Policy för dataskydd och AI-användning

Roller och ansvar

Er organisation är personuppgiftsansvarig för det innehåll som medarbetare matar in i tjänsten (frågor, dokument, källmaterial). Skräddarsydd AB behandlar detta innehåll som personuppgiftsbiträde, enbart för att leverera tjänsten.

För konto- och faktureringsuppgifter (namn, e-postadress, organisationsuppgifter) är Skräddarsydd AB personuppgiftsansvarig.

Vilka uppgifter behandlas

Kontouppgifter: namn, e-postadress, yrkestitel, avdelning, land, språkval och en frivillig profilbild. Profilbilden är synlig endast för andra i din organisation, aldrig utanför.

Arbetsinnehåll: konversationer, uppladdade dokument, projektkällor, assistentmaterial och sparade dokument. Innehållet är radnivåisolerat per organisation i databasen, en organisation kan aldrig läsa en annans data.

Drift- och kostnadslogg: varje AI-anrop loggas med modellval, tidpunkt, tokenmängd och kostnad. Fråge- och svarsinnehåll ingår inte i beslutsloggen.

Var uppgifterna behandlas

All lagring sker inom EU: databasen körs i Frankfurt (Tyskland) och applikationen i Stockholm (Sverige).

AI-behandlingen sker hos Mistral AI i Europa med zero data retention: inga frågor eller svar sparas hos AI-leverantören, och ingenting används för att träna deras modeller.

Känslighetsgrindvakten

Innan något skickas till en AI-modell granskas prompten, bifogade dokument och kontextkällor automatiskt i två lager: deterministiska mönster (personnummer, e-postadresser, telefonnummer, IBAN med mera) samt en kontextuell bedömning på en EU-modell.

Upptäcks känsliga uppgifter höjs konversationens skyddsklass automatiskt, användaren informeras, och händelsen loggas. Skyddet är byggt fail closed: kan granskningen inte avgöra behandlas innehållet som känsligt.

Informationsklasser och webbsök

Allt innehåll hanteras i informationsklasser: publik, intern, konfidentiell eller förbjuden. Klassen styr vilka dataflöden som tillåts.

Webbsök kan aldrig användas för konfidentiellt innehåll, det är en plattformsregel som inte går att stänga av. Er organisation kan därutöver skärpa reglerna, aldrig lätta på dem.

Lagring och gallring

Er administratör styr gallringspolicyn: konversationer raderas automatiskt efter valfritt antal dagars inaktivitet per informationsklass. Radering loggas i revisionsloggen.

Organisationen kan när som helst exportera allt konversationsinnehåll (JSON) och begära fullständig radering.

Cookies

Tjänsten använder endast nödvändiga cookies: en sessionscookie för inloggning samt en språkcookie som sätts först när du själv aktivt väljer språk. Inga analys-, spårnings- eller tredjepartscookies förekommer, därför visas ingen samtyckesruta.

Land och språk för nya besökare härleds ur webbläsarens språkinställning och nätverkets ursprungsland vid varje sidvisning, utan att något lagras.

Underbiträden

Vercel Inc. (applikationsdrift, EU-region Stockholm), Neon Inc. (databas, EU-region Frankfurt), Mistral AI SAS (AI-modeller, Frankrike, zero data retention) samt Resend (transaktionsmejl som inbjudningar och lösenordsåterställningar).

Stripe används för betalningar när fakturering aktiveras. Kortuppgifter hanteras då direkt av Stripe och når aldrig EuroWork.

Säkerhet

Varje organisations data isoleras med radnivåsäkerhet i databasen (Row-Level Security med FORCE). All trafik krypteras. Administratörshändelser, policyändringar och exporter loggas i en revisionslogg som organisationens administratör och dataskyddsombud kan granska.

Enkel inloggning (SSO/OIDC) och automatisk provisionering (SCIM 2.0) stöds, avaktiverade konton stängs av omedelbart.

Era rättigheter och kontakt

Registrerade utövar sina rättigheter (registerutdrag, rättelse, radering med flera) i första hand via sin organisation, som är personuppgiftsansvarig för arbetsinnehållet.

Frågor om denna policy eller Skräddarsydd AB:s egen behandling: kontakta Skräddarsydd AB, Norrgatan 16, 432 41 Varberg, Sweden.