Integritetspolicy

Personuppgiftsansvarig för behandling som avser konto, fakturering, support och drift av plattformen är Josef Norén, enskild näringsidkare, org.nr 060920-0514, Pusselbovägen 30, 781 69 Borlänge. Momsregistreringsnummer SE060920051401, momsregistrerad från 24 september 2026.

Kontakt: privacy@getqlara.com · avtalsfrågor legal@getqlara.com. Land: Sverige.

För personuppgifter som ni själva lägger in i kunskapsbas och formulär (t.ex. namn på säkerhetsansvarig hos er) är ni i regel personuppgiftsansvariga. Qlara är då personuppgiftsbiträde och behandlar uppgifterna på ert uppdrag enligt art. 28 GDPR. Biträdesavtalet är publicerat på /dpa.

• Konto: namn, företagsnamn, e-post, lösenordshash, roll, organisations-id.
• Fakturering: Stripe-kund- och prenumerations-id, plan, status, prenumerationsperiod. Kortuppgifter hanteras av Stripe, inte av Qlara.
• Användning: inloggningssessioner, tekniska loggar, AI-anrop inom kvot, IP-adress och user-agent i den mån hostingleverantören lagrar det.
• Innehåll ni laddar upp: policies, kontroller, frågeformulär och svar. Detta kan innehålla personuppgifter om era medarbetare om ni själva för in dem.

Vi begär inte särskilda kategorier av uppgifter (art. 9 GDPR) för att skapa konto.

• Fullgöra avtalet (art. 6.1 b GDPR): skapa och driva workspace, autentisering, leverera citerade utkast, export och betald prenumeration, kundportal, support.
• Rättslig förpliktelse (art. 6.1 c): bokföring och skatterättslig lagring av fakturaunderlag.
• Berättigat intresse (art. 6.1 f): drift- och IT-säkerhet, missbruksskydd, produktförbättring på aggregerad/anonymiserad nivå, att försvara rättsliga anspråk. Intresseavvägning: behandlingen är nödvändig för en säker B2B-tjänst och inskränker inte era rättigheter på ett oproportionerligt sätt.

Vi säljer inte personuppgifter och använder inte kontoinnehåll för att träna egna grundmodeller.

Vi anlitar följande kategorier av leverantörer. De får endast behandla uppgifter för att utföra sina tjänster åt oss, enligt avtal och, där det krävs, EU:s standardavtalsklausuler.

• Stripe (betalningar, Checkout, Customer Portal, fakturaunderlag). Stripe Inc. / Stripe Payments Europe. Ändamål: abonnemang. Se stripe.com/privacy.
• Vercel (applikationshosting i Frankfurt, fra1, kantnätverk, loggar). Ändamål: drift av https://getqlara.com.
• Neon / PostgreSQL (databas för konto, kunskapsbas, formulär och prenumerationsstatus, AWS Frankfurt). Ändamål: lagring.
• Mistral AI (Paris, Frankrike) för AI-bearbetning. Utkast och källtext skickas till Mistrals EU-API med en konfigurerad Mistral-modell för att generera citerade svar. Kunddata används inte för att träna modeller (0 % dataträning). Ändamål: avtalsenlig leverans av utkast enligt art. 28 GDPR. Utan API-nyckel används lexikal sökning i er kunskapsbas. Vi anlitar inte OpenAI eller Anthropic.

Myndighet kan få ut uppgifter om vi är skyldiga enligt lag. Vi lämnar inte ut era formulär till andra kunder.

Kunskapsbas, formulär och AI-utkast behandlas inom EU: applikation och databas i Frankfurt, AI-bearbetning hos Mistral AI i Paris. Inga US-dataöverföringar av enkätinnehåll. Stripe behandlar betalningsidentitet för abonnemang; det är skilt från kunskapsbas och köparens Excel. Ytterligare information lämnas via privacy@getqlara.com.

• Konto och workspace: så länge avtalet gäller.
• Efter uppsägning: radering eller anonymisering av kundinnehåll inom 30 dagar, om inte en längre tid krävs för rättsligt anspråk eller bokföring.
• Fakturaunderlag: i regel sju år enligt svensk bokföringslag.
• Säkerhetsloggar: så kort tid som driften kräver, normalt högst 12 månader.
• Sessioner: till utgång eller utloggning, högst 14 dagar i nuvarande implementation.

Överföring till tjänsten sker krypterat med TLS 1.2 eller senare. Data i vila hos databas- och hostingleverantörer krypteras med AES-256. Lösenord lagras som envägshash, inte i klartext. Infrastrukturen körs på molnplattformar med ärvda SOC 2 Type II- och ISO 27001-kontroller (inherited controls). Qlara är inte självständigt SOC 2- eller ISO 27001-certifierat. Åtkomst till produktionsdata är begränsad. Inget säkerhetsarbete ger absolut skydd; ni ska också använda starka lösenord och begränsa vilka kollegor som bjuds in.

När Qlara är personuppgiftsansvarig har ni, med de undantag lagen medger, rätt till:

• tillgång / registerutdrag (art. 15),
• rättelse (art. 16),
• radering, ”rätten att bli bortglömd” (art. 17),
• begränsning (art. 18),
• dataportabilitet (art. 20) för uppgifter ni lämnat till oss i strukturerat format,
• invändning mot behandling som vilar på berättigat intresse (art. 21).

Begäran skickas till privacy@getqlara.com. Vi kan behöva verifiera er identitet. Export av questionnaires (CSV/XLSX) i tjänsten är ett praktiskt komplement till dataportabilitet för ert innehåll.

Ni har rätt att klaga till Integritetsskyddsmyndigheten (IMY), www.imy.se.

Nödvändiga cookies används för inloggningssession (qlara_session, httpOnly) och, när sajten är stängd för förhandsvisning, en åtkomstcookie (qlara_gate). Dessa krävs för att tjänsten ska fungera (berättigat intresse / avtal) och är inte reklamcookies. Vi använder inte tredjepartsannonsering. Stripe Checkout kan sätta egna cookies på stripe.com.

Tjänsten är avsedd för yrkesverksamma. Vi riktar oss inte till barn. Konton som skapas av personer under 18 år kan stängas.

Vi kan uppdatera policyn. Den aktuella versionen publiceras på https://getqlara.com/privacy med datum. Väsentliga ändringar meddelas i tjänsten eller via e-post.