Integritetspolicy

1. Personuppgiftsansvarig

NotAStartup AB
Organisationsnummer: 559566-4250
E-post: support@omsio.se

Varje verksamhet som använder Omsio är personuppgiftsansvarig för de uppgifter som registreras om placerade individer. NotAStartup AB agerar som personuppgiftsbiträde.

2. Vilka personuppgifter behandlar vi?

Kontouppgifter

• Namn, e-postadress, telefonnummer
• Personnummer (för BankID-verifiering)
• Roll och behörigheter

Placeringsuppgifter (hanteras av verksamheten)

• Uppgifter om placerade individer
• Journalanteckningar och rapporter
• Dokument och avtal

Tekniska uppgifter

• IP-adress (i revisionsloggar)
• Sessionsdata

3. Rättslig grund

• Avtal: Behandling som krävs för att tillhandahålla tjänsten (Art. 6.1b GDPR)
• Rättslig förpliktelse: Behandling enligt socialtjänstlagen (Art. 6.1c GDPR)
• Berättigat intresse: Säkerhetsloggning och felsökning (Art. 6.1f GDPR)

4. Hur skyddas dina uppgifter?

• AES-256-kryptering vid lagring, TLS 1.2+ vid överföring
• BankID-autentisering — inga lösenord lagras
• Row Level Security på samtliga databastabeller
• Mandantisolering mellan verksamheter
• Revisionsloggar med fullständig ändringshistorik

5. Underleverantörer

Vi delar aldrig personuppgifter i marknadsföringssyfte. Personuppgiftsbiträdesavtal finns med samtliga leverantörer:

• Supabase Inc — databashosting, svenska servrar
• Idura — BankID-autentisering och digital signering
• Resend Inc — transaktionella e-postmeddelanden
• OneSignal — push-notiser (anonymiserade)
• Stripe Inc — betalningshantering
• Google LLC — webbanalys (Google Analytics)
• Meta Platforms Inc — marknadsföringsanalys (Facebook Pixel)

6. Lagring och gallring

Kontouppgifter lagras så länge kontot är aktivt. Vid radering tas alla personuppgifter bort permanent.

Placeringsuppgifter hanteras enligt SoL 7 kap 3 §. Plattformen tillhandahåller gallringsfunktioner som raderar data kopplad till avslutade placeringar efter den lagstadgade bevarandetiden (två år efter sista anteckningen).

7. Dina rättigheter

Du har enligt GDPR rätt att:

• Få tillgång till dina personuppgifter (Art. 15) — via Inställningar → Data & integritet
• Begära rättelse av felaktiga uppgifter (Art. 16)
• Begära radering av ditt konto och all data (Art. 17) — via Inställningar → Data & integritet
• Begära begränsning av behandling (Art. 18)
• Invända mot behandling (Art. 21)
• Lämna klagomål till Integritetsskyddsmyndigheten (IMY)

Kontakta oss på support@omsio.se för att utöva dina rättigheter.

8. Incidenthantering

Vid personuppgiftsincident meddelar vi berörda verksamheter inom 72 timmar i enlighet med GDPR Art. 33.

9. Cookies och lokal lagring

Nödvändiga cookies (krävs för att tjänsten ska fungera)

• sb-auth-token — Inloggningssession (Supabase Auth) — sessionen
• sb-refresh-token — Förnyelse av session — 7 dagar

Lokal lagring (localStorage)

• Inloggningssession (Supabase auth tokens)
• Användarinställningar (tema, layout)

Denna data skickas aldrig till tredje part och raderas vid utloggning.

Analyscookies (enbart på omsio.se, ej i appen)

• _ga — Google Analytics — 2 år
• _fbp — Facebook Pixel — 3 månader

Vi använder inga tredjepartscookies för reklam. I den inloggade plattformen används enbart nödvändiga cookies.

10. Ändringar

Vi kan uppdatera denna policy. Väsentliga ändringar meddelas via e-post eller i plattformen.