Databehandlingsavtal (DPA)

Parter

Personuppgiftsansvarig: Kunden (det företag som har accepterat Klirrys Användarvillkor).

Personuppgiftsbiträde: Per Philip Alexander Hjelmberg, ett enskilt företag (enskild firma), Drottninggatan 12, 352 29 Växjö, Sverige, svenskt momsregistreringsnummer SE850529273301 ("Klirry"), som drivs av sin grundare.

Tillsammans kallade "Parterna".

När detta DPA gäller. Detta DPA accepteras tillsammans med Användarvillkoren och är bindande innan någon behandling för Kundens räkning sker: det gäller från det ögonblick Kunden ansluter en butik eller laddar upp data, även under Provperioden på 21 dagar och på testkonton.

Anmärkning om omfattning: Detta DPA reglerar endast Klirrys behandling av Orderdata — den verksamhet där Klirry agerar som personuppgiftsbiträde enligt Kundens dokumenterade instruktioner. Kontouppgifter (Kundens egen personal som loggar in i Klirry) behandlas av Klirry som självständigt personuppgiftsansvarig, som bestämmer sina egna ändamål och medel, och regleras av Användarvillkoren och Integritetspolicyn, inte av detta DPA — se avsnittet "Våra två roller" i Integritetspolicyn. Där DPA:ts operativa avsnitt (t.ex. avsnitt 7, radering) beskriver en process som raderar både Orderdata och Kontouppgifter tillsammans beskriver det endast den tekniska mekanismen; det utvidgar inte artikel 28-skyldigheterna för personuppgiftsbiträden till Kontouppgifter.

Definitioner

Dokumentets uppbyggnad

Detta DPA består av huvuddelen och fyra bilagor:

• Bilaga 1 — Registrerade och kategorier av Personuppgifter
• Bilaga 2 — Tekniska och organisatoriska åtgärder (TOM)
• Bilaga 3 — Underbiträden (genereras ur leverantörsregistret)
• Bilaga 4 — Anslutna plattformar: kundens egna plattformar som Klirry läser från eller skickar till på kundens instruktion (genereras ur samma register; inte underbiträden)

1. Föremål, varaktighet, art och ändamål

1.1 Föremål

Klirry behandlar Personuppgifter för den Personuppgiftsansvariges räkning för att tillhandahålla Tjänsterna: att räkna fram verklig vinst för den Personuppgiftsansvariges e-handelsverksamhet genom att kombinera orderdata, poster för betalningsavgifter och fraktkostnader, annonskostnader, momssatser och den Personuppgiftsansvariges kostnadsinställningar, och omvandla den till beslut om annonsering, produkter, länder och marknader, betalsätt och frakt. Data från Google Analytics 4, när den är ansluten, är endast en vägledande signal och ingår aldrig i vinstsiffran.

1.2 Behandlingens art

• Insamling: Orderdata och annonskostnadsdata samlas in via den Personuppgiftsansvariges integrationer med sin e-handelsplattform och sina annonskonton (skrivskyddade frågor; se Användarvillkoren §3 för de enda objekt Klirry skapar på en plattform) och från filer som den Personuppgiftsansvarige laddar upp (till exempel avräkningsfiler från betalleverantörer och fraktfakturor).
• Lagring: Data lagras inom EU på Klirrys infrastruktur (se bilaga 2).
• Aggregering: Orderdata aggregeras per datum, land, produkt, betalsätt, fraktsätt och kampanj för att räkna fram vinst och beslut.
• Ingen behandling för egna ändamål: Klirry använder inte Orderdata för egen marknadsföring, vidareförsäljning, jämförelser eller analys, och använder den inte för att träna AI-modeller.

1.3 Behandlingens ändamål

Det enda ändamålet med Behandlingen enligt detta DPA är att tillhandahålla Tjänsterna såsom de beskrivs i Användarvillkoren, §3 ("Vad tjänsten gör").

1.4 Varaktighet

Behandlingen börjar när Kunden ansluter en datakälla eller laddar upp data och fortsätter tills avtalet har upphört och hämtningsperioden i avsnitt 7 har löpt ut.

2. Biträdets skyldigheter

2.1 Dokumenterade instruktioner

Klirry behandlar Personuppgifter endast enligt den Personuppgiftsansvariges dokumenterade instruktioner. Tjänsterna såsom Kunden har konfigurerat dem utgör den fullständiga uppsättningen instruktioner. Om Klirry anser att en instruktion strider mot dataskyddslagstiftningen underrättar Klirry den Personuppgiftsansvarige utan onödigt dröjsmål.

2.2 Sekretess och supportåtkomst

Klirry säkerställer att alla personer som har behörighet att behandla Personuppgifter är bundna av en sekretessförbindelse. Åtkomst till Personuppgifter i produktion är begränsad till grundaren och personer med ett dokumenterat driftbehov (minsta möjliga behörighet). För support kan grundaren öppna ett konto som Kunden (impersonering); varje start och stopp registreras i granskningsloggen med den agerande grundaren och kontot, och den impersonerade sessionen visas som sådan i applikationen. Impersonering används endast för att besvara en supportförfrågan eller utreda ett fel.

2.3 Ingen behandling för egna ändamål

Klirry behandlar inte Orderdata för något annat ändamål än att utföra Tjänsterna.

2.4 Internationella överföringar

Klirry överför inte den Personuppgiftsansvariges Personuppgifter till ett land utanför EU/EES, eller till en internationell organisation, annat än på den Personuppgiftsansvariges dokumenterade instruktioner eller där unionsrätten eller medlemsstaternas rätt kräver det (varvid Klirry i förväg underrättar den Personuppgiftsansvarige om inte lagen förbjuder det). En tillåten överföring sker endast med en mekanism som är giltig enligt GDPR kapitel V (ett beslut om adekvat skyddsnivå eller standardavtalsklausuler med kompletterande åtgärder där det behövs). Orderdata lagras inom EU; bilaga 3 anger regionen för varje underbiträde, inklusive varje överföring utanför EU/EES.

2.5 Säkerhet och bistånd (artiklarna 32–36)

Klirry genomför åtgärderna i bilaga 2 (artikel 32) och bistår, med beaktande av behandlingens art och den information som står till buds, den Personuppgiftsansvarige med att säkerställa efterlevnad av artiklarna 32–36: anmälan av personuppgiftsincidenter (avsnitt 5), konsekvensbedömningar avseende dataskydd och förhandssamråd, genom att på skriftlig begäran inom 30 kalenderdagar lämna den information om den behandling som beskrivs i detta DPA.

3. Godkännande av underbiträden

3.1 Allmänt godkännande

Den Personuppgiftsansvarige ger Klirry ett allmänt skriftligt godkännande att anlita Underbiträden för att tillhandahålla Tjänsterna, med förbehåll för detta avsnitt.

3.2 Nuvarande Underbiträden

Underbiträdena anges i bilaga 3, som genereras ur samma register som den publika sidan /legal/subprocessors, så att de två inte kan skilja sig åt. Bilaga 3 är en del av detta DPA. En leverantör som markerats "Inte anlitad ännu" läggs till först efter det meddelande som anges i avsnitt 3.3. Verktyg som Klirry använder som personuppgiftsansvarig för egna ändamål (fakturering, nyhetsbrev, webbplatsanalys) är inte Underbiträden för den Personuppgiftsansvariges data; de visas på den publika sidan endast för öppenhetens skull.

3.2a Vidareförande av skyldigheter och ansvar

Klirry ålägger varje Underbiträde, genom skriftligt avtal, dataskyddsskyldigheter som inte är mindre skyddande än de i detta DPA (artikel 28.4), och förblir fullt ansvarigt gentemot den Personuppgiftsansvarige för att dess Underbiträden fullgör sina skyldigheter.

3.3 Ändringar av Underbiträden

Klirry underrättar den Personuppgiftsansvarige om varje avsedd tillkommande eller ersatt Underbiträde minst 30 dagar i förväg via e-post till den Personuppgiftsansvariges kontoadress.

3.4 Rätt att invända

Den Personuppgiftsansvarige kan invända mot en ändring genom skriftligt meddelande till privacy@klirry.com inom 14 dagar från meddelandet. Om Parterna inte kan lösa invändningen inom 30 dagar får den Personuppgiftsansvarige säga upp Tjänsterna med proportionell återbetalning av förbetalda avgifter för den oförbrukade perioden.

4. Bistånd med de registrerades rättigheter

4.1 Biståndets omfattning

Klirry bistår den Personuppgiftsansvarige med att besvara begäranden enligt GDPR art. 15–22 genom att:

• tillhandahålla en dataexport av all Orderdata och alla Kontouppgifter som hålls för Kundens tenant, i JSON eller CSV, via självbetjäningsexporten (Inställningar → Exportera dina data; formatet dokumenteras på /legal/export-format);
• tillhandahålla slutgiltig radering enligt avsnitt 7;
• besvara skriftliga begäranden om tekniskt bistånd inom 30 kalenderdagar.

4.2 Begränsning avseende slutkonsumenters begäranden

Klirry lagrar inte slutkonsumenters namn, e-postadresser, telefonnummer eller adresser, så en slutkonsument som kontaktar Klirry direkt kan inte kopplas till en post. Sådana begäranden hanteras av den Personuppgiftsansvarige, som kan identifiera ordern i sin egen butik och ge Klirry orderidentifieraren så att Klirry kan bistå. Orderposter förblir pseudonymiserade personuppgifter som den Personuppgiftsansvarige kan koppla tillbaka (bilaga 1, A1.2); detta avsnitt begränsar hur en begäran kan nå Klirry, inte vad uppgifterna är.

5. Anmälan av personuppgiftsincidenter

5.1 Klirrys skyldigheter

Vid en personuppgiftsincident som påverkar den Personuppgiftsansvariges data ska Klirry:

1. underrätta den Personuppgiftsansvarige utan onödigt dröjsmål och senast inom 24 timmar efter att ha fått vetskap om incidenten. Underrättelsen får ske i etapper: ett första meddelande med det som är känt, följt av resten allteftersom det blir känt; 2. lämna den information som krävs enligt GDPR art. 33.3: incidentens art och ungefärligt antal registrerade och poster, en kontaktpunkt, de sannolika konsekvenserna samt vidtagna eller föreslagna åtgärder; 3. samarbeta med den Personuppgiftsansvarige för att denne ska kunna fullgöra sina egna skyldigheter gentemot tillsynsmyndigheter och Registrerade; 4. inte informera tredje part om incidenten för den Personuppgiftsansvariges räkning, utom där lagen kräver det.

5.2 Internt förfarande

Klirry har ett incidentförfarande och ett incidentregister som följer den kortaste tidsfrist som gäller: 24 timmar (Personuppgiftsansvarig, Shopify), 48 timmar (Stripe), 72 timmar (tillsynsmyndighet, IMY, där Klirry självt är personuppgiftsansvarig).

6. Tekniska och organisatoriska åtgärder (bilaga 2)

Åtgärderna anges i bilaga 2. Klirry får uppdatera dem förutsatt att säkerhetsnivån inte sänks.

7. Radering och återlämning vid avslut

7.1 Hämtningsperiod

När avtalet har upphört (uppsägning från den Personuppgiftsansvarige, en provperiod som aldrig betalas eller en paus på grund av utebliven betalning) har den Personuppgiftsansvarige en hämtningsperiod under vilken all Orderdata och alla Kontouppgifter kan laddas ner i JSON eller CSV: minst 30 kalenderdagar efter uppsägning; 30 kalenderdagar från Provperiodens slut för ett provkonto som aldrig blir ett betalande konto (radering dag 51 efter att kontot öppnades); 60 kalenderdagar från pausen för ett konto som pausats på grund av utebliven betalning. För en Shopify-butik raderas data inom 30 dagar efter den raderingsbegäran (redact) som Shopify skickar efter avinstallation.

7.2 Vad som raderas och vad som sparas

Efter hämtningsperioden raderar Klirry permanent alla Personuppgifter som rör Kundens tenant: Orderdata (ordrar, orderrader, attribueringsresultat, beslut), annonskostnadsdata, poster för betalningsavgifter och fraktkostnader, kostnadskonfiguration, anslutningar och deras inloggningsuppgifter, användare, sessioner och tokens, samt de driftposter som uppstått genom Kundens användning av produkten (återkoppling, aviseringsinställningar, status för kostnadsgranskning, klassificeringshistorik, beslutskvitton, att göra-poster, leveransloggen för transaktionsmejl). Raderingen genomförs i batchade transaktioner av den automatiska raderingsprocessen.

De enda uppgifter som sparas anges uttömmande nedan, var och en med lagringstid och rättslig grund. Detta är den enda lagringstabell som används i Integritetspolicyn, detta DPA, förteckningen över behandlingar, dataförteckningen och sidan om radering av data. Orderdata finns aldrig i den här tabellen: den raderas.

7.3 Bekräftelse av radering

Klirry skickar en bekräftelse av raderingen till den Personuppgiftsansvariges kontoadress inom 5 arbetsdagar efter raderingen, med datum och berörda tabeller (antal, inte innehåll).

7.4 Avbruten uppsägning

Om den Personuppgiftsansvarige återaktiverar sitt abonnemang inom hämtningsperioden avbryts raderingen och inget har raderats.

8. Rätt till revision

8.1 Information

Klirry ställer till den Personuppgiftsansvariges förfogande all information som behövs för att visa efterlevnad av GDPR art. 28, inklusive detta DPA och dess bilagor, de relevanta delarna av sin säkerhetsdokumentation och, när sådana finns, sammanfattningar av tredjepartsgranskningar eller penetrationstester.

8.2 Revisioner och inspektioner

Den Personuppgiftsansvarige (eller en revisor som denne utser under sekretessförbindelse) får granska Klirrys efterlevnad av detta DPA. Revisioner genomförs i första hand genom dokumentation och säkerhetsrapporter; där det inte räcker, genom en inspektion med skälig förvarning (normalt 30 dagar), under kontorstid, en gång per år om det inte föreligger en incident eller en tillsynsmyndighet kräver mer, utan att tjänsten störs i onödan och utan åtkomst till andra kunders data. Klirrys samtycke krävs inte för en revision som GDPR ger den Personuppgiftsansvarige rätt till; dessa praktiska regler reglerar endast hur den genomförs. Plattformsoperatörer (till exempel Shopify) får också granska Klirry såsom deras villkor kräver.

8.3 Ansvar

Klirrys ansvar enligt detta DPA följer begränsningen i Användarvillkoren, §13 ("Ansvar") — det högsta av avgifterna som betalats under de 12 månaderna före kravet och 10 000 SEK, med samma undantag för uppsåt, grov vårdslöshet och ansvar som inte kan begränsas enligt lag — om inte tvingande lag kräver något annat.

9. Tillämplig lag och domstol

Detta DPA lyder under svensk lag, liksom Användarvillkoren (§20). Tvister avgörs av samma domstol som enligt Användarvillkoren: Växjö tingsrätt som första instans.

10. Plattformsspecifika bestämmelser

Google Ads (Google Ads API Terms §7(B)). Där den Personuppgiftsansvarige ansluter ett Google Ads-konto är detta DPA det skriftliga avtal med Google Ads-programkunden som krävs enligt §7(B)(i): det beskriver behandlingen, och Klirry bekräftar att Klirry behandlar personuppgifter i enlighet med den Personuppgiftsansvariges egna skyldigheter enligt Googles tillämpliga dataskyddsvillkor (§7(B)(ii)) — endast för att tillhandahålla Tjänsterna, utan vidare användning, försäljning eller användning för jämförelser eller AI-träning.

Shopify, Meta och andra. Plattformsdata används endast för den Personuppgiftsansvarige som anslöt den, hålls åtskilda från alla andra kunders data och används inte över kundgränserna.

Ingående av avtalet

Detta DPA är en del av, och ingås när Kunden accepterar, Användarvillkoren (inklusive acceptans vid registrering eller vid installation från Shopify); ingen separat underskrift krävs. En Kund som behöver en undertecknad kopia kan begära en på privacy@klirry.com.

Bilaga 1 — Registrerade och kategorier av Personuppgifter

A1.1 Kategorier av Registrerade

A1.2 Kategorier av Personuppgifter — Orderdata

A1.3 Uttrycklig negativ lista — uppgifter som INTE samlas in

Uteslutna redan i adapterns fråga (inte hämtade, inte mappade, inte bortrensade efter hämtning):

• Kundens namn, e-post, telefon, adress (gata, postnummer, ort, postkod)
• IP-adress, användaragent, webbläsaruppgifter för slutkonsumenter
• Råa spårningsnummer från transportörer och råa klickidentifierare
• Geografiska data under landsnivå
• Svenska personnummer eller motsvarande
• Betalkortsnummer eller bankuppgifter
• Namn på personal eller säljare vid återbetalningar
• Anpassade attribut, ordernoteringar och andra fritextfält som vetter mot kunden (utom produktens title, som passerar personuppgiftsfiltret)

Dessa uteslutningar upprätthålls i Klirrys kod för datainhämtning, inte enbart genom policy.

A1.4 Kontouppgifter (personuppgiftsansvarigs område, för information)

Kontouppgifter behandlas av Klirry som personuppgiftsansvarig och ligger utanför detta DPA:s artikel 28-omfång.

Bilaga 2 — Tekniska och organisatoriska åtgärder (TOM)

Följande kontroller är genomförda per datumet för detta DPA.

Klirry får förstärka dessa åtgärder när som helst men sänker dem inte väsentligt.

Bilaga 3 — Underbiträden

En leverantör som markerats "Inte anlitad ännu" läggs till först efter det meddelande som anges i avsnitt 3.3, under ett skriftligt avtal som uppfyller avsnitt 3.2a, och endast om den behandlar data inom EU/EES eller enligt en giltig mekanism i kapitel V (avsnitt 2.4).

Bilaga 4 — Anslutna plattformar (datakällor du väljer)

Plattformarna nedan är kundens egna: kunden väljer att ansluta dem och Klirry läser från dem (eller, för en meddelandedestination, skickar till dem) på kundens dokumenterade instruktion enligt detta PUB. De är datakällor och destinationer som kunden väljer, inte underbiträden till Klirry: Klirry anlitar dem inte för att behandla kundens uppgifter. Åtkomsten är skrivskyddad där tabellen anger det, och kunden kan när som helst återkalla den på det sätt som sista kolumnen beskriver.

Ändringslogg

Varje post anger version, datum och vad som ändrats. En ändring av huvudversionens nummer är en väsentlig ändring: den meddelas kunderna via e-post minst 30 dagar innan den träder i kraft.