7.Autentisering: Operatörskonton använder starka lösenord och har tvåstegsverifiering aktiverad.

1. 1.Vi betraktar Appens inställningar och Handlarens åtgärder via Shopify som instruktioner för behandlingen.
2. 2.När en köpare begär tillgång, rättelse eller radering hanterar vi det via Shopifys customers/data_request och customers/redact. Utlämnade uppgifter kan laddas ned i 7 dagar under ”Begäranden om kunddata” i administrationsvyerna.

1. 1.När vi får kännedom om en personuppgiftsincident eller misstanke om en sådan meddelar vi Shopify inom 24 timmar.
2. 2.Berörda Handlare meddelas utan onödigt dröjsmål och senast 72 timmar efter att vi fått kännedom, med följande i den mån det är känt: när och vad som hänt, berörda uppgifter och uppskattat antal poster, vidtagna åtgärder, åtgärder som Handlaren behöver vidta samt vår kontakt. Ytterligare information skickas så snart den finns.
3. 3.Meddelanden skickas till den e-postadress som är registrerad för Handlarens Shopify-butik.
4. 4.Vi begränsar, utreder och åtgärdar incidenter och förebygger upprepning enligt vår interna rutin för incidenthantering, och dokumenterar dem.

1. 1.När Handlaren avinstallerar Appen raderar vi butikens data när händelsen tas emot. Detsamma gäller när shop/redact tas emot.
2. 2.Kopior i automatiska ögonblicksbilder försvinner inom högst 5 dagar. I samtliga fall raderas alla kopior inom 30 dagar efter avinstallationen.
3. 3.Vi kan behålla anonyma sammanställningar som inte innehåller personuppgifter och inte identifierar butiken.

1. 1.På Handlarens begäran tillhandahåller vi information som visar att Avtalet efterlevs (Avtalet, lagringstider, en beskrivning av säkerhetsåtgärderna och antalet åtkomstregistreringar).
2. 2.Granskningar på plats förutsätter skriftlig överenskommelse i förväg, 30 dagars förvarning samt rimlig omfattning och frekvens (högst en gång per år), och bekostas av Handlaren.