Juridik & dataskydd - Integritetspolicy

1. Personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen av dina personuppgifter är:

Siteflow Stockholm AB
Organisationsnummer: 559420-8752
Adress: Varuvägen 9, 125 34 Älvsjö
E-post: hello@siteflow.se
Telefon: +46 10 189 84 80

För frågor om dataskydd vänder du dig till oss på adressen ovan eller via e-post. Vi svarar normalt inom två arbetsdagar.

2. Vilka personuppgifter samlar vi in?

Vi samlar in personuppgifter i samband med att du kontaktar oss, bokar en demo eller använder våra tjänster. Beroende på sammanhanget kan det röra sig om:

• Identitetsuppgifter — förnamn, efternamn, befattning.
• Kontaktuppgifter — e-postadress, telefonnummer, postadress.
• Företagsuppgifter — företagsnamn, organisationsnummer, faktureringsadress.
• Kommunikationsdata — meddelanden du skickar via kontaktformulär, chat-widget eller e-post.
• Tekniska uppgifter — IP-adress, webbläsar-typ, enhet och operativsystem, insamlade automatiskt när du besöker vår webbplats.
• Cookie-data — information om hur du navigerar på sajten, se Cookiepolicyn för detaljer.
• Avtalsinformation — val av paket, fakturahistorik, supportärenden och annan information som uppstår under ett pågående kundförhållande.

Vi samlar aldrig in känsliga personuppgifter (t.ex. hälsa, politisk uppfattning eller etniskt ursprung) och vi uppmanar dig att inte skicka sådan information till oss.

3. Hur och varför använder vi dina uppgifter?

Vi behandlar dina personuppgifter för följande ändamål:

3.1 Besvara förfrågan och ge support

När du kontaktar oss via kontaktformulär, e-post eller chat-widget behandlar vi dina uppgifter för att kunna återkoppla och ge dig korrekt information om våra tjänster.

Laglig grund: Berättigat intresse (artikel 6.1 f GDPR) — det är i både ditt och vårt intresse att förfrågan besvaras effektivt.

3.2 Uppfylla avtal och leverera tjänster

När du är kund hos oss behandlar vi dina uppgifter för att leverera de avtalade tjänsterna — hemsidebygge, hosting, SEO, supporthantering och fakturering.

Laglig grund: Avtal (artikel 6.1 b GDPR) — behandlingen är nödvändig för att fullgöra avtalet med dig.

3.3 Fakturering och bokföringsskyldighet

Vi behandlar fakturerings- och betalningsuppgifter för att uppfylla vår bokföringsskyldighet enligt bokföringslagen (1999:1078).

Laglig grund: Rättslig förpliktelse (artikel 6.1 c GDPR).

3.4 Marknadsföring och nyhetsbrev

Konsumenter får marknadsföringsmail endast efter aktivt samtycke i samband med formulär eller köp. Befintliga kunder kan få marknadsföring om liknande tjänster med stöd av 19 § andra stycket marknadsföringslagen (2008:486), under förutsättning att en tydlig opt-out erbjudits redan vid insamlingen och vid varje efterföljande utskick. Vid all direktmarknadsföring mot näringsidkare tillämpas berättigat intresse (art. 6.1 f GDPR) med dokumenterad intresseavvägning.

Laglig grund: samtycke (art. 6.1 a GDPR) för konsument, eller berättigat intresse (art. 6.1 f GDPR) i förening med 19 § MFL för befintlig kundrelation. Du kan när som helst avregistrera dig via länken i varje utskick.

3.6 AI-funktioner (Greet AI-chat och AI-telefonist)

När du använder Greet AI-chat eller AI-telefonist behandlas dina meddelanden, ditt namn, telefonnummer, e-post och eventuell ljud-/transkriberingsdata för att kunna besvara frågan och, om du så väljer, boka tid eller skapa lead. I enlighet med artikel 50 i AI-förordningen (EU) 2024/1689 informeras du tydligt om att du interagerar med ett AI-system innan konversationen påbörjas.

AI-systemen utför inga automatiserade beslut med rättsliga eller motsvarande betydande följder för dig i den mening som avses i artikel 22 GDPR. Du kan när som helst begära att en människa övertar konversationen genom att skriva "människa" i chatten eller säga det i samtalet.

Laglig grund: berättigat intresse (art. 6.1 f GDPR) för automatiserad besvarande och kvalitetssäkring; samtycke (art. 6.1 a) för inspelning av telefonsamtal när sådan sker. Inspelningar och chattloggar raderas senast efter 12 månader.

3.5 Analys och förbättring av tjänsten

Vi analyserar aggregerade besökarsdata för att förstå hur vår webbplats används och för att förbättra användarvänligheten. Data pseudonymiseras i största möjliga mån.

Laglig grund: Berättigat intresse (artikel 6.1 f GDPR) eller samtycke via cookie-banner när vi använder analyticverktyg som kräver det.

4. Hur länge sparar vi dina uppgifter?

Vi sparar aldrig personuppgifter längre än nödvändigt för det ändamål de samlades in för. Följande riktlinjer gäller:

• Förfrågan/prospekt — uppgifter från personer som frågat om våra tjänster men inte blivit kunder raderas senast 12 månader efter sista kontakt.
• Kunder — kunduppgifter sparas så länge avtalet gäller och därefter i 7 år i enlighet med bokföringslagens krav. Tekniska uppgifter och chattloggar raderas normalt 12 månader efter avslutat avtal.
• Fakturor och bokföringsunderlag — 7 år från räkenskapsårets slut, i enlighet med bokföringslagen.
• Cookie- och analysdata — varierar beroende på cookie-typ, vanligen 1-13 månader, se Cookiepolicyn.
• Marknadsföring — tills du avsäger dig eller återkallelse av samtycke, varefter de raderas inom 30 dagar.

5. Vilka delar vi dina uppgifter med?

Vi säljer aldrig dina personuppgifter till tredje part. Vi delar uppgifter enbart när det är nödvändigt för att leverera våra tjänster:

• Hosting och CDN — Vercel Inc. (EU-region fra1). Överföring till USA sker via EU-kommissionens standardavtalsklausuler och EU-US Data Privacy Framework.
• Applikations- och databashosting — Fly.io Inc. med driftregion Stockholm (arn) för PostgreSQL, CRM, leads och kundkonton. Överföring till USA-moderbolag vid support-/incidenthantering sker via SCC och EU-US Data Privacy Framework.
• Greet AI-chat — Anthropic PBC (USA) tillhandahåller språkmodellen. Överföring via SCC; konversationer omfattas av zero-data-retention på API-anrop.
• AI-telefonist — OpenAI, L.L.C. (USA) Realtime API för tal och svar samt LiveKit Inc. (USA) för realtidstransport. SCC + zero-data- retention för OpenAI Enterprise och SCC + EU-US DPF för LiveKit.
• Möten, SMS och röstinfrastruktur — Microsoft Azure Communication Services (region West Europe, EU/EES) för video- och röstmöten samt SMS-utskick.
• Betalning — Stripe Payments Europe Ltd. (Irland) för korthantering och abonnemang. Klarna Bank AB (Sverige) för delbetalning vid e-handel. Stripe och Klarna är självständigt personuppgiftsansvariga för betalningsdata.
• Transaktionsmail — Resend Inc. (USA) för magic-link, kvitton och bekräftelser. Överföring sker via SCC och EU-US Data Privacy Framework.
• Bot-skydd — Cloudflare Inc. (USA) Turnstile för att skydda formulär. SCC + DPF.
• Felrapportering — Functional Software Inc. (Sentry, USA). IP-adresser scrubbas. SCC + DPF.
• Webbanalys — Google Analytics aktiveras endast efter ditt samtycke via cookie-bannern.
• Versionshantering — GitHub Inc. (USA) för kod och innehållsversionering. SCC + DPF.
• Myndigheter — vi kan lämna ut uppgifter till behöriga myndigheter när vi är skyldiga enligt lag, t.ex. enligt lag (2003:389) om elektronisk kommunikation eller vid begäran från Skatteverket.

Alla personuppgiftsbiträden är bundna av skriftliga personuppgiftsbiträdesavtal (DPA) som ställer krav på säkerhet och konfidentialitet i enlighet med GDPR.

6. Internationella överföringar

Vi strävar efter att all personuppgiftsbehandling sker inom EU/EES. När vi använder leverantörer utanför EU/EES säkerställer vi att lämpliga skyddsåtgärder finns på plats, till exempel:

• EU-kommissionens standardkontraktsklausuler (SCC).
• Adequacy-beslut från EU-kommissionen (t.ex. EU-US Data Privacy Framework för amerikanska leverantörer som certifierat sig).

Du kan begära information om vilka skyddsåtgärder som gäller för en specifik överföring genom att kontakta oss.

7. Säkerhet

Vi vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda dina personuppgifter mot obehörig åtkomst, förlust, ändring eller spridning. Åtgärderna inkluderar:

• Krypterad kommunikation (HTTPS/TLS) för all dataöverföring.
• Åtkomstkontroll med princip om minsta privilegium.
• Regelbunden säkerhetsgenomgång av vår infrastruktur.
• Avtalsenliga krav på säkerhet hos alla personuppgiftsbiträden.

8. Dina rättigheter

Enligt GDPR har du följande rättigheter gentemot oss. Vi besvarar förfrågan utan onödigt dröjsmål, normalt inom en månad.

Rätt till tillgång (artikel 15)

Du har rätt att få en bekräftelse på om vi behandlar dina personuppgifter och i så fall få tillgång till ett registerutdrag.

Rätt till rättelse (artikel 16)

Om dina uppgifter är felaktiga eller ofullständiga har du rätt att begära att vi rättar dem.

Rätt till radering ("rätten att bli glömd") (artikel 17)

Du kan begära att vi raderar dina personuppgifter när de inte längre är nödvändiga, när du återkallat ditt samtycke eller när behandlingen är olaglig. Rättigheten gäller inte om vi har laglig skyldighet att spara uppgifterna (t.ex. bokföringslagen).

Rätt till begränsning (artikel 18)

I vissa situationer kan du begära att vi begränsar behandlingen av dina uppgifter, till exempel medan en invändning utreds.

Rätt till dataportabilitet (artikel 20)

Du har rätt att få ut de uppgifter du själv lämnat till oss i ett strukturerat, allmänt använt och maskinläsbart format.

Rätt att invända (artikel 21)

Du kan när som helst invända mot behandling som grundar sig på vårt berättigade intresse eller direkt marknadsföring.

Rätt att återkalla samtycke

Om behandlingen grundar sig på ditt samtycke kan du när som helst återkalla det. Det påverkar inte lagligheten hos behandling som skett före återkallelsen.

Rätt att klaga till tillsynsmyndigheten

Om du anser att vi behandlar dina personuppgifter felaktigt har du rätt att inge klagomål till Integritetsskyddsmyndigheten (IMY):

Integritetsskyddsmyndigheten (IMY)
Box 8114, 104 20 Stockholm
www.imy.se

9. Ändringar av integritetspolicyn

Vi kan komma att uppdatera den här integritetspolicyn när vår verksamhet ändras eller när lagkrav ändras. Den senaste versionen finns alltid tillgänglig på den här sidan. Vid väsentliga förändringar meddelar vi dig via e-post (om vi har din adress) eller via ett tydligt meddelande på webbplatsen.

Senast uppdaterad: 22 maj 2026. Denna version är anpassad till EU AI Act, EU-US Data Privacy Framework, IMY:s tillsynspraxis kring cookie-banners (april 2025) och prop. 2025/26:84 om stärkt konsumentskydd.

10. Kontakta oss

Har du frågor om den här integritetspolicyn, vill begära ett registerutdrag eller utöva någon annan rättighet — kontakta oss:

Siteflow Stockholm AB
Varuvägen 9, 125 34 Älvsjö
E-post: hello@siteflow.se
Telefon: +46 10 189 84 80