Databehandleraftale (DPA)

Databehandleraftale efter artikel 28 i databeskyttelsesforordningen (GDPR). Erstatter Databehandleraftale version 1.0. Denne Tillægsaftale er en del af Quickbutiks Brugervilkår (version 2.0).

1. Parterne

Denne Databehandleraftale (»Databehandleraftalen«) indgås mellem:

Databehandler: Quickbutik AB, organisationsnummer 556980-9105, Redaregatan 48, SE-252 36 Helsingborg, Sverige (»Quickbutik«)

Dataansvarlig: Den kunde, der accepterer Quickbutiks Brugervilkår og dermed denne Databehandleraftale (»Kunden«)

Databehandleraftalen er en integreret del af Quickbutiks Brugervilkår. Når Kunden accepterer Brugervilkårene, accepterer Kunden også denne Databehandleraftale. Er der modstrid mellem Databehandleraftalen og Brugervilkårene, har Databehandleraftalen forrang i spørgsmål om behandling af personoplysninger.

2. Definitioner

Begreber, der er defineret i databeskyttelsesforordningen (EU) 2016/679 (»GDPR«), har samme betydning i denne Databehandleraftale. Derudover gælder følgende:

3. Genstand og omfang

3.1 Formålet med behandlingen

Quickbutik behandler personoplysninger på vegne af Kunden med det formål at levere Platformens funktioner, herunder Webshoppen, ordrehåndtering, kunderegister, betalingshåndtering og tilhørende supporttjenester. Det omfatter også personoplysninger, der når Platformen fra Egne løsninger, fx via API'et, og personoplysninger, der indsamles af Quickbutik Checkout og andre komponenter, som Quickbutik stiller til rådighed til brug i Egne løsninger. Det omfatter også personoplysninger, der behandles i Egne løsninger, som Quickbutik hoster (pkt. 2.3 i Brugervilkårene), men ikke i tredjepartstjenester, som Kundens kode i en sådan løsning bruger. Behandling, der finder sted i Egne løsninger uden for Platformen, fx i Kundens egen hosting, egne analyseværktøjer eller egne formularer, er ikke omfattet af denne Databehandleraftale, og de leverandører, Kunden bruger til det, er ikke Quickbutiks underdatabehandlere.

3.2 Kategorier af registrerede

• Kundens Slutkunder (forbrugere og erhvervskunder, der køber i Kundens Butik)
• Besøgende på Kundens Salgsflader, hvis oplysninger behandles i Platformen, nyhedsbrevsabonnenter og andre, der kontakter Kunden via Platformen eller indsender indhold som fx anmeldelser
• Andre personer, hvis oplysninger Kunden gemmer i Platformen, fx kontaktpersoner hos Kundens leverandører

Quickbutik er dataansvarlig og ikke databehandler for personoplysninger om Kunden og Kundens brugere som kontohavere, som beskrevet i Privatlivspolitikken.

3.3 Typer af personoplysninger

Følgende personoplysninger behandles:

Quickbutik behandler ikke følsomme personoplysninger (særlige kategorier af personoplysninger efter artikel 9 i GDPR), medmindre det er aftalt i en særskilt skriftlig aftale, og i så fald bærer Kunden det fulde ansvar for behandlingsgrundlaget.

3.4 Behandlingens varighed

Behandlingen varer, så længe Kundens konto er aktiv, og efter Aftalens ophør så længe Quickbutik opbevarer personoplysninger efter pkt. 10 (Ophør). Denne Databehandleraftale gælder i hele perioden.

4. Kundens forpligtelser

Kunden er dataansvarlig for de personoplysninger, der behandles i Platformen, og er ansvarlig for:

• at al behandling har et behandlingsgrundlag efter artikel 6 i GDPR (og artikel 9 for følsomme oplysninger)
• at oplyse de registrerede om behandlingen gennem en privatlivspolitik på hver af Kundens Salgsflader
• at give Quickbutik dokumenteret instruks om behandlingen
• straks at underrette Quickbutik, hvis instrukser er forkerte eller skal ændres
• at indgå egne databehandleraftaler med tredjepartstjenester, som Kunden selv tilkobler (fx eksterne betalings-, logistik- eller regnskabssystemer)
• at der ikke gemmes følsomme personoplysninger (særlige kategorier af personoplysninger efter artikel 9 i GDPR) eller personnumre og andre nationale identifikationsnumre (fx CPR-numre) i Platformen uden en særskilt skriftlig aftale
• at opfylde alle øvrige forpligtelser efter GDPR, som ikke er omfattet af denne Databehandleraftale

5. Quickbutiks forpligtelser

5.1 Behandling efter instruks

Quickbutik behandler kun personoplysninger efter Kundens dokumenterede instruks. Uden Kundens samtykke, et påbud fra en tilsynsmyndighed eller et krav i ufravigelig lovgivning må Quickbutik ikke:

• indsamle personoplysninger eller videregive dem til tredjeparter
• ændre metoden for eller formålet med behandlingen
• kopiere eller gengive personoplysninger ud over, hvad der er nødvendigt for drift og sikkerhedskopiering

Hvis Quickbutik mener, at en instruks fra Kunden er i strid med GDPR eller anden gældende lovgivning, skal Quickbutik straks underrette Kunden og afvente ny instruks.

5.2 Tekniske og organisatoriske foranstaltninger

Quickbutik gennemfører passende tekniske og organisatoriske foranstaltninger efter artikel 32 i GDPR under hensyntagen til det aktuelle tekniske niveau, implementeringsomkostningerne og behandlingens karakter. Foranstaltningerne omfatter:

• Kryptering: Data krypteres under overførsel og i hvile, herunder databaser og sikkerhedskopier.
• Adgangsstyring: Rollebaseret adgangsstyring efter princippet om mindst mulige rettigheder og multifaktorgodkendelse ved intern adgang til produktionssystemer.
• Logning og overvågning: Sikkerhedsrelevante hændelser logges og overvåges.
• Sikkerhedskopiering og gendannelse: Regelmæssige automatiske sikkerhedskopier med procedurer for gendannelse. Sikkerhedskopierne er krypterede og opbevares inden for EU.
• Netværkssikkerhed: Firewalls, DDoS-beskyttelse, netværkssegmentering og regelmæssig sårbarhedsscanning.
• Fysisk sikkerhed: Vores primære datalagring og sikkerhedskopier ligger i datacentre inden for EU, som drives af certificerede infrastrukturleverandører. Nogle underdatabehandlere behandler data uden for EU/EØS, som angivet i bilag 1.
• Medarbejdere: Fortrolighedserklæringer for medarbejdere, uddannelse i databeskyttelse og periodisk gennemgang af adgangsrettigheder.

5.3 Fortegnelse over behandlingsaktiviteter

Quickbutik fører en fortegnelse over alle kategorier af behandlingsaktiviteter, der udføres på vegne af Kunden, efter artikel 30, stk. 2, i GDPR. Fortegnelsen holdes ajour og stilles til rådighed for tilsynsmyndigheden på anmodning.

5.4 Underretningspligt

Quickbutik skal uden unødig forsinkelse underrette Kunden, hvis:

• behandlingen af en eller anden grund er i strid med GDPR eller denne Databehandleraftale
• Quickbutik bliver kontaktet af en tilsynsmyndighed, en registreret eller en tredjepart i en sag om Kundens personoplysninger
• Quickbutik har til hensigt at foretage ændringer, der kan påvirke behandlingssikkerheden

6. Underdatabehandlere

6.1 Forudgående generel skriftlig godkendelse

Kunden giver Quickbutik en forudgående generel skriftlig godkendelse til at gøre brug af underdatabehandlere til behandling af personoplysninger. Den aktuelle liste over underdatabehandlere fremgår af bilag 1.

6.2 Ændringer af underdatabehandlere

Quickbutik giver Kunden meddelelse mindst 30 dage i forvejen om planlagt brug af nye underdatabehandlere eller udskiftning af eksisterende. Meddelelsen sendes til Kundens registrerede e-mailadresse og offentliggøres på quickbutik.com/da/legal/platform/dpa.

6.3 Ret til indsigelse

Kunden har ret til at gøre indsigelse mod en ny underdatabehandler inden for 30 dage efter meddelelsen. Indsigelsen skal være skriftlig og angive rimelige grunde. Kan Quickbutik ikke imødekomme indsigelsen, har Kunden ret til at opsige Aftalen med øjeblikkelig virkning uden omkostninger og til at få refunderet betalingen for den resterende forudbetalte abonnementsperiode.

6.4 Krav til underdatabehandlere

Quickbutik sikrer, at hver underdatabehandler er bundet af databeskyttelsesforpligtelser, der svarer til forpligtelserne i denne Databehandleraftale. Quickbutik er ansvarlig over for Kunden for underdatabehandlernes behandling som for sin egen.

7. Overførsel til tredjelande

Quickbutik overfører ikke personoplysninger til lande uden for EU/EØS, medmindre mindst én af følgende betingelser er opfyldt:

• Modtagerlandet er omfattet af en gyldig afgørelse om tilstrækkeligt beskyttelsesniveau truffet af Europa-Kommissionen (artikel 45)
• Der er givet fornødne garantier, fx Europa-Kommissionens standardkontraktbestemmelser (SCC), med supplerende foranstaltninger, hvor det er nødvendigt (artikel 46)
• Bindende virksomhedsregler (BCR), der er godkendt af en tilsynsmyndighed (artikel 47)

Er en underdatabehandler etableret uden for EU/EØS, fremgår det af bilag 1 sammen med det anvendte overførselsgrundlag.

Quickbutik underretter uden unødig forsinkelse Kunden om retsudvikling, der påvirker lovligheden af en overførsel (fx at en afgørelse om tilstrækkeligt beskyttelsesniveau bliver erklæret ugyldig).

8. Brud på persondatasikkerheden

8.1 Underretning

Quickbutik underretter Kunden om et brud på persondatasikkerheden uden unødig forsinkelse og senest 48 timer efter, at Quickbutik er blevet opmærksom på bruddet. Underretningen sendes til Kundens registrerede e-mailadresse.

8.2 Underretningens indhold

Underretningen skal indeholde:

• en beskrivelse af bruddets karakter, herunder kategorierne og det omtrentlige antal berørte registrerede og registreringer af personoplysninger
• kontaktoplysninger for yderligere information
• en beskrivelse af de sandsynlige konsekvenser
• en beskrivelse af de foranstaltninger, der er truffet eller foreslås truffet

Hvis ikke alle oplysninger er tilgængelige på tidspunktet for underretningen, skal underretningen løbende suppleres uden unødig forsinkelse.

8.3 Foranstaltninger og bistand

Quickbutik træffer straks foranstaltninger for at begrænse skaden og bistår Kunden med at opfylde Kundens forpligtelser over for tilsynsmyndigheden og de registrerede (artikel 33 og 34 i GDPR).

8.4 Kontakt ved brud

Kunden rapporterer formodede brud på persondatasikkerheden til security@quickbutik.com.

9. Den registreredes rettigheder, revision og DPIA

9.1 Bistand med anmodninger fra registrerede

Quickbutik bistår Kunden med passende tekniske foranstaltninger, så Kunden kan opfylde sin forpligtelse til at besvare anmodninger fra registrerede (ret til indsigt, sletning, dataportabilitet osv. efter artikel 15 til 22 i GDPR). Quickbutik besvarer Kundens anmodning om bistand inden for 10 arbejdsdage.

9.2 Konsekvensanalyse vedrørende databeskyttelse og forudgående høring

Quickbutik bistår Kunden med konsekvensanalyser vedrørende databeskyttelse (DPIA) og forudgående høring af tilsynsmyndigheden (artikel 35 og 36 i GDPR), hvor det er påkrævet, under hensyntagen til behandlingens karakter og de oplysninger, Quickbutik har til rådighed.

9.3 Revision

Kunden har ret til selv eller gennem en kvalificeret tredjepart at foretage revision af Quickbutiks behandling af personoplysninger. For revision gælder følgende:

• Kunden giver Quickbutik meddelelse mindst 30 dage i forvejen
• Revisionen gennemføres inden for normal arbejdstid og på en måde, der forstyrrer Quickbutiks drift mindst muligt
• En tredjepart, der gennemfører revisionen, skal være underlagt tavshedspligt
• Quickbutik stiller relevant dokumentation til rådighed og giver mulighed for de nødvendige inspektioner
• Kunden afholder omkostningerne ved revisionen, medmindre revisionen afdækker væsentlige mangler i Quickbutiks overholdelse
• Revision kan højst finde sted én gang pr. 12 måneders periode, medmindre et bekræftet brud på persondatasikkerheden giver anledning til yderligere gennemgang

Quickbutik har ret til i første omgang at opfylde kravet om revision ved at fremlægge skriftlig dokumentation for sine tekniske og organisatoriske foranstaltninger, herunder dokumentation for underdatabehandleres certificeringer (fx AWS ISO 27001). En inspektion på stedet er kun påkrævet, hvis dokumentationen ikke opfylder Kundens berettigede krav.

10. Ophør og sletning

Når Aftalen ophører, skal Quickbutik:

• fortsætte med at behandle personoplysninger i den overgangsperiode på 30 dage, der er fastsat i Brugervilkårene, udelukkende for at muliggøre dataeksport og i det omfang, det er nødvendigt efter Særskilte vilkår, der fortsat gælder
• efter overgangsperioden slette alle personoplysninger, der behandles på vegne af Kunden, inden for 90 dage og senest 120 dage efter Aftalens ophør. Oplysninger, der er nødvendige, mens Særskilte vilkår fortsat gælder, fx Quickbutik Checkout Terms, opbevares, så længe disse vilkår gælder, herunder bestemmelser, der efter disse vilkår gælder efter ophør (pkt. 5.5 i Brugervilkårene). Input og Output, som AI-leverandører opbevarer for at overvåge misbrug, som beskrevet i bilag 1, kan opbevares i de perioder, der er angivet dér. Sikkerhedskopier overskrives efter Quickbutiks faste rotationsplan og bruges indtil da kun til gendannelse
• på Kundens anmodning give skriftlig bekræftelse på, at sletningen er gennemført

Sletningspligten gælder ikke for oplysninger, som Quickbutik er forpligtet til at opbevare efter lovgivningen (fx bogføringslovgivning). Sådanne oplysninger behandles udelukkende til dette formål og er fortsat omfattet af denne Databehandleraftales fortroligheds- og sikkerhedsforanstaltninger.

11. AI-behandling af personoplysninger

Når Quickbutik bruger AI-funktioner, der behandler personoplysninger (fx assistenten Quick og andre AI-agenter, som Quickbutik stiller til rådighed), gælder følgende. Begreberne AI-tjenester, Input og Output har samme betydning som »AI Services«, »Input« og »Output« i Quickbutik AI Services Additional Terms.

• Behandlingen sker udelukkende for at levere Platformens funktioner på vegne af Kunden
• Personoplysninger bruges ikke til at træne AI-modeller
• Kunden instruerer Quickbutik i at anonymisere personoplysninger, så de kan bruges i aggregeret form efter pkt. 7.3 i Brugervilkårene
• Quickbutiks MCP-server har en GDPR-tilstand, der kan aktiveres for Kundens Butik. Når GDPR-tilstand er aktiv, modtager AI-funktioner, der tilgår Kundedata via MCP-serveren, fx assistenten Quick, Slutkunders navne og kontaktoplysninger i kunde- og ordreregistreringer i maskeret form. Andre Kundedata, fx fritekst i ordrer og produktanmeldelser, maskeres ikke. Når GDPR-tilstand ikke er aktiv, kan AI-tjenesterne behandle sådanne personoplysninger som beskrevet i dette punkt
• Tilkobler Kunden sin egen AI-agent eller AI-tjeneste til Platformen, fx via MCP, har Kunden selv indgået aftale med udbyderen af denne tjeneste, og udbyderen er ikke underdatabehandler for Quickbutik
• Kunden er ansvarlig for at oplyse sine Slutkunder om AI-baseret behandling efter artikel 13 og 14 i GDPR og forordningen om kunstig intelligens (AI-forordningen)
• Automatiske afgørelser med retsvirkning (artikel 22 i GDPR) kræver, at Kunden aktivt har konfigureret dem, og Kunden er ansvarlig for behandlingsgrundlaget
• De AI-leverandører, der behandler personoplysninger som underdatabehandlere, fremgår af bilag 1

12. Ansvar

Quickbutik er ansvarlig over for Kunden for skade, der skyldes, at Quickbutik ikke har opfyldt sine forpligtelser efter denne Databehandleraftale eller har handlet uden for Kundens dokumenterede instruks.

Quickbutik fritages for ansvar, hvis Quickbutik beviser, at Quickbutik ikke er skyld i den begivenhed, der medførte skaden.

Kunden skal holde Quickbutik skadesløs for krav mod Quickbutik, der skyldes Kundens forkerte eller mangelfulde instrukser.

Ansvarsbegrænsningen i pkt. 13 i Brugervilkårene gælder for krav mellem Parterne efter denne Databehandleraftale, dog gælder undtagelsen for tab af data i pkt. 13.2 ikke for brud på persondatasikkerheden, som Quickbutik er ansvarlig for efter denne Databehandleraftale. Den begrænser ikke ansvar over for registrerede eller tilsynsmyndigheder i det omfang, ansvaret ikke kan begrænses efter GDPR (herunder artikel 82).

13. Kontakt

14. Tvister og lovvalg

Denne Databehandleraftale skal fortolkes og anvendes efter svensk ret. Tvister afgøres efter pkt. 17 i Brugervilkårene (byretten i Helsingborg, Helsingborgs tingsrätt, som første instans).

Denne Databehandleraftale er udarbejdet på engelsk, og den engelske version er juridisk bindende. For oversættelser gælder pkt. 17.3 i Brugervilkårene.

Bilag 1: Liste over underdatabehandlere

Senest opdateret: 12. november 2026

Den aktuelle version offentliggøres løbende på quickbutik.com/da/legal/platform/dpa. Listen omfatter også leverandører, som Quickbutik bruger til kundesupport og internt arbejde eller til kontosikkerhed som fx tofaktorgodkendelse, og som kan behandle personoplysninger i forbindelse med Kundens supportsager eller brugerkonti. For oplysninger, som Quickbutik er dataansvarlig for, er disse leverandører Quickbutiks databehandlere.

Adyen er kun underdatabehandler for den behandling, som Quickbutik styrer i Quickbutik Checkout, fx konfiguration, risiko- og udbetalingsinstrukser. Ved betalingsbehandling og forebyggelse af svindel som Adyens egne tjenester efter Adyen-vilkårene i Quickbutik Checkout Terms behandler Adyen, ligesom udbyderne af betalingsmetoder, oplysninger som selvstændig dataansvarlig efter sine egne vilkår og sin egen privatlivserklæring.

AI-leverandørerne (Anthropic Ireland, Limited, OpenAI Ireland Ltd. og Cloudflare) kan opbevare Input og Output i en begrænset periode for at drive deres tjenester og opdage misbrug, og i længere tid, hvis lovgivningen kræver det, eller hvis indhold bliver markeret som i strid med deres brugspolitikker. Aktuelle opbevaringsperioder: Anthropic sletter Input og Output inden for 30 dage eller opbevarer dem i op til 2 år, hvis de markeres som i strid med Anthropics brugspolitik. OpenAI opbevarer Input og Output i sine logs til overvågning af misbrug i op til 30 dage. Cloudflare opbevarer ikke Input eller Output efter behandlingen, undtagen i lagringstjenester, som Quickbutik bruger til at levere AI-tjenesterne.

Ændringer af denne liste meddeles Kunden efter pkt. 6.2 i Databehandleraftalen (30 dages varsel).