Videreoverføring av personopplysninger

For å levere våre tjenester til deg på en effektiv måte overføres personopplysninger du oppgir til Shopify-enheten du har kontrakt med videre til følgende mottakere:

• enkelte andre Shopify-enheter, og
• nøye utvalgte og pålitelige delbehandlere

Denne seksjonen gir informasjon om hvordan videreoverføringer håndheves.

Videreoverføringer av personopplysninger fra Det europeiske økonomiske samarbeidsområde (EØS) og Storbritannia (UK)

International Limited, et selskap registrert i Irland, er Shopifys primære kontraktsenhet med forhandlere i EMEA (Europa, Midtøsten og Afrika) og LATAM (Latin-Amerika). International Limited fungerer også som Shopifys hovedselskap for formål knyttet til EUs personvernforordning (GDPR).

Personvernforordningen, og tilsvarende bestemmelser i Storbritannia, krever at der personopplysninger deles med en enhet utenfor EØS og Storbritannia, må det være et tilsvarende beskyttelsesnivå i destinasjonslandet. Derfor må slike internasjonale overføringer være beskyttet av gode juridiske mekanismer.

Slik oppfyller Shopify GDPR-kravene for internasjonale dataoverføringer

For å oppfylle dette kravet følger Shopify Europakommisjonens likhetsbeslutning for Canada når International Limited overfører personopplysninger til det kanadiskregistrerte morselskapet Shopify Inc. Finn ut mer om likhetsbeslutninger.

I tillegg til dette bruker Shopify også omfattende dataoverførings- og behandlingsavtaler (DPA-er) som inneholder den nyeste versjonen av standardkontraktsvilkårene (SCC-er) som er godkjent av Europakommisjonen for å håndheve:

• overføringer innenfor Shopify-gruppen, og
• videreoverføringer til våre underbehandlere

Vi vurderer våre underbehandlere nøye for å sikre at de har tilstrekkelige tekniske og organisasjonsmessige rutiner for å beskytte personopplysninger og gjennomføre egnede vurderinger av overføringens påvirkning. Finn ut mer om SCC-er

Både tiltrekkelighetsbeslutningen og SCC-er er ansett som juridisk bindende og tilstrekkelige overføringsmekanismer av databeskyttelsesmyndigheter i EØS og Storbritannia.

Som et tilleggstiltak har Shopify også søkt om bindende bedriftsregler for å ytterligere håndheve overføringer innad i Shopify-gruppen. Søknaden er sendt til Shopifys ledende myndighet for GDPR-formål, den irske kommisjonen for databeskyttelse. Dette vil være en ekstra juridisk overføringsmekanisme for å sikre overføringer innad i vår gruppe av selskaper. Vi er i de siste fasene av denne søknaden, og forventer at den blir godkjent snart.

Videreoverføringer av personopplysninger fra alle andre områder

Enkelte personvernlover i andre jurisdiksjoner enn EØS og Storbritannia krever også bestemte beskyttelser når det gjelder internasjonale overføringer av personopplysninger. For å oppfylle disse kravene inkluderer Shopifys DPA-er som håndhever overføringer innenfor Shopify-gruppen, og DPA-er som håndhever videreoverføringer til våre underbehandlere egnede beskyttelsesmekanismer for å sikre samsvar med personvernlovgivningen i Canada, USA og Singapore, der det er aktuelt. Vi oppdaterer og vedlikeholder også disse DPAene som påkrevd.

Vertssteder for data

Shopify rebalanserer dynamisk lagringen mellom flere Google Cloud Platform-regioner for å sikre at vi kan tilby en pålitelig og skalerbar infrastruktur som håndterer uforutsigbare volumer på tvers av hele forhandlerdatabasen. Vi må kunne flytte data geografisk for å kunne drifte våre tjenester, og vi har mekanismer for å gjøre dette i henhold til gjeldende lover og retningslinjer, inkludert GDPR.

Shopify lagrer nå visse personopplysninger for kunder og forhandlere i Europa (nærmere bestemt EØS, Storbritannia og/eller Sveits) som følger:

• Nye forhandlere i Europa er automatisk innbefattet av denne infrastrukturen, og deres butikkdata, bestillingsdata og kunders personopplysninger lagres nå i Europa som standard.
• Alle eksisterende Shopify-funksjoner vil fortsatt fungere.
• Selv der kunders personopplysninger for en forhandler lagres i Europa benytter vi internasjonale dataoverføringer for behandling av disse personopplysningene.

Hvordan Shopify velger underbehandlere

I tråd med personvernforordningen og andre gjeldende databeskyttelseslover benytter Shopify en rekke tiltak i tråd med beste praksis når underbehandlere utpekes:

• Vi velger nøye hvilke selskaper vi samarbeider med.
• Vi bruker bare et begrenset antall tredjepartstjenesteleverandører.
• Vi insisterer på at underbehandlere signerer en omfattende DPA, som inneholder SCC-er i tillegg til egnede beskyttelsesmekanismer for å sikre samsvar med personvernlovgivningen i Canada, USA og Singapore.
• Vi begrenser bruken av underbehandlere til tekniske tjenester: skyvertstjenester, feillogging, lastbalansering, innholdsleveranser, kartlegging av leveranser, dataanalyse og intern logging (loggfiler).
• Overføringen skjer på kontinuerlig og sikker basis.
• Ingen sensitive eller spesielle kategorier personopplysninger behandles med intensjon, med mindre kontrolløren har bedt oss om det.
• Vi går nøye gjennom personvern- og. sikkerhetsprogrammene til våre underbehandlere.

Finn ut mer om Shopifys viktigste underbehandlere.