Integritetspolicy

1. Personuppgiftsansvarig

[CRREX AB, org.nr, adress] är personuppgiftsansvarig för behandlingen i CRREX Plattform.

Kontakt i dataskyddsfrågor: [namn, e-post, telefon]. [Dataskyddsombud är inte utsett / Dataskyddsombud: namn, kontakt]

[Leverantörens bolagsnamn] driver och underhåller Plattformen och är personuppgiftsbiträde åt CRREX enligt PUB-avtalet.

2. Vem policyn gäller

• Anställda och uppdragstagare hos CRREX som använder Plattformen.
• Externa förare som laddar upp vågkvitton.
• Kontaktpersoner hos kunder som förekommer i projektdata.
• Personer som syns eller nämns i rapporter, bilder och kvitton.

3. Vilka uppgifter som behandlas

3.1 Konto och behörighet

3.2 Rapportering (kärnan i tjänsten)

3.3 Vågkvitton (externa och interna förare)

Uppladdad kvittofil, referens/uppdrag, fordonets registreringsnummer, anteckning, status, returorsak, vem som laddade upp och när, samt kopplat projekt när kontoret satt det.

3.4 ÄTA och projektdata

Rubrik, beskrivning, orsak, "instruerad av" (kan vara en namngiven person hos kund), status, vem som skapade och beslutade. Kunduppgifter: företagsnamn, organisationsnummer, extern referens.

3.5 Verksamhetshistorik (auditlogg)

Vem som gjorde vad, när och varför: inloggningsrelaterade händelser, inbjudan, aktivering, spärrning, behörighetsändring, projektstatus, inskickning, retur, godkännande, låsning, korrigering, filuppladdning, filvisning, PDF-uttag, export, misslyckad tvåfaktorsverifiering och blockering av för många försök. Varje post innehåller aktörens användar-ID, tidpunkt, objekt, eventuell orsak, teknisk metadata och ett korrelations-ID.

Auditloggen lagrar aldrig lösenord, engångskoder, TOTP-hemligheter, inbjudningstokens (endast hash lagras separat), signerade länkar eller filinnehåll. E-postadresser i loggen maskeras vid visning och export (a***@bolag.se). Aktörens namn visas omaskat — ansvar kräver identitet.

3.6 Teknisk säkerhetsdata

• IP-adress används tillfälligt som nyckel i spärrarna mot för många försök (inloggning, aktivering). Den lagras i en räknartabell och raderas automatiskt när tidsfönstret löper ut (som längst 60 minuter).
• Sessionscookies (se cookieinformationen).
• Ett ännu ej serverkvitterat rapportutkast kan lagras identitetsbundet i din webbläsare. Textutkastet i localStorage kan innehålla projekt, datum, aktivitet, tid, maskinval och rapporttext. Valda JPEG-, PNG- och PDF-filer lagras separat i IndexedDB med bland annat originalfilnamn, filtyp, storlek och checksumma.
• Vid en uttrycklig lokal radering sparas tillfälligt en identitetsbunden fasjournal med en exakt kopia av textutkastet. Journalen gör raderingen kraschåterupptagbar och tas bort sist, efter att kö, stagingfiler och exakt textversion verifierats rensade.
• När rapporten köas lagras en oföränderlig kopia av rapportsnapshoten och dess foto/PDF-filer i en separat IndexedDB-kö för säkra återförsök och dubblettskydd. Stagingkopian och kökopian kan finnas samtidigt tills en exakt serverkvittens gör det säkert att rensa dem. De lokala posterna innehåller inga auth-tokens, sessions-id:n eller signerade länkar.
• Sju dagar är ett tekniskt beta-fönster, inte en juridiskt godkänd lagringstid. Vanliga textutkast och stagingfiler gallras när appen nästa gång kan göra en verifierad städning. Om ett textutkast fortfarande behövs som exakt verifieringssnapshot för en okvitterad köpost förnyas dess lokala sjudagarsperiod vid verifierad appstart. Själva köposten kastas inte automatiskt efter fristen, eftersom det skulle kunna förstöra användarens enda kopia; den ligger kvar tills den hanteras eller rensas uttryckligen genom säker lokal borttagning, verifierad utloggning/kontoväxling eller rensning av webbläsardata. Om appen aldrig körs kan fysiska bytes därför ligga kvar.
• En helt lokal kopia är inte synlig för CRREX eller leverantören och kan inte omfattas av central legal hold eller ett centralt registerutdrag. Efter att synken har börjat kan servern dock ha tagit emot data innan telefonen fått sin kvittens. På en delad eller förlorad enhet finns dessutom en kvarvarande risk för den som kan öppna samma webbläsarprofil; använd CRREX utloggningsknapp och rensa webbläsardata när enheten lämnas vidare.
• Drift- och felloggar hos leverantörerna (Vercel, Supabase) enligt §7.

3.7 Vad som inte samlas in

Plattformen samlar inte in personnummer, GPS-/positionsdata, biometrisk data, hälsouppgifter, facklig tillhörighet eller andra känsliga kategorier enligt artikel 9 GDPR. Sådana uppgifter ska inte skrivas in i fritextfält (se användarvillkoren §3). Plattformen har ingen produktanalys eller marknadsföringsspårning.

4. Ändamål och rättslig grund

Om berättigat intresse: CRREX har vägt sitt intresse av korrekt underlag, spårbarhet och säkerhet mot din integritet. Bedömningen är att intresset väger över eftersom uppgifterna är arbetsrelaterade, kända för dig, begränsade till vad rollen kräver, inte används för profilering eller automatiserat beslutsfattande och skyddas av behörighetsstyrning och loggning. Du kan invända mot behandling som vilar på berättigat intresse (§8).

Inget automatiserat beslutsfattande. Alla godkännanden, returer, avvisningar och spärrningar fattas av en människa.

5. Varifrån uppgifterna kommer

Från dig själv (aktivering, rapportering, uppladdning), från CRREX administratörer och arbetsledning (inbjudan, roll, projekt, beslut, orsaker), från din arbetsgivare eller uppdragsgivare om du är extern förare, och från Plattformen själv (tidsstämplar, status, tekniska loggar).

Förekommer du i någon annans rapport eller på en bild har uppgiften kommit från den som rapporterade.

6. Vem som ser vad

Åtkomsten är rollstyrd och kontrolleras både i applikationen och i databasen.

Ingen ser data från en annan organisation. Roller med bred åtkomst kräver tvåfaktorsautentisering. Varje visning av en fil, av historiken och varje export loggas.

Uppgifter kan lämnas till: kund som mottagare av fakturaunderlag och rapportkopior, revisor, myndighet när lag kräver det, samt juridiskt ombud vid tvist.

7. Personuppgiftsbiträden och var uppgifterna finns

CRREX anlitar [Leverantören] som personuppgiftsbiträde. Biträdet anlitar i sin tur underbiträden — den fullständiga och aktuella listan finns i UNDERBITRADEN.md. I korthet:

Uppgifterna lagras och behandlas primärt inom EU/EES. Om ett underbiträde i något led behandlar uppgifter utanför EU/EES sker det med standardavtalsklausuler (SCC) och kompletterande skyddsåtgärder; vilka leverantörer det gäller framgår av underbiträdeslistan. Du kan begära en kopia av skyddsåtgärderna av kontakten i §1.

Utgående e-post är tekniskt avstängd tills Resends DPA, SCC-baserade överföringsbedömning och kompletterande skydd har godkänts. När tjänsten aktiveras skickas bara generiska systemmeddelanden utan rapport- eller projektinnehåll; öppnings- och klickspårning ska vara avstängd.

8. Dina rättigheter

Du har rätt att:

• Få information — den här policyn.
• Få tillgång till dina uppgifter (registerutdrag, art. 15).
• Få felaktiga uppgifter rättade (art. 16). Observera att en godkänd rapport inte skrivs över — rättelsen görs som en korrigering med orsak, och originalet bevaras. Det är ett medvetet krav för spårbarhet, och rättelsen blir synlig i historiken.
• Få uppgifter raderade (art. 17) när det inte finns kvar något ändamål eller lagkrav. Räkenskapsunderlag, attesterade rapporter och auditlogg kan som regel inte raderas före lagringstidens slut. När radering inte är möjlig kan uppgifterna i stället pseudonymiseras.
• Begära begränsning av behandlingen (art. 18).
• Invända mot behandling som vilar på berättigat intresse (art. 21).
• Dataportabilitet för uppgifter du själv lämnat och som behandlas med stöd av avtal (art. 20).

Kontakta [dataskyddskontakt]. Du får svar inom en månad. Är begäran komplex kan tiden förlängas med två månader, och du informeras då om det.

Är du missnöjd har du rätt att klaga till Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy@imy.se, 08-657 61 00.

9. Hur länge uppgifterna sparas

Se den fullständiga tabellen i LAGRINGSTIDER.md. Sammanfattat:

Lagringstiderna beslutas slutligt av CRREX före pilot med skarp data och uppdateras då i denna policy.

10. Säkerhet

Behörighetsstyrning både i applikationen och i databasen (row level security), neka-som-standard, tvåfaktorsautentisering för känsliga roller, privat fillagring med servergenererade filnamn, kontroll av filtyp och filsignatur, skanning mot skadlig kod med karantän, kortlivade signerade nedladdningslänkar som utfärdas efter ny behörighetskontroll, spärrar mot för många försök, samt en oföränderlig verksamhetshistorik. Kryptering i transit och i vila hos leverantörerna. Åtkomst till produktionsmiljön är begränsad och kräver tvåfaktorsautentisering.

11. Om andra personer i innehållet

Rapporter, fritextfält, bilder och kvitton kan innehålla uppgifter om personer som inte själva använder Plattformen — kollegor, kundens personal, boende eller förbipasserande. Den som rapporterar ansvarar för att bara ta med det som behövs för arbetet.

Är du en sådan person och vill veta vad som finns om dig, kontakta [dataskyddskontakt]. Vi lämnar då information enligt art. 14, om det inte är omöjligt eller kräver en oproportionerlig ansträngning.

12. Personuppgiftsincident

Vid en konstaterad personuppgiftsincident anmäler CRREX till IMY inom 72 timmar från att incidenten upptäcktes, när det finns risk för de registrerade. Är risken hög informeras även de berörda. Biträdet ska underrätta CRREX utan onödigt dröjsmål och senast inom 24 timmar från upptäckt (PUB-avtalet §9).

13. Ändringar

Ändras policyn väsentligt informeras användarna innan ändringen träder i kraft. Versionshistorik: