Integritetspolicy

1. Vem ansvarar för dina uppgifter?

Personuppgiftsansvarig är:

NYTERIO AB
Organisationsnummer: 559596-9790
E-post: privacy@nyterio.se
Webbplats: nyterio.se

2. Översikt: tjänsterna och deras dataregimer

Vi vill att du tydligt vet vad som händer med dina data beroende på vilken del av NYTERIO du använder.

3. Processkollen och mallarna: vad samlar vi in?

3.1 Uppladdade flödesscheman (filen)

När du laddar upp ett flödesschema behandlas filen i vårt arbetsminne. Är filen större än 1 MB buffrar webbservern den under själva uppladdningen genom en temporär fil på serverns disk. Den filen saknar filnamn, tas bort i samma ögonblick som den skapas och kan därför inte öppnas av något annat program, och utrymmet frigörs när uppladdningen är klar, alltså efter någon sekund. Därefter finns filen bara i arbetsminnet. Filen skickas till vår AI-leverantör Nordalster AB (org.nr 559279-8002) för bearbetning. Leverantören bearbetar filen i RAM/VRAM och lagrar ingen data efter sessionen. Rättslig grund: fullgörande av avtal (GDPR art. 6.1 b).

Filen finns kvar i vårt arbetsminne i högst 30 minuter efter uppladdningen. Skälet är att du under den tiden kan begära att få ditt flöde omritat enligt NYTERIO:s standard, vilket kräver att originalet fortfarande finns. Filen raderas i det ögonblick den omritningen är gjord, direkt om filen inte var ett flödesschema, och senast när de 30 minuterna gått ut, oavsett om du begärt något eller inte. Den sparas aldrig permanent hos oss och den ingår aldrig i någon säkerhetskopia.

3.2 Analysresultat (sessionsbundet)

Det fullständiga analysresultatet (poäng, avvikelser, rekommendationer) hålls i serverns arbetsminne i högst 24 timmar för att möjliggöra PDF-nedladdning och delning via en unik UUID-länk. Efter 24 timmar raderas resultatet automatiskt och det finns ingen möjlighet att återskapa rapporten. Rättslig grund: fullgörande av avtal (GDPR art. 6.1 b).

3.3 Anonym granskningsstatistik (permanent)

Vi sparar aggregerad, anonymiserad statistik om varje genomförd granskning i en lokal databas. Detta inkluderar: poäng per standard, vilken typ av diagram som granskades (BPMN 2.0 eller Basic Flowchart) och tidsstämpel. I den här statistiken lagras inga uppgifter som kan kopplas till dig som person, varken namn, e-postadress, IP-adress, filinnehåll eller filnamn. Statistikposten innehåller inget ID som pekar på en kontaktuppgift enligt §3.4, och vi gör inga sammanställningar mellan de två. Rättslig grund: berättigat intresse att förbättra och utveckla tjänsten (GDPR art. 6.1 f). Dessa uppgifter utgör i praktiken inte personuppgifter men dokumenteras här av transparensskäl.

3.4 Kontaktuppgifter när du beställer rapporten

Poängen och sammanfattningen visas direkt på skärmen utan att du lämnar några uppgifter. Vill du ha den fullständiga rapporten kan du be oss mejla den. Då lagrar vi e-postadress, namn och eventuell organisation, tillsammans med rapportens poäng, processnamn och tidpunkt, i en lokal databas i Sverige.

Samma uppgifter registreras också som en kontakt i vårt eget kundregister, så att vi vet vem vi har varit i kontakt med och inte hör av oss två gånger om samma sak. Registret är ett system vi driver själva, på en server hos Hostup AB i Sverige, se biträdesförteckningen i §5. Uppgifterna lämnar alltså aldrig Sverige. Raderar du dina uppgifter hos oss raderas de på båda ställena.

Uppgifterna används till två saker: att skicka rapporten du bett om, och att vi kan höra av oss en gång efteråt för att fråga om den var till nytta. Vi skickar inga nyhetsbrev, gör inga automatiska utskickskedjor och säljer eller delar aldrig uppgifterna vidare. Vill du inte bli kontaktad räcker det att du skriver det i svaret på rapportmailen.

Uppgifterna lagras åtskilt från NYTERIO-appens databas. Att beställa en rapport skapar inget konto, ger ingen inloggning och kopplar dig inte till någon organisation i tjänsten. Ett konto kan bara skapas via en inbjudan enligt §4.1.

Vi sparar uppgifterna i högst 24 månader från det att du beställde rapporten, därefter raderas de. Du kan när som helst begära radering tidigare genom att mejla privacy@nyterio.se, och den begäran genomförs utan att vi frågar varför.

Rättslig grund: åtgärder på begäran av den registrerade (GDPR art. 6.1 b) för att skicka rapporten, och berättigat intresse att följa upp ett visat intresse för tjänsten (GDPR art. 6.1 f) för den enstaka uppföljningen. Du kan invända mot uppföljningen enligt §7.

3.5 Kontaktuppgifter när du hämtar en mall

På några av våra artikelsidor kan du hämta en mall, till exempel RACI-matrisen på nyterio.se/raci-matris-mall/. Då lagrar vi e-postadress och, om du fyller i det, namn, tillsammans med vilken mall det gällde och tidpunkten, i samma lokala databas i Sverige som §3.4 beskriver.

Uppgifterna används till två saker: att mejla mallen du bett om, och att vi kan höra av oss en gång efteråt för att fråga om den var till nytta. Vi skickar inga nyhetsbrev, gör inga automatiska utskickskedjor och säljer eller delar aldrig uppgifterna vidare. Vill du inte bli kontaktad räcker det att du skriver det i svaret på mallmailet.

Att hämta en mall skapar inget konto och kopplar dig inte till någon organisation i tjänsten. Mallen laddas ner direkt i webbläsaren, så du får filen även om mejlet skulle fastna.

Vi sparar uppgifterna i högst 24 månader från hämtningen, därefter raderas de. Du kan när som helst begära radering tidigare genom att mejla privacy@nyterio.se, och den begäran genomförs utan att vi frågar varför.

Rättslig grund: åtgärder på begäran av den registrerade (GDPR art. 6.1 b) för att skicka mallen, och berättigat intresse att följa upp ett visat intresse för tjänsten (GDPR art. 6.1 f) för den enstaka uppföljningen. Du kan invända mot uppföljningen enligt §7.

4. NYTERIO-appen: vad samlar vi in?

För att leverera ett processbibliotek som kan redigeras, delas och versioneras över tid behöver vi lagra både ditt konto och bibliotekets innehåll. All lagring sker hos Hostup AB i Sverige (PostgreSQL).

4.1 Användarkonto

För inloggade användare lagrar vi: e-postadress, hashat lösenord, roll i organisationen, organisationstillhörighet. Kontot skapas via inbjudan från en organisationsadmin. Rättslig grund: fullgörande av avtal (GDPR art. 6.1 b).

4.2 Uppladdade dokument och flödesscheman

Library Builder. När en organisationsadmin laddar upp en ZIP-fil med dokumentation packas den upp på vår server, och Nordalster AB analyserar innehållet för att föreslå en processhierarki. Nordalster lagrar ingenting efter analysen. Dokumenten i ZIP-filen sparas som en del av organisationens processbibliotek, hos Hostup AB i Sverige, och kopplas till de processer de beskriver så att rutinen syns bredvid processen. Själva ZIP-filen raderas när analysen är klar. Det extraherade processförslaget (text, processnamn, roller, in- och utdata) sparas också i organisationens databas.

Dokument på en process. Ett dokument som en användare laddar upp direkt på en process sparas på samma sätt. En länk till ett dokument i ert eget system sparas bara som länk; själva dokumentet hämtas aldrig hit.

Flödesscheman som laddas upp. När ett befintligt flödesschema laddas upp som bild eller PDF för att ritas om, sparas originalfilen tillsammans med det omritade schemat, så att kollegor kan jämföra med originalet. Originalet raderas när schemat raderas.

Lagringstid och radering. Dokumenten sparas tills organisationens administratör raderar dem, under Administration, Dokument, eller tills avtalet upphör. Då raderas de enligt biträdesavtalet, tillsammans med resten av organisationens data. Rättslig grund: fullgörande av avtal (GDPR art. 6.1 b).

Personuppgifter i dokumenten: Ladda inte upp dokument som innehåller personuppgifter (t.ex. CV:n, anställningsavtal, kundnamn). NYTERIO är utformat för processdokumentation, inte personalakter eller kundregister. Dokument med personuppgifter kan utgöra ett biträdesförhållande som kräver särskilt avtal.

4.3 Processbibliotek (snapshot)

Det färdiggranskade biblioteket, alltså processhierarki, beskrivningar, roller samt in- och utdata, lagras permanent i organisationens snapshot tills det redigeras eller raderas. Detta är arbetsmaterialet som hela appens funktionalitet bygger på. Rättslig grund: fullgörande av avtal (GDPR art. 6.1 b).

4.4 Granskningslogg (audit log)

Varje gång en användare slutför ett bibliotek, låser eller låser upp processkartan loggas händelsen med tidsstämpel, användar-ID och åtgärd. Loggen sparas per organisation och används för intern revision och ISO-relaterad spårbarhet. Rättslig grund: berättigat intresse att kunna spåra ändringar i processdokumentation (GDPR art. 6.1 f).

4.5 Transaktionella e-postmeddelanden

När en analys slutförs eller misslyckas skickas ett automatiskt e-postmeddelande till den användare som startade jobbet. E-post hanteras av Zoho Corporation (Amsterdam, EU). Rättslig grund: fullgörande av avtal (GDPR art. 6.1 b).

4.6 Faktureringsuppgifter

Organisationens faktureringsuppgifter (företagsnamn, organisationsnummer, faktureringsadress och kontaktperson) registreras för att kunna fakturera för tjänsten. Betalning sker mot faktura. Vi hanterar inte kortuppgifter. Rättslig grund: fullgörande av avtal (GDPR art. 6.1 b).

4.7 Tekniska loggar

Webbservern (Nginx) genererar standardiserade accessloggar som innehåller IP-adress, tidsstämpel och begärd URL. Dessa loggar roteras automatiskt. Loggar från applikationen kan innehålla användar-ID och organisations-ID för att möjliggöra felsökning men aldrig dokumentinnehåll eller filnamn. Rättslig grund: berättigat intresse (driftsäkerhet och säkerhetsövervakning, GDPR art. 6.1 f).

4.8 Kontoinbjudningar (e-postadress)

För att ge en organisation tillgång till NYTERIO-appen lagrar vi e-postadressen som en inbjudan skickas till. Inbjudan lagras i högst 14 dagar och raderas automatiskt när den används eller går ut. Rättslig grund: berättigat intresse att administrera kontrollerad åtkomst (GDPR art. 6.1 f).

4.9 Mötesbokning

Bokar du ett möte med oss lämnar du namn, e-postadress och vald tid. Bokningen hanteras av Zoho Bookings och mötet hålls i Zoho Meeting, båda inom EU (Amsterdam). Kalendern visas inbäddad på vår webbplats, men den laddas först när du klickar på bokningsknappen, inte när du besöker sidan. Väljer du att inte boka kontaktas bokningstjänsten aldrig. Rättslig grund: åtgärder på begäran av den registrerade inför ett avtal (GDPR art. 6.1 b).

4.10 NYTERIO Pocket

Pocket är samma app med egen registrering och kortbetalning, och det som står i §4 gäller även här. Det här är det som skiljer:

• Registrering och konto. Du anger namn, företag, organisationsnummer och e-postadress. E-postadressen är din inloggning. Vi sparar också tidpunkten då du godkände licensvillkoren, tillsammans med en hashad IP-adress och webbläsarens identifieringssträng, som bevis på godkännandet. En påbörjad registrering som inte betalas raderas efter 48 timmar. Rättslig grund: avtal (GDPR art. 6.1 b), och för villkorsbeviset vårt berättigade intresse av att kunna visa att avtalet ingåtts (art. 6.1 f).
• Betalning. Kortbetalningen sker hos Stripe. Kortuppgifterna anges på Stripes sida och passerar aldrig NYTERIO:s servrar. Vi sparar Stripes kund- och prenumerationsnummer, vald nivå och prenumerationens status, för att kunna öppna kundportalen och veta om kontot är betalt. Kvitton hämtar du i Stripes kundportal. Se §5.
• Foton av tavlor. Fotot behandlas i arbetsminnet för att ritas om till ett flödesschema och raderas direkt när schemat är klart. Det sparas varken hos oss eller hos AI-leverantören. Texten på lapparna blir text i schemat, och det schemat lever tills uppdraget raderas. Skriv roller på lapparna, inte namn.
• Uppdrag. Dagens scheman och tavlor samlas i ett uppdrag per kund. Uppdraget raderas 30 dagar efter den senaste aktiviteten, eller senast 90 dagar om du förlängt det. En rad om att raderingen skett, med tidpunkt och antal, sparas i tolv månader; kundens namn tas bort ur den efter 365 dagar.
• Mejl. Ett välkomstmejl går när betalningen bekräftats, med en länk där du väljer lösenord. Länken slutar gälla efter 48 timmar. Mejlet skickas via Zoho, se §5.
• Din kunds uppgifter. Innehållet på en tavla kan röra din kunds verksamhet och anställda. Där är du personuppgiftsansvarig och NYTERIO AB biträde, enligt det biträdesavtal som ingår i licensen.

4.11 Dokument som skickas inför starten

När en ny kund ska komma igång kan NYTERIO skicka en privat länk där kunden laddar upp sin dokumentation, helst som en ZIP-fil. Länken kräver inget konto, gäller i 14 dagar och kan stängas av oss när som helst. Filerna sparas hos Hostup AB i Sverige, skilda från processbiblioteket, och packas aldrig upp eller körs på servern.

Vi granskar dokumenten manuellt innan processbiblioteket byggs, för att bedöma vilka som passar och justera huvudprocesskartan. Vid granskningen laddas de ner till NYTERIO:s arbetsdator, som har krypterad disk, och raderas där när granskningen är klar. Dokument som sedan används i Library Builder sparas enligt §4.2.

Lagringstid: filerna raderas automatiskt från servern 30 dagar efter uppladdningen, eller tidigare om kunden eller vi raderar dem. De ingår inte i den dagliga säkerhetskopian. Rättslig grund: fullgörande av avtal (GDPR art. 6.1 b). För innehållet i dokumenten är kunden personuppgiftsansvarig och NYTERIO AB biträde, enligt biträdesavtalet.

5. Tredjepartsaktörer som behandlar data

Vi använder följande underleverantörer (databehandlare) för att leverera tjänsten:

Vi ingår skriftliga databehandlaravtal med samtliga underleverantörer i enlighet med GDPR art. 28.

6. Vad lagrar vi inte?

Oavsett tjänst lagrar vi aldrig:

• Innehållet i råfilerna (bild, PDF, ZIP) efter att analysen slutförts, och i Processkollen som längst 30 minuter, se §3.1. Undantag: dokument som skickas inför starten sparas i högst 30 dagar, se §4.11
• Fotot av tavlan i NYTERIO Pocket efter att schemat ritats, se §4.10
• Originalfilnamn för dokument i Library Builder (filerna raderas)
• IP-adresser kopplade till granskningsstatistik
• Spårningscookies eller marknadsföringspixlar
• Kortuppgifter eller annan finansiell information, eftersom betalning sker mot faktura

7. Dina rättigheter

Som registrerad i EU har du enligt GDPR rätt att:

• Begära tillgång till de personuppgifter vi behandlar om dig
• Begära rättelse av felaktiga uppgifter
• Begära radering ("rätten att bli glömd"). Kontakta oss så raderar vi ditt konto, ditt arbetsinnehåll och relaterade loggar
• Begära begränsning av behandlingen
• Invända mot behandlingen när den grundas på berättigat intresse
• Begära dataportabilitet. Vi exporterar bibliotek och processkartor som JSON, PDF eller HTML

För Processkollen uppfylls de flesta raderingsförfrågningar automatiskt: filen är borta inom 30 minuter och rapporten inom 24 timmar. Det enda som finns kvar därefter är kontaktuppgifterna du lämnat om du bett om rapporten via mejl, och de raderar vi på begäran, se §3.4. För NYTERIO-appen utför vi raderingen manuellt på begäran. Kontakta oss på privacy@nyterio.se.

Du har också rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), imy.se.

8. Cookies och spårning

Vi använder inga spårningscookies. För anonym besöksstatistik på vår publika webbplats använder vi en självhostad Umami-instans på samma svenska server som NYTERIO. Inga cookies, inga IP-adresser kopplas till en enskild användare, ingen spårning över sidor. Tekniska sessions- och inloggningscookies används för att hålla din session aktiv. De innehåller ingen personlig information utöver det som krävs för att verifiera din inloggning. Vi använder inte Google Analytics, Facebook Pixel eller liknande tredjepartstjänster. Ett undantag från att statistiken är helt anonym finns när du kommit hit via en länk i ett mejl från oss, se §8.1.

8.1 Länkar i våra utgående mejl

När vi mejlar ett företag kan länken innehålla en kort kod, till exempel ?ref=exempelbolaget. Koden säger vilket företag vi skickade till, aldrig vem som läser, och den används bara för att vi ska se om mejlet var relevant nog att öppnas. Det är vårt berättigade intresse av att följa upp egen marknadsföring, artikel 6.1 f i GDPR.

Koden sparas inte på din dator. Den skickas inte som en cookie, ingenting lagras i webbläsaren, och den försvinner ur adressfältet så fort sidan öppnas. Det betyder också att den inte följer med om du skickar länken vidare till en kollega. Vi kan se att någon hos företaget öppnade sidan, inte vem av er det var.

Vill du att vi slutar använda koder mot ditt företag räcker det att säga till på privacy@nyterio.se, så tar vi bort den. Du kan också ta bort ?ref= ur adressen innan du öppnar länken.

9. Säkerhet

Vi skyddar tjänsten med:

• HTTPS (TLS) för all kommunikation
• Lösenord lagras endast hashade (bcrypt)
• Inloggning baserad på korta JWT-tokens
• Oförutsägbara UUID:n som identifierare för rapporter och bibliotek
• Rate limiting på alla offentliga endpoints
• Filvalidering server-side (typ och storlek)
• Råfiler sparas aldrig permanent, all bearbetning sker i arbetsminne (se §3.1)
• fail2ban + automatiska säkerhetspatchar på serversidan

10. Barn

Tjänsten riktar sig till yrkesverksamma och är inte avsedd för personer under 18 år. Vi samlar inte medvetet in uppgifter från minderåriga.

11. Ändringar i denna policy

Vi kan uppdatera denna integritetspolicy vid behov. Väsentliga ändringar meddelas via ett tydligt meddelande på webbplatsen och, för inloggade användare, via e-post. Datumet för senaste uppdatering anges alltid högst upp i dokumentet.

12. Kontakt

Frågor om hur vi hanterar dina personuppgifter besvaras på:
privacy@nyterio.se