Personuppgiftsbiträdesavtal
Reglerna för när vi behandlar uppgifter om dina kunder för din räkning. Avtalet krävs enligt artikel 28 i dataskyddsförordningen.
Senast ändrad 2026-09-20.
1. Parterna
Personuppgiftsansvarig är butiken, alltså det företag som registrerat en butik i Korgly.
Personuppgiftsbiträde är Third Element AB, org.nr 559389-1327.
Avtalet gäller automatiskt så länge butiken använder Korgly, och är en del av de allmänna villkoren. Slutar butiken använda Korgly upphör avtalet, utom i de delar som enligt sin natur ska fortsätta gälla.
2. Vad vi får göra
Vi behandlar uppgifterna bara enligt butikens instruktioner. Att använda tjänsten som den är byggd – ta emot köp, visa kvitton, kontrollera ålder, öppna dörren, ta fram rapporter – räknas som butikens instruktion. Därutöver behandlar vi bara på skriftlig begäran.
Vi använder aldrig butikens kunduppgifter för egen räkning, säljer dem inte vidare och använder dem inte för att träna modeller. Anser vi att en instruktion strider mot dataskyddslagstiftningen säger vi till.
Kräver lag att vi behandlar uppgifterna på annat sätt berättar vi det innan, om inte lagen förbjuder oss att berätta.
3. Vad behandlingen omfattar
| Beskrivning | |
|---|---|
| Ändamål | Att driva butikens försäljning, inpassering och rapportering i Korgly. |
| Behandlingens art | Insamling, lagring, visning, sammanställning, utlämnande till butiken och radering. |
| Registrerade | Butikens kunder, och besökare som legitimerar sig för att komma in. |
| Kategorier av uppgifter | Köp och kvitton, varukorgens innehåll, betalningsreferens, tidpunkter, kakans identifierare, och vid åldersgräns förnamn och födelsedatum från BankID samt passeringar vid dörren. |
| Känsliga uppgifter | Inga särskilda kategorier behandlas avsiktligt. Personnummer sparas aldrig – bara födelsedatum räknas fram ur det. |
| Varaktighet | Så länge butiken använder Korgly, med gallring enligt punkt 8. |
4. Sekretess
Bara de hos oss som behöver uppgifterna för att leverera eller supporta tjänsten har tillgång till dem, och de är bundna av sekretess. Tillgången tas bort när den inte längre behövs.
5. Säkerhetsåtgärder
Vi vidtar de åtgärder som krävs enligt artikel 32. I dag innebär det bland annat:
- kryptering av all trafik med HTTPS,
- lösenord lagrade som scrypt-hash, och sessioner, inbjudningar och kvittolänkar lagrade som hashade värden,
- åtskillnad mellan butiker: varje anrop kontrolleras mot vilken butik användaren har rätt till,
- tvåstegsverifiering för administratörskonton,
- tak för antal försök vid inloggning och andra känsliga anrop,
- säkerhetskopiering av databasen och löpande säkerhetsuppdateringar,
- loggning av åtgärder i admin, och automatisk radering enligt punkt 8.
Vi kan ändra åtgärderna, men aldrig så att skyddsnivån blir lägre.
6. Underbiträden
Butiken godkänner att vi anlitar underbiträden. De är bundna av samma skyldigheter som vi, och vi ansvarar för deras arbete som för vårt eget.
| Företag | Vad de gör | Var |
|---|---|---|
| Hetzner Online GmbH | Serverdrift och lagring av databasen | EU |
| Resend (Plus Five Five, Inc.) | Utskick av e-post, t.ex. kvitton och dagsrapporter | EU (Irland). Leverantören finns i USA; överföring sker med EU-kommissionens standardavtalsklausuler. |
| Cloudflare, Inc. | DNS för korgly.se | EU. Överföring med standardavtalsklausuler. |
Vill vi byta eller lägga till ett underbiträde meddelar vi det minst 30 dagar i förväg. Har butiken sakliga invändningar får den säga upp avtalet innan ändringen börjar gälla.
7. Överföring utanför EU/EES
Uppgifterna lagras inom EU. Kan en leverantör med moderbolag utanför EU nå uppgifterna sker det med EU-kommissionens standardavtalsklausuler som grund, tillsammans med de kompletterande skyddsåtgärder som behövs.
8. Radering
| Uppgift | Tid | Varför |
|---|---|---|
| Order, kvitton och underlag för moms | 7 år | Räkenskapsinformation enligt bokföringslagen. |
| Kundens varukorg och session | 12 timmar | Behövs bara under besöket. |
| Påbörjad legitimering med BankID | 1 timme | Behövs bara medan legitimeringen pågår. |
| Namn och födelsedatum från BankID | Så länge kundens session lever, högst 12 timmar | Visar att åldersgränsen är kontrollerad. Personnumret sparas aldrig. |
| Passeringar vid dörren | 90 dagar | Ska gå att utreda svinn och skadegörelse i efterhand. |
| Personalens inloggningar: när, och om det var i appen eller på webben | 90 dagar | Så att personen och butikens ägare kan se om ett konto använts av någon annan. Ingen IP-adress sparas. |
| Kundkonto hos en butik: e-post, förnamn, födelsedatum och lösenord (bara som oläsbar hash, om kunden valt ett) | Tills kunden slutar använda det, längst 2 år efter senaste inloggningen | Låter kunden komma in utan att legitimera sig varje gång. Åldern måste kontrolleras om efter ett år. |
| Butikens konton och inställningar | Under avtalstiden och 3 månader därefter | Så att en butik som ändrar sig kan komma tillbaka. |
När avtalet upphör raderar vi butikens uppgifter inom tre månader, eller återlämnar dem om butiken ber om det innan dess. Underlag som måste sparas enligt bokföringslagen sparas dock i sju år, och behandlas då bara för det ändamålet.
9. Hjälp till butiken
Vi hjälper butiken med det den behöver för att uppfylla sina skyldigheter:
- Vill en kund få ut, rätta eller radera sina uppgifter hjälper vi butiken att ta fram eller åtgärda dem. Vänder sig kunden direkt till oss hänvisar vi till butiken.
- Vi lämnar de uppgifter butiken behöver för en konsekvensbedömning eller ett förhandssamråd.
- Vi ger butiken den information den behöver för att visa att det här avtalet följs.
Rimlig hjälp ingår i avgiften. Omfattande arbete kan vi debitera för, men då säger vi till i förväg.
10. Personuppgiftsincident
Upptäcker vi en incident som rör butikens uppgifter berättar vi det utan onödigt dröjsmål, och senast inom 24 timmar från att vi blivit varse den. Vi beskriver vad som hänt, vilka uppgifter som berörs, vilka följder vi bedömer att det får och vad vi gör åt saken. Anmälan till Integritetsskyddsmyndigheten görs av butiken.
11. Granskning
Butiken har rätt att kontrollera att vi följer avtalet. I första hand svarar vi på frågor skriftligt och visar underlag. Räcker inte det får butiken, eller en oberoende granskare, göra en granskning på plats efter överenskommelse minst 30 dagar i förväg, högst en gång per år. Butiken står för sina kostnader, och granskningen får inte störa driften eller röja uppgifter om andra butiker.
12. Ansvar
Ansvarsbegränsningen i de allmänna villkoren gäller även här, i den mån dataskyddsförordningen tillåter det. Förordningens egna regler om ansvar mellan ansvarig och biträde gäller oavsett vad som står här.
13. Kontakt
Dataskyddsfrågor: dataskydd@korgly.se
Third Element AB, org.nr 559389-1327