Sekretesspolicy

1. Vem ansvarar för vad

Styrra AB, org.nr [organisationsnummer], [adress, postnummer, ort], är personuppgiftsansvarig för uppgifter om användare av Styrra (konto, inloggning, fakturering, support och produktanvändning) och för webbplatsens besökare.

För uppgifter som finns i Kundens ekonomisystem och underlag (leverantörer, kunder, anställda i lönebokföring, fakturor, kvitton) är Kunden personuppgiftsansvarig och Styrra personuppgiftsbiträde. Då behandlar vi uppgifterna endast enligt Kundens instruktioner och personuppgiftsbiträdesavtalet (DPA). Vänd dig i första hand till det bolag vars uppgifter det gäller.

Frågor om dataskydd: dataskydd@styrra.se.

2. Vilka uppgifter vi behandlar och varför

• Kontouppgifter: namn, e-postadress, inloggningsmetod, roll och organisation. Ändamål: tillhandahålla tjänsten. Rättslig grund: avtal (art. 6.1 b) eller berättigat intresse (art. 6.1 f) när användaren är ombud för Kunden.
• Faktureringsuppgifter via Stripe: kontaktperson, adress, betalningshistorik. Kortuppgifter lagras hos Stripe, inte hos oss. Rättslig grund: avtal och rättslig förpliktelse (bokföringslagen).
• Användning och logguppgifter: IP-adress, enhet, tidpunkter, handlingar i tjänsten, godkännanden och bekräftelser (granskningslogg). Ändamål: säkerhet, felsökning, bevisning om vad som godkänts, förebygga missbruk. Rättslig grund: berättigat intresse och, för granskningsloggen, avtal.
• Godkännande av villkor: version, tidpunkt, användare och teknisk metadata (IP-adress, webbläsare). Ändamål: kunna visa att villkoren godkänts. Rättslig grund: berättigat intresse.
• Supportärenden och kommunikation med oss. Rättslig grund: avtal och berättigat intresse.
• Kunddata som behandlas som biträde: se DPA:n.

3. AI-behandling

För att svara på frågor och ta fram förslag skickas relevant utdrag av Kunddata (till exempel verifikationer, fakturatext och frågan du ställer) till språkmodeller via vår AI-gateway. Modellleverantörerna är underbiträden och får inte använda uppgifterna för att träna sina modeller; vi konfigurerar och avtalar om det.

Vi fattar inte beslut som har rättsliga följder för enskilda enbart genom automatiserad behandling. Alla förslag som ändrar bokföringen godkänns av en människa hos Kunden innan de utförs.

Skicka inte uppgifter om hälsa, fackmedlemskap, brott eller andra särskilda kategorier av personuppgifter (art. 9 och 10), eller personnummer, till Styrra om det inte är nödvändigt för bokföringen.

4. Mottagare och underbiträden

Vi delar uppgifter med leverantörer som behövs för tjänsten, enligt förteckningen i DPA:ns bilaga 3: molninfrastruktur och databas, hosting, betalning, AI-modeller via gateway samt de ekonomisystem Kunden själv ansluter. Vi säljer inte personuppgifter och använder dem inte för reklam från tredje part.

Myndigheter och andra får uppgifter endast när lagen kräver det.

5. Överföring utanför EU/EES

Vissa underbiträden, särskilt AI-modellleverantörer och molntjänster, kan behandla uppgifter i USA eller annat tredjeland. Överföringen sker med stöd av ett beslut om adekvat skyddsnivå (till exempel EU–US Data Privacy Framework) eller EU-kommissionens standardavtalsklausuler, kompletterade med skyddsåtgärder som kryptering och dataminimering. Kopia av tillämpliga skyddsåtgärder kan begäras via e-post.

6. Hur länge vi sparar uppgifter

• Konto- och användningsuppgifter: så länge kontot finns och därefter högst 12 månader, om inte längre tid krävs för rättsliga krav.
• Faktureringsunderlag: sju år efter utgången av räkenskapsåret (bokföringslagen).
• Granskningslogg och villkorsgodkännanden: så länge avtalet gäller och därefter upp till tio år för att kunna försvara rättsliga anspråk. Loggen är oföränderlig och kan därför inte raderas i enskilda delar; personuppgifter i loggen begränsas till användar-ID och e-postadress.
• Kunddata: raderas enligt DPA:n, normalt inom 30 dagar efter att exportperioden har löpt ut.

7. Dina rättigheter

Du har rätt att begära tillgång till, rättelse och radering av dina uppgifter, begränsning av behandling, invända mot behandling som grundas på berättigat intresse och få ut uppgifter i ett maskinläsbart format (dataportabilitet). Kontakta oss på dataskydd@styrra.se. Vi svarar inom en månad. Gäller uppgifterna Kundens ekonomisystem hänvisar vi till Kunden.

Du har rätt att klaga till Integritetsskyddsmyndigheten (IMY), www.imy.se.

8. Säkerhet och incidenter

Vi skyddar uppgifter med bland annat kryptering vid överföring och lagring, åtkomstkontroll per organisation (radnivåsäkerhet), minsta möjliga behörighet, oföränderlig granskningslogg och regelbunden sårbarhetshantering. Vid en personuppgiftsincident informerar vi berörda kunder utan onödigt dröjsmål. Ingen tjänst är helt säker, och vi kan inte garantera att incidenter aldrig inträffar.

9. Kakor

Vi använder endast nödvändiga kakor för inloggning, val av organisation och temainställning. Vi använder inga reklam- eller spårningskakor. Om det ändras uppdaterar vi denna policy och inhämtar samtycke när det krävs.

10. Ändringar

Vi kan uppdatera policyn. Väsentliga ändringar meddelas i tjänsten eller via e-post. Senast uppdaterad: se versionsdatumet på sidan.