Integritetspolicy

1. Personuppgiftsansvarig

Reflect Företagsutveckling AB (org.nr 556625-1277), Kungstensgatan 38, 113 59 Stockholm, är personuppgiftsansvarig för behandlingen av personuppgifter som beskrivs i denna policy.

När Reflect genomför undersökningar på uppdrag av en kund agerar Reflect som personuppgiftsbiträde. I sådana fall regleras behandlingen av ett personuppgiftsbiträdesavtal mellan Reflect och uppdragsgivaren.

2. Vilka personuppgifter behandlar vi?

Vi behandlar olika kategorier av personuppgifter beroende på hur du interagerar med oss.

• Kontaktuppgifter: namn, e-postadress och telefonnummer som du lämnar i kundrelationer eller via kontaktformulär
• Kontouppgifter: e-postadress och namn vid inloggning via e-post/lösenord eller Google OAuth
• Enkätsvar: svar som lämnas i marknadsundersökningar, antingen anonymt eller kopplat till en identifierare beroende på undersökningens design
• Tekniska uppgifter: IP-adress, webbläsartyp, operativsystem och sessionscookies
• Organisationsuppgifter: företagsnamn, roll och projekttillhörighet för kundkontakter

3. Ändamål och laglig grund

Vi behandlar personuppgifter för följande ändamål med respektive laglig grund.

Avtalsuppfyllelse (artikel 6.1 b GDPR): leverans av avtalade tjänster, hantering av kundkonton, kommunikation kring pågående uppdrag.

Berättigat intresse (artikel 6.1 f GDPR): genomförande av marknadsundersökningar, förbättring av vår plattform och våra analysmetoder, teknisk drift och säkerhet.

Samtycke (artikel 6.1 a GDPR): behandling av känsliga personuppgifter i undersökningar (t.ex. politiska åsikter, hälsouppgifter), användning av icke-nödvändiga cookies.

4. Marknadsundersökningar

Reflect genomför marknadsundersökningar som en del av vår tjänst. Respondenter deltar utan att skapa konton. Sessioner hanteras via tillfälliga cookies.

Undersökningsdata behandlas i regel i aggregerad och anonymiserad form. När en undersökning samlar in känsliga personuppgifter (enligt artikel 9 GDPR) inhämtas uttryckligt samtycke innan datainsamlingen påbörjas.

När Reflect agerar som personuppgiftsbiträde för en uppdragsgivare bestäms ändamålen av uppdragsgivaren, och behandlingen regleras i biträdesavtalet.

5. AI-tjänster

Vi använder AI-tjänster från Anthropic (Claude API) och Google (Gemini) för analys, textbearbetning och kvalitetskontroll inom vår plattform. Personuppgifter kan ingå i det material som behandlas av dessa tjänster.

Båda leverantörerna har avtal som säkerställer att data inte används för modellträning. Anthropic behandlar data i USA under EU:s standardavtalsklausuler. Google Gemini behandlar data inom EU/EES.

6. Underbiträden och tredjeparter

Vi delar personuppgifter med följande kategorier av tjänsteleverantörer, alla med personuppgiftsbiträdesavtal.

• Supabase (databaslagring, EU-west-1 Frankfurt, Tyskland)
• Vercel (webbhosting och leverans av applikationen)
• Anthropic (AI-analys, USA, med EU:s standardavtalsklausuler)
• Google (OAuth-inloggning och AI-analys inom EU/EES)

7. Överföring till tredjeland

Huvuddelen av all databehandling sker inom EU/EES. Vissa underbiträden (Anthropic, Vercel) har verksamhet i USA. Överföringar till USA skyddas av EU:s standardavtalsklausuler (SCC) i enlighet med artikel 46.2 c GDPR.

Vi lämnar aldrig ut personuppgifter till tredje part utöver vad som beskrivs i denna policy, om det inte krävs enligt lag.

8. Cookies och spårning

Vi använder följande typer av cookies.

Nödvändiga cookies: sessionshantering för inloggade användare (kundportalen) och sessionshantering för enkätrespondenter. Dessa kräver inget samtycke.

Vi använder inga tredjepartscookies för annonsering eller spårning. Vi använder inga analyticscookies.

9. Lagringstider

Personuppgifter lagras inte längre än nödvändigt för ändamålen.

• Kundkontakter: så länge kundrelationen är aktiv, plus 36 månader efter senaste kontakt
• Enkätsvar: så länge projektet pågår, därefter anonymiserade eller raderade enligt uppdragsavtal
• Kontouppgifter: så länge kontot är aktivt
• Tekniska loggar: högst 90 dagar
• Bokföringsmaterial: 7 år enligt bokföringslagen (1999:1078)

10. Dina rättigheter

Enligt GDPR har du följande rättigheter.

• Rätt till tillgång: du kan begära ett registerutdrag över vilka uppgifter vi behandlar om dig
• Rätt till rättelse: du kan begära att felaktiga uppgifter korrigeras
• Rätt till radering: du kan begära att dina uppgifter raderas när de inte längre behövs
• Rätt till begränsning: du kan begära att behandlingen begränsas under vissa förutsättningar
• Rätt till dataportabilitet: du kan begära att få ut dina uppgifter i ett maskinläsbart format
• Rätt att invända: du kan invända mot behandling som baseras på berättigat intresse
• Rätt att återkalla samtycke: om behandlingen baseras på samtycke kan du när som helst återkalla det
• Rätt att klaga: du kan vända dig till Integritetsskyddsmyndigheten (IMY), imy.se

11. Säkerhet

Vi vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter mot obehörig åtkomst, förlust och förstörelse. Detta inkluderar kryptering vid överföring (TLS), åtkomstkontroll med rollbaserade behörigheter, radnivåsäkerhet (RLS) i databasen samt regelbunden granskning av åtkomstloggar.

12. Ändringar av denna policy

Vi kan komma att uppdatera denna integritetspolicy. Vid väsentliga ändringar informerar vi kunder med aktiva konton via e-post. Den senaste versionen finns alltid tillgänglig på reflect.se/sv/integritetspolicy.

13. Kontakt

Har du frågor om hur vi hanterar dina personuppgifter?

Reflect Företagsutveckling AB Kungstensgatan 38, 113 59 Stockholm E-post: info@reflect.se Telefon: 0709-99 52 36