Integritetspolicy

Denna integritetspolicy beskriver hur SnabbCV AB, som driver tjänsten CVOSH, behandlar personuppgifter när du besöker cvosh.com, skapar ett konto, använder CVOSH, köper ett abonnemang eller kontaktar oss. Policyn förklarar vilka uppgifter vi behandlar, varför vi gör det, hur länge uppgifterna sparas, vilka mottagare som kan få del av dem och vilka rättigheter du har enligt dataskyddsförordningen (EU) 2016/679 (GDPR).

1. Personuppgiftsansvarig

SnabbCV AB är personuppgiftsansvarig för den behandling som beskrivs i denna policy och bestämmer ändamålen och medlen för behandlingen inom CVOSH.

Kontakt: privacy@cvosh.com
Webbplats: www.cvosh.com

Frågor om integritet och utövande av rättigheter kan skickas till privacy@cvosh.com. CVOSH:s dataskyddsombud nås via samma adress.

2. Vilka personuppgifter vi behandlar

Kategori	Exempel på uppgifter
Konto och identitet	Namn, e-postadress, användar-ID, inloggningsuppgifter och kontoinställningar.
CV och profil	Arbetslivserfarenhet, utbildning, kompetenser, språk, uppdrag, profiltext, kontaktuppgifter, bild och annat innehåll som du själv för in eller importerar.
Köp och abonnemang	Kund- och faktureringsuppgifter, abonnemang, transaktionsreferens, betalningsstatus, valuta, belopp och moms. Fullständiga kortuppgifter hanteras normalt direkt av Stripe och lagras inte av CVOSH.
Användning och teknik	IP-adress, enhets- och webbläsaruppgifter, tidsstämplar, loggar, samtyckesval samt uppgifter om hur webbplatsen och tjänsten används.
Kommunikation och support	Meddelanden, ärendehistorik, kontaktuppgifter och annan information som du lämnar när du kontaktar oss.
Marknadsföring	E-postadress, kommunikationshistorik, preferenser och information om samtycke eller invändning.

CV-innehåll bestäms av användaren. Lämna inte känsliga personuppgifter, exempelvis uppgifter om hälsa, etniskt ursprung, religion, politiska åsikter eller fackligt medlemskap, om de inte är nödvändiga. CVOSH efterfrågar inte sådana uppgifter för att tillhandahålla tjänsten.

3. Varifrån uppgifterna kommer

Vi får i första hand uppgifter direkt från dig när du registrerar ett konto, fyller i eller importerar information, använder tjänsten, genomför ett köp eller kontaktar oss. Tekniska uppgifter kan samlas in automatiskt från din enhet. Betalningsstatus och vissa transaktionsuppgifter erhålls från Stripe. Analys- och marknadsföringsuppgifter samlas endast in i den utsträckning som tillämpliga samtyckesval tillåter.

4. Ändamål, rättslig grund och lagring

Ändamål och behandling	Rättslig grund	Lagring
Skapa och administrera konto samt tillhandahålla CV-funktioner, lagring, export och abonnemang.	Fullgörande av avtal, artikel 6.1 b GDPR.	Under avtalstiden och därefter fram till radering eller anonymisering. Konto- och CV-data raderas eller anonymiseras normalt inom 365 dagar efter att kontot raderats eller avtalet upphört, om uppgifterna inte måste sparas längre enligt lag eller för att hantera rättsliga anspråk.
Hantera betalning, abonnemang, kvitto och fakturering.	Fullgörande av avtal, artikel 6.1 b, samt rättslig förpliktelse, artikel 6.1 c.	Betalnings- och bokföringsunderlag sparas i sju år efter utgången av det kalenderår då räkenskapsåret avslutades, i den omfattning bokföringslagen kräver.
Kundservice, felsökning, säkerhet och förebyggande av missbruk.	Fullgörande av avtal, artikel 6.1 b, och berättigat intresse, artikel 6.1 f. Intresset är att ge support och skydda tjänsten, användarna och CVOSH.	Supportärenden sparas normalt i högst 24 månader efter avslutat ärende. Säkerhetsloggar sparas så kort tid som behövs utifrån risk och felsökningsbehov.
Analysera användningen av webbplatsen med Google Analytics för att förbättra innehåll, funktion och användarupplevelse.	Samtycke, artikel 6.1 a.	Enligt CVOSH:s inställning i Google Analytics, dock högst 14 månader för händelsedata kopplade till cookies eller liknande identifierare. Samtycke kan återkallas när som helst.
Hantera nyhetsbrev och annan elektronisk marknadsföring via HubSpot.	Samtycke, artikel 6.1 a, när sådant krävs. I vissa befintliga kundrelationer kan berättigat intresse, artikel 6.1 f, tillämpas med enkel möjlighet att invända.	Tills samtycket återkallas eller du invänder. Begränsade uppgifter kan därefter sparas i en spärrlista för att respektera ditt val.
Fastställa, göra gällande eller försvara rättsliga anspråk samt uppfylla myndighetsbeslut.	Berättigat intresse, artikel 6.1 f, respektive rättslig förpliktelse, artikel 6.1 c.	Så länge det är nödvändigt med hänsyn till tillämpliga preskriptionsfrister eller myndighetskrav.

När samtycke är rättslig grund är det frivilligt att lämna samtycke. Ett återkallande påverkar inte lagligheten av behandling som redan skett. När vi stödjer oss på berättigat intresse har vi bedömt att behandlingen är nödvändig och att vårt intresse inte väger tyngre än dina rättigheter och friheter.

5. Cookies och liknande teknik

CVOSH använder nödvändiga cookies och liknande teknik för att webbplatsen och tjänsten ska fungera. Icke nödvändiga cookies, exempelvis för analys eller marknadsföring, används först efter att du har lämnat samtycke. Du kan när som helst ändra eller återkalla ditt val i webbplatsens cookieinställningar. Mer information, inklusive aktuella cookies och lagringstider, finns i CVOSH:s cookiepolicy.

6. Personuppgiftsbiträden och andra mottagare

CVOSH anlitar leverantörer för vissa delar av tjänsten. När leverantören behandlar personuppgifter enbart enligt CVOSH:s instruktioner är leverantören personuppgiftsbiträde och behandlingen regleras av ett personuppgiftsbiträdesavtal enligt artikel 28 GDPR. En leverantör kan för vissa avgränsade behandlingar ha en annan roll, vilket framgår nedan. SnabbCV AB äger och administrerar server och databas lokalt inom Sverige.

Leverantör och roll	Tjänst och uppgifter	Plats och överföringsskydd
HubSpot, Inc. och relevanta koncernbolag Personuppgiftsbiträde för CVOSH:s CRM- och marknadsföringsdata.	CRM, kontaktformulär, e-postkommunikation, support och marknadsföring. Kan behandla kontaktuppgifter, kommunikationshistorik, preferenser, cookieidentifierare och användningsdata beroende på aktiverade funktioner.	Primär lagringsregion beror på CVOSH:s kontokonfiguration. Behandling kan ske inom EU/EES och i USA. Överföringar utanför EU/EES stöds enligt HubSpots DPA bland annat av EU-kommissionens standardavtalsklausuler och, där tillämpligt, EU-US Data Privacy Framework.
Google Ireland Limited och Google LLC Personuppgiftsbiträde för Google Analytics enligt tillämpliga databehandlingsvillkor.	Webbanalys efter samtycke. Kan behandla cookie- och enhetsidentifierare, ungefärlig plats, webbläsar- och enhetsinformation samt interaktioner på webbplatsen. Google Analytics 4 använder IP-adressen tillfälligt för platsbestämning men loggar eller lagrar den inte enligt Googles produktinformation.	Insamling från enheter i EU/EES sker via servrar i EU innan data kan skickas vidare för behandling. Behandling kan förekomma globalt, inklusive i USA. Överföringar regleras genom Googles databehandlingsvillkor, standardavtalsklausuler och, där tillämpligt, EU-US Data Privacy Framework.
Stripe Payments Europe Limited och Stripe-koncernen Personuppgiftsbiträde för viss behandling och självständigt personuppgiftsansvarig för viss betalningsrelaterad behandling.	Betalning, abonnemang, kvitto och fakturering samt bedrägeri- och säkerhetskontroller. Kan behandla namn, e-post, faktureringsadress, betalningsuppgifter, transaktionsdata, IP-adress och enhetsuppgifter.	Behandling sker inom EU/EES, bland annat via Stripe Payments Europe Limited i Irland, och kan även ske i USA och andra länder genom Stripe-koncernen och underleverantörer. Stripe använder enligt sitt DPA bland annat standardavtalsklausuler och, där tillämpligt, EU-US Data Privacy Framework.
OpenAI Ireland Ltd. och relevanta koncernbolag Personuppgiftsbiträde för personuppgifter som behandlas genom CVOSH:s AI-funktioner.	Tillhandahåller AI-baserade funktioner för att skapa, bearbeta, förbättra och anpassa CV och annat användargenererat innehåll. Behandlingen kan omfatta instruktioner och frågor till AI-tjänsten samt uppgifter som användaren har lämnat i sitt CV, exempelvis namn, kontaktuppgifter, arbetslivserfarenhet, utbildning, kompetenser, språkkunskaper och annan fritext. Användaren bör inte lämna känsliga personuppgifter eller andra uppgifter som inte är nödvändiga för att använda tjänsten. Uppgifter som skickas genom OpenAI API används inte för att träna eller förbättra OpenAI modeller, om CVOSH inte uttryckligen väljer att dela sådana uppgifter för detta ändamål.	Behandling kan ske inom EU/EES, bland annat genom OpenAI Ireland Ltd., samt i USA och andra länder genom OpenAI-koncernen och dess underleverantörer. Överföringar utanför EU/EES sker enligt OpenAI:s personuppgiftsbiträdesavtal med stöd av EU-kommissionens standardavtalsklausuler eller beslut om adekvat skyddsnivå. Den geografiska behandlingen och lagringen kan påverkas av CVOSH:s kontokonfiguration och vilka API-funktioner som används.

Vi kan även lämna ut personuppgifter till myndigheter, domstolar, rådgivare eller andra mottagare när det krävs enligt lag, är nödvändigt för att skydda rättigheter eller behövs i samband med en företagsöverlåtelse. Sådant utlämnande begränsas till vad som är nödvändigt.

7. Överföring till länder utanför EU och EES

Vissa leverantörer eller deras underleverantörer kan behandla personuppgifter utanför EU/EES. CVOSH säkerställer då att det finns en giltig överföringsmekanism enligt kapitel V GDPR, exempelvis ett beslut om adekvat skyddsnivå, EU-kommissionens standardavtalsklausuler eller EU-US Data Privacy Framework för certifierade mottagare. Vid behov bedöms mottagarlandets lagstiftning och kompletterande tekniska och organisatoriska skyddsåtgärder, såsom kryptering, åtkomstbegränsning och uppgiftsminimering. Du kan kontakta privacy@cvosh.com för mer information om relevanta skyddsåtgärder.

8. Säkerhet

CVOSH använder lämpliga tekniska och organisatoriska säkerhetsåtgärder med hänsyn till behandlingens art, omfattning, sammanhang och risker. Åtgärderna omfattar bland annat behörighetsstyrning, åtkomstbegränsning, krypterad överföring, loggning, säkerhetskopiering och rutiner för incidenthantering. Ingen teknisk lösning kan garantera fullständig säkerhet, men åtgärderna granskas och anpassas löpande.

9. Automatiserat beslutsfattande och AI

CVOSH använder automatiserade funktioner för att hjälpa användaren att formulera, strukturera och anpassa CV-innehåll. Resultatet är ett förslag som användaren kan granska och ändra. CVOSH fattar inte beslut med rättsliga följder eller på liknande sätt betydande effekter för dig enligt artikel 22 GDPR, exempelvis beslut om anställning eller urval i en rekryteringsprocess.

10. Dina rättigheter

Du har, beroende på omständigheterna, rätt att:

• få information om behandlingen och begära tillgång till dina personuppgifter.

• begära rättelse av felaktiga eller ofullständiga uppgifter.

• begära radering av uppgifter.

• begära att behandlingen begränsas.

• invända mot behandling som grundas på berättigat intresse och alltid invända mot direktmarknadsföring.

• återkalla ett samtycke när som helst.

• få ut uppgifter som du själv har lämnat i ett strukturerat, allmänt använt och maskinläsbart format när rätten till dataportabilitet gäller.

• lämna klagomål till Integritetsskyddsmyndigheten, IMY.

Skicka din begäran till privacy@cvosh.com. Vi kan behöva begära ytterligare information för att på ett säkert sätt verifiera din identitet. Vi svarar normalt inom en månad. Tiden kan förlängas med högst två månader om begäran är komplicerad eller om flera begäranden har inkommit; i så fall informerar vi dig om förlängningen och skälen till den.

Integritetsskyddsmyndigheten
Box 8114, 104 20 Stockholm
www.imy.se

11. Minderåriga

CVOSH är inte avsett för barn under 15 år. Om tjänsten erbjuds direkt till ett barn och behandlingen grundas på samtycke gäller de åldersgränser och krav på vårdnadshavares samtycke som följer av tillämplig dataskyddslagstiftning. Kontakta oss om du tror att ett barn har lämnat personuppgifter i strid med denna policy.

12. Personuppgiftsincidenter

CVOSH utreder misstänkta personuppgiftsincidenter och vidtar lämpliga åtgärder. Om en incident sannolikt medför risk för fysiska personers rättigheter och friheter anmäls den till behörig tillsynsmyndighet utan onödigt dröjsmål och, om möjligt, inom 72 timmar från det att CVOSH fick vetskap om incidenten. Vid hög risk informeras berörda registrerade utan onödigt dröjsmål, om inte ett undantag i GDPR är tillämpligt.

13. Ändringar i policyn

CVOSH kan uppdatera denna policy när tjänsten, behandlingen eller tillämpliga regler förändras. Den senaste versionen publiceras på cvosh.com med datum för ikraftträdande. Vid väsentliga ändringar informerar vi på lämpligt sätt, exempelvis i tjänsten eller via e-post.

14. Kontakt

SnabbCV AB genom CVOSH
E-post och dataskyddsombud: privacy@cvosh.com
Webbplats: www.cvosh.com