Integritetspolicy

Nornvik ansvarar för behandlingen av personuppgifter om dig som besöker webbplatsen, skapar ett konto eller kontaktar oss. Du når oss på hej@nornvik.com.

För den affärsdata ni lägger in i ert system — era kunder, leverantörer, anställda, order och fakturor — är ni som kund personuppgiftsansvarig, och Nornvik är personuppgiftsbiträde som bara behandlar uppgifterna för att leverera tjänsten och enligt era instruktioner. Villkoren för det står i användarvillkoren (personuppgiftsbiträdesavtal enligt artikel 28 i GDPR).

• Konto och inloggning — namn, e-postadress, företagsnamn, roll och lösenord (lagras bara som en saltad hash, aldrig i klartext). Loggar du in med en extern inloggning får vi den identitet leverantören lämnar, till exempel namn och e-post. Ändamål: att ge dig ett konto och skydda det. Rättslig grund: avtal (artikel 6.1 b).
• Säkerhet och spårbarhet — IP-adress, tidpunkter för inloggning, misslyckade försök och en ändringslogg över vem som gjorde vad i systemet. Ändamål: att förhindra intrång och kunna visa vad som hänt. Rättslig grund: berättigat intresse (artikel 6.1 f) och, för räkenskapsinformation, rättslig förpliktelse (artikel 6.1 c).
• Abonnemang och fakturering — vilken plan ni har, till när den är betald och de uppgifter som behövs på fakturan. Vi lagrar inga kortnummer. Rättslig grund: avtal och rättslig förpliktelse (bokföringslagen).
• Kontakt — det du skriver när du mejlar oss. Rättslig grund: berättigat intresse av att kunna svara.
• Affärsdata i ert system — det ni själva lägger in. Vi behandlar det bara som biträde, för att leverera tjänsten (se ovan).

Vi använder inte uppgifterna för reklam, säljer dem inte och gör ingen profilering.

AI-funktionerna — att bygga och ändra systemet genom att beskriva det, och att läsa in fakturor och kvitton — är avstängda tills ni själva slår på dem. Data skickas till en AI-leverantör bara när ni har gett samtyckeunder Inställningar, och bara det som behövs för just den frågan. Samtycket kan dras tillbaka när som helst. Leverantörerna får enligt sina villkor inte använda uppgifterna för att träna sina modeller. Kopplar ni en egen AI-nyckel gäller ert eget avtal med den leverantören.

Agenten är valfri och kartlägger hur arbetet går till, inte vad som skrivs. Den installeras bara efter beslut hos er, och medarbetaren ska informeras innan den slås på. Det här samlas in:

• vilket program som används och hur länge (programmets namn och version);
• vilken sorts fönster det är — till exempel "order" eller "kund" — men aldrig fönstrets titel;
• vilka knappar och menyval som används (deras fasta namn, t.ex. "Skapa order"), och att ett fält fylldes i samt hur många tecken — aldrig vad som skrevs;
• i en webbläsare: domän och sidtyp, aldrig hela adressen;
• att datorn var inaktiv, och hur länge.

Det här samlas aldrig in, i någon inställning:

• tangenttryckningar — funktionen finns inte i programmet;
• skärmbilder, fönstertitlar, innehållet i fält, celler och rader;
• lösenord, personnummer, kortnummer, kontonummer, koder och meddelanden;
• något alls från lösenordshanterare, BankID och inloggningsfönster.

Uppgifterna sparas först lokalt på datorn och skickas sedan som sammanställningar: ett mönster visas bara när flera olika medarbetare har gjort samma sak. Medarbetaren ser exakt vad som samlas in och kan invända när som helst — då stannar insamlingen direkt. När agenten används är arbetsgivaren personuppgiftsansvarig, och rättslig grund är normalt arbetsgivarens berättigade intresse av att förbättra arbetssätt; Nornvik är biträde.

All data lagras inom EU: databasen hos Supabase i Stockholm och appen körs hos Fly.io i Stockholm. Data krypteras när den skickas (HTTPS) och när den lagras.

Vi anlitar de här leverantörerna för att driva tjänsten. Alla är bundna av personuppgiftsbiträdesavtal.

• Supabase — databas, i Stockholm (EU).
• Fly.io — drift av appen, i Stockholm (EU).
• Cloudflare — DNS (namnuppslag för nornvik.com).
• Anthropic — AI, bara när kunden har gett samtycke.
• Google (Gemini) — AI-läsning av fakturor och kvitton, bara när kunden har gett samtycke.
• Postmark — utskick av e-post från systemet, när det används.

När en leverantör finns utanför EU/EES sker överföringen med stöd av EU-kommissionens standardavtalsklausuler eller EU–US Data Privacy Framework. Vi meddelar kunder innan vi byter eller lägger till ett underbiträde.

Webbplatsen har inga spårnings- eller annonskakor och ingen besöksanalys. De kakor som finns behövs för att inloggning och språkval ska fungera — se kakor och lokal lagring. Typsnitten hämtas i dag från Google Fonts, vilket innebär att din webbläsare kontaktar Google och att din IP-adress når Google när sidan laddas.

• Kontot — så länge kontot finns. Efter uppsägning raderas kontot och ert system inom 90 dagar, efter att ni haft möjlighet att exportera allt.
• Räkenskapsinformation (fakturor och bokföring vi utfärdar till er) — i sju år enligt bokföringslagen.
• Säkerhetsloggar — högst tolv månader.
• Mejl till oss — så länge ärendet pågår och därefter högst två år.
• Er affärsdata — så länge ni vill; ni bestämmer och kan radera eller exportera den.

Du har rätt att få veta vilka uppgifter vi har om dig (registerutdrag), att få fel rättade, att få uppgifter raderade, att begränsa behandlingen, att invända mot behandling som grundar sig på berättigat intresse och att få ut dina uppgifter i ett maskinläsbart format (dataportabilitet). Har du gett samtycke kan du när som helst dra tillbaka det.

Inloggade kan göra registerutdrag och radering direkt under Dataskydd i systemet. Annars mejlar du hej@nornvik.com — vi svarar inom en månad. Gäller det uppgifter som en av våra kunder har lagt in (till exempel om du är kund hos ett företag som använder Nornvik) vänder du dig i första hand till det företaget; vi hjälper dem att svara.

Är du missnöjd med hur vi behandlar dina uppgifter vill vi gärna höra det på hej@nornvik.com. Du har också rätt att klaga hos tillsynsmyndigheten Integritetsskyddsmyndigheten (IMY), imy.se.

Ändras policyn uppdaterar vi datumet ovan. Är ändringen väsentlig meddelar vi kunderna i förväg, i systemet eller per e-post.