Integritetspolicy för Svara

1. Personuppgiftsansvarig och kontakt

Kisa & Co AB, org.nr 559475-7162, ansvarar för den behandling av personuppgifter som beskrivs i denna policy. Du når oss i dataskyddsfrågor på support@svara.cc. Svara ansluter till användarens e-postkonton, analyserar e-post och genererar svarsförslag med hjälp av AI. Behandlingen sker i enlighet med GDPR.

2. Våra två roller

Vi är personuppgiftsansvariga för uppgifter som vi behandlar för egna ändamål, såsom konto-, betal-, support-, användnings- och webbplatsdata. Det är den behandlingen denna policy beskriver.

När vi behandlar innehåll för en kunds räkning, såsom e-postmeddelanden, bilagor och uppladdade dokument, är kunden personuppgiftsansvarig och vi personuppgiftsbiträde. Den behandlingen regleras av vårt personuppgiftsbiträdesavtal (DPA). Den som är avsändare eller mottagare av e-post som en kund hanterar i tjänsten ska i första hand vända sig till den kunden.

3. Uppgifter vi behandlar

Som personuppgiftsansvariga behandlar vi:

• konto- och profiluppgifter, såsom namn, e-postadress och organisation,
• uppgifter om anslutna e-postkonton, inklusive kontoadress och krypterat lagrade åtkomsttoken,
• betal- och abonnemangsuppgifter (fullständiga kortuppgifter hanteras av vår betalleverantör och inte av oss),
• användnings- och loggdata, såsom händelser i tjänsten, IP-adress och enhets- och webbläsarinformation,
• supportärenden och feedback, samt
• webbplatsdata via cookies och liknande tekniker enligt avsnitt 6.

4. Ändamål, rättslig grund och lagringstid

Du kan begära mer information om de intresseavvägningar vi gjort via kontaktuppgifterna i avsnitt 1.

5. AI-behandling

För att generera svarsförslag och analyser behandlas relevant innehåll av AI-modeller som körs på Amazon Bedrock, en tjänst från Amazon Web Services (AWS). Anropen utgår från AWS region Stockholm (eu-north-1) och betjänas inom EU: Frankfurt, Stockholm, Milano, Spanien, Irland eller Paris. De vektorrepresentationer (embeddings) som används för att hitta relevant underlag i ditt eget material beräknas in-region i Stockholm. Innehåll i bilagor och uppladdade dokument tolkas i tjänsten och behandlas därefter på samma sätt.

Innehållet stannar hos AWS som underbiträde. Enligt vårt avtal med AWS lagras inte det innehåll som skickas in till Bedrock, det används inte för att träna modeller och det delas inte med den leverantör som har utvecklat modellen. Vi tränar inte heller egna AI-modeller på ditt innehåll.

Att behandlingen sker inom EU och inte enbart i Sverige beror på att de modeller vi använder ännu inte går att köra in-region i Stockholm. Dina uppgifter lagras däremot i Sverige, enligt avsnitt 8.

6. Cookies, analys och sessionsinspelningar

På svara.cc och i appen används cookies och liknande tekniker.

Nödvändiga cookies, exempelvis för inloggning, säkerhet och grundläggande funktioner, används med stöd av 9 kap. 28 § lagen om elektronisk kommunikation och kräver inte samtycke.

Analys och marknadsföring används endast efter ditt samtycke, som du lämnar och när som helst kan återkalla via cookieinställningarna på webbplatsen:

• PostHog (EU, Frankfurt) används för produktanalys och sessionsinspelningar i appen. Inspelningarna maskerar all text och alla inmatningar och används enbart för att förstå hur gränssnittet används. Appen visar inte innehållet i dina e-postmeddelanden – utkast och mejl hanteras direkt i Gmail respektive Outlook – och e-postinnehåll förekommer därför inte i inspelningarna.
• Meta-pixeln används endast på webbplatsen svara.cc, inte i tjänsten, för att mäta effekten av vår marknadsföring. För insamlingen och överföringen av uppgifter via pixeln är vi och Meta Platforms Ireland Limited gemensamt personuppgiftsansvariga; för Metas efterföljande behandling ansvarar Meta enligt sin egen integritetspolicy.

7. Mottagare av personuppgifter

Vi säljer inte personuppgifter. Vi delar uppgifter med följande mottagare:

Personuppgiftsbiträden är bundna av biträdesavtal med oss. De underbiträden vi anlitar när vi behandlar innehåll för en kunds räkning framgår av vårt personuppgiftsbiträdesavtal. Vi kan även lämna ut uppgifter när lagen kräver det.

8. Överföring till tredjeland

Det innehåll vi behandlar för din räkning, alltså mejl, bilagor och uppladdade dokument, lagras i Sverige och behandlas inom EU/EES i alla led som vi råder över.

Överföring till tredjeland, främst USA, kan förekomma för betalning (Stripe), för anslutningen till Google och Microsoft, där själva e-postkontot ligger och lyder under respektive leverantörs egna villkor, samt för marknadsföringsmätningen på svara.cc (Meta). Sådana överföringar sker med stöd av lämpliga skyddsåtgärder enligt artikel 46 GDPR, främst EU-kommissionens standardavtalsklausuler, och i förekommande fall med stöd av EU-kommissionens adekvansbeslut för EU–U.S. Data Privacy Framework när mottagaren är certifierad. Du kan begära en kopia av tillämpliga skyddsåtgärder via kontaktuppgifterna i avsnitt 1.

9. Dina rättigheter

Du har rätt att begära tillgång till dina personuppgifter, rättelse, radering, begränsning och dataportabilitet, att invända mot behandling som grundas på berättigat intresse samt att när som helst återkalla lämnat samtycke.

Du har alltid rätt att invända mot direktmarknadsföring. Om du gör det upphör vi omedelbart med den behandlingen. Varje utskick innehåller en avregistreringslänk.

Vi fattar inga beslut om dig som enbart grundas på automatiserad behandling och som har rättsliga följder eller på liknande sätt väsentligt påverkar dig.

Kontakta oss enligt avsnitt 1 för att utöva dina rättigheter. Du har även rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY).

10. Säkerhet

Vi vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter, inklusive kryptering av uppgifter i vila och under överföring, åtkomststyrning, loggning och regelbunden översyn. Åtkomsttoken till anslutna e-postkonton lagras krypterat.

11. Ändringar av denna policy

Vi kan uppdatera denna policy. Väsentliga ändringar meddelas via e-post eller i tjänsten. Den senaste versionen finns alltid på svara.cc.

12. Google användardata (Limited Use)

När du kopplar ett Gmail-konto får Svara åtkomst till din e-post via Googles API:er. Vi läser meddelanden för att kategorisera din inkorg och analysera din skrivton, och skapar svarsutkast direkt i Gmail. Du godkänner alltid varje svar själv.

Svaras användning och överföring av information som tas emot från Googles API:er följer Google API Services User Data Policy, inklusive kraven på begränsad användning (Limited Use). Konkret innebär det att vi:

• endast använder Google-data för att tillhandahålla och förbättra de användarvända funktionerna i Svara,
• inte använder Google-data för annonser,
• inte använder Google-data för att utveckla, förbättra eller träna generella AI- eller maskininlärningsmodeller,
• inte säljer Google-data, och endast överför den till tredje part när det är nödvändigt för att leverera funktionen (t.ex. till Amazon Web Services, där AI-modellerna körs inom EU) eller när lagen kräver det,
• inte tillåter att människor läser din Google-data, annat än med ditt uttryckliga samtycke, för säkerhet/felsökning, eller när lagen kräver det.

Åtkomsttoken lagras krypterat. Du kan när som helst koppla bort ditt Gmail-konto, och vi raderar då tillhörande data enligt avsnitt 4.

13. Kontakt

Kisa & Co AB · org.nr 559475-7162 · support@svara.cc