# Databehandleravtale > Shoprockets databehandleravtale som dekker forpliktelser for databehandling etter GDPR. Sist oppdatert 26. april 2026 Dette er en oversettelse for din bekvemmelighet. [Den engelske versjonen](https://v3.shoprocket.io/gdpr.md) er den juridisk bindende versjonen, og den gjelder hvis de to avviker. Denne Shoprocket-databehandleravtalen («Tillegget») endrer Shoprockets Vilkår og betingelser («Avtalen») mellom deg («Du») og **Shoprocket LTD** (selskapsnr. 12656598, registrert i England og Wales på 20-22 Wenlock Road, London, NG 17U). Hvis du har en egen SLA med Shoprocket, betyr henvisninger til Avtalen den SLA-en. Dette Tillegget er underlagt og innlemmet i Avtalen. Alle begreper med stor forbokstav som ikke er definert her, har den betydningen som er gitt i Avtalen. --- ## Definisjoner - **Kontoinnstillinger**: Konfigurasjoner for Shoprocket-kontoen din (herunder sikkerhet) som lar deg styre hvordan Shoprocket behandler Personopplysninger. - **Forretningsformål**: Tjenestene som er definert i Avtalen. - **Kundekontodata**: Personopplysninger om forholdet ditt til Shoprocket (f.eks. autoriserte kontakter, faktureringsopplysninger), pluss informasjon Shoprocket samler inn for kontoadministrasjon, identitetskontroller eller rettslige krav. - **Kundebruksdata**: Bruksdata som behandles av Shoprocket i forbindelse med din bruk av Tjenestene (f.eks. logger, ytelsesmålinger, data til misbruksforebygging). - **Personvernlovgivning**: Omfatter CCPA, EU GDPR, sveitsisk føderal lov om personvern, UK GDPR, DPA 2018 og PECR 2003, hver som oppdatert. Begreper (f.eks. «Behandlingsansvarlig», «Databehandler») følger EU GDPR. - **EØS**: Det europeiske økonomiske samarbeidsområde. - **EU SCC-er**: Standardkontraktsklausulene i henhold til kommisjonsbeslutning 2021/914. - **Overføring ut av EØS**: En overføring av Personopplysninger (etter EU GDPR) utenfor EØS uten en tilstrekkelighetsbeslutning etter artikkel 45 i EU GDPR. - **Overføring ut av Storbritannia**: En overføring av Personopplysninger (etter UK GDPR) utenfor Storbritannia uten en tilstrekkelighetsbeslutning fra den britiske statssekretæren. - **Tjenesteleverandør**: Som definert i CCPA. - **Tjenestene**: Shoprockets verktøy for å opprette/styre nettbutikker («Shoprocket-butikk»), håndtere produkter, betalinger, frakt, markedsføring og alle verktøy eller tjenester Shoprocket måtte tilby. - **Shoprocket-konto**: Kontoen din som gir tilgang til Tjenestene, herunder Kontoinnstillinger, på [https://www.shoprocket.io](https://www.shoprocket.io). - **Shoprockets personvernerklæring**: Erklæringen på [https://shoprocket.io/privacy](https://shoprocket.io/privacy), som oppdatert. - **Shoprocket-butikk**: Din nettbutikk som er vert for eller tilrettelagt av Shoprocket. - **Særlige kategorier av personopplysninger**: Som definert i artikkel 4(13), 4(14), 4(15) og 9 i EU/UK GDPR (etter hva som gjelder). - **Standardkontraktsklausuler (SCC-er)**: EU SCC-ene og UK SCC-ene, etter hva som er relevant. - **UK SCC-er**: EU SCC-ene som endret av UK ICOs IDTA-tillegg. - **Vi/Oss/Vår**: Shoprocket LTD (herunder «Shoprocket» og «Shoprocket.io»). - **Du/Din**: Avtalepartneren som er navngitt i Avtalen. --- ## Kundens instrukser Dette Tillegget og Avtalen (herunder instrukser i Kontoinnstillingene dine) utgjør de **Dokumenterte instruksene** for hvordan Shoprocket behandler Personopplysninger. Shoprocket vil bare behandle Personopplysninger slik det er instruert. Ytterligere instrukser utenfor disse vilkårene krever forutgående skriftlig avtale (og kan medføre tilleggsgebyrer). Shoprocket kan avslutte dette Tillegget og Avtalen hvis instruksene dine er i strid med Personvernlovgivningen eller avviker fra avtalte instrukser. Gitt behandlingens art kan Shoprocket vanligvis ikke vurdere om instruksene dine bryter loven; hvis Shoprocket likevel danner seg en slik oppfatning, vil de informere deg, og du kan endre eller trekke tilbake instruksene. --- ## Databehandling 1. **Shoprockets behandling** - **Databehandler/Tjenesteleverandør**: Bortsett fra Kundekontodata og Kundebruksdata behandler Shoprocket Personopplysninger (etter EU/UK GDPR) eller personlig informasjon (etter CCPA) på dine vegne. - **Uavhengig behandlingsansvarlig**: Shoprocket er Behandlingsansvarlig for Personopplysninger som samles inn direkte fra butikkens kunder og for Kundekontodata eller Kundebruksdata. 2. **Lagring** - Personopplysninger lagres på: 1. AWS-servere i Irland (eller andre EØS-regioner), 2. Hetzner-servere i Nürnberg/Falkenstein (Tyskland). 3. **Omfang og formål** - Shoprocket behandler bare Personopplysninger i den grad det er nødvendig for Forretningsformålene du spesifiserer (i samsvar med de kjøpte Tjenestene) og i samsvar med Personvernlovgivningen. - Hvis Shoprocket etter loven må behandle på en annen måte, vil de varsle deg med mindre loven forbyr det. - Shoprocket følger raskt dine skriftlige instrukser om å endre, overføre eller slette Personopplysninger, eller å stoppe uautorisert behandling. - Shoprocket holder Personopplysninger fortrolige med mindre utlevering er autorisert eller lovpålagt. - Shoprocket bistår med dine etterlevelsesforpliktelser (f.eks. forespørsler fra registrerte, DPIA-er) uten ekstra kostnad. - Shoprocket varsler deg om lovendringer som kan påvirke Avtalen eller dette Tillegget. 4. **Shoprocket som uavhengig behandlingsansvarlig** - For Kundekontodata og Kundebruksdata er Shoprocket ikke felles behandlingsansvarlig, men behandler disse dataene for å styre forholdet til deg, forebygge svindel/sikkerhetshendelser, oppfylle rettslige forpliktelser osv., i samsvar med Shoprockets personvernerklæring. 5. **CCPA** - Bortsett fra Kundekontodata og Kundebruksdata er Shoprocket din Tjenesteleverandør etter CCPA; de vil ikke «selge» slik personlig informasjon og bruker den bare til å levere Tjenestene eller slik loven ellers tillater. 6. **Tillegg (add-ons)** - Du kan integrere tredjeparts tillegg («Tillegg») under separate sluttbrukeravtaler (EULA) med hver utgiver. Shoprocket overfører nødvendige Personopplysninger til Tilleggets utgiver, men er ikke ansvarlig for deres behandling. Gjeldende Tillegg som markedsføres av Shoprocket omfatter: - **Amazon, eBay, Facebook Marketplace, Google Shopping, Instagram Shopping**: Oppfyllelse og synkronisering på tvers av kanaler. - **Affirm, Afterpay, Alipay, Apple Pay, Click to Pay, GrabPay, GooglePay, iDEAL, Klarna, Microsoft Pay, PayPal, P24, Sofort, Stripe, WeChat Pay**: Betalingsintegrasjoner som støtter ulike metoder/valutaer. - **Zapier**: Automatiserer dataoverføringer/arbeidsflyter mellom Shoprocket og andre applikasjoner. - Hvis Shoprocket og du har SCC-er, er instruksen din om å integrere Tillegg et samtykke til å overføre Personopplysninger til disse Tilleggsutgiverne hvis SCC-ene krever det. 7. **Ditt ansvar** - Du er Behandlingsansvarlig for alle Personopplysninger som samles inn eller behandles av Shoprocket på dine vegne. - Du er ansvarlig for å oppfylle krav til varsler/samtykker og sikre samsvar med Personvernlovgivningen. --- ## Typer personopplysninger og formål med behandlingen - **Gjenstand**: Personopplysninger du laster opp til Tjenestene, herunder Shoprocket-kontoen eller butikken din. - **Varighet**: Bestemmes av deg (til du suspenderer/avslutter Shoprocket-abonnementet eller relevante integrasjoner). - **Formål**: Å levere Tjenestene etter dine instrukser (f.eks. drive Shoprocket-butikken/kontoen din). - **Behandlingens art**: Shoprockets nettbutikkplattform (og eventuelle Underdatabehandlere/Tilleggsutgivere) kan lagre eller behandle Personopplysninger. - **Typer personopplysninger**: Data du laster opp (f.eks. kontaktinformasjon, kundeopplysninger, transaksjonsregistre). - **Registrerte**: Du, kundene dine, ansatte, kontraktører, agenter, leverandører eller selgere. --- ## Sikkerhet ved databehandling Shoprocket vil opprettholde egnede tekniske og organisatoriske tiltak for å beskytte Personopplysninger mot uautorisert eller ulovlig behandling, utilsiktet tap eller ødeleggelse, i tråd med **artikkel 32** i EU/UK GDPR. Tiltakene omfatter (etter hva som er hensiktsmessig): - Pseudonymisering/kryptering av data; - Sikring av konfidensialitet, integritet, tilgjengelighet og robusthet i systemer; - Gjenoppretting av datatilgjengelighet i rimelig tid etter hendelser; - Regelmessig testing, vurdering og evaluering av disse tiltakene. ### Shoprockets ansatte - Shoprocket sørger for at ansatte, kontraktører og agenter som håndterer Personopplysninger er opplært, bundet av taushetsplikt og fullt klar over sine personvernforpliktelser. ### Sikkerhet (gjentatt) - Shoprocket oppdaterer løpende tekniske/organisatoriske sikkerhetstiltak for å forhindre uautorisert behandling, herunder kryptering, robusthet i systemer, gjenopprettbarhet og testing av effektivitet. --- ## Brudd på personopplysningssikkerheten 1. **Varsling** - Shoprocket varsler deg innen **72 timer** (og uten ugrunnet opphold) hvis de blir kjent med: 1. Tap/skade av Personopplysninger; 2. Enhver utilsiktet, uautorisert eller ulovlig behandling; 3. Et brudd på personopplysningssikkerheten. 2. **Informasjon** - Shoprocket gir en beskrivelse av hendelsen, berørte datakategorier/antall og tiltak som er iverksatt eller foreslått for å redusere virkningen. 3. **Samarbeid** - Shoprocket koordinerer med deg om etterforskningen og vil ikke informere tredjeparter uten ditt skriftlige samtykke med mindre loven krever det. 4. **Kostnader** - Shoprocket dekker rimelige utgifter for disse forpliktelsene med mindre hendelsen skyldes dine instrukser, uaktsomhet eller mislighold, i så fall dekker du Shoprockets rimelige utgifter (herunder profesjonelle rådgivere). --- ## Underdatabehandlere Shoprocket bruker for tiden disse **Underdatabehandlerne** til hosting/behandling av data, infrastruktur-/nettverkstjenester eller andre tjenestefunksjoner: | **Navn** | **Beskrivelse** | **Sted** | | --- | --- | --- | | **200OK LLC (Profitwell)** | Abonnementsrapportering/analyse. | MA, USA | | **Amazon Web Services EMEA SARL** | Skyhosting, databehandling, lagring. | Luxembourg, EU | | **Automattic, Inc. (Gravatar)** | Lar brukere laste opp profilbilder til Shoprocket-kontoer. | CA, USA | | **Cloudflare, Inc.** | Nettverkssikkerhet og tilkobling. | CA, USA | | **Crisp IM SAS** | Live chat og kundemeldingsapp for brukerstøtte. | Frankrike, EU | | **Facebook Technologies Ireland** | Facebook Pixels for konverteringer, annonseoptimalisering, målgruppebygging. | Irland, EU | | **Google Ireland Limited** | Google Analytics (atferdsanalyse), Adwords (annonseplassering/inntjening). | Irland, EU | | **GmbH** | Skyhosting, databehandling og lagring. | Tyskland, EU | | **TPS Unlimited, Inc. (Taxjar)** | Skatteautomatisering for EU-MVA og amerikansk salgsskatt på Shoprocket-butikker. | CA, USA | | **Twilio, Inc. (Sendgrid)** | Meldinger på flere kanaler (e-post, SMS, WhatsApp). | Irland, EU | | **Twitter, Inc.** | Twitter Pixel for konverteringssporing og annonseytelsesmålinger. | CA, USA | Du gir Shoprocket tillatelse til å bruke Underdatabehandlerne ovenfor og gir en generell tillatelse til at Shoprocket kan legge til andre («Godkjente underdatabehandlere»). Shoprocket vil gi minst **30 dagers** varsel (via nettsted, e-post eller Kontovarsel) før en ny Underdatabehandler tas i bruk. Du kan protestere innen **10 dager** etter varselet, skriftlig, av rimelige personvernhensyn. Hvis en vesentlig Underdatabehandler er involvert og det ikke finnes noe alternativ innen **90 dager**, kan du avbryte eller avslutte de aktuelle Tjenestene (og fortsatt betale eventuelle forfalte gebyrer). Hvis du ikke protesterer innen 10 dager, anses den nye Underdatabehandleren som godkjent. Når Shoprocket engasjerer en Underdatabehandler, vil de: - Begrense tilgangen til bare det som er nødvendig for å levere eller forbedre Tjenestene; - Pålegge dem de samme personvernforpliktelsene; - Fortsatt være ansvarlige for at de overholder dem. Hvis SCC-er gjelder, regnes tillatelsen din som forutgående skriftlig samtykke etter klausul 9(c) eller relevante UK SCC-klausuler. Shoprocket kan sladde uvesentlige kommersielle detaljer før kontrakter om underbehandling deles med deg. --- ## Overføringer av personopplysninger Shoprocket kan overføre Personopplysninger utenfor EØS, Storbritannia eller Sveits for å levere Tjenestene (f.eks. noen Tilleggsutgivere/Underdatabehandlere i USA). Der ingen tilstrekkelighetsbeslutning gjelder, vil Shoprocket sikre egnede garantier i samsvar med Personvernlovgivningen. - **Overføringer ut av EØS**: Dekket av EU SCC-ene (Modul én for Shoprocket som behandlingsansvarlig, Modul to for Shoprocket som databehandler). Visse klausuler (f.eks. tiltredelsen i klausul 7) gjelder ikke; tvister reguleres av irsk lov/irske domstoler. - **Overføringer ut av Storbritannia**: Dekket av IDTA-tillegget. - **Overføringer fra Sveits**: Tilsvarende EU SCC-ene, med endringer for sveitsisk FADP. - **Supplerende tiltak**: - Per dette Tilleggets dato finnes det ingen formelle forespørsler fra myndigheter om tilgang til data. - Hvis Shoprocket blir tvunget til å utlevere dataene dine, vil de varsle deg (med mindre det er forbudt) og hjelpe deg med å søke beskyttende tiltak. - Shoprocket og du vil regelmessig drøfte om lovene i mottakerlandet gir tilsvarende beskyttelse eller krever ytterligere tiltak. - Hvis en overføringsmekanisme ikke lenger er gyldig eller en Tilsynsmyndighet suspenderer den, kan Shoprocket innføre alternative ordninger eller suspendere overføringer. Der du godkjenner en Underdatabehandler/et Tillegg utenfor EØS, gir du også Shoprocket tillatelse til å signere SCC-er på dine vegne. --- ## Klager, forespørsler fra registrerte og tredjeparters rettigheter Shoprocket vil raskt gi deg all informasjon eller bistand du trenger for å: 1. Oppfylle de registrertes rettigheter (innsyn, retting, sletting, portabilitet, innsigelser osv.). 2. Håndtere eller overholde pålegg om informasjon/vurdering fra tilsynsmyndigheter. Shoprocket varsler deg umiddelbart hvis de mottar klager eller henvendelser om behandlingen, og innen **14 dager** hvis de mottar en forespørsel fra en registrert. Shoprocket bistår med å svare, og vil ikke utlevere Personopplysninger til tredjeparter med mindre loven eller dine instrukser krever det. --- ## Varighet og opphør Dette Tillegget forblir i kraft så lenge Avtalen gjør det, eller Shoprocket beholder relaterte Personopplysninger. Bestemmelser som må bestå av hensyn til personvernet forblir i kraft. Ethvert vesentlig brudd på denne databehandleravtalen er et vesentlig brudd på Avtalen, som gir deg rett til å avslutte umiddelbart uten ytterligere ansvar. Hvis endringer i Personvernlovgivningen hindrer en part i å oppfylle sine forpliktelser, kan partene suspendere behandlingen til samsvar er oppnådd. Hvis det ikke er løst innen **90 dager**, kan hver av partene avslutte med umiddelbar virkning ved varsel. --- ## Retur og destruksjon av data - **På forespørsel** gir Shoprocket deg (eller en tredjepart du utpeker skriftlig) kopier av eller tilgang til Personopplysninger i et format du spesifiserer (der det er rimelig). - **Ved opphør** returnerer eller sletter Shoprocket Personopplysninger med mindre fortsatt lagring er lovpålagt. Hvis sletting er uhensiktsmessig eller ulovlig, blokkerer Shoprocket videre behandling og fortsetter å beskytte dataene. - **SCC-sertifiseringer**: Hvis SCC-er gjelder, vil Shoprocket bekrefte sletting etter klausul 8.1(d) i EU SCC-ene (eller UK SCC-ene) etter din skriftlige forespørsel. - Hvis en lov/forskrift krever at Shoprocket beholder visse data, vil de varsle deg om grunnlaget og tidsrammen, og deretter slette når det ikke lenger kreves. - Shoprocket bekrefter slettingen innen **30 dager** etter at den er fullført. --- ## Registre Shoprocket fører detaljerte, nøyaktige og oppdaterte registre over all behandling av Personopplysninger (f.eks. sikkerhetstiltak, underdatabehandlere, formål med behandlingen, eventuelle internasjonale overføringer). Disse registrene må gjøre det mulig for deg å kontrollere Shoprockets etterlevelse. Kopier leveres på forespørsel. --- ## Garantier Shoprocket garanterer at: 1. Ansatte, underleverandører eller agenter med tilgang til Personopplysninger er pålitelige, troverdige og egnet opplært. 2. De vil behandle Personopplysninger i full overensstemmelse med Personvernlovgivningen og relaterte lover. 3. De ikke har noen grunn til å tro at loven hindrer levering av de avtalte Tjenestene. 4. Under hensyn til teknologi og kostnader vil de iverksette egnede tiltak for å forhindre uautorisert behandling eller utilsiktet skade/tap, og sikre sikkerhet som står i forhold til risikoen og dataenes sensitivitet. --- ## Inngåelse og endringer Ved å signere Avtalen samtykker du til og er bundet av dette Tillegget. Shoprocket kan oppdatere dette Tillegget med **30 dagers skriftlig varsel** hvis det er nødvendig av juridiske eller regulatoriske årsaker. Hvis du protesterer og det ikke oppnås en felles løsning, kan du avslutte de berørte Tjenestene ved skriftlig varsel innen den fristen (og skylder påløpte gebyrer). Ingen ytterligere krav oppstår som følge av slik avslutning. ## Vedlegg A **Shoprockets sikkerhetsstandarder** (Begreper med stor forbokstav som ikke er definert her, har den betydningen som er gitt i Tillegget.) Dette Vedlegget beskriver Shoprockets tekniske og organisatoriske tiltak for å: 1. Sikre Personopplysninger mot utilsiktet eller ulovlig tap, tilgang eller utlevering; 2. Identifisere forutsigbare risikoer for sikkerheten og forhindre uautorisert tilgang til Tjenestene (herunder Shoprocket-kontoen din); 3. Minimere sikkerhetsrisiko gjennom risikovurdering og testing. Shoprocket utpeker en eller flere ansatte til å føre tilsyn med disse informasjonssikkerhetspraksisene og besvare relaterte henvendelser. --- ## 1. Modell for delt ansvar Shoprocket er en **skybasert SaaS**-applikasjon med hosting hos: - **Amazon Web Services (AWS)** i regionen eu-west-1 (Irland) - **Hetzner Online** i Falkenstein, Tyskland **AWS** driver hovedplattformen, infrastrukturen og datahostingen til Shoprocket. **Hetzner Online** leverer ekstra dedikert serverplass til bilder, digitale nedlastinger, logger og fakturaer. Under denne modellen: - **Shoprocket** styrer sikkerhet på applikasjonsnivå (f.eks. brukertilgang, applikasjonsoppdateringer). - **AWS / Hetzner** styrer fysisk sikkerhet og det underliggende skymiljøet. For mer informasjon om sikkerheten hos AWS og Hetzner, se deres respektive dokumentasjon. --- ## 2. AWS- og Hetzner Online-servere ### AWS Shoprocket valgte AWS etter nøye gjennomgang i henhold til artikkel 28(3)(c) og 32 i UK GDPR. AWS er sertifisert etter en rekke standarder (f.eks. SOC 1/2/3, ISO 27001/27017/27018, PCI DSS, FedRAMP, HITRUST) og tilbyr omfattende dokumentasjon om etterlevelse. Shoprocket konfigurerer AWS til å lagre Personopplysninger bare i EU/EØS. ### Hetzner Online Hetzner Online, sertifisert etter DIN ISO/IEC 27001, tilbyr dedikert serverplass til visse sikkerhetskopier av data og logger. Hetzner Onlines datasentre i Nürnberg og Falkenstein er revidert og sertifisert av tredjeparter og implementerer et styringssystem for informasjonssikkerhet (ISMS). --- ## 3. Design, integritet og tilgjengelighet i Shoprocket-applikasjonen - **Arkitektur**: Shoprocket-applikasjonen er bygget med et JavaScript-rammeverk og bruker Amazons Relational Database Service (Amazon RDS) for MySQL. - **Høy ytelse og redundans**: AWS håndterer lastbalansering automatisk, og Shoprocket tar daglige sikkerhetskopier på Amazon S3. Sikkerhetskopiene lagres i ulike AWS-regioner for robusthet. I tillegg lagres sikkerhetskopier på Hetzner Onlines dedikerte servere (med RAID-1-disksystemer). - **Sikkerhet fra grunnen av**: Shoprocket sjekker regelmessig for kjente nettsårbarheter (f.eks. OWASP Top Ten) og implementerer XSS-beskyttelse og sanering. En spesialisert tredjepart tester koden og infrastrukturen for sårbarheter hvert år, supplert med en tredjeparts tjeneste for sårbarhetsskanning. --- ## 4. Kryptering - **I hvile**: Personopplysninger hos AWS/Hetzner krypteres med **AES-256** eller høyere. - **Nøkkelhåndtering**: AWS Key Management Service (KMS) sikrer at ingen (herunder AWS-ansatte) kan få tilgang til nøkler i klartekst; nøklene roteres årlig. Hetzner implementerer full diskkryptering med AES-256 pluss obligatorisk autentisering. - **Under overføring**: Alle eksterne dataoverføringer bruker **TLS 1.2+**. API-er og webgrensesnitt krever HTTPS (ingen ukrypterte tilkoblinger). --- ## 5. Begrensning av serverlokasjoner til EØS/EU Shoprocket lagrer data **utelukkende i EØS** (AWS i Irland, Hetzner i Tyskland), noe som minimerer risikoer knyttet til dataoverføringer utenfor EØS (f.eks. etterlevelse av Schrems II-avgjørelsen). --- ## 6. Tilgjengelighetssoner Shoprockets front-end- og back-end-systemer er **redundant fordelt** på flere tilgjengelighetssoner (både hos AWS og Hetzner). Hver sone har flere internettleverandører, strømkilder og høyhastighetsforbindelser, som sikrer høy tilgjengelighet og optimal ytelse. --- ## 7. Inntrengingsdeteksjon Shoprocket bruker et **system for inntrengingsdeteksjon (IDS)** for å overvåke: - Loggfiler for uvanlige oppføringer, - Endringer i filintegritet, - Nettverkstrafikk (spoofing, kjente utnyttelser, rootkits), - Portendringer, og - Hendelser på AWS-kontoen (f.eks. endringer i konfigurasjon). Kritiske avvik utløser automatiske forebyggende tiltak. IDS-et støtter også kravene i PCI DSS 3.0. --- ## 8. Logging / revisjonsspor Shoprocket logger: - Systemhendelser, - Feil, - Brukeraktivitet, - Databasepålogginger/-forespørsler, - Andre sikkerhetsrelaterte hendelser. Ved hjelp av **AWS CloudTrail** registrerer Shoprocket alle hendelser i skymiljøene sine for åpenhet og etterforskning. --- ## 9. Overvåking Shoprocket bruker flere **overvåkingsverktøy** for å sikre tilgjengelighet og ytelse, og sporer: - **Tilgjengelighet**: Tilgjengeligheten til applikasjonen, helsen til back-end/systemer; - **Ressurser**: CPU, nettverksgrensesnitt, lagringsbruk; - **Ytelse**: Responstider for applikasjon/database; - **Sikkerhet**: IDS-status, systemoppdateringer, feil-/tilgangslogger. Shoprockets ansatte følger også med på sikkerhetsoppdateringer, sårbarhetsrapporter og relevante sikkerhetsblogger (som OWASP). --- ## 10. Sikkerhetsrevisjoner og penetrasjonstester Shoprocket gjennomfører periodevis **interne og eksterne sikkerhetstester**. Eksterne leverandører sjekker for sårbarheter, mens interne revisjoner vurderer effektiviteten til tekniske og organisatoriske tiltak. --- ## 11. Endringshåndtering Shoprocket opprettholder versjonskontrollerte **repositorier** for kodeendringer, med et staging-miljø som speiler produksjon. Endringer testes før utrulling, slik at tid og innhold kan spores. --- ## 12. Tilgangskontroll - **Behov-for-å-vite-prinsippet**: Bare ansatte hvis roller krever systemtilgang får det. - **IAM-systemer**: Tilgangskontroll bruker AWS/Hetzners identitetsstyring. - **Sikkerhet**: Back-end-systemer er bare tilgjengelige via sikre, autentiserte tilkoblinger. Et svært begrenset antall ansatte har direkte tilgang til data for diagnostiske formål; slik tilgang logges og overvåkes. ## Vedlegg B **Grenseoverskridende overføringer** ## DEL 1 - overføringer ut av EØS 1. **Vedlegg I.A til Standardkontraktsklausulene (SCC-ene)** - **Dataeksportør**: Du (i henhold til Avtalen). - Kontaktopplysninger: Som i Avtalen. - Rolle: Behandlingsansvarlig. - **Modul én**: Dataimportør er en Behandlingsansvarlig (for Kundekontodata og Kundebruksdata). - **Modul to**: Dataimportør er en Databehandler (for alle andre Personopplysninger). - Signatur/dato: Ved å inngå Avtalen og databehandleravtalen anses Dataeksportøren å ha signert SCC-ene fra Ikrafttredelsesdatoen. - **Dataimportør**: Shoprocket. - Kontaktopplysninger: Som i Avtalen. - Signatur/dato: Ved å inngå Avtalen og databehandleravtalen anses Dataimportøren å ha signert SCC-ene fra Ikrafttredelsesdatoen. 2. **Vedlegg I.B til SCC-ene** - Registrerte: Beskrevet i Tilleggets klausul 4.6. - Kategorier av personopplysninger: Beskrevet i Tilleggets klausul 4.5. - Ingen særlige kategorier av personopplysninger er tiltenkt overføring. - Hyppighet: Kontinuerlig så lenge Avtalen varer. - Art: Se Tilleggets klausul 4.4. - Formål: Se Tilleggets klausul 4.3. - Oppbevaring: Avtalens varighet med mindre annet er angitt. - Overføringer til underdatabehandlere: Gjenstand, art og varighet i henhold til Tilleggets klausul 9. 3. **Vedlegg I.C til SCC-ene** - Kompetent tilsynsmyndighet: Som i Tilleggets klausul 10(e). - **Shoprockets sikkerhetsstandarder (Vedlegg A)** oppfyller kravene i SCC-enes Vedlegg II. 4. **Motstrid** - Hvis det oppstår motstrid mellom SCC-ene og databehandleravtalen eller Avtalen, går SCC-ene foran. --- ## DEL 2 - overføringer ut av Storbritannia 1. **IDTA-tillegget** gjelder for overføringer ut av Storbritannia, med virkning fra **21. mars 2022**. 2. Begreper som ikke er definert i Avtalen eller databehandleravtalen følger betydningen i **Del 2 av Vedlegg 2** (Obligatoriske klausuler). ### Del 1: Tabeller ### Tabell 1 i IDTA-tillegget 1. **Tabell 1** - **Dataeksportør**: Du (i henhold til Avtalen). - Kontaktopplysninger: Som i Avtalen. - Signatur/dato: Ved å inngå Avtalen og Tillegget anses Eksportøren å ha signert IDTA-tillegget fra Ikrafttredelsesdatoen. - **Dataimportør**: Shoprocket. - Kontaktopplysninger: Som i Avtalen. - Signatur/dato: Ved å inngå Avtalen og databehandleravtalen anses Importøren å ha signert IDTA-tillegget fra Ikrafttredelsesdatoen. ### Tabell 2 i IDTA-tillegget 1. **Tabell 2** - **Godkjente EU SCC-er**: Klausulene/modulene fra de Godkjente EU SCC-ene som gjelder for dette Tillegget. - Moduler/klausuler som brukes: - Modul 1 og Modul 2, Klausul 7 og Klausul 11 (alternativ) gjelder ikke, Klausul 9a er generell tillatelse med 30 dagers varselperiode (Tilleggets klausul 9.2). - Ingen kombinasjon av Personopplysninger fra Importøren med Eksportørens data. ### Tabell 3 i IDTA-tillegget 1. **Vedlegg I.A** - **Dataeksportør**: Du (behandlingsansvarlig). - **Dataimportør**: Shoprocket (behandlingsansvarlig for Kunde-konto-/bruksdata; databehandler for andre Personopplysninger). - Signatur/dato: Anses signert ved inngåelse av Avtalen og databehandleravtalen. 2. **Vedlegg I.B** - Registrerte, datakategorier, fravær av særlige kategorier av personopplysninger, kontinuerlige overføringer, behandlingens art/formål og oppbevaring samsvarer med Tilleggets klausuler 4.4, 4.3, 4.5 og 4.6. - Opplysninger om underdatabehandlere i henhold til Tilleggets klausul 9. - Vedlegg III (liste over Underdatabehandlere) gjelder ikke, ettersom Shoprocket bruker generell tillatelse. ### Tabell 4 i IDTA-tillegget 1. Importøren kan avslutte dette IDTA-tillegget etter klausul 26 i dette IDTA-tillegget. ### Del 2: Obligatoriske klausuler 1. Hver Part er bundet av disse IDTA-tilleggsvilkårene som vederlag for den andre Partens samtykke, slik at de registrerte kan håndheve rettigheter som angitt. 2. Å inngå dette IDTA-tillegget tilsvarer å signere de Godkjente EU SCC-ene (herunder enhver nødvendig signatur etter Vedlegg 1A/Klausul 7). ### Tolkning 1. Begreper fra de Godkjente EU SCC-ene har samme betydning her; ytterligere relevante begreper (f.eks. «Tilleggs-EU-SCC-er», «Godkjent tillegg», «Britisk personvernlovgivning») er definert i dette IDTA-tillegget. 2. Dette IDTA-tillegget må tolkes i samsvar med Britisk personvernlovgivning og må oppfylle «Egnede garantier». 3. Enhver endring av de Godkjente EU SCC-ene som ikke er tillatt etter dem eller det Godkjente tillegget er ugyldig. Motstridende bestemmelser går tilbake til de uendrede SCC-vilkårene. 4. Hvis det er motstrid med Britisk personvernlovgivning, gjelder sistnevnte. 5. Enhver uklarhet løses på den måten som best samsvarer med Britisk personvernlovgivning. 6. Henvisninger til lovgivning omfatter alle reviderte eller konsoliderte versjoner. ### Hierarki 1. Klausul 5 i de Godkjente EU SCC-ene fastslår at de går foran andre avtaler, men for Begrensede overføringer gjelder hierarkiet i Seksjon 17 nedenfor. 2. Hvis det Godkjente tillegget er uforenlig eller i strid med de Godkjente EU SCC-ene, overstyrer det Godkjente tillegget, unntatt der SCC-ene gir de registrerte **større beskyttelse**, i så fall overstyrer SCC-vilkårene. 3. Ingenting her påvirker eventuelle SCC-er partene bruker for å overholde EU GDPR. ### Innlemmelse av og endringer i EU SCC-ene 1. IDTA-tillegget innlemmer de Godkjente EU SCC-ene med nødvendige endringer slik at de fungerer for britiske overføringer, overstyrer hierarkiet i Klausul 5 og sikrer at de reguleres av **engelsk lov/engelske domstoler** (med mindre noe annet er valgt for Skottland eller Nord-Irland). 2. Hvis ingen spesifikt alternativ er avtalt, gjelder Seksjon 22. 3. Ingen ytterligere endringer i de Godkjente EU SCC-ene er tillatt utover det som er nødvendig etter Seksjon 19. 4. **Endringer** i Tilleggs-EU-SCC-ene omfatter presiseringer om henvisninger til Britisk personvernlovgivning, erstatning av henvisninger til forordning (EU) 2016/679 med «Britisk personvernlovgivning», fjerning av henvisninger til forordning (EU) 2018/1725, justering av Klausul 17/18 til engelsk lov/engelske domstoler osv. Fotnoter er ikke en del av IDTA-et, bortsett fra fotnotene 8, 9, 10 og 11. ### Endringer i dette IDTA-et 1. Partene kan endre Klausul 17 eller 18 til å vise til skotske eller nordirske domstoler. 2. Partene kan også justere tabellformateringen ved gjensidig skriftlig avtale, forutsatt at samme beskyttelsesnivå opprettholdes. 3. ICO kan fra tid til annen utstede et revidert Godkjent tillegg, som automatisk endrer dette IDTA-tillegget fra ikrafttredelsesdatoen, og som muligens krever en gjennomgang fra partenes side. 4. Hvis ICOs endringer vesentlig og uforholdsmessig øker en parts kostnader eller risiko, og ingen reduksjon av disse kostnadene/risikoene er mulig, kan den parten avslutte dette IDTA-et med rimelig varsel til den andre før det reviderte Tillegget trer i kraft. 5. Ingen tredjeparts samtykke kreves for endringer, men endringene må oppfylle vilkårene i dette IDTA-tillegget. --- - HTML version: https://v3.shoprocket.io/nb/gdpr - Language: Norsk (nb) - Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Deutsch](https://v3.shoprocket.io/de/dsgvo.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Español](https://v3.shoprocket.io/es/rgpd.md), [Français](https://v3.shoprocket.io/fr/rgpd.md), [עברית](https://v3.shoprocket.io/he/gdpr.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/gdpr.md), [Italiano](https://v3.shoprocket.io/it/gdpr.md), [日本語](https://v3.shoprocket.io/ja/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Nederlands](https://v3.shoprocket.io/nl/avg.md), [Polski](https://v3.shoprocket.io/pl/rodo.md), [Português](https://v3.shoprocket.io/pt/rgpd.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [Türkçe](https://v3.shoprocket.io/tr/gdpr.md), [中文](https://v3.shoprocket.io/zh/gdpr.md)