Integritetspolicy

Har du frågor om hur vi behandlar dina personuppgifter, eller vill utöva dina rättigheter, kontaktar du oss på privacy@xzetra.com.

Vi behandlar följande kategorier av personuppgifter beroende på hur du interagerar med oss:

Vi samlar inte in känsliga personuppgifter (t.ex. hälsouppgifter, etniskt ursprung eller politiska åsikter) och ber dig att inte lämna sådana uppgifter i systemet.

Vi behandlar dina personuppgifter för följande ändamål:

Vi lagrar dina personuppgifter så länge det är nödvändigt för de ändamål de samlades in för:

• Kontouppgifter: Under hela avtalstiden och 30 dagar efter avslut (för att möjliggöra återaktivering), därefter raderas de.
• Bokföringsunderlag: 7 år enligt bokföringslagen (1999:1078).
• Säkerhetsloggar: 90 dagar.
• Marknadsföring: Tills du återkallar ditt samtycke.
• Supportärenden: 2 år efter ärendets avslutande.

Vi delar dina personuppgifter med ett begränsat antal betrodda tredjeparter som behandlar uppgifter för vår räkning (personuppgiftsbiträden). Alla biträden är bundna av personuppgiftsbiträdesavtal och får inte använda uppgifterna för egna ändamål.

Din kärndata (kontouppgifter, kunddata och säljdata) lagras i vår databas hos Supabase, som är driftad på Amazon Web Services datacenter i Stockholm, Sverige (region eu-north-1). Dina uppgifter lagras alltså inom EES.

Vi säljer aldrig dina personuppgifter till tredje part. Vi lämnar inte ut uppgifter till myndigheter utan rättslig grund, med undantag för vad som krävs enligt lag.

Dina personuppgifter lagras i första hand inom EES. Vår databas och autentisering tillhandahålls av Supabase och driftas på Amazon Web Services i Stockholm, Sverige (region eu-north-1). Lagring av din kärndata utgör därmed ingen överföring till tredjeland.

Vissa av våra övriga leverantörer (se avsnitt 5) är baserade i USA och kan i begränsad omfattning behandla uppgifter där, t.ex. för e-postutskick, betalningar, felövervakning eller valfri AI-analys. Sådan överföring sker med stöd av EU-kommissionens standardavtalsklausuler (SCC) i enlighet med art. 46.2 c GDPR, kompletterade med tekniska och organisatoriska skyddsåtgärder, vilket säkerställer en adekvat skyddsnivå för dina uppgifter.

Enligt GDPR har du följande rättigheter:

• Rätt till tillgång (art. 15): Du har rätt att få bekräftelse på om vi behandlar dina uppgifter och i så fall få en kopia.
• Rätt till rättelse (art. 16): Du har rätt att få felaktiga uppgifter rättade.
• Rätt till radering (art. 17): Du har rätt att begära att vi raderar dina uppgifter ("rätten att bli glömd"), under förutsättning att det inte finns rättsliga skäl att behålla dem.
• Rätt till begränsning (art. 18): Du kan begära att vi begränsar behandlingen i vissa situationer.
• Rätt till dataportabilitet (art. 20): Du har rätt att få ut dina uppgifter i ett strukturerat, maskinläsbart format.
• Rätt att invända (art. 21): Du kan invända mot behandling som grundar sig på berättigat intresse.
• Rätt att återkalla samtycke: Om behandlingen grundar sig på samtycke kan du när som helst återkalla det utan att det påverkar lagligheten av tidigare behandling.

Skicka din begäran till privacy@xzetra.com. Vi besvarar din begäran inom 30 dagar (art. 12.3 GDPR). Vi kan behöva verifiera din identitet innan vi behandlar begäran.

Om du anser att vi behandlar dina personuppgifter i strid med GDPR har du rätt att lämna klagomål till tillsynsmyndigheten:

Enligt lagen (2022:482) om elektronisk kommunikation får cookies som inte är strikt nödvändiga för tjänsten endast lagras efter ditt samtycke. Vi använder följande typer av cookies:

Vi använder inga marknadsföringscookies eller tredjepartsspårning. Icke nödvändiga cookies sätts först efter att du gett ditt samtycke, och du kan när som helst återkalla samtycket eller rensa cookies i din webbläsare.

Xzetra erbjuder valfria AI-funktioner (prioritering, riskanalys, nästa steg) som drivs av Google Gemini API. Dessa funktioner är inaktiverade som standard och aktiveras endast om en administratör explicit godkänner det under Företagsinställningar.

När AI-funktioner är aktiverade kan följande data skickas till Google Gemini API (USA) för att generera den begärda analysen:

• Affärstitel, pipeline-status och värde
• Aktivitetshistorik, inklusive de ämnen, anteckningar, kommentarer och utfall du har angett
• Mötesämnen och datum
• Aggregerade antal (t.ex. antal kunder och affärer per pipeline-steg)
• Anonymiserade kundidentifierare (t.ex. "Kund#123") — riktiga kundnamn skickas aldrig

Om du använder AI-chattassistenten skickas även de frågor du skriver till Gemini API så att den kan besvara dem. Ange inte känsliga personuppgifter i chatten.

Google behandlar data enligt sina DPA-villkor med stöd av standardavtalsklausuler (SCC). Data används inte för att träna Googles modeller. Aktiveringen loggas för GDPR-spårning. Administratören kan när som helst inaktivera AI-funktioner under Företagsinställningar.

Om du väljer att koppla ditt Gmail-konto till Xzetra använder vi Googles API:er för att skicka kundmejl för din räkning direkt från din egen brevlåda. Kopplingen är frivillig, initieras alltid av dig och kan återkallas när som helst. Detta avsnitt beskriver specifikt hur Xzetra får åtkomst till, använder, lagrar och delar Google-användardata, i enlighet med Googles policy för användardata i API-tjänster (Google API Services User Data Policy).

Data vi får åtkomst till. När du kopplar Gmail ger du Xzetra följande Google OAuth-behörigheter och inget mer:

Hur vi använder datan. Vi använder denna åtkomst uteslutande för att skicka e-post som du initierar till dina kunder, från din kopplade brevlåda, så att svar hamnar i din egen inkorg och trådar hålls samman. Vi läser inte din inkorg, kommer inte åt dina kontakter och skannar, indexerar eller profilerar inte din e-post. Inkommande kundsvar fångas via svarsadressen (reply-to) på de meddelanden vi skickar — vi begär aldrig läsbehörighet till Gmail.

Hur vi delar datan. Vi delar, säljer, hyr ut eller överför aldrig Google-användardata till någon tredje part. Åtkomsttoken används enbart för att kommunicera direkt med Googles API för att skicka dina mejl. Google-användardata används aldrig för annonsering och skickas aldrig till våra AI-funktioner eller någon annan leverantör.

Lagring och skydd. OAuth-token (åtkomst- och refresh-token) krypteras i vila med AES-256 med en dedikerad krypteringsnyckel, överförs endast via TLS och är knutna till ditt individuella användarkonto. Token dekrypteras i minnet endast i det ögonblick ett utskick sker. Varje användare kan bara skicka via sin egen kopplade brevlåda.

Lagringstid och radering. Vi behåller dina token endast så länge kopplingen är aktiv. Du kan koppla från Gmail när som helst under Integrationer i appen, vilket omedelbart och permanent raderar de lagrade token. Token raderas också när ditt konto avslutas. Du kan dessutom när som helst återkalla Xzetras åtkomst direkt från ditt Google-konto på myaccount.google.com/permissions.

Begränsad användning (Limited Use): Xzetras användning och överföring av information som mottas från Googles API:er till andra appar följer Googles policy för användardata i API-tjänster (Google API Services User Data Policy), inklusive kraven på begränsad användning (Limited Use).

Vi vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda dina personuppgifter mot obehörig åtkomst, förlust eller förstörelse, i enlighet med art. 32 GDPR. Åtgärderna inkluderar bland annat:

• Kryptering av data i transit (TLS 1.2+) och i vila
• Rollbaserad åtkomstkontroll, varje användare ser bara sin organisations data
• Row-Level Security (RLS) i databasen
• Automatisk rate limiting mot brute force-attacker
• Löpande säkerhetsövervakning via Sentry

Om en personuppgiftsincident inträffar som sannolikt leder till en risk för dina rättigheter och friheter anmäler vi incidenten till Integritetsskyddsmyndigheten (IMY) utan onödigt dröjsmål och senast inom 72 timmar efter att vi fått kännedom om den, i enlighet med art. 33 GDPR.

Om incidenten sannolikt medför en hög risk för dig informerar vi även dig direkt utan onödigt dröjsmål, i enlighet med art. 34 GDPR. Vi för logg över samtliga personuppgiftsincidenter.

Vi kan komma att uppdatera denna integritetspolicy. Vid väsentliga ändringar informerar vi dig via e-post eller ett tydligt meddelande i tjänsten minst 30 dagar innan ändringen träder i kraft. Det aktuella datumet för senaste uppdatering framgår alltid överst på denna sida.