Integritetspolicy

1. Introduktion och personuppgiftsansvarig

På Auctum tar vi din integritet på allvar. Denna integritetspolicy förklarar hur vi samlar in, använder, delar och skyddar din information när du använder vår faktureringstjänst. Personuppgiftsansvarig för behandlingen är: Auctum Solutions AB (nedan "Auctum", "vi", "vår"), org.nr 556486-3206, Sveagatan 7, 413 14 Göteborg.

2. Information vi samlar in

Vi samlar in information som du tillhandahåller direkt till oss, inklusive:

• Kontoinformation (namn, e-postadress, lösenord)
• Företagsinformation (företagsnamn, organisationsnummer, momsnummer, adress)
• Finansiell data (fakturor, kunder, leverantörer, produkter, bokföringsposter)
• Användningsdata (hur du interagerar med vår tjänst)
• När du använder svenska efterlevnadsfunktioner: ROT/RUT-köpardata, BankID-autentiserings- och signeringsmetadata, Skatteverket-inlämningsmetadata, AI-chattfrågor och bankkontoidentifierare.

3. Hur vi använder din information och rättslig grund

Enligt EU:s dataskyddsförordning (GDPR) måste all behandling ha en rättslig grund. Vi behandlar din data för följande ändamål:

• Tillhandahålla, underhålla och förbättra våra tjänster (t.ex. kontoåtkomst, fakturaskapande). Rättslig grund: Fullgörande av avtal (Art 6.1 b GDPR).
• Behandla dina fakturor och bokföringsdata. Rättslig grund: Rättslig förpliktelse enligt bokföringslagen (Art 6.1 c GDPR).
• Skicka dig tekniska meddelanden och supportmeddelanden. Rättslig grund: Berättigat intresse att hålla dig informerad om systemuppdateringar och ge support (Art 6.1 f GDPR).
• Behandla svenska skatte-, identitets-, signerings- och AI-assistentflöden när du aktiverar dessa funktioner. Rättslig grund: rättslig förpliktelse, fullgörande av avtal eller berättigat intresse beroende på flöde.

4. Svensk skatt, BankID och AI-behandling

Vissa Auctum-funktioner innebär fler datakategorier eftersom de stödjer svensk lagstadgad skattehantering, stark identitet, signering eller AI-assistans.

• ROT/RUT: när funktionen används behandlar vi köparens/kundens personnummer, arbetsadress, fastighetsbeteckning, arbetsunderlag, avdragsbelopp och status för Skatteverket-anspråk/inlämning. Personnummer krypteras eller hashas vid lagring och maskeras i vanliga vyer där det är möjligt.
• BankID-autentisering och signering: vi behandlar BankID-namn, maskerad personnummermetadata, sessions-/orderstatus, user agent/IP-metadata från begäran och signeringsbevis där det behövs för att styrka en signatur. Tillfälligt QR-, order- och åtkomsttokenmaterial är kortlivat och hanteras på serversidan.
• Skatteverket: moms-, AGI-/löne-, ROT/RUT- och relaterade inlämningsdata kan skickas till Skatteverket när svensk lag kräver det. SKV ACG-tokenhemligheter krypteras på serversidan och ingår inte i klientens GDPR-export.
• AI-assistans: frågor, sidkontext och chatthistorik kan behandlas för att ge hjälp eller arbetsflödesstöd. Vi använder minimering/redigering där stöd finns, men du bör undvika att skriva in onödiga känsliga personuppgifter i frågor.
• Tillgång och radering: GDPR-exporter inkluderar de nya kategorierna ROT/RUT, BankID, Skatteverket, bankkonto, AGI och AI med hemliga värden och fullständiga personnummer minimerade som standard. Raderingsbegäranden bedöms mot svensk bokförings-, skatte-, säkerhets- och bevisbevarandeplikt.

5. Datalagring, säkerhet och tredjepartstjänster

Din data lagras säkert. Vi använder branschstandard för kryptering (256-bitars SSL/TLS) och rigorösa säkerhetsåtgärder för att skydda din information.

9. Dina rättigheter enligt GDPR

Som användare inom Europeiska unionen har du följande rättigheter avseende dina personuppgifter:

• Rätt till tillgång: Du kan begära en kopia av dina personuppgifter.
• Rätt till rättelse: Du kan begära korrigering av felaktiga uppgifter (se undantag för granskningsloggar).
• Rätt till radering: Du kan begära radering av dina uppgifter (se undantag för bokföringsmaterial).
• Rätt till dataportabilitet: Du kan exportera dina data i ett standardformat.
• Rätt att göra invändningar: Du kan invända mot viss behandling av dina uppgifter.
• Rätt att klaga hos tillsynsmyndighet: Om du anser att vi hanterar dina personuppgifter i strid med gällande dataskyddslagstiftning har du rätt att lämna in ett klagomål till Integritetsskyddsmyndigheten (IMY).

6. Datalagring och din rätt till radering

Auctum är en bokföringsplattform som omfattas av den svenska bokföringslagen (1999:1078). Detta skapar ett viktigt undantag från din rätt till radering enligt GDPR artikel 17.

Data som bevaras i 7 år (kan inte raderas på begäran)

• Fakturor, kreditnotor och relaterade ekonomiska handlingar.
• Verifikationer och räkenskapsårets bokföringsunderlag.
• Kund- och leverantörsnamn samt adresser som förekommer på räkenskapsmaterial.
• ROT/RUT-skatteunderlag, AGI-/löneinlämningsdata, Skatteverket-referenser och rättsligt godkända signeringsbevis där lag eller avtal kräver det.

Data som raderas omedelbart på begäran

• Marknadsföringsinställningar och kommunikationspreferenser.
• Sessionsdata och användningsanalys.
• Profilinformation som inte förekommer på räkenskapsmaterial (t.ex. profilbild, personliga anteckningar).
• Utgångna tillfälliga BankID-/SKV-sessioner, tokenhemligheter och AI-chatthistorik där ingen rättslig, säkerhets- eller supportgrund finns kvar.

Efter att den 7-åriga bevarandeperioden har löpt ut för alla dina räkenskapshandlingar, raderas återstående data automatiskt från våra system. Vid avslut av konto utan begäran om omedelbar radering av valfri data, sparas icke-bokföringspliktig data under en övergångsperiod om 12 månader innan den raderas. Du kan exportera dina data när som helst under bevarandeperioden.

7. Granskningsloggar och din rätt till rättelse

Auctum registrerar en aktivitetslogg för varje viktig åtgärd som utförs på ditt konto (t.ex. inloggning, faktura skapad, data exporterad). Dessa loggar är en del av vår säkerhets- och efterlevnadsinfrastruktur.

Personuppgifter som kan förekomma i granskningsloggar

• IP-adress: registreras automatiskt från din nätverksanslutning för att stödja forensiska utredningar.
• Beskrivningsfält: kan referera till ditt namn, e-post eller berört objekt (t.ex. 'Faktura #FAK-001 skapad').

Om du anser att en granskningsloggpost innehåller faktamässigt felaktiga personuppgifter om dig, vänligen kontakta oss. Vi kommer att utreda och anteckna posten i våra interna register, men den ursprungliga posten kan inte ändras.

8. Cookies

Vi använder nödvändiga cookies för att upprätthålla din session och komma ihåg dina preferenser. Vi använder inte spårningscookies och delar inte data med annonsörer. Du kan hantera cookie-inställningar genom vår cookie-banner.

Tredjepartstjänster

För att kunna driva Auctum anlitar vi noggrant utvalda underbiträden. Vi har tecknat personuppgiftsbiträdesavtal (DPA) med samtliga dessa för att garantera att de hanterar din data lagligt och säkert. (Vid eventuell överföring av data till leverantörer i länder utanför EU/EES – såsom till USA – säkerställer vi lagligheten genom tillämpning av EU-kommissionens standardavtalsklausuler (SCC) eller Data Privacy Framework.)

• Supabase: EU-hostad databas, autentisering, edge functions och lagring.
• Resend: e-postleverans för fakturor och notifikationer.
• BankID: svensk leverantör för stark autentisering och signering.
• Skatteverket: svensk myndighetsmottagare för moms, AGI/lön, ROT/RUT och relaterade lagstadgade inlämningar.
• OpenAI: AI-assistans där funktionen är aktiverad. Frågor och kontext minimeras/redigeras där stöd finns, och dina data används inte för att träna tredje parts publika modeller.
• Roaring: svensk företagsdatauppslagning för organisationsnummer och företagsinformation.

10. Kontakta oss

Om du har frågor om denna integritetspolicy eller vill utöva dina rättigheter, vänligen kontakta oss:

Auctum Solutions AB
Org.nr: 556486-3206
Sveagatan 7, 413 14 Göteborg
E-post: info@auctum.se