Personuppgiftsbiträdesavtal (DPA)

1. Bakgrund och omfattning

Detta personuppgiftsbiträdesavtal ("DPA") reglerar behandlingen av personuppgifter mellan Fixverse AB, organisationsnummer 559461-3589, med adress Dialoggatan 12 B, 703 74 Örebro ("Fixverse", "vi", "oss"), och den kund som använder tjänsten Sellra ("Kunden", "du") enligt vid var tid gällande användarvillkor tillgängliga på sellra.se/anvandarvillkor ("Huvudavtalet").

Detta DPA utgör en integrerad del av Huvudavtalet. Genom att acceptera Huvudavtalet accepterar Kunden även detta DPA. Vid motstridigheter mellan Huvudavtalet och detta DPA gäller detta DPA i frågor som rör behandling av personuppgifter.

DPA tillämpas automatiskt när Kunden behandlar personuppgifter genom tjänsten i egenskap av personuppgiftsansvarig. Separat signerad version av detta DPA kan tillhandahållas på begäran. Kontakta privacy@sellra.se.

2. Definitioner

Termer som inte uttryckligen definieras i detta DPA har den betydelse som framgår av EU:s allmänna dataskyddsförordning (förordning 2016/679, "GDPR") och tillämplig svensk dataskyddslagstiftning.

Personuppgiftsansvarig (PUA)

Kunden, som bestämmer ändamål och medel för behandlingen av personuppgifter om sina kontakter, leads och andra registrerade som Kunden lägger in i tjänsten.

Personuppgiftsbiträde (PUB)

Fixverse, som behandlar personuppgifter för Kundens räkning.

Underbiträde

Tredje part som Fixverse anlitar för att utföra specifika behandlingsaktiviteter.

Registrerad

Fysisk person vars personuppgifter behandlas genom tjänsten.

Personuppgiftsincident

En säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande av eller obehörig åtkomst till personuppgifter.

3. Rollfördelning

Kunden är personuppgiftsansvarig för personuppgifter som Kunden matar in eller genererar i tjänsten om sina leads, kontakter, potentiella kunder och befintliga kunder.

Fixverse är personuppgiftsbiträde för dessa uppgifter och behandlar dem endast enligt Kundens dokumenterade instruktioner.

Fixverse är däremot personuppgiftsansvarig för följande kategorier av uppgifter, som regleras av Fixverses integritetspolicy:

• Kontouppgifter om Kundens användare (namn, e-post, roll)
• Faktureringsuppgifter
• Teknisk användningsdata (inloggningar, sessionsdata, feature-användning, IP-adress)
• Support- och kommunikationshistorik med Fixverse

4. Föremål, art och ändamål

Föremål

Behandling av personuppgifter i samband med Kundens användning av Sellra, en AI-driven CRM-plattform för säljteam.

Art

Insamling, lagring, strukturering, ändring, läsning, överföring och radering genom automatiserade medel via en molnbaserad SaaS-tjänst.

Ändamål

Att möjliggöra Kundens säljprocesser, inklusive hantering av leads och kunder, e-postkommunikation, AI-driven databerikning och leadgenerering, samt aktivitetsloggning.

Varaktighet

Behandlingen pågår under Huvudavtalets giltighetstid. Efter upphörande behandlas personuppgifter endast enligt punkt 13 nedan.

Närmare beskrivning av behandlingen framgår av Bilaga A.

5. Kundens instruktioner

Fixverse behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. Användning av tjänsten enligt Huvudavtalet utgör sådana instruktioner, inklusive användning av tjänstens funktioner för leadgenerering, e-postutskick, AI-berikning och dataexport.

Om Fixverse bedömer att en instruktion från Kunden bryter mot GDPR eller annan tillämplig lag ska Fixverse omedelbart meddela Kunden skriftligen.

Kunden ansvarar för att ha laglig grund för att behandla personuppgifter som läggs in i tjänsten och för att uppfylla informationsskyldigheten gentemot de registrerade.

Fixverse får inte sälja, använda för egna marknadsföringsändamål, träna egna eller tredje parts AI-modeller på, eller på annat sätt behandla personuppgifterna utanför dokumenterade instruktioner från Kunden. Fixverse får dock behandla personuppgifter i den utsträckning det är nödvändigt för teknisk drift och säkerhet av tjänsten, eftersom sådan behandling är en integrerad del av tjänsteleveransen enligt Huvudavtalet.

Kunden ska inte mata in särskilda kategorier av personuppgifter enligt GDPR artikel 9 (exempelvis uppgifter om hälsa, biometriska uppgifter, religiös eller politisk uppfattning eller sexuell läggning) eller personuppgifter rörande fällande domar enligt artikel 10 i tjänsten. Tjänsten är inte designad eller validerad för behandling av sådana uppgifter. Om Kunden trots förbudet matar in sådana uppgifter ansvarar Kunden ensam för behandlingen och håller Fixverse skadeslös för all skada, sanktionsavgift eller kostnad som följer.

6. Konfidentialitet

Fixverse säkerställer att personer som har behörighet att behandla personuppgifterna har åtagit sig konfidentialitet eller omfattas av lämplig lagstadgad tystnadsplikt. Konfidentialitetsåtagandena gäller även efter anställningens eller uppdragets slut.

Åtkomst till Kundens personuppgifter begränsas till personer som behöver tillgång för att utföra sina arbetsuppgifter.

7. Säkerhetsåtgärder

Fixverse vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, i enlighet med GDPR artikel 32. Åtgärderna beskrivs närmare i Bilaga B och omfattar bland annat:

• Kryptering vid överföring (TLS 1.2 eller senare) och vid lagring (AES-256)
• Row Level Security (RLS) i databasen så att Kunder endast kan se egen data
• Flerfaktorsautentisering för administrativ åtkomst
• Regelbundna säkerhetskopior och återställningstester
• Loggning och övervakning av åtkomst
• Principer för minsta privilegium och behov-att-veta

8. Underbiträden

Kunden ger Fixverse generellt godkännande att anlita underbiträden för behandlingen. En aktuell lista över godkända underbiträden framgår av Bilaga C nedan.

Fixverse förbinder sig att:

• Säkerställa att varje underbiträde omfattas av skriftligt avtal med motsvarande dataskyddsförpliktelser som i detta DPA
• Meddela Kunden minst 30 dagar innan nya underbiträden anlitas eller befintliga byts ut, via e-post till Kundens administratör. Aktuell lista publiceras även på denna sida
• Förbli fullt ansvarig gentemot Kunden för underbiträdets behandling

Kunden har rätt att invända mot nya underbiträden inom 30 dagar från meddelandet. Vid invändning ska parterna i god tro försöka nå en lösning. Om ingen lösning nås har Kunden rätt att säga upp Huvudavtalet med omedelbar verkan, och få återbetalning av förskottsbetalda avgifter för outnyttjad period.

9. Överföring till tredjeland

Viss behandling sker genom underbiträden vars servrar kan vara lokaliserade utanför EU/EES, primärt i USA. Sådana överföringar skyddas av de standardavtalsklausuler som antogs genom Kommissionens beslut (EU) 2021/914 eller senare motsvarighet, enligt GDPR artikel 46(2)(c), samt vid behov kompletterande skyddsåtgärder.

All kunddata i Sellras primära databas lagras på Supabase via AWS eu-north-1 (Stockholm, Sverige) och överförs inte utanför EU för primär lagring.

Fixverse har genomfört bedömning av skyddsnivån i tredjeländer (Transfer Impact Assessment) enligt EDPB:s rekommendationer 01/2020 för berörda överföringar, och tillämpar kompletterande tekniska och organisatoriska åtgärder där så krävs. Bedömningen omvärderas vid väsentliga förändringar i rättsläget eller i underbiträdens behandling.

Kategorier av tredjelandsöverföringar framgår av Bilaga C.

10. Bistånd till registrerades rättigheter

Fixverse ska, med hänsyn till behandlingens art, bistå Kunden med lämpliga tekniska och organisatoriska åtgärder så att Kunden kan uppfylla sin skyldighet att besvara begäranden från registrerade enligt GDPR kapitel III, inklusive rätt till:

• Tillgång (art. 15)
• Rättelse (art. 16)
• Radering (art. 17)
• Begränsning (art. 18)
• Dataportabilitet (art. 20)
• Invändning (art. 21)

Kunden kan via tjänstens gränssnitt själv exportera, rätta och radera personuppgifter. Om ytterligare bistånd krävs ska Kunden kontakta privacy@sellra.se.

Självbetjäningsexport, rättelse och radering via tjänstens gränssnitt är inkluderat i avgiften. Manuell hantering av enskilda begäranden från registrerade upp till 5 ärenden per månad är inkluderat. Bistånd därutöver kan faktureras till Fixverses gällande timarvode efter föregående avisering.

Om en registrerad vänder sig direkt till Fixverse med en begäran gällande personuppgifter som Kunden är personuppgiftsansvarig för, ska Fixverse utan onödigt dröjsmål hänvisa den registrerade till Kunden och informera Kunden om begäran.

11. Personuppgiftsincidenter

Fixverse ska utan onödigt dröjsmål, och senast inom 72 timmar från det att en ansvarig person hos Fixverse konstaterat att en personuppgiftsincident inträffat som påverkar Kundens personuppgifter, meddela Kunden skriftligen.

Meddelandet ska innehålla:

• Beskrivning av incidentens art, inklusive kategorier av och ungefärligt antal berörda registrerade och personuppgifter
• Sannolika konsekvenser av incidenten
• Vidtagna eller föreslagna åtgärder för att hantera incidenten och mildra eventuella negativa effekter
• Kontaktuppgifter för vidare kommunikation

Fixverse ska bistå Kunden vid eventuell anmälan till Integritetsskyddsmyndigheten (IMY) och vid information till berörda registrerade.

12. Konsekvensbedömning och förhandssamråd

Fixverse ska, med beaktande av behandlingens art och den information Fixverse har tillgång till, bistå Kunden vid konsekvensbedömningar avseende dataskydd (DPIA) enligt GDPR artikel 35 samt vid förhandssamråd med IMY enligt artikel 36.

13. Radering och återlämning vid upphörande

Vid Huvudavtalets upphörande, oavsett orsak, ska Fixverse enligt Kundens val antingen radera eller återlämna samtliga personuppgifter till Kunden, samt radera befintliga kopior om inte lagring krävs enligt EU-rätt eller svensk lag.

Kunden har 30 dagar från upphörandet att begära export av kunddata i maskinläsbart format (JSON eller CSV). Export sker via tjänstens inbyggda funktion eller, för större datamängder, via särskild överenskommelse.

Efter 30 dagar från upphörande raderas Kundens data automatiskt från produktionssystem. Säkerhetskopior raderas enligt Fixverses rullande backup-rutin, senast inom 90 dagar från upphörande.

14. Audit och tillsyn

Fixverse ska på Kundens skriftliga begäran tillhandahålla den information som krävs för att visa efterlevnad av skyldigheterna i detta DPA, samt möjliggöra och bidra till granskningar, inklusive inspektioner, som utförs av Kunden eller en av Kunden utsedd oberoende tredje part.

Granskningar kan högst ske en gång per kalenderår, efter skriftlig begäran med minst 30 dagars varsel, under normal arbetstid och utan att väsentligt störa Fixverses verksamhet. Vid konkret misstanke om överträdelse kan granskning ske med kortare varsel.

Fixverse har rätt att uppfylla granskningsåtagandet genom att tillhandahålla aktuella tredjepartsrevisionsrapporter (exempelvis SOC 2, ISO 27001 eller motsvarande) om sådana finns tillgängliga.

Kunden bär egna kostnader för granskningen. Kostnader som Fixverse åsamkas och som går utöver normal samverkan kan faktureras enligt gällande timarvode.

15. Ansvar

Varje part ansvarar för skada som orsakas av partens överträdelse av detta DPA eller tillämplig dataskyddslagstiftning, med beaktande av GDPR artikel 82.

Denna ansvarsbegränsning ersätter motsvarande bestämmelse i Huvudavtalet i frågor som rör behandling av personuppgifter. Fixverses totala ansvar enligt detta DPA är under en rullande tolvmånadersperiod begränsat till det högsta av:

• Det belopp Kunden betalat för tjänsten under de föregående tolv månaderna, eller
• 50 000 kronor

Ansvarsbegränsningen gäller inte vid uppsåt, grov vårdslöshet eller för sanktionsavgifter som part ådragits på grund av den andra partens överträdelse av GDPR.

16. Ändringar

Fixverse har rätt att uppdatera detta DPA för att återspegla ändringar i lagstiftning, vägledning från tillsynsmyndigheter eller ändringar i tjänsten. Väsentliga ändringar meddelas Kunden skriftligen minst 30 dagar innan de träder i kraft.

Vid väsentligt försämrande ändringar har Kunden rätt att säga upp Huvudavtalet inom 30 dagar från meddelandet, med återbetalning av outnyttjad förskottsbetald avgift.

Uppdatering av listan över underbiträden i Bilaga C regleras i punkt 8.

17. Tillämplig lag och tvistlösning

Detta DPA regleras av svensk lag. Tvister som uppstår i anslutning till detta DPA ska avgöras enligt tvistlösningsmekanismen i Huvudavtalet.

18. Kontakt

Frågor om detta DPA besvaras av:

• Fixverse AB (org.nr 559461-3589)
• Adress: Dialoggatan 12 B, 703 74 Örebro
• E-post: privacy@sellra.se

Bilaga A: Beskrivning av behandlingen

Kategorier av registrerade

• Kundens befintliga kunder (kontaktpersoner hos företagskunder)
• Kundens potentiella kunder och leads
• Kundens egna anställda och användare av tjänsten

Kategorier av personuppgifter

• Namn
• Företagsanknytning (företagsnamn, roll, titel)
• Kontaktuppgifter (e-postadress, telefonnummer, adress)
• Kommunikationshistorik (skickade mejl, samtal, möten, anteckningar)
• Aktivitetsdata kopplad till säljprocessen (pipeline-status, affärsvärde)
• Företagsuppgifter genererade via AI-berikning (bransch, företagsstorlek, publika företagsuppgifter)
• LinkedIn-profildata (publik) — namn, titel, arbetsgivare, plats, profilbild, sammanfattning, kompetenser, arbetshistorik, senaste publika inlägg

Typer av behandling

• Lagring i databas (Supabase, AWS eu-north-1 Stockholm)
• Strukturering och presentation i CRM-gränssnitt
• E-postutskick via Kundens anslutna Microsoft 365- eller Gmail-konto
• AI-driven generering av e-postutkast och leadberikning
• Dataexport på Kundens begäran
• Radering enligt punkt 13

Ändamål med behandlingen

Att tillhandahålla en CRM-tjänst som möjliggör för Kunden att hantera sin säljprocess, inklusive lead- och kundhantering, e-postkommunikation, pipeline-hantering och säljanalys.

Varaktighet

Behandlingen pågår under Huvudavtalets giltighetstid. Efter upphörande enligt punkt 13.

Bilaga B: Tekniska och organisatoriska säkerhetsåtgärder

Åtkomstkontroll

• Autentisering via Supabase Auth med stöd för flerfaktorsautentisering
• Row Level Security (RLS) på databasnivå säkerställer att Kunder endast kan se egen data
• Administrativ åtkomst till produktionssystem begränsad till behöriga Fixverse-anställda
• Loggning av administrativ åtkomst

Kryptering

• TLS 1.2 eller senare för all nätverkstrafik till och från tjänsten
• AES-256-kryptering för data i vila i databasen
• Lösenord lagras hashade med bcrypt eller motsvarande modern algoritm
• OAuth-tokens för Microsoft 365 och Gmail lagras krypterade

Infrastruktur och lagring

• Primär databas hos Supabase på AWS eu-north-1 (Stockholm, Sverige)
• Hosting av applikation hos Vercel
• Dagliga automatiska säkerhetskopior med 30 dagars retention
• Katastrofåterställningsrutin med definierade RTO och RPO

Utvecklings- och säkerhetspraxis

• Separerade miljöer för utveckling, test och produktion
• Secrets hanteras via miljövariabler och är inte tillgängliga i kodbasen
• Säkerhetskänsliga ändringar i kod granskas innan driftsättning
• Regelbunden uppdatering av beroenden och säkerhetspatchar

Övervakning

• Felloggning på applikationsnivå
• Övervakning av systemhälsa och tillgänglighet
• Loggning av API-anrop och säkerhetsrelevanta händelser

Organisatoriska åtgärder

• Konfidentialitetsåtaganden för alla som har åtkomst till personuppgifter
• Intern policy för hantering av personuppgifter
• Rutin för hantering av personuppgiftsincidenter
• Personal som behandlar personuppgifter får löpande instruktioner och vägledning om dataskydd

Löpande förbättring

Säkerhetsåtgärderna utvärderas och uppdateras löpande. Fixverse förbehåller sig rätten att justera de specifika åtgärderna så länge den övergripande säkerhetsnivån upprätthålls eller förbättras.

Bilaga C: Godkända underbiträden

Listan nedan är verifierad mot Sellras kodbas per 24 april 2026. Underbiträden delas in i kategorier efter funktion. Aktuell version publiceras alltid på denna sida.

Kärninfrastruktur och hosting

AI-tjänster

Lead-generering och berikning

E-postintegration

Övervakning och drift

Fakturering och bokföring

Datakällor (informeras enligt GDPR artikel 14)

Sellra hämtar publik företagsinformation från ett antal svenska och nordiska datakällor under lead-genereringsprocessen. Dessa källor är inte underbiträden i strikt mening eftersom Sellra inte skickar Kunddata till dem, utan endast hämtar publika eller halvpublika uppgifter. Personuppgifter som hämtas kommer att lagras i Sellras databas tillsammans med Kundens övriga lead-data.

• Allabolag.se
• Hitta.se
• Proff.se
• Eniro
• Merinfo
• 118100
• Gulasidorna
• LinkedIn (publik webbprofilinformation)
• Platsbanken
• Apiverket
• SCB Företagsregister (Statistiska centralbyrån, egen bearbetning)
• Direkta webbplatser hos potentiella kunder

Kunden ansvarar för att ha laglig grund för att lagra och behandla data som hämtats från dessa källor, samt att uppfylla informationsskyldigheten gentemot de registrerade enligt GDPR artikel 14.

Reklamspärr (SCB): Företag och arbetsställen som har reklamspärr i SCB:s allmänna företagsregister filtreras automatiskt bort innan de visas som lead-förslag, inkluderas i sequences eller blir mål för AI-genererade utskick i Sellra. Filtret är en arkitektonisk invariant och kan inte kringgås av användaren. Filtreringsåtgärder audit-loggas för spårbarhet enligt SCB:s användarvillkor och GDPR artikel 21.2 och 21.3. Källangivelse vid presentation av SCB-data: "Källa: SCB (egen bearbetning)".

Framtida underbiträden

Fixverse meddelar Kunden enligt punkt 8 innan nya underbiträden anlitas.