Tillæg om databehandling

• Fabrixa B.V. · Markerkant 13 10, 1314 AN Almere, Nederlandene · KvK 74188445 · Version 1.0, gældende fra den 22. oktober 2026

1. Anvendelsesområde og parter

1.1 Dette tillæg om databehandling (“DPA”) udgør en del af Fabrixas servicevilkår (“vilkårene”) mellem Fabrixa B.V. (“Fabrixa”) og den erhvervskunde, der har en Fabrixa-konto (“kunden”). Det finder anvendelse, når Fabrixa behandler personoplysninger på Kundens vegne i forbindelse med leveringen af Tjenesterne.

1.2 For så vidt angår slutkundedata (modtagerens navn, leveringsadresse, kontaktoplysninger og eventuelle personoplysninger i grafisk materiale eller ordrekommentarer) er kunden den dataansvarlige eller en databehandler, der handler på vegne af sine egne kunder, og Fabrixa er databehandleren eller underdatabehandleren. I de tilfælde, hvor kunden selv fungerer som databehandler, garanterer kunden, at dennes dataansvarlige har godkendt Fabrixas engagement og vilkårene i denne databehandlingsaftale.

1.3 Hvad angår kundens egne konto-, fakturerings-, support- og brugsdata, er Fabrixa en uafhængig dataansvarlig; denne behandling er beskrevet i privatlivspolitikken, ikke i denne databehandlingsaftale.

1.4 Godkendelse. Denne DPA accepteres elektronisk ved at acceptere vilkårene. På anmodning udleverer Fabrixa en medunderskrevet kopi til kundens arkiver; den underskrevne kopi har samme indhold og ændrer ikke ikrafttrædelsesdatoen.

2. Nærmere oplysninger om behandlingen

2.1 Behandlingsgenstand, varighed, art, formål, datakategorier og registrerede er angivet i bilag 1. Behandlingen varer, så længe kunden benytter tjenesterne, plus den i punkt 10 angivne sletningsperiode.

3. Kundens anvisninger

3.1 Fabrixa behandler kun personoplysninger i henhold til kundens dokumenterede instrukser, herunder med hensyn til overførsler til et tredjeland, medmindre dette er påkrævet i henhold til EU-retten eller medlemsstaternes lovgivning; i så fald underretter Fabrixa kunden om dette lovkrav inden behandlingen, medmindre loven forbyder dette af væsentlige hensyn til almenvellet.

3.2 Kundens instrukser omfatter: Vilkårene, denne DPA, de ordrer, indstillinger og API-opkald, som kunden indsender via platformen, samt skriftlige instrukser, der sendes til Fabrixas supportkanal. Fabrixa forbeholder sig ret til at opkræve gebyr for instrukser, der går ud over Tjenesterne.

3.3 Fabrixa underretter straks kunden, hvis selskabet vurderer, at en instruks er i strid med GDPR eller anden gældende databeskyttelseslovgivning. Fabrixa kan suspendere instruksen, indtil kunden bekræfter eller ændrer den.

3.4 Kunden er ansvarlig for, at de personoplysninger, vedkommende afgiver, er lovlige, for de oplysninger, vedkommende giver til slutkunderne, og for ikke at indsende særlige kategorier af oplysninger (artikel 9 i GDPR) eller oplysninger om børn i illustrationer eller ordrekommentarer.

4. Fortrolighed

4.1 Fabrixa sikrer, at alle personer, som virksomheden bemyndiger til at behandle personoplysninger — medarbejdere, underleverandører og den tekniske samarbejdspartner — er underlagt en kontraktmæssig eller lovbestemt tavshedspligt og kun behandler oplysningerne i det omfang, det er nødvendigt for udførelsen af deres opgaver.

5. Sikkerhed

5.1 Fabrixa gennemfører og opretholder de tekniske og organisatoriske foranstaltninger, der er anført i bilag 2, under hensyntagen til den aktuelle tekniske udvikling, omkostningerne ved gennemførelsen, behandlingens art, omfang, sammenhæng og formål samt risiciene for de registrerede (artikel 32 i GDPR). Fabrixa kan opdatere bilag 2, forudsat at det samlede beskyttelsesniveau ikke forringes.

6. Underbehandlere

6.1 Generel tilladelse. Kunden giver Fabrixa en generel skriftlig bemyndigelse til at inddrage underdatabehandlere til den databehandling, der er beskrevet i bilag 1.

6.2 Aktuel liste. De underdatabehandlere, der er engageret på ikrafttrædelsesdatoen, er anført på https://www.fabrixa.com/sub-processors/ (bilag 3 henviser til denne liste). Listen angiver for hver underdatabehandler, hvilken tjeneste der ydes, hvor behandlingen finder sted, og hvilken overførselsmekanisme der anvendes.

6.3 Meddelelse om ændringer. Fabrixa offentliggør enhver planlagt tilføjelse eller udskiftning af en underdatabehandler på den pågældende side og sender en e-mail til kontoindehaveren mindst 30 dage før den nye underdatabehandler påbegynder behandlingen af kundedata. Ændringer, der foretages for at beskytte tjenesterne mod en overhængende sikkerhedsrisiko, kan træde i kraft med øjeblikkelig virkning, idet der gives besked så hurtigt som muligt derefter.

6.4 Ret til at gøre indsigelse. Kunden kan inden for 30 dage efter modtagelsen af meddelelsen indgive en skriftlig indsigelse til privacy@fabrixa.com på grundlag af rimelige og dokumenterede databeskyttelsesmæssige årsager. Parterne drøfter indsigelsen i god tro. Hvis Fabrixa ikke kan tilbyde et rimeligt alternativ inden for 30 dage, kan kunden opsige de berørte tjenester uden strafgebyr ved skriftlig meddelelse; forudbetalte saldoer på e-punge refunderes pro rata.

6.5 Videreførelse. Fabrixa pålægger hver underdatabehandler gennem en skriftlig aftale databeskyttelsesforpligtelser, der sikrer mindst samme beskyttelsesniveau som denne DPA, og forbliver fuldt ud ansvarlig over for kunden for underdatabehandlerens opfyldelse af sine forpligtelser.

6.6 Produktions- og logistikpartnere inddrages på ordrebasis og er opført efter kategori og land. På anmodning og under forudsætning af en fortrolighedserklæring oplyser Fabrixa kunden om navnet på den partner, der har behandlet en bestemt ordre.

7. Kundesupport

7.1 Anmodninger fra den registrerede. Fabrixa videresender enhver anmodning, som selskabet modtager fra en slutkunde, til kunden inden for 5 hverdage og besvarer den ikke direkte, medmindre kunden giver andre instrukser. Fabrixa bistår kunden med passende tekniske og organisatoriske foranstaltninger til at besvare anmodninger i henhold til kapitel III i GDPR.

7.2 Fabrixa bistår kunden – under hensyntagen til behandlingens art og de oplysninger, som Fabrixa har til rådighed – med at opfylde kundens forpligtelser i henhold til artikel 32 til 36 i GDPR (sikkerhed, underretning om brud på datasikkerheden, konsekvensanalyser vedrørende databeskyttelse og forudgående høring).

8. Brud på persondatasikkerheden

8.1 Fabrixa underretter kunden uden unødig forsinkelse og under alle omstændigheder senest 48 timer efter at have fået kendskab til et brud på persondatasikkerheden, der berører kundens data. Underretningen skal indeholde en beskrivelse af bruddets art, kategorierne og det omtrentlige antal registrerede og berørte dataposter, de sandsynlige konsekvenser, de iværksatte eller foreslåede foranstaltninger samt en kontaktperson. Oplysningerne kan gives i etaper.

8.2 Fabrixa underretter ikke slutkunder eller tilsynsmyndigheder på kundens vegne, medmindre kunden giver instruks herom, eller loven kræver det.

9. Internationale overførsler

9.1 Fabrixa behandler kundedata inden for Det Europæiske Økonomiske Samarbejdsområde. Overførsler til et tredjeland finder kun sted i overensstemmelse med de garantier, der er fastsat i kapitel V i GDPR: en afgørelse om tilstrækkelighed eller standardkontraktbestemmelserne (Kommissionens afgørelse (EU) 2021/914) med supplerende foranstaltninger, hvor det er nødvendigt. Overførselsmekanismen for hver underdatabehandler er angivet i listen over underdatabehandlere.

10. Sletning og returnering

10.1 Ved afslutningen af tjenesterne eller efter skriftlig anmodning fra kunden sletter Fabrixa kundedata inden for 30 dage, medmindre EU-lovgivning eller lovgivning i en medlemsstat kræver yderligere opbevaring. Fakturaer og ordredokumenter, der er nødvendige af skattemæssige årsager, opbevares i 7 år i henhold til nederlandsk lovgivning; dokumenter vedrørende tvister og krav opbevares i den gældende forældelsesfrist. Data, der er omfattet af en lovbestemt opbevaringspligt, forbliver spærret for enhver anden anvendelse.

10.2 Inden sletningen kan kunden eksportere ordredata via platformen og API. Fabrixa yder rimelig assistance med andre eksportformater til sine standardtakster.

11. Revisioner og oplysninger

11.1 Fabrixa stiller alle oplysninger, der er nødvendige for at påvise overholdelse af artikel 28 i GDPR, til rådighed for kunden: denne databehandlingsaftale, listen over underdatabehandlere, bilag 2 samt, efter anmodning, et udfyldt sikkerhedsspørgeskema og de seneste tredjepartsrapporter eller -certificeringer fra virksomhedens hostingudbydere.

11.2 Hvis disse oplysninger er rimeligt utilstrækkelige, kan kunden eller en uafhængig revisor, der er underlagt tavshedspligt, foretage en revision af Fabrixas relevante behandlingsaktiviteter én gang pr. 12 måneder efter 30 dages skriftligt varsel, i åbningstiden og uden at forstyrre driften, på kundens regning. Revisioner, der kræves af en tilsynsmyndighed eller som følge af et brud på persondatasikkerheden, er ikke begrænset i hyppighed. Revisionerne omfatter ikke andre kunders data eller produktionspartnernes lokaler; for disse stoler Fabrixa på kontraktmæssige forsikringer og sine egne leverandørkontroller.

12. Generelt

12.1 Ansvaret i henhold til denne DPA følger af punkt 13 i Vilkårene.

12.2 I tilfælde af uoverensstemmelse mellem denne DPA og Vilkårene vedrørende et databeskyttelsesspørgsmål, har denne DPA forrang. Når standardkontraktbestemmelserne finder anvendelse på en overførsel, har de forrang for denne DPA.

12.3 Fabrixa kan opdatere denne DPA for at afspejle ændringer i lovgivningen eller i tjenesterne; væsentlige ændringer meddeles på samme måde som ændringer vedrørende underdatabehandlere (punkt 6.3). Fortsat brug af tjenesterne efter ikrafttrædelsesdatoen betragtes som accept.

12.4 Denne databehandleraftale indgås på engelsk. Oversættelser på hjemmesiden stilles til rådighed af praktiske hensyn; den engelske version har forrang. Gældende lovgivning og værneting følger bestemmelse 16 i Vilkårene (Nederlandene; Amsterdam).

12.5 Kontaktperson vedrørende denne databeskyttelseserklæring, meddelelser og spørgsmål om databeskyttelse: privacy@fabrixa.com.

Bilag 1 — Nærmere oplysninger om behandlingen

Bilag 2 — Tekniske og organisatoriske foranstaltninger

Bilag 3 — Underbehandlere

Den aktuelle liste findes på https://www.fabrixa.com/sub-processors/ og udgør en del af denne databehandlingsaftale i den udgave, der gælder på ikrafttrædelsesdatoen; senere ændringer følger bestemmelserne i punkt 6.