Integritetspolicy för SAMkollen
Version 2.0 | Publicerad: 2026-07-13 | Gäller från: 2026-07-13 för nya kunder, 2026-08-15 för befintliga kunder (30 dagars varsel enligt avsnitt 10)
Denna policy beskriver hur SAMkollen behandlar personuppgifter när vi är personuppgiftsansvariga. Vi har skrivit den så tydligt vi kan. Har du frågor är du alltid välkommen att kontakta oss (avsnitt 11).
1. Personuppgiftsansvarig
Personuppgiftsansvarig för de behandlingar som beskrivs i denna policy är:
Adam Norén, enskild firma Org.nr: 920428-0359 E-post (dataskyddsfrågor): adam@samkollen.se Postadress: Falsterbovägen 65H, 236 51 Höllviken, Sverige
Vi har inte utsett något dataskyddsombud. Verksamheten drivs som enskild firma av en person, och de behandlingar där SAMkollen är personuppgiftsansvarig är inte av den omfattning eller karaktär som kräver ett dataskyddsombud enligt artikel 37 i GDPR.
2. Rollfördelning: när är SAMkollen ansvarig och när är vi biträde?
Detta är viktigt att förstå:
2.1 Uppgifter som kunden lägger in om sina anställda. När ett företag (kunden) använder SAMkollen för sitt arbetsmiljöarbete registrerar kunden uppgifter om sina anställda och andra personer, till exempel tillbud och olyckor, sjukfrånvaro, företagshälsovårdsbesök, enkätsvar, utbildningar och kompetens. För dessa uppgifter är kunden (arbetsgivaren) personuppgiftsansvarig och SAMkollen personuppgiftsbiträde enligt det personuppgiftsbiträdesavtal som är en del av våra användarvillkor. Den behandlingen styrs av kundens instruktioner, inte av denna policy.
2.2 Är du anställd hos ett företag som använder SAMkollen och vill veta hur dina uppgifter behandlas eller utöva dina rättigheter för sådana uppgifter, vänd dig i första hand till din arbetsgivare. Vi hjälper kunden att svara på sådana förfrågningar.
2.3 Denna policy gäller de behandlingar där SAMkollen är personuppgiftsansvarig: kontoadministration, fakturering, besökare på vår webbplats, support och väntelista. Dessa beskrivs i avsnitt 3.
3. Behandlingar där SAMkollen är personuppgiftsansvarig
| Ändamål | Kategorier av uppgifter | Rättslig grund (art. 6 GDPR) | Lagringstid |
|---|---|---|---|
| (a) Konto och inloggning | Namn, e-postadress, telefonnummer (frivilligt), lösenord (frivilligt), engångskoder, roll i organisationen | Avtal (art. 6.1 b) | Så länge kontot är aktivt; radering inom 30 dagar efter begäran om kontoavslut |
| (b) Organisationsregistrering | Företagsnamn, organisationsnummer, antal anställda, bransch, arbetsplatsadress, namn på den som registrerar. Vid registrering görs ett uppslag av organisationsnumret hos Bolagsverket | Avtal (art. 6.1 b) | Samma som (a) |
| (c) Fakturering via Fortnox | Faktura-e-postadress, faktureringsadress, fakturaunderlag (abonnemang och användning) | Avtal (art. 6.1 b) samt rättslig förpliktelse (art. 6.1 c, bokföringslagen) | Bokföringsunderlag sparas i 7 år enligt bokföringslagen |
| (d) Support och kontaktformulär | Namn, e-postadress, företag, ditt meddelande | Berättigat intresse (art. 6.1 f) och avtal för befintliga kunder (art. 6.1 b) | 24 månader efter att ärendet avslutats |
| (e) Driftsäkerhet, loggning och felövervakning (Sentry) | Teknisk information: IP-adress, webbläsare, felmeddelanden, stackspår. När ett fel inträffar sparas även en maskerad inspelning av sessionen fram till felet, där text, inmatningar och media döljs. Ingen inspelning sker vid normal användning | Berättigat intresse (art. 6.1 f): säker och stabil drift | Felrapporter raderas efter 90 dagar |
| (f) Produktanalys (DataFast, cookiefri) | Sidvisningar och händelser när funktioner används, utan cookies och utan lagring på din enhet | Berättigat intresse (art. 6.1 f), dokumenterat i en intresseavvägning | 3 år hos leverantören |
| (g) Marknadsföring på webbplatsen (Google Ads, LinkedIn) | Cookies och annonsidentifierare, endast efter att du valt "Godkänn alla" i cookiebannern | Samtycke (art. 6.1 a) | Enligt cookiepolicyn; du kan återkalla samtycket när som helst |
| (j) Väntelista | E-postadress | Samtycke (art. 6.1 a) | Tills lansering eller tills du avregistrerar dig |
| (l) Skydd mot missbruk av öppna formulär (kontaktformulär, partneransökan och anonym tillbudsrapportering) | En kod som räknas fram ur din IP-adress med en hemlig nyckel, samt antal försök. Koden går inte att räkna tillbaka till IP-adressen | Berättigat intresse (art. 6.1 f): hindra spam och överbelastning | Raderas inom ett dygn |
| (k) E-postnotiser inom tjänsten (utskicksuppgifter) | Mottagarens e-postadress och leveransstatus. Notisens innehåll är Kunddata som vi behandlar som biträde åt kunden, se avsnitt 2.1 | Avtal (art. 6.1 b) | Mejlinnehåll i e-postloggen rensas efter 90 dagar |
4. Mottagare och underbiträden
Vi säljer aldrig personuppgifter. Följande leverantörer behandlar personuppgifter för vår räkning som en del av tjänsten. Samma lista utgör bilagan med underbiträden i vårt personuppgiftsbiträdesavtal.
| Leverantör | Vad de behandlar | Var |
|---|---|---|
| Supabase Inc | Databas, autentisering och fillagring för all data i tjänsten | USA-bolag; datalagring i Stockholm (AWS eu-north-1) |
| Vercel Inc | Hosting och CDN, trafikdata | USA-bolag; servrarna som kör tjänsten finns i Stockholm (eu-north-1) |
| Resend (Plus Five Five Inc) | Transaktionsmejl: notiser, inbjudningar och påminnelser | USA |
| Functional Software Inc (Sentry) | Felövervakning: felrapporter och teknisk data | USA-bolag; uppgifterna lagras i EU (Sentrys EU-region) |
| Fortnox AB | Fakturering: fakturauppgifter | Sverige |
| Anthropic PBC | AI-utkast, endast när kunden aktiverat AI-tillvalet | USA |
| OpenAI LLC | Sökembeddings för AI-funktionen, endast när kunden aktiverat AI-tillvalet | USA |
| Langfuse GmbH | AI-kvalitetsloggning, endast när kunden aktiverat AI-tillvalet | Tyskland |
| DataFast (JustShipIt Pte. Ltd.) | Cookiefri webb- och produktanalys: sidadresser och händelser, utan cookies | Singapore. Behandlingen sker till stor del utanför EU, bland annat i USA |
| Google Ireland Limited (Google Maps Platform) | Adressuppslag: den adress du skriver i ett adressfält skickas till Google för att ge adressförslag. Inget annat innehåll ur tjänsten skickas | Irländskt bolag; behandlingen sker globalt, bland annat i USA |
4.1 Mottagare på marknadswebbplatsen
Följande mottagare berör besökare på vår publika webbplats. Google och LinkedIn tar, om du har samtyckt till marknadsföringscookies, även emot uppgift om att du besökt de två sidor i tjänsten där registrering slutförs eller abonnemang hanteras, eftersom vi mäter annonsresultat där. De får aldrig del av innehållet i tjänsten:
- Google Ireland Ltd: Google Ads för annonsmätning, endast efter att du gett cookiesamtycke. Google förekommer även i tabellen ovan, i en annan roll: Google Maps Platform ger adressförslag när du fyller i ett adressfält i tjänsten.
- LinkedIn Ireland: Insight Tag för annonsmätning, endast efter att du gett cookiesamtycke.
- Bolagsverket: svensk myndighet som vi gör uppslag av organisationsnummer hos vid registrering. Bolagsverket är självständigt personuppgiftsansvarig för sitt register.
4.2 Partners
Vissa organisationer använder SAMkollen via en partner, till exempel en arbetsmiljökonsult, som tillhandahåller tjänsten under eget varumärke. För sådana organisationer har partnern tillgång till organisationens uppgifter i tjänsten, i egenskap av den som sköter arbetsmiljöarbetet åt kunden. Partnerns supportsessioner loggas och är synliga för kundens administratörer i ändringsloggen.
5. Överföring utanför EU/EES
Kunddata lagras i Stockholm (AWS eu-north-1). Flera av våra leverantörer är dock amerikanska bolag, vilket innebär att personuppgifter kan överföras till eller åtkommas från USA, till exempel vid support. Det gäller Supabase (supportåtkomst), Vercel, Resend, Sentry, Anthropic, OpenAI, Google och LinkedIn.
Överföringar till USA stödjer sig på EU-US Data Privacy Framework och/eller EU-kommissionens standardavtalsklausuler (SCC) enligt respektive leverantörs biträdesavtal.
DataFast drivs av JustShipIt Pte. Ltd. i Singapore, ett land som inte omfattas av något beslut om adekvat skyddsnivå, och behandlingen sker till stor del utanför EU. Överföringen stödjer sig på standardavtalsklausuler i leverantörens biträdesavtal. Uppgifterna som skickas dit är sidadresser och händelser utan cookies, aldrig innehållet i era arbetsmiljödokument.
Fortnox (Sverige) och Langfuse (Tyskland) behandlar uppgifter inom EU.
6. Lagringstider
- Konto- och innehållsdata: raderas inom 30 dagar efter begäran om kontoavslut. Raderingen sker genom en manuell rutin.
- Säkerhetskopior: raderade uppgifter kan finnas kvar i databasens dagliga säkerhetskopior i upp till 7 dagar och raderas därefter automatiskt.
- Bokföringsunderlag: 7 år enligt bokföringslagen.
- E-postloggens mejlinnehåll: rensas efter 90 dagar.
- Felrapporter (Sentry): 90 dagar.
- Auditlogg: sparas under avtalstiden och raderas tillsammans med organisationen.
- Utgångna inbjudningar och engångstoken: rensas löpande. Inbjudningar som inte accepterats raderas 30 dagar efter att de gått ut, engångstoken för supportåtkomst efter 7 dagar.
- Räknare för missbruksskydd (avsnitt 3 rad l): raderas inom ett dygn.
- Väntelista: tills lansering eller tills du avregistrerar dig.
- Supportärenden via e-post: 24 månader efter att ärendet avslutats.
7. Dina rättigheter
När SAMkollen är personuppgiftsansvarig har du rätt att:
- Få tillgång till de personuppgifter vi behandlar om dig (art. 15).
- Få felaktiga uppgifter rättade (art. 16).
- Få uppgifter raderade när de inte längre behövs eller behandlingen saknar grund (art. 17).
- Begära begränsning av behandlingen (art. 18).
- Få ut dina uppgifter i ett maskinläsbart format, dataportabilitet (art. 20).
- Invända mot behandling som grundas på berättigat intresse, inklusive direktmarknadsföring (art. 21). Vid invändning mot direktmarknadsföring upphör vi alltid med den.
- Återkalla samtycke när som helst, till exempel för marknadsföringscookies via länken Cookieinställningar i sidfoten.
Så här gör du: mejla adam@samkollen.se. Vi svarar inom en månad. I appen finns dessutom CSV-export för risker, skyddsronder och tillbud (under inställningar); övrig export ordnar vi via support.
Om dina uppgifter har lagts in av din arbetsgivare gäller avsnitt 2: vänd dig i första hand till arbetsgivaren, som är personuppgiftsansvarig för de uppgifterna.
Är du missnöjd med hur vi behandlar dina personuppgifter har du rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), www.imy.se.
8. Cookies
Vi använder nödvändiga cookies för inloggning och säkerhet samt, endast efter ditt samtycke, marknadsföringscookies från Google Ads och LinkedIn. Vilka cookies vi använder, hur länge de sparas och hur du ändrar ditt val beskrivs i vår cookiepolicy på samkollen.se/cookies. Du kan ändra ditt samtycke när som helst via länken Cookieinställningar i sidfoten.
9. Säkerhet
Vi skyddar personuppgifter med tekniska och organisatoriska åtgärder, bland annat:
- All data isoleras per organisation med radnivåsäkerhet (RLS) i databasen, och filer lagras i privata, organisationsavgränsade lagringsutrymmen.
- Kryptering under överföring (TLS) och i vila (AES-256) via Supabase.
- Inloggning med engångskod, sessionsrotation och värdbundna cookies.
- Central behörighetskontroll av roll och organisation vid varje åtgärd på servern.
- En ändringslogg (auditlogg) som inte kan ändras i efterhand och som kundens administratörer kan läsa.
- Supportåtkomst till kundkonton sker endast via ett granskat, tidsbegränsat förfarande (30 minuter, loggat och skrivskyddat för SAMkollens administratörer).
- Begränsning av antal förfrågningar (rate limiting) på känsliga funktioner, autentiserade schemalagda jobb och signaturverifiering av inkommande webhooks.
- Säkerhetsrubriker som HSTS, CSP och X-Frame-Options, testfunktioner avstängda i produktion samt en fast lista över vilka som kan vara superadministratörer.
- Databasen säkerhetskopieras automatiskt av Supabase en gång per dygn, och kopiorna sparas i 7 dagar. Vi använder inte kontinuerlig återställning (PITR), vilket innebär att data som skapats efter den senaste kopian kan gå förlorad vid en återställning. Uppladdade filer, till exempel foton från skyddsronder och bilagor till policyer, omfattas inte av databasens säkerhetskopior.
10. Ändringar i denna policy
Vi kan uppdatera policyn när tjänsten eller lagstiftningen ändras. Vid väsentliga ändringar meddelar vi kunder via e-post minst 30 dagar innan ändringen börjar gälla. Aktuell version finns alltid på samkollen.se/integritetspolicy.
11. Kontakt
- Dataskyddsfrågor och rättigheter: adam@samkollen.se
- Support: support@samkollen.se
- Adam Norén, enskild firma, org.nr 920428-0359
- Postadress: Falsterbovägen 65H, 236 51 Höllviken, Sverige
Ändringslogg
- 2.0 (2026-07-13): Fullständig revidering efter juridisk genomgång
- 1.0 (2026-03-22): Första versionen