Databehandleravtale (DPA)

Partene

Behandlingsansvarlig: Kunden (virksomheten som har godtatt Klirrys brukervilkår).

Databehandler: Per Philip Alexander Hjelmberg, et enkeltpersonforetak (enskild firma), Drottninggatan 12, 352 29 Växjö, Sverige, svensk mva-registreringsnummer SE850529273301 («Klirry»), drevet av grunnleggeren.

Sammen kalt «Partene».

Når denne DPA-en gjelder. Denne DPA-en godtas sammen med brukervilkårene og er bindende før noen behandling på Kundens vegne finner sted: den gjelder fra det øyeblikket Kunden kobler til en butikk eller laster opp data, også i Prøveperioden på 21 dager og på testkontoer.

Merknad om omfang: Denne DPA-en regulerer bare Klirrys behandling av Ordredata — virksomheten der Klirry opptrer som databehandler etter Kundens dokumenterte instrukser. Kontoopplysninger (Kundens egne ansatte som logger inn i Klirry) behandles av Klirry som selvstendig behandlingsansvarlig, som bestemmer sine egne formål og midler, og reguleres av brukervilkårene og personvernerklæringen, ikke av denne DPA-en — se avsnittet «Våre to roller» i personvernerklæringen. Der DPA-ens operative avsnitt (f.eks. avsnitt 7, sletting) beskriver en prosess som sletter både Ordredata og Kontoopplysninger sammen, beskriver det bare den tekniske mekanismen; det utvider ikke artikkel 28-pliktene for databehandlere til Kontoopplysninger.

Definisjoner

Dokumentets oppbygning

Denne DPA-en består av hoveddelen og fire vedlegg:

• Vedlegg 1 — Registrerte og kategorier av Personopplysninger
• Vedlegg 2 — Tekniske og organisatoriske tiltak (TOM)
• Vedlegg 3 — Underdatabehandlere (generert fra leverandørregisteret)
• Vedlegg 4 — Tilkoblede plattformer: kundens egne plattformer som Klirry leser fra eller sender til etter kundens instruks (generert fra samme register; ikke underdatabehandlere)

1. Gjenstand, varighet, art og formål

1.1 Gjenstand

Klirry behandler Personopplysninger på vegne av Behandlingsansvarlig for å levere Tjenestene: å beregne reelt overskudd for Behandlingsansvarliges netthandelsvirksomhet ved å kombinere ordredata, poster for betalingsgebyrer og fraktkostnader, annonsekostnader, mva-satser og Behandlingsansvarliges kostnadsinnstillinger, og gjøre den om til beslutninger om annonsering, produkter, land og markeder, betalingsmåter og frakt. Data fra Google Analytics 4, når den er koblet til, er bare et veiledende signal og inngår aldri i overskuddstallet.

1.2 Behandlingens art

• Innsamling: Ordredata og annonsekostnadsdata samles inn gjennom Behandlingsansvarliges integrasjoner med sin nettbutikkplattform og sine annonsekontoer (skrivebeskyttede spørringer; se brukervilkårene §3 for de eneste objektene Klirry oppretter på en plattform) og fra filer Behandlingsansvarlig laster opp (for eksempel oppgjørsfiler fra betalingsleverandører og fraktfakturaer).
• Lagring: Data lagres i EU på Klirrys infrastruktur (se vedlegg 2).
• Aggregering: Ordredata aggregeres per dato, land, produkt, betalingsmåte, fraktmåte og kampanje for å beregne overskudd og beslutninger.
• Ingen behandling for egne formål: Klirry bruker ikke Ordredata til egen markedsføring, videresalg, sammenligninger eller analyse, og bruker dem ikke til å trene AI-modeller.

1.3 Behandlingens formål

Det eneste formålet med Behandlingen etter denne DPA-en er å levere Tjenestene som beskrevet i brukervilkårene, §3 («Hva tjenesten gjør»).

1.4 Varighet

Behandlingen starter når Kunden kobler til en datakilde eller laster opp data, og fortsetter til avtalen er over og hentingsperioden i avsnitt 7 er utløpt.

2. Databehandlerens plikter

2.1 Dokumenterte instrukser

Klirry behandler Personopplysninger bare etter Behandlingsansvarliges dokumenterte instrukser. Tjenestene slik Kunden har konfigurert dem utgjør det fullstendige settet av instrukser. Hvis Klirry mener at en instruks bryter personvernlovgivningen, varsler Klirry Behandlingsansvarlig uten ugrunnet opphold.

2.2 Fortrolighet og supporttilgang

Klirry sørger for at alle personer som har tillatelse til å behandle Personopplysninger, er underlagt en taushetsplikt. Tilgang til Personopplysninger i produksjon er begrenset til grunnleggeren og personer med et dokumentert driftsbehov (minste privilegium). For support kan grunnleggeren åpne en konto som Kunden (impersonering); hver start og stopp registreres i revisjonsloggen med grunnleggeren som handlet og kontoen, og den impersonerte sesjonen vises som sådan i applikasjonen. Impersonering brukes bare til å besvare en supporthenvendelse eller undersøke en feil.

2.3 Ingen behandling for egne formål

Klirry behandler ikke Ordredata til noe annet formål enn å utføre Tjenestene.

2.4 Internasjonale overføringer

Klirry overfører ikke Behandlingsansvarliges Personopplysninger til et land utenfor EU/EØS, eller til en internasjonal organisasjon, med mindre det skjer etter Behandlingsansvarliges dokumenterte instrukser eller der EU-retten eller en medlemsstats rett krever det (da Klirry varsler Behandlingsansvarlig på forhånd med mindre loven forbyr det). En tillatt overføring skjer bare med en mekanisme som er gyldig etter GDPR kapittel V (en beslutning om tilstrekkelig beskyttelsesnivå eller standardavtalevilkår med supplerende tiltak der det trengs). Ordredata hostes i EU; vedlegg 3 angir regionen til hver underdatabehandler, inkludert enhver overføring utenfor EU/EØS.

2.5 Sikkerhet og bistand (artikkel 32–36)

Klirry gjennomfører tiltakene i vedlegg 2 (artikkel 32) og bistår, under hensyn til behandlingens art og informasjonen som er tilgjengelig, Behandlingsansvarlig med å sikre etterlevelse av artikkel 32 til 36: varsling om brudd på personopplysningssikkerheten (avsnitt 5), personvernkonsekvensvurderinger og forhåndsdrøftelser, ved på skriftlig anmodning innen 30 kalenderdager å gi opplysningene om behandlingen som beskrives i denne DPA-en.

3. Godkjenning av underdatabehandlere

3.1 Generell godkjenning

Behandlingsansvarlig gir Klirry en generell skriftlig godkjenning til å engasjere Underdatabehandlere for å levere Tjenestene, med forbehold for dette avsnittet.

3.2 Nåværende Underdatabehandlere

Underdatabehandlerne er oppført i vedlegg 3, generert fra samme register som den offentlige siden /legal/subprocessors, slik at de to ikke kan avvike. Vedlegg 3 er en del av denne DPA-en. En leverandør merket «Ikke tatt i bruk ennå» legges til først etter varselet i avsnitt 3.3. Verktøy som Klirry bruker som behandlingsansvarlig for egne formål (fakturering, nyhetsbrev, nettstedsanalyse) er ikke Underdatabehandlere av Behandlingsansvarliges data; de står på den offentlige siden bare av åpenhetshensyn.

3.2a Videreføring av plikter og ansvar

Klirry pålegger hver Underdatabehandler, ved skriftlig avtale, personvernforpliktelser som ikke er mindre beskyttende enn de i denne DPA-en (artikkel 28(4)), og er fortsatt fullt ansvarlig overfor Behandlingsansvarlig for at Underdatabehandlernes forpliktelser oppfylles.

3.3 Endringer av Underdatabehandlere

Klirry varsler Behandlingsansvarlig om enhver tiltenkt tilføyelse eller utskifting av en Underdatabehandler minst 30 dager i forveien på e-post til Behandlingsansvarliges kontoadresse.

3.4 Rett til å protestere

Behandlingsansvarlig kan protestere mot en endring ved skriftlig melding til privacy@klirry.com innen 14 dager etter varselet. Hvis Partene ikke kan løse innvendingen innen 30 dager, kan Behandlingsansvarlig si opp Tjenestene med forholdsmessig refusjon av forhåndsbetalte gebyrer for den ubrukte perioden.

4. Bistand med de registrertes rettigheter

4.1 Omfanget av bistanden

Klirry bistår Behandlingsansvarlig med å besvare henvendelser etter GDPR art. 15–22 ved å:

• levere en dataeksport av alle Ordredata og Kontoopplysninger som oppbevares for Kundens tenant, i JSON eller CSV, gjennom selvbetjeningseksporten (Innstillinger → Eksporter dataene dine; formatet er dokumentert på /legal/export-format);
• levere endelig sletting etter avsnitt 7;
• besvare skriftlige anmodninger om teknisk bistand innen 30 kalenderdager.

4.2 Begrensning for sluttforbrukeres henvendelser

Klirry lagrer ikke sluttforbrukeres navn, e-postadresser, telefonnumre eller adresser, så en sluttforbruker som kontakter Klirry direkte, kan ikke kobles til en post. Slike henvendelser håndteres av Behandlingsansvarlig, som kan identifisere ordren i sin egen butikk og gi Klirry ordreidentifikatoren slik at Klirry kan bistå. Ordreposter forblir pseudonymiserte personopplysninger som Behandlingsansvarlig kan koble tilbake (vedlegg 1, A1.2); dette avsnittet begrenser hvordan en henvendelse kan nå Klirry, ikke hva dataene er.

5. Varsling om brudd på personopplysningssikkerheten

5.1 Klirrys plikter

Ved et brudd på personopplysningssikkerheten som berører Behandlingsansvarliges data, skal Klirry:

1. varsle Behandlingsansvarlig uten ugrunnet opphold og senest innen 24 timer etter at Klirry ble kjent med bruddet. Varselet kan gis i trinn: et første varsel med det som er kjent, etterfulgt av resten etter hvert som det blir kjent; 2. gi opplysningene som kreves etter GDPR art. 33(3): bruddets art og omtrentlig antall registrerte og poster, et kontaktpunkt, de sannsynlige konsekvensene og tiltakene som er truffet eller foreslått; 3. samarbeide med Behandlingsansvarlig slik at denne kan oppfylle sine egne plikter overfor tilsynsmyndigheter og Registrerte; 4. ikke informere tredjeparter om bruddet på vegne av Behandlingsansvarlig, unntatt der loven krever det.

5.2 Intern prosedyre

Klirry har en hendelsesprosedyre og et hendelsesregister som følger den korteste fristen som gjelder: 24 timer (Behandlingsansvarlig, Shopify), 48 timer (Stripe), 72 timer (tilsynsmyndighet, IMY, der Klirry selv er behandlingsansvarlig).

6. Tekniske og organisatoriske tiltak (vedlegg 2)

Tiltakene står i vedlegg 2. Klirry kan oppdatere dem forutsatt at sikkerhetsnivået ikke reduseres.

7. Sletting og tilbakelevering ved opphør

7.1 Hentingsperiode

Etter at avtalen har opphørt (oppsigelse fra Behandlingsansvarlig, en prøveperiode som aldri betales, eller en pause på grunn av manglende betaling), har Behandlingsansvarlig en hentingsperiode der all Ordredata og alle Kontoopplysninger kan lastes ned i JSON eller CSV: minst 30 kalenderdager etter oppsigelse; 30 kalenderdager fra slutten av Prøveperioden for en prøvekonto som aldri blir en betalende konto (sletting dag 51 etter at kontoen ble åpnet); 60 kalenderdager fra pausen for en konto satt på pause på grunn av manglende betaling. For en Shopify-butikk slettes dataene innen 30 dager etter slettemeldingen (redact) Shopify sender etter avinstallasjon.

7.2 Hva som slettes, og hva som beholdes

Etter hentingsperioden sletter Klirry permanent alle Personopplysninger som gjelder Kundens tenant: Ordredata (ordrer, ordrelinjer, tilskrivningsresultater, beslutninger), annonsekostnadsdata, poster for betalingsgebyrer og fraktkostnader, kostnadskonfigurasjon, tilkoblinger og påloggingsopplysningene deres, brukere, sesjoner og tokens, og driftspostene som oppstår av Kundens bruk av produktet (tilbakemeldinger, varslingsinnstillinger, status for kostnadsgjennomgang, klassifiseringshistorikk, beslutningskvitteringer, gjøremål, leveringsloggen for transaksjonelle e-poster). Slettingen utføres i batchede transaksjoner av den automatiske slettepipelinen.

De eneste dataene som beholdes, er oppført uttømmende nedenfor, hver med oppbevaringstid og behandlingsgrunnlag. Dette er den ene oppbevaringstabellen som brukes i personvernerklæringen, denne DPA-en, oversikten over behandlinger, dataoversikten og siden om sletting av data. Ordredata står aldri i denne tabellen: de slettes.

7.3 Bekreftelse på sletting

Klirry sender en bekreftelse på slettingen til Behandlingsansvarliges kontoadresse innen 5 virkedager etter slettingen, med dato og berørte tabeller (antall, ikke innhold).

7.4 Avbrutt opphør

Hvis Behandlingsansvarlig reaktiverer abonnementet innen hentingsperioden, avlyses slettingen, og ingenting er slettet.

8. Revisjonsrett

8.1 Informasjon

Klirry stiller til Behandlingsansvarliges disposisjon all informasjon som er nødvendig for å påvise etterlevelse av GDPR art. 28, inkludert denne DPA-en og vedleggene, de relevante delene av sikkerhetsdokumentasjonen og, når de finnes, sammendrag av tredjepartsrevisjoner eller penetrasjonstester.

8.2 Revisjoner og inspeksjoner

Behandlingsansvarlig (eller en revisor den utpeker under taushetserklæring) kan revidere Klirrys etterlevelse av denne DPA-en. Revisjoner gjennomføres først ved dokumentasjon og sikkerhetsrapporter; der det ikke er nok, ved en inspeksjon med rimelig varsel (normalt 30 dager), i arbeidstiden, én gang i året med mindre det foreligger et brudd eller en tilsynsmyndighet krever mer, uten å forstyrre tjenesten urimelig og uten tilgang til andre kunders data. Klirrys samtykke kreves ikke for en revisjon som GDPR gir Behandlingsansvarlig rett til; disse praktiske reglene regulerer bare hvordan den gjennomføres. Plattformoperatører (for eksempel Shopify) kan også gjennomgå Klirry slik vilkårene deres krever.

8.3 Ansvar

Klirrys ansvar etter denne DPA-en følger begrensningen i brukervilkårene, §13 («Ansvar») — det høyeste av gebyrene betalt de 12 månedene før kravet og 10 000 SEK, med samme unntak for forsett, grov uaktsomhet og ansvar som ikke kan begrenses ved lov — med mindre ufravikelig lov krever noe annet.

9. Lovvalg og verneting

Denne DPA-en er underlagt svensk rett, som brukervilkårene (§20). Tvister avgjøres av samme domstol som etter brukervilkårene: Växjö tingsrätt (Växjö tingrett) som første instans.

10. Plattformspesifikke bestemmelser

Google Ads (Google Ads API Terms §7(B)). Der Behandlingsansvarlig kobler til en Google Ads-konto, er denne DPA-en den skriftlige avtalen med Google Ads-programkunden som kreves etter §7(B)(i): den beskriver behandlingen, og Klirry bekrefter at det behandler personopplysninger i samsvar med Behandlingsansvarliges egne forpliktelser etter Googles gjeldende personvernvilkår (§7(B)(ii)) — bare for å levere Tjenestene, uten videre bruk, salg eller bruk til sammenligninger eller AI-trening.

Shopify, Meta og andre. Plattformdata brukes bare for den Behandlingsansvarlige som koblet dem til, holdes adskilt fra alle andre kunders data og brukes ikke på tvers av kunder.

Inngåelse

Denne DPA-en er en del av, og inngås når Kunden godtar, brukervilkårene (inkludert godkjenning under registrering eller ved installasjon fra Shopify); ingen separat underskrift kreves. En Kunde som trenger en signert kopi, kan be om en på privacy@klirry.com.

Vedlegg 1 — Registrerte og kategorier av Personopplysninger

A1.1 Kategorier av Registrerte

A1.2 Kategorier av Personopplysninger — Ordredata

A1.3 Uttrykkelig negativ liste — data som IKKE samles inn

Utelukket på adapterens spørringsnivå (ikke hentet, ikke tilordnet, ikke fjernet etter henting):

• Kundens navn, e-post, telefon, adresse (gate, postnummer, sted)
• IP-adresse, brukeragent, nettleseropplysninger for sluttforbrukere
• Rå sporingsnumre fra transportører og rå klikkidentifikatorer
• Geografiske data under landsnivå
• Svenske personnumre eller tilsvarende
• Betalingskortnumre eller bankopplysninger
• Navn på ansatte eller selgere ved refusjoner
• Egendefinerte attributter, ordrenotater og andre fritekstfelt som vender mot kunden (unntatt produktets title, som går gjennom personopplysningsfilteret)

Disse utelukkelsene håndheves i Klirrys kode for datainnhenting, ikke bare ved policy.

A1.4 Kontoopplysninger (behandlingsansvarliges område, til informasjon)

Kontoopplysninger behandles av Klirry som behandlingsansvarlig og ligger utenfor denne DPA-ens artikkel 28-omfang.

Vedlegg 2 — Tekniske og organisatoriske tiltak (TOM)

Følgende kontroller er gjennomført per datoen for denne DPA-en.

Klirry kan styrke disse tiltakene når som helst, men vil ikke svekke dem vesentlig.

Vedlegg 3 — Underdatabehandlere

En leverandør merket «Ikke tatt i bruk ennå» legges til først etter varselet i avsnitt 3.3, under en skriftlig avtale som oppfyller avsnitt 3.2a, og bare hvis den behandler data i EU/EØS eller under en gyldig mekanisme i kapittel V (avsnitt 2.4).

Vedlegg 4 — Tilkoblede plattformer (datakilder du velger)

Plattformene nedenfor er kundens egne: kunden velger å koble dem til, og Klirry leser fra dem (eller, for et meldingsmål, sender til dem) etter kundens dokumenterte instruks i henhold til denne databehandleravtalen. De er datakilder og mål som kunden velger, ikke underdatabehandlere hos Klirry: Klirry engasjerer dem ikke til å behandle kundens data. Tilgangen er skrivebeskyttet der tabellen sier det, og kunden kan når som helst trekke den tilbake på den måten den siste kolonnen beskriver.

Endringslogg

Hver oppføring oppgir versjon, dato og hva som er endret. En endring av hovedversjonens nummer er en vesentlig endring: den varsles til kundene på e-post minst 30 dager før den trer i kraft.