Videreoverføring av personopplysninger

For å levere våre tjenester til deg på en effektiv måte overføres personopplysninger du oppgir til Shopify-enheten du har kontrakt med videre til følgende mottakere:

• enkelte andre Shopify-enheter, og
• nøye utvalgte og pålitelige delbehandlere

Denne seksjonen gir informasjon om hvordan videreoverføringer håndheves.

Videreoverføringer av personopplysninger fra Det europeiske økonomiske samarbeidsområde (EØS) og Storbritannia (UK)

Shopify International Limited, et selskap registrert i Irland, er Shopifys primære kontraktsenhet med forhandlere i EMEA (Europa, Midtøsten og Afrika) og LATAM (Latin-Amerika). Shopify International Limited fungerer også som Shopifys hovedselskap for formål knyttet til EUs personvernforordning (GDPR).

Personvernforordningen, og tilsvarende bestemmelser i Storbritannia, krever at der personopplysninger deles med en enhet utenfor EØS og Storbritannia, må det være et tilsvarende beskyttelsesnivå i destinasjonslandet. Derfor må slike internasjonale overføringer være beskyttet av gode juridiske mekanismer.

Slik oppfyller Shopify GDPR-kravene for internasjonale dataoverføringer

For å oppfylle dette kravet følger Shopify Europakommisjonens likhetsbeslutning for Canada når Shopify International Limited overfører personopplysninger til det canadiskregistrerte morselskapet Shopify Inc. Finn ut mer om likhetsbeslutninger.

I tillegg til dette bruker Shopify også omfattende dataoverførings- og behandlingsavtaler (DPA-er) som inneholder den nyeste versjonen av standardkontraktsvilkårene (SCC-er) som er godkjent av Europakommisjonen for å håndheve:

• overføringer innenfor Shopify-gruppen, og
• videreoverføringer til våre underbehandlere

Vi vurderer våre underbehandlere nøye for å sikre at de har tilstrekkelige tekniske og organisasjonsmessige rutiner for å beskytte personopplysninger og gjennomføre egnede vurderinger av overføringens påvirkning. Finn ut mer om SCC-er

Både tiltrekkelighetsbeslutningen og SCC-er er ansett som juridisk bindende og tilstrekkelige overføringsmekanismer av databeskyttelsesmyndigheter i EØS og Storbritannia.

Som et tilleggstiltak har Shopify også søkt om bindende bedriftsregler for å ytterligere håndheve overføringer innad i Shopify-gruppen. Søknaden er sendt til Shopifys ledende myndighet for GDPR-formål, den irske kommisjonen for databeskyttelse. Dette vil være en ekstra juridisk overføringsmekanisme for å sikre overføringer innad i vår gruppe av selskaper. Vi er i de siste fasene av denne søknaden, og forventer at den blir godkjent snart.

Videreoverføringer av personopplysninger fra alle andre områder

Enkelte personvernlover i andre jurisdiksjoner enn EØS og Storbritannia krever også bestemte beskyttelser når det gjelder internasjonale overføringer av personopplysninger. For å oppfylle disse kravene inkluderer Shopifys DPA-er som håndhever overføringer innenfor Shopify-gruppen, og DPA-er som håndhever videreoverføringer til våre underbehandlere egnede beskyttelsesmekanismer for å sikre samsvar med personvernlovgivningen i Canada, USA og Singapore, der det er aktuelt. Vi oppdaterer og vedlikeholder også disse DPAene som påkrevd.

Vertssteder for data

Shopify rebalanserer dynamisk lagringen mellom flere Google Cloud Platform-regioner for å sikre at vi kan tilby en pålitelig og skalerbar infrastruktur som håndterer uforutsigbare volumer på tvers av hele forhandlerdatabasen. Vi må kunne flytte data geografisk for å kunne drifte våre tjenester, og vi har mekanismer for å gjøre dette i henhold til gjeldende lover og retningslinjer, inkludert GDPR.

Shopify lagrer nå visse personopplysninger for kunder og forhandlere i Europa (nærmere bestemt EØS, Storbritannia og/eller Sveits) som følger:

• Nye forhandlere i Europa er automatisk innbefattet av denne infrastrukturen, og deres butikkdata, bestillingsdata og kunders personopplysninger lagres nå i Europa som standard.
• Alle eksisterende Shopify-funksjoner vil fortsatt fungere.
• Selv der kunders personopplysninger for en forhandler lagres i Europa benytter vi internasjonale dataoverføringer for behandling av disse personopplysningene.

Hvordan Shopify velger underbehandlere

I tråd med personvernforordningen og andre gjeldende databeskyttelseslover benytter Shopify en rekke tiltak i tråd med beste praksis når underbehandlere utpekes:

• Vi velger nøye hvilke selskaper vi samarbeider med.
• Vi bruker bare et begrenset antall tredjepartstjenesteleverandører.
• Vi insisterer på at underbehandlere signerer en omfattende DPA, som inneholder SCC-er i tillegg til egnede beskyttelsesmekanismer for å sikre samsvar med personvernlovgivningen i Canada, USA og Singapore.
• Vi begrenser bruken av underbehandlere til tekniske tjenester: skyvertstjenester, feillogging, lastbalansering, innholdsleveranser, kartlegging av leveranser, dataanalyse og intern logging (loggfiler).
• Overføringen skjer på kontinuerlig og sikker basis.
• Ingen sensitive eller spesielle kategorier personopplysninger behandles med intensjon, med mindre kontrolløren har bedt oss om det.
• Vi går nøye gjennom personvern- og. sikkerhetsprogrammene til våre underbehandlere.

Finn ut mer om Shopifys viktigste underbehandlere.