Integritetspolicy

1. Personuppgiftsansvarig

Den personuppgiftsansvarige för dina personuppgifter är:

Tillsynsmyndigheten för dataskydd i Spanien är Agencia Española de Protección de Datos (AEPD), tillgänglig på www.aepd.es.

2. Uppgifter vi samlar in

Vi samlar in de minimiuppgifter som är nödvändiga för att tillhandahålla Clarnix-tjänsten.

2.1 Kontouppgifter

När du skapar ett konto samlar vi in ditt namn, din e-postadress och (i förekommande fall) ett hashat lösenord. Om du loggar in via OAuth (Google eller Microsoft) tar vi emot ditt namn, din e-postadress och ett leverantörsgenererat användar-ID.

2.2 E-postdata som nås via OAuth — Inbyggt integritetsskydd

Clarnix bygger på principen om inbyggt integritetsskydd: innehållet i e-postmeddelanden lagras aldrig i våra system. Vi behandlar brödtexten i e-postmeddelanden tillfälligt i minnet för att klassificera meddelanden och generera sammanfattningar, och raderar dem därefter omedelbart. De Google OAuth-behörigheter vi begär är https://www.googleapis.com/auth/gmail.readonly (läsa e-post), https://www.googleapis.com/auth/gmail.modify (tillämpa etiketter och arkivera), https://www.googleapis.com/auth/gmail.labels (skapa och hantera de etiketter vi tillämpar) och https://www.googleapis.com/auth/calendar.readonly (läsa kommande händelser — se nedan). För Microsoft-konton begär vi motsvarande Microsoft Graph-behörigheter Mail.Read och Mail.ReadWrite. De metadata vi faktiskt lagrar är begränsade till:

• Avsändarens namn och e-postadress
• Ämnesrad
• Mottagningstidsstämpel (received_at)
• Meddelande-ID och tråd-ID (leverantörsgenererade identifierare)
• AI-genererade klassificeringsetiketter och prioritetspoäng
• AI-genererade sammanfattningar (aldrig ordagrant brödtextinnehåll)

Kalenderdata: när du beviljar kalenderbehörigheten läser vi dina kommande händelser — titel, tid och deltagare — enbart i syfte att lägga till en kort agenda i din sammanfattning. Kalenderinnehåll behandlas i minnet när sammanfattningen genereras och lagras aldrig i våra system, används aldrig för att träna någon modell och delas aldrig med tredje parter. Du kan när som helst stänga av kalenderavsnittet för vilket anslutet konto som helst.

2.3 Inloggningsuppgifter för anslutna e-postkonton

För att ansluta din e-postleverantör lagrar vi OAuth-åtkomsttoken och uppdateringstoken (eller, för IMAP, krypterade inloggningsuppgifter). Dessa lagras krypterade i vila med hjälp av en ENCRYPTION_MASTER_KEY och används uteslutande för att komma åt din brevlåda för din räkning.

2.4 Faktureringsuppgifter

Betalkortsuppgifter samlas in och behandlas uteslutande av Stripe. Vi lagrar endast ditt Stripe-kund-ID, prenumerationsstatus, de fyra sista siffrorna på ditt kort, faktureringsnamn, faktureringsadress samt momsregistreringsnummer där sådant uppges. Vi ser eller lagrar aldrig fullständiga kortnummer.

2.5 Användningsdata

Vi samlar in aggregerade och anonymiserade användningsdata, såsom använda funktioner, antal skapade regler, antal sammanfattningar och leveranshändelser. Vi samlar även in tekniska uppgifter såsom IP-adress (för säkerhetsbaserad hastighetsbegränsning), webbläsartyp och felloggar.

3. Hur vi använder dina uppgifter

Vi använder de uppgifter vi samlar in för följande ändamål:

• Tillhandahållande, drift och underhåll av Clarnix-tjänsten
• Klassificering av din inkommande e-post med hjälp av AI och tillämpning av de regler du konfigurerar
• Generering av AI-syntetiserade sammanfattningar och leverans av dessa till din valda kanal (e-post, WhatsApp, Telegram, Slack, Teams)
• Betalningshantering och administration av din prenumeration via Stripe
• Utskick av transaktionella e-postmeddelanden (kontobekräftelse, kvitton, leverans av sammanfattningar)
• Aggregerade och anonymiserade produktanalyser för att förstå funktionsanvändning och förbättra tjänsten
• Säkerhetsövervakning, bedrägeriförebyggande åtgärder och missbruksdetektering
• Uppfyllande av rättsliga förpliktelser
• marketing.privacy.s3.items.8

Vi använder inte dina uppgifter för beteendebaserad annonsering, säljer dem inte till tredje parter och använder inte e-postinnehåll för något annat ändamål än tillfällig triagebehandling i minnet.

5. Rättslig grund för behandling (GDPR Art. 6)

Vi stöder oss på följande rättsliga grunder:

• Fullgörande av avtal (Art. 6(1)(b)): Behandling av dina e-postmetadata och kontouppgifter är nödvändig för att leverera de triage-, klassificerings- och sammanfattningsfunktioner du har prenumererat på.
• Berättigat intresse (Art. 6(1)(f)): Vi behandlar tekniska uppgifter och användningsdata för att upprätthålla tjänstens säkerhet, förebygga missbruk, upptäcka fel och förbättra plattformens tillförlitlighet. Våra intressen är avvägda mot dina rättigheter och åsidosätter dem inte.
• Samtycke (Art. 6(1)(a)): För icke-nödvändiga kakor och marknadsföringskommunikation förlitar vi oss på ditt samtycke. Du kan när som helst återkalla ditt samtycke utan att det påverkar lagligheten av tidigare behandling.
• Rättslig förpliktelse (Art. 6(1)(c)): När så krävs behandlar vi uppgifter för att uppfylla tillämplig lagstiftning (t.ex. lagring av faktureringsunderlag enligt spansk skattelagstiftning).

6. Underbiträden

Vi anlitar följande underbiträden för att driva tjänsten. Var och en behandlar endast de uppgifter som är strikt nödvändiga för deras roll.

"SCCs" avser EU:s standardavtalsklausuler antagna i enlighet med kommissionens beslut (EU) 2021/914, vilka säkerställer en adekvat skyddsnivå för överföringar av personuppgifter till tredjeländer.

7. Internationella dataöverföringar

Vissa av våra underbiträden är verksamma utanför Europeiska ekonomiska samarbetsområdet (EES). När så är fallet säkerställer vi att lämpliga skyddsåtgärder finns på plats — i samtliga nuvarande fall EU:s standardavtalsklausuler — så att dina uppgifter ges en skyddsnivå som är likvärdig med den som garanteras inom EES.

8. Lagringstider

• Brödtextinnehåll i e-postmeddelanden: Lagras aldrig. Behandlas i minnet och raderas omedelbart.
• Kontometadata: Lagras till dess att kontot raderas, varefter det tas bort från aktiva system inom 30 dagar.
• E-postmetadata och sammanfattningar: Lagras så länge ditt konto är aktivt och raderas inom 30 dagar efter kontoavstängning.
• Faktureringsunderlag: Lagras i 6 år i enlighet med spansk skattelagstiftning (Ley General Tributaria).
• Granskningsloggar: Lagras i enlighet med ditt abonnemangs audit_log_visibility_days. Serverloggar lagras i upp till 90 dagar av säkerhetsskäl, varvid användaridentiteten anonymiseras vid radering.

Under din 14-dagars kostnadsfria provperiod behandlas alla uppgifter på samma sätt som för en betalande prenumerant. Om du inte konverterar till ett betalt abonnemang raderas dina uppgifter inom 30 dagar efter provperiodens utgång.

9. Radering av konto

• Du kan när som helst radera ditt konto via Inställningar → Radera konto (självbetjäning). Kontoavstängning är permanent och kan inte återkallas.
• Vad som raderas inom 30 dagar: din profil, alla anslutna e-postkonton och OAuth-token (återkallas hos leverantören omedelbart vid radering), alla klassificeringsdata, sammanfattningar, regler och teammedlemskap. Om du är den enda ägaren av ett team raderas teamet eller ägarskapet överförs.
• Vad som behålls: faktureringsunderlag (spansk skattelagstiftning, 6 år) och granskningsloggar med din identitet anonymiserad.
• Borttagning från aktiva system slutförs inom 30 dagar, i enlighet med avsnitt 8. Denna tidsram tar hänsyn till säkerhetskopior, replikerad lagring och batchraderingsprocesser, och är förenlig med den "rimliga tidsram för effektiv radering" som erkänns i artikel 17 GDPR.

10. Dina rättigheter enligt GDPR

Som registrerad enligt GDPR har du följande rättigheter:

• Rätt till tillgång (Art. 15): Du kan begära en kopia av de personuppgifter vi innehar om dig.
• Rätt till rättelse (Art. 16): Du kan begära att vi rättar felaktiga eller ofullständiga uppgifter.
• Rätt till radering (Art. 17): Du kan begära radering av dina personuppgifter, med förbehåll för rättsliga lagringsskyldigheter (t.ex. faktureringsunderlag).
• Rätt till dataportabilitet (Art. 20): Du kan begära dina uppgifter i ett strukturerat, maskinläsbart format.
• Rätt till begränsning av behandling (Art. 18): Du kan begära att vi begränsar behandlingen av dina uppgifter under vissa omständigheter.
• Rätt att göra invändningar (Art. 21): Du kan invända mot behandling som grundar sig på berättigat intresse. Vi ska efterkomma invändningen om vi inte kan påvisa tvingande berättigade skäl som väger tyngre än dina intressen.
• Rätt att återkalla samtycke: När behandling grundar sig på samtycke kan du när som helst återkalla det utan att det påverkar lagligheten av den behandling som utförts före återkallelsen.

För att utöva någon av dessa rättigheter, kontakta oss på legal@clarnix.app. I enlighet med artikel 12(3) GDPR kommer vi att besvara din begäran inom en månad från mottagandet. Om en begäran är särskilt komplex eller om vi mottar ett stort antal begäranden kan denna period förlängas med ytterligare upp till två månader; vi kommer att informera dig inom en månad från mottagandet av begäran om en sådan förlängning och skälen för den. Om du inte är nöjd med vårt svar har du rätt att inge ett klagomål till den spanska dataskyddsmyndigheten (AEPD — Agencia Española de Protección de Datos) eller till tillsynsmyndigheten i den EU-medlemsstat där du har din vanliga vistelseort.

11. Säkerhet

Vi vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda dina personuppgifter, däribland: TLS 1.3-kryptering under överföring, kryptering i vila hanterad av Supabase, OAuth-token krypterade med en ENCRYPTION_MASTER_KEY, säkerhet på radnivå (Row Level Security) tillämpad på databasnivå samt åtkomstkontroller som begränsar vem som kan komma åt produktionssystem. Vid en personuppgiftsincident som innebär en risk för dina rättigheter och friheter kommer vi att anmäla detta till AEPD inom 72 timmar.

12. Kakor

Clarnix använder strikt nödvändiga kakor för att hantera autentiseringssessioner. Vi erbjuder även valfria analyskakor som är föremål för ditt samtycke. För fullständig information, se vår kakpolicy. Cookie Policy.

13. Barn

Clarnix-tjänsten riktar sig inte till användare under 16 år. Vi samlar inte medvetet in personuppgifter från barn. Om vi får kännedom om att vi har samlat in uppgifter från ett barn under 16 år kommer vi att radera kontot omgående.

14. Ändringar av denna policy

Vi kan komma att uppdatera denna integritetspolicy från tid till annan. När vi gör väsentliga ändringar kommer vi att meddela dig via en banner i appen och via e-post minst 30 dagar innan ändringarna träder i kraft. Datumet "Senast uppdaterad" längst upp på denna sida återspeglar den senaste revisionen.

15. Kontakt

För frågor, begäranden eller synpunkter avseende denna integritetspolicy eller behandlingen av dina personuppgifter, vänligen använd adresserna nedan. Två specialiserade inkorgar drivs av NEXTGENWEBS, S.L.: legal@clarnix.app, som övervakas av juridik- och integritetsteamet och hanterar GDPR-förfrågningar från registrerade, avtalsfrågor och andra rättsliga ärenden; samt hello@clarnix.app, som övervakas av kundsupportteamet och hanterar löpande frågor om produkten, kontot och fakturering. Vi strävar efter att bekräfta inkommande förfrågningar inom två arbetsdagar. Materiella svar på förfrågningar från registrerade lämnas inom de lagstadgade tidsfrister som anges i avsnitt 10 ovan. Personuppgifter som du delar med oss via dessa inkorgar (ditt namn, din e-postadress och innehållet i din förfrågan) behandlas med stöd av artikel 6(1)(c) GDPR (uppfyllande av en rättslig förpliktelse, när vi besvarar en förfrågan från en registrerad) eller artikel 6(1)(f) GDPR (vårt berättigade intresse av att besvara korrespondens). Uppgifter om dessa kommunikationer lagras så länge det är nödvändigt för att dokumentera vårt svar, och under inga omständigheter längre än 6 år när så krävs enligt spansk lagstiftning.