1. Vem ansvarar?
Horse Power i Piteå AB, org.nr 556641-7316, är personuppgiftsansvarig för kontoadministration, kundkontakt, säkerhet och vår egen faktureringshantering. Kontakta alfred@certix.se för dataskyddsfrågor och rättighetsbegäranden. Postadress: Hällanvägen 109, 943 35 Öjebyn, Sverige.
När vi analyserar personuppgifter i kundens dokument på kundens instruktion är kunden normalt personuppgiftsansvarig och vi personuppgiftsbiträde. Den behandlingen ska regleras i ett särskilt, färdigställt biträdesavtal. Denna information är inte ett sådant avtal och ett godkännande av användarvillkor är inte ett generellt GDPR-samtycke.
2. Uppgifter, ändamål och rättslig grund
- Konton och tjänsteleverans: e-post, kontoidentifierare, autentiseringsuppgifter, företagsnamn, organisationsnummer, sektor, antal anställda, dokumentnamn, rapportresultat och aktivitet. Uppgifterna kommer från dig och användningen av tjänsten. Rättslig grund är avtal där du är avtalspart; för ett företags kontaktperson är grunden vårt berättigade intresse att administrera företagsavtalet.
- Betalning: kund- och abonnemangsidentifierare, plan, betalningsstatus och period. Berättigat intresse att administrera företagsavtalet, eller avtal med fysisk avtalspart. Bokföringsuppgifter behandlas för rättslig förpliktelse. Kortuppgifter hanteras i betalningsleverantörens kassa, inte i vår rapportdatabas.
- Säkerhet och support: kontaktmeddelanden, teknisk anslutningsinformation och fel-/säkerhetsloggar när de finns i driften. Berättigat intresse att skydda tjänsten, förebygga missbruk och hantera support eller rättsliga anspråk. Skicka inte dokument eller känsliga uppgifter i ett supportmeddelande.
- Avtalsbevis: accepterad villkorsversion, kontoidentifierare och registreringens tidpunkt. Berättigat intresse att dokumentera och kunna styrka ingångna avtal.
- Offentlig delning: företagets frivilligt publicerade Trust Center-uppgifter. Berättigat intresse att tillhandahålla den delningsfunktion företaget begärt. Undvik personnamn i offentliga dokumentnamn.
Uppgifter som behövs för konto, företagsavtal och fakturering måste lämnas för att dessa funktioner ska kunna användas. Demorapporten kan användas utan ett konto. Vi fattar inte beslut med rättslig eller jämförbart betydande verkan för en fysisk person enbart genom automatiserad behandling; AI-resultaten är beslutsstöd.
3. Dokument och AI
PDF-innehåll och instruktioner skickas till Lovable AI Gateway för behandling med Claude från Anthropic. Detta gäller analys, dokumenträttning och AI-policyutkast. Dokument kan innehålla personuppgifter om anställda, kunder eller andra personer; kunden ansvarar för laglig grund, information till dessa och dokumenterade instruktioner.
Källdokument och extraherad text sparas inte i Certix rapportdatabas. Extraherad text kan finnas tillfälligt i webbläsarens arbetsminne under rättningsflödet. Rapporternas sammanfattningar och fynd samt dokumentnamn sparas och kan innehålla personuppgifter från indata; de är inte automatiskt anonymiserade.
AI-leverantörernas avtal, loggning, lagringstid, behandlingsplatser och användning för träning är ännu inte verifierade för denna tjänst. Vi lämnar därför ingen generell garanti om noll lagring hos alla leverantörer, ingen träning eller enbart EU/EES-bearbetning. Ladda inte upp personuppgifter innan villkoren och ett bindande biträdesavtal har bekräftats.
4. Mottagare och internationella överföringar
Behörig personal och leverantörer som behövs för drift och support kan behandla uppgifter. Lovable Cloud används för konto, databas och drift; Lovable AI Gateway och Anthropic för AI-behandling; Stripe och dess betalningshantering för kassa och abonnemang. Betalningsleverantörer kan även vara självständigt personuppgiftsansvariga för sina rättsliga skyldigheter. Google Fonts får tekniska anslutningsuppgifter när externa typsnitt hämtas.
En kontodatabas inom EU skulle inte i sig innebära att all behandling sker inom EU/EES. Exakta underbiträden, behandlingsländer och eventuella tredjelandsöverföringar samt överföringsmekanismer behöver fastställas i leverantörsavtalen före behandling av kunders personuppgifter. Där en överföring krävs måste en tillämplig grund enligt GDPR kapitel V finnas, till exempel ett adekvansbeslut eller standardavtalsklausuler med erforderliga skyddsåtgärder. Kontakta oss för aktuell dokumentation; vi påstår inte att en viss mekanism redan verifierats.
5. Lagring och radering
Konto, företagsuppgifter, rapporter och aktivitet finns kvar medan kontot används eller tills en raderingsbegäran hanteras. Att avsluta ett abonnemang raderar inte kontot. Vi ska efter avslut radera eller återlämna kunduppgifter som inte längre behövs, med undantag för rättslig skyldighet eller nödvändiga rättsliga anspråk. Begär radering via alfred@certix.se; någon automatisk kontoraderingsfunktion finns inte.
Bokföringsmaterial som vi måste bevara sparas normalt till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Avtalsbevis och underlag för rättsliga anspråk får sparas så länge de behövs för det ändamålet. Teknisk loggning och säkerhetskopiors exakta lagringstid behöver bekräftas med driftleverantörerna. Vi utlovar inte omedelbar radering av säkerhetskopior.
6. Dina rättigheter
Du kan begära information och tillgång, rättelse, radering, begränsning samt, när förutsättningarna är uppfyllda, dataportabilitet. Du kan invända mot behandling som grundas på berättigat intresse. Om en behandling grundas på samtycke kan det återkallas utan att påverka tidigare laglig behandling. Rättigheter kan begränsas av exempelvis lagstadgad bokföring eller andra personers rättigheter.
Skicka din begäran till alfred@certix.se. Vi kan behöva verifiera din identitet med proportionerliga uppgifter och ska normalt svara inom en månad. Vid komplexa eller många begäranden kan fristen förlängas med två månader; du ska då få information inom den första månaden. För uppgifter i en kunds dokument kontaktar du i första hand det ansvariga företaget; vi bistår det företaget.
Du har rätt att klaga till Integritetsskyddsmyndigheten (IMY): imy.se.
7. Säkerhet och ändringar
Vi använder krypterade anslutningar, inloggning och kontobunden åtkomst till privata rapporter. Ingen tjänst kan garantera absolut säkerhet. Åtkomst, logghantering, leverantörskontroller och rutiner för incidenter måste följas upp löpande. Väsentliga ändringar av denna information meddelas via tjänsten eller kontots e-post när det krävs.