Personuppgiftsbiträdesavtal (DPA)

1. Bakgrund och omfattning

Detta personuppgiftsbiträdesavtal ("DPA") reglerar behandlingen av personuppgifter mellan Fixverse AB, organisationsnummer 559461-3589, med adress Mogatan 11A, 702 13 Örebro ("Fixverse", "vi", "oss"), och den kund som använder tjänsten Sellra ("Kunden", "du") enligt bevarade användarvillkor för befintligt acceptansflöde tillgängliga på bevarad avtalsutgåva av användarvillkoren ("Huvudavtalet").

Detta DPA utgör en integrerad del av Huvudavtalet. Genom att acceptera Huvudavtalet accepterar Kunden även detta DPA. Vid motstridigheter mellan Huvudavtalet och detta DPA gäller detta DPA i frågor som rör behandling av personuppgifter.

DPA tillämpas automatiskt när Kunden behandlar personuppgifter genom tjänsten i egenskap av personuppgiftsansvarig. Separat signerad version av detta DPA kan tillhandahållas på begäran. Kontakta privacy@sellra.se.

2. Definitioner

Termer som inte uttryckligen definieras i detta DPA har den betydelse som framgår av EU:s allmänna dataskyddsförordning (förordning 2016/679, "GDPR") och tillämplig svensk dataskyddslagstiftning.

Personuppgiftsansvarig (PUA)

Kunden, som bestämmer ändamål och medel för behandlingen av personuppgifter om sina kontakter, leads och andra registrerade som Kunden lägger in i tjänsten.

Personuppgiftsbiträde (PUB)

Fixverse, som behandlar personuppgifter för Kundens räkning.

Underbiträde

Tredje part som Fixverse anlitar för att utföra specifika behandlingsaktiviteter.

Registrerad

Fysisk person vars personuppgifter behandlas genom tjänsten.

Personuppgiftsincident

En säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande av eller obehörig åtkomst till personuppgifter.

3. Rollfördelning

Kunden är personuppgiftsansvarig för personuppgifter som Kunden matar in eller genererar i tjänsten om sina leads, kontakter, potentiella kunder och befintliga kunder.

Fixverse är personuppgiftsbiträde för dessa uppgifter och behandlar dem endast enligt Kundens dokumenterade instruktioner.

Fixverse AB är personuppgiftsansvarig för behandling som sker för Fixverses egna ändamål, exempelvis administration av den egna kundrelationen och fakturering. För personuppgifter som behandlas i kundens CRM på kundens uppdrag är kunden personuppgiftsansvarig och Fixverse personuppgiftsbiträde enligt DPA:t. Rollfördelningen bedöms utifrån behandlingens ändamål.

Kontouppgifter, användnings-, säkerhets- och supportdata bedöms utifrån ändamålet med den enskilda behandlingen. Dessa kategorier är inte automatiskt Fixverses egen behandling. För behandling för egna ändamål gäller vår integritetspolicy.

4. Föremål, art och ändamål

Föremål

Behandling av personuppgifter i samband med Kundens användning av Sellra, en AI-driven CRM-plattform för säljteam.

Art

Insamling, lagring, strukturering, ändring, läsning, överföring och radering genom automatiserade medel via en molnbaserad SaaS-tjänst.

Ändamål

Att möjliggöra Kundens säljprocesser, inklusive hantering av leads och kunder, e-postkommunikation, AI-driven databerikning och leadgenerering, samt aktivitetsloggning.

Varaktighet

Behandlingen pågår under Huvudavtalets giltighetstid. Efter upphörande behandlas personuppgifter endast enligt punkt 13 nedan.

Närmare beskrivning av behandlingen framgår av Bilaga A.

5. Kundens instruktioner

Fixverse behandlar personuppgifter endast enligt Kundens dokumenterade instruktioner. Användning av tjänsten enligt Huvudavtalet utgör sådana instruktioner, inklusive användning av tjänstens funktioner för leadgenerering, e-postutskick, AI-berikning och dataexport.

Om Fixverse bedömer att en instruktion från Kunden bryter mot GDPR eller annan tillämplig lag ska Fixverse omedelbart meddela Kunden skriftligen.

Kunden ansvarar för att ha laglig grund för att behandla personuppgifter som läggs in i tjänsten och för att uppfylla informationsskyldigheten gentemot de registrerade.

Fixverse får inte sälja, använda för egna marknadsföringsändamål, träna egna eller tredje parts AI-modeller på, eller på annat sätt behandla personuppgifterna utanför dokumenterade instruktioner från Kunden. Fixverse får dock behandla personuppgifter i den utsträckning det är nödvändigt för teknisk drift och säkerhet av tjänsten, eftersom sådan behandling är en integrerad del av tjänsteleveransen enligt Huvudavtalet.

Kunden ska inte mata in särskilda kategorier av personuppgifter enligt GDPR artikel 9 (exempelvis uppgifter om hälsa, biometriska uppgifter, religiös eller politisk uppfattning eller sexuell läggning) eller personuppgifter rörande fällande domar enligt artikel 10 i tjänsten. Tjänsten är inte designad eller validerad för behandling av sådana uppgifter. Om Kunden trots förbudet matar in sådana uppgifter ansvarar Kunden ensam för behandlingen och håller Fixverse skadeslös för all skada, sanktionsavgift eller kostnad som följer.

6. Konfidentialitet

Fixverse säkerställer att personer som har behörighet att behandla personuppgifterna har åtagit sig konfidentialitet eller omfattas av lämplig lagstadgad tystnadsplikt. Konfidentialitetsåtagandena gäller även efter anställningens eller uppdragets slut.

Åtkomst till Kundens personuppgifter begränsas till personer som behöver tillgång för att utföra sina arbetsuppgifter.

7. Säkerhetsåtgärder

Fixverse vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, i enlighet med GDPR artikel 32. Avtalsåtagandena beskrivs närmare i Bilaga B och omfattar bland annat följande. Separat driftinformation i bilagan beskriver verifieringsläget och begränsar inte åtagandena:

• Kryptering vid överföring (TLS 1.2 eller senare) och vid lagring (AES-256)
• Row Level Security (RLS) i databasen så att Kunder endast kan se egen data
• Flerfaktorsautentisering för administrativ åtkomst
• Regelbundna säkerhetskopior och återställningstester
• Loggning och övervakning av åtkomst
• Principer för minsta privilegium och behov-att-veta

8. Underbiträden

Kunden ger Fixverse generellt godkännande att anlita underbiträden för behandlingen. En aktuell lista över godkända underbiträden framgår av Bilaga C nedan.

Fixverse förbinder sig att:

• Säkerställa att varje underbiträde omfattas av skriftligt avtal med motsvarande dataskyddsförpliktelser som i detta DPA
• Meddela Kunden minst 30 dagar innan nya underbiträden anlitas eller befintliga byts ut, via e-post till Kundens administratör. Aktuell lista publiceras även på denna sida
• Förbli fullt ansvarig gentemot Kunden för underbiträdets behandling

Kunden har rätt att invända mot nya underbiträden inom 30 dagar från meddelandet. Vid invändning ska parterna i god tro försöka nå en lösning. Om ingen lösning nås har Kunden rätt att säga upp Huvudavtalet med omedelbar verkan, och få återbetalning av förskottsbetalda avgifter för outnyttjad period.

9. Överföring till tredjeland

Viss behandling sker genom underbiträden vars servrar kan vara lokaliserade utanför EU/EES, primärt i USA. Fixverse ska säkerställa tillämpliga överföringsskydd, inklusive standardavtalsklausuler enligt Kommissionens beslut (EU) 2021/914 och GDPR artikel 46(2)(c), samt vid behov kompletterande skyddsåtgärder. Leverantörers allmänna villkor är inte i sig bevis för Fixverses avtalsanknytning.

Sellras primära databas finns hos Supabase i Stockholm, Sverige, i region eu-north-1. Applikationens Vercel-funktioner är konfigurerade i Stockholm, arn1. Lagring och behandling hos andra tjänster kan ske i andra regioner. CRM-filernas nuvarande produktionslager hos Vercel Blob finns i USA, IAD1. Närmare uppgifter om leverantörer och behandling finns i DPA:s Bilaga C.

Fixverse ska bedöma skyddsnivån i tredjeländer för berörda överföringar och tillämpa kompletterande tekniska och organisatoriska åtgärder där så krävs. Bedömningen ska omvärderas vid väsentliga förändringar. Underlaget för tidigare uppgift om genomförda överföringsbedömningar är ännu inte verifierat i denna granskning; detta är inte ett konstaterande att bedömningar saknas. Underlag kan efterfrågas hos privacy@sellra.se.

Kategorier av tredjelandsöverföringar framgår av Bilaga C.

10. Bistånd till registrerades rättigheter

Fixverse ska, med hänsyn till behandlingens art, bistå Kunden med lämpliga tekniska och organisatoriska åtgärder så att Kunden kan uppfylla sin skyldighet att besvara begäranden från registrerade enligt GDPR kapitel III, inklusive rätt till:

• Tillgång (art. 15)
• Rättelse (art. 16)
• Radering (art. 17)
• Begränsning (art. 18)
• Dataportabilitet (art. 20)
• Invändning (art. 21)

Kunden kan använda tjänstens funktioner för kontoexport, rättelse och radering inom respektive funktions omfattning. Fullständig organisationsexport hanteras via kontaktvägen nedan. Om ytterligare bistånd krävs ska Kunden kontakta privacy@sellra.se.

Självbetjäningsexport, rättelse och radering via tjänstens gränssnitt är inkluderat i avgiften. Manuell hantering av enskilda begäranden från registrerade upp till 5 ärenden per månad är inkluderat. Bistånd därutöver kan faktureras till Fixverses gällande timarvode efter föregående avisering.

Om en registrerad vänder sig direkt till Fixverse med en begäran gällande personuppgifter som Kunden är personuppgiftsansvarig för, ska Fixverse utan onödigt dröjsmål hänvisa den registrerade till Kunden och informera Kunden om begäran.

11. Personuppgiftsincidenter

Fixverse ska utan onödigt dröjsmål, och senast inom 72 timmar från det att en ansvarig person hos Fixverse konstaterat att en personuppgiftsincident inträffat som påverkar Kundens personuppgifter, meddela Kunden skriftligen.

Meddelandet ska innehålla:

• Beskrivning av incidentens art, inklusive kategorier av och ungefärligt antal berörda registrerade och personuppgifter
• Sannolika konsekvenser av incidenten
• Vidtagna eller föreslagna åtgärder för att hantera incidenten och mildra eventuella negativa effekter
• Kontaktuppgifter för vidare kommunikation

Fixverse ska bistå Kunden vid eventuell anmälan till Integritetsskyddsmyndigheten (IMY) och vid information till berörda registrerade.

12. Konsekvensbedömning och förhandssamråd

Fixverse ska, med beaktande av behandlingens art och den information Fixverse har tillgång till, bistå Kunden vid konsekvensbedömningar avseende dataskydd (DPIA) enligt GDPR artikel 35 samt vid förhandssamråd med IMY enligt artikel 36.

13. Radering och återlämning vid upphörande

Vid Huvudavtalets upphörande, oavsett orsak, ska Fixverse enligt Kundens val antingen radera eller återlämna samtliga personuppgifter till Kunden, samt radera befintliga kopior om inte lagring krävs enligt EU-rätt eller svensk lag.

Kunden har 30 dagar från upphörandet att begära export av kunddata i maskinläsbart format (JSON eller CSV). Tjänstens kontoexport är begränsad till vissa kontoanknutna uppgifter och ska inte likställas med fullständig återlämning enligt denna punkt. För organisationens data, filer och bilagor används kontaktvägen nedan.

Fixverse ska automatiskt radera Kundens data från produktionssystem efter 30 dagar från upphörande. Säkerhetskopior raderas enligt Fixverses rullande backup-rutin, senast inom 90 dagar från upphörande.

Organisationens data, export och avslut

För begäran som gäller kundorganisationens data, inklusive filer och bilagor, kontaktar en behörig företrädare privacy@sellra.se. Fixverse verifierar behörighet och omfattning och bistår kunden enligt DPA:t. En kontoexport ska inte förväxlas med en komplett organisationsexport.

Individuellt kontoavslut, kundorganisationens avtalsupphörande och en registrerads rättighetsbegäran är olika ärenden. Befintliga rättigheter, avgifter och frister gäller fortsatt, inklusive DPA:s 30 dagar för exportbegäran och produktionsradering samt högst 90 dagar för säkerhetskopior, räknat från samma avtalsupphörande.

14. Audit och tillsyn

Fixverse ska på Kundens skriftliga begäran tillhandahålla den information som krävs för att visa efterlevnad av skyldigheterna i detta DPA, samt möjliggöra och bidra till granskningar, inklusive inspektioner, som utförs av Kunden eller en av Kunden utsedd oberoende tredje part.

Granskningar kan högst ske en gång per kalenderår, efter skriftlig begäran med minst 30 dagars varsel, under normal arbetstid och utan att väsentligt störa Fixverses verksamhet. Vid konkret misstanke om överträdelse kan granskning ske med kortare varsel.

Fixverse har rätt att uppfylla granskningsåtagandet genom att tillhandahålla aktuella tredjepartsrevisionsrapporter (exempelvis SOC 2, ISO 27001 eller motsvarande) om sådana finns tillgängliga.

Kunden bär egna kostnader för granskningen. Kostnader som Fixverse åsamkas och som går utöver normal samverkan kan faktureras enligt gällande timarvode.

15. Ansvar

Varje part ansvarar för skada som orsakas av partens överträdelse av detta DPA eller tillämplig dataskyddslagstiftning, med beaktande av GDPR artikel 82.

Denna ansvarsbegränsning ersätter motsvarande bestämmelse i Huvudavtalet i frågor som rör behandling av personuppgifter. Fixverses totala ansvar enligt detta DPA är under en rullande tolvmånadersperiod begränsat till det högsta av:

• Det belopp Kunden betalat för tjänsten under de föregående tolv månaderna, eller
• 50 000 kronor

Ansvarsbegränsningen gäller inte vid uppsåt, grov vårdslöshet eller för sanktionsavgifter som part ådragits på grund av den andra partens överträdelse av GDPR.

16. Ändringar

Fixverse har rätt att uppdatera detta DPA för att återspegla ändringar i lagstiftning, vägledning från tillsynsmyndigheter eller ändringar i tjänsten. Väsentliga ändringar meddelas Kunden skriftligen minst 30 dagar innan de träder i kraft.

Vid väsentligt försämrande ändringar har Kunden rätt att säga upp Huvudavtalet inom 30 dagar från meddelandet, med återbetalning av outnyttjad förskottsbetald avgift.

Uppdatering av listan över underbiträden i Bilaga C regleras i punkt 8.

17. Tillämplig lag och tvistlösning

Detta DPA regleras av svensk lag. Tvister som uppstår i anslutning till detta DPA ska avgöras enligt tvistlösningsmekanismen i Huvudavtalet.

18. Kontakt

Frågor om detta DPA besvaras av:

• Fixverse AB (org.nr 559461-3589)
• Adress: Mogatan 11A, 702 13 Örebro
• E-post: privacy@sellra.se

Bilaga A: Beskrivning av behandlingen

Kategorier av registrerade

• Kundens befintliga kunder (kontaktpersoner hos företagskunder)
• Kundens potentiella kunder och leads
• Kundens egna anställda och användare av tjänsten

Kategorier av personuppgifter

• Namn
• Företagsanknytning (företagsnamn, roll, titel)
• Kontaktuppgifter (e-postadress, telefonnummer, adress)
• Kommunikationshistorik (skickade mejl, samtal, möten, anteckningar)
• Aktivitetsdata kopplad till säljprocessen (pipeline-status, affärsvärde)
• Företagsuppgifter genererade via AI-berikning (bransch, företagsstorlek, publika företagsuppgifter)
• LinkedIn-profildata (publik) — namn, titel, arbetsgivare, plats, profilbild, sammanfattning, kompetenser, arbetshistorik, senaste publika inlägg

Typer av behandling

• Lagring i databas (Supabase, AWS eu-north-1 Stockholm)
• Strukturering och presentation i CRM-gränssnitt
• E-postutskick via Kundens anslutna Microsoft 365-, Gmail- eller SMTP-konto samt transaktions- och systemmail via Sellras e-postleverantör.
• AI-driven generering av e-postutkast och leadberikning
• Dataexport på Kundens begäran
• Radering enligt punkt 13

Ändamål med behandlingen

Att tillhandahålla en CRM-tjänst som möjliggör för Kunden att hantera sin säljprocess, inklusive lead- och kundhantering, e-postkommunikation, pipeline-hantering och säljanalys.

Varaktighet

Behandlingen pågår under Huvudavtalets giltighetstid. Efter upphörande enligt punkt 13.

Bilaga B: Tekniska och organisatoriska säkerhetsåtgärder

Nedanstående lista anger avtalsåtaganden, inklusive dagliga säkerhetskopior med 30 dagars retention och återställningstester. Den är inte en bekräftelse på att samtliga åtgärder är verifierade i nuvarande produktion. Skillnader mot aktuell drift anges separat nedan och innebär inte att tidigare åtaganden upphör.

Åtkomstkontroll

• Autentisering via Supabase Auth med stöd för flerfaktorsautentisering
• Row Level Security (RLS) på databasnivå säkerställer att Kunder endast kan se egen data
• Administrativ åtkomst till produktionssystem begränsad till behöriga Fixverse-anställda
• Loggning av administrativ åtkomst

Kryptering

• TLS 1.2 eller senare för all nätverkstrafik till och från tjänsten
• AES-256-kryptering för data i vila i databasen
• Lösenord lagras hashade med bcrypt eller motsvarande modern algoritm
• OAuth-tokens för Microsoft 365 och Gmail lagras krypterade

Infrastruktur och lagring

• Primär databas hos Supabase på AWS eu-north-1 (Stockholm, Sverige)
• Hosting av applikation hos Vercel
• Dagliga automatiska säkerhetskopior med 30 dagars retention
• Katastrofåterställningsrutin med definierade RTO och RPO

Aktuell driftinformation — separat från avtalsåtaganden

Produktionsdatabasen omfattas av Supabase Pros automatiska dagliga databasbackuper med sju dagars historik. Databasbackupen utgör inte i sig backup av filernas faktiska innehåll. Separat filbackup och fullständig återställning av databas och filer är under införande och verifiering. Någon verifierad återställningstid eller garanterad maximal dataförlust anges inte här. Informationen begränsar inte befintliga avtalsåtaganden.

Administrativ åtkomst till Fixverses Supabase-organisation och Vercel-team omfattas av krav på flerfaktorsautentisering. Dessa kontroller gäller leverantörens administration och ska skiljas från kundernas inloggning i Sellra.

Administrativa MFA-krav bevisar inte skydd för samtliga API-token, tjänstekonton eller kundkonton. Produktionslagret för CRM-filer är publikt: filer är åtkomliga för den som har deras URL. Privat filövergång och separat filbackup är inte verifierade som införda i produktion. Textinformationen ersätter inte den tekniska säkerhetsåtgärden.

Fullständig migrering av äldre OAuth-token till applikationskrypterad lagring är ännu inte verifierad. Vid produktionskontrollen den 4 oktober 2026 fanns äldre okrypterade tokenfält. Obligatorisk TLS för samtliga äldre kundanslutna SMTP-anslutningar är inte verifierad. Dessa luckor begränsar inte åtagandena om kryptering ovan.

Utvecklings- och säkerhetspraxis

• Separerade miljöer för utveckling, test och produktion
• Secrets hanteras via miljövariabler och är inte tillgängliga i kodbasen
• Säkerhetskänsliga ändringar i kod granskas innan driftsättning
• Regelbunden uppdatering av beroenden och säkerhetspatchar

Övervakning

• Felloggning på applikationsnivå
• Övervakning av systemhälsa och tillgänglighet
• Loggning av API-anrop och säkerhetsrelevanta händelser

Organisatoriska åtgärder

• Konfidentialitetsåtaganden för alla som har åtkomst till personuppgifter
• Intern policy för hantering av personuppgifter
• Rutin för hantering av personuppgiftsincidenter
• Personal som behandlar personuppgifter får löpande instruktioner och vägledning om dataskydd

Löpande förbättring

Säkerhetsåtgärderna utvärderas och uppdateras löpande. Fixverse förbehåller sig rätten att justera de specifika åtgärderna så länge den övergripande säkerhetsnivån upprätthålls eller förbättras.

Bilaga C: Godkända underbiträden

Listan nedan utgår från den tidigare publicerade leverantörslistan. Driftuppgifterna om Supabase, Vercel och Resend har återgranskats den 9 oktober 2026; övriga leverantörsuppgifter är inte därmed nyverifierade. Underbiträden delas in kategorier efter funktion. För en mer kompakt översikt, se /subprocessors. Historik över förändringar finns på /legal/changelog.

Kärninfrastruktur och hosting

AI-tjänster

Lead-generering och berikning

E-postintegration

Övervakning och drift

Fakturering och bokföring

Datakällor (informeras enligt GDPR artikel 14)

Sellra hämtar publik företagsinformation från ett antal svenska och nordiska datakällor under lead-genereringsprocessen. Dessa källor är inte underbiträden i strikt mening eftersom Sellra inte skickar Kunddata till dem, utan endast hämtar publika eller halvpublika uppgifter. Personuppgifter som hämtas kommer att lagras i Sellras databas tillsammans med Kundens övriga lead-data.

• Allabolag.se
• Hitta.se
• Proff.se
• Eniro
• Merinfo
• 118100
• Gulasidorna
• LinkedIn (publik webbprofilinformation)
• Platsbanken
• Apiverket
• SCB Företagsregister
• Direkta webbplatser hos potentiella kunder

Kunden ansvarar för att ha laglig grund för att lagra och behandla data som hämtats från dessa källor, samt att uppfylla informationsskyldigheten gentemot de registrerade enligt GDPR artikel 14.

Framtida underbiträden

Fixverse meddelar Kunden enligt punkt 8 innan nya underbiträden anlitas.