Personuppgiftsbiträdesavtal (DPA)

Personuppgiftsbiträdesavtal enligt artikel 28 i dataskyddsförordningen (GDPR). Ersätter Personuppgiftsbiträdesavtal version 1.0. Detta Tilläggsavtal ingår i Quickbutiks Användarvillkor (version 2.0).

1. Parter

Detta personuppgiftsbiträdesavtal (”Biträdesavtalet”) ingås mellan:

Personuppgiftsbiträde: Quickbutik AB, organisationsnummer 556980-9105, Redaregatan 48, 252 36 Helsingborg (”Quickbutik”)

Personuppgiftsansvarig: Den kund som godtar Quickbutiks Användarvillkor och därmed detta Biträdesavtal (”Kunden”)

Biträdesavtalet är en integrerad del av Quickbutiks Användarvillkor. Genom att godta Användarvillkoren godtar Kunden även detta Biträdesavtal. Vid motstridighet mellan Biträdesavtalet och Användarvillkoren har Biträdesavtalet företräde i frågor som rör behandling av personuppgifter.

2. Definitioner

Termer som definieras i dataskyddsförordningen (EU) 2016/679 (”GDPR”) har samma betydelse i detta Biträdesavtal. Därutöver gäller följande:

3. Föremål och omfattning

3.1 Ändamålet med behandlingen

Quickbutik behandlar personuppgifter för Kundens räkning i syfte att tillhandahålla Plattformens funktioner, bland annat Webbutiken, orderhantering, kundregister, betalningshantering och tillhörande supporttjänster. Detta omfattar personuppgifter som når Plattformen från Egna lösningar, till exempel via API:et, och personuppgifter som samlas in av Quickbutik Checkout och andra komponenter som Quickbutik tillhandahåller för användning i Egna lösningar. Det omfattar även personuppgifter som behandlas i Egna lösningar som Quickbutik hostar (punkt 2.3 i Användarvillkoren), men inte i tredjepartstjänster som Kundens kod i en sådan lösning använder. Behandling som sker i Egna lösningar utanför Plattformen, till exempel i Kundens egen hosting, analys eller egna formulär, omfattas inte av detta Biträdesavtal, och de leverantörer som Kunden anlitar för den är inte Quickbutiks underbiträden.

3.2 Kategorier av registrerade

• Kundens Slutkunder (konsumenter och företagskunder som köper från Kundens Butik)
• Besökare i Kundens Webbutiker eller Egna lösningar, i den mån uppgifter om dem behandlas i Plattformen, prenumeranter på nyhetsbrev och andra som kontaktar Kunden via Plattformen eller lämnar innehåll som recensioner
• Andra personer vars uppgifter Kunden lagrar i Plattformen, till exempel kontaktpersoner hos Kundens leverantörer

Quickbutik är personuppgiftsansvarig, inte personuppgiftsbiträde, för personuppgifter om Kunden och dess användare som kontoinnehavare, enligt beskrivningen i Integritetspolicyn.

3.3 Typer av personuppgifter

Följande personuppgifter behandlas:

Quickbutik behandlar inte känsliga personuppgifter (särskilda kategorier av personuppgifter enligt artikel 9 i GDPR) om inte detta har avtalats i ett separat skriftligt avtal, enligt vilket Kunden har det fulla ansvaret för den rättsliga grunden.

3.4 Behandlingens varaktighet

Behandlingen pågår så länge Kundens konto är aktivt och, efter Avtalets upphörande, så länge Quickbutik sparar personuppgifter enligt punkt 10 (Upphörande och radering). Detta Biträdesavtal gäller under hela den tiden.

4. Kundens skyldigheter

Kunden är personuppgiftsansvarig för de personuppgifter som behandlas i Plattformen och ansvarar för

• att all behandling har en rättslig grund enligt artikel 6 i GDPR (och artikel 9 för känsliga uppgifter)
• att informera de registrerade om behandlingen genom en integritetspolicy i var och en av Kundens Webbutiker och Egna lösningar
• att ge Quickbutik dokumenterade instruktioner för behandlingen
• att omedelbart underrätta Quickbutik om instruktioner är felaktiga eller behöver ändras
• att ingå egna personuppgiftsbiträdesavtal med tredjepartstjänster som Kunden själv kopplar in (till exempel externa betal-, logistik- eller bokföringssystem)
• att inga känsliga personuppgifter (särskilda kategorier av personuppgifter enligt artikel 9 i GDPR) och inga personnummer eller andra nationella identifikationsnummer lagras i Plattformen utan ett separat skriftligt avtal
• att fullgöra alla andra skyldigheter enligt GDPR som inte omfattas av detta Biträdesavtal

5. Quickbutiks skyldigheter

5.1 Behandling enligt instruktioner

Quickbutik behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. Utan Kundens samtycke, ett föreläggande från en tillsynsmyndighet eller ett krav i tvingande lag får Quickbutik inte

• samla in personuppgifter eller lämna ut personuppgifter till tredje part
• ändra metoden för eller ändamålet med behandlingen
• kopiera eller återskapa personuppgifter utöver vad som krävs för drift och säkerhetskopiering

Om Quickbutik anser att en instruktion från Kunden strider mot GDPR eller annan tillämplig lagstiftning ska Quickbutik omedelbart informera Kunden och avvakta nya instruktioner.

5.2 Tekniska och organisatoriska åtgärder

Quickbutik vidtar lämpliga tekniska och organisatoriska åtgärder i enlighet med artikel 32 i GDPR, med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art. Åtgärderna omfattar:

• Kryptering: Data krypteras vid överföring och vid lagring, även databaser och säkerhetskopior.
• Behörighetsstyrning: Rollbaserad behörighetsstyrning enligt principen om minsta behörighet, och flerfaktorsautentisering för intern åtkomst till produktionssystem.
• Loggning och övervakning: Säkerhetsrelevanta händelser loggas och övervakas.
• Säkerhetskopiering och återställning: Regelbunden automatisk säkerhetskopiering med rutiner för återställning. Säkerhetskopiorna krypteras och lagras inom EU.
• Nätverkssäkerhet: Brandväggar, DDoS-skydd, nätverkssegmentering och regelbunden sårbarhetsskanning.
• Fysisk säkerhet: Vår huvudsakliga datalagring och säkerhetskopiering finns i datacenter inom EU som drivs av certifierade infrastrukturleverantörer. Vissa underbiträden behandlar uppgifter utanför EU/EES, enligt förteckningen i bilaga 1.
• Personal: Sekretessförbindelser för personal, utbildning i dataskydd och återkommande behörighetsgenomgångar.

5.3 Register över behandling

Quickbutik för ett register över alla kategorier av behandling som utförs för Kundens räkning i enlighet med artikel 30.2 i GDPR. Registret hålls uppdaterat och görs tillgängligt för tillsynsmyndigheten på begäran.

5.4 Underrättelseskyldighet

Quickbutik ska underrätta Kunden utan onödigt dröjsmål om

• behandlingen av någon anledning strider mot GDPR eller detta Biträdesavtal
• Quickbutik kontaktas av en tillsynsmyndighet, en registrerad eller en tredje part i ett ärende som rör Kundens personuppgifter
• Quickbutik avser att göra ändringar som kan påverka säkerheten i behandlingen

6. Underbiträden

6.1 Allmänt skriftligt förhandstillstånd

Genom detta Biträdesavtal ger Kunden Quickbutik ett allmänt skriftligt förhandstillstånd att anlita underbiträden för behandling av personuppgifter. Den aktuella förteckningen över underbiträden finns i bilaga 1.

6.2 Ändringar av underbiträden

Quickbutik informerar Kunden minst 30 dagar i förväg om planerade nya underbiträden eller byten av befintliga underbiträden. Informationen skickas till Kundens registrerade e-postadress och publiceras på quickbutik.com/sv/legal/platform/dpa.

6.3 Rätt att invända

Kunden har rätt att invända mot ett nytt underbiträde inom 30 dagar från meddelandet. Invändningen ska vara skriftlig och ange skäliga grunder. Om Quickbutik inte kan tillmötesgå invändningen har Kunden rätt att säga upp Avtalet med omedelbar verkan utan kostnad och få återbetalning av återstående förbetald prenumerationstid.

6.4 Krav på underbiträden

Quickbutik säkerställer att varje underbiträde är bundet av dataskyddsförpliktelser som motsvarar dem i detta Biträdesavtal. Quickbutik ansvarar gentemot Kunden för underbiträdenas behandling som för sin egen.

7. Överföring till tredjeland

Quickbutik överför inte personuppgifter till länder utanför EU/EES om inte minst ett av följande villkor är uppfyllt:

• Mottagarlandet omfattas av ett giltigt beslut om adekvat skyddsnivå från EU-kommissionen (artikel 45)
• Lämpliga skyddsåtgärder har vidtagits, till exempel EU-kommissionens standardavtalsklausuler (SCC), med kompletterande åtgärder där det krävs (artikel 46)
• Bindande företagsbestämmelser (BCR) som har godkänts av en tillsynsmyndighet (artikel 47)

Om ett underbiträde är etablerat utanför EU/EES anges detta i bilaga 1 tillsammans med den överföringsmekanism som tillämpas.

Quickbutik underrättar Kunden utan onödigt dröjsmål om rättslig utveckling som påverkar lagligheten i en överföring (till exempel att ett beslut om adekvat skyddsnivå ogiltigförklaras).

8. Personuppgiftsincidenter

8.1 Underrättelse

Quickbutik underrättar Kunden om en personuppgiftsincident utan onödigt dröjsmål och senast 48 timmar efter att Quickbutik har fått kännedom om incidenten. Underrättelsen skickas till Kundens registrerade e-postadress.

8.2 Underrättelsens innehåll

Underrättelsen ska innehålla

• en beskrivning av incidentens art, inbegripet kategorierna av och det ungefärliga antalet berörda registrerade och personuppgiftsposter
• kontaktuppgifter för ytterligare information
• en beskrivning av de sannolika konsekvenserna
• en beskrivning av vidtagna och föreslagna åtgärder

Om fullständig information inte finns tillgänglig vid tidpunkten för underrättelsen ska den kompletteras löpande utan onödigt dröjsmål.

8.3 Åtgärder och bistånd

Quickbutik vidtar omedelbara åtgärder för att begränsa skadan och bistår Kunden med att fullgöra dess skyldigheter gentemot tillsynsmyndigheten och de registrerade (artiklarna 33 och 34 i GDPR).

8.4 Kontakt vid incident

Kunden rapporterar misstänkta personuppgiftsincidenter till security@quickbutik.com.

9. De registrerades rättigheter, granskning och konsekvensbedömning

9.1 Bistånd vid begäranden från registrerade

Quickbutik bistår Kunden genom lämpliga tekniska åtgärder så att Kunden kan fullgöra sin skyldighet att besvara begäranden från registrerade (rätt till tillgång, radering, dataportabilitet med mera enligt artiklarna 15 till och med 22 i GDPR). Quickbutik besvarar Kundens begäran om bistånd inom 10 arbetsdagar.

9.2 Konsekvensbedömning och förhandssamråd

Quickbutik bistår Kunden med konsekvensbedömningar avseende dataskydd (DPIA) och förhandssamråd med tillsynsmyndigheten (artiklarna 35 och 36 i GDPR) där det krävs, med beaktande av behandlingens art och den information som Quickbutik har tillgång till.

9.3 Granskning

Kunden har rätt att själv eller genom en kvalificerad tredje part granska Quickbutiks behandling av personuppgifter. Följande gäller för granskningar:

• Kunden meddelar Quickbutik minst 30 dagar i förväg
• Granskningen genomförs under normal kontorstid och på ett sätt som minimerar störningar i Quickbutiks verksamhet
• En tredje part som genomför granskningen ska vara bunden av sekretess
• Quickbutik tillhandahåller relevant dokumentation och möjliggör nödvändiga inspektioner
• Kunden står för kostnaden för granskningen, om inte granskningen visar väsentliga brister i Quickbutiks efterlevnad
• Granskningar begränsas till högst en gång per 12-månadersperiod, om inte en bekräftad personuppgiftsincident motiverar ytterligare granskning

Quickbutik har rätt att i första hand uppfylla granskningskravet genom att tillhandahålla skriftlig dokumentation av sina tekniska och organisatoriska åtgärder, inbegripet underlag från underbiträdenas certifieringar (till exempel AWS ISO 27001). En inspektion på plats krävs endast om dokumentationen inte uppfyller Kundens berättigade krav.

10. Upphörande och radering

När Avtalet upphör ska Quickbutik

• fortsätta att behandla personuppgifter under den övergångsperiod på 30 dagar som anges i Användarvillkoren, enbart för att möjliggöra dataexport och i den utsträckning det behövs enligt Tjänstespecifika villkor som fortsätter att gälla
• efter övergångsperioden radera alla personuppgifter som behandlats för Kundens räkning inom 90 dagar, och senast 120 dagar efter Avtalets upphörande. Uppgifter som behövs medan Tjänstespecifika villkor fortsätter att gälla, till exempel Quickbutik Checkout Terms, sparas så länge de villkoren gäller, inbegripet bestämmelser som fortsätter att gälla enligt dem (punkt 5.5 i Användarvillkoren). Indata och Utdata som AI-leverantörer sparar för missbruksövervakning, enligt beskrivningen i bilaga 1, kan sparas under de perioder som anges där. Säkerhetskopior skrivs över enligt Quickbutiks ordinarie rotationsschema och används fram till dess endast för återställning
• på Kundens begäran lämna en skriftlig bekräftelse på att raderingen har genomförts

Raderingsskyldigheten gäller inte uppgifter som Quickbutik enligt lag är skyldig att spara (till exempel enligt bokföringslagstiftningen). Sådana uppgifter behandlas enbart för det ändamålet och omfattas fortsatt av sekretess- och säkerhetsåtgärderna i detta Biträdesavtal.

11. AI-behandling av personuppgifter

När Quickbutik använder AI-funktioner som behandlar personuppgifter (till exempel assistenten Quick och andra AI-agenter som Quickbutik tillhandahåller) gäller följande. Begreppen AI-tjänster, Indata och Utdata har samma betydelse som ”AI Services”, ”Input” och ”Output” har i Quickbutik AI Services Additional Terms.

• Behandlingen sker enbart för att tillhandahålla Plattformens funktioner för Kundens räkning
• Personuppgifter används inte för att träna AI-modeller
• Kunden instruerar Quickbutik att anonymisera personuppgifter så att de kan användas i aggregerad form enligt punkt 7.3 i Användarvillkoren
• Quickbutiks MCP-server har ett GDPR-läge som kan aktiveras för Kundens Butik. När GDPR-läget är aktivt tar AI-funktioner som når Kunddata via MCP-servern, till exempel assistenten Quick, emot Slutkunders namn och kontaktuppgifter i kund- och orderregister i maskerad form. Övrig Kunddata, till exempel fritext i ordrar och produktrecensioner, maskeras inte. När GDPR-läget inte är aktivt får AI-tjänsterna behandla sådana personuppgifter enligt beskrivningen i denna punkt
• Om Kunden kopplar sin egen AI-agent eller AI-tjänst till Plattformen, till exempel via MCP, är leverantören av den tjänsten anlitad av Kunden och inte ett underbiträde till Quickbutik
• Kunden ansvarar för att informera sina Slutkunder om AI-baserad behandling i enlighet med artiklarna 13 och 14 i GDPR och AI-förordningen
• Automatiserade beslut som har rättsliga följder (artikel 22 i GDPR) kräver Kundens aktiva konfiguration, och Kunden ansvarar för den rättsliga grunden
• De AI-leverantörer som behandlar personuppgifter som underbiträden finns förtecknade i bilaga 1

12. Ansvar

Quickbutik ansvarar gentemot Kunden för skada som uppstår till följd av att Quickbutik inte fullgör sina skyldigheter enligt detta Biträdesavtal eller agerar utanför Kundens dokumenterade instruktioner.

Quickbutik undgår ansvar om Quickbutik visar att Quickbutik inte på något sätt är ansvarig för den händelse som orsakade skadan.

Kunden ska hålla Quickbutik skadeslös för krav som riktas mot Quickbutik och som beror på Kundens felaktiga eller bristfälliga instruktioner.

Ansvarsbegränsningen i punkt 13 i Användarvillkoren gäller för krav mellan Parterna enligt detta Biträdesavtal. Friskrivningen för förlust av data i punkt 13.2 gäller dock inte personuppgiftsincidenter som Quickbutik ansvarar för enligt detta Biträdesavtal. Den begränsar inte sådant ansvar gentemot registrerade eller tillsynsmyndigheter som inte kan begränsas enligt GDPR (inbegripet artikel 82).

13. Kontakt

14. Tvister och tillämplig lag

Detta Biträdesavtal ska tolkas och tillämpas i enlighet med svensk rätt. Tvister avgörs enligt punkt 17 i Användarvillkoren (med Helsingborgs tingsrätt som första instans).

Detta Biträdesavtal är upprättat på engelska, och den engelska versionen är juridiskt bindande. Punkt 17.3 i Användarvillkoren gäller för översättningar.

Bilaga 1: Förteckning över underbiträden

Senast uppdaterad: 12 november 2026

Den aktuella versionen publiceras löpande på quickbutik.com/sv/legal/platform/dpa. Förteckningen omfattar även leverantörer som Quickbutik använder för kundsupport och internt arbete, eller för kontosäkerhet som tvåfaktorsautentisering, och som kan behandla personuppgifter i samband med Kundens supportärenden eller användarkonton. För uppgifter där Quickbutik är personuppgiftsansvarig är dessa leverantörer Quickbutiks personuppgiftsbiträden.

Adyen är underbiträde endast för den behandling som Quickbutik styr i Quickbutik Checkout, till exempel konfiguration samt risk- och utbetalningsinstruktioner. För betalningshantering och bedrägeriförebyggande åtgärder, som Adyen tillhandahåller som egna tjänster enligt Adyens villkor i Quickbutik Checkout Terms, behandlar Adyen, liksom leverantörerna av betalmetoder, uppgifter som självständigt personuppgiftsansvarig enligt sina egna villkor och integritetsmeddelanden.

AI-leverantörerna (Anthropic Ireland, Limited, OpenAI Ireland Ltd. och Cloudflare) kan spara Indata och Utdata under en begränsad tid för att driva sina tjänster och upptäcka missbruk, och längre när lagen kräver det eller när innehåll flaggas för att strida mot deras användarpolicyer. Nuvarande lagringstider: Anthropic raderar Indata och Utdata inom 30 dagar, eller sparar dem i upp till 2 år om de flaggas för att strida mot Anthropics användarpolicy. OpenAI sparar Indata och Utdata i sina loggar för missbruksövervakning i upp till 30 dagar. Cloudflare sparar inte Indata eller Utdata efter behandlingen, utom i lagringstjänster som Quickbutik använder för att tillhandahålla AI-tjänsterna.

Kunden meddelas om ändringar i denna förteckning enligt punkt 6.2 i Biträdesavtalet (30 dagars varsel).