Integritetspolicy | Kovka AB & Snabb Egenkontroll

1. Om policyn och personuppgiftsansvarig

Denna integritetspolicy beskriver hur Kovka AB behandlar personuppgifter i samband med webbplatsen kovka.se, kundkonton, betalningar, support och den digitala tjänsten Snabb Egenkontroll.

Personuppgiftsansvarig för den behandling som beskrivs som Kovka AB:s egen är:

Kovka AB
Organisationsnummer: 559500-9712
Momsregistreringsnummer: SE559500971201
Tors väg 13
145 71 Norsborg
Sverige
E-post: info@kovka.se
Telefon: +46 76 977 30 93

Snabb Egenkontroll är en B2B-tjänst som tillhandahålls till företag och andra näringsidkare.

2. Kovka AB:s roller

Kovka AB är personuppgiftsansvarig för behandling som gäller den egna verksamheten, exempelvis:

registrering och administration av konton;
e-postverifiering och lösenordsåterställning;
kundkontakt och support;
betalningar, abonnemang, fakturering och bokföring;
säkerhet, inloggningsskydd och teknisk drift;
dokumentation av accepterade avtalsversioner;
cookieinställningar och webbplatsadministration.

När ett kundföretag använder Snabb Egenkontroll och för in personuppgifter i projekt, kontrollpunkter, kommentarer, dokumentöversikter eller annan projektdokumentation är kundföretaget normalt personuppgiftsansvarigt för dessa uppgifter.

Kovka AB behandlar då uppgifterna som personuppgiftsbiträde för att tillhandahålla tjänsten. Den behandlingen regleras av Personuppgiftsbiträdesavtalet.

3. Personuppgifter som kan behandlas

Vilka personuppgifter som behandlas beror på hur webbplatsen och Snabb Egenkontroll används.

3.1 Konto och kontakt

e-postadress;
visningsnamn och tekniskt användarnamn;
hashat lösenord;
status och tidpunkter för e-postverifiering;
tillfälliga uppgifter för verifiering och lösenordsåterställning;
uppgifter som lämnas i supportärenden.

Kovka AB lagrar inte lösenord i läsbar form.

3.2 Företag, avtal och betalning

företagsnamn och organisationsnummer;
fakturerings- och kontaktuppgifter;
vald plan och abonnemangsstatus;
pris, valuta, moms och betalningsstatus;
abonnemangets start, förnyelse, uppsägning och slutdatum;
fakturor och betalningshistorik;
tekniska betalningsidentifierare från Stripe, exempelvis kund-, Checkout-, abonnemangs-, betalnings- och fakturareferenser;
datum, tidpunkt och version för accepterade villkor när sådan registrering används.

Kovka AB lagrar inte fullständiga kortnummer eller CVC-koder.

3.3 Projekt och dokumentation

När kunden använder Snabb Egenkontroll kan tjänsten behandla:

projektnamn, projektnummer, beställare och projektstatus;
hus, lägenhet, rum, zon eller annan platsangivelse;
aktiviteter och kontrollpunkter;
datum och mätresultat;
godkännanden och referenser;
avvikelser och åtgärder;
kommentarer;
företagsuppgifter som visas i dokumentationen;
namn på upprättare, platschef eller annan angiven person;
logotyp och signatur;
dokumentinställningar;
tekniska dokumentögonblicksbilder, så kallade snapshots.

Projektuppgifter är inte alltid personuppgifter. De blir personuppgifter när de direkt eller indirekt kan kopplas till en identifierad eller identifierbar fysisk person.

Kunden ansvarar för att inte föra in fler personuppgifter än vad som är nödvändigt för projektet.

Tjänsten är inte avsedd för systematisk behandling av känsliga personuppgifter enligt artikel 9 GDPR, uppgifter om lagöverträdelser enligt artikel 10 GDPR eller onödiga uppgifter om boende, arbetstagare eller andra utomstående.

3.4 Teknisk information och säkerhet

Beroende på funktion och säkerhetsbehov kan följande behandlas:

sessionsidentifierare och hashade sessionstokenvärden;
datum och tid för inloggning, utloggning och senaste aktivitet;
misslyckade inloggningsförsök och tillfälliga spärrar;
IP-adress eller delar av IP-relaterade uppgifter när de behövs för säkerhet och felsökning;
webbläsar- och grundläggande enhetsinformation;
tekniska fel och händelseloggar;
antal inloggningar och vissa användningshändelser;
projektåtgärder och PDF-exporter;
cookieval och funktionell lagring i webbläsaren.

4. Varifrån uppgifterna kommer

Personuppgifter kan komma från:

den registrerade själv;
kundföretaget eller en behörig användare hos kundföretaget;
uppgifter som förs in i Snabb Egenkontroll;
Stripe i samband med betalning och abonnemang;
webbläsaren, servern och säkerhetssystem i samband med användning av tjänsten;
supportkommunikation med Kovka AB.

När ett kundföretag för in uppgifter om andra personer i ett projekt har Kovka AB normalt inte samlat in uppgifterna direkt från den registrerade. Kundföretaget ansvarar då som personuppgiftsansvarig för att behandlingen och informationen till den registrerade är lagenlig.

5. Ändamål och rättslig grund

5.1 Tillhandahålla tjänsten

Personuppgifter behandlas för att registrera och administrera konton, ge åtkomst till tjänsten, hantera kundrelationen, administrera köp och abonnemang samt ge support.

När den registrerade själv är avtalspart kan behandlingen vara nödvändig för att fullgöra avtalet eller vidta åtgärder före avtalets ingående.

När användaren agerar för ett kundföretag grundas behandlingen normalt på Kovka AB:s och kundföretagets berättigade intresse av att administrera affärsrelationen och tillhandahålla tjänsten.

5.2 Betalning, fakturering och bokföring

Betalnings- och fakturauppgifter behandlas för att genomföra köp, administrera abonnemang, hantera betalningstvister och uppfylla rättsliga skyldigheter, bland annat enligt bokföringslagstiftningen.

Behandlingen grundas beroende på uppgiften på avtal, rättslig förpliktelse eller berättigat intresse.

5.3 Säkerhet och teknisk drift

Tekniska uppgifter behandlas för att:

skydda användarkonton och system;
förhindra och upptäcka missbruk;
begränsa automatiserade angrepp;
felsöka tekniska problem;
hantera säkerhetsincidenter;
upprätthålla stabil och säker drift.

Behandlingen grundas normalt på Kovka AB:s berättigade intresse av att skydda tjänsten, kunderna och den tekniska infrastrukturen.

5.4 Support och rättsliga anspråk

Uppgifter i supportärenden kan behandlas för att lösa tekniska problem, besvara frågor, dokumentera kommunikation samt fastställa, göra gällande eller försvara rättsliga anspråk.

Behandlingen grundas beroende på ärendet på avtal, berättigat intresse eller rättslig förpliktelse.

5.5 Cookies och valfria tekniker

Nödvändig teknisk lagring används när den behövs för att webbplatsen, säkerhetsfunktionerna eller Snabb Egenkontroll ska fungera.

När en valfri teknik enligt tillämpliga regler kräver samtycke används den först efter att samtycke har lämnats. Ett lämnat samtycke kan återkallas genom webbplatsens cookieinställningar.

6. Snabb Egenkontroll och PDF

Projektets arbetsdata lagras i tjänstens databas så att behöriga användare kan fortsätta arbeta, öppna projekt igen, se dokumentförhandsvisningen och skapa PDF-exporter.

När ett dokument skapas kan tjänsten lagra en teknisk dokumentögonblicksbild (snapshot) av dokumentets innehåll. Den används för dokumentation och för att dokumentinnehållet ska kunna återges på ett konsekvent sätt.

Kovka AB tillhandahåller inte ett permanent serverarkiv för kundens färdiga PDF-filer.

PDF-filen tillhandahålls användaren för visning eller nedladdning. Kunden ansvarar för att kontrollera, spara, säkerhetskopiera och arkivera exporterade PDF-filer.

7. Mottagare och leverantörer

Personuppgifter kan behandlas av externa leverantörer när det behövs för att tillhandahålla, skydda eller administrera tjänsten.

De centrala leverantörerna är:

STRATO GmbH – webbhosting, databas, serverinfrastruktur och e-post;
Stripe – betalningar, abonnemang, fakturor och bedrägeribekämpning;
Cloudflare – Turnstile och skydd mot automatiserade angrepp och missbruk.

Complianz används lokalt i WordPress för hantering av cookieinformation och användarens cookieval.

Leverantörernas dataskyddsroller kan skilja sig beroende på den aktuella behandlingen. En mer detaljerad och aktuell beskrivning finns på sidan Underbiträden.

Kovka AB kan även lämna personuppgifter till myndigheter, domstolar, revisorer eller professionella rådgivare när det krävs enligt lag eller är nödvändigt för att fastställa, göra gällande eller försvara rättsliga anspråk.

Kovka AB säljer inte personuppgifter till annonsörer.

8. Överföring utanför EU/EES

Den centrala hostingtjänsten från STRATO används primärt inom EU.

Stripe och Cloudflare bedriver internationell verksamhet. Begränsade personuppgifter kan därför i vissa situationer behandlas eller göras tillgängliga utanför EU/EES.

När personuppgifter överförs till ett land utanför EU/EES ska överföringen stödjas av en giltig mekanism enligt kapitel V GDPR, exempelvis:

beslut om adekvat skyddsnivå;
EU–USA Data Privacy Framework när det är tillämpligt;
EU-kommissionens standardavtalsklausuler;
annan giltig rättslig skyddsåtgärd.

Mer information om leverantörer och relevanta överföringsmekanismer finns på sidan Underbiträden.

9. Lagringstider

Personuppgifter sparas inte längre än vad som behövs för respektive ändamål eller vad som krävs enligt lag.

Konto och projekt: sparas medan kontot och projektet finns och tills en slutlig radering har genomförts enligt tjänstens regler.
Dokumentuppgifter och snapshots: sparas normalt så länge det berörda projektet finns.
Utgångna eller återkallade programsessioner: raderas normalt senast 30 dagar efter att de har upphört.
Detaljerade säkerhets- och användningsloggar: sparas i högst 365 dagar och raderas därefter enligt tjänstens gallringsrutiner.
Framgångsrikt behandlade tekniska Stripe-händelser: sparas normalt i högst 90 dagar.
Stripe-händelser med fel: kan sparas i högst 365 dagar för felsökning och avstämning.
Aggregerad årsstatistik: kan sparas längre när den inte längre innehåller personuppgifter. Om statistik fortfarande kan kopplas till en identifierbar fysisk person gäller denna integritetspolicy även för den behandlingen.
Fakturor och räkenskapsinformation: sparas enligt bokföringslagstiftningens krav, normalt i sju år efter det kalenderår då det aktuella räkenskapsåret avslutades.
Supportärenden: sparas så länge ärendet hanteras och därefter endast så länge uppgifterna behövs för uppföljning, rättsliga skyldigheter, säkerhet eller rättsliga anspråk.

En uppgift kan sparas längre om detta krävs enligt lag eller är nödvändigt för exempelvis en pågående betalningstvist, säkerhetsincident eller ett rättsligt anspråk.

10. Radering av projekt och konto

När ett projekt raderas permanent tas projektets operativa arbetsdata, dokumentationsuppgifter och relaterade tekniska snapshots bort enligt tjänstens raderingsprocess.

En permanent radering är slutgiltig och kan normalt inte återställas.

Ett konto utan ett aktivt återkommande abonnemang kan raderas efter användarens bekräftelse.

Om ett aktivt återkommande abonnemang finns planeras normalt abonnemangets avslut och kontoraderingen till slutet av den redan betalda perioden. Användaren kan avbryta den planerade kontoraderingen innan den genomförs.

Vid slutlig kontoradering tas bland annat användarkontot, återstående projekt, egna aktivitetsmallar, signaturer, programsessioner och användarspecifika inställningar bort enligt tjänstens raderingsprocess.

Betalnings-, avtals- och bokföringsuppgifter som Kovka AB måste eller har rätt att behålla för ett separat ändamål kan sparas även efter kontoradering. Sådana uppgifter ska inte användas som ett aktivt kundkonto efter raderingen.

Uppgifter kan under en begränsad period finnas kvar i tekniskt isolerade säkerhets- eller återställningskopior tills de skrivs över enligt ordinarie rotationscykel.

11. Cookies och lokal lagring

Webbplatsen och Snabb Egenkontroll kan använda cookies, localStorage och liknande tekniker för bland annat:

inloggning och sessionshantering;
säkerhetsfunktioner;
att spara användarens cookieval;
att komma ihåg vissa funktionella inställningar i Snabb Egenkontroll;
andra ändamål som framgår av den aktuella Cookiepolicyn.

Aktuell information om cookies, lagringstid, tjänster och eventuella valfria tekniker finns i Cookiepolicyn.

Användaren kan ändra sina val genom länken Cookieinställningar på webbplatsen.

12. Automatiserade beslut

Kovka AB använder inte personuppgifter för helt automatiserade beslut som har rättsliga följder eller på liknande sätt väsentligt påverkar en person.

Automatiserade tekniska säkerhetskontroller kan användas för att upptäcka bottar, begränsa upprepade inloggningsförsök eller tillfälligt stoppa misstänkt aktivitet. Sådana kontroller används för att skydda tjänsten och användarkontona.

13. Den registrerades rättigheter

När Kovka AB är personuppgiftsansvarig kan den registrerade, beroende på omständigheterna och den rättsliga grunden, ha rätt att:

få information om behandlingen;
få tillgång till sina personuppgifter;
få felaktiga personuppgifter rättade;
begära radering;
begära begränsning av behandlingen;
invända mot behandling som grundas på berättigat intresse;
få ut vissa uppgifter i ett strukturerat och maskinläsbart format;
återkalla ett samtycke när behandlingen grundas på samtycke;
lämna klagomål till Integritetsskyddsmyndigheten (IMY).

Rättigheterna är inte absoluta. Kovka AB kan exempelvis behöva behålla vissa uppgifter för att följa lag, administrera bokföring eller betalningar eller fastställa, göra gällande eller försvara ett rättsligt anspråk.

En begäran skickas till info@kovka.se.

Kovka AB kan begära kompletterande information om det är nödvändigt för att säkerställa identiteten på den person som lämnar begäran.

En begäran hanteras utan onödigt dröjsmål och normalt senast inom en månad enligt GDPR.

När en begäran gäller personuppgifter som ett kundföretag har lagt in i ett projekt bör den registrerade i första hand kontakta kundföretaget, eftersom kundföretaget normalt är personuppgiftsansvarigt för dessa uppgifter.

Kovka AB hjälper kundföretaget i enlighet med Personuppgiftsbiträdesavtalet.

14. Säkerhet

Kovka AB använder tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter mot obehörig åtkomst, förändring, förlust och annan otillåten behandling.

Åtgärder kan bland annat omfatta:

HTTPS/TLS;
hashning av lösenord;
skyddade sessionsuppgifter;
serverbaserade behörighetskontroller;
begränsning av upprepade inloggningsförsök;
Cloudflare Turnstile på utsatta formulär;
serverbaserade skrivskydd;
loggning av säkerhetsrelevanta händelser;
automatisk gallring av vissa tekniska poster.

Ingen internetbaserad tjänst kan garanteras vara helt fri från säkerhetsrisker.

Mer information finns på sidan Säkerhet.

15. Ändringar av policyn

Kovka AB kan uppdatera denna integritetspolicy när tjänsten, leverantörerna, behandlingen eller tillämpliga regler förändras.

Den aktuella versionen publiceras på kovka.se tillsammans med datum och versionsnummer.

Vid väsentliga förändringar som har betydelse för registrerade användare kan ytterligare information lämnas i tjänsten eller via e-post.

16. Kontakt och klagomål

Frågor om personuppgifter eller begäran om att utöva en rättighet skickas till:

Kovka AB
Organisationsnummer: 559500-9712
Tors väg 13
145 71 Norsborg
Sverige
E-post: info@kovka.se
Telefon: +46 76 977 30 93

Den som anser att personuppgifter behandlas i strid med dataskyddsreglerna har rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY) .

17. Relaterade dokument

Denna integritetspolicy ska läsas tillsammans med relevanta delar av: