Tillägg om databehandling

• Fabrixa B.V. · Markerkant 13 10, 1314 AN Almere, Nederländerna · KvK 74188445 · Version 1.0, gäller från och med den 22 oktober 2026

1. Tillämpningsområde och parter

1.1 Detta tillägg om databehandling (“DPA”) utgör en del av Fabrixas användarvillkor (“Villkoren”) mellan Fabrixa B.V. (“Fabrixa”) och den företagskund som har ett Fabrixa-konto (“Kunden”). Det gäller närhelst Fabrixa behandlar personuppgifter för Kundens räkning i samband med tillhandahållandet av Tjänsterna.

1.2 När det gäller uppgifter om slutkunder (mottagarnamn, leveransadresser, kontaktuppgifter och eventuella personuppgifter i bildmaterial eller orderkommentarer) är kunden personuppgiftsansvarig, eller ett personuppgiftsbiträde som agerar för sina egna kunders räkning, och Fabrixa är personuppgiftsbiträde eller underbiträde. I de fall då kunden själv agerar som personuppgiftsbiträde garanterar kunden att dennes personuppgiftsansvarige har godkänt anlitandet av Fabrixa samt villkoren i detta databehandlingsavtal.

1.3 När det gäller kundens egna kontouppgifter, fakturerings-, support- och användningsuppgifter är Fabrixa en självständig personuppgiftsansvarig; denna behandling beskrivs i integritetspolicyn, inte i detta tilläggsavtal om personuppgifter.

1.4 Godkännande. Detta databehandlingsavtal godkänns elektroniskt genom att villkoren godkänns. På begäran tillhandahåller Fabrixa en kontrasignerad kopia för kundens arkiv; den undertecknade kopian har samma innehåll och påverkar inte ikraftträdandedatumet.

2. Uppgifter om behandlingen

2.1 Ämnesområde, varaktighet, karaktär, syfte, uppgiftskategorier och registrerade anges i bilaga 1. Behandlingen pågår så länge kunden använder tjänsterna, jämte den raderingsperiod som anges i punkt 10.

3. Kundens anvisningar

3.1 Fabrixa behandlar personuppgifter endast enligt kundens dokumenterade instruktioner, även när det gäller överföringar till ett tredjeland, såvida inte detta krävs enligt EU-lagstiftning eller medlemsstaternas lagstiftning; i sådant fall informerar Fabrixa kunden om detta rättsliga krav innan behandlingen påbörjas, såvida inte lagen förbjuder detta av väsentliga skäl som rör allmänintresset.

3.2 Kundens instruktioner omfattar: Villkoren, detta DPA, de order, inställningar och API-samtal som kunden skickar via plattformen samt skriftliga instruktioner som skickas till Fabrixas supportkanal. Fabrixa kan ta ut en avgift för instruktioner som går utöver Tjänsterna.

3.3 Fabrixa informerar kunden utan dröjsmål om företaget anser att ett uppdrag strider mot GDPR eller annan tillämplig dataskyddslagstiftning. Fabrixa kan avbryta uppdraget tills kunden bekräftar eller ändrar det.

3.4 Kunden ansvarar för att de personuppgifter som denne tillhandahåller är lagliga, för den information som denne lämnar till slutkunderna samt för att inga särskilda kategorier av uppgifter (artikel 9 i GDPR) eller uppgifter om barn lämnas in i bildmaterial eller orderkommentarer.

4. Sekretess

4.1 Fabrixa säkerställer att alla personer som företaget bemyndigar att behandla personuppgifter – personal, uppdragstagare och teknikpartnern – är bundna av en avtalsenlig eller lagstadgad sekretessplikt och endast behandlar uppgifterna i den utsträckning som krävs för deras arbetsuppgifter.

5. Säkerhet

5.1 Fabrixa inför och upprätthåller de tekniska och organisatoriska åtgärderna i bilaga 2, med beaktande av den senaste tekniska utvecklingen, kostnaderna för genomförandet, behandlingens art, omfattning, sammanhang och syften samt riskerna för de registrerade (artikel 32 i GDPR). Fabrixa får uppdatera bilaga 2 under förutsättning att den övergripande skyddsnivån inte sänks.

6. Underleverantörer

6.1 Allmänt tillstånd. Kunden ger Fabrixa ett allmänt skriftligt tillstånd att anlita underleverantörer för den behandling som beskrivs i bilaga 1.

6.2 Aktuell lista. De underleverantörer som anlitas från och med ikraftträdandedatumet finns förtecknade på https://www.fabrixa.com/sub-processors/ (bilaga 3 hänvisar till denna förteckning). I förteckningen anges för varje underleverantör vilken tjänst det rör sig om, var behandlingen sker och hur överföringen sker.

6.3 Meddelande om ändringar. Fabrixa offentliggör alla planerade tillägg eller utbyten av underleverantörer på den sidan och skickar ett e-postmeddelande till kontoinnehavaren minst 30 dagar innan den nya underleverantören börjar behandla kunddata. Ändringar som görs för att skydda tjänsterna mot en överhängande säkerhetsrisk kan träda i kraft omedelbart, varvid meddelande lämnas så snart som möjligt därefter.

6.4 Rätt att göra invändningar. Kunden kan skriftligen framföra invändningar till privacy@fabrixa.com inom 30 dagar från meddelandet, på rimliga och dokumenterade dataskyddsskäl. Parterna diskuterar invändningen i god tro. Om Fabrixa inte kan erbjuda ett rimligt alternativ inom 30 dagar kan kunden säga upp de berörda tjänsterna utan påföljd genom skriftligt meddelande; förbetalda plånbokssaldon återbetalas proportionellt.

6.5 Vidarefördelning. Fabrixa ålägger varje underleverantör, genom skriftligt avtal, dataskyddsförpliktelser som garanterar minst samma skyddsnivå som i detta DPA, och förblir fullt ansvarigt gentemot kunden för underleverantörens prestationer.

6.6 Produktions- och logistikpartner anlitas per beställning och listas efter kategori och land. På begäran, och under förutsättning att ett sekretessåtagande ingås, meddelar Fabrixa kunden namnet på den partner som hanterat en specifik beställning.

7. Kundstöd

7.1 Begäranden från den registrerade. Fabrixa vidarebefordrar alla förfrågningar som företaget mottar från en slutkund till kunden inom fem arbetsdagar och besvarar dem inte direkt, såvida inte kunden ger andra instruktioner. Fabrixa bistår kunden med lämpliga tekniska och organisatoriska åtgärder för att besvara förfrågningar enligt kapitel III i GDPR.

7.2 Fabrixa bistår kunden, med beaktande av behandlingens art och den information som Fabrixa har tillgång till, i samband med kundens skyldigheter enligt artiklarna 32–36 i GDPR (säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandsrådgivning).

8. Dataintrång som rör personuppgifter

8.1 Fabrixa ska underrätta kunden utan onödigt dröjsmål, och under alla omständigheter inom 48 timmar efter att ha fått kännedom om ett personuppgiftsintrång som berör kundens uppgifter. Underrättelsen ska beskriva intrångets art, kategorierna och det ungefärliga antalet berörda registrerade och registerposter, de troliga konsekvenserna, de åtgärder som vidtagits eller föreslås samt en kontaktpunkt. Informationen kan lämnas i etapper.

8.2 Fabrixa underrättar inte slutkunder eller tillsynsmyndigheter på kundens vägnar, såvida inte kunden ger instruktioner om detta eller lagen kräver det.

9. Internationella överföringar

9.1 Fabrixa behandlar kunduppgifter inom Europeiska ekonomiska samarbetsområdet. Överföringar till ett tredjeland sker endast med de skyddsåtgärder som anges i kapitel V i GDPR: ett beslut om adekvat skyddsnivå eller standardavtalsklausulerna (kommissionens beslut (EU) 2021/914) med kompletterande åtgärder vid behov. Överföringsmekanismen för varje underleverantör anges i listan över underleverantörer.

10. Radering och återlämnande

10.1 När tjänsterna upphör, eller på skriftlig begäran från kunden, raderar Fabrixa kunduppgifterna inom 30 dagar, såvida inte EU-lagstiftning eller lagstiftning i en medlemsstat kräver ytterligare lagring. Fakturor och orderunderlag som krävs för skatteändamål sparas i 7 år enligt nederländsk lag; underlag rörande tvister och fordringar sparas under den tillämpliga preskriptionstiden. Uppgifter som omfattas av en lagstadgad bevaringsplikt förblir spärrade för all annan användning.

10.2 Innan raderingen kan kunden exportera orderdata via plattformen och API. Fabrixa erbjuder rimlig hjälp med andra exportformat till sina standardpriser.

11. Revisioner och information

11.1 Fabrixa tillhandahåller kunden all information som krävs för att styrka efterlevnaden av artikel 28 i GDPR: detta databehandlingsavtal, förteckningen över underleverantörer, bilaga 2 samt, på begäran, ett ifyllt säkerhetsformulär och de senaste rapporterna eller certifieringarna från tredje part avseende företagets webbhotellsleverantörer.

11.2 Om dessa uppgifter är rimligt otillräckliga får kunden eller en oberoende revisor som är bunden av sekretessgränser granska Fabrixas relevanta behandlingsverksamhet en gång per 12 månader, efter 30 dagars skriftligt varsel, under kontorstid och utan att störa verksamheten, på kundens bekostnad. Revisioner som krävs av en tillsynsmyndighet, eller som följer på ett personuppgiftsintrång, är inte begränsade i fråga om frekvens. Revisionerna omfattar inte andra kunders uppgifter eller produktionspartners lokaler; för dessa förlitar sig Fabrixa på avtalsenliga garantier och sina egna leverantörskontroller.

12. Allmänt

12.1 Ansvaret enligt detta databehandlingsavtal regleras enligt punkt 13 i Villkoren.

12.2 Om detta tilläggsavtal om dataskydd står i strid med Villkoren i en fråga som rör dataskydd, har detta tilläggsavtal företräde. Om standardavtalsklausulerna är tillämpliga på en överföring, har de företräde framför detta tilläggsavtal om dataskydd.

12.3 Fabrixa kan uppdatera detta DPA för att återspegla ändringar i lagstiftningen eller i Tjänsterna; väsentliga ändringar meddelas på samma sätt som ändringar avseende underleverantörer (punkt 6.3). Fortsatt användning av Tjänsterna efter ikraftträdandedatumet innebär att du godkänner ändringarna.

12.4 Detta personuppgiftsbiträdesavtal ingås på engelska. Översättningar på webbplatsen tillhandahålls som en service; den engelska versionen har företräde. Tillämplig lag och behöriga domstolar regleras enligt punkt 16 i Villkoren (Nederländerna; Amsterdam).

12.5 Kontaktperson för denna integritetspolicy, meddelanden och frågor om dataskydd: privacy@fabrixa.com.

Bilaga 1 – Uppgifter om behandlingen

Bilaga 2 – Tekniska och organisatoriska åtgärder

Bilaga 3 – Underleverantörer

Den aktuella förteckningen finns på https://www.fabrixa.com/sub-processors/ och utgör en del av detta dataskyddsavtal i dess lydelse vid ikraftträdandet; senare ändringar regleras enligt punkt 6.