Integritetspolicy

Det här är ett utkast. Policyn gäller inte förrän GET /bolag öppnar för kunder, och den ska granskas av jurist innan dess. Text inom hakparentes är frågor som inte är avgjorda eller uppgifter som ska bekräftas.

1. Vem som ansvarar och vad policyn gäller

Bolagskällan AB, org.nr 559555-5946, med säte i Stockholm, är personuppgiftsansvarig för de personuppgifter som behandlas i GET /bolag. GET /bolag är ett varumärke i Bolagskällan AB.

Du når oss om personuppgifter på support@getbolag.se. [ÖPPEN FRÅGA: om ett dataskyddsombud ska utses och i så fall hur hen nås.]

Dataskyddsförordningen gäller fullt ut för den behandling som beskrivs här. Policyn har två delar:

• Del A, avsnitt 2 till 5, gäller dig som besöker getbolag.se eller använder GET /bolag för ett företags räkning.
• Del B, avsnitt 6 till 14, gäller dig som förekommer i registret, till exempel för att du sitter i en styrelse eller driver en enskild firma.

2. Del A: besök på getbolag.se

Webbplatsen sätter inga spårningskakor och laddar inget innehåll från andra webbplatser, till exempel inga analysverktyg, annonser eller typsnitt.

När du besöker webbplatsen sparar servern en logg med din IP-adress, tidpunkten, vilken sida du bad om och vilken webbläsare du använder. Vi använder loggen för att driva webbplatsen, hitta fel och upptäcka angrepp. Den rättsliga grunden är vårt berättigade intresse av en säker och fungerande webbplats (artikel 6.1 f). Loggen sparas i [BEKRÄFTAS AV LYTH: hur länge serverloggarna sparas].

När du loggar in på ditt konto behövs en kaka som håller dig inloggad. Den är nödvändig för inloggningen, används inte till något annat och kräver därför inget samtycke.

[ÖPPEN FRÅGA: om en intresseanmälan eller väntelista finns innan tjänsten öppnar. I så fall ska det stå här vilka uppgifter den samlar in, till exempel namn, e-post, bolag och användningsområde, och hur länge de sparas.]

3. Del A: kunder och användare

Vi behandlar uppgifter om de personer som har ett konto för ett företags räkning:

• konto: namn, e-postadress, vilket bolag du representerar och vilken behörighet du har,
• nycklar och anslutningar: vilka API-nycklar och MCP-klienter som hör till dig, och när de skapades, användes och spärrades,
• användning: vilka uppslag du har gjort, när, med vilken nyckel och vad de kostade,
• villkor: vilken version av villkoren du har godkänt och när,
• betalning och fakturering: fakturaadress, referens och betalningar,
• kontakt med oss: det du skriver till oss, till exempel i ett supportärende.

Vi använder uppgifterna för att

• tillhandahålla tjänsten enligt avtalet med ditt företag. Grunden är vårt och företagets berättigade intresse av att avtalet kan fullgöras (artikel 6.1 f). Är du själv avtalspart som enskild näringsidkare är grunden avtalet (artikel 6.1 b),
• debitera och bokföra. Grunden är vår skyldighet enligt bokföringslagen (artikel 6.1 c),
• skydda tjänsten, upptäcka missbruk och visa att villkoren för uppgifterna följs. Grunden är vårt berättigade intresse av det (artikel 6.1 f),
• informera om ändringar i tjänsten och villkoren. Grunden är avtalet med ditt företag och vårt berättigade intresse (artikel 6.1 f).

Så länge sparar vi uppgifterna:

• konto: så länge kontot finns, och därefter i [ÖPPEN FRÅGA: hur länge efter avtalets slut],
• bokföringsunderlag, som också omfattar den del av användningsloggen som fakturan bygger på: sju år efter utgången av det kalenderår då räkenskapsåret avslutades, enligt bokföringslagen,
• övrig användningslogg: [ÖPPEN FRÅGA: hur länge, och när uppgiften om vilka personer som slagits upp tas bort ur loggen],
• godkända villkor: så länge avtalet gäller och därefter [ÖPPEN FRÅGA: hur länge], så att vi kan visa vad företaget har godkänt.

4. Del A: vilka som får uppgifterna om kunder

Vi säljer inte uppgifter om dig. Följande kan få del av dem:

• driftleverantör: företaget som driver våra servrar, i EU [BEKRÄFTAS AV LYTH: namn och land],
• e-postleverantör: företaget som skickar våra e-postmeddelanden [BEKRÄFTAS AV LYTH: namn],
• betalleverantör: företaget som hanterar betalningar [BEKRÄFTAS AV LYTH: namn]. Lämnar du kortuppgifter tas de emot av betalleverantören, inte av oss,
• leverantörer av uppgifter: när det behövs för att leverera en uppgift eller visa att villkoren för den följs, får leverantören veta vilket företag och vilken användare som har beställt den. Leverantören är då själv personuppgiftsansvarig för sin behandling. [ÖPPEN FRÅGA: vilka uppgifter som lämnas och till vilka leverantörer.]
• myndigheter, när lag kräver det.

Drift- och e-postleverantörerna är personuppgiftsbiträden. De får bara behandla uppgifterna för vår räkning och enligt våra instruktioner. [BEKRÄFTAS AV LYTH: om betalleverantören är personuppgiftsbiträde eller själv personuppgiftsansvarig för en del av sin behandling.]

5. Del A: var uppgifterna behandlas

Vi behandlar uppgifterna inom EU och EES. [BEKRÄFTAS AV LYTH: om e-post- eller betalleverantören överför uppgifter utanför EU och EES, och i så fall med vilket skydd.]

Ditt företag väljer själv vilken AI-tjänst eller MCP-klient som ansluts till GET /bolag. Det som skickas dit behandlas enligt företagets avtal med den leverantören, och företaget ansvarar för det, även när leverantören finns utanför EU och EES.

6. Del B: personer som förekommer i registret

GET /bolag innehåller uppgifter om personer som har en roll i svenska bolag och föreningar, till exempel styrelseledamöter och suppleanter, verkställande direktörer, firmatecknare, revisorer och bolagsmän i handelsbolag och kommanditbolag. Registret innehåller också uppgifter om enskilda firmor, och uppgifterna om en enskild firma är uppgifter om den som driver den.

Du har inte lämnat uppgifterna till oss själv. Därför ska vi berätta för dig att vi har dem, var de kommer ifrån och vad du kan göra. Att skriva till var och en skulle kräva en oproportionerlig ansträngning, så vi lämnar informationen här, på en sida som alla kan läsa (artikel 14.5 b). [JURIST: om en allmän sida räcker för GET /bolag, när mottagarna är många företag med olika ändamål.]

7. Del B: varifrån uppgifterna kommer

Uppgifterna kommer från Bolagsverkets register och SCB:s företagsregister. De levereras till oss av Creditsafe i Sverige AB. Båda registren är offentliga.

8. Del B: vilka uppgifter vi behandlar

• namn,
• vilken roll du har eller har haft, i vilket bolag, och när rollen började och slutade,
• för enskilda firmor: firmans namn, adress, bransch och registreringsuppgifter. [ÖPPEN FRÅGA: en enskild firmas registrerade adress är ofta innehavarens hemadress. Om den ska visas, och hur det går ihop med att hemadresser inte lämnas ut, är inte bestämt.]
• personnummer. Vi får det från källan och använder det bara internt, för att skilja personer med samma namn åt och koppla ihop rätt uppdrag med rätt person. Fullständiga personnummer lämnas aldrig ut. I svaren till kunderna känns en person igen på en intern beteckning.

[ÖPPEN FRÅGA: enskilda firmor. Organisationsnumret för en enskild firma är innehavarens personnummer. Det är inte bestämt hur det ska visas för kunderna.]

[ÖPPEN FRÅGA: om födelseår eller födelsedatum ska visas för kunderna.]

Tjänsten lämnar inte ut personers hemadress. [ÖPPEN FRÅGA: om folkbokföringsadress senare ska kunna lämnas till granskade kunder måste den här meningen och intresseavvägningen ändras först.]

Tjänsten lämnar inte ut känsliga personuppgifter eller uppgifter om brott.

[ÖPPEN FRÅGA: hur personer med skyddade personuppgifter hanteras, så att de inte syns i tjänsten.]

9. Del B: varför vi behandlar uppgifterna och med vilken rätt

Ändamålet är att svenska företag ska kunna se vem som företräder och leder de bolag som de gör affärer med. Kunderna använder uppgifterna till exempel för kundkännedom, för att kontrollera leverantörer och affärspartner, för att hålla sina kundregister aktuella och som underlag för interna beslut.

Den rättsliga grunden är berättigat intresse (artikel 6.1 f). Intresset är kundernas behov av att veta vem som företräder ett bolag innan de ingår avtal med det, och samma öppenhet kring bolag som är skälet till att registren är offentliga. Innan tjänsten öppnar gör vi en intresseavvägning, där vi väger det intresset mot ditt intresse av att inte få uppgifter om dig spridda, och en konsekvensbedömning. Du kan be oss om en sammanfattning av intresseavvägningen. [ÖPPEN FRÅGA: intresseavvägningen och konsekvensbedömningen för GET /bolag är inte gjorda. De ska vara klara, och den här texten stämma med dem, innan tjänsten öppnar.]

Personnummer får bara behandlas när det är klart motiverat (dataskyddslagen 3 kap. 10 §). Vi använder det bara för att säkert kunna identifiera rätt person, och lämnar inte ut det.

Vi fattar inga automatiserade beslut om dig och gör ingen profilering av dig.

10. Del B: vilka som får uppgifterna

Uppgifterna lämnas bara till kunder som är svenska företag eller näringsidkare, har ett avtal med oss och använder uppgifterna internt i sin egen verksamhet. De lämnas inte till privatpersoner, inte till företag som bedriver kreditupplysningsverksamhet och inte på någon öppen sida. Kunderna får inte sälja uppgifterna vidare eller visa dem för andra. En kund som hämtar uppgifter om dig är själv ansvarig för hur kunden använder dem.

Våra drift- och e-postleverantörer kan behandla uppgifterna för vår räkning, på samma sätt som står i avsnitt 4. Myndigheter kan få uppgifterna när lag kräver det.

11. Del B: hur länge vi behandlar uppgifterna

Uppgifter om en roll som du har i dag behandlar vi så länge den finns i källan.

[ÖPPEN FRÅGA: hur länge tidigare roller ska finnas kvar och visas. Det bestäms i intresseavvägningen.]

Kunderna får spara uppgifter som de har hämtat under avtalstiden och ska radera dem när avtalet har upphört.

12. Del B: var uppgifterna behandlas

Vi behandlar uppgifterna inom EU och EES. En kund som skickar vidare uppgifter till en AI-tjänst utanför EU och EES ansvarar själv för det.

13. Del B: dina rättigheter

Du har rätt att

• få veta om vi behandlar uppgifter om dig, och få en kopia av dem (artikel 15),
• få felaktiga uppgifter rättade (artikel 16). Uppgifterna kommer från Bolagsverket och SCB, så ett fel rättas i regel där först. Vi hjälper dig och rättar hos oss när det går,
• få uppgifter raderade, till exempel när de inte längre behövs för ändamålet eller när du har invänt och vi inte har skäl som väger tyngre (artikel 17),
• begära att behandlingen begränsas medan en fråga utreds (artikel 18),
• klaga hos Integritetsskyddsmyndigheten, IMY, på imy.se, om du tycker att vi behandlar uppgifterna fel.

Det kostar ingenting. Vi svarar inom en månad. Vi kan behöva be dig styrka vem du är innan vi lämnar ut uppgifter om dig.

[ÖPPEN FRÅGA: när vi rättar eller tar bort en uppgift ska vi i regel meddela de kunder som har fått den. Hur det ska gå till är inte bestämt.]

14. Del B: din rätt att invända

Du har rätt att när som helst invända mot att vi behandlar uppgifter om dig med stöd av berättigat intresse (artikel 21). Vi slutar då att behandla uppgifterna, om vi inte kan visa tvingande berättigade skäl som väger tyngre än ditt intresse.

Skriv till support@getbolag.se och berätta vilka uppgifter det gäller.

[ÖPPEN FRÅGA: rutinen för att ta emot och hantera invändningar och begäran om radering är inte byggd. Den ska finnas innan tjänsten öppnar.]

15. Ändringar i policyn

Ändrar vi policyn publicerar vi den nya versionen här, med datum. Ändringar som påverkar kunderna meddelar vi också med e-post.