Integritetspolicy

1. Personuppgiftsansvarig

Chronyx AB, org.nr 559594-0064, Sundbyberg, är personuppgiftsansvarig för de uppgifter som beskrivs här. Kontakt: hej@qvitter.se.

2. Två olika roller

Denna policy gäller uppgifter vi hanterar som ansvariga: ditt konto och din användning av tjänsten. För personuppgifter som kan förekomma i ditt bokföringsmaterial (t.ex. namn på kvitton) är du personuppgiftsansvarig och vi ditt biträde. Det regleras i Personuppgiftsbiträdesavtalet.

3. Vilka uppgifter vi behandlar

Väntelistan: e-postadress (obligatorisk) samt namn, företagsnamn och en kort beskrivning av verksamheten om du väljer att fylla i dem. Vi ber inte om mer än vi behöver för att bedöma och kontakta dig.
Kontouppgifter: namn, e-postadress, lösenord (lagras hashat), företagsuppgifter, samt tidpunkt och version för ditt godkännande av villkoren.
Inloggning med Google: väljer du att logga in med Google får vi tillbaka tre uppgifter om dig: din e-postadress, ditt namn och Googles interna konto-id. Inget mer. Vi får aldrig ditt Google-lösenord, och vi får ingen åtkomst till din e-post, din kalender, dina filer eller något annat i ditt Google-konto. Väljer du Google i stället för ett lösenord sparar vi inget lösenord alls.
Användnings- och säkerhetsuppgifter: tekniska loggar med IP-adress, tidpunkt och användar-/företags-id (t.ex. för att upptäcka och stoppa inloggningsförsök som misslyckas upprepade gånger) samt felrapporter från appen (felmeddelande, vilken sida det hände på och webbläsarversion) så att vi kan laga fel du drabbats av.
Kommunikation: det du skriver till oss (t.ex. i väntelistan eller support) samt utskick vi gör till dig.
Cookies och lokal lagring: en enda cookie för ditt språkval. I webbläsarens lokala lagring sparar appen dessutom din inloggning, vilket företag du valt, hur du vill ha vyn och det du håller på med, bland annat bankvyns saldon och resultatet av din senaste kvittosökning (vilka bankrader som matchade vilka kvitton) och ett påbörjat löneutkast. Själva bankraderna och de rader du tagit bort sparas i appen, inte i webbläsaren. Det som ligger i webbläsaren finns på din egen enhet, tas bort när du loggar ut och lämnas aldrig till någon annan än oss. Går inloggningen bara ut av sig själv sparas det du höll på med tills du loggar in igen, men loggar någon annan in i samma webbläsare rensas allt direkt. Vi använder ingen spårning och ingen analys. Allt räknas upp i vår cookiepolicy.

4. Ändamål och rättslig grund

Bedöma och besvara din anmälan till väntelistan och skicka inbjudan: åtgärder på din begäran innan avtal ingås (art. 6.1 b) samt vårt berättigade intresse av att ta in nya kunder i lagom takt.
Tillhandahålla och sköta tjänsten samt fakturera: fullgörande av avtal.
Säkerhet, drift, felsökning och förbättring: berättigat intresse.
Bokförings- och skatterättsliga krav på våra egna underlag: rättslig förpliktelse.
Utskick om tjänsten (t.ex. inbjudan): avtal/berättigat intresse.

Vi använder inte dina uppgifter för marknadsföring från andra företag, och vi fattar inga automatiserade beslut om dig som person.

5. Vilka som kan få del av uppgifterna (biträden)

Vi anlitar noga utvalda leverantörer som behandlar uppgifter för vår räkning, med personuppgiftsbiträdesavtal på plats:

Microsoft Azure: drift/servrar samt databas och fillagring i Sverige (region Sweden Central).
Brevo: utskick av transaktionsmejl (t.ex. inbjudan).

Vi säljer aldrig dina uppgifter. En uppdaterad förteckning över underbiträden finns i Personuppgiftsbiträdesavtalet.

6. Var uppgifterna lagras och behandlas

Lagring sker i Sverige. Databasen och dina uppladdade filer ligger i Microsofts datacenter i Sverige (Azure Sweden Central). Det gäller även de kopior vår AI-leverantör tillfälligt sparar för säkerhetsövervakning. De lagras i samma land.

Behandling sker inom EU när vi läser av kvitton och fakturor löpande. Ett undantag finns: när du laddar upp ett stort antal underlag samtidigt körs avläsningen i ett kösystem som kan utföra själva beräkningen utanför EU/EES. Ingenting sparas där (lagringen sker fortfarande i Sverige), och överföringen skyddas av EU-kommissionens standardavtalsklausuler i vårt avtal med Microsoft.

Röstmodeller finns bara på global kapacitet. Microsofts modeller för tal i realtid erbjuds inte i någon EU-datazon, så beräkningen i dem kan ske utanför EU/EES. Vi har sådana modeller i vår Azure-miljö för utveckling och test utan kunduppgifter. Appen skickar inte dina kvitton, fakturor eller din bokföring till dem. Inför vi en röstfunktion uppdaterar vi den här texten först, och överföringen skyddas då av samma standardavtalsklausuler som ovan.

Driftlarm saknar region. Reglerna som väcker oss när tjänsten inte svarar, och mottagarlistan för de larmen, körs i Azures övervakningstjänst som Microsoft bara erbjuder utan fast region. De innehåller inga kunduppgifter, bara tekniska mätvärden om servern och våra egna kontaktuppgifter.

6b. Tjänster du själv väljer att koppla på

Vissa funktioner innebär att uppgifter hämtas från eller lämnas till en annan tjänst, men bara om du själv kopplar på dem i appen, och du kan koppla bort dem när som helst:

Inloggning med Google: trycker du Fortsätt med Google skickas du till Google, som frågar om du vill släppa in Qvitter. Google får då veta att du har ett konto hos oss och när du loggar in. Vi får tillbaka din e-postadress, ditt namn och Googles konto-id, se punkt 3. Det steget behandlar Google som självständigt personuppgiftsansvarig enligt sin egen integritetspolicy. Vi är alltså inte deras uppdragsgivare för just inloggningen, till skillnad från leverantörerna i punkt 5. Du behöver aldrig använda Google för att nå ditt konto: har du fått kontot via Google och hellre vill ha ett lösenord beställer du ett via Glömt lösenord på inloggningssidan.
Gmail: kopplar du ditt Gmail-konto hämtar vi bara bilagor (kvitton och fakturor) från mejl som har bilagor, tillsammans med avsändare och ämnesrad för spårbarhet. Mejltexten läses eller sparas aldrig. Inloggningsnycklarna lagras krypterade och raderas direkt när du kopplar bort kontot. Vår användning av uppgifter från Google följer Googles API Services User Data Policy, inklusive kraven på begränsad användning (Limited Use).
Skatteverket, bank och bokföringsprogram: väljer du att lämna in momsdeklaration via Skatteverket, hämta bankhändelser via en licensierad banktjänst eller skicka bokföringen till t.ex. Fortnox, sker det på din instruktion och bara med de uppgifter som behövs för just det.

7. Hur länge vi sparar

Kontouppgifter sparas så länge du är kund och en tid därefter. Uppgifter som utgör räkenskapsinformation sparas så länge bokföringslagen kräver (normalt sju år). Därefter raderas eller anonymiseras uppgifterna.

Väntelistan: tills vi har besvarat din anmälan och du antingen blivit kund eller tackat nej. Du kan när som helst be oss ta bort dig från listan.
Tekniska loggar och felrapporter: kort tid; rensas löpande.

8. Dina rättigheter

Du har rätt att begära tillgång till, rättelse eller radering av dina uppgifter, att invända mot eller begränsa viss behandling, samt rätt till dataportabilitet. Radering kan begränsas av vår lagstadgade arkiveringsskyldighet. Kontakta oss på hej@qvitter.se.

Du kan också klaga hos tillsynsmyndigheten Integritetsskyddsmyndigheten (IMY), imy.se.

9. Ändringar

Vi kan uppdatera denna policy. Den senaste versionen finns alltid här, med versionsnummer och datum överst.