Personuppgiftsbiträdesavtal

Parter

Detta personuppgiftsbiträdesavtal utgör en del av avtalet mellan Tacotech AB, org.nr 559259-2132 (”personuppgiftsbiträde”, ”Tacotech”) och den handlare som använder appen Tacotech Affiliate (”personuppgiftsansvarig”, ”ni”). Avtalet ingås automatiskt när ni installerar appen och följer artikel 28 i dataskyddsförordningen (EU) 2016/679.

1. Roller

Ni är personuppgiftsansvariga för era kunders personuppgifter. Tacotech är personuppgiftsbiträde och behandlar uppgifterna enbart enligt era dokumenterade instruktioner. Att installera och konfigurera appen utgör dessa instruktioner.

2. Föremål och varaktighet

Tacotech behandlar uppgifter för att attribuera försäljning i er butik till de publishers som hänvisat den, beräkna provision och rapportera bådadera till er. Behandlingen pågår så länge appen är installerad och upphör när appen avinstalleras och tillhörande uppgifter raderas.

3. Behandlingens art och ändamål

Insamling, lagring, strukturering och överföring av order- och hänvisningsdata för affiliateattribuering, provisionsberäkning, rapportering och fakturering.

4. Kategorier av registrerade

Besökare på och kunder i er webbutik.

5. Typer av personuppgifter

Appen är byggd för att hålla den här kategorin så liten som möjligt. Följande behandlas och lagras:

• Ordernummer och internt orderid
• Ordervärde, valuta och momshantering
• Rabattkoder som använts på en order
• Checkout-id
• Klick- och kanalidentifierare för affiliate, lagrade i en förstapartscookie
• Tidsstämplar och status för order och returer

Behandlas eller lagras inte: kundnamn, e-postadresser, telefonnummer, fakturerings- eller leveransadresser, IP-adresser, ordernoteringar eller egenskaper på orderrader. Där Shopify skickar sådana fält tas de bort innan något skrivs till lagring, genom en teknisk kontroll i applikationen.

6. Biträdets skyldigheter

Tacotech ska:

• Behandla personuppgifter enbart enligt era dokumenterade instruktioner, även vad gäller överföring till tredjeland, om inte annat krävs enligt unionsrätt eller nationell rätt.
• Säkerställa att personer som är behöriga att behandla uppgifterna omfattas av en lämplig sekretessförpliktelse.
• Vidta de tekniska och organisatoriska åtgärder som anges i punkt 8.
• Inte anlita ytterligare biträden utan det godkännande som anges i punkt 7.
• Bistå er, i den mån det är möjligt och med hänsyn till behandlingens art, med att fullgöra er skyldighet att svara på begäran från registrerade.
• Bistå er med att säkerställa efterlevnad av artiklarna 32 till 36 i dataskyddsförordningen, med hänsyn till behandlingens art och den information som finns tillgänglig.
• Efter ert val radera eller återlämna alla personuppgifter när tjänsterna upphör, och radera befintliga kopior, om inte lagring krävs enligt unionsrätt eller nationell rätt.
• Ge tillgång till all information som krävs för att visa att artikel 28 följs, och möjliggöra och bidra till granskning enligt punkt 10.

Tacotech ska omgående informera er om Tacotech anser att en instruktion strider mot dataskyddsförordningen eller andra dataskyddsbestämmelser.

7. Underbiträden

Ni lämnar ett allmänt godkännande till att följande underbiträden anlitas:

Tacotech informerar er i rimlig tid innan ett underbiträde läggs till eller byts ut, och ni kan invända på sakliga dataskyddsgrunder. Tacotech ansvarar fullt ut gentemot er för underbiträdens fullgörande av sina skyldigheter.

8. Tekniska och organisatoriska åtgärder

• Kryptering under överföring. All trafik går över TLS.
• Kryptering av inloggningsuppgifter. Handlarens åtkomsttokens krypteras med AES-256-GCM, och nycklarna förvaras skilda från databasen.
• Inbyggd dataminimering. Personuppgiftsfält tas bort ur inkommande data innan den skrivs till lagring.
• Nätverksisolering. Databasen är inte nåbar från internet.
• Åtkomstkontroll. Åtkomst till interna system kräver namngivna konton. Åtgärder som påverkar en handlares konfiguration loggas.
• Åtskillnad. Uppgifter som tillhör olika handlare hålls åtskilda per butik, och varje anrop autentiseras mot en specifik butik.

9. Personuppgiftsincident

Tacotech ska utan onödigt dröjsmål underrätta er efter att ha fått kännedom om en personuppgiftsincident som berör era uppgifter, och lämna den information ni rimligen behöver för att fullgöra er egen anmälningsskyldighet.

10. Granskning

Efter skriftligt meddelande i rimlig tid, och högst en gång per tolvmånadersperiod om inte en tillsynsmyndighet kräver annat, ska Tacotech tillhandahålla den information som krävs för att visa efterlevnad av detta avtal och medverka vid en granskning som utförs av er eller en revisor ni utser. Granskning sker under kontorstid, får inte störa verksamheten oskäligt och ska respektera sekretessen kring andra kunders uppgifter.

11. Överföring till tredjeland

All behandling sker inom EES. Tacotech överför inte personuppgifter utanför EES utan att först ha infört en lämplig överföringsmekanism och informerat er.

12. Radering

Vid avinstallation meddelar Shopify Tacotech och begär radering av butikens uppgifter. Tacotech raderar butiksposten och tillhörande uppgifter när en sådan begäran tas emot, normalt inom 48 timmar. Uppgifter som krävs för fakturering och bokföring sparas den tid lagen kräver och begränsas till ordernummer, belopp och datum.

Kontakt