Personuppgiftspolicy

Om denna policy

Denna personuppgiftspolicy beskriver hur Rifla AB (”Rifla”, ”vi”, ”oss”) samlar in, använder och skyddar dina personuppgifter när du använder vår AI-drivna plattform för dokumentextraktion.

Vi följer EU:s dataskyddsförordning (GDPR) och svensk dataskyddslagstiftning.

 

1. Vilka personuppgifter samlar vi in?

När du registrerar dig och använder tjänsten

• Namn, e-postadress och telefonnummer
• Företagsnamn och befattning
• Inloggningsuppgifter (användarnamn, lösenord)
• IP-adress och enhetsidentifierare

När du använder våra tjänster

• Dokument du laddar upp (fakturor, avtal, etc.)
• Extraherad data från dina dokument
• Aktivitetsloggar (vad du gör i systemet och när)
• Användarinställningar och preferenser

Automatiskt insamlad data

• Cookies och webbanalys
• Teknisk information (webbläsare, operativsystem)
• Prestanda- och systemloggar

2. Varför behandlar vi dina personuppgifter?

För att tillhandahålla tjänsten (Avtalsuppfyllelse)

• Skapa och hantera ditt användarkonto
• Utföra AI-driven dataextraktion från dina dokument
• Ge dig åtkomst till rätt information baserat på din roll
• Tillhandahålla support och kundsupport

För att förbättra och säkra tjänsten (Berättigat intresse)

• Utveckla och förbättra våra AI-modeller och tjänster
• Säkerställa IT-säkerhet och förhindra missbruk
• Analysera användning för att optimera prestanda
• Felsöka tekniska problem

För att uppfylla lagkrav (Rättslig förpliktelse)

• Bokföring och fakturering (7 år enligt bokföringslagen)
• Rapportering till myndigheter vid dataintrång
• Skattemässiga krav

Med ditt samtycke

• Skicka nyhetsbrev och marknadsföring (kan avslutas när som helst)
• Icke-nödvändiga cookies för analys

3. Hur skyddar vi dina uppgifter?

Teknisk säkerhet

• AES-256 kryptering för alla dokument och data
• Kundspecifika krypteringsnycklar – vi kan inte läsa era dokument utan era nycklar
• TLS 1.3 för säker dataöverföring
• Multi-factor authentication (MFA) för ökad säkerhet
• Säker inloggning via Azure AD, SAML eller LDAP

Åtkomstkontroll

• Rollbaserad åtkomst – endast behöriga ser specifik data
• Granulär behörighetsstyrning ner på fältnivå
• Fullständig loggning av all dataåtkomst med tidsstämpel
• Behovsprincip – medarbetare har endast åtkomst till nödvändig data

Organisatorisk säkerhet

• Alla medarbetare har sekretessavtal
• Regelbunden säkerhetsutbildning
• Tredjepartsgranskningar och penetrationstester
• Incidentplan för snabb hantering vid säkerhetsincidenter

4. Var lagras dina uppgifter?

All data lagras inom EU/EES, primärt på AWS servrar i Frankfurt, Tyskland.

Din data lämnar ALDRIG Europeiska unionen, vilket garanterar:

• Full GDPR-compliance
• Europeisk jurisdiktion
• Skydd mot internationella datautlämnanden

5. Hur länge sparar vi dina uppgifter?

Typ av uppgift	Lagringstid
Användaruppgifter	Under avtalstiden + 2 år
Dokumentdata	Enligt dina inställningar eller 7 år (bokföringslag)
Aktivitetsloggar	12 månader
Supportärenden	3 år efter avslut
Bokföring och fakturor	7 år (bokföringslag)

Data raderas automatiskt när lagringsperioden löper ut.

6. Delar vi dina uppgifter?

Personuppgiftsbiträden (leverantörer)

Vi använder noggrant utvalda leverantörer inom EU:

• AWS (hosting i Frankfurt)
• E-posttjänster för kommunikation
• Supportverktyg för kundsupport

Alla leverantörer är bundna av personuppgiftsbiträdesavtal enligt GDPR.

Vi säljer ALDRIG dina uppgifter

Zero Data Training-garanti:
Dina dokument och data används ALDRIG för att träna AI-modeller eller delas med tredje part. Vår AI tränas endast på offentliga, anonymiserade dataset.

Myndigheter

Vi kan vara skyldiga att lämna ut uppgifter till myndigheter vid rättsliga krav. Vi informerar dig alltid i förväg om möjligt.

7. Dina rättigheter

Du har följande rättigheter enligt GDPR:

Rätt till tillgång

Få bekräftelse på vilka personuppgifter vi har om dig och få en kopia.

Rätt till rättelse

Korrigera felaktiga eller ofullständiga uppgifter.

Rätt till radering (”Rätten att bli glömd”)

Begära att vi raderar dina personuppgifter när:

• De inte längre behövs
• Du återkallar ditt samtycke
• Du invänder mot behandlingen
• De behandlas olagligt

Rätt till dataportabilitet

Få ut dina uppgifter i ett strukturerat, maskinläsbart format (JSON, CSV, XML) och överföra dem till annan leverantör.

Rätt till begränsning

Begära att vi begränsar behandlingen under vissa omständigheter.

Rätt att invända

Invända mot behandling baserad på berättigat intresse eller för direktmarknadsföring.

Rätt att inte bli föremål för automatiserat beslutsfattande

Vårt system använder AI, men alla kritiska beslut granskas manuellt genom vår Human-in-the-Loop-process.

Utöva dina rättigheter: Kontakta oss på dpo@rifla.se
Vi svarar inom 30 dagar.

8. Cookies

Vi använder cookies för att förbättra din upplevelse:

Nödvändiga cookies (Alltid aktiva)

Krävs för att tjänsten ska fungera (inloggning, säkerhet).

Funktionella cookies

Kommer ihåg dina val och inställningar.

Analytiska cookies (Kräver samtycke)

Hjälper oss förstå hur tjänsten används.

Du kan hantera cookies i vår cookie-banner eller i dina webbläsarinställningar.

9. Privacy by Design

Säkerhet och integritet är inbyggt i systemet från start, inte tillagt i efterhand:

• Dataminimering – vi samlar endast nödvändig data
• Standardinställningar – högsta integritetsskydd som standard
• Kryptering – all data krypteras automatiskt
• Åtkomstkontroll – minsta möjliga behörighet som standard

10. Säkerhetsincidenter

Vid dataintrång eller säkerhetsincident:

• Notifierar vi Integritetsskyddsmyndigheten (IMY) inom 72 timmar
• Informerar berörda personer utan dröjsmål vid hög risk
• Dokumenterar och analyserar alla incidenter transparent
• Vidtar åtgärder för att förhindra framtida incidenter

11. När du behandlar personuppgifter via Rifla

När du använder Rifla för att behandla personuppgifter i dokument (t.ex. fakturor med kunduppgifter):

• Du är personuppgiftsansvarig för dessa uppgifter
• Vi är ditt personuppgiftsbiträde som behandlar dem på ditt uppdrag
• Detta regleras i vårt Personuppgiftsbiträdesavtal (DPA)

Du ansvarar för att:

• Ha laglig grund för behandlingen
• Informera dina registrerade om behandlingen
• Hantera registrerades rättigheter

12. Medarbetares åtkomst

När någon börjar

• Skapar konto med lämpliga behörigheter
• Aktiverar MFA (tvåfaktorsautentisering)
• Genomgår säkerhetsutbildning

Ändringar under anställning

• Behörigheter uppdateras vid rollbyte
• Kvartalsvis åtkomstrecertifiering
• Alla ändringar loggas

När någon slutar

• Konto inaktiveras omedelbart
• All åtkomst återkallas automatiskt
• Loggar bevaras enligt policy

13. Klagomål

Om du är missnöjd med hur vi behandlar dina personuppgifter har du rätt att klaga till:

Integritetsskyddsmyndigheten (IMY)
Box 8114
104 20 Stockholm
E-post: imy@imy.se
Telefon: 08-657 61 00
Webb: www.imy.se

14. Ändringar av denna policy

Vi kan uppdatera denna policy. Vid väsentliga ändringar meddelar vi dig via e-post eller i tjänsten minst 30 dagar i förväg.

15. Frågor?

Kontakta oss gärna om du har frågor.

---

Vi tar ditt dataskydd på största allvar. Denna policy visar vårt åtagande att skydda dina personuppgifter enligt GDPR och svensk lag.