Databehandleravtale
Sist oppdatert: 30. oktober 2026
1. Partene og hva avtalen gjelder
Avtalen gjelder mellom virksomheten som driver en butikk på Kaizena Flow (den behandlingsansvarlige, «du») og KaizenaLabs, organisasjonsnummer 915429777 (databehandleren, «vi»). Den er en del av vilkårene for bruk og gjelder så lenge vi behandler personopplysninger på dine vegne.
Den oppfyller kravene i personvernforordningen artikkel 28 nr. 3. Er den i strid med vilkårene for bruk om behandling av personopplysninger, gjelder denne avtalen.
2. Behandlingen
Gjenstand og formål: drift av butikkene dine og verktøyene i administrasjonen, slik at du kan selge, levere, fakturere, gi kundestøtte og markedsføre overfor kundene dine.
Art: lagring, organisering, visning, utsending, analyse, oversettelse og sletting av opplysninger, etter hvordan du bruker tjenesten.
Varighet: så lenge du har butikker på Kaizena Flow, og til opplysningene er slettet eller tilbakelevert etter punkt 11.
De registrerte: kundene dine og de som handler hos deg, de som melder seg på listene dine, fyller ut skjemaene dine, bestiller time hos deg eller kontakter deg, og de du gir tilgang til administrasjonen.
Typer personopplysninger: navn, e-postadresser, telefonnumre og postadresser, opplysninger om virksomheter, bestillinger, bookinger, returer og fakturaer, betalingsreferanser (aldri kortnumre, som bare betalingsleverandøren ser), meldinger og samtaler med kundestøtten, omtaler, registreringer av samtykke og påmeldinger, og de egendefinerte feltene du velger å legge til.
Du bestemmer om særlige kategorier av personopplysninger behandles, og i så fall hvilke. Tjenesten er ikke laget for dem, og du bør ikke samle dem inn i den uten at du har behandlingsgrunnlag og har vurdert risikoen.
3. Dine instrukser
Vi behandler personopplysninger bare etter dokumenterte instrukser fra deg: denne avtalen, vilkårene for bruk og innstillingene og handlingene du og dine ansatte velger i administrasjonen. Vi behandler dem ikke for egne formål, unntatt for å føre regnskap over gebyrene våre og der loven krever det. Krever loven at vi behandler dem på en annen måte, sier vi fra først, med mindre loven forbyr det.
Vi sier fra straks hvis vi mener en instruks er i strid med personvernlovgivningen.
4. Taushetsplikt
Alle i Kaizena Flow som kan nå personopplysningene dine, har taushetsplikt og når dem bare så langt det trengs for å drive, gi hjelp med og sikre tjenesten. Kaizena Flows plattformadministratorer leser ikke butikkenes samtaler med kundestøtten.
5. Sikkerhet
Vi treffer de tekniske og organisatoriske tiltakene personvernforordningen artikkel 32 krever, blant annet:
kryptering av opplysninger på vei til og fra tjenesten, og av lagrede hemmeligheter
passord, gjenopprettingskoder og nøkler lagret bare som hasher
hver butikks opplysninger atskilt fra andre butikkers, med tilgangskontroll ved hver forespørsel
roller og tillatelser for dine ansatte, totrinnsinnlogging og en aktivitetslogg over endringer
sikkerhetskopier av databasen og mulighet til å gjenopprette den
drift i datasentre i EU med egen fysisk sikring
Vi gjennomgår og forbedrer tiltakene etter hvert som risiko og teknologi endrer seg.
6. Underdatabehandlere
Du gir oss generell tillatelse til å bruke underdatabehandlere. Disse bruker vi i dag:
Vercel (drift; funksjoner i Dublin, Irland)
Supabase (database, innlogging og fillagring, i Irland)
Resend (utsending av e-postene butikken din sender)
OpenAI (KI-funksjoner, når Kaizena Flows egen KI-tilkobling brukes)
Vi sier fra minst 30 dager før vi legger til eller bytter en underdatabehandler. Protesterer du på rimelig grunnlag og vi ikke kan imøtekomme protesten, kan du avslutte den berørte tjenesten før endringen trer i kraft. Vi pålegger hver underdatabehandler de samme pliktene om personvern som i denne avtalen og står ansvarlige for at de følges.
Tjenester du selv kobler til, er ikke våre underdatabehandlere: betalingsleverandører som Stripe og Mollie, fraktselskaper, din egen KI-leverandør, Slack og verktøy for analyse og markedsføring. Dine egne avtaler med dem gjelder.
7. Overføring ut av EØS
Butikkenes opplysninger lagres i EU. Der en underdatabehandler kan nå opplysninger fra et land utenfor EØS, skjer overføringen etter rammeverket for personvern mellom EU og USA (Data Privacy Framework) der underdatabehandleren er sertifisert, og ellers etter standard personvernbestemmelser vedtatt av Europakommisjonen (personvernforordningen artikkel 45 og 46).
8. Hjelp med de registrertes rettigheter
I administrasjonen kan du selv svare på forespørsler fra de registrerte: du kan finne, rette og hente ut opplysningene om en kunde og slette eller anonymisere dem, mens bestillinger du etter loven må oppbevare, beholdes med begrenset behandling. Kontakter en registrert oss direkte om butikken din, sender vi forespørselen videre til deg uten ugrunnet opphold og svarer ikke selv, med mindre du ber oss om det.
9. Annen bistand
Ut fra behandlingens art og opplysningene vi har tilgang til, hjelper vi deg med å oppfylle pliktene dine etter personvernforordningen artikkel 32 til 36: sikkerhet, melding om brudd, vurdering av personvernkonsekvenser og forhåndsdrøftinger.
10. Brudd på personopplysningssikkerheten
Vi varsler deg uten ugrunnet opphold, og senest 48 timer etter at vi ble kjent med det, om et brudd på personopplysningssikkerheten som berører butikkene dine. Varselet beskriver det som har skjedd så langt vi kjenner det, hvilke opplysninger og personer som trolig er berørt, de sannsynlige konsekvensene og hva vi gjør med det, og følges opp etter hvert som vi vet mer. Du avgjør om tilsynsmyndigheten og de berørte skal varsles (personvernforordningen artikkel 33 og 34).
11. Når behandlingen opphører
Før du stenger en butikk, kan du hente ut opplysningene i den fra administrasjonen. Etter at butikken er stengt for godt, sletter eller anonymiserer vi personopplysningene i den innen 90 dager, unntatt det loven krever at oppbevares, som bestillinger og fakturaer etter regnskapsreglene. Det beholdes med begrenset behandling i den tiden som kreves, og anonymiseres deretter.
12. Informasjon og revisjon
Vi gjør tilgjengelig den informasjonen som trengs for å vise at vi oppfyller avtalen. Du kan revidere at vi gjør det, selv eller gjennom en uavhengig revisor med taushetsplikt, med minst 30 dagers varsel, én gang i året, med mindre et brudd eller en myndighet gir grunn til mer. Hver part bærer sine egne kostnader.
13. Ansvar og lovvalg
Ansvaret mellom oss følger vilkårene for bruk, uten å begrense det personvernforordningen artikkel 82 gir de registrerte. Avtalen reguleres av norsk rett, som vilkårene for bruk.