Integritetspolicy

Den här policyn förklarar vilka personuppgifter vi på Cerrtify behandlar, varför vi gör det, hur länge vi sparar uppgifterna och vilka rättigheter du har. Vi har två olika roller. Ibland bestämmer vi själva över uppgifterna, till exempel när du besöker vår webbplats eller är kund hos oss. Ibland behandlar vi uppgifterna enbart för våra kunders räkning, till exempel när du identifierar dig med BankID hos ett företag som använder Cerrtify. I det senare fallet är det i första hand det företaget du ska vända dig till (se avsnitt 2 och 4).

Policyn gäller från och med 1 oktober 2026.

1. Om den här policyn och vem som är personuppgiftsansvarig

1.1Policyn gäller Netsius Sweden AB, org.nr 559325-4963, som tillhandahåller Tjänsten under varumärket Cerrtify ("Cerrtify", "vi" eller "oss").

1.2Med "Tjänsten" avses Cerrtifys tjänster för identifiering och underskrift med BankID, personinformation från Statens personadressregister (SPAR), bolagsinformation från Bolagsverket, vårt API samt vår kundportal på app.cerrtify.com ("Portalen"). Tjänsten riktar sig enbart till företag och andra näringsidkare, som i den här policyn kallas kunder.

1.3Policyn beskriver hur vi behandlar personuppgifter om

(a)besökare på vår webbplats www.cerrtify.com;

(b)personer som kontaktar oss eller begär en demonstration;

(c)personer som har tillgång till Portalen eller till API-uppgifter för en kunds räkning ("Användare");

(d)kontaktpersoner, firmatecknare och andra företrädare för kunder och för företag som vi har eller vill ha kontakt med;

(e)personer som identifierar sig eller skriver under med BankID via Tjänsten, eller vars uppgifter hämtas via Tjänsten, på initiativ av en kund ("Slutanvändare"); och

(f)enskilda näringsidkare som finns med i den kopia av Bolagsverkets och SCB:s företagsregister som vi använder i vår söktjänst.

1.4Personuppgiftsansvarig för den behandling som beskrivs i avsnitt 3 är Netsius Sweden AB, org.nr 559325-4963, med säte i Stockholm. Frågor om dataskydd skickar du till hej@cerrtify.com.

1.5Personuppgifter är alla uppgifter som direkt eller indirekt kan kopplas till en levande fysisk person, till exempel namn, e-postadress, personnummer eller IP-adress. Med behandling avses allt som görs med personuppgifter, till exempel insamling, lagring, användning, överföring och radering.

1.6Vi behandlar personuppgifter enligt Europaparlamentets och rådets förordning (EU) 2016/679 ("Dataskyddsförordningen"), lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning ("Dataskyddslagen") och annan tillämplig lagstiftning.

1.7Hur vi använder kakor beskrivs i vår Cookiepolicy. För kunder regleras vår behandling av personuppgifter för deras räkning också i vårt Personuppgiftsbiträdesavtal.

2. Våra två roller – personuppgiftsansvarig respektive personuppgiftsbiträde

2.1Den som bestämmer varför och hur personuppgifter ska behandlas är personuppgiftsansvarig. Den personuppgiftsansvarige ansvarar för att behandlingen följer lagen, och det är dit du i första hand vänder dig när du vill utöva dina rättigheter. Ett personuppgiftsbiträde behandlar personuppgifter för den personuppgiftsansvariges räkning och enbart enligt dennes instruktioner.

2.2Cerrtify är personuppgiftsansvarig när vi behandlar personuppgifter för våra egna ändamål: när vi driver vår webbplats, hanterar kundrelationer och användarkonton, kontrollerar nya kunder, fakturerar, ger support, skyddar Tjänsten mot missbruk, marknadsför oss och tillhandahåller vår sökbara kopia av Bolagsverkets och SCB:s företagsregister. Den behandlingen beskrivs i avsnitt 3.

2.3Cerrtify är personuppgiftsbiträde när en kund använder Tjänsten för att låta personer identifiera sig eller skriva under med BankID, hämta uppgifter om personer ur SPAR eller hämta bolagsinformation från Bolagsverket. Då är det kunden – det företag vars webbplats, app eller tjänst du använder – som bestämmer varför och hur uppgifterna behandlas och som är personuppgiftsansvarig. Vi behandlar uppgifterna enbart enligt kundens instruktioner och Personuppgiftsbiträdesavtalet. Den behandlingen beskrivs i avsnitt 4.

2.4Ett exempel: Du loggar in hos ett företag som använder Cerrtify och identifierar dig med BankID. I BankID-appen kan det då stå till exempel "Verifiera dig hos exempel.se med Cerrtify". Att Cerrtifys namn syns beror på att företaget använder oss som teknisk leverantör, inte på att vi bestämmer över dina uppgifter. Det är företaget som är personuppgiftsansvarig, och det är dit du i första hand ska vända dig med frågor om dina uppgifter eller för att utöva dina rättigheter. Om du i stället kontaktar oss vidarebefordrar vi din begäran till företaget (punkt 4.5).

2.5Finansiell ID-Teknik BID AB och de banker som utfärdar BankID, Skatteverket (som ansvarar för SPAR) och Bolagsverket (tillsammans "Datakälleleverantörer") behandlar personuppgifter för sina egna ändamål och är själva personuppgiftsansvariga för den behandlingen. De är inte våra personuppgiftsbiträden, och för deras behandling gäller deras egna integritetspolicyer.

2.6Samma uppgift kan ibland behandlas i båda rollerna. Loggar över anrop till Tjänsten sparar vi till exempel för kundens räkning, så att kunden kan följa sin användning, samtidigt som vi använder samma loggar för att skydda Tjänsten mot missbruk. I avsnitt 3 och 4 anger vi vilken roll vi har för respektive behandling.

3. När Cerrtify är personuppgiftsansvarig

3.1I det här avsnittet beskriver vi för varje ändamål vilka uppgifter vi behandlar, varför, med vilken rättslig grund och hur länge vi sparar dem. När vi stöder oss på en intresseavvägning (artikel 6.1 f i Dataskyddsförordningen) har vi bedömt att vårt berättigade intresse väger tyngre än ditt intresse av att uppgifterna inte behandlas. Du kan få mer information om bedömningen genom att kontakta oss, och du har rätt att invända mot behandlingen (avsnitt 10).

3.2När lagringstiden har löpt ut raderar eller anonymiserar vi uppgifterna. Raderade uppgifter kan finnas kvar i säkerhetskopior i högst 30 dagar innan de skrivs över. Uppgifter kan sparas längre om det behövs för rättsliga anspråk eller om lag kräver det (se "Rättsliga anspråk och rättsliga förpliktelser" nedan).

Webbplatsbesök

3.3Uppgifter: När du besöker www.cerrtify.com tar vi och våra leverantörer emot tekniska uppgifter som din webbläsare skickar, till exempel IP-adress, typ av webbläsare och enhet, operativsystem, språkinställning, vilken sida du besöker och varifrån du kom, samt tidpunkt. Ditt val i cookie-bannern sparas i kakan cerrtify_consent. Om du samtycker till Statistik behandlas också uppgifter om hur du använder webbplatsen, till exempel vilka sidor du besöker och hur länge, din ungefärliga geografiska plats (härledd ur IP-adressen) och en slumpmässig identifierare i en kaka. Om du samtycker till Marknadsföring behandlas dessutom uppgifter om vilken annons du eventuellt kom från, om du har skickat ett formulär och identifierare i kakor från Google och LinkedIn. Har du samtyckt registreras också en händelse när du skickar ett formulär; händelsen innehåller bara formulärets id, aldrig det du har skrivit i formuläret.

3.4Google Tag Manager och samtycke: Vi använder Google Tag Manager för att styra vilka taggar och kakor som får användas på webbplatsen. Google Tag Manager laddas först efter att du har samtyckt till Statistik eller Marknadsföring. Innan du har samtyckt skickar vi inga uppgifter till Google eller LinkedIn, varken med eller utan kakor, och varken Google Analytics, Google Ads eller LinkedIn Insight Tag aktiveras. Webbplatsens typsnitt levereras från vår egen webbplats, så din webbläsare hämtar dem inte från någon extern leverantör. bekräfta: att ändringen på webbplatsen är genomförd, så att Google Tag Manager laddas först efter samtycke och typsnitten levereras från webbplatsen När Google Tag Manager har laddats tar Google emot din IP-adress och de tekniska uppgifter om webbläsaren som behövs för att leverera skriptet.

3.5Ändamål: Att visa webbplatsen och hålla den säker och fungerande, att komma ihåg och respektera ditt val om kakor, att – om du samtycker – ta fram statistik över hur webbplatsen används så att vi kan förbättra den, och att – om du samtycker – mäta hur våra annonser hos Google och LinkedIn fungerar och visa dig relevanta annonser.

3.6Rättslig grund: De tekniska uppgifter som behövs för att visa webbplatsen, hålla den säker och hantera ditt samtyckesval behandlar vi med stöd av en intresseavvägning (artikel 6.1 f). Vårt berättigade intresse är att tillhandahålla en säker och fungerande webbplats och att respektera ditt val om kakor. Statistik och marknadsföring med hjälp av kakor och liknande tekniker, och de uppgifter som Google tar emot när Google Tag Manager laddas, bygger på ditt samtycke (artikel 6.1 a). Du kan när som helst återkalla samtycket via länken "Cookie-inställningar" längst ned på varje sida.

3.7Mottagare och ansvar: Webbplatsen och dess formulär drivs med hjälp av Webflow, Inc. Vi ansvarar för att uppgifter samlas in på vår webbplats och förs över till Google och LinkedIn. För den behandling som Google och LinkedIn därefter utför för egna ändamål ansvarar de själva, enligt sina egna integritetspolicyer. Uppgifterna kan överföras till USA (avsnitt 7).

3.8Lagringstid: Ditt samtyckesval sparas i 12 månader. Hur länge övriga kakor sparas framgår av Cookiepolicyn. Uppgifter på användarnivå i Google Analytics sparas i 14 månader.‍ Tekniska loggar hos Webflow sparas enligt Webflows egna rutiner, som beskrivs i Webflows integritetspolicy.

Kontakt- och demoförfrågningar

3.9Uppgifter: När du använder ett formulär på webbplatsen, till exempel för att kontakta oss eller boka en demonstration, behandlar vi det du fyller i: namn, företag, e-postadress, telefonnummer (om du väljer att ange det), ämne och meddelande. Kontaktar du oss per e-post eller telefon behandlar vi motsvarande uppgifter. Vi sparar också vår fortsatta korrespondens med dig.

3.10Ändamål: Att besvara din fråga, boka och genomföra en demonstration, följa upp din förfrågan och, om ditt företag är intresserat, lämna offert och ingå avtal. Formulären tas emot via Webflow, och vår personal aviseras om nya förfrågningar via automatiseringsverktyget n8n, som vi driver själva på Hetzners servrar i EU.

3.11Rättslig grund: Intresseavvägning (artikel 6.1 f). Vårt berättigade intresse är att kunna besvara förfrågningar och utveckla affärsrelationer med företag som visar intresse för Tjänsten.

3.12Lagringstid: 24 månader efter vår senaste kontakt med dig. Leder förfrågan till ett kundförhållande gäller i stället de lagringstider som anges för kundförhållandet nedan.

Konton och användare i Portalen

3.13Uppgifter: Namn, e-postadress, vilken kund du företräder, din roll och dina behörigheter i Portalen samt uppgifter om inbjudningar, till exempel vem som bjöd in dig och när. Nya Användare bjuds in via e-post av en befintlig Användare hos kunden. Du loggar in med en engångskod som skickas till din e-post och/eller med BankID. Loggar du in med BankID behandlar vi ditt namn och ditt personnummer, som vi får från BankID, för att koppla inloggningen till ditt konto. Vi behandlar också uppgifter om inloggningar och aktivitet i Portalen, till exempel tidpunkt, IP-adress och ändringar du gör, som när du skapar eller spärrar en API-nyckel, samt de kakor som behövs för att hålla dig inloggad (se Cookiepolicyn).

3.14Ändamål: Att skapa och administrera ditt konto, ge dig säker åtkomst till Portalen, låta kunden bjuda in Användare och styra deras behörigheter, föra en historik över ändringar på kontot och skicka meddelanden som behövs för Tjänsten, till exempel engångskoder, inbjudningar, kvitton, driftinformation och information om ändrade villkor. E-postmeddelandena skickas via Resend. Vår personal aviseras om nya registreringar via n8n.

3.15Rättslig grund: Är du själv vår kund, till exempel som enskild näringsidkare, behandlar vi uppgifterna för att fullgöra avtalet med dig (artikel 6.1 b). Företräder du en kund eller har du bjudits in av en kund, behandlar vi uppgifterna med stöd av en intresseavvägning (artikel 6.1 f). Vårt berättigade intresse är att kunna fullgöra avtalet med kunden och ge kundens Användare säker åtkomst till Tjänsten. Ditt personnummer behandlar vi vid BankID-inloggning med stöd av 3 kap. 10 § Dataskyddslagen, eftersom det är klart motiverat med hänsyn till vikten av en säker identifiering (se även avsnitt 9). Uppgifterna behövs för att du ska kunna använda Portalen.

3.16Lagringstid: Så länge ditt konto finns. Tas ditt konto bort raderar vi uppgifterna inom 30 dagar. Upphör kundförhållandet, eller raderar kunden sin organisation i Portalen, stängs åtkomsten omedelbart och uppgifterna raderas slutligt 90 dagar därefter. Loggar sparas enligt vad som anges under "Säkerhet, loggning och förebyggande av missbruk", och uppgifter som behövs för bokföring eller rättsliga anspråk sparas enligt vad som anges under respektive rubrik.

Kundkännedom om våra kunder och produktionsansökan

3.17Uppgifter: Innan en kund får använda Tjänstens produktionsmiljö, där verkliga transaktioner görs ("Produktionsmiljön"), ska kunden lämna en ansökan som signeras med BankID av en person som har behörighet att företräda kunden, till exempel en firmatecknare. Vi behandlar då firmatecknarens namn och personnummer och uppgifter om underskriften, till exempel tidpunkten. Vi behandlar också uppgifter om kunden och dess kontaktpersoner – namn, e-postadress, telefonnummer och roll – och om hur kunden avser att använda Tjänsten. Vi kan kontrollera uppgifterna mot offentliga register, till exempel Bolagsverkets. Motsvarande uppgifter – namn, personnummer, roll, BankID-kontroll och tidpunkt – behandlar vi när en ägare begär att kundens organisation ska raderas i Portalen och bekräftar begäran med BankID. Namn och personnummer lagras krypterade.

3.18Ändamål: Att kontrollera att kunden finns och är den den utger sig för att vara, att den som signerar ansökan har rätt att företräda kunden och att Tjänsten ska användas för ett godtagbart ändamål. Kontrollen behövs för att vi ska uppfylla de krav som BankID-utfärdande banker och andra Datakälleleverantörer ställer på oss, för att förebygga missbruk av Tjänsten och för att vi ska kunna visa vad kunden har ansökt om och godkänt. Vid en begäran om radering av en organisation är ändamålet att kontrollera att begäran kommer från någon som har rätt att framställa den och att kunna visa vem som begärde raderingen och när. Cerrtify gör inte kontrollen enligt penningtvättslagstiftningen, utan för att uppfylla dessa krav och skydda Tjänsten.

3.19Rättslig grund: Intresseavvägning (artikel 6.1 f). Vårt berättigade intresse är att känna våra kunder, uppfylla de krav som BankID-utfärdande banker och Datakälleleverantörer ställer på oss, förebygga missbruk av Tjänsten och kunna bevisa vad som har avtalats. Personnumret för den som signerar ansökan eller begär radering av en organisation behandlar vi med stöd av 3 kap. 10 § Dataskyddslagen, eftersom det är klart motiverat med hänsyn till vikten av en säker identifiering av den som företräder kunden. Utan uppgifterna kan vi inte aktivera Produktionsmiljön.

3.20Lagringstid: Uppgifter om den som ansöker om produktion eller begär radering av en organisation för kundens räkning (namn, personnummer, roll, BankID-kontroll och tidpunkt för godkännandet av villkoren) sparas i tio år efter att avtalet har upphört, som bevis om avtalet och om vem som ingick det. Personnumret sparas krypterat och behandlas med stöd av 3 kap. 10 § dataskyddslagen, eftersom det är viktigt att säkert kunna identifiera den som ingått avtalet. Avslås en ansökan sparas uppgifterna i tio år efter avslaget. Övriga uppgifter från ansökan och kontrollen sparas i 12 månader efter att ansökan har prövats.

Fakturering och bokföring

3.21Uppgifter: Namn och kontaktuppgifter till fakturamottagare och kontaktpersoner, fakturaadress, organisationsnummer (som för en enskild näringsidkare är detsamma som personnumret), momsregistreringsnummer, köpta och förbrukade krediter, uppgifter om användning som ligger till grund för debitering, fakturor och betalningshistorik. Kortbetalningar hanteras av Stripe. Vi får aldrig del av fullständiga kortnummer, men kan få uppgift om till exempel korttyp, kortets sista siffror och giltighetstid samt om en betalning har genomförts.

3.22Ändamål: Att fakturera och ta betalt för Tjänsten, hantera krediter och automatisk påfyllning, skicka kvitton och betalningspåminnelser, driva in obetalda fordringar och fullgöra våra skyldigheter enligt bokföringslagen (1999:1078).

3.23Rättslig grund: Fullgörande av avtal när du själv är vår kund (artikel 6.1 b). Intresseavvägning när du är kontaktperson för en kund (artikel 6.1 f); vårt berättigade intresse är att kunna administrera avtalet och få betalt. Rättslig förpliktelse för bokföring och arkivering av räkenskapsinformation (artikel 6.1 c).

3.24Lagringstid: Uppgifter om användning och fakturering, till exempel fakturor och underlag för debitering, sparas i tio år. Bokföringslagen kräver att räkenskapsinformation sparas till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades (7 kap. 2 § bokföringslagen), och därefter sparar vi uppgifterna till dess att den tioåriga preskriptionstiden för krav som rör en faktura har löpt ut. Övriga faktureringsuppgifter raderas när kundförhållandet har upphört och alla betalningar är reglerade.

Support

3.25Uppgifter: Namn, e-postadress, telefonnummer, vilken kund du företräder, ditt ärende och vår korrespondens, inklusive bilagor och tekniska uppgifter som du delar med oss, till exempel ett request-id eller en felbeskrivning. Du når supporten på support@cerrtify.com, via app.cerrtify.com/get-support eller på telefon +46 73 757 99 57.

3.26Ändamål: Att besvara frågor, felsöka och lösa problem samt följa upp och förbättra vår support. Om ärendet rör uppgifter som vi behandlar för en kunds räkning (avsnitt 4) behandlar vi de uppgifterna som personuppgiftsbiträde. Skicka inte personnummer eller andra uppgifter om Slutanvändare i ett supportärende om det inte är nödvändigt för att lösa ärendet.

3.27Rättslig grund: Fullgörande av avtal när du själv är vår kund (artikel 6.1 b), och annars intresseavvägning (artikel 6.1 f). Vårt berättigade intresse är att kunna ge kunder och deras Användare support.

3.28Lagringstid: 24 månader efter att ärendet avslutades.

Säkerhet, loggning och förebyggande av missbruk

3.29Uppgifter: Loggar över anrop till Tjänsten och händelser i Portalen: tidpunkt, metod, sökväg, statuskod, svarstid, kund, id för den API-nyckel som har använts, IP-adress för det anropande systemet och request-id, samt affärshändelser, till exempel att en BankID-identifiering har startats. Vi loggar också inloggningar, misslyckade inloggningsförsök, överskridna anropsgränser och andra säkerhetshändelser. Personnummer maskeras eller minimeras i applikations- och driftloggar.

3.30Ändamål: Att skydda Tjänsten, våra kunder och Slutanvändare mot intrång, bedrägerier och annat missbruk, att upptäcka och utreda säkerhetsincidenter och fel, att upprätthålla Tjänstens tillgänglighet och att följa upp att Tjänsten används enligt villkoren. När en kund använder ett kundspecifikt BankID-certifikat som har utfärdats under Cerrtifys avtal med banken är Cerrtify avtalspart och förlitande part gentemot banken, och vi använder då loggarna även för att fullgöra våra skyldigheter mot banken, till exempel att följa upp misstänkt missbruk och samarbeta med banken vid utredningar. Loggning och driftövervakning sker med hjälp av Grafana Cloud. Samma loggar sparar vi också för kundens räkning; i den delen är vi personuppgiftsbiträde (avsnitt 4).

3.31Rättslig grund: Intresseavvägning (artikel 6.1 f). Vårt berättigade intresse är att hålla Tjänsten och de uppgifter som behandlas i den säkra och att förebygga missbruk.

3.32Lagringstid: 12 månader, därefter raderas loggarna automatiskt. Uppgifter som behövs för att utreda en pågående säkerhetsincident eller ett misstänkt missbruk får sparas till dess att utredningen är avslutad.

Marknadsföring till företagskontakter

3.33Uppgifter: Namn, befattning, företag, e-postadress och telefonnummer i arbetet samt uppgifter om vår tidigare kontakt, till exempel att du har begärt en demonstration eller är kontaktperson hos en kund. Uppgifterna kommer från dig, från ditt företag eller, i vissa fall, från offentliga källor som ditt företags webbplats.

3.34Ändamål: Att informera om Cerrtifys tjänster, nyheter och evenemang som kan vara relevanta för dig i din yrkesroll, till exempel via e-post eller telefon. E-post med marknadsföring skickar vi till enskilda näringsidkare endast om du har samtyckt eller om du redan är kund hos oss och erbjudandet avser liknande tjänster. Har vi hämtat dina uppgifter från offentliga källor informerar vi dig om behandlingen senast vid vår första kontakt med dig.

3.35Rättslig grund: Intresseavvägning (artikel 6.1 f). Vårt berättigade intresse är att marknadsföra Tjänsten till företag och deras företrädare. Du har en ovillkorlig rätt att när som helst invända mot direktmarknadsföring genom att mejla hej@cerrtify.com eller använda avregistreringslänken i våra utskick. Vi upphör då med marknadsföringen till dig.

3.36Lagringstid: 24 månader efter vår senaste kontakt med dig. Har du invänt mot marknadsföring sparar vi din e-postadress på en spärrlista, så att vi inte kontaktar dig igen.

Bolagsverkets och SCB:s företagsregister i vår söktjänst

3.37Tjänsten har en sökfunktion där kunder kan söka efter företag på namn eller organisationsnummer. Sökningen görs i en egen kopia av företagsregistret, som vi hämtar från Bolagsverkets och SCB:s värdefulla datamängder och uppdaterar varje vecka. För kopian är Cerrtify personuppgiftsansvarig. Eftersom uppgifterna inte kommer från de registrerade själva lämnar vi informationen nedan enligt artikel 14 i Dataskyddsförordningen.

3.38Uppgifter: Kopian innehåller företagsnamn, organisationsnummer, organisationsform, status, registreringsdatum, adress, SNI-koder och verksamhetsbeskrivning. Kopian omfattar även enskilda näringsidkare. För dem innehåller den personuppgifter: organisationsnumret är detsamma som ägarens personnummer, företagsnamnet består ofta av eller innehåller ägarens namn och adressen kan vara ägarens.

3.39Källa: Bolagsverket och SCB, genom deras värdefulla datamängder.

3.40Ändamål: Att kunder och deras Användare ska kunna söka fram och identifiera rätt företag, till exempel innan de hämtar bolagsinformation via Tjänsten.

3.41Rättslig grund: Intresseavvägning (artikel 6.1 f). Vårt och våra kunders berättigade intresse är att snabbt och korrekt kunna identifiera företag. Vi har särskilt beaktat att uppgifterna redan är offentliga och tillhandahålls av Bolagsverket och SCB för vidareutnyttjande, att de rör företaget och inte privatlivet och att sökfunktionen bara är tillgänglig för våra kunder. En enskild näringsidkares organisationsnummer behandlar vi med stöd av 3 kap. 10 § Dataskyddslagen, eftersom det är klart motiverat med hänsyn till ändamålet: numret är företagets identitetsbeteckning och behövs för att rätt företag ska kunna identifieras.

3.42Mottagare: Kunder som använder sökfunktionen och de leverantörer som driftar Tjänsten (avsnitt 6).

3.43Lagringstid: Så länge uppgifterna finns i Bolagsverkets och SCB:s register. Kopian uppdateras varje vecka. Ändras eller tas en uppgift bort hos Bolagsverket eller SCB ändras eller tas den bort även i vår kopia vid nästa uppdatering.

3.44Dina rättigheter: Vi kontaktar inte varje enskild näringsidkare, eftersom det skulle kräva en oproportionerligt stor insats (artikel 14.5 b i Dataskyddsförordningen). Informationen lämnas i stället i den här policyn, som är offentlig. Du har rätt att invända mot behandlingen och att utöva övriga rättigheter enligt avsnitt 10. Felaktiga uppgifter behöver rättas hos Bolagsverket; rättelsen slår sedan igenom i vår kopia vid nästa uppdatering.

Rättsliga anspråk och rättsliga förpliktelser

3.45Uppgifter: De uppgifter som beskrivs ovan och som är relevanta i det enskilda fallet.

3.46Ändamål: Att fastställa, göra gällande eller försvara rättsliga anspråk, till exempel vid en tvist med en kund, och att fullgöra skyldigheter att lämna ut eller spara uppgifter enligt lag eller myndighetsbeslut.

3.47Rättslig grund: Intresseavvägning (artikel 6.1 f) – vårt berättigade intresse är att kunna ta tillvara våra rättigheter – och rättslig förpliktelse (artikel 6.1 c) när lag eller myndighetsbeslut kräver att vi lämnar ut eller sparar uppgifter.

3.48Lagringstid: Så länge det behövs för att hantera anspråket eller förpliktelsen, som längst till dess att anspråket är slutligt avgjort eller preskriberat.

4. När Cerrtify är personuppgiftsbiträde

4.1När en kund använder Tjänsten behandlar vi personuppgifter om Slutanvändare för kundens räkning. Kunden är personuppgiftsansvarig och bestämmer varför uppgifterna behandlas, till exempel för att logga in dig, låta dig skriva under ett avtal eller kontrollera din adress. Kundens egen integritetspolicy beskriver kundens behandling. Vi behandlar uppgifterna enbart enligt kundens instruktioner och Personuppgiftsbiträdesavtalet. Vi använder inte uppgifter om Slutanvändare för egna ändamål, med undantag för att vi använder loggar över anropen för att skydda Tjänsten (punkt 3.29–3.32).

4.2Vilka uppgifter som behandlas beror på vilken tjänst kunden använder:

(a)BankID – vid identifiering, underskrift och betalningsgodkännande: personnummer, namn, IP-adress och andra uppgifter om enheten som BankID lämnar, den text som visas för dig eller som du skriver under, underskriften och BankID:s kontrollsvar samt orderreferens och status. Vid identifiering och underskrift per telefon behandlas också uppgift om vem som tog initiativ till samtalet.

(b)Personinformation (SPAR) – det personnummer eller samordningsnummer, eller det namn och den adress, som kunden söker på och de uppgifter som SPAR lämnar ut: namn, födelsedatum, kön, folkbokföringsort (län och kommun), folkbokföringsadress och uppgift om sekretessmarkering eller skyddad folkbokföring, i den omfattning kunden har rätt att ta del av dem. Varje sökning märks, enligt SPAR:s krav, med en identitet för den person hos kunden som gör sökningen. Tjänsten stöder bara sökningar för kontrolländamål, det vill säga för att aktualisera, komplettera och kontrollera uppgifter som kunden redan har.

(c)Bolagsinformation (Bolagsverket) – det organisationsnummer eller företagsnamn som kunden söker på och de uppgifter som lämnas ut om företaget: namn, organisationsform, status, registreringsdatum, adress, SNI-koder och verksamhetsbeskrivning. Uppgifterna rör i huvudsak företag men kan innehålla personuppgifter, till exempel en enskild näringsidkares namn och personnummer.

4.3Lagringstid: Vi sparar uppgifter om Slutanvändare så kort tid som möjligt:

(a)sessions- och QR-data för BankID mellanlagras i minnet i högst fem minuter;

(b)kopplingen mellan en BankID-orderreferens och typen av order raderas inom 24 timmar;

(c)uppdrag som körs asynkront lagras krypterade tillsammans med resultatet; svaret lagras i högst sju (7) dagar så att kunden kan hämta det och raderas därefter;

(d)svar från BankID och SPAR skickas med en instruktion om att de inte får mellanlagras på vägen till kunden;

(e)vi sparar inte resultatet av en identifiering eller underskrift med BankID (namn, personnummer eller underskrift) eller svar från SPAR utöver vad som anges ovan, om inte kunden skriftligen har instruerat oss om något annat;

(f)loggar över transaktionerna sparas i 12 månader, och personnummer maskeras eller minimeras i loggarna; och

(g)svar från Bolagsverket mellanlagras inte och sparas, utöver vad som anges i punkt (c) om asynkrona uppdrag, inte efter att de har levererats till kunden; endast en åtkomstnyckel för Bolagsverkets gränssnitt hålls tillfälligt i minnet.

4.4När kundens avtal med oss upphör raderas de uppgifter som vi behandlar för kundens räkning enligt Personuppgiftsbiträdesavtalet. Cerrtify fungerar inte som arkiv åt kunden. Kunden ansvarar själv för att spara de uppgifter som kunden behöver, till exempel för att kunna visa en genomförd identifiering.

4.5Dina rättigheter: Eftersom kunden är personuppgiftsansvarig ska du vända dig till kunden om du vill få tillgång till, rätta eller radera dina uppgifter, eller invända mot behandlingen. Det är normalt också kunden som har uppgifterna – vi sparar dem bara under den korta tid som anges ovan. Om du vänder dig till oss vidarebefordrar vi din begäran till kunden utan onödigt dröjsmål och meddelar dig att vi har gjort det. Vi hjälper kunden att besvara begäran enligt Personuppgiftsbiträdesavtalet, men det är kunden som tar ställning till den.

4.6Vet du inte vilken kund det gäller? Kundens namn visas normalt i BankID-appen eller i den tjänst där du identifierade dig. Om du ändå inte vet vilket företag det gäller kan du kontakta oss på hej@cerrtify.com och ange ungefär när det skedde och i vilket sammanhang, så försöker vi hjälpa dig.

4.7Datakällor och underbiträden: När kunden använder BankID, SPAR eller Bolagsverket via Tjänsten skickas förfrågan till respektive Datakälleleverantör, som behandlar uppgifterna som självständigt personuppgiftsansvarig. Skatteverket är personuppgiftsansvarig för SPAR, och kunden måste själv ha rätt att ta del av uppgifter ur SPAR. De underbiträden vi anlitar framgår av avsnitt 6.

5. Varifrån vi får personuppgifter

5.1Vi får personuppgifter

(a)från dig, när du besöker webbplatsen, fyller i ett formulär, skapar ett konto, signerar en produktionsansökan, kontaktar supporten eller på annat sätt är i kontakt med oss;

(b)från din arbetsgivare eller uppdragsgivare, när en kund bjuder in dig som Användare eller anger dig som kontaktperson, fakturamottagare eller firmatecknare;

(c)från BankID, när du loggar in i Portalen eller signerar en ansökan med BankID;

(d)från din webbläsare och enhet, genom kakor och liknande tekniker (se Cookiepolicyn);

(e)från Stripe, om genomförda betalningar;

(f)från Bolagsverket och SCB, till vår sökbara kopia av företagsregistret, och från Bolagsverket när vi kontrollerar uppgifter om nya kunder;

(g)i vissa fall från offentliga källor, till exempel företags webbplatser, när vi söker kontakt med företag som kan vara intresserade av Tjänsten; och

(h)när vi är personuppgiftsbiträde: från kunden och, på kundens uppdrag, från Datakälleleverantörer.

6. Mottagare och underbiträden

6.1Vi säljer inte personuppgifter. Vi lämnar bara ut personuppgifter när det behövs för de ändamål som beskrivs i den här policyn.

6.2Vi anlitar leverantörer som behandlar personuppgifter för vår räkning. När vi är personuppgiftsansvariga är de våra personuppgiftsbiträden, och när vi behandlar uppgifter för en kunds räkning är de underbiträden. De får bara behandla uppgifterna enligt våra instruktioner och är bundna av avtal med oss om personuppgiftsbehandling. Andra mottagare är själva personuppgiftsansvariga och behandlar uppgifterna enligt sina egna villkor. De certifieringar som anges i tabellen nedan innehas av respektive leverantör och avser inte Cerrtify.

6.3Följande mottagare kan få del av personuppgifter:

6.4Bolagsverket, SCB, Skatteverket (SPAR) och bankerna bakom BankID är inte våra personuppgiftsbiträden utan datakällor med eget personuppgiftsansvar (punkt 2.5). Grunden för överföring till leverantörer utanför EU/EES framgår av avsnitt 7. För PlanetScale och Cloudflare är grunden EU–US Data Privacy Framework, kompletterat med standardavtalsklausuler.

6.5Kunder hittar den aktuella förteckningen över underbiträden, och hur ändringar i den meddelas, i Personuppgiftsbiträdesavtalet och på www.cerrtify.com/underbitraden.

7. Överföring till länder utanför EU/EES

7.1Vi strävar efter att behandla personuppgifter inom EU/EES. Tjänstens databas och API-servrar finns i EU. Flera av våra leverantörer är dock amerikanska bolag eller anlitar underleverantörer utanför EU/EES, och uppgifter kan därför överföras till eller bli åtkomliga från länder utanför EU/EES, främst USA. Det gäller de leverantörer i avsnitt 6 som har säte i USA och, om du samtycker till Statistik eller Marknadsföring, Google och LinkedIn.

7.2Vid överföring till USA stöder vi oss på EU-kommissionens beslut av den 10 juli 2023 om adekvat skyddsnivå enligt EU–US Data Privacy Framework, när mottagaren är certifierad enligt ramverket. I andra fall, och vid överföring till andra länder utanför EU/EES som saknar beslut om adekvat skyddsnivå, använder vi EU-kommissionens standardavtalsklausuler (kommissionens genomförandebeslut (EU) 2021/914) med kompletterande skyddsåtgärder, till exempel kryptering.

7.3Även när uppgifter lagras i EU kan en leverantör som är ett amerikanskt bolag bli skyldig att lämna ut uppgifter till myndigheter i USA enligt amerikansk lag. Vi begränsar därför vilka uppgifter som lämnas till sådana leverantörer, och särskilt skyddsvärda uppgifter, som certifikat och firmatecknares personnummer, lagras krypterade.

7.4Stripe, Google och LinkedIn ansvarar själva för de överföringar som de gör för egna ändamål.

7.5Du kan få en kopia av de skyddsåtgärder vi använder genom att kontakta oss på hej@cerrtify.com.

8. Så skyddar vi personuppgifterna

8.1Vi vidtar tekniska och organisatoriska åtgärder för att skydda personuppgifter mot obehörig åtkomst, förlust och förändring. Bland annat gäller följande:

(a)all trafik krypteras med TLS, och förbindelserna till BankID och SPAR skyddas dessutom med ömsesidig certifikatautentisering (mTLS);

(b)certifikat och tillhörande lösenord lagras krypterade med AES-256-GCM, och krypteringsnycklarna förvaras åtskilda från databasen;

(c)API-nycklar lagras endast som hashvärden (SHA-256), och firmatecknares personnummer lagras krypterade;

(d)uppgifter i kön för asynkrona uppdrag är krypterade;

(e)testmiljön (Sandbox) och Produktionsmiljön är åtskilda, med separata databaser, hemligheter och API-nycklar;

(f)våra servrar tar bara emot trafik via Cloudflare, och kunder kan begränsa åtkomsten med listor över tillåtna IP-adresser och domäner samt med anropsgränser;

(g)åtkomsten till Portalen styrs med roller och behörigheter, och anrop och ändringar loggas; och

(h)personnummer maskeras eller minimeras i loggar, och uppgifter om Slutanvändare sparas så kort tid som möjligt (punkt 4.3).

8.2Om en personuppgiftsincident inträffar anmäler vi den till Integritetsskyddsmyndigheten när det krävs, och vi informerar dig om incidenten kan innebära en hög risk för dig. När vi är personuppgiftsbiträde underrättar vi kunden enligt Personuppgiftsbiträdesavtalet.

9. Personnummer

9.1Enligt 3 kap. 10 § Dataskyddslagen får personnummer och samordningsnummer behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl.

9.2Som personuppgiftsansvarig behandlar vi personnummer

(a)när du loggar in i Portalen med BankID;

(b)när en firmatecknare signerar en produktionsansökan eller när en ägare bekräftar en begäran om radering av kundens organisation med BankID; och

(c)när en enskild näringsidkares organisationsnummer är detsamma som personnumret, i faktureringen och i vår sökbara kopia av företagsregistret.

9.3I fallen (a) och (b) är behandlingen klart motiverad med hänsyn till vikten av en säker identifiering, och i fall (c) med hänsyn till ändamålet, eftersom numret är företagets identitetsbeteckning.

9.4Som personuppgiftsbiträde behandlar vi personnummer när kunden använder BankID eller SPAR, som bygger på personnummer. Det är då kunden som ansvarar för att behandlingen är tillåten.

9.5Vi skyddar personnummer genom att lagra firmatecknares personnummer krypterade, maskera eller minimera personnummer i loggar och inte spara personnummer från BankID-transaktioner och SPAR-sökningar längre än vad som anges i punkt 4.3. Skicka inte personnummer till oss via e-post eller i supportärenden om det inte är nödvändigt.

10. Dina rättigheter

10.1Du har följande rättigheter när Cerrtify är personuppgiftsansvarig (avsnitt 3). Gäller det uppgifter som vi behandlar för en kunds räkning (avsnitt 4) ska du vända dig till kunden.

(a)Rätt till tillgång – du har rätt att få veta om vi behandlar personuppgifter om dig och i så fall få en kopia av uppgifterna (registerutdrag) och information om hur de behandlas.

(b)Rätt till rättelse – du har rätt att få felaktiga uppgifter rättade och ofullständiga uppgifter kompletterade.

(c)Rätt till radering – du har rätt att få uppgifter raderade, till exempel om de inte längre behövs, om du återkallar ditt samtycke eller om du invänder och vi saknar skäl som väger tyngre. Vi kan inte radera uppgifter som vi måste spara enligt lag, till exempel räkenskapsinformation, eller som behövs för rättsliga anspråk.

(d)Rätt till begränsning – du har rätt att begära att behandlingen begränsas, till exempel medan vi utreder om uppgifterna är korrekta eller om din invändning ska godtas.

(e)Rätt till dataportabilitet – du har rätt att få ut uppgifter som du själv har lämnat till oss, och som vi behandlar automatiserat med stöd av samtycke eller avtal, i ett strukturerat, allmänt använt och maskinläsbart format och att överföra dem till en annan personuppgiftsansvarig.

(f)Rätt att invända – du har rätt att invända mot behandling som grundar sig på en intresseavvägning (artikel 6.1 f), av skäl som hänför sig till din särskilda situation. Vi upphör då med behandlingen, om vi inte kan visa tvingande berättigade skäl som väger tyngre än dina intressen eller om behandlingen behövs för rättsliga anspråk.

(g)Rätt att invända mot direktmarknadsföring – du kan när som helst invända mot att dina uppgifter används för direktmarknadsföring. Den rätten är ovillkorlig, och vi upphör alltid med sådan behandling.

(h)Rätt att återkalla samtycke – när behandlingen bygger på ditt samtycke kan du när som helst återkalla det, till exempel via "Cookie-inställningar" längst ned på varje sida på webbplatsen. Återkallelsen påverkar inte lagligheten av behandlingen innan samtycket återkallades.

10.2Du utövar dina rättigheter genom att mejla hej@cerrtify.com. Vi kan behöva be dig om uppgifter för att bekräfta din identitet innan vi lämnar ut eller ändrar uppgifter, men vi ber inte om mer än vad som behövs för det.

10.3Vi svarar utan onödigt dröjsmål och senast inom en månad från att vi tog emot din begäran. Om begäran är komplicerad eller om vi har fått många begäranden kan tiden förlängas med högst två månader; vi meddelar dig i så fall inom en månad. Det kostar ingenting att utöva dina rättigheter. Är en begäran uppenbart ogrundad eller orimlig får vi ta ut en rimlig avgift eller avslå den.

11. Automatiserade beslut

11.1Cerrtify fattar inga beslut som enbart grundas på automatiserad behandling, inklusive profilering, och som har rättsliga följder för dig eller på liknande sätt i betydande grad påverkar dig (artikel 22 i Dataskyddsförordningen).

11.2Våra kunder kan använda resultat från Tjänsten – till exempel att en identifiering med BankID har lyckats eller uppgifter från SPAR – som underlag för egna beslut, i vissa fall automatiserade. Det är då kunden som ansvarar för beslutet och för att informera dig om det.

12. Kakor

12.1Vi använder kakor och liknande tekniker på www.cerrtify.com och i Portalen. Nödvändiga kakor används alltid, eftersom webbplatsen och Portalen inte fungerar utan dem. Kakor för Statistik och Marknadsföring används bara om du samtycker, och Google Tag Manager laddas först efter ditt samtycke (punkt 3.4).

12.2Ditt val sparas i kakan cerrtify_consent i 12 månader och gäller både webbplatsen och Portalen. Du kan när som helst ändra eller återkalla ditt samtycke via länken "Cookie-inställningar" längst ned på varje sida.

12.3När du betalar i Portalen skickas du till Stripe Checkout (checkout.stripe.com), där Stripe sätter egna kakor för betalningen och för att förebygga bedrägerier.

12.4Mer information, bland annat en förteckning över kakorna, finns i vår Cookiepolicy på www.cerrtify.com/cookiepolicy.

13. Klagomål till Integritetsskyddsmyndigheten

13.1Om du är missnöjd med hur vi behandlar dina personuppgifter vill vi gärna att du först kontaktar oss, så att vi kan försöka lösa frågan.

13.2Du har alltid rätt att lämna klagomål till tillsynsmyndigheten Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, www.imy.se. Du kan också vända dig till tillsynsmyndigheten i det EU- eller EES-land där du bor eller arbetar eller där den påstådda överträdelsen har skett.

14. Ändringar i policyn

14.1Vi kan komma att ändra policyn, till exempel om vi ändrar hur vi behandlar personuppgifter, anlitar nya leverantörer eller om lagstiftningen ändras. Den aktuella versionen finns alltid på www.cerrtify.com/integritetspolicy med versionsnummer och datum.

14.2Om vi gör väsentliga ändringar informerar vi Användare via e-post eller i Portalen innan ändringarna börjar gälla. Tidigare versioner av policyn får du på begäran.

15. Kontakt

15.1Har du frågor om den här policyn eller om hur vi behandlar personuppgifter är du välkommen att kontakta oss: Netsius Sweden AB (Cerrtify), org.nr 559325-4963, med säte i Stockholm, e-post hej@cerrtify.com, telefon +46 73 757 99 57.

15.2Frågor om Tjänsten och teknisk support skickar du till support@cerrtify.com.

16. Lagringstider i sammandrag

16.1Tabellen sammanfattar lagringstiderna i avsnitt 3 och 4. Uppgifter kan sparas längre om det behövs för rättsliga anspråk eller om lag kräver det.