Integritetspolicy

1. Vem är personuppgiftsansvarig?

Ludvig Holmgren ("Outsourca", "vi") är personuppgiftsansvarig för behandlingen av personuppgifter som beskrivs i denna policy. Vid frågor om hur vi hanterar personuppgifter, kontakta oss på ludvig@outsourca.se.

2. Vilka uppgifter samlar vi in

Vilka uppgifter vi samlar in beror på hur du använder tjänsten:

• Besökare som kontaktar en leverantör (utan konto): e-postadress, meddelandetext, syfte (offert/möte/fråga/annat), tidsram, budget och eventuellt vald ort. Om du senare skapar ett konto med samma e-postadress kopplas förfrågan till kontot.
• Köpare med konto: e-postadress, koppling till organisation (organisationsnummer), bransch (SNI) och storleksklass (SME) hämtat från din organisations offentliga uppgifter, samt eventuella intresseanmälningar i Scenen (valda kategorier, sökord, behovsbeskrivning, kapacitetsinställningar).
• Leverantörer med konto: e-postadress, roll i organisationen, uppladdade referensuppdrag (inklusive eventuella bilder), samt namn och e-postadress till referenspersoner som anges för stickprovskontroll av referensuppdrag.
• Alla användare: grundläggande teknisk information som krävs för inloggning (sessionscookies via Supabase). Se avsnitt 8 om cookies.

3. Varför behandlar vi dina uppgifter (ändamål och rättslig grund)

När uppgifter om enskilda näringsidkare behandlas — vars organisationsnummer är samma sak som personnummer, se avsnitt 4 och 6 — krävs enligt 3 kap. 10 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning att behandlingen är klart motiverad, inte bara stödd på ett berättigat intresse. Sådana uppgifter döljs därför som utgångspunkt (se avsnitt 4) tills personen själv registrerar konto och samtycker till att synas.

4. Varifrån kommer uppgifterna

Utöver det du själv anger samlar vi in eller kompletterar med uppgifter från:

• SCB (Statistiska centralbyrån) — organisationsuppgifter, bransch (SNI), storleksklass och arbetsställen, hämtat via SCB:s API vid onboarding.
• Upphandlingsmyndighetens statistikdatabas — offentliga upphandlingsdata som ligger till grund för referensuppdrag importerade i tjänsten. Denna data avser i huvudsak organisationer, men kan i enstaka fall omfatta enskilda näringsidkare vars organisationsnummer är samma sak som deras personnummer (se avsnitt 6).
• TED (Tenders Electronic Daily) — används enbart för att föreslå relevanta CPV-kategorier när du söker efter en tjänst i sökflödet, inte för referensuppdragen. Samma undantag för enskilda näringsidkare som ovan kan förekomma även här.

Utöver dessa källor berikas underlaget löpande av självrapporterade referensuppdrag som leverantörer själva lägger till, verifierade via en angiven referensperson (se avsnitt 2 och 3).

Enskilda näringsidkare som förekommer i den importerade upphandlingsdatan visas inte publikt i sökresultat eller på en profilsida, och deras organisationsnummer används aldrig i en webbadress — om inte personen själv aktivt registrerar ett konto på tjänsten och därmed samtycker till att synas.

5. Vilka vi delar uppgifter med

Vi delar aldrig dina uppgifter i marknadsföringssyfte. Uppgifter delas endast med leverantörer som behandlar data för vår räkning enligt personuppgiftsbiträdesavtal:

• Supabase — databas, autentisering och fillagring.
• Resend — utskick av transaktionella e-postmeddelanden (svar på kontaktförfrågan, pitch-notiser).
• Vercel — drift av webbapplikationen.

Din e-postadress delas endast med en specifik leverantör om du själv väljer att kontakta dem. Köparens identitet i Scenen döljs för leverantören fram till dess att köparen aktivt väljer att visa organisationsnamn, eller tills en pitch accepteras.

Supabase-projektet är hostat i Stockholm — data lagras alltså inom EU/EES. Resend lagrar data på servrar i Irland (EU/EES). Eftersom Resend är ett amerikanskt bolag kan visst underhåll/support innebära åtkomst från USA; sådan eventuell överföring omfattas av EU-kommissionens adekvansbeslut för EU-U.S. Data Privacy Framework(Resend är DPF-certifierat) samt av standardavtalsklausuler (SCC) som extra skyddsåtgärd.

Vercels serverfunktioner är konfigurerade att köra i Stockholm (region eu-north-1), det vill säga inom EU/EES. Vercel Inc. är ett amerikanskt bolag och statiska tillgångar (bilder, script) kan cachas i Vercels globala nätverk, men dessa innehåller inga personuppgifter. Eventuell åtkomst från USA vid support/underhåll omfattas av Vercels personuppgiftsbiträdesavtal med standardavtalsklausuler (SCC).

6. Hur länge sparar vi uppgifterna

Vi sparar din data endast så länge det är nödvändigt för att utföra våra avtalsenliga åtaganden gentemot dig, för att fullgöra syftet med behandlingen (se avsnitt 3), eller så länge det krävs enligt lag. Övrig information behandlas så länge det krävs för att uppfylla syftet med respektive behandling. Konkret gäller följande utgångspunkter per kategori:

• Kontoinformation (e-post, organisationskoppling): sparas så länge kontot är aktivt och du använder tjänsten. Vid långvarig inaktivitet, eller om du begär radering, raderas uppgifterna.
• Kontaktförfrågningar utan konto: sparas så länge det krävs för att uppfylla syftet med förfrågan. Skapas inget konto med samma e-postadress inom rimlig tid raderas eller anonymiseras förfrågan.
• Referensuppdrag och referenspersonuppgifter (namn/e-post till referensperson): sparas så länge uppdraget visas i leverantörens profil. Tas uppdraget bort, eller avslutas leverantörens konto, raderas referenspersonens kontaktuppgifter.
• Scenen (intresseanmälningar och pitchar): kopplat till ditt konto och sparas så länge kontot är aktivt enligt samma princip som ovan.
• Importerad upphandlingsdata (Upphandlingsmyndigheten, TED): avser organisationer som är juridiska personer (t.ex. aktiebolag, handelsbolag), inte enskilda individer, och omfattas inte av ovanstående raderingslogik. Undantaget gäller inte enskild firma, vars organisationsnummer räknas som en personuppgift eftersom det baseras på personnumret — sådana uppgifter hanteras enligt samma principer som övrig personuppgiftsbehandling ovan.
• Sessionscookies: raderas när sessionen avslutas, se avsnitt 8.

7. Dina rättigheter

Du har rätt att:

• begära utdrag ur vilka uppgifter vi har om dig (registerutdrag),
• begära rättelse av felaktiga uppgifter,
• begära radering av dina uppgifter ("rätten att bli glömd"),
• invända mot behandling som stödjer sig på berättigat intresse,
• begära begränsning av behandlingen, samt
• klaga till Integritetsskyddsmyndigheten (IMY) om du anser att vi behandlar dina uppgifter felaktigt.

Kontakta oss på ludvig@outsourca.se för att utöva någon av dessa rättigheter.

8. Cookies och liknande tekniker

Vi använder endast nödvändiga cookies för inloggning och sessionshantering (via Supabase Auth) — dessa krävs för att tjänsten ska fungera och kräver inte samtycke. Under sökflödet på startsidan ("Spegeln") sparas dina val tillfälligt i webbläsarenssessionStorage för att bakåtknappen ska fungera korrekt — detta lagras endast lokalt i din webbläsare, skickas inte till oss och rensas när webbläsarfliken stängs. Vi använder i dagsläget inga analys- eller marknadsföringscookies.

9. Ändringar av denna policy

Vi kan komma att uppdatera denna policy. Väsentliga ändringar meddelas via e-post eller en tydlig notis i tjänsten innan de träder i kraft.

10. Kontakt

Ludvig Holmgren
E-post: ludvig@outsourca.se