Databehandleravtale (DPA)

Databehandleravtale i henhold til artikkel 28 i personvernforordningen (GDPR). Erstatter Databehandleravtale versjon 1.0. Denne Tilleggsavtalen er en del av Quickbutiks Brukervilkår (versjon 2.0).

1. Partene

Denne databehandleravtalen («Databehandleravtalen») inngås mellom:

Databehandler: Quickbutik AB, organisasjonsnummer 556980-9105, Redaregatan 48, SE-252 36 Helsingborg, Sverige («Quickbutik»)

Behandlingsansvarlig: Den kunden som godtar Quickbutiks Brukervilkår og dermed denne Databehandleravtalen («Kunden»)

Databehandleravtalen er en integrert del av Quickbutiks Brukervilkår. Ved å godta Brukervilkårene godtar Kunden også denne Databehandleravtalen. Ved motstrid mellom Databehandleravtalen og Brukervilkårene går Databehandleravtalen foran i spørsmål som gjelder behandling av personopplysninger.

2. Definisjoner

Begreper som er definert i personvernforordningen (EU) 2016/679 («GDPR»), har samme betydning i denne Databehandleravtalen. I tillegg gjelder følgende:

3. Gjenstand og omfang

3.1 Formålet med behandlingen

Quickbutik behandler personopplysninger på vegne av Kunden for å levere Plattformens funksjoner, herunder Nettbutikken, ordrehåndtering, kunderegister, betalingshåndtering og tilhørende supporttjenester. Dette omfatter personopplysninger som når Plattformen fra Egne løsninger, for eksempel via API-et, og personopplysninger som samles inn av Quickbutik Checkout og andre komponenter som Quickbutik leverer for bruk i Egne løsninger. Det omfatter også personopplysninger som behandles i Egne løsninger som Quickbutik hoster (punkt 2.3 i Brukervilkårene), men ikke i tredjepartstjenester som Kundens kode i en slik løsning bruker. Behandling som skjer i Egne løsninger utenfor Plattformen, for eksempel i Kundens egen hosting, analyse eller egne skjemaer, omfattes ikke av denne Databehandleravtalen, og leverandørene Kunden bruker til dette, er ikke Quickbutiks underdatabehandlere.

3.2 Kategorier av registrerte

• Kundens Sluttkunder (forbrukere og bedriftskunder som kjøper fra Kundens Butikk)
• Besøkende på Kundens Salgsflater, i den grad opplysninger om dem behandles i Plattformen, abonnenter på nyhetsbrev og andre som kontakter Kunden gjennom Plattformen eller legger inn innhold, for eksempel anmeldelser
• Andre personer som Kunden lagrer opplysninger om i Plattformen, for eksempel kontaktpersoner hos Kundens leverandører

Quickbutik er behandlingsansvarlig, ikke databehandler, for personopplysninger om Kunden og Kundens brukere som kontoinnehavere, slik det er beskrevet i Personvernerklæringen.

3.3 Typer personopplysninger

Følgende personopplysninger behandles:

Quickbutik behandler ikke sensitive personopplysninger (særlige kategorier av personopplysninger etter artikkel 9 i GDPR) med mindre dette er avtalt i en egen skriftlig avtale, der Kunden har det fulle ansvaret for behandlingsgrunnlaget.

3.4 Behandlingens varighet

Behandlingen pågår så lenge Kundens konto er aktiv og, etter Avtalens opphør, så lenge Quickbutik oppbevarer personopplysninger etter punkt 10 (Opphør og sletting). Denne Databehandleravtalen gjelder i hele denne perioden.

4. Kundens forpliktelser

Kunden er behandlingsansvarlig for personopplysningene som behandles i Plattformen, og er ansvarlig for

• at all behandling har et behandlingsgrunnlag etter artikkel 6 i GDPR (og artikkel 9 for sensitive opplysninger)
• å informere de registrerte om behandlingen gjennom en personvernerklæring i hver av Kundens Salgsflater
• å gi Quickbutik dokumenterte instrukser for behandlingen
• å underrette Quickbutik umiddelbart dersom instrukser er feil eller må endres
• å inngå egne databehandleravtaler med tredjepartstjenester som Kunden selv kobler til (for eksempel eksterne betalings-, logistikk- eller regnskapssystemer)
• at ingen sensitive personopplysninger (særlige kategorier av personopplysninger etter artikkel 9 i GDPR) og ingen fødselsnummer eller andre nasjonale identifikasjonsnumre lagres i Plattformen uten en egen skriftlig avtale
• å oppfylle alle andre forpliktelser etter GDPR som ikke er dekket av denne Databehandleravtalen

5. Quickbutiks forpliktelser

5.1 Behandling etter instrukser

Quickbutik behandler personopplysninger bare etter Kundens dokumenterte instrukser. Uten Kundens samtykke, pålegg fra en tilsynsmyndighet eller krav i ufravikelig lov skal Quickbutik ikke

• samle inn personopplysninger eller utlevere personopplysninger til tredjeparter
• endre metoden for eller formålet med behandlingen
• kopiere eller gjenskape personopplysninger utover det som er nødvendig for drift og sikkerhetskopiering

Dersom Quickbutik mener at en instruks fra Kunden er i strid med GDPR eller annen gjeldende lovgivning, skal Quickbutik umiddelbart informere Kunden og avvente nye instrukser.

5.2 Tekniske og organisatoriske tiltak

Quickbutik gjennomfører egnede tekniske og organisatoriske tiltak i samsvar med artikkel 32 i GDPR, med hensyn til den tekniske utviklingen, gjennomføringskostnadene og behandlingens art. Tiltakene omfatter:

• Kryptering: Data krypteres under overføring og ved lagring, også databaser og sikkerhetskopier.
• Tilgangsstyring: Rollebasert tilgangsstyring etter prinsippet om minste tilgang, og flerfaktorautentisering for intern tilgang til produksjonssystemer.
• Logging og overvåking: Sikkerhetsrelevante hendelser logges og overvåkes.
• Sikkerhetskopiering og gjenoppretting: Regelmessig automatisk sikkerhetskopiering med rutiner for gjenoppretting. Sikkerhetskopiene krypteres og lagres innenfor EU.
• Nettverkssikkerhet: Brannmurer, DDoS-beskyttelse, nettverkssegmentering og regelmessig sårbarhetsskanning.
• Fysisk sikkerhet: Vår primære datalagring og sikkerhetskopiene våre ligger i datasentre innenfor EU som driftes av sertifiserte infrastrukturleverandører. Enkelte underdatabehandlere behandler opplysninger utenfor EU/EØS, slik det fremgår av vedlegg 1.
• Personell: Taushetserklæringer for ansatte, opplæring i personvern og jevnlig gjennomgang av tilganger.

5.3 Protokoll over behandlingsaktiviteter

Quickbutik fører en protokoll over alle kategorier av behandling som utføres på vegne av Kunden, i samsvar med artikkel 30 nr. 2 i GDPR. Protokollen holdes oppdatert og gjøres tilgjengelig for tilsynsmyndigheten på forespørsel.

5.4 Underretningsplikt

Quickbutik skal underrette Kunden uten ugrunnet opphold dersom

• behandlingen av en eller annen grunn er i strid med GDPR eller denne Databehandleravtalen
• Quickbutik blir kontaktet av en tilsynsmyndighet, en registrert eller en tredjepart i en sak som gjelder Kundens personopplysninger
• Quickbutik har til hensikt å gjøre endringer som kan påvirke sikkerheten ved behandlingen

6. Underdatabehandlere

6.1 Generell forhåndsgodkjenning

Kunden gir med dette Quickbutik en generell skriftlig godkjenning på forhånd til å engasjere underdatabehandlere for behandling av personopplysninger. Gjeldende liste over underdatabehandlere står i vedlegg 1.

6.2 Endringer av underdatabehandlere

Quickbutik informerer Kunden minst 30 dager i forveien om planlagte nye underdatabehandlere eller utskifting av eksisterende underdatabehandlere. Informasjonen sendes til Kundens registrerte e-postadresse og publiseres på quickbutik.com/no/legal/platform/dpa.

6.3 Rett til å protestere

Kunden har rett til å protestere mot en ny underdatabehandler innen 30 dager etter varselet. Protesten skal være skriftlig og angi rimelige grunner. Dersom Quickbutik ikke kan imøtekomme protesten, har Kunden rett til å si opp Avtalen med umiddelbar virkning uten kostnad og få tilbakebetalt det Kunden har forhåndsbetalt for gjenværende abonnementstid.

6.4 Krav til underdatabehandlere

Quickbutik sørger for at hver underdatabehandler er bundet av personvernforpliktelser som tilsvarer dem i denne Databehandleravtalen. Quickbutik er ansvarlig overfor Kunden for underdatabehandlernes behandling som for sin egen.

7. Overføring til tredjeland

Quickbutik overfører ikke personopplysninger til land utenfor EU/EØS med mindre minst ett av følgende vilkår er oppfylt:

• Mottakerlandet er omfattet av en gyldig beslutning fra Europakommisjonen om tilstrekkelig beskyttelsesnivå (artikkel 45)
• Det er gitt nødvendige garantier, for eksempel Europakommisjonens standard personvernbestemmelser (SCC), med supplerende tiltak der det kreves (artikkel 46)
• Bindende virksomhetsregler (BCR) som er godkjent av en tilsynsmyndighet (artikkel 47)

Dersom en underdatabehandler er etablert utenfor EU/EØS, fremgår dette av vedlegg 1 sammen med overføringsgrunnlaget som benyttes.

Quickbutik underretter Kunden uten ugrunnet opphold om rettslig utvikling som påvirker lovligheten av en overføring (for eksempel at en beslutning om tilstrekkelig beskyttelsesnivå blir kjent ugyldig).

8. Brudd på personopplysningssikkerheten

8.1 Underretning

Quickbutik underretter Kunden om brudd på personopplysningssikkerheten uten ugrunnet opphold og senest 48 timer etter at Quickbutik har fått kjennskap til bruddet. Underretningen sendes til Kundens registrerte e-postadresse.

8.2 Innholdet i underretningen

Underretningen skal inneholde

• en beskrivelse av bruddets art, herunder kategoriene av og omtrentlig antall berørte registrerte og registreringer av personopplysninger
• kontaktopplysninger for mer informasjon
• en beskrivelse av de sannsynlige konsekvensene
• en beskrivelse av tiltakene som er truffet og som foreslås

Dersom fullstendig informasjon ikke er tilgjengelig på tidspunktet for underretningen, skal den suppleres fortløpende uten ugrunnet opphold.

8.3 Tiltak og bistand

Quickbutik treffer umiddelbare tiltak for å begrense skaden og bistår Kunden med å oppfylle Kundens forpliktelser overfor tilsynsmyndigheten og de registrerte (artikkel 33 og 34 i GDPR).

8.4 Kontakt ved brudd

Kunden rapporterer mistanke om brudd på personopplysningssikkerheten til security@quickbutik.com.

9. De registrertes rettigheter, revisjon og DPIA

9.1 Bistand ved forespørsler fra registrerte

Quickbutik bistår Kunden gjennom egnede tekniske tiltak slik at Kunden kan oppfylle sin plikt til å besvare forespørsler fra registrerte (rett til innsyn, sletting, dataportabilitet osv. etter artikkel 15 til og med 22 i GDPR). Quickbutik besvarer Kundens anmodning om bistand innen 10 arbeidsdager.

9.2 Vurdering av personvernkonsekvenser og forhåndsdrøftinger

Quickbutik bistår Kunden med vurderinger av personvernkonsekvenser (DPIA) og forhåndsdrøftinger med tilsynsmyndigheten (artikkel 35 og 36 i GDPR) der det kreves, med hensyn til behandlingens art og informasjonen Quickbutik har tilgang til.

9.3 Revisjon

Kunden har rett til selv eller gjennom en kvalifisert tredjepart å revidere Quickbutiks behandling av personopplysninger. Følgende gjelder for revisjoner:

• Kunden varsler Quickbutik minst 30 dager i forveien
• Revisjonen gjennomføres i vanlig arbeidstid og på en måte som gir minst mulig forstyrrelse av Quickbutiks virksomhet
• En tredjepart som gjennomfører revisjonen, skal være bundet av taushetsplikt
• Quickbutik stiller relevant dokumentasjon til rådighet og legger til rette for nødvendige inspeksjoner
• Kunden dekker kostnaden for revisjonen, med mindre revisjonen avdekker vesentlige mangler i Quickbutiks etterlevelse
• Revisjoner er begrenset til høyst én gang per 12-månedersperiode, med mindre et bekreftet brudd på personopplysningssikkerheten gir grunn til ytterligere gjennomgang

Quickbutik har rett til i første omgang å oppfylle revisjonskravet ved å fremlegge skriftlig dokumentasjon av sine tekniske og organisatoriske tiltak, inkludert dokumentasjon av underdatabehandlernes sertifiseringer (for eksempel AWS ISO 27001). En inspeksjon på stedet kreves bare dersom dokumentasjonen ikke oppfyller Kundens berettigede krav.

10. Opphør og sletting

Når Avtalen opphører, skal Quickbutik

• fortsette å behandle personopplysninger i overgangsperioden på 30 dager som er angitt i Brukervilkårene, utelukkende for å muliggjøre dataeksport og i den grad det er nødvendig etter Tjenestespesifikke vilkår som fortsatt gjelder
• etter overgangsperioden slette alle personopplysninger som er behandlet på vegne av Kunden, innen 90 dager, og senest 120 dager etter Avtalens opphør. Opplysninger som er nødvendige mens Tjenestespesifikke vilkår fortsatt gjelder, for eksempel Quickbutik Checkout Terms, oppbevares så lenge disse vilkårene gjelder, inkludert bestemmelser i disse vilkårene som gjelder også etter opphør (punkt 5.5 i Brukervilkårene). Inndata og Utdata som AI-leverandører oppbevarer for å overvåke misbruk, slik det er beskrevet i vedlegg 1, kan oppbevares i periodene som er angitt der. Sikkerhetskopier overskrives etter Quickbutiks ordinære rotasjonsplan og brukes frem til da bare til gjenoppretting
• på Kundens anmodning gi en skriftlig bekreftelse på at slettingen er gjennomført

Sletteplikten gjelder ikke opplysninger som Quickbutik er pålagt å oppbevare etter lov (for eksempel bokføringslovgivning). Slike opplysninger behandles utelukkende for dette formålet og er fortsatt omfattet av taushetsplikten og sikkerhetstiltakene i denne Databehandleravtalen.

11. AI-behandling av personopplysninger

Når Quickbutik bruker AI-funksjoner som behandler personopplysninger (for eksempel assistenten Quick og andre AI-agenter som Quickbutik leverer), gjelder følgende. Begrepene AI-tjenester, Inndata og Utdata har samme betydning som «AI Services», «Input» og «Output» har i Quickbutik AI Services Additional Terms.

• Behandlingen skjer utelukkende for å levere Plattformens funksjoner på vegne av Kunden
• Personopplysninger brukes ikke til å trene AI-modeller
• Kunden instruerer Quickbutik om å anonymisere personopplysninger slik at de kan brukes i aggregert form etter punkt 7.3 i Brukervilkårene
• Quickbutiks MCP-server har en GDPR-modus som kan aktiveres for Kundens Butikk. Når GDPR-modus er aktiv, mottar AI-funksjoner som får tilgang til Kundedata via MCP-serveren, for eksempel assistenten Quick, Sluttkunders navn og kontaktopplysninger i kunde- og bestillingsregistre i maskert form. Andre Kundedata, for eksempel fritekst i bestillinger og produktanmeldelser, maskeres ikke. Når GDPR-modus ikke er aktiv, kan AI-tjenestene behandle slike personopplysninger slik det er beskrevet i dette punktet
• Dersom Kunden kobler sin egen AI-agent eller AI-tjeneste til Plattformen, for eksempel via MCP, er leverandøren av denne tjenesten engasjert av Kunden og er ikke underdatabehandler for Quickbutik
• Kunden er ansvarlig for å informere sine Sluttkunder om AI-basert behandling i samsvar med artikkel 13 og 14 i GDPR og KI-forordningen
• Automatiserte avgjørelser med rettsvirkning (artikkel 22 i GDPR) krever at Kunden aktivt konfigurerer dem, og Kunden er ansvarlig for behandlingsgrunnlaget
• AI-leverandørene som behandler personopplysninger som underdatabehandlere, er oppført i vedlegg 1

12. Ansvar

Quickbutik er ansvarlig overfor Kunden for skade som oppstår fordi Quickbutik ikke oppfyller sine forpliktelser etter denne Databehandleravtalen eller handler utenfor Kundens dokumenterte instrukser.

Quickbutik er fritatt for ansvar dersom Quickbutik beviser at Quickbutik på ingen måte er ansvarlig for hendelsen som førte til skaden.

Kunden skal holde Quickbutik skadesløs for krav som rettes mot Quickbutik, og som skyldes Kundens uriktige eller mangelfulle instrukser.

Ansvarsbegrensningen i punkt 13 i Brukervilkårene gjelder for krav mellom Partene etter denne Databehandleravtalen. Ansvarsfraskrivelsen for tap av data i punkt 13.2 gjelder likevel ikke brudd på personopplysningssikkerheten som Quickbutik er ansvarlig for etter denne Databehandleravtalen. Ansvarsbegrensningen begrenser ikke ansvar overfor registrerte eller tilsynsmyndigheter når ansvaret ikke kan begrenses etter GDPR (herunder artikkel 82).

13. Kontakt

14. Tvister og lovvalg

Denne Databehandleravtalen skal tolkes og anvendes i samsvar med svensk rett. Tvister avgjøres i samsvar med punkt 17 i Brukervilkårene (med Helsingborg tingrett (Helsingborgs tingsrätt) som første instans).

Denne Databehandleravtalen er utarbeidet på engelsk, og den engelske versjonen er juridisk bindende. Punkt 17.3 i Brukervilkårene gjelder for oversettelser.

Vedlegg 1: Liste over underdatabehandlere

Sist oppdatert: 12. november 2026

Den gjeldende versjonen publiseres fortløpende på quickbutik.com/no/legal/platform/dpa. Listen omfatter også leverandører som Quickbutik bruker til kundesupport og internt arbeid, eller til kontosikkerhet som tofaktorautentisering, og som kan behandle personopplysninger i forbindelse med Kundens supportsaker eller brukerkontoer. For opplysninger der Quickbutik er behandlingsansvarlig, er disse leverandørene Quickbutiks databehandlere.

Adyen er underdatabehandler bare for behandlingen som Quickbutik styrer i Quickbutik Checkout, for eksempel konfigurasjon og risiko- og utbetalingsinstrukser. For betalingshåndtering og forebygging av svindel, som Adyen leverer som egne tjenester etter Adyens vilkår i Quickbutik Checkout Terms, behandler Adyen, i likhet med leverandørene av betalingsmetoder, opplysninger som selvstendig behandlingsansvarlig etter sine egne vilkår og sin egen personvernerklæring.

AI-leverandørene (Anthropic Ireland, Limited, OpenAI Ireland Ltd. og Cloudflare) kan oppbevare Inndata og Utdata i en begrenset periode for å drifte tjenestene sine og avdekke misbruk, og lenger når loven krever det eller når innhold flagges for å være i strid med retningslinjene deres for bruk. Gjeldende oppbevaringstider: Anthropic sletter Inndata og Utdata innen 30 dager, eller oppbevarer dem i opptil 2 år dersom de flagges for å være i strid med Anthropics retningslinjer for bruk. OpenAI oppbevarer Inndata og Utdata i loggene sine for overvåking av misbruk i opptil 30 dager. Cloudflare oppbevarer ikke Inndata eller Utdata etter behandlingen, unntatt i lagringstjenester som Quickbutik bruker for å levere AI-tjenestene.

Kunden varsles om endringer i denne listen i samsvar med punkt 6.2 i Databehandleravtalen (30 dagers varsel).