Integritetspolicy

1. Introduktion

Insight Engineering AB ("ClaudiaAI", "vi", "oss", "vår") respekterar din integritet och är engagerade i att skydda dina personuppgifter. Denna integritetspolicy förklarar hur vi samlar in, använder, lagrar och skyddar dina personuppgifter i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR) och svensk dataskyddslagstiftning.

2. Personuppgiftsansvarig och personuppgiftsbiträde

Insight Engineering AB har två roller:

• Personuppgiftsansvarig för ditt konto, din prenumeration och vår faktura till dig (namn, e-post, organisationsuppgifter, betalningshistorik).
• Personuppgiftsbiträde för kvitton, chatt, uppladdade filer, Fortnox-utdrag, index och personnummer som du lägger in i tjänsten. Då är du (din organisation) personuppgiftsansvarig.

Fortnox är ditt bokföringssystem. Fortnox är inte vårt personuppgiftsbiträde. Villkoren för vår behandling som biträde finns i personuppgiftsbiträdesavtalet.

3. Vilka Personuppgifter Vi Samlar In

3.1 Kontouppgifter

• E-postadress
• Namn (för- och efternamn)
• Organisationsnamn och organisationsnummer
• Telefonnummer (frivilligt)
• Lösenord (krypterat)

3.2 Användningsdata

• AI-interaktioner och antal tokens använda
• Valfri röstinmatning i chatten (ClaudiaAI lagrar inte ljud — se 6.8)
• Verktygsanvändning (vilka AI-verktyg som använts)
• Fil-metadata (filnamn, storlek, uppladdningsdatum)
• Rapport- och ändringshistorik
• Inloggningsaktivitet och sessionsdata
• IP-adress och webbläsarinformation (User-Agent)

3.3 Betalningsdata

• Faktureringsadress
• Prenumerationshistorik
• Betalningsmetod (hanteras av Stripe - vi lagrar INTE kortuppgifter)

3.4 Uppladdade filer och kunddata (du är ansvarig)

• Excel-filer, CSV-filer, textfiler, PDF-filer, bilder (kvitton, kontoutdrag)
• Chattmeddelanden och AI-genererade rapporter och ändringsförslag
• Fortnox-utdrag och index (fakturor, verifikat, kunder) som cacheas hos oss för att leverera tjänsten
• Personnummer, om du lägger in dem (t.ex. i underlag eller vid personsök)

3.5 API-anslutningar

• OAuth-tokens för Fortnox (krypterade i databasen)
• Anslutningsstatus och senaste synkroniseringstidpunkt

3.6 Kommunikation

• E-postkorrespondens med support
• Feedback och funktionsförfrågningar

4. Rättslig Grund för Behandling (GDPR Art. 6)

Vi behandlar dina personuppgifter baserat på följande rättsliga grunder:

4.1 Avtal (Art. 6.1b)

Behandling är nödvändig för att fullgöra vårt avtal med dig (tillhandahålla tjänsten):

• Skapa och hantera ditt konto
• Leverera AI-tjänsten
• Hantera prenumerationer och betalningar
• Teknisk support

För kvitton, chatt, Fortnox-utdrag och personnummer behandlar vi uppgifterna som biträde enligt dina instruktioner (GDPR art. 28). Den rättsliga grunden mot de registrerade är din, inte vår.

4.2 Rättslig förpliktelse (Art. 6.1c)

Behandling är nödvändig för att uppfylla rättsliga skyldigheter:

• Bokföringslagen för våra fakturor till dig (7 år). Det gäller inte dina räkenskaper i Fortnox eller uppladdade underlag
• Skattelagstiftning
• Konsumentskyddslagstiftning

4.3 Berättigat intresse (Art. 6.1f)

Behandling är nödvändig för våra berättigade intressen:

• Säkerhet, drift och felrättning utifrån teknisk användningsdata (inte dina bokföringsunderlag)
• Bedrägeriförebyggande
• Skicka viktiga tjänstemeddelanden (token-varningar, betalningsinfo)

4.4 Samtycke (Art. 6.1a)

För marknadsföring och analytics ber vi om ditt uttryckliga samtycke:

• Nyhetsbrev och produktuppdateringar
• Analytics cookies (Google Analytics / Plausible)
• Marknadsföring via e-post

Du kan när som helst återkalla ditt samtycke utan att det påverkar lagenligheten av behandlingen som skedde innan samtycket återkallades.

5. Ändamål för Personuppgiftsbehandling

Vi använder dina personuppgifter för att:

• Tillhandahålla och leverera AI-tjänsten
• Autentisera och hantera ditt konto
• Processa betalningar och fakturor
• Skicka viktiga tjänstemeddelanden (trial-påminnelser, betalningskvitton, token-varningar)
• Tillhandahålla kundsupport
• Upptäcka och förhindra missbruk, bedrägeri och säkerhetsincidenter
• Uppfylla rättsliga skyldigheter (våra fakturor och skatt)
• Analysera användning och prestanda i anonymiserad, aggregerad form (inte dina räkenskaper)

6. Delning med Tredjepartsleverantörer

Vi anlitar följande leverantörer. För uppgifter där vi är biträde är dessa våra underbiträden, utom Fortnox. Överföring till USA sker med EU-kommissionens standardavtalsklausuler (SCC). Privacy Shield är ogiltigt sedan 2020 och används inte.

6.1 Neon (Databas)

• Ändamål: Lagring av konto, chatt, filmetadata, Fortnox-index och ändringsförslag
• Data: All data som tjänsten sparar
• Placering: EU (Neon)
• Policy: neon.tech/privacy-policy

6.2 Stripe (Betalningar)

• Ändamål: Betalningshantering, prenumerationer
• Data: Namn, e-post, faktureringsadress, betalningsmetod
• Placering: USA (SCC)
• Policy: stripe.com/privacy

6.3 Anthropic (AI-processing)

• Ändamål: AI-analys och textgenerering (Claude API)
• Data: Användarens prompter, uppladdade dokument, AI-svar
• Placering: USA (SCC)
• Policy: anthropic.com/privacy
• Notera: Anthropic använder inte din data för att träna sina modeller

6.4 Resend (E-postutskick)

• Ändamål: Transaktions-e-post, notifikationer
• Data: E-postadress, namn
• Placering: USA (SCC)
• Policy: resend.com/legal/privacy-policy

6.5 Sentry (Felspårning)

• Ändamål: Felsökning och prestandaövervakning
• Data: IP-adress, användar-ID, felloggar
• Placering: USA (SCC)
• Policy: sentry.io/privacy

6.6 Vercel (Hosting)

• Ändamål: Hosting och delivery av webbapplikation
• Data: All data som passerar genom applikationen
• Placering: EU (Stockholm) och USA
• Policy: vercel.com/legal/privacy-policy

6.7 Fortnox (ditt bokföringssystem)

• Ändamål: Du kopplar ditt Fortnox-konto. Godkända ändringar skickas dit på din begäran
• Data: Det du hämtar och det du godkänner att skriva tillbaka
• Roll: Fortnox är inte vårt personuppgiftsbiträde. Deras villkor gäller för data i Fortnox

6.8 Röstinmatning (valfritt)

• Ändamål: Omvandla tal till text i chatten när du använder mikrofonen
• Data: Ljudet skickas till webbläsarens taligenkänning (till exempel Google i Chrome/Edge eller Apple i Safari). ClaudiaAI tar bara emot texten.
• Lagring: ClaudiaAI lagrar inte ljudupptagningar. Texten skrivs i chattfältet så att du kan kontrollera den innan du skickar. Skickad text behandlas som övriga chattmeddelanden (se 6.3).

Internationella överföringar: När vi delar data med leverantörer utanför EU/EES, säkerställer vi att detta sker i enlighet med GDPR genom standardavtalsklausuler (SCC) och andra lämpliga skyddsåtgärder.

7. Lagringstid

Vi lagrar dina personuppgifter endast så länge det är nödvändigt för de ändamål som anges i denna policy eller som krävs enligt lag:

Efter att lagringstiden löpt ut raderas personuppgifterna permanent eller anonymiseras så att de inte längre kan kopplas till dig.

8. Dina Rättigheter enligt GDPR

Enligt GDPR har du följande rättigheter:

8.1 Rätt till tillgång (Art. 15)

Du har rätt att få bekräftelse på om vi behandlar dina personuppgifter och i så fall få tillgång till dessa uppgifter.

Hur: Via inställningar > Data Export eller kontakta info@claraai.se

8.2 Rätt till rättelse (Art. 16)

Du har rätt att få felaktiga personuppgifter rättade och ofullständiga uppgifter kompletterade.

Hur: Via inställningar > Kontoprofil eller kontakta info@claraai.se

8.3 Rätt till radering ("Rätten att bli glömd", Art. 17)

Du har rätt att få dina personuppgifter raderade om:

• De inte längre är nödvändiga för ändamålet
• Du återkallar ditt samtycke
• Du invänder mot behandlingen
• Uppgifterna behandlas olagligt

Undantag: Vi måste behålla våra fakturor till dig i 7 år enligt bokföringslagen. Det är Claudias räkenskaper, inte dina underlag i tjänsten.

Hur: Via inställningar > Ta bort konto eller kontakta info@claraai.se

8.4 Rätt till begränsning av behandling (Art. 18)

Du har rätt att begära att vi begränsar behandlingen av dina personuppgifter under tiden vi utreder en invändning eller begäran om rättelse.

8.5 Rätt till dataportabilitet (Art. 20)

Du har rätt att få ut dina personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format (JSON) och att överföra dessa till en annan personuppgiftsansvarig.

Hur: Via inställningar > Data Export (JSON-format)

8.6 Rätt att göra invändningar (Art. 21)

Du har rätt att invända mot behandling som baseras på berättigat intresse eller utförs för allmänt intresse.

8.7 Rätt att inte bli föremål för automatiserat beslutsfattande (Art. 22)

Vi använder AI för att assistera dig, men alla viktiga beslut (t.ex. godkännande av fakturor) fattas av dig. Du har alltid rätt att få manuell granskning av AI-genererat innehåll.

8.8 Rätt att återkalla samtycke

Om behandling baseras på samtycke har du rätt att när som helst återkalla detta samtycke. Detta påverkar inte lagenligheten av behandling som skedde innan samtycket återkallades.

9. Säkerhetsåtgärder

Vi implementerar lämpliga tekniska och organisatoriska åtgärder för att skydda dina personuppgifter mot obehörig åtkomst, förlust, förstöring eller ändring:

Tekniska åtgärder:

• Kryptering av data i transit (TLS 1.3)
• Kryptering av data i vila (AES-256)
• Krypterade lösenord (bcrypt med salt)
• Krypterade API-nycklar och OAuth-tokens
• Regelbundna säkerhetskopior
• Intrångsdetektering och brandväggar
• Regular security updates och patching

Organisatoriska åtgärder:

• Åtkomstkontroll (principle of least privilege)
• Regelbundna säkerhetsgranskningar
• Sekretessavtal med anställda och leverantörer
• Incidenthanteringsplan för personuppgiftsincidenter
• Regular medarbetarutbildning i dataskydd

Personuppgiftsincident: Om en incident skulle inträffa som riskerar dina rättigheter och friheter kommer vi att anmäla detta till Integritetsskyddsmyndigheten inom 72 timmar och informera dig utan onödigt dröjsmål.

10. Cookies och Spårningsteknologier

Vi använder cookies och liknande teknologier. För detaljerad information, se vår Cookie-policy.

Nödvändiga cookies: Används för autentisering och sessionhantering. Dessa kan inte stängas av.

Analytics cookies: Används för att förbättra tjänsten (kräver samtycke).

11. Barns Integritet

ClaudiaAI är avsedd för företag och riktar sig inte till barn under 16 år. Vi samlar inte medvetet in personuppgifter från barn. Om vi upptäcker att vi oavsiktligt har samlat in uppgifter från ett barn under 16 år kommer vi omedelbart att radera dessa.

12. Ändringar av Integritetspolicyn

Vi kan uppdatera denna integritetspolicy för att återspegla ändringar i vår praxis eller för att uppfylla nya lagkrav. Väsentliga ändringar meddelas via e-post minst 30 dagar innan de träder i kraft.

Den senaste versionen publiceras alltid på denna sida med uppdaterat datum.

13. Klagomål till Tillsynsmyndighet

Om du anser att vi behandlar dina personuppgifter på ett felaktigt sätt har du rätt att lämna in ett klagomål till tillsynsmyndigheten:

Vi uppmuntrar dig dock att först kontakta oss på info@claraai.se så att vi kan försöka lösa eventuella problem direkt.

14. Kontakta Oss

Vid frågor om denna integritetspolicy eller hur vi behandlar dina personuppgifter: