Integritetspolicy

1. Personuppgiftsansvarig

Addable Labs AB, organisationsnummer 559602-2615, momsregistreringsnummer SE559602261501, med säte i Eslöv, Sverige (”vi” eller ”oss”), är personuppgiftsansvarig för den behandling av personuppgifter som beskrivs i denna policy, om inte annat anges nedan. Frågor om behandlingen av personuppgifter ställs till support@fluentor.se.

När en organisation använder tjänsten är organisationen personuppgiftsansvarig för den behandling som sker när medlemmarna skickar in självskattningar till organisationen och för de uppgifter som den lägger in om sina medlemmar, såsom roll, team och rapporteringsväg. Vi behandlar dessa uppgifter för organisationens räkning som personuppgiftsbiträde enligt personuppgiftsbiträdesavtalet (se punkt 8). Organisationen ansvarar för att informera dig om sin behandling. Vi är personuppgiftsansvariga för din inloggning, ditt visningsnamn och ditt språkval, för ditt privata konto, för självskattningar som du inte har skickat in till en organisation och för faktureringsuppgifter.

Du loggar in en gång med din e-postadress och kan ha flera konton bakom inloggningen: ett i varje organisation som du tillhör och ett privat konto som inte hör till någon organisation. I ett konto i en organisation bestämmer organisationen över de uppgifter som den är personuppgiftsansvarig för enligt ovan; ingen organisation har åtkomst till ditt privata konto. Det som du skattar för egen del, i ditt privata konto eller i en roll som du inte har, visas för dig i vart och ett av dina konton och är inte synligt för någon organisation, om du inte själv skapar en länk till det. En organisation som bjuder in dig får inte veta något om dina övriga konton.

2. Personuppgifter som vi behandlar

Vi behandlar följande personuppgifter:

• Din e-postadress, som används för inloggning och för att skicka inbjudningar och meddelanden om tjänsten, samt tidpunkterna för dina inloggningar.
• Ditt visningsnamn och ditt språkval, om du anger dem, samt hur ofta du vill göra en ny självskattning.
• Dina svar: vilken nivå från 1 till 5 som du har valt inom varje område, vilken version av mognadsmodellen och vilken roll svaren avser samt när du slutförde och skickade in självskattningen.
• Om du gör en självskattning för din organisation utan att skicka in den: om du har bett att bli påmind om den senare och i så fall vilken dag samt om påminnelsen har upphört och varför: för att du bad att inte bli påmind igen, för att ditt medlemskap i organisationen avslutades eller för att du gjorde den innan påminnelsen infördes. Bara du kan se detta. Det raderas tillsammans med självskattningen.
• Din aktuella nivå inom varje område, historiken över ändringar av den och den kommentar som du skriver när du höjer en nivå.
• Nästa steg som du väljer, områden som du markerar som blockerade och den motivering som du anger, samt vilka tips som du har erbjudits och markerat som genomförda.
• Om du använder Vägledning utanför en organisation: när din provperiod inleddes och när den upphör, inbegripet en eventuell förlängning som vi har beviljat.
• För varje organisation som du tillhör: ditt medlemskap och de uppgifter som organisationen lämnar om dig – din roll, ditt team, din plats i organisationens rapporteringsstruktur och när medlemskapet inleddes eller avslutades.
• Ändringar i din organisations team eller rapporteringsstruktur som väntar på godkännande eftersom de skulle låta någon se fler personers enskilda resultat eller placera någon över fler personer: ändringen, vem som bad om den, vem som ombads godkänna den och om vi har skickat e-post till den personen, vilka medlemmar den skulle påverka och hur, om den godkändes, avslogs, drogs tillbaka eller inte genomfördes, samt när. Bara den som bad om ändringen och den som ombads godkänna den kan se den; övriga som den gäller kan ladda ned sin egen del av den.
• Förfrågningar om att göra en ny självskattning som skickas till dig inom din organisation: vilket team förfrågan gäller, om den kom från ägaren eller från teamets chef, sista dag att skicka in, om vi har skickat e-post till dig om den och om du skickade in en självskattning som svar. Den som kan se förfrågan ser bara om du har skickat in, inte om du har gjort en självskattning och behållit den privat.
• Länkar till resultat som du skapar och inbjudningar som skickas till en e-postadress.
• Om vi slutar skicka e-post till en adress, oavsett om den har ett konto eller inte, sparar vi en notering om orsaken (kunde inte levereras, anmäldes som skräppost eller inbjudningar avböjdes) och datumet, men inte själva adressen.
• För betalande organisationer: en organisation som betalar med kort lämnar sitt namn, sin faktureringsadress och, om den vill, sitt momsregistreringsnummer till vår betalningsleverantör Stripe på Stripes betalningssida. Vi lämnar organisationens ägares e-postadress till Stripe för kvitton och fakturor och ändrar den när ägaren byts. Kortuppgifterna går till Stripe och når aldrig oss. Vi sparar Stripes kundnummer för organisationen, om ett kort är sparat och om en betalning är försenad. För varje debitering sparar vi fakturans nummer, belopp och status.
• Om du kontaktar oss via kontaktformuläret: namn, företag, e-postadress och meddelande.
• Om du anmäler missbruk: det du skriver, den adress du anger (om någon), ditt konto om du är inloggad och vad anmälan gäller, till exempel en länk till ett resultat eller en organisation. Gäller en anmälan en länk till ditt resultat sparar vi vilken länk det är och vems resultat den visar tillsammans med anmälan. Anmälningar sparas i 12 månader.
• Om du, innan du kan logga in, ber att få besked när tjänsten öppnar eller tackar ja till en inbjudan innan vi har släppt in din adress: din e-postadress, vilket språk du använde och när du gjorde det. Uppgifterna används för att ge dig besked när vi släpper in din adress. Du kan när som helst begära att de raderas genom att kontakta oss på den adress som anges i punkt 1.
• Om du har beviljats tillgång till tjänsten innan den är öppen för alla: din e-postadress, när tillgången beviljades och eventuella anteckningar som vi gör i samband med det.
• Uppgifter om begäranden som du gör enligt Europaparlamentets och rådets förordning (EU) 2016/679 (dataskyddsförordningen) och, om du har skapat eller äger en organisation, uppgift om att du har godkänt användarvillkoren och personuppgiftsbiträdesavtalet för organisationens räkning, med din e-postadress.
• Om din organisations ägare inte längre kan företräda den och en person som har rätt att företräda organisationen skriftligen ber oss göra en annan medlem till ägare: adressen som begäran kom från, organisationsnumret, de berörda medlemmarna, vilket slags handling som visade personens behörighet och dess datum, samt en anteckning om vad vi kontrollerade.
• När du besöker startsidan eller de här juridiska sidorna: sidan, webbplatsen som länkade hit, din ungefärliga plats (land och, där Vercel registrerar det, region och stad), typ av enhet, webbläsare och operativsystem samt om du tryckte på knappen på startsidan för att komma igång. Vi räknar detta med Vercel Web Analytics utan kakor och utan att spara något på din enhet. Vi ser bara summor.
• Server- och säkerhetsloggar hos oss och våra leverantörer, som innehåller IP-adresser och, i våra egna loggar, vilket konto som gjorde ett anrop, vad som efterfrågades och svaret, samt granskningsposter om åtgärder som rör ditt konto. För att förhindra missbruk sparar vi dessutom vid vissa anrop ett hashvärde av IP-adressen, som gallras löpande.
• För en telefon som har registrerats för push-aviseringar: den token som telefonen tilldelar för att Apple ska kunna leverera aviseringar till den, vilken av Apples två servermiljöer den hör till, appens version och när vi senast tog emot den. För närvarande kan endast Fluentors egen personal registrera en telefon. Den enda avisering som skickas meddelar dem att en organisation har begärt att få delta i en förhandsvisning. En token som vi inte har tagit emot på 90 dagar raderas. De påminnelser som Fluentor-appen visar schemaläggs på telefonen och skickas inte via Apple.

3. Uppgifter som vi inte behandlar

Vi lagrar inga lösenord. Inloggning sker enbart med engångslänk via e-post. Tjänsten är utformad så att lösenord inte kan lagras.

Vi tar aldrig emot och sparar aldrig kortuppgifter. De anges på Stripes betalningssida och stannar hos Stripe.

Vi använder inga kakor eller liknande tekniker för analys, annonsering eller spårning och vi varken säljer personuppgifter eller lämnar ut dem för marknadsföring. Vi använder inte dina uppgifter för att träna AI-modeller.

Vi efterfrågar inte känsliga personuppgifter (särskilda kategorier av personuppgifter enligt artikel 9 i dataskyddsförordningen). Du bör inte lämna sådana uppgifter i fritextfält, till exempel i en kommentar eller en motivering.

4. Ändamål och rättslig grund

För att tillhandahålla tjänsten åt dig – skapa och administrera din inloggning och dina konton, spara och visa dina självskattningar och tillhandahålla funktionerna för organisationer – är den rättsliga grunden att behandlingen är nödvändig för att fullgöra avtalet med dig (artikel 6.1 b i dataskyddsförordningen).

För att upprätthålla tjänstens säkerhet, förhindra missbruk och förbättra tjänsten på aggregerad nivå är den rättsliga grunden vårt berättigade intresse av detta (artikel 6.1 f), efter en avvägning mot dina intressen och grundläggande rättigheter.

För att besvara förfrågningar som skickas via kontaktformuläret och, om du har bett om det, meddela dig när tjänsten öppnar, är den rättsliga grunden vårt berättigade intresse av att besvara dig (artikel 6.1 f). Vi skickar endast det meddelande som du har bett om. För att avgöra vem som får logga in innan tjänsten är öppen för alla är den rättsliga grunden att behandlingen är nödvändig för att fullgöra avtalet med dig eller för att vidta åtgärder på din begäran innan ett sådant avtal ingås (artikel 6.1 b).

För att ta betalt för betalda planer, med kort via Stripe, är den rättsliga grunden att behandlingen är nödvändig för att fullgöra avtalet med organisationen (artikel 6.1 b) och, för de personer som företräder den, vårt berättigade intresse av att få betalt (artikel 6.1 f).

För att fullgöra skyldigheter enligt bokförings- och skattelagstiftningen avseende betalda abonnemang är den rättsliga grunden rättslig förpliktelse (artikel 6.1 c).

När en organisation behandlar uppgifter om sina medlemmar i tjänsten är organisationen personuppgiftsansvarig och fastställer själv den rättsliga grunden för sin behandling. Samtycke är sällan en lämplig rättslig grund i ett anställningsförhållande.

5. Vem som kan se dina uppgifter

Vem som kan se dina uppgifter framgår av följande:

• En självskattning är ett privat utkast till dess att du skickar in den till organisationen. Organisationens ägare väljer vem som ser inskickade resultat: dina chefer eller ingen. Valet gäller direkt för alla resultat, även de som redan är inskickade. Ägaren kan ändra det när som helst. Har ägaren valt dina chefer ser cheferna över dig och ägaren, när du har skickat in en självskattning, din nivå inom varje område och när du slutförde självskattningen, liksom dina tidigare inskickade självskattningar. Med cheferna över dig avses chefen för det team som du tillhör eller, om du själv är chef för teamet, chefen för teamet närmast ovanför, samt chefen för varje team ovanför det; byts någon av dem ut ser den nya chefen även dina tidigare inskickade självskattningar. Är du ägare ser ingen dina resultat på individnivå. Har ägaren valt ingen ser bara du dina resultat. En självskattning som inte har skickats in är inte synlig för någon annan i organisationen.
• Har ägaren valt dina chefer ser de och ägaren även de nästa steg som du har valt utifrån ett inskickat resultat, utom dem som du har lagt åt sidan. De ser också de områden som du har markerat som blockerade, inklusive den motivering som du har angett.
• Chefer ser sammanställda resultat, såsom snittvärden per område och utvecklingen över tid, för de team som de ansvarar för. Ägaren ser dem för hela organisationen. Sammanställda resultat visar inga enskilda svar utöver vad som anges i detta avsnitt. Har ägaren valt att ingen ser resultat visas inga sammanställda resultat.
• Organisationens ägare ser vilka medlemmar som har skickat in en självskattning och när. Cheferna över dig ser det för dig. Har ägaren valt att ingen ser resultat ser de bara om du har skickat in, inte när. Har organisationen tillgång till tjänstens API kan ägaren ge andra system åtkomst till medlemsförteckningen – namn, e-postadress, roll, team, datum och uppgift om inskickande – och till de snittvärden ägaren ser, men aldrig till enskilda svar eller nivåer.
• Övriga medlemmar ser aldrig dina enskilda nivåer. Ingen inställning kan göra dem synliga; det enda sättet är en länk som du själv skapar. Utöver det ser en medlem som varken är ägare eller chef för ett team inga uppgifter om dig, förutom ditt visningsnamn om du är ägare eller chef för ett team. Ägaren och cheferna ser ditt visningsnamn. Har du inte angett något visningsnamn ser ägaren i stället din e-postadress. Chefen för ditt team eller för något team ovanför det ser den också.
• Snittvärden visas bara för ägaren och för chefer, aldrig för andra medlemmar. Har ägaren valt att ingen ser resultat visas de för ingen. Ägaren och cheferna över dig ser alltid det aktuella snittet, även när gruppen är liten. Om bara dina svar ingår i ett snitt visar det din nivå. Det ingår i deras uppgift att veta var de personer de leder står. Om ägaren tillåter det kan andra chefer se snittet för teamet ovanför sitt eget och för hela organisationen. Där ingår du alltid i en grupp på minst tre personer. Snittet uppdateras först när minst tre personer utanför chefens egna team har ändrat sina svar.
• En länk som du skapar gör det aktuella resultatet läsbart för var och en som har tillgång till länken, utan inloggning. En länk upphör att gälla efter 90 dagar och kan när som helst återkallas. Organisationen kan stänga av länkar och inställningen gäller även ägaren. Så länge den är avstängd kan inga nya länkar skapas i organisationens konto och länkar som redan har skapats där slutar öppnas, även en länk till ditt eget resultat som du har skapat i det kontot. De öppnas igen om organisationen slår på inställningen igen, om de inte har upphört att gälla eller återkallats. En länk i ditt privata konto till ett resultat som är ditt eget, utanför en organisation, påverkas inte.
• En organisation ser endast det som hör till ditt konto i den organisationen, enligt reglerna ovan. Ingenting som du gör i ditt privata konto, eller i ditt konto i en annan organisation, är synligt för den, med undantag för ditt visningsnamn (som är detsamma i alla dina konton) och ett resultat som du har skapat en länk till.
• Personer utanför din organisation har inte åtkomst till dina uppgifter, med undantag för den som har tillgång till en länk som du har skapat, den begränsade åtkomst som vår personal behöver för drift och support och den behandling hos våra personuppgiftsbiträden som anges i punkterna 6 och 7. Åtskillnaden mellan organisationer upprätthålls i databasen genom behörighetsregler på radnivå och inte enbart i applikationen.

6. Var uppgifterna behandlas

Dina svar och dina kontouppgifter lagras i tjänstens databas hos Supabase i regionen eu-north-1 (Stockholm). Tjänstens serverfunktioner körs hos Vercel i regionen arn1 (Stockholm). E-post skickas via Resend från regionen eu-west-1 (Irland).

Våra leverantörer är etablerade utanför EU/EES. Vissa uppgifter behandlas i tredjeland: Supabase behandlar driftloggar i Google Cloud och lämnar support från USA; Vercel anger att dess huvudsakliga behandlingsanläggningar finns i USA; Resend lagrar kontouppgifter, metadata om skickad e-post och loggar i USA. Överföringarna till Vercel och Resend sker med stöd av Europeiska kommissionens beslut om adekvat skyddsnivå för ramverket för dataskydd mellan EU och USA (EU–US Data Privacy Framework) och, om beslutet skulle upphöra att gälla för dem, med stöd av kommissionens standardavtalsklausuler, som båda har avtalat med oss. Överföringarna till Supabase sker med stöd av standardavtalsklausulerna.

Kortbetalningar, fakturor och kvitton hanteras av Stripe Payments Europe, Limited, Irland. Stripe anger att det kan behandla uppgifter i alla länder där det bedriver verksamhet och överför uppgifter till Stripe, LLC i USA. Överföringarna till USA sker med stöd av Europeiska kommissionens beslut om adekvat skyddsnivå för ramverket för dataskydd mellan EU och USA (EU–US Data Privacy Framework), där Stripe, LLC är certifierat. Skulle beslutet upphöra att gälla sker överföringarna med stöd av kommissionens standardavtalsklausuler i Stripes personuppgiftsbiträdesavtal. En kopia av skyddsåtgärderna kan begäras hos support@fluentor.se.

Push-aviseringar till Fluentor-appen levereras genom Apple Push Notification service av Apple, som för användare inom EU/EES är Apple Distribution International Limited, Irland. Apple behandlar uppgifterna som självständigt personuppgiftsansvarig enligt sin egen integritetspolicy, även vid eventuella överföringar utanför EU/EES. Apple tar emot enhetens token och aviseringens text. För närvarande kan endast Fluentors egen personal registrera en enhet för aviseringar. En aviserings text anger vilken kundorganisation och vilken modul det gäller och innehåller inga personuppgifter om organisationens användare.

7. Personuppgiftsbiträden och andra mottagare

Vi anlitar följande personuppgiftsbiträden. I den mån de behandlar personuppgifter som vi behandlar för en organisations räkning är de underbiträden enligt personuppgiftsbiträdesavtalet.

Supabase, Vercel, Resend och Google publicerar var sin förteckning över de underbiträden de själva anlitar: supabase.com/legal/customer-resources/subprocessor-list, vercel.com/legal/sub-processors, resend.com/legal/subprocessors och workspace.google.com/terms/subprocessors.

Apple tar emot de uppgifter som behövs för att leverera push-aviseringar enligt punkt 6, som självständigt personuppgiftsansvarig; Apple är inte vårt personuppgiftsbiträde och inte underbiträde enligt personuppgiftsbiträdesavtalet.

• Supabase (Supabase Pte. Ltd., Singapore) – databas och autentisering. Databasen finns i Stockholm; driftloggar behandlas i Google Cloud och support lämnas från USA.
• Vercel (Vercel Inc., USA) – drift av applikationen och räkning av besök på de offentliga sidorna. Serverfunktionerna körs i Stockholm; Vercels huvudsakliga behandlingsanläggningar finns i USA.
• Cloudflare (Cloudflare, Inc., USA) – kontroll av att en inloggning görs av en människa (Turnstile). Alla som öppnar eller skickar formuläret för inloggning når Cloudflare, oavsett om adressen har släppts in eller inte: webbläsaren eller Fluentor-appen skickar IP-adressen, tekniska uppgifter om webbläsaren och svaret på en kontrollfråga till Cloudflare. När formuläret skickas skickar vi den token som det gav och IP-adressen till Cloudflare för kontroll. Cloudflare behandlar detta i sitt nät av datacenter, som omfattar datacenter utanför EU/EES, med stöd av ramverket för dataskydd mellan EU och USA (EU–US Data Privacy Framework). Cloudflare använder det även som självständigt personuppgiftsansvarig för att förbättra sitt skydd mot automatiserad trafik. Cloudflare är inte underbiträde enligt personuppgiftsbiträdesavtalet.
• Resend (Plus Five Five, Inc., USA) – utskick av inloggningslänkar, inbjudningar och meddelanden om tjänsten. E-post skickas från Irland; kontouppgifter, metadata om skickad e-post och loggar lagras i USA.
• Google (Google Cloud EMEA Limited, Irland) – vår e-post. Google kan behandla e-posten utanför EU/EES med stöd av de skyddsåtgärder som anges i Googles villkor för personuppgiftsbehandling.
• Stripe (Stripe Payments Europe, Limited, Irland) – kortbetalningar, fakturor och kvitton, endast för betalande organisationer. Stripe behandlar betalningsuppgifterna för vår räkning. För sina egna ändamål, till exempel att förhindra bedrägerier och fullgöra sina rättsliga skyldigheter, bland annat regler mot penningtvätt, är Stripe självständigt personuppgiftsansvarig enligt sin egen integritetspolicy (stripe.com/privacy). Stripe är inte underbiträde enligt personuppgiftsbiträdesavtalet.
• Vårt bokföringssystem – endast för betalande organisationer och endast för det som deras fakturor från Stripe visar.

8. Behandling för organisationers räkning

När vi är personuppgiftsbiträde åt en organisation regleras behandlingen av personuppgiftsbiträdesavtalet, som organisationen godkänner när den skapas i tjänsten och vars senare versioner dess ägare godkänner i tjänsten. Ett undertecknat exemplar av avtalet kan begäras hos support@fluentor.se.

9. Säkerhet och personuppgiftsincidenter

Åtkomsten till uppgifterna styrs av behörighetsregler på radnivå i databasen, som är utformade så att ett fel i applikationen inte ska kunna ge åtkomst till en annan organisations uppgifter. Inskickade självskattningar kan inte ändras, vilket upprätthålls i databasen. Uppgifterna krypteras vid överföring och vid lagring. Nycklarna i länkar och inbjudningar är långa slumpmässiga värden. Applikationen skickar säkerhetsrelaterade HTTP-huvuden som hindrar att den bäddas in på andra webbplatser.

Om en personuppgiftsincident inträffar i en behandling som vi är personuppgiftsansvariga för anmäler vi den till Integritetsskyddsmyndigheten (IMY) utan onödigt dröjsmål och om möjligt inom 72 timmar, om det inte är osannolikt att incidenten medför en risk för dina rättigheter och friheter. Om incidenten sannolikt medför en hög risk för dig informerar vi dig utan onödigt dröjsmål. När din organisation är personuppgiftsansvarig underrättar vi organisationen, som beslutar om anmälan.

10. Lagringstid

Din inloggning, dina konton och din profil sparas så länge din inloggning finns. Detsamma gäller dina självskattningar, eftersom tjänstens syfte är att du ska kunna jämföra tidigare resultat med nya. Har ditt konto inte använts på två år raderar vi det. Vi mejlar dig 30 dagar innan och behåller kontot om du loggar in. Har du varit medlem i en organisation kontrollerar vi först att inget hindrar det.

Du kan begära radering från din profilsida. Raderingen omfattar din inloggning och alla konton bakom den. Har du inget konto i en organisation raderas din inloggning omedelbart. Har du ett sådant konto prövar vi begäran och besvarar den inom en månad, eftersom varje organisation är personuppgiftsansvarig för de självskattningar som du har skickat in till den. Vid radering tas din inloggning och de uppgifter som är knutna till den bort, bland annat din profil, dina självskattningar och svar, dina nästa steg, dina markeringar av blockerade områden och dina länkar. Kvar finns uppgiften om din begäran, som sparas enligt vad som anges nedan.

Avslutar organisationens ägare ditt medlemskap tas dina resultat bort ur organisationens snittvärden och du förlorar åtkomsten till organisationen. De självskattningar som du har skickat in till organisationen sparas dock och blir synliga på nytt om medlemskapet återaktiveras; de raderas när din inloggning raderas. Tas organisationen bort finns dina självskattningar kvar hos dig, i ditt privata konto, utan koppling till organisationen.

Därutöver gäller följande lagringstider:

• Uppgifterna om en provperiod med Vägledning sparas så länge ditt konto finns.
• En token för aviseringar raderas 90 dagar efter att vi senast tog emot den.
• En inbjudan gäller i 14 dagar. En inbjudan som inte har accepterats raderas 30 dagar efter att den upphörde att gälla. En accepterad inbjudan raderas 90 dagar efter att den accepterades.
• En länk till ett resultat gäller i 90 dagar och raderas 90 dagar efter att den upphörde att gälla eller återkallades.
• En förfrågan om att göra en självskattning raderas 3 månader efter sista dagen att skicka in.
• Uppgifterna om en ändring i team eller rapporteringsstruktur som väntade på godkännande raderas 12 månader efter att ändringen godkändes, avslogs, drogs tillbaka eller inte genomfördes.
• Förfrågningar via kontaktformuläret och anmälningar om att få besked när tjänsten öppnar raderas efter 12 månader. En adress som står på listan för att en inbjudan har accepterats raderas tidigare om organisationen drar tillbaka inbjudan.
• Uppgiften om att en e-postadress har beviljats tillgång innan tjänsten öppnar sparas så länge adressen får logga in och raderas när inloggningen raderas.
• Databasen säkerhetskopieras dagligen och en säkerhetskopia sparas i sju dagar. Det du raderar är därför borta ur våra säkerhetskopior senast sju dagar senare.
• Uppgifter om begäranden enligt dataskyddsförordningen sparas i tre år från beslutet.
• Om ett mejl till en adress inte kunde levereras och felet var bestående, eller om mottagaren markerade vårt mejl som skräppost, skickar vi inga fler inbjudningar eller andra meddelanden från tjänsten till adressen. Inloggningslänkar skickas fortfarande. Uppgiften om stoppet sparas tills vi häver det.
• Om du stoppar en organisations inbjudningar till din adress sparas uppgiften så länge stoppet gäller och raderas när vi häver det. Därefter kan organisationen bjuda in dig igen.
• Uppgiften om att en organisation har godkänt användarvillkoren och personuppgiftsbiträdesavtalet sparas så länge den behövs som bevis om avtalet. E-postadressen till den som godkände tas bort efter 12 månader, eller tidigare om personens inloggning raderas.
• Uppgifterna om att vi har bytt ägare för en organisation sparas i 3 år efter bytet. Adressen som begäran kom från tas bort efter 12 månader.
• Stripes kundnummer för en organisation sparas så länge organisationen finns. När organisationen tas bort raderar vi den även hos Stripe, så att inget kort finns kvar sparat; Stripe sparar det som lagen kräver enligt sin egen integritetspolicy.
• Meddelandena som Stripe skickar oss om betalningar sparas i 90 dagar.
• Räkenskapsinformation sparas så länge bokföringslagen (1999:1078) kräver, för närvarande till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades.
• Vercel kastar det värde som skiljer ett besök på de offentliga sidorna från ett annat efter 24 timmar. Summorna finns tillgängliga för oss i 12 månader och Vercel kan spara dem längre.
• Våra egna server- och säkerhetsloggar sparas i högst 90 dagar. Våra leverantörer sparar sina under en begränsad tid enligt sina villkor.
• Granskningsposter om åtgärder som rör ditt konto sparas så länge åtgärden gäller eller behövs som bevis för den.

11. Dina rättigheter

Enligt dataskyddsförordningen har du rätt att begära tillgång till dina personuppgifter, rättelse, radering och begränsning av behandlingen samt att få ut dina uppgifter i ett strukturerat, maskinläsbart format (dataportabilitet). En stor del av detta kan du göra själv i tjänsten. I övrigt kan du skriva till support@fluentor.se; vi besvarar din begäran inom en månad. När din organisation är personuppgiftsansvarig kan du även vända dig direkt till organisationen.

Rätt att invända. När vi behandlar dina personuppgifter med stöd av vårt berättigade intresse (artikel 6.1 f) har du rätt att när som helst invända mot behandlingen av skäl som hänför sig till din särskilda situation. Vi upphör då med behandlingen, om vi inte kan visa tvingande berättigade skäl som väger tyngre än dina intressen, rättigheter och friheter eller om behandlingen sker för att fastställa, utöva eller försvara rättsliga anspråk.

Att lämna din e-postadress är ett villkor för att kunna logga in; utan den kan vi inte tillhandahålla tjänsten. Du är inte skyldig att lämna några uppgifter till oss, men utan de svar som du lämnar i en självskattning kan tjänsten inte visa något resultat. Vi fattar inga beslut som enbart grundas på automatiserad behandling och som har rättsliga följder för dig eller på liknande sätt i betydande grad påverkar dig (artikel 22).

Anser du att vi behandlar dina personuppgifter i strid med dataskyddsförordningen har du rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy@imy.se, eller till tillsynsmyndigheten i det land där du bor eller arbetar.

12. Kakor och lokal lagring

Tjänsten använder endast kakor som är nödvändiga för att tillhandahålla den tjänst som du har begärt: kakor som håller dig inloggad, en kaka som minns vilket språk du har valt och en kaka som i tio minuter sparar din inloggningsbegäran så att inloggningslänken tar dig tillbaka dit du började. Kakorna används inte för analys, annonsering eller profilering. Därför krävs inte ditt samtycke (9 kap. 28 § lagen (2022:482) om elektronisk kommunikation). Dina val av tema och navigeringslayout sparas i webbläsarens lokala lagring och skickas inte till oss. Fluentor-appen sparar en kopia av dina senaste uppgifter på enheten så att den kan öppnas snabbt; kopian raderas när du loggar ut. Betalar din organisation med kort sätter Stripes betalningssida, på Stripes egen webbplats, Stripes kakor, bland annat en som används för att förhindra bedrägerier; Stripes integritetspolicy gäller för dem. Besök på de offentliga sidorna räknas utan kakor; se punkt 2.

13. Ändringar i policyn

Vi uppdaterar denna policy när tjänsten eller behandlingen ändras. Datumet överst på sidan anger vilken version som gäller. Väsentliga ändringar av hur vi behandlar dina personuppgifter publiceras här innan de börjar gälla, tillsammans med datumet då de börjar gälla.