Så behandlar vi dina personuppgifter

1. Personuppgiftsansvarig

Nystrøm Key AB, organisationsnummer 559601-9256, med säte i Malmö, är personuppgiftsansvarig för den behandling av personuppgifter som beskrivs här. Har du frågor om hur vi hanterar dina uppgifter når du oss på info@nystrom-key.se.

Policyn gäller webbplatsen och verktygen Avtalsskaparen och Avtalsgranskaren. För juridisk rådgivning som vi utför som byrå gäller det uppdragsavtal som ingås särskilt.

2. Vad vi behandlar och varför

Vi samlar bara in uppgifter som behövs för att du ska kunna använda tjänsten, betala för den och få hjälp om något går fel. Nedan beskrivs varje behandling för sig, med den rättsliga grund i dataskyddsförordningen (GDPR) som vi stödjer oss på.

Konto

När du skapar ett konto registrerar vi förnamn, efternamn och e-postadress. Loggar du in med lösenord sparar vi bara en hash av lösenordet, aldrig lösenordet i klartext. Loggar du in med Google sparar vi i stället det id som Google ger ditt konto. Ett konto har alltid exakt en inloggningsmetod.

Uppgifter

Namn, e-postadress, lösenordshash eller Google-id, om e-postadressen är verifierad, tidpunkt för registrering.

Ändamål

Skapa och administrera ditt konto, logga in dig, koppla dina avtal och betalningar till dig.

Rättslig grund

Fullgörande av avtalet med dig (artikel 6.1 b).

Lagras

Tills du raderar kontot.

Inloggning och säkerhet

Varje inloggning skapar en session. För att kunna avsluta sessioner och upptäcka missbruk sparar vi, för varje session, vilken webbläsare och vilken IP-adress den startades från. Vissa funktioner, som inloggning och start av AI-körningar, är begränsade till ett visst antal anrop per IP-adress och tidsenhet.

Uppgifter

IP-adress, webbläsarsträng (user agent), tidpunkter, hash av sessions- och verifieringstoken.

Ändamål

Hålla dig inloggad, skydda kontot, förhindra automatiserade angrepp och missbruk.

Rättslig grund

Berättigat intresse av att hålla tjänsten säker (artikel 6.1 f).

Lagras

Sessioner i 30 dagar. Verifierings- och återställningstoken tills de använts eller löpt ut (24 timmar respektive 1 timme).

Avtal och granskningar

Det du skriver och laddar upp i verktygen är kärnan i tjänsten, och ofta det känsligaste vi hanterar: din beskrivning av situationen, dina svar på frågorna, avtal du laddar upp för granskning samt de avtal och rapporter som skapas. Allt sådant innehåll krypteras innan det lagras i vår databas. Pågående arbete sparas löpande så att du kan fortsätta senare eller från en annan enhet.

Uppgifter

Fritext om din situation, svar på frågor, uppladdade dokument, genererade avtal och granskningsrapporter, de namn du ger sparade avtal.

Ändamål

Utföra den tjänst du beställt, låta dig återuppta pågående arbete och spara färdiga dokument på ditt konto.

Rättslig grund

Fullgörande av avtalet med dig (artikel 6.1 b).

Lagras

Sparade avtal tills du raderar dem eller kontot. Arbetssessioner i 90 dagar efter att de avslutats, avbrutits eller löpt ut.

Betalningar

Betalningar hanteras av Stripe. Kortuppgifter anges direkt hos Stripe och når aldrig våra servrar. Hos oss finns ett kund-id hos Stripe, referenser till betalningen, belopp, status och den e-postadress som användes när betalningen gjordes.

Uppgifter

Stripe-kund-id, betalnings- och kassareferenser, belopp, valuta, status, tidpunkter, e-postadress vid betalningstillfället.

Ändamål

Reservera och dra betalningen, släppa reservationen om arbetet misslyckas, hantera återbetalningar och uppfylla bokföringskrav.

Rättslig grund

Fullgörande av avtalet (artikel 6.1 b) och rättslig förpliktelse enligt bokföringslagen (artikel 6.1 c).

Lagras

7 år efter utgången av det räkenskapsår betalningen gjordes. Betalningsposter finns därför kvar även om du raderar kontot, men utan koppling till ett aktivt konto.

E-postutskick

Vi skickar e-post för att verifiera din adress, återställa lösenord och, om du ber om det, skicka ett färdigt avtal till din egen adress. Utskicken går via Mailjet. Vi skickar inga nyhetsbrev och ingen marknadsföring.

Uppgifter

E-postadress, förnamn, innehållet i det meddelande som skickas (inklusive bifogat avtal när du begär det).

Ändamål

Bekräfta att du äger adressen, låta dig återställa lösenordet, leverera dokument du bett om.

Rättslig grund

Fullgörande av avtalet med dig (artikel 6.1 b).

Lagras

Vi sparar inga kopior av utskicken. Mailjet behåller leveransloggar en begränsad tid enligt sina villkor.

Kontakt med oss

Mejlar du oss behandlar vi det du skriver för att kunna svara och följa upp ärendet.

Uppgifter

Namn, e-postadress och innehållet i din fråga.

Ändamål

Besvara frågor, ge support och hantera klagomål.

Rättslig grund

Berättigat intresse av att kunna svara dig (artikel 6.1 f), eller fullgörande av avtal om frågan rör en beställning.

Lagras

Så länge ärendet är öppet och därefter högst 12 månader.

Tekniska loggar

Servern skriver tekniska loggar för felsökning och drift. De kan innehålla IP-adress, tidpunkt, begärd sida och felmeddelanden, men inte innehållet i dina avtal.

Rättslig grund

Berättigat intresse av att driva och felsöka tjänsten (artikel 6.1 f).

Lagras

Högst 90 dagar.

Vi fattar inga automatiserade beslut med rättsliga följder för dig och vi säljer aldrig personuppgifter.

3. Vilka som får del av uppgifterna

För att leverera tjänsten använder vi ett litet antal leverantörer. De som behandlar uppgifter för vår räkning är personuppgiftsbiträden och har biträdesavtal med oss. Några agerar i stället som självständigt ansvariga för sin del av behandlingen, vilket anges nedan.

Anthropic (AI-generering och granskning)

Avtalen skrivs och granskas av en språkmodell från Anthropic. Det innebär att din beskrivning, dina svar och uppladdade avtal skickas till Anthropics API för att bearbetas. Anthropic, PBC har sitt säte i USA. Enligt Anthropics kommersiella villkor används innehållet inte för att träna deras modeller. Överföringen till USA sker med stöd av EU-kommissionens beslut om adekvat skyddsnivå för EU-US Data Privacy Framework och standardavtalsklausuler.

Stripe (betalning)

Stripe Payments Europe, Ltd. (Irland) tar emot och hanterar dina kortuppgifter och betalningen. För betalningsbehandling, bedrägeriförebyggande och sina egna rättsliga skyldigheter är Stripe självständigt personuppgiftsansvarig. Stripe kan överföra uppgifter till Stripe, Inc. i USA med stöd av EU-US Data Privacy Framework och standardavtalsklausuler. Läs mer i Stripes integritetspolicy.

Mailjet (e-post)

Mailjet (Sinch Mailjet SAS, Frankrike) levererar våra e-postutskick som personuppgiftsbiträde. Uppgifterna behandlas inom EU/EES.

Google (inloggning)

Väljer du att logga in med Google sker själva inloggningen hos Google Ireland Limited, som är självständigt ansvarig för den. Vi tar emot ditt namn, din e-postadress och ett konto-id från Google, inget mer. Google kan föra uppgifter till USA med stöd av EU-US Data Privacy Framework. Läs mer i Googles integritetspolicy.

Drift och lagring

Webbplatsen och databasen körs på servrar inom EU/EES. Driftleverantören har endast teknisk tillgång till infrastrukturen och är personuppgiftsbiträde.

Övriga mottagare

Vi lämnar ut uppgifter till myndigheter om vi är skyldiga enligt lag. Vid en överlåtelse av verksamheten kan uppgifterna följa med till förvärvaren, som då tar över ansvaret enligt denna policy.

4. Hur länge vi sparar uppgifter

Vi sparar inte uppgifter längre än ändamålet kräver. Sammanfattningsvis gäller följande tider.

När du raderar kontot tas kontot, dina sparade avtal, dina arbetssessioner och dina inloggningssessioner bort. Betalningsposter behålls under bokföringstiden men kopplas inte längre till något konto.

5. Så skyddar vi uppgifterna

• Avtalsinnehåll, svar och uppladdade dokument krypteras innan de lagras i databasen. Nyckeln förvaras skild från databasen.
• Lösenord lagras som hash med en modern algoritm. Sessions-, verifierings- och återställningstoken lagras bara som hash och kan därför inte återanvändas av någon som får tillgång till databasen.
• All trafik mellan din webbläsare och våra servrar, och mellan våra servrar och leverantörerna, är krypterad.
• Kortuppgifter hanteras uteslutande av Stripe, som är certifierat enligt PCI DSS.
• Tillgången till databasen är begränsad till de personer som behöver den för drift.

6. Uppgifter om andra personer

Avtal innehåller ofta uppgifter om fler än dig: en motpart, en anställd, en hyresgäst. När du skriver in eller laddar upp sådana uppgifter ansvarar du för att du får dela dem med oss. Vi behandlar dem bara för att utföra tjänsten åt dig, enligt denna policy, och ger dem samma skydd som dina egna uppgifter.

Ladda inte upp känsliga personuppgifter, till exempel uppgifter om hälsa eller facklig tillhörighet, om de inte är nödvändiga för avtalet.

7. Dina rättigheter

Du har rätt att veta vad vi har om dig och att styra över det. Mycket kan du göra själv på ditt konto, resten hjälper vi dig med via e-post. Vi svarar inom en månad.

• Tillgång. Du kan begära ett registerutdrag över de uppgifter vi behandlar om dig.
• Rättelse. Namn ändrar du under Mitt konto. Annat rättar vi på begäran.
• Radering. Du kan när som helst radera kontot under Mitt konto. Enskilda avtal tar du bort under Mina avtal. Uppgifter vi måste spara enligt lag, som bokföringsunderlag, undantas.
• Dataportabilitet. Dina avtal och rapporter kan du när som helst ladda ner som PDF eller Word. Vill du ha övriga uppgifter i ett maskinläsbart format ordnar vi det på begäran.
• Invändning och begränsning. Du kan invända mot behandling som grundas på berättigat intresse och begära att behandlingen begränsas medan vi prövar din begäran.
• Klagomål. Är du missnöjd med hur vi behandlar dina uppgifter kan du vända dig till Integritetsskyddsmyndigheten (IMY), imy.se. Vi uppskattar om du hör av dig till oss först.

8. Cookies och lokal lagring

Webbplatsen sätter inga egna cookies. Inloggningen sparas i webbläsarens lokala lagring och används enbart för att hålla dig inloggad. Vilka uppgifter som lagras i din webbläsare, och vilka tredjepartstjänster som sätter egna cookies, beskrivs på sidan Cookies och lokal lagring.

9. Ändringar av policyn

Vi uppdaterar policyn när tjänsten eller våra leverantörer ändras. Datumet högst upp visar när den senast ändrades. Vid väsentliga ändringar som påverkar dig informerar vi via e-post eller på webbplatsen innan de börjar gälla.

10. Kontakt och klagomål

Nystrøm Key AB
Org.nr 559601-9256
Malmö
info@nystrom-key.se

Tillsynsmyndighet: Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy.se.