Personuppgiftsbiträdesavtal

1. Parter och omfattning

Avtalet gäller mellan dig som handlare, som är personuppgiftsansvarig, och [Bolagsnamn AB], organisationsnummer [Org.nr], [Adress], som är personuppgiftsbiträde. Det ingås när du godkänner användarvillkoren i appen, och vi sparar vilken version som godkändes, när och av vem.

Avtalet gäller alla personuppgifter som vi behandlar åt dig när vi levererar Storeassist. Om användarvillkoren och det här avtalet säger olika saker om personuppgifter gäller det här avtalet. Begrepp har samma betydelse som i dataskyddsförordningen.

2. Föremål, varaktighet, art och ändamål

Föremål: personuppgifter i din Shopify-butik och i Storeassist som behövs för de funktioner du använder.
Varaktighet: så länge du använder Storeassist, och därefter tills uppgifterna har raderats enligt punkt 10.
Art: insamling via Shopifys API och våra portaler, lagring, läsning, sammanställning, överföring till bokföringstjänsten du kopplat, utskick av e-post och radering.
Ändamål: fakturering och bokföring, B2B-butiker, kundklubb, inköp och leverantörsportal, lager och inventering, etiketter, rapporter och prognoser.

Kategorier av registrerade och personuppgifter står i bilaga 1.

3. Dina instruktioner

Vi behandlar personuppgifterna bara enligt dina dokumenterade instruktioner. Instruktionerna är användarvillkoren, det här avtalet och de inställningar och val du gör i Storeassist. Om lag kräver annan behandling informerar vi dig innan, om lagen tillåter det.

Om vi anser att en instruktion strider mot dataskyddsförordningen säger vi till direkt och väntar med den behandlingen tills du har bekräftat eller ändrat instruktionen.

4. Sekretess

Bara personer som behöver uppgifterna för att leverera eller underhålla tjänsten får åtkomst till dem, och de har skriftligt åtagit sig att hålla dem hemliga. Sekretessen gäller även efter avtalets slut.

5. Säkerhet

Vi vidtar de tekniska och organisatoriska åtgärder som artikel 32 kräver. De står i bilaga 2. Vi kan förbättra åtgärderna, men aldrig sänka den samlade skyddsnivån.

6. Underbiträden

Du ger oss ett allmänt förhandstillstånd att anlita underbiträden. De vi anlitar i dag står i bilaga 3 och på sidan Underbiträden.

Innan vi lägger till eller byter ett underbiträde meddelar vi butikens ägare via e-post minst 30 dagar i förväg och uppdaterar sidan.
Du kan invända på saklig grund innan ändringen gäller. Om vi inte kan lösa invändningen får du säga upp avtalet innan ändringen gäller.
Varje underbiträde binds av ett skriftligt avtal med samma skyldigheter som i det här avtalet.
Vi ansvarar mot dig för underbiträdets behandling som för vår egen.

7. Överföring till tredje land

Vi behandlar och lagrar personuppgifterna inom EU/EES. Om ett underbiträde har sin hemvist utanför EU/EES sker överföringen bara med skydd enligt kapitel V i dataskyddsförordningen, till exempel EU:s standardavtalsklausuler eller EU–US Data Privacy Framework.

8. Hjälp till dig

Vi hjälper dig att uppfylla dina skyldigheter mot de registrerade och enligt artiklarna 32–36:

Radering: när Shopify skickar customers/redact raderar Storeassist automatiskt kundens fakturalogg för de berörda ordrarna, kopplingen till bokföringens kundnummer och kundklubbsdata.
Tillgång: kunduppgifterna visas per order, kund och medlem i appen. På begäran tar vi fram en export i ett maskinläsbart format inom 10 arbetsdagar.
Annan radering eller rättelse som appen inte kan göra själv, till exempel en enskild B2B-köpare, gör vi på din skriftliga begäran inom 30 dagar.
Får vi en begäran direkt från en registrerad skickar vi den vidare till dig inom 5 arbetsdagar och svarar inte själva.
Vi lämnar den information du behöver för en konsekvensbedömning eller ett förhandssamråd med Integritetsskyddsmyndigheten.

9. Personuppgiftsincidenter

Vi underrättar dig utan onödigt dröjsmål och senast 48 timmar efter att vi fått kännedom om en personuppgiftsincident som rör dina uppgifter. Underrättelsen skickas till butikens ägare via e-post. Du har sedan 72 timmar på dig att anmäla incidenten till Integritetsskyddsmyndigheten, om den ska anmälas.

Underrättelsen innehåller så långt det är känt:

vad som hänt, när och hur vi upptäckte det,
vilka kategorier av registrerade och uppgifter som berörs, och ungefär hur många,
troliga konsekvenser,
vad vi har gjort och föreslår för att begränsa skadan,
en kontaktperson hos oss.

Det som inte är känt ännu lämnar vi så snart vi vet det. Vi dokumenterar varje incident och hjälper dig med underrättelser till de registrerade.

10. Radering och återlämnande

När du avinstallerar Storeassist raderar vi direkt Shopify-sessioner, åtkomstnycklar till bokföringen och köade jobb, och stänger av personalens åtkomst. Shopify skickar shop/redact 48 timmar efter avinstallationen, och då raderar vi alla personuppgifter vi behandlar åt dig. Raderade uppgifter försvinner ur säkerhetskopiorna inom 14 dagar.

Vill du ha tillbaka uppgifterna, mejla oss innan du avinstallerar så lämnar vi en export i ett maskinläsbart format. Vi sparar inga kopior om inte lag kräver det.

11. Granskning

Vi ger dig den information som behövs för att visa att vi följer artikel 28, i första hand som skriftliga svar och dokumentation. Om det inte räcker får du, eller en oberoende granskare med tystnadsplikt, granska oss en gång per år med 30 dagars varsel, på din bekostnad och utan att andra kunders uppgifter röjs. Vid en incident eller en myndighets begäran får du granska oftare.

Vi för ett register över behandlingen enligt artikel 30.2.

12. Giltighet och ansvar

Avtalet gäller så länge vi behandlar personuppgifter åt dig. Ansvar mellan parterna regleras av artikel 82 i dataskyddsförordningen och ansvarsbegränsningen i användarvillkoren, i den mån tvingande lag tillåter. Svensk lag gäller.

Frågor om avtalet: [kontakt@storeassist.io].

Bilaga 1. Behandlingens detaljer

Registrerade och personuppgifter
Registrerade	Personuppgifter
Dina kunder	Namn, e-post, telefon, faktura- och leveransadress, företagsnamn, organisationsnummer (för enskilda firmor kan det vara ett personnummer), ordrar, betalningar, returer, återbetalningar, Shopify-kund-id och kundnummer i bokföringen.
Kundklubbens medlemmar	Kund-id, medlemsnummer, poäng och poänghistorik, total köpsumma, födelsedag om den lämnats, samtycke till utskick och var kunden gick med.
B2B-köpare och deras kontaktpersoner	Företag, namn, e-post, leveransadresser med kontaktpersonens namn, telefon och e-post, ordrar, hashade inloggningskoder och sessioner.
Leverantörers kontaktpersoner	Namn, e-post, telefon, anteckningar, och svar och uppladdade filer via leverantörsportalen.
Din personal	Namn och e-post från Shopify-sessionen, namnet på den som utfört en åtgärd, och e-post för inbjudningar.

Särskilda kategorier av personuppgifter (artikel 9) behövs inte för tjänsten. Skriv inte in sådana uppgifter i fritextfält som anteckningar.

Lagringstider per uppgift står i integritetspolicyn.

Bilaga 2. Tekniska och organisatoriska åtgärder

Drift och nätverk

Servern står i UpClouds datacenter i Stockholm med fysiskt skydd och tillträdeskontroll.
Två brandväggar: UpClouds brandvägg släpper bara in webbtrafik (HTTP och HTTPS), och SSH bara från en godkänd adress. Värdens egen brandvägg begränsar SSH-försök per avsändare.
SSH bara med nyckel; root-inloggning och lösenord är avstängda. fail2ban spärrar upprepade försök.
Säkerhetsuppdateringar installeras automatiskt varje natt.
Databasen nås bara inifrån serverns interna nätverk och är inte exponerad mot internet.
Containrarna körs utan möjlighet att utöka sina rättigheter (no-new-privileges).

Kryptering

All trafik går över TLS. app.storeassist.io skickar HSTS och får inte visas i ramar från andra webbplatser.
Serverns diskar och alla säkerhetskopior är krypterade. Den externa kopian krypteras innan den lämnar servern, och nyckeln finns inte hos lagringsleverantören.
Uppladdade filer, bokföringsunderlag och bilder till B2B-butiker lagras hos Cloudflare R2 i EU. De krypteras i vila av Cloudflare men inte med vår egen nyckel. Privata filer hämtas bara via appen efter behörighetskontroll; bilder till B2B-butiker är publika för den som har länken.
Åtkomstnycklar till Fortnox och Visma eEkonomi och nycklar för tvåstegsverifiering krypteras dessutom i databasen med AES-256-GCM.
Lösenord hashas med argon2id. Sessionsnycklar, inloggningskoder och länknycklar är 256-bitars slumpvärden som bara sparas som SHA-256-hashar.

Åtkomst i appen

Konton skapas bara via koppling från Shopify eller inbjudan, aldrig fri registrering.
Tre roller: personal, administratör och ägare. Personal ser aldrig kunders e-post, telefon eller adresser; uppgifterna tas bort på servern innan svaret skickas.
Tvåstegsverifiering krävs för ägare och administratörer. Nya enheter bekräftas med en engångskod.
Webbsessioner upphör efter 12 timmars inaktivitet och senast efter 30 dagar; mobilsessioner efter 30 dagar utan användning och senast efter 90 dagar. Alla sessioner kan ses och avslutas, även alla på en gång.
Att koppla eller koppla från bokföringen kräver rollen ägare och en ny inloggning inom de senaste 5 minuterna.
Varje formulär på app.storeassist.io kontrollerar ursprung och CSRF-token. Inloggning och API har gränser för antal försök.

Åtskillnad och dataminimering

Varje databasfråga avgränsas till den inloggade butiken, och automatiska tester visar att en annan butiks id ger "hittades inte".
Storeassist läser kunduppgifter från Shopify när de behövs och sparar bara det som en funktion kräver.
Automatisk rensning tar bort utgångna sessioner, koder, inbjudningar, gamla jobb och e-post enligt lagringstiderna.

Loggning och övervakning

En granskningslogg sparar vem som läst eller ändrat kunduppgifter, när, vilken post och vilka fält, men aldrig själva uppgifterna.
Applikationens loggar sparar inte lösenord, koder, nycklar, besökares IP-adresser eller kunduppgifter. Länknycklar tas bort ur loggade adresser.
Appens hälsa kontrolleras var 15:e sekund. En ny version som inte blir frisk rullas tillbaka automatiskt.

Säkerhetskopior och återställning

Krypterad säkerhetskopia av hela databasen varje natt, sparad i 14 dagar på servern och som extern krypterad kopia hos Cloudflare R2 i EU.
Lagrade filer ingår inte i säkerhetskopiorna. Varje fil har en SHA-256-kontrollsumma i databasen som kontrolleras vid varje läsning, så att en ändrad eller förlorad fil upptäcks.
Återställning provas varje kvartal genom att en säkerhetskopia läses in i en separat databas och kontrolleras.

Organisation

Bara den som behöver det har åtkomst till servern och produktionsdata, och åtkomsten granskas varje kvartal.
Skriftliga rutiner för incidenthantering, säkerhetskopiering och dataförlust, lagringstider och åtkomst.
Alla med åtkomst har skriftlig tystnadsplikt.
Datorer som används för drift har krypterad disk, skärmlås och uppdaterat operativsystem, och produktionsdata sparas inte lokalt.
Varje ändring testas automatiskt innan den driftsätts.

Bilaga 3. Underbiträden

Gällande lista, med ändringslogg, finns på sidan Underbiträden.

Underbiträden
Underbiträde	Uppgift	Personuppgifter	Plats	Skydd vid överföring
UpCloud Ltd (Finland)	Server, databas och nattliga säkerhetskopior på krypterade diskar i UpClouds datacenter i Stockholm.	Allt som Storeassist lagrar.	Sverige (EU)	Behandlas inom EU/EES.
Cloudflare, Inc. (USA)	R2-lagring av uppladdade filer (leverantörsportalen, importer), bokföringsunderlag och bilder till B2B-butiker, och av en extern kopia av de nattliga säkerhetskopiorna. Cloudflare sköter även DNS för storeassist.io, men trafiken går inte via Cloudflare.	Filerna kan innehålla leverantörers kontaktuppgifter, kunduppgifter i bokföringsunderlag och proformor samt utbetalningsfiler. De krypteras i vila av Cloudflare men inte med vår egen nyckel. Säkerhetskopiorna krypteras på vår server innan de skickas, och Cloudflare har inte nyckeln. DNS hanterar inga personuppgifter.	EU (R2-lagring)	EU:s standardavtalsklausuler och EU–US Data Privacy Framework.
Resend (Plus Five Five, Inc., USA)	Skickar e-post från Storeassist: inloggningskoder, inbjudningar, aviseringar och B2B-mejl. Utan spårning av öppningar och klick.	Mottagarens e-postadress samt mejlets ämne och innehåll.	Irland (EU)	EU:s standardavtalsklausuler.