Vinnslusamningur (DPA)

Síðast uppfært: 29. maí 2026

1. Aðilar

Þessi vinnslusamningur („DPA") er gerður milli:

• Costplus OÜ, fyrirtækis sem er skráð á Eistlandi, með skráð aðsetur að Pärnu mnt 139b, 11317 Tallinn, Eistland, skráningarnúmer fyrirtækis 16936614 („Vinnsluaðili", „við", „okkur", eða „Cost+"); og
• söluaðilinn sem hefur sett upp Cost+ Checkout Shopify-forritið, eða tengt sig á annan hátt við Cost+ Checkout-þjónustuna, með því að samþykkja þjónustuskilmála okkar á https://costplus.io/shopify-app-terms.html („Ábyrgðaraðili", „Söluaðili", eða „þú"),

hvort um sig „Aðili" og saman „Aðilar".

Þessi DPA er hluti af þjónustuskilmálunum milli aðilanna og lýtur þeim. Komi upp ágreiningur milli þessa DPA og þjónustuskilmálanna að því er varðar vinnslu persónuupplýsinga, gengur þessi DPA framar.

2. Skilgreiningar

Nema annað sé skilgreint hafa hugtök með stórum staf þá merkingu sem þeim er gefin í reglugerð (ESB) 2016/679 („GDPR"). Til glöggvunar:

• „Persónuupplýsingar" hafa þá merkingu sem er í 4. gr. (1) GDPR.
• „Vinnsla" hefur þá merkingu sem er í 4. gr. (2) GDPR.
• „Hinn skráði" merkir Shopify-viðskiptavin eða notanda sem persónuupplýsingar um eru unnar samkvæmt þessum DPA.
• „Undirvinnsluaðili" merkir sérhvern þriðja aðila sem vinnsluaðilinn fær til að vinna persónuupplýsingar fyrir hönd ábyrgðaraðilans.
• „Þjónusta" merkir Cost+ Checkout-þjónustuna (Shopify-forritið, tengd API og hýstar greiðslugáttarsíður) sem vinnsluaðilinn veitir ábyrgðaraðilanum samkvæmt þjónustuskilmálunum.

3. Efni, eðli, tilgangur og tímalengd vinnslu

3.1 Efni

Vinnsluaðilinn vinnur persónuupplýsingar um viðskiptavini ábyrgðaraðilans til að veita þjónustuna. Cost+ Checkout er verkfæri til að stýra greiðslugáttarferli sem leiðir kaupendur, sem koma frá inngangspunktum undir stjórn söluaðilans (til dæmis, tölvupóstsherferðir, lendingarsíður, auglýsingar á samfélagsmiðlum, eða beinir tenglar á Shopify-verslunina), í gegnum eitt samræmt greiðslugáttarferli og stofnar samsvarandi pöntun í Shopify-verslun söluaðilans að greiðslu lokinni.

3.2 Eðli og tilgangur vinnslu

Vinnsluaðilinn vinnur persónuupplýsingar í eftirfarandi tilgangi:

• Söfnun tengiliðs- og sendingaupplýsinga kaupanda við greiðslu;
• Útreikningur á gildandi sköttum og sendingarkostnaði í gegnum eigin þjónustu Shopify við skatta- og sendingaútreikninga;
• Stofnun samsvarandi Shopify-pöntunar eftir að kaupandi lýkur greiðslu;
• Greiðsluvinnsla í gegnum greiðsluinnviði Cost+ eða greiðsluveitanda sem söluaðilinn hefur skilgreint;
• Samstilling endurgreiðslna, afpantana og afhendingaratvika sem söluaðili stofnar í Shopify-stjórnborði við uppsetningu hans á Cost+ Checkout;
• Svara beiðnum hinna skráðu sem Shopify sendir áfram í gegnum staðlaða GDPR-vefkrókana (customers/data_request, customers/redact, shop/redact);
• Veita söluaðilum greiningar byggðar á samanlögðum og dulnefndum lotugögnum.

3.3 Tímalengd

Vinnsluaðilinn vinnur persónuupplýsingar á meðan þjónustan er veitt og varðveitir slík gögn í þær tímalengdir sem fram koma í kafla 9 hér að neðan.

4. Tegundir persónuupplýsinga og flokkar hinna skráðu

4.1 Tegundir persónuupplýsinga

• Eiginnafn og eftirnafn;
• Netfang;
• Símanúmer (þegar það er gefið upp);
• Afhendingarheimilisfang (gata, borg, póstnúmer, land, valfrjáls viðbótarheimilisfangslína, sýsla/fylki);
• Reikningsheimilisfang (sömu reitir);
• Pöntunarupplýsingar, þar á meðal vörulínur, vöruauðkenni, magn, verð, notaðir afsláttarkóðar, heildarupphæð pöntunar, gjaldmiðill og afhendingarstaða;
• Lýsigögn tengd greiðslu (greiðslumátalykill eða tilvísun, heimildarauðkenni og afgreiðsluauðkenni) — athugið að full kortanúmer (PAN) koma aldrei inn í kerfi vinnsluaðilans; þeim er skipt út fyrir tákn af PCI-DSS-samræmdum greiðsluinnviðum Cost+ eða greiðsluveitanda sem söluaðilinn hefur skilgreint.

4.2 Flokkar hinna skráðu

• Viðskiptavinir (kaupendur) ábyrgðaraðilans sem ljúka greiðslu í gegnum Cost+ Checkout.

5. Skyldur vinnsluaðilans

Vinnsluaðilinn skal:

5.1 Skjalfestar leiðbeiningar

Vinna persónuupplýsingar einungis samkvæmt skjalfestum leiðbeiningum ábyrgðaraðilans, þar á meðal að því er varðar flutning persónuupplýsinga til þriðja lands eða alþjóðlegrar stofnunar, nema lög Sambandsins eða aðildarríkis sem vinnsluaðilinn lýtur krefjist þess. Í slíku tilviki skal vinnsluaðilinn upplýsa ábyrgðaraðilann um þessa lagaskyldu áður en vinnsla hefst, nema lög banni slíkar upplýsingar af mikilvægum ástæðum í þágu almannahagsmuna. Aðilar eru sammála um að þjónustuskilmálarnir, þessi DPA og notkun ábyrgðaraðilans á þjónustunni í gegnum staðlaða stillingarvalkosti teljist skjalfestar leiðbeiningar í skilningi 28. gr. (3)(a) GDPR.

5.2 Trúnaður

Tryggja að þeir sem hafa heimild til að vinna persónuupplýsingarnar hafi skuldbundið sig til trúnaðar eða séu bundnir viðeigandi lögbundinni trúnaðarskyldu.

5.3 Öryggisráðstafanir

Innleiða viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja öryggisstig sem er viðeigandi miðað við áhættuna, eins og krafist er í 32. gr. GDPR. Yfirlit yfir þessar ráðstafanir er í Viðauka 1. Ábyrgðaraðilinn viðurkennir að Viðauki 1 getur verið uppfærður reglulega til að endurspegla umbætur á öryggisástandi vinnsluaðilans, og að slík uppfærsla mun ekki leiða til verulegrar skerðingar á öryggisstiginu.

5.4 Undirvinnsluaðilar

Fá undirvinnsluaðila aðeins samkvæmt skilmálum kafla 7 hér að neðan.

5.5 Aðstoð við réttindi hinna skráðu

Með hliðsjón af eðli vinnslunnar, aðstoða ábyrgðaraðilann með viðeigandi tæknilegum og skipulagslegum ráðstöfunum, að því marki sem mögulegt er, til að uppfylla skyldur ábyrgðaraðilans til að svara beiðnum um að neyta réttinda hinna skráðu samkvæmt III. kafla GDPR.

5.6 Aðstoð við aðrar skyldur ábyrgðaraðilans

Aðstoða ábyrgðaraðilann við að tryggja samræmi við skyldur samkvæmt 32.–36. gr. GDPR, með hliðsjón af eðli vinnslunnar og þeim upplýsingum sem vinnsluaðilinn hefur aðgang að.

5.7 Skil eða eyðing við lok þjónustu

Að vali ábyrgðaraðilans, eyða eða skila öllum persónuupplýsingum til ábyrgðaraðilans að lokinni veitingu þjónustunnar sem tengist vinnslu, og eyða fyrirliggjandi afritum, nema lög Sambandsins eða aðildarríkis krefjist geymslu persónuupplýsinganna. Vinnsluaðilinn skal eyða persónuupplýsingum innan 90 daga frá lokum þjónustunnar, nema krafist sé lengri varðveislu samkvæmt kafla 9.

5.8 Skrár yfir vinnslu

Viðhalda skriflegri skrá yfir alla flokka vinnslustarfsemi sem fram fer fyrir hönd ábyrgðaraðilans, eins og krafist er í 30. gr. (2) GDPR.

5.9 Úttektir

Gera ábyrgðaraðilanum aðgengilegar allar upplýsingar sem eru nauðsynlegar til að sýna fram á samræmi við 28. gr. GDPR, og heimila og leggja sitt af mörkum við úttektir, þar á meðal skoðanir, sem framkvæmdar eru af ábyrgðaraðilanum eða öðrum úttektaraðila sem ábyrgðaraðilinn hefur umboðað. Ábyrgðaraðilinn ber allan kostnað slíkra úttekta umfram þær stöðluðu upplýsingar sem þegar eru aðgengilegar ábyrgðaraðilanum í gegnum þjónustuna. Ábyrgðaraðilinn skal gefa hæfilegan fyrirvara (að minnsta kosti 30 daga), framkvæma úttektir á venjulegum opnunartíma og ekki trufla starfsemi vinnsluaðilans.

6. Skyldur ábyrgðaraðilans

Ábyrgðaraðilinn lýsir því yfir að:

• Hann hafi komið á gildum lagagrundvelli samkvæmt 6. gr. GDPR (og eftir atvikum 9. gr. GDPR) fyrir allar persónuupplýsingar sem hann gerir vinnsluaðilanum aðgengilegar í gegnum þjónustuna;
• Hann hafi veitt hinum skráðu allar nauðsynlegar gagnsæjar upplýsingar samkvæmt 13. og 14. gr. GDPR, þar á meðal þá staðreynd að Cost+ Checkout er notað til að vinna greiðslu- og pöntunargögn;
• Hann hafi rétt stillt Cost+ Checkout (þar með talið flæðireglur, leyfð lönd, greiðslumátar og sérsniðnar skriftur eða blokkir) þannig að þjónustan vinni einungis persónuupplýsingar sem eru nauðsynlegar í löglegum tilgangi söluaðilans;
• Hann muni svara beiðnum hinna skráðu sem vinnsluaðilinn sendir áfram innan þeirra tímamarka sem lög kveða á um.

7. Undirvinnsluaðilar

7.1 Almenn heimild

Ábyrgðaraðilinn veitir almenna heimild til að vinnsluaðilinn fái undirvinnsluaðila til að veita þjónustuna. Lista yfir núverandi undirvinnsluaðila er viðhaldið í Viðauka 2 og er uppfærður reglulega.

7.2 Tilkynning um breytingar

Vinnsluaðilinn skal tilkynna ábyrgðaraðilanum um allar fyrirhugaðar breytingar á lista undirvinnsluaðila (viðbætur eða skipti) með að minnsta kosti 30 daga fyrirvara, sem gefur ábyrgðaraðilanum tækifæri til að gera andmæli á málefnalegum grundvelli. Ef ábyrgðaraðilinn gerir andmæli og aðilar geta ekki komið sér saman um lausn innan 30 daga, getur ábyrgðaraðilinn sagt upp þeim hluta þjónustunnar sem breytingin hefur áhrif á án sérstakrar ástæðu.

7.3 Skyldur undirvinnsluaðila

Vinnsluaðilinn skal leggja á hvern undirvinnsluaðila, með samningi, sömu persónuverndarskyldur og fram koma í þessum DPA, og skal vera að fullu ábyrgur gagnvart ábyrgðaraðilanum fyrir framkvæmd skyldna hvers undirvinnsluaðila.

8. Alþjóðlegir gagnaflutningar

8.1 Aðalhýsing

Vinnsluaðilinn hýsir þjónustuna í Evrópusambandinu og vinnur persónuupplýsingar aðallega innan ESB/EES. Sumir samþykktir undirvinnsluaðilar (til dæmis, tilteknir færsluhirðar) eru staðsettir utan EES; þar sem svo er tryggir vinnsluaðilinn að flutningurinn sé varinn af ákvörðun um fullnægjandi vernd eða af stöðluðum samningsákvæðum eins og kveðið er á um í kafla 8.2, og tilgreinir viðkomandi undirvinnsluaðila í Viðauka 2.

8.2 Flutningar undirvinnsluaðila

Þar sem undirvinnsluaðili er staðsettur utan ESB/EES tryggir vinnsluaðilinn að flutningar séu tryggðir með ákvörðun um fullnægjandi vernd samkvæmt 45. gr. GDPR, eða af stöðluðum samningsákvæðum sem framkvæmdastjórn Evrópusambandsins hefur samþykkt (Eining 2: frá ábyrgðaraðila til vinnsluaðila eða Eining 3: milli vinnsluaðila, eftir því sem við á), eða af öðrum gildum flutningsmekanisma samkvæmt V. kafla GDPR.

8.3 Frekari flutningar

Shopify sjálft starfar sem sjálfstæður ábyrgðaraðili að því er varðar viðskiptavinagögn sem ábyrgðaraðilinn hefur fært inn í Shopify-verslun sína. Móttaka vinnsluaðilans á slíkum gögnum frá Shopify, og skil á pöntunargögnum sem stofnuð voru í Shopify til Shopify, falla undir eigin persónuverndarskilmála Shopify við söluaðilann og teljast ekki frekari flutningar samkvæmt þessum DPA.

9. Varðveisla og eyðing

Vinnsluaðilinn varðveitir persónuupplýsingar í eftirfarandi tímabil:

• Virk lotagögn (greiðslugáttarlotur í gangi sem hafa ekki lokið): eytt 30 dögum eftir lok lotunnar;
• Lokin pöntunargögn (lotur sem leiddu til Shopify-pöntunar): varðveitt í 7 ár til að uppfylla varðveisluskyldur skatta- og bókhaldsréttar á Eistlandi og í flestum lögsögum ESB, síðan eytt;
• Greiðslulyklar og heimildarskrár: varðveitt í varðveislutíma undirliggjandi greiðslumáta (venjulega 7 ár);
• Annálsgögn (beiðniannálar, afhendingannálar vefkróka): varðveitt í 90 daga, síðan fjarlægð;
• Úttektar-/öryggisviðburðarannálar: varðveitt í 1 ár.

Við lok þjónustunnar skal vinnsluaðilinn eyða eða skila persónuupplýsingum eins og kveðið er á um í kafla 5.7 hér að ofan, með fyrirvara um varðveislutímabil sem gildandi lög kveða á um.

10. Tilkynning um öryggisbrest

Vinnsluaðilinn skal tilkynna ábyrgðaraðilanum án óþarfa tafar, og í öllum tilvikum innan 48 klukkustunda, frá því að hann verður var við öryggisbrest vegna persónuupplýsinga sem hefur áhrif á gögn ábyrgðaraðilans. Tilkynningin skal innihalda að minnsta kosti þær upplýsingar sem krafist er samkvæmt 33. gr. (3) GDPR að því marki sem þær eru aðgengilegar, og skal uppfærð þegar frekari upplýsingar verða þekktar.

11. Ábyrgð

Ábyrgð aðilanna samkvæmt þessum DPA er háð ábyrgðarákvæðum þjónustuskilmálanna, þó þannig að engin takmörkun á ábyrgð í þjónustuskilmálunum útiloki eða takmarki ábyrgð vegna málefna þar sem slík útilokun eða takmörkun væri ólögleg samkvæmt gildandi persónuverndarlöggjöf.

12. Gildandi lög og lögsaga

Þessi DPA lýtur eistneskum lögum, án tillits til reglna þess um lagaval. Aðilar lúta einkalögsögu dómstóla Harju-sýslu á Eistlandi vegna hvers kyns deilna sem rísa af eða í tengslum við þennan DPA, með fyrirvara um ófrávíkjanlegar lagaákvæði um lögsögu í deilum neytenda eða hinna skráðu.

13. Gildistími og uppsögn

Þessi DPA öðlast gildi á þeim degi sem ábyrgðaraðilinn setur upp eða notar þjónustuna í fyrsta skipti og lýkur sjálfkrafa við lok þjónustuskilmálanna. Ákvæði sem eðli málsins samkvæmt eiga að halda gildi eftir uppsögn (þar á meðal kaflar 5.7, 9, 10 og 12) halda gildi.

14. Heildarsamningur

Þessi DPA, ásamt þjónustuskilmálunum á https://costplus.io/shopify-app-terms.html og persónuverndarstefnunni á https://costplus.io/privacy-policy.html, myndar heildarsamning aðilanna um efnið og kemur í stað allra fyrri samkomulaga.

---

Viðauki 1 — Tæknilegar og skipulagslegar ráðstafanir

Vinnsluaðilinn innleiðir eftirfarandi tæknilegar og skipulagslegar ráðstafanir til að vernda persónuupplýsingar:

Dulkóðun

• Öll gögn í flutningi eru dulkóðuð með TLS 1.2 eða nýrra, með vottorðum sem Let's Encrypt sér um og eru endurnýjuð sjálfkrafa.
• Shopify API aðgangslyklar og aðgangsupplýsingar utanaðkomandi greiðsluveitenda eru dulkóðuð í hvíld með AES-256-GCM og forritalagslyklar er stýrt í gegnum HashiCorp Vault Transit eða jafngildar lausnir fyrir lyklastjórnun.
• Öryggisafrit gagnagrunna eru dulkóðuð áður en þau eru flutt í ytri geymslu.

Aðgangsstýring

• Aðgangur að framleiðslukerfi er takmarkaður við skilgreindan hóp leyfðra starfsmanna með einstaklingsbundnum reikningum, SSH-lyklaauðkenningu fyrir þjónaraðgang og vélbundna eða TOTP-fjölþáttaauðkenningu fyrir stjórnunarviðmót.
• Lykilorð söluaðila á forritslagi eru vistuð sem tætigildi með Argon2id og minnisfrekum stillingum.
• Aðgangur að persónuupplýsingum er skráður og varðveittur í samræmi við grein 9 í DPA.

Innviðir

• Þjónustur eru hýstar í Tier-III gagnaverum eða jafngildum, staðsettum innan Evrópusambandsins.
• Rökrænn aðskilnaður á milli prófunar- og framleiðsluumhverfa; engin framleiðslugögn eru notuð í þróunar- eða prófunarumhverfum.
• Reglulegar uppfærslur á stýrikerfum, keyrsluumhverfum og þriðja aðila háðum kerfum.

Starfsfólk

• Starfsfólk með aðgang að persónuupplýsingum er bundið skriflegum trúnaðarskyldum sem gilda áfram eftir lok starfssamnings.
• Þjálfun í öryggismeðvitund við upphaf starfs og reglulega þar eftir fyrir allt starfsfólk með aðgang að persónuupplýsingum eða framleiðslugrunnvirki.

Viðbrögð við öryggisatvikum

• Skjalfest málsmeðferð vegna öryggisatvika sem tekur til greiningar, afmörkunar, rannsóknar, tilkynningar (þar á meðal til ábyrgðaraðilans innan 48 klukkustunda skv. grein 10) og eftirfylgni eftir atvik.
• Ársfjórðungsleg endurskoðun á málsmeðferð vegna öryggisatvika og tengiliðaupplýsingum.

Forvarnir gegn gagnatapi

• Aðgangsstýring á forritalagi afmörkuð við einstaka söluaðilar og einstaka lotur; enginn söluaðili getur nálgast gögn annars söluaðilas í gegnum API.
• Endurskoðunarskráning á öllum aðgangi að persónuupplýsingum, varðveitt skv. grein 9.
• Reglulegar endurheimtarprófanir á dulkóðuðum öryggisafritum.

Örugg hugbúnaðarþróun

• Frumkóði er geymdur í lokuðum kóðageymslum og allar breytingar þurfa yfirferð áður en þær eru sameinaðar.
• Sjálfvirk skönnun á háðum kerfum og reglulegar uppfærslur á þriðja aðila söfnum.
• Innbrotsprófanir fara fram að minnsta kosti árlega þegar þjónustan er almennt aðgengileg.

---

Viðauki 2 — Leyfðir undirvinnsluaðilar

Frá og með síðast uppfærðum degi þessa DPA eru eftirfarandi undirvinnsluaðilar leyfðir til að vinna persónuupplýsingar fyrir hönd ábyrgðaraðilans:

Undirvinnsluaðili	Tilgangur	Staðsetning	Grundvöllur gagnaflutnings
OVH SAS	Hýsing á skýjagrunnvirki (reikniþjónusta, geymsla, net) og dulkóðuð ytri öryggisafrit	Frakkland (ESB)	Innan EES
SMTP2GO	Færslu- og tilkynningartölvupóstur	ESB	Innan EES
Greiðsluinnviðir Cost+ (Costplus OÜ)	Greiðslumerkjun, heimild, innheimta, endurgreiðsla	ESB	Innan EES
Ginger Payments	Greiðslugátt / leiðarval færslna	Holland (ESB)	Innan EES
FinteqHub	Greiðslugátt / samhæfing	Kýpur og Litháen (ESB)	Innan EES
ComplyPay	Banking-as-a-Service (BaaS) veitandi	Danmörk (ESB)	Innan EES
Rapyd	Færsluhirðing / vinnsla	ESB / Bretland	Innan EES; flutningur til Bretlands samkvæmt ákvörðun ESB um fullnægjandi persónuvernd í Bretlandi
SHIFT4	Færsluhirðing / vinnsla	ESB / Bretland	Innan EES; flutningur til Bretlands samkvæmt ákvörðun ESB um fullnægjandi persónuvernd í Bretlandi
Elavon	Færsluhirðing / vinnsla	ESB / Bretland	Innan EES; flutningur til Bretlands samkvæmt ákvörðun ESB um fullnægjandi persónuvernd í Bretlandi
Clearhaus	Færsluhirðing / vinnsla	Danmörk (ESB)	Innan EES
Paynetics	Færsluhirðing / útgáfa rafeyris	Búlgaría (ESB)	Innan EES
Didit	Auðkennisstaðfesting, KYB / KYC / AML samræmi	Bandaríkin / Spánn (ESB)	Stöðluð samningsákvæði (gr. 46 GDPR)

Vinnsluaðilinn mun viðhalda uppfærðri útgáfu þessa lista á https://costplus.io/dpa/sub-processors og mun tilkynna ábyrgðaraðilanum um allar viðbætur eða breytingar í samræmi við grein 7.2 í þessum DPA.

---

Lok vinnslusamnings.