Tillegg om databehandling

• Fabrixa B.V. · Markerkant 13 10, 1314 AN Almere, Nederland · KvK 74188445 · Versjon 1.0, trer i kraft 22. oktober 2026

1. Omfang og parter

1.1 Dette tillegget om databehandling (“DPA”) utgjør en del av Fabrixas bruksvilkår (“vilkårene”) mellom Fabrixa B.V. (“Fabrixa”) og bedriftskunden som har en Fabrixa-konto (“kunden”). Det gjelder når Fabrixa behandler personopplysninger på vegne av Kunden i forbindelse med levering av tjenestene.

1.2 Når det gjelder sluttkundedata (mottakernavn, leveringsadresser, kontaktopplysninger og eventuelle personopplysninger i grafisk materiale eller bestillingsmerknader), er kunden behandlingsansvarlig eller en databehandler som opptrer på vegne av egne kunder, mens Fabrixa er databehandler eller underdatabehandler. Der kunden selv opptrer som databehandler, garanterer kunden at dennes behandlingsansvarlige har godkjent Fabrixas engasjement og vilkårene i denne databehandlingsavtalen.

1.3 Når det gjelder kundens egne konto-, fakturerings-, support- og bruksdata, er Fabrixa en uavhengig behandlingsansvarlig; denne behandlingen er beskrevet i personvernerklæringen, ikke i denne databehandlingsavtalen.

1.4 Godkjennelse. Denne personvernavtalen godtas elektronisk ved å godta vilkårene. På forespørsel vil Fabrixa utstede en kontrasignert kopi til kundens arkiv; den signerte kopien har samme innhold og endrer ikke ikrafttredelsesdatoen.

2. Opplysninger om behandlingen

2.1 Behandlingsomfang, varighet, art, formål, datakategorier og registrerte er angitt i vedlegg 1. Behandlingen varer så lenge kunden benytter tjenestene, pluss slettingsperioden angitt i punkt 10.

3. Kundens instruksjoner

3.1 Fabrixa behandler personopplysninger utelukkende i henhold til kundens dokumenterte instrukser, herunder når det gjelder overføring til et tredjeland, med mindre dette er påkrevd i henhold til EU-lovgivning eller lovgivningen i en medlemsstat; i så fall informerer Fabrixa kunden om dette lovkravet før behandlingen påbegynnes, med mindre loven forbyr dette av viktige hensyn til allmenninteressen.

3.2 Kundens instruksjoner omfatter: Vilkårene, denne databehandlingsavtalen (DPA), ordrene, innstillingene og API-anropene som kunden sender inn via plattformen, samt skriftlige instruksjoner sendt til Fabrixas supportkanal. Fabrixa kan kreve betaling for instruksjoner som går utover tjenestene.

3.3 Fabrixa skal uten opphold underrette kunden dersom selskapet mener at en instruksjon er i strid med GDPR eller annen gjeldende personvernlovgivning. Fabrixa kan sette instruksjonen på vent inntil kunden bekrefter eller endrer den.

3.4 Kunden er ansvarlig for at personopplysningene den oppgir er lovlige, for informasjonen den gir til sluttkundene, og for at den ikke sender inn spesielle kategorier av personopplysninger (artikkel 9 i GDPR) eller opplysninger om barn i illustrasjoner eller bestillingsmerknader.

4. Konfidensialitet

4.1 Fabrixa sikrer at alle som selskapet gir fullmakt til å behandle personopplysninger – ansatte, underleverandører og ingeniørpartneren – er bundet av en kontraktsmessig eller lovfestet taushetsplikt og kun behandler opplysningene i den grad det er nødvendig for å utføre sine oppgaver.

5. Sikkerhet

5.1 Fabrixa iverksetter og opprettholder de tekniske og organisatoriske tiltakene i vedlegg 2, under hensyntagen til den aktuelle tekniske utviklingen, kostnadene ved gjennomføringen, behandlingens art, omfang, sammenheng og formål samt risikoen for de registrerte (artikkel 32 i GDPR). Fabrixa kan oppdatere vedlegg 2, forutsatt at det samlede beskyttelsesnivået ikke reduseres.

6. Underbehandlere

6.1 Generell fullmakt. Kunden gir Fabrixa en generell skriftlig fullmakt til å engasjere underdatabehandlere for den databehandlingen som er beskrevet i vedlegg 1.

6.2 Gjeldende liste. Underbehandlerne som er engasjert på ikrafttredelsesdatoen, er oppført på https://www.fabrixa.com/sub-processors/ (vedlegg 3 henviser til denne listen). Listen angir for hver underbehandler hvilken tjeneste det dreier seg om, hvor behandlingen foregår og overføringsmekanismen.

6.3 Varsel om endringer. Fabrixa publiserer alle planlagte tilføyelser eller utskiftninger av underdatabehandlere på den aktuelle siden og sender en e-post til kontoinnehaveren minst 30 dager før den nye underdatabehandleren begynner å behandle kundedata. Endringer som gjøres for å beskytte tjenestene mot en overhengende sikkerhetsrisiko, kan tre i kraft umiddelbart, med varsel så snart som mulig etterpå.

6.4 Rett til å gjøre innsigelse. Kunden kan innen 30 dager etter mottak av varselet fremsette skriftlig innsigelse til privacy@fabrixa.com på grunnlag av rimelige og dokumenterte personvernmessige hensyn. Partene skal drøfte innsigelsen i god tro. Dersom Fabrixa ikke kan tilby et rimelig alternativ innen 30 dager, kan kunden si opp de berørte tjenestene uten straffevilkår ved skriftlig varsel; forhåndsbetalte saldoer i lommeboken refunderes pro rata.

6.5 Videreføring. Fabrixa pålegger hver underdatabehandler, gjennom en skriftlig avtale, personvernforpliktelser som sikrer minst samme beskyttelsesnivå som denne DPA-en, og forblir fullt ansvarlig overfor kunden for underdatabehandlerens oppfyllelse av sine forpliktelser.

6.6 Produksjons- og logistikkpartnere engasjeres per ordre og er oppført etter kategori og land. På forespørsel, og under forutsetning av en fortrolighetserklæring, opplyser Fabrixa kunden om navnet på den partneren som har behandlet en bestemt ordre.

7. Kundestøtte

7.1 Forespørsler fra den registrerte. Fabrixa videresender alle forespørsler den mottar fra en sluttkunde til kunden innen fem virkedager og svarer ikke direkte på dem, med mindre kunden gir andre instruksjoner. Fabrixa bistår kunden med egnede tekniske og organisatoriske tiltak for å besvare forespørsler i henhold til kapittel III i GDPR.

7.2 Fabrixa bistår kunden, under hensyntagen til behandlingens art og den informasjonen Fabrixa har til rådighet, med kundens forpliktelser i henhold til artikkel 32 til 36 i GDPR (sikkerhet, varsling om brudd, konsekvensutredninger vedrørende personvern og forhåndskonsultasjon).

8. Brudd på personvernet

8.1 Fabrixa skal varsle kunden uten unødig forsinkelse, og under alle omstendigheter innen 48 timer etter at selskapet har blitt kjent med et brudd på personvernet som berører kundens data. Varselet skal beskrive bruddets art, kategoriene og det omtrentlige antallet registrerte personer og berørte oppføringer, de sannsynlige konsekvensene, de tiltakene som er iverksatt eller foreslått, samt et kontaktpunkt. Informasjonen kan gis i etapper.

8.2 Fabrixa gir ikke beskjed til sluttkunder eller tilsynsmyndigheter på vegne av kunden, med mindre kunden gir instruks om dette eller loven krever det.

9. Internasjonale overføringer

9.1 Fabrixa behandler kundedata i Det europeiske økonomiske samarbeidsområdet (EØS). Overføring til et tredjeland skjer kun i henhold til sikkerhetsgarantiene i kapittel V i GDPR: en beslutning om tilstrekkelig beskyttelse eller standardkontraktsklausulene (Kommisjonsbeslutning (EU) 2021/914) med tilleggstiltak der det er nødvendig. Overføringsmekanismen for hver underdatabehandler er angitt i listen over underdatabehandlere.

10. Sletting og tilbakelevering

10.1 Ved avslutningen av tjenestene, eller på skriftlig forespørsel fra kunden, sletter Fabrixa kundedata innen 30 dager, med mindre lovgivningen i EU eller medlemsstatene krever lengre lagringstid. Fakturaer og ordrehistorikk som er nødvendig for skatteformål, oppbevares i 7 år i henhold til nederlandsk lov; dokumentasjon knyttet til tvister og krav oppbevares i henhold til gjeldende foreldelsesfrist. Data som er underlagt en lovbestemt oppbevaringsplikt, forblir sperret for all annen bruk.

10.2 Før sletting kan kunden eksportere ordredata via plattformen og API. Fabrixa tilbyr rimelig hjelp med andre eksportformater til sine standardpriser.

11. Revisjoner og informasjon

11.1 Fabrixa stiller all nødvendig informasjon til rådighet for kunden for å dokumentere overholdelse av artikkel 28 i GDPR: denne databehandlingsavtalen, listen over underdatabehandlere, vedlegg 2, samt – på forespørsel – et utfylt sikkerhetsspørreskjema og de nyeste rapportene eller sertifiseringene fra tredjeparter knyttet til selskapets hostingleverandører.

11.2 Dersom denne informasjonen er rimelig utilstrekkelig, kan kunden eller en uavhengig revisor som er underlagt taushetsplikt, gjennomføre revisjon av Fabrixas relevante behandlingsaktiviteter én gang per 12 måneder, etter 30 dagers skriftlig varsel, i kontortiden og uten å forstyrre driften, på kundens bekostning. Revisjoner som kreves av en tilsynsmyndighet, eller som følge av et brudd på personvernet, er ikke begrenset i hyppighet. Revisjonene omfatter ikke andre kunders data eller produksjonspartnernes lokaler; for disse stoler Fabrixa på kontraktsmessige forsikringer og egne leverandørkontroller.

12. Generelt

12.1 Ansvaret i henhold til denne personvernavtalen følger av punkt 13 i vilkårene.

12.2 Dersom denne tilleggsavtalen om personvern (DPA) er i strid med vilkårene i et personvernspørsmål, har denne DPA-en forrang. Dersom standardkontraktsklausulene gjelder for en overføring, har de forrang fremfor denne DPA-en.

12.3 Fabrixa kan oppdatere denne personvernavtalen for å gjenspeile endringer i lovgivningen eller i tjenestene; vesentlige endringer kunngjøres på samme måte som endringer knyttet til underbehandlere (punkt 6.3). Fortsatt bruk av tjenestene etter ikrafttredelsesdatoen anses som samtykke.

12.4 Denne databehandleravtalen inngås på engelsk. Oversettelser på nettsiden tilbys av praktiske hensyn; den engelske versjonen har forrang. Gjeldende lov og jurisdiksjon følger punkt 16 i vilkårene (Nederlandene; Amsterdam).

12.5 Kontaktperson for denne personvernerklæringen, meldinger og spørsmål om personvern: privacy@fabrixa.com.

Vedlegg 1 — Opplysninger om behandlingen

Vedlegg 2 – Tekniske og organisatoriske tiltak

Vedlegg 3 — Underbehandlere

Den gjeldende listen finnes på https://www.fabrixa.com/sub-processors/ og utgjør en del av denne personvernavtalen slik den foreligger på ikrafttredelsesdatoen; senere endringer følger punkt 6.