Privatlivspolitik

For så vidt angår dine data som butiksejer (butikkens domæne, adgangstokens, registreringer fra vores kontroller og de oplysninger for hver App, der er angivet i Del B), er Mora Technologies ApS selvstændig dataansvarlig.

For så vidt angår dine kunders oplysninger er Mora Technologies ApS, i det omfang en App overhovedet berører sådanne oplysninger, databehandler efter databeskyttelsesforordningens artikel 28 og handler efter de instrukser, der gives gennem Shopifys obligatoriske privatlivswebhooks (customers/data_request, customers/redact, shop/redact). Du er fortsat dataansvarlig for dine kunder og for din butik, herunder for lovligheden af de oplysninger, du indsamler om dem, de meddelelser, du giver dem, og de tjenester fra tredjeparter, du installerer. Intet i denne politik overfører dette ansvar til os. Vilkårene for denne behandling (databeskyttelsesforordningens artikel 28, stk. 3) fremgår af vores databehandleraftale.

• Vi sælger, udlejer eller bytter aldrig dine data, og vi deler dem aldrig med datamæglere eller annoncører.
• Vi bruger aldrig dine data, indholdet i din butik eller dine kunders oplysninger til at træne modeller for kunstig intelligens, hverken vores egne eller andres.
• Vi placerer aldrig kode til statistik, annoncering eller sporing i din webshop. Hvor en App tilføjer kode til din webshop (for eksempel en mærkning eller et tillidsmærke), beskriver Del B præcis, hvad koden gør. Koden sender aldrig dine besøgendes personoplysninger til os; det, der når frem til vores servere, er de tekniske oplysninger, som enhver browser sender, når den henter et script (dens IP-adresse, dens brugeragent og den side, den kommer fra), og dem bruger vi kun til at levere scriptet, begrænse antallet af forespørgsler og, for Tillidsmærket, vide, om den besøgende er i EU eller EØS (B.1.5). Vi gemmer ikke IP-adressen i mere end to timer; A.11 forklarer vores hostingudbyders tjenestelogs.
• Vi indsamler aldrig på eget initiativ personoplysninger om dine kunder. En App modtager kun identifikatorer for kunder, når Shopify sender dem til os via sine obligatoriske webhooks, og Del B angiver, hvad der sker med dem.
• Vi overfører aldrig data ud af Det Europæiske Økonomiske Samarbejdsområde (EØS), medmindre det sker med de garantier, der er beskrevet i A.4.
• Vi opbevarer aldrig data længere end den opbevaringsperiode, der er angivet for dem i Del B.

Alle Apperne bygger på følgende centrale underdatabehandlere. Del B oplister eventuelle yderligere underdatabehandlere, som en bestemt App bruger.

Supabase, Vercel og Upstash (som er nævnt i Del B) er selskaber registreret i USA, og deres infrastruktur i EU kan blive understøttet af medarbejdere uden for EØS. Enhver sådan resterende adgang er omfattet af Kommissionens standardkontraktbestemmelser (afgørelse (EU) 2021/914) efter databeskyttelsesforordningens artikel 46, stk. 2, litra c, som indgår i hver leverandørs databehandlertillæg. Der overføres ingen personoplysninger ud af EØS uden disse garantier. Du kan bede os om en kopi af dem på contact@aveus.ai.

Mails, du sender til os. Vores postkasse contact@aveus.ai, som modtager spørgsmål til support, henvendelser om databeskyttelse og svar på de mails, vores Apps sender, hostes af Google Ireland Limited (Google Workspace / Gmail) i henhold til Googles databehandlertillæg. Hvis Google eller Googles egne underdatabehandlere behandler disse beskeder uden for EØS, gælder standardkontraktbestemmelserne i det tillæg. Vi bruger kun dine beskeder til at svare dig og til at dokumentere, hvordan vi har behandlet din henvendelse (databeskyttelsesforordningens artikel 6, stk. 1, litra b, og artikel 6, stk. 1, litra f), og vi sletter dem senest tre år efter den sidste besked i korrespondancen. Send os venligst ikke dine kunders personoplysninger pr. mail.

Vi gennemfører tekniske og organisatoriske foranstaltninger, der passer til risikoen, herunder: kryptering af Shopifys adgangstokens i hvile med AES-256-GCM, Row Level Security (RLS), så én butik aldrig kan læse en anden butiks rækker, kontrol af signaturen (HMAC) på hver webhook fra Shopify, TLS under overførsel, revisionslogs, som der kun kan tilføjes til (den eneste tilladte ændring er at markere en hændelse, som du har registreret, som anmeldt), scanning af afhængigheder og hemmeligheder i vores byggeproces og regelmæssige sikkerhedsgennemgange efter OWASP Top 10. Intet system er fuldstændig sikkert. Hvis vi bliver opmærksomme på et brud på persondatasikkerheden, der berører dig, underretter vi dig og, hvor det kræves, tilsynsmyndigheden inden for de frister, der følger af databeskyttelsesforordningens artikel 33 og 34.

Efter kapitel III i databeskyttelsesforordningen har du følgende rettigheder med hensyn til dine data som butiksejer:

• Ret til indsigt (artikel 15): Du kan anmode om en kopi af de oplysninger, vi har om din butik på Shopify.
• Ret til berigtigelse (artikel 16): Du kan anmode om at få urigtige oplysninger rettet.
• Ret til sletning (artikel 17): Du kan anmode om at få dine oplysninger slettet. Hvad en verificeret anmodning om sletning fjerner, og hvad der fjernes automatisk, når Appen afinstalleres, er angivet for hver App i Del B.
• Ret til dataportabilitet (artikel 20): Du kan anmode om at få dine oplysninger udleveret i et maskinlæsbart format.
• Ret til begrænsning af behandling (artikel 18): Du kan i visse tilfælde anmode om, at vi begrænser vores brug af dine oplysninger.
• Ret til indsigelse (artikel 21): Du kan gøre indsigelse mod behandling, der er baseret på legitime interesser.
• Ret til at trække samtykke tilbage (artikel 7, stk. 3): Når vi bygger på dit samtykke (nyheder fra Aveus på mail, A.12 og B.1.1), kan du til enhver tid trække det tilbage lige så let, som du gav det: under Indstillinger i Appen, via linket i hver nyhedsmail eller ved at skrive til os. Tilbagetrækningen berører ikke det, der er sket før.
• Ret til indsigelse mod direkte markedsføring (artikel 21, stk. 2 og 3): Du kan til enhver tid gøre indsigelse mod at modtage nyheder og tilbud fra os på mail. Vi stopper med det samme.

Hvis du vil gøre brug af en af disse rettigheder, kan du skrive til os på contact@aveus.ai fra den mailadresse, der er knyttet til din butik på Shopify, eller bruge Shopifys privatlivswebhooks. Vi svarer inden for 30 dage (databeskyttelsesforordningens artikel 12). Vi kan bede dig om at bekræfte, at du har kontrol over den pågældende butik, før vi behandler en anmodning.

Det er nødvendigt at give os dine oplysninger som butiksejer for at indgå og opfylde vores kontrakt med dig: uden dem kan Appen ikke fungere. Vi træffer ikke afgørelser, der alene er baseret på automatisk behandling, og som har retsvirkning for dig eller på tilsvarende måde betydeligt påvirker dig (databeskyttelsesforordningens artikel 22); de klassificeringer og skøn, som en App frembringer, er forslag, som du gennemgår og træffer beslutning om.

Disse rettigheder gælder også for dig, hvis du har tilmeldt dig vores nyheder på aveus.ai uden at være butiksejer (A.12).

Du har ret til at indgive en klage til den kompetente tilsynsmyndighed:

Hver kategori af oplysninger i Del B slettes automatisk, når opbevaringsperioden udløber. Perioderne er maksimumsperioder, ikke minimumsperioder: vi opbevarer ikke oplysninger ud over det formål, der begrunder opbevaringen (databeskyttelsesforordningens artikel 5, stk. 1, litra e, om opbevaringsbegrænsning). Hvor en kategori opbevares efter afinstallation, oplyser Del B det og hvorfor. Optegnelser, der dokumenterer, at vi har efterkommet en retlig anmodning (for eksempel den post, der beviser, at en webhook af typen shop/redact blev behandlet), opbevares som dokumentation for overholdelse efter artikel 5, stk. 2 (ansvarlighed), og artikel 17, stk. 3, litra e (forsvar af retskrav). Optegnelsen om en behandlet anmodning af typen shop/redact beholder butikkens domæne i 90 dage, så den kan dokumentere sletningen; andre optegnelser af denne art pseudonymiseres, hvor det er muligt.

Apperne er softwareværktøjer. Det, de leverer (klassificeringer af overholdelse, risikoscorer, mærker på billeder, certifikater, genererede dokumenter og lignende), fremstilles automatisk ud fra de oplysninger, Appen har adgang til på det tidspunkt, og kan være ufuldstændigt eller forkert. Det stilles til rådighed som en hjælp til dig og er ikke juridisk rådgivning. Du er fortsat eneansvarlig for at gennemgå det og for, at din butik overholder forordningen om kunstig intelligens, databeskyttelsesforordningen og al anden lovgivning, der gælder for dig. Vores ansvar, garantier, lovvalg og værneting reguleres udelukkende af vores servicevilkår, som du accepterer i hver App, før du bruger den (i Aveus AI på dens første skærm). Denne politik beskriver, hvordan vi behandler oplysninger, og skaber ikke forpligtelser ud over dem, som databeskyttelseslovgivningen kræver.

Vi kan opdatere denne privatlivspolitik, herunder ved at tilføje et afsnit til Del B for en ny App eller ændre et eksisterende afsnit, når en App ændrer, hvad den gør med oplysninger. Vi giver dig besked ved at opdatere datoen »Senest opdateret« øverst på denne side. Væsentlige ændringer meddeles dig pr. e-mail eller i Appen mindst 30 dage før, de træder i kraft, medmindre de kræves af lovgivningen eller af Shopify, og når en sådan ændring træder i kraft, beder Aveus AI dig acceptere den nye version i Appen, før du kan fortsætte med at bruge den.

Vores websted aveus.ai bruger ingen cookies og ingen form for statistik, annoncering eller sporing, og skrifttyperne leveres fra vores eget domæne. Webstedet hostes af Vercel Inc. (se A.4), og siderne leveres gennem Vercels netværk fra det sted, der er nærmest dig. For at kunne levere hver side og beskytte webstedet mod misbrug behandler Vercel de tekniske oplysninger, som enhver forespørgsel på nettet indeholder: din IP-adresse, din browsers user agent, den side, der blev anmodet om, og tidspunktet for forespørgslen. Vercel opbevarer kun disse oplysninger i den begrænsede periode, hvor tjenestens logs gemmes. Retsgrundlag: databeskyttelsesforordningens artikel 6, stk. 1, litra f (vores legitime interesse i at drive et sikkert websted). Hvis du skriver til os, forklarer A.4, hvordan din mail behandles.

Selve appen på app.aveus.ai hostes på samme måde, og Vercel behandler de samme tekniske oplysninger ved hver forespørgsel. Når vores sikkerhedsregler blokerer en forespørgsel, registrerer vores logs en pseudonymiseret hash af IP-adressen, browserens user agent og stien. For at beskytte tjenesten kan vi blokere forespørgsler fra bestemte lande eller netværk, for eksempel lande under sanktioner eller netværk, der bruges til misbrug. Retsgrundlag: GDPR art. 6, stk. 1, litra f (vores legitime interesse i at drive en sikker tjeneste).

På aveus.ai kan du bede om at modtage nyheder fra Mora Technologies ApS på mail: nye funktioner i Aveus AI, andre apps fra Mora Technologies til Shopify og tilbud på abonnementer. Tilmeldingen er frivillig og er aldrig en betingelse for noget.

Hvad vi behandler. Den mailadresse, du skriver, sidens sprog, versionen af den samtykketekst, du fik vist, og hvornår og hvordan du tilmeldte dig, bekræftede, modtog en besked eller afmeldte dig. Ud over de tekniske data, som Vercel behandler ved hver forespørgsel til vores servere (se det foregående afsnit om besøgende på vores websted), bruges din IP-adresse kun som nøgle til en kortvarig tæller, der begrænser antallet af forespørgsler og beskytter formularen mod misbrug (B.1.3); den gemmes ikke sammen med din tilmelding.

Dobbelt bekræftelse. Vi sender dig først en mail med et bekræftelseslink, der virker i 72 timer. Indtil du trykker på det, sender vi dig ikke andet, bortset fra en ny bekræftelsesmail, højst én om dagen, hvis formularen sendes igen med din adresse; en tilmelding, der ikke bliver bekræftet, slettes efter 7 dage.

Retsgrundlag. Dit samtykke (databeskyttelsesforordningens artikel 6, stk. 1, litra a). At opbevare beviset for dit samtykke efter afmeldingen: vores legitime interesse i at kunne dokumentere det (artikel 6, stk. 1, litra f). At sende bekræftelsesmailen og opbevare en ubekræftet anmodning i op til 7 dage: vores legitime interesse i at kontrollere, at anmodningen kommer fra den, der bruger adressen (artikel 6, stk. 1, litra f).

Opbevaring. Så længe du er tilmeldt og derefter i 2 år efter din afmelding, som bevis for dit samtykke. Derefter slettes det.

Tilbagetrækning. Via linket i hver mail, vi sender dig efter din bekræftelse, med øjeblikkelig virkning, eller ved at skrive til contact@aveus.ai.

Modtagere. Formularen behandles af vores app på app.aveus.ai, som hostes af Vercel i Frankfurt (A.4), og tælleren for begrænsning af forespørgsler opbevares af Upstash (B.1.3). Listen opbevares i vores database hos Supabase i Frankfurt (A.4), og mailene sendes af Lettermint B.V. (Nederlandene, EU) uden sporing af åbninger eller klik (B.1.3). Vi indlæser aldrig listen i en anden app, kombinerer den aldrig med data om en Shopify butik og sælger eller deler den aldrig.

Aveus AI, der i Shopify App Store hedder »Aveus: EU AI Act Labels«, er en platform til regulatorisk compliance (RegTech) for virksomheder (B2B), der betjener butiksejere på Shopify. Vi indsamler kun de oplysninger, der er nødvendige for at levere vores kontrol af overholdelse (databeskyttelsesforordningens artikel 5, stk. 1, litra c, om dataminimering). Vi indsamler ikke kundeprofiler, ordrer eller betalingsoplysninger om dine kunder (forbrugere). De eneste kundeoplysninger, vi behandler, er de identifikatorer for kunder, som Shopify sender i sine obligatoriske privatlivswebhooks, og den IP-adresse, som enhver forespørgsel til vores servere har med, og som bruges som beskrevet i B.1.3 og B.1.5. Ingen af funktionerne i Aveus AI kører, heller ikke den natlige gennemgang, før du har accepteret vilkårene, databehandleraftalen og denne politik i Appen. Før da sker kun det, som installationen og accepten kræver: installationssessionen gemmes, din accept registreres, og de obligatoriske privatlivswebhooks og afinstallationswebhooken fra Shopify besvares, og butikkens offentlige endpoints bruger den besøgendes IP-adresse som nøgle til at begrænse antallet af forespørgsler (B.1.3).

B.1.1 Hvilke oplysninger vi indsamler, og hvorfor

B.1.2 Opbevaring af oplysninger

B.1.3 Yderligere underdatabehandlere

Klassificeringen med AI foregår i Google Cloud Vertex AI, som er låst til det multiregionale endpoint for EU og begrænset til generelt tilgængelige modeller, så behandlingen med maskinlæring af det indhold, der sendes til analyse, finder sted inden for Den Europæiske Union. Vi autentificerer os med kortlivede adgangsoplysninger, der udstedes via Workload Identity Federation: der findes ingen langlivet nøgle til en tjenestekonto i Google Cloud i vores afviklingsmiljø. Behandlingen er omfattet af Google Clouds databehandlertillæg (databeskyttelsesforordningens artikel 28). Vi sender ikke dine kunders personoplysninger til modellen: det, der analyseres, er uddrag af dine temafiler (kode, indstillinger og den tekst, du har lagt i dem) og leverandørers offentligt tilgængelige dokumentation. For ikke at gentage en analyse ligger resultaterne i cache under et fingeraftryk af det analyserede indhold i 30 dage efter sidste brug, så identisk indhold i en anden butik genbruger resultatet; i den cache gemmes intet, der identificerer din butik. Google Cloud EMEA Limited kan anvende Google LLC (USA) og andre koncernselskaber i Google som sine egne underdatabehandlere til begrænset support, teknisk adgang og overvågning af misbrug i henhold til de standardkontraktbestemmelser, der er beskrevet i A.4.

B.1.4 Sletning og afinstallation

En verificeret anmodning om sletning fjerner din fortegnelse over AI, complianceprotokollen, revisionslogs, sessioner, registrerede leverandører, markeringer af syntetiske medier, certifikater, telemetri om omkostninger til AI, forbrugstællere i vores database, telemetri om scanningernes ydeevne, driftsmeddelelser, historik over scanninger af webshoppen, registreringer af nætter med automatisk håndhævelse, pseudonymiserede fejloptegnelser, registreringer af juridisk accept, dit abonnement på nyheder fra Aveus og beviset for dit samtykke, optegnelser om bevismapper og tilknytninger til partnerbureauer. Når Appen afinstalleres, fjernes din fortegnelse over AI, markeringer af syntetiske medier, registrerede leverandører og sessionsdata automatisk. De øvrige kategorier fjernes ved en verificeret anmodning om sletning, eller når deres opbevaringsperiode udløber. En afinstallation stopper også nyhedsmails fra Aveus med det samme.

B.1.5 Hvad Appen læser og skriver i din butik

For at finde tegn på et billedes oprindelse henter Appen højst de første 256 KB af hvert produktbillede (og for visse store filer også de sidste 256 KB), undersøger dem i hukommelsen og kasserer dem derefter; kun resultatet af registreringen gemmes. Appen læser dine temafiler, men ændrer dem aldrig. I din butik skriver den et metafelt på produktet for hvert mærket billede og ét metafelt på butikken med listen over mærkede filer, i Appens eget navnerum, samt ét metafelt på Appens installation (aveus.free_plan), der fortæller temaets blokke, om din butik er på den gratis plan. På betalte planer indstiller Appen desuden ved hver kontrol og hver nat dine privatlivsindstillinger i Shopify, så samtykke til cookies og fravalg af salg af data kræves i landene i EU og EØS, i Storbritannien, i Schweiz og i de områder, hvor de samme regler gælder (Réunion, Guadeloupe, Martinique, Fransk Guyana, Mayotte, Saint Martin, Ålandsøerne, Gibraltar, Jersey, Guernsey og Isle of Man), hvor din butik stadig bruger Shopifys standardindstilling for det pågældende land. En indstilling, du selv har foretaget, forbliver uændret, og du kan ændre den i din administration i Shopify. Indstillingen viser ikke noget cookiebanner: det slår du selv til, i Shopify eller med en anden app.

Tillidsmærket, som du kan slå til i dit tema, henter et script fra app.aveus.ai. Den besøgendes browser opretter derfor forbindelse til vores servere, og dens IP-adresse bruges som den nøgle til begrænsning af antallet af forespørgsler, der er beskrevet i B.1.3; det land, Vercel udleder af den, og som vi ikke gemmer, afgør, om mærket vises, fordi det kun vises for besøgende i EU og EØS. Blokken sætter ingen cookie og gemmer intet i den besøgendes browser. Blokken AI-billedmærke læser metafelterne ovenfor og henter intet fra vores servere; dens link åbner din offentlige oplysningsside på app.aveus.ai, som alle kan åbne, og som viser de teknologier med AI, der er fundet i dit tema, og de billeder, der er mærket i din butik (navn, risikoniveau, formål og datoer); den viser ikke klassificeringer, der venter på eller er afvist ved en menneskelig gennemgang. For at vise dig under fanen »Meddelelser i din butik«, om din butik har et cookiebanner, læser Appen dine privatlivsindstillinger i Shopify (om Shopifys cookiebanner er slået til) og de appblokke, der er slået til i dit publicerede tema; den gemmer ikke disse oplysninger. I Shopifys administration gemmer Appen nogle få indstillinger i din browsers lokale lager (for eksempel det sprog, du har valgt, og de advarsler, du har markeret som læst); de bliver i din browser.

Før en ny App fra Aveus udgives i Shopify App Store, tilføjer vi et afsnit til Del B, der beskriver de oplysninger, den behandler (hvad vi gemmer og hvorfor, hvad vi læser uden at gemme, hvad Appen skriver i din butik, opbevaring, underdatabehandlere og privatlivswebhooks). Datoen »Senest opdateret« øverst på denne side ændres samme dag. En App, der ikke har et afsnit i Del B, er ikke omfattet af denne politik og er ikke udgivet af os.