Integritetspolicy (GDPR)

Personuppgiftsansvarig

Personuppgiftsansvarig är:

(nedan kallad "den personuppgiftsansvarige").

I alla ärenden som rör skydd av personuppgifter kan du kontakta oss på:
[email protected]

Var uppgifterna kommer ifrån

Vi får uppgifter:

• från dig: vid registreringen, i kontoinställningarna, i projekt, formulär och meddelanden,
• från din arbetsgivares identitetsleverantör och användarkatalog, när arbetsgivaren har aktiverat enkel inloggning (SSO): e-postadress, för- och efternamn, gruppmedlemskap,
• från en partners system, när du använder planeraren i en organisation som partnern förvaltar (t.ex. en tillverkare, en distributör eller ett system för att driva ett säkerhetsföretag): e-postadress, för- och efternamn, företagsnamn, organisations- eller momsnummer, ditt id i partnerns system och din roll, och för objektprojekt även objektets namn, adress och koordinater.

Uppgifter som rör ditt arbete i en sådan organisation behandlar vi för organisationens räkning, som är personuppgiftsansvarig för dem (t.ex. din arbetsgivare), enligt ett personuppgiftsbiträdesavtal (artikel 28 GDPR). Vänd dig till organisationen med frågor om dessa uppgifter; vi hjälper den att tillgodose dina rättigheter.

Omfattning av behandlade uppgifter

Den personuppgiftsansvarige kan behandla följande personuppgifter:

• e-postadress,
• uppgifter som lämnats via kontakt- eller registreringsformulär,
• uppgifter som krävs för att tillhandahålla tjänster och fakturering,
• där din arbetsgivare har aktiverat single sign-on (enkel inloggning): de identitetsattribut som deras identitetsleverantör intygar när du loggar in (e-postadress, för- och efternamn, gruppmedlemskap), och de kontouppgifter som deras katalog skickar till oss för att skapa, uppdatera eller avaktivera ditt konto,
• när du använder planeraren i en organisation som hanteras av en partner (t.ex. en tillverkare eller distributör): de uppgifter som partnerns system skickar till oss när det ger åtkomst och loggar in dig (e-postadress, för- och efternamn, företagsnamn, skatteregistreringsnummer, din identifierare i partnerns system), samt en logg över din aktivitet i organisationen (inloggningar, projektändringar, exporter), som dess ägare och administratörer kan se,
• tekniska uppgifter såsom IP-adress, webbläsar- och enhetsinformation (i säkerhets- och analyssyfte).

Ändamål och rättslig grund för behandlingen

Vi behandlar uppgifter för följande ändamål och på följande rättsliga grunder:

• tillhandahållande av tjänsten (konto, projekt, teamarbete, AI-funktioner som du själv startar): artikel 6.1 b GDPR, fullgörande av avtal,
• svar på frågor och meddelanden om kontot och tjänsten: artikel 6.1 b GDPR, och innan avtal ingås artikel 6.1 f GDPR (berättigat intresse av att besvara frågan),
• betalningar och fakturering: artikel 6.1 b GDPR; fakturor och bokföring: artikel 6.1 c GDPR, rättslig förpliktelse,
• tjänstens säkerhet och förebyggande av missbruk (tekniska loggar, gränser för förfrågningar, enhetsgräns): artikel 6.1 f GDPR, berättigat intresse,
• vår egen statistik över hur tjänsten används och dess utveckling: artikel 6.1 f GDPR, berättigat intresse,
• Googles analys och annonsmätning (Google Analytics, Google Ads): artikel 6.1 a GDPR, samtycke,
• fastställande, utövande och försvar av rättsliga anspråk: artikel 6.1 f GDPR, berättigat intresse.

Mottagare av uppgifter

Uppgifter kan delas med betrodda tjänsteleverantörer som stöder den personuppgiftsansvarige inom:

• hosting,
• IT-tjänster,
• bokföring,
• betalningshantering,

endast i den utsträckning som är nödvändig för att tillhandahålla tjänsterna.

Den personuppgiftsansvarige anlitar särskilt följande personuppgiftsbiträden:

• Supabase: applikationsdatabas, autentisering och fillagring (EU-region),
• Cloudflare: leverans och skydd av webbplatsen (IP-adress och förfrågningar till tjänsten),
• Stripe: betalningshantering,
• Resend: utskick av transaktionse-post,
• Anthropic: AI-assistenten och AI-planeraren, endast när användaren själv startar dem (projektbeskrivning, fråga och bifogade filer; aldrig platsens adress eller kontouppgifter),
• Google (Analytics, Ads): webbanalys (endast med ditt samtycke),
• Google Public DNS, som läser den DNS-post som bevisar att en organisation äger sin domän (endast domännamnet, inga personuppgifter),
• LH.pl Sp. z o.o.: webbhotell för webbplatsens filer (Polen).

När användaren visar kartan eller söker efter en adress ansluter webbläsaren direkt till leverantörer av kartor och adressökning (Google, Esri, Geoportal, OpenStreetMap Foundation, komoot, OpenFreeMap, Amazon Web Services, FOSSGIS). De tar emot webbläsarens IP-adress och kartområdet eller den inskrivna adressen och behandlar dem som självständiga personuppgiftsansvariga enligt sina egna villkor.

Videor från YouTube (Google) läses in först när du trycker på spela upp, i YouTubes läge för förbättrad integritet (youtube-nocookie.com); Google får då webbläsarens IP-adress. När en PDF exporteras med arabisk, devanagari-, japansk, koreansk eller thailändsk skrift hämtar webbläsaren det typsnitt som behövs från Google Fonts, vilket också ger Google IP-adressen. Alla andra typsnitt i tjänsten levererar vi från vår egen server.

Överföringar utanför Europeiska ekonomiska samarbetsområdet (EES)

Grundläggande applikationsdata (konton och projekt) lagras på servrar inom Europeiska unionen. Vissa av de ovan angivna personuppgiftsbiträdena kan dock behandla uppgifter utanför EES:

• Supabase: uppgifter lagrade i EU, med serviceåtkomst för leverantören från USA och Singapore,
• Stripe: betalningshantering (Irland/USA),
• Google (Analytics, Ads): analys, endast med ditt samtycke (USA),
• Cloudflare: leverans och skydd av webbplatsen (USA och globalt nätverk),
• Anthropic: AI-assistenten och AI-planeraren, endast när användaren själv startar dem (USA),
• Resend: leverans av transaktionse-post (USA).

Överföringen grundas för Stripe, Google, Cloudflare och Resend på Europeiska kommissionens beslut om adekvat skyddsnivå för ramen för dataskydd mellan EU och USA (Data Privacy Framework) och för Anthropic och Supabase på standardavtalsklausuler (SCC) som antagits av Europeiska kommissionen. Du kan begära en kopia av dessa skyddsåtgärder via kontaktadressen ovan.

Cookies och analys

Tjänsten använder cookies och liknande tekniker för lokal lagring i webbläsaren i två kategorier:

• nödvändiga — krävs för att tjänsten ska fungera (inloggningssession, säkerhet och lagring av ditt cookieval); alltid aktiva och kräver inte något samtycke,
• analys och annonsering: Google Analytics och Google Ads, som används för att mäta hur tjänsten används och hur våra annonser presterar samt för att anpassa Google-annonser; dessa aktiveras först efter att du har godkänt dem, med stöd av ditt samtycke (artikel 6(1)(a) i GDPR).

Du kan godkänna eller neka analys- och annonscookies i samtyckesbannern och när som helst ändra ditt val. Att neka begränsar inte din åtkomst till tjänsten.

Du kan när som helst återkalla ditt samtycke med knappen ”Cookie-inställningar” i sidfoten eller med knappen nedan. Återkallelsen påverkar inte lagligheten av behandlingen innan den. Efter återkallelsen tar vi bort Googles cookies från din webbläsare och slutar läsa in Googles taggar.

Lagringsperiod för uppgifter

Personuppgifter lagras:

• under avtalets giltighetstid,
• kontouppgifter raderas eller anonymiseras inom 30 dagar från det att kontot avslutas, om inte längre lagring krävs enligt lag,
• faktura- och bokföringsuppgifter — under den period som krävs enligt skatte- och bokföringslagstiftningen (i Polen 5 år från utgången av det räkenskapsår då transaktionen ägde rum),
• attribut som tagits emot från en identitetsleverantör sparas så länge kontot finns och uppdateras vid varje inloggning; avaktivering via katalogen avslutar åtkomsten men raderar inte i sig kontot,
• aktivitetsloggen i en hanterad organisation sparas tills ditt konto eller organisationen raderas; när partnern återkallar åtkomsten upphör åtkomsten, men det raderar inte i sig kontot eller loggen,
• frågor och svar i AI-funktionerna: innehållet 90 dagar, själva posten utan innehåll 12 månader,
• tekniska felloggar för applikationen: 30 dagar, registreringar av gränser för förfrågningar: 1 timme, registreringar av blockerade enheter: 12 månader,
• en organisations händelselogg (ändringar av medlemmar och åtkomst, SSO-händelser, ändringar av inställningar, administratörers visning av projekt): så länge som en organisation som använder SSO anger, annars 12 månader,
• inloggningshistorik (enhetstyp, webbläsare och system, utan IP-adress), statistik över hur tjänsten används och historik över ändringar av omdömen om tjänsten: 24 månader,
• tills samtycket återkallas, när behandlingen grundas på samtycke.

Dataskyddsombud

Den personuppgiftsansvarige har inte utsett något dataskyddsombud, eftersom detta inte krävs enligt artikel 37 i GDPR. För alla frågor som rör dataskydd, vänligen använd den kontaktadress som anges ovan.

Användarens rättigheter

Användare har rätt att:

• få tillgång till sina personuppgifter,
• rätta uppgifter,
• radera uppgifter,
• begränsa behandlingen,
• dataportabilitet,
• invända mot behandling,
• när som helst återkalla sitt samtycke, utan att det påverkar lagligheten av behandlingen före återkallelsen,
• lämna in ett klagomål till tillsynsmyndigheten, i Sverige Integritetsskyddsmyndigheten (IMY).