Senast uppdaterat: 26 oktober 2026
Detta avtal gäller mellan det företag (”säljaren”) som använder ztore (”plattformen”) och Lindhé & Co AB (”operatören”).
Avtalet kompletterar plattformens butiksavtal och reglerar behandling av personuppgifter som operatören utför för säljarens räkning enligt dataskyddsförordningen (GDPR).
Säljaren är personuppgiftsansvarig och operatören är personuppgiftsbiträde för den behandling som omfattas av detta avtal.
Avtalet gäller operatörens behandling av personuppgifter för säljarens räkning när operatören tillhandahåller säljarens webbutik och tillhörande tekniska tjänster.
Säljaren ansvarar för att personuppgifter behandlas lagligt, att registrerade får föreskriven information och att det finns rättslig grund för behandlingen.
Operatören behandlar personuppgifter för säljarens räkning genom plattformens funktioner för bland annat kundregister, beställningar, leveranser och kundservice.
För behandling som operatören utför för egna ändamål, exempelvis administration av plattformen, säkerhet, fakturering och lagstadgad rapportering, är operatören själv personuppgiftsansvarig. Sådan behandling omfattas inte av detta avtal.
Betalnings- och fraktleverantörer som säljaren själv anlitar ansvarar för sin behandling av personuppgifter enligt tillämplig lag och sina respektive avtal. De omfattas inte automatiskt av detta biträdesavtal.
Operatören får behandla personuppgifter endast för att tillhandahålla de funktioner som säljaren använder och enligt säljarens dokumenterade instruktioner.
Behandlingens ändamål, omfattning, varaktighet, personuppgifter och kategorier av registrerade framgår av bilaga 1.
Behandlingen omfattar inte marknadsföring eller automatiserat beslutsfattande för operatörens egna ändamål.
Operatören får endast behandla personuppgifter enligt dokumenterade instruktioner från säljaren, inklusive vid eventuell överföring utanför EU/EES.
Butiksavtalet, detta avtal, säljarens inställningar och dokumenterade instruktioner genom plattformen eller skriftlig kommunikation utgör sådana instruktioner.
Om en instruktion bedöms strida mot GDPR eller annan dataskyddslagstiftning ska operatören utan dröjsmål informera säljaren.
Behandling som krävs enligt lag får ske utan särskild instruktion. Operatören ska i sådana fall informera säljaren före behandlingen, om detta inte är förbjudet enligt lag.
Operatören ska säkerställa att personer med tillgång till personuppgifter omfattas av sekretess eller lagstadgad tystnadsplikt.
Operatören ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt GDPR artikel 32, med hänsyn till behandlingens art och risker.
Åtgärderna omfattar bland annat behörighetsstyrning, skyddad kommunikation, säkerhetskopiering, loggning och skydd mot obehörig åtkomst.
Personuppgifter ska skyddas så att säljaren inte får obehörig tillgång till andra säljares uppgifter.
Säljaren ger operatören ett generellt tillstånd att anlita underbiträden som behövs för plattformens drift och funktioner.
Operatören ska tillhandahålla en aktuell förteckning över underbiträden, deras uppgifter och var personuppgifterna behandlas.
Vid planerade tillägg eller byten av underbiträden ska säljaren informeras minst 30 dagar i förväg och ges möjlighet att invända på sakliga dataskyddsgrunder.
Om en invändning inte kan lösas får säljaren säga upp avtalet innan förändringen genomförs.
Operatören ska genom skriftliga avtal säkerställa att underbiträden omfattas av motsvarande dataskyddsskyldigheter och ansvarar gentemot säljaren för underbiträdenas fullgörande av dessa skyldigheter.
Personuppgifter ska som utgångspunkt behandlas inom EU/EES.
Överföring utanför EU/EES får endast ske enligt dokumenterade instruktioner och med giltigt rättsligt stöd enligt GDPR, exempelvis beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler.
Operatören ska informera säljaren om sådana överföringar och tillämpliga skyddsåtgärder.
Operatören ska, med hänsyn till behandlingens art, bistå säljaren med lämpliga tekniska och organisatoriska åtgärder för att hantera begäranden om tillgång, rättelse, radering, begränsning och dataportabilitet samt övriga rättigheter enligt GDPR.
Om operatören tar emot en begäran som gäller personuppgifter för vilka säljaren är ansvarig ska begäran utan onödigt dröjsmål vidarebefordras till säljaren, om inte annat följer av lag.
Operatören ska utan onödigt dröjsmål underrätta säljaren efter att ha fått kännedom om en personuppgiftsincident som berör säljarens uppgifter.
Operatören ska lämna tillgänglig information om incidentens art, omfattning, konsekvenser och vidtagna eller planerade åtgärder samt komplettera informationen när ytterligare uppgifter blir tillgängliga.
Operatören ska bistå säljaren med utredning, dokumentation och eventuell anmälan till tillsynsmyndighet eller information till registrerade.
Operatören ska, med hänsyn till behandlingens art och tillgänglig information, bistå säljaren med skyldigheter enligt GDPR artiklarna 32–36, inklusive säkerhet, konsekvensbedömningar och eventuellt förhandssamråd med tillsynsmyndighet.
Operatören ska tillhandahålla den information som behövs för att visa att skyldigheterna enligt GDPR artikel 28 uppfylls.
Säljaren eller en oberoende granskare som säljaren utser får genomföra nödvändiga granskningar och inspektioner. Dessa ska normalt ske efter skälig förhandsavisering och med hänsyn till säkerhet, sekretess och andra säljares uppgifter.
När butiksavtalet upphör ska operatören, enligt säljarens val, återlämna eller radera de personuppgifter som behandlats för säljarens räkning och radera befintliga kopior, om inte fortsatt lagring krävs enligt lag.
Operatören ska ge säljaren möjlighet att begära ut sina uppgifter innan de raderas.
Uppgifter som behöver behandlas för kvarstående kundärenden får behandlas enligt säljarens dokumenterade instruktioner tills dessa är avslutade.
Uppgifter som operatören själv ansvarar för, exempelvis enligt bokförings- eller annan lagstiftning, omfattas inte av raderingsskyldigheten i detta avtal.
Avtalet gäller från det att säljaren godkänner butiksavtalet och så länge operatören behandlar personuppgifter för säljarens räkning.
Vid motstridiga bestämmelser mellan detta avtal och butiksavtalet har detta avtal företräde i frågor som rör personuppgiftsbehandling enligt GDPR artikel 28.
Parternas lagstadgade rättigheter och skyldigheter enligt GDPR påverkas inte av eventuella ansvarsbegränsningar i butiksavtalet.
Lindhé & Co AB
Organisationsnummer: 559034-0021
Adress: Hammarbybacken 27, 120 30 Stockholm
E-post: [email protected]
Säljarens uppgifter framgår av det registrerade butikskontot.
Kontakt sker i första hand via kundservice.
Behandling av personuppgifter för att tillhandahålla säljarens butik och tillhörande funktioner för kundregister, beställningar, leveranser, betalningsinformation och kundservice.
Insamling, registrering, lagring, strukturering, åtkomst, användning, överföring till behöriga mottagare, uppdatering, utlämning, radering och annan behandling som behövs för tjänsten.
Behandlingen är inte avsedd för känsliga personuppgifter enligt GDPR artikel 9 eller uppgifter om lagöverträdelser. Sådana uppgifter kan dock förekomma om de lämnas av registrerade i exempelvis kundserviceärenden och ska då hanteras enligt tillämpliga dataskyddskrav.
Behandlingen pågår under butiksavtalets giltighetstid och därefter endast i den utsträckning som krävs för avveckling, kvarstående ärenden eller enligt lag.
Operatören får behandla uppgifterna för att utföra säljarens åtgärder i plattformen, administrera beställningar, förmedla nödvändiga uppgifter till valda tjänsteleverantörer och hantera kundärenden enligt säljarens instruktioner.
Operatören får inte använda uppgifterna för egna kommersiella ändamål inom ramen för sin roll som personuppgiftsbiträde.
Operatören ska upprätthålla säkerhetsåtgärder som är lämpliga för behandlingens risker, inklusive:
Operatören ska tillhandahålla och hålla uppdaterad en förteckning över de underbiträden som behandlar personuppgifter för säljarens räkning.
Förteckningen ska ange underbiträdets namn, kontaktuppgifter, tjänst, behandlingsland och eventuella överföringar utanför EU/EES.
Förteckningen ska vara tillgänglig för säljaren vid avtalets ingående och under avtalstiden. Ändringar hanteras enligt avsnitt 6.
OpenAI är mottagare av frågor och begränsade underlag när en AI-funktion används. Uppgifter som kan behandlas är användarens frågetext, produkt- och kategoridata samt begränsade order-, retur-, åtgärds- och ärendestatusar. ztore begränsar åtkomsten enligt användarens roll och hämtar inte kunders kontaktuppgifter eller ärendenas meddelandetext automatiskt.
Ansvarsfördelning, dokumenterade instruktioner och tillämplig avtalskedja med OpenAI ska fastställas för respektive behandling. En butik som ansluter eget API-projekt ska kontrollera projektets avtal och datainställningar. Tillämpliga krav för underbiträden och internationella överföringar gäller även vid AI-användning.
API-anrop görs med lagring av svar avstängd (store:false). Konversationer sparas inte i ztores databas i denna version. OpenAI använder enligt sin API-policy inte innehållet för modellträning som standard, men säkerhetsloggar kan normalt lagras i upp till 30 dagar. EU-behandling eller nollagring är inte automatiskt aktiverad och kräver särskild leverantörskonfiguration. Läs även informationen på /om-ztore#ai-assistent.
Denna bilaga är ett utkast och ska juridiskt granskas, inklusive rättslig grund, geografisk behandling och avtalskedja, före produktionsanvändning med personuppgifter.