Integritetspolicy

1. Introduktion

Denna integritetspolicy beskriver hur Fixverse AB ("vi", "oss", "vår") samlar in, använder och skyddar dina personuppgifter när du använder Sellra — vår AI-drivna CRM-plattform för säljteam. Vi värnar om din integritet och behandlar alla personuppgifter i enlighet med EU:s allmänna dataskyddsförordning (GDPR) och svensk dataskyddslagstiftning.

2. Personuppgiftsansvarig

Fixverse AB är personuppgiftsansvarig för behandlingen av dina personuppgifter. Vid frågor om vår behandling av personuppgifter, kontakta oss:

• Juridiskt namn: Fixverse AB
• Organisationsnummer: 559461-3589
• Adress: Dialoggatan 12 B, 703 74 Örebro, Sverige
• E-post: privacy@sellra.se

3. Vilka uppgifter vi samlar in

Kontouppgifter

Vid registrering samlar vi in din e-postadress, visningsnamn och lösenord. Lösenord lagras i hashad form och är aldrig tillgängliga i klartext.

Kunddata

Data du matar in om dina kunder, inklusive företagsnamn, kontaktperson, e-post, telefonnummer, adress, stad och postnummer. Denna data ägs av dig och behandlas av oss för att tillhandahålla tjänsten.

Aktivitetsloggar

Registrerade aktiviteter som samtal, möten, skickade e-postmeddelanden och anteckningar kopplade till dina kundrelationer.

E-postintegration

Om du ansluter Microsoft 365 eller Google Gmail lagrar vi OAuth-tokens för att skicka e-post via ditt konto. Vi lagrar e-postmetadata (ämne, status, tidsstämplar) men inte hela inkorgssökningar.

AI-behandling (inloggade användare)

Viss kunddata (företagsnamn, bransch, kontaktuppgifter) skickas till AI-leverantören Google Vertex AI (Gemini) för att generera leads, berika kundprofiler, skapa e-postutkast, klassificera svar och föreslå uppföljningar. Behandling sker i europe-west1 (EU-region) och regleras av Googles Data Processing Agreement och standardavtalsklausuler (SCC).

Data används enbart för att besvara din förfrågan och lagras inte permanent av AI-leverantören.

AI-chatt på webbplatsen (besökare)

Sellras webbplats erbjuder en AI-driven chattfunktion för anonyma besökare. När du skriver ett meddelande i chatten behandlas följande uppgifter:

• Chattmeddelandet — skickas till Google Vertex AI (Gemini) för att generera ett svar. Meddelandet lagras inte permanent i vår databas och inte av Google efter behandlingen.
• IP-adress — används temporärt för att begränsa antalet förfrågningar (rate limiting) och förhindra missbruk. Lagras inte.

Rättslig grund: berättigat intresse (GDPR art. 6(1)(f)) — att erbjuda besökare svar på frågor om tjänsten. Dela inte känsliga personuppgifter i chatten.

Teamhantering

E-postadresser för teammedlemmar som bjuds in till plattformen.

4. Laglig grund för behandling

Vi behandlar dina personuppgifter med stöd av följande lagliga grunder enligt GDPR artikel 6:

• Avtal — Behandling som är nödvändig för att fullgöra vårt avtal med dig (tillhandahålla CRM-tjänsten).
• Berättigat intresse — Förbättra och säkra tjänsten, förhindra missbruk.
• Samtycke — För valfria integrationer som e-postanslutning och AI-funktioner.

5. Tredjepartsleverantörer (underbiträden)

Vi delar personuppgifter med följande underbiträden för att tillhandahålla tjänsten. Fullständig lista med ändamål, plats för behandling och skyddsåtgärder finns i Bilaga C till vårt Personuppgiftsbiträdesavtal.

• Supabase — Databas, autentisering och fillagring. AWS eu-north-1 (Stockholm, Sverige).
• Vercel — Hosting, Vercel Blob (filbilagor) och cookieless webbanalys.
• Inngest — Durable background jobs. Endast tekniska identifierare (UUID:er) passerar.
• Google Vertex AI (Gemini) — AI-funktioner (leadgenerering, berikning, e-postgenerering, svarsklassificering). EU-region konfigurerad.
• Langfuse — LLM-observability (prompts och svar för felsökning). EU (Irland).
• Google Places API — Företagssök under lead-research.
• Serper — Google Search-API för webbsökning under lead-research.
• Resend — Transactional och systemmail (lösenordsåterställning, team-inbjudningar, notifieringar). EU (Irland).
• Microsoft Graph API — E-postintegration för Microsoft 365-användare.
• Google Gmail API — E-postintegration för Gmail-användare.
• Telegram Bot API — Notifieringar till administratör (nya leads, e-postsvar).
• Stripe — Betalning och fakturering (oberoende personuppgiftsansvarig).
• Fortnox — Bokföring och fakturautskick. Sverige (EU).

Vi säljer aldrig dina personuppgifter till tredje part.

5b. Datakällor för lead-generering (GDPR artikel 14)

Under lead-genereringsprocessen hämtar Sellra publik företagsinformation från ett antal svenska och nordiska datakällor. Vi skickar inte Kunddata till dessa källor — vi hämtar endast publika eller halvpublika uppgifter som sedan lagras tillsammans med Kundens övriga lead-data i Sellras databas.

Kategorier av datakällor:

• Allabolag.se
• Hitta.se
• Proff.se
• Eniro
• Merinfo
• 118100
• Gulasidorna
• LinkedIn (publik webbprofilinformation)
• Platsbanken
• Apiverket
• SCB Företagsregister
• Direkta webbplatser hos potentiella kunder

Kunden är personuppgiftsansvarig för data som hämtats från dessa källor och ansvarar för att uppfylla informationsskyldigheten gentemot de registrerade enligt GDPR artikel 14.

6. Datalagring och säkerhet

All kunddata lagras krypterat i Sverige via Supabase på AWS eu-north-1 (Stockholm). Vi använder kryptering vid överföring (TLS) och vid lagring (AES-256). Åtkomstkontroller (Row Level Security) säkerställer att du bara kan se data som tillhör ditt konto.

6b. Överföring av uppgifter utanför EU/EES

Viss data behandlas av underbiträden vars servrar kan befinna sig utanför EU/EES (primärt USA). Sådana överföringar skyddas av standardavtalsklausuler (SCC) godkända av EU-kommissionen, i enlighet med GDPR artikel 46. Berörda underbiträden med tredjelandsöverföring:

• Inngest Inc. — USA (endast tekniska identifierare passerar)
• Google Places API — USA
• Serper — USA
• Telegram Bot API — multi-region (US, NL, SG)
• Stripe — Irland (EU) med viss US-baserad backend

Google Vertex AI (Gemini) behandlar data i europe-west1 (EU). Langfuse, Resend och Fortnox behandlar data inom EU. Supabase lagrar all primär databas i AWS eu-north-1 (Stockholm). Vercels applikation hostas i arn1 (Stockholm). Fullständig översikt finns i DPA Bilaga C.

6c. E-postspårning

Utgående säljmejl som skickas via Sellra kan innehålla en spårningspixel — en osynlig 1×1-pixel bild. Pixeln gör det möjligt för avsändaren att se om och när mejlet öppnats, samt hur många gånger. Klickbara länkar i mejlet kan också dirigeras via Sellras server för att registrera klick.

Rättslig grund: Berättigat intresse (GDPR art. 6(1)(f)) — avsändaren har ett berättigat intresse av att veta om ett affärsmejl mottagits och lästs, i syfte att följa upp sin försäljningsprocess.

Du kan begära att vi raderar spårningsdata kopplad till din e-postadress. Kontakta oss på hej@sellra.se.

6d. Kundomdömen och referenskunder

På sellra.se och i vårt marknadsföringsmaterial kan vi visa kundomdömen (testimonials) från företag som använder Sellra. Sådana omdömen kan innehålla företagsnamn, företagslogotyp, namn och titel på en kontaktperson samt ett citat om upplevelsen av tjänsten.

Rättslig grund: Samtycke (GDPR art. 6(1)(a)). Vi publicerar aldrig en kunds namn, logga eller citat utan att först inhämta ett skriftligt godkännande från en behörig representant hos kunden. Samtycket specificerar vilka uppgifter som får publiceras och var de får visas.

Rätt att dra tillbaka samtycket: Kunden har rätt att när som helst dra tillbaka sitt samtycke. Vi tar bort berört omdöme, logotyp och personuppgifter från sellra.se samt pågående marknadsföringsmaterial inom 7 arbetsdagar från att begäran mottagits. Tillbakadragande påverkar inte lagligheten av behandling som skett innan samtycket återkallades.

För att dra tillbaka ditt samtycke eller begära borttagning av kundomdöme, kontakta oss på privacy@sellra.se.

7. Lagringsperiod

Dina personuppgifter lagras så länge ditt konto är aktivt. När du begär radering av kontot tillämpas följande process:

• Ångerfrist 30 dagar: Vid begäran om radering markeras kontot som schemalagt för radering. Under 30 dagar kan du logga in och avbryta processen via en banner på dashboarden. Motivering till grace-period: utestående fakturor, pågående bokföringsperioder och möjlighet att ångra impulsiva beslut. Detta är förenligt med GDPR artikel 17 ("utan onödigt dröjsmål") eftersom 30 dagar är en proportionell tidsram för att hantera berättigade intressen i affärsrelationen.
• Permanent radering efter 30 dagar: Privata personuppgifter (inkorgar, aktiviteter, e-postinställningar, OAuth-tokens, telegramkopplingar) raderas oåterkalleligt.
• Bokföringsdata bevaras 7 år (anonymiserad) — Fakturor, bokföringskopplingar och relaterade affärstransaktioner som genererats under kontots livstid omfattas av Bokföringslagen (1999:1078) 7 kap 2 § som kräver 7 års arkivering. Vi anonymiserar din kopplingsdata (skapare-ID och användar-ID ersätts med ett tomt referensvärde) men behåller transaktionerna själva. Rättslig grund: GDPR artikel 17.3.e (rättslig förpliktelse överstyr radering).
• Audit-spår bevaras: En minimal post som dokumenterar att radering har skett (datum, åtgärdstyp, anonymt internt ID) bevaras för revisionsändamål. Personidentifierande uppgifter (e-post, IP-adress, fritextkommentar) raderas dock omedelbart efter att bekräftelsemejlet skickats. Rättslig grund: GDPR artikel 17.3.e i kombination med berättigat intresse (verifiera att radering utförts).
• Delad team-data anonymiseras: Om ditt konto var medlem i en organisation behåller vi delad affärsdata (kunder, e-postmallar, deals) i organisationen men ersätter ditt användar-ID med ett tomt referensvärde. Dina kollegor förlorar inte data du bidragit med, men din identitet är inte längre kopplad till dem.

Backuper rensas enligt en separat 30-dagars rotationsschema hos vår databasleverantör (Supabase).

7b. Hur du raderar ditt konto

Du kan när som helst radera ditt konto via Inställningar → Konto → Radera konto. Innan radering påbörjas kan du ladda ner en JSON-export av all din data enligt GDPR artikel 20 (rätten till dataportabilitet).

För att förebygga obehörig radering vid stulen session krävs:

• Återkoppling av lösenord
• Skriftlig bekräftelse genom att skriva "RADERA"
• Bekräftelsemejl skickas till kontots e-postadress

Om du är ensam administratör i en organisation med flera medlemmar måste du först överlåta ägarskapet till en annan medlem för att säkerställa att resten av teamet inte tappar tillgång.

8. Dina rättigheter

Enligt GDPR har du ett antal rättigheter gällande dina personuppgifter, inklusive rätt till tillgång, rättelse, radering och dataportabilitet. Läs mer om dina rättigheter och hur du utövar dem på vår GDPR-sida.

9. Cookies

Vi använder enbart nödvändiga cookies för att hantera din inloggningssession (Supabase auth). Vi använder inga spårnings- eller marknadsföringscookies. Sessionscookies raderas automatiskt när du loggar ut.

10. Ändringar i denna policy

Vi kan komma att uppdatera denna integritetspolicy. Väsentliga ändringar meddelas via e-post eller genom en notis i tjänsten. Datumet för senaste uppdatering visas överst på denna sida.

11. Kontakt

Har du frågor om denna integritetspolicy eller vår behandling av dina personuppgifter? Kontakta oss:

• Fixverse AB (org.nr 559461-3589)
• Adress: Dialoggatan 12 B, 703 74 Örebro
• E-post: privacy@sellra.se