Mora Technologies ApS · Juridisk
Databehandleraftale
Senest opdateret: 9. november 2026 · Version: 2026-10-26 · Databeskyttelsesforordningens artikel 28 · Gælder for alle apps til Shopify, som Mora Technologies ApS udgiver under varemærket Aveus
Dette er en oversættelse af den engelske original. Hvis der er forskel mellem de to versioner, har den engelske version forrang.
Denne databehandleraftale indgås mellem den virksomhed, der installerer en app fra Aveus i sin butik på Shopify (»butiksejeren«, der handler som dataansvarlig), og Mora Technologies ApS, som også driver virksomhed under det registrerede binavn Aveus ApS, CVR 46 17 19 77, Rantzausgade 11, 2. 6., 2200 København N, Danmark (der handler som databehandler). Den udgør en del af vores servicevilkår og gælder, når en app behandler personoplysninger på butiksejerens vegne. Butiksejeren accepterer den sammen med servicevilkårene og privatlivspolitikken: i hver app, før den bruges; i Aveus AI på dens første skærm, og intet behandles efter denne databehandleraftale før da (servicevilkårene, punkt A.13), bortset fra svarene på de obligatoriske privatlivswebhooks fra Shopify og den besøgendes IP-adresse, som butikkens scripts og den offentlige oplysningsside bruger som nøgle til at begrænse antallet af forespørgsler (Bilag II).
For butiksejerens egne kontooplysninger (butikkens domæne, adgangstoken, revisionslogge og de øvrige oplysninger om butiksejeren, der er nævnt i del B i privatlivspolitikken) er Mora Technologies ApS selvstændig dataansvarlig og ikke databehandler. Disse oplysninger er omfattet af privatlivspolitikken og ikke af denne databehandleraftale.
1. Standardkontraktbestemmelser
Parterne er enige om, at de standardkontraktbestemmelser mellem dataansvarlige og databehandlere, der findes i bilaget til Kommissionens gennemførelsesafgørelse (EU) 2021/915 af 4. juni 2021 (»Standardkontraktbestemmelserne«, tilgængelige på eur-lex.europa.eu/eli/dec_impl/2021/915/oj), gælder mellem dem og er indarbejdet i denne databehandleraftale ved henvisning, med butiksejeren som dataansvarlig og Mora Technologies ApS som databehandler. Bilagene til Standardkontraktbestemmelserne udfyldes med bilag I til IV nedenfor. I tilfælde af modstrid mellem Standardkontraktbestemmelserne og servicevilkårene eller en anden aftale mellem parterne har Standardkontraktbestemmelserne forrang (klausul 4).
Parterne træffer følgende valg på de punkter, som Standardkontraktbestemmelserne lader stå åbne:
| Klausul 5 (tiltrædelsesklausul) | Anvendes ikke. En ny butik installerer appen og accepterer selv denne databehandleraftale i appen, før den bruges. |
| Klausul 7.7 (brug af underdatabehandlere) | Mulighed 2: generel skriftlig godkendelse. Databehandleren underretter den dataansvarlige om enhver planlagt tilføjelse eller udskiftning af en underdatabehandler med mindst 14 dages varsel pr. mail eller i appen, og den dataansvarlige kan gøre indsigelse. Kan indsigelsen ikke løses, kan den dataansvarlige opsige aftalen ved at afinstallere appen. Den gældende liste findes i bilag IV. |
| Klausul 7.8 (internationale overførsler) | Kun til de modtagere og med de garantier, der er angivet i bilag IV og i afsnit A.4 i privatlivspolitikken: standardkontraktbestemmelserne i Kommissionens afgørelse (EU) 2021/914 i henhold til databeskyttelsesforordningens artikel 46, stk. 2, litra c, når der kan være adgang til oplysningerne uden for EØS, og for Shopify Inc. i Canada Den Europæiske Kommissions afgørelse om tilstrækkeligt beskyttelsesniveau for Canada. |
| Klausul 9 (brud på persondatasikkerheden) | Databehandleren underretter den dataansvarlige uden unødig forsinkelse efter at være blevet bekendt med et brud og så vidt muligt inden for 48 timer med de oplysninger, der er nævnt i klausul 9.2. |
| Instrukser (klausul 7.1) | Den dataansvarlige giver databehandleren instrukser gennem sin brug af appen: dens indstillinger, de handlinger, den dataansvarlige foretager i appen, og de obligatoriske webhooks for privatliv fra Shopify (customers/data_request, customers/redact, shop/redact). |
| Sletning ved tjenestens ophør (klausul 10, litra d) | Før afinstallation kan den dataansvarlige på contact@aveus.ai bede om en kopi af de personoplysninger, der behandles på dennes vegne. Derefter slettes oplysningerne ved afinstallation eller ved den verificerede anmodning om sletning, som Shopify sender 48 timer senere, som angivet for hver app i del B i privatlivspolitikken, og på anmodning bekræfter vi sletningen skriftligt. |
2. Grænserne for denne databehandleraftale
Denne databehandleraftale regulerer alene databeskyttelse. Den udvider ikke omfanget af de apps, der er beskrevet i servicevilkårene, den gør ikke Mora Technologies ApS ansvarlig for butiksejerens egne forpligtelser som dataansvarlig (herunder de oplysninger, butiksejeren giver sine kunder, og lovligheden af de oplysninger, butiksejeren indsamler) eller som idriftsætter efter EU’s forordning om kunstig intelligens, og den ændrer ikke ansvarsbegrænsningen i servicevilkårene, medmindre Standardkontraktbestemmelserne eller ufravigelig lovgivning kræver andet. Bistand efter klausul 7.6 og 8, der går ud over det, som appen leverer automatisk (for eksempel revision på stedet), ydes mod en rimelig betaling, der aftales på forhånd.
Bilag I. Liste over parter
| Rolle | Part | Kontakt |
|---|---|---|
| Dataansvarlig | Den virksomhed, der ejer den butik på Shopify, hvor appen er installeret, identificeret ved butikkens domæne og repræsenteret ved den medarbejderkonto i Shopify, der accepterede denne databehandleraftale | Butiksejerens mailadresse, som er registreret i Shopify |
| Databehandler | Mora Technologies ApS, som også driver virksomhed under det registrerede binavn Aveus ApS, CVR 46 17 19 77, Rantzausgade 11, 2. 6., 2200 København N, Danmark | contact@aveus.ai |
Hver part accepterer bestemmelserne og denne databehandleraftale på den dato, hvor den dataansvarlige accepterer dem i appen, og som appen registrerer (servicevilkårene, punkt A.13).
Bilag II. Beskrivelse af behandlingen
| Kategorier af registrerede | Den dataansvarliges kunder og de besøgende i den dataansvarliges webshop og på dennes offentlige oplysningsside; personer, der kan optræde på produktbillederne eller være nævnt i billedernes metadata; personer, som den dataansvarlige nævner i de registreringer, den fører i appen (for eksempel sit hændelsesregister). |
| Kategorier af personoplysninger | Kundeidentifikatorer fra Shopify, som modtages via de obligatoriske webhooks for privatliv (for eksempel kundens ID i en anmodning af typen customers/data_request eller customers/redact); IP-adressen på besøgende, som butikkens scripts og den offentlige oplysningsside bruger som nøgle til en tæller, der begrænser antallet af forespørgsler, og som automatisk udløber inden for to timer, brugeragenten i deres forespørgsler, som bruges sammen med IP-adressen til at blokere misbrug og forespørgsler fra bestemte lande eller net, og som gemmes i de tjenestelogs, der er beskrevet i afsnit A.11 i privatlivspolitikken (for blokerede forespørgsler med en pseudonymiseret hash af IP-adressen), samt det land, der udledes af IP-adressen, og som ikke gemmes, så Tillidsmærket kun vises i EU og EØS; metadata i produktbilleder, som kun læses for at finde markeringer af billedets oprindelse (kun resultatet af kontrollen gemmes); og, kun hvis den dataansvarlige slår visuel analyse til i Aveus AI, en formindsket kopi af de produktbilleder, den dataansvarlige vælger at få analyseret, og som kan vise en person (billedet gemmes ikke). Visuel analyse er ikke tilgængelig i øjeblikket. Hertil kommer det indhold, som den dataansvarlige skriver i appen, som de hændelser, den registrerer (beskrivelse, myndighed og dennes mailadresse), og dens noter fra gennemgange. Ingen af vores apps læser ordrer, kundeprofiler eller betalingsoplysninger. |
| Følsomme oplysninger | Ingen. Vores apps er ikke udviklet til at behandle særlige kategorier af personoplysninger (databeskyttelsesforordningens artikel 9) eller oplysninger om straffedomme (artikel 10). |
| Behandlingens karakter | Automatisk: modtagelse og lagring af anmodninger, der kommer via webhooks, midlertidig optælling for at begrænse antallet af forespørgsler, blokering af misbrug, læsning af billedmetadata, lagring af de registreringer, som den dataansvarlige fører i appen, og sletning; og, kun efter instruks fra den dataansvarlige (visuel analyse slået til i Aveus AI), fremsendelse af en formindsket kopi af de produktbilleder, den dataansvarlige udvælger, til den underdatabehandler, der leverer kunstig intelligens, så den kan foreslå, om der er behov for mærkning. Visuel analyse er ikke tilgængelig i øjeblikket (servicevilkårene for Aveus AI, B.1.5), og så længe den ikke er tilgængelig, sendes der ingen produktbilleder. |
| Formål | At levere appen til den dataansvarlige; at gennemføre de anmodninger vedrørende databeskyttelse, som den dataansvarlige modtager via Shopify; at beskytte butikkens endepunkter mod misbrug. |
| Varighed | Så længe appen er installeret, efterfulgt af sletning som angivet i del B i privatlivspolitikken (nøgler til begrænsning af forespørgsler: højst to timer; kø med anmodninger vedrørende databeskyttelse: 90 dage efter at anmodningen er gennemført). |
Bilag III. Tekniske og organisatoriske foranstaltninger
- Opbevaring af data i EU: database i Frankfurt (AWS eu-central-1), afvikling af applikationen i Frankfurt (Vercel fra1) og behandling med kunstig intelligens på det multiregionale endepunkt for EU i Vertex AI.
- Adskillelse mellem butikker: adgangen til data er begrænset til den pågældende butik, gennem Row Level Security i databasen for forespørgsler, der foretages for en butik, og gennem et filter på butikken i de serveropgaver, der kører uden den.
- Kryptering: TLS under overførsel; adgangstokens fra Shopify krypteres ved lagring med AES-256-GCM; databasen krypteres ved lagring af udbyderen.
- Autentificering: hver anmodning fra administrationen i Shopify verificeres med Shopifys signerede sessionstoken, og hver webhook med sin signatur (HMAC); i driftsmiljøet findes der ingen langtidsgyldig nøgle til en tjenestekonto i skyen (Workload Identity Federation).
- Mindst mulige rettigheder: appen anmoder kun om de tilladelser i Shopify, den har brug for, og den databaserolle, der bruges til butikkernes anmodninger, har kun de kolonnerettigheder, den har brug for.
- Dataminimering: vi indsamler ikke på eget initiativ oplysninger om slutkunder; der gemmes ingen IP-adresser i databasen; fejlrapporter maskeres og pseudonymiseres.
- Sikker udvikling: scanning af afhængigheder og hemmeligheder i byggeprocessen, automatiske test ved hver ændring og regelmæssige sikkerhedsgennemgange med udgangspunkt i OWASP Top 10.
- Logning og opbevaring: logge over sikkerhed og drift opbevares i de perioder, der er angivet i privatlivspolitikken, og slettes derefter automatisk.
- Håndtering af hændelser: brud på persondatasikkerheden anmeldes som fastsat i klausul 9 (afsnit 1 i denne databehandleraftale).
Bilag IV. Liste over underdatabehandlere
Den dataansvarlige godkender følgende underdatabehandlere (klausul 7.7, mulighed 2).
| Underdatabehandler | App | Formål | Placering |
|---|---|---|---|
| Shopify International Limited (Irland) / Shopify Inc. | Alle | Den platform, som vores apps kører på: autentificering, Admin API og de obligatoriske webhooks for privatliv | EU og Canada i henhold til Shopify Data Processing Addendum |
| Supabase Inc. | Alle | Hosting af databasen | EU: AWS eu-central-1 (Frankfurt) |
| Vercel Inc. | Alle | Hosting af applikationen og serverløst driftsmiljø | EU: Frankfurt (fra1); routing via det knudepunkt i netværket, der ligger nærmest den besøgende |
| Upstash, Inc. | Aveus AI | Begrænsning af forespørgsler, budget for udgifter til kunstig intelligens og idempotens for webhooks | Region i EU |
| Google Cloud EMEA Limited (Irland), Vertex AI | Aveus AI | Klassificering med kunstig intelligens af uddrag af temafilerne og af offentlig dokumentation fra leverandører (der sendes ingen oplysninger om slutkunder til modellen); og, kun efter instruks fra den dataansvarlige, formindskede kopier af de produktbilleder, den dataansvarlige udvælger til visuel analyse (visuel analyse er ikke tilgængelig i øjeblikket) | EU: Vertex AI, multiregionen »eu« |
| Google Ireland Limited (Google Workspace / Gmail) | Aveus AI | Advarsler om driftsfejl til vores tekniske postkasse | EU og USA i henhold til Google DPA og standardkontraktbestemmelser |
Supabase, Vercel, Upstash og Google kan gøre brug af medarbejdere eller koncernforbundne selskaber uden for EØS til begrænset support og teknisk adgang. En sådan adgang er omfattet af standardkontraktbestemmelser i henhold til databeskyttelsesforordningens artikel 46, stk. 2, litra c, som beskrevet i privatlivspolitikken. Kontaktoplysningerne for hver underdatabehandler er dem, som den selv offentliggør; på anmodning udleverer vi dem sammen med en kopi af de relevante vilkår for databehandling.