Integritetspolicy

Kort version

Vad vi sparar om dig: kontaktuppgifter (namn, e-post, telefon, företag, roll) och det du skriver till oss. Besöker du hemsidan sparas tekniska uppgifter som IP-adress i serverloggar.
Varför: för att svara dig, sköta avtalet med ditt företag, ge support, ta betalt och ibland erbjuda Impetus till företag i byggbranschen.
Hur länge: bara så länge det behövs. Till exempel högst 12 månader för förfrågningar som inte leder till avtal, sju år för bokföring (se avsnitt 6).
Vi säljer aldrig dina uppgifter. Vi använder ingen reklam och inga analysverktyg från tredje part.
Det som läggs in i appen (tidrapporter, dagbok, chatt, kunder m.m.) är ditt arbetsgivares eller ditt företags ansvar. Vi hanterar de uppgifterna bara på företagets uppdrag (se avsnitt 1).

Vem som ansvarar

CN Agency, innehavare Theodore Norström, Sikvägen 11, Sverige ("CN Agency", "vi", "oss"), tillhandahåller tjänsten Impetus, en webbapp (PWA) för hantverks- och entreprenadföretag inom bygg, VVS, el, industri och mark.

Denna policy beskriver hur vi behandlar personuppgifter när vi själva bestämmer över dem (vi är då personuppgiftsansvarig). Den gäller för besökare på Impetus hemsida, personer som kontaktar oss eller registrerar ett företag, kontaktpersoner hos våra kundföretag och personer vi kontaktar för att erbjuda tjänsten. Vi följer EU:s dataskyddsförordning (GDPR) och svensk kompletterande lagstiftning.

1. Två roller: ansvarig och biträde

1.1 För uppgifterna i denna policy (besökare, kontakter, leads och kundföretagens kontaktpersoner) är CN Agency personuppgiftsansvarig.

1.2 För uppgifter som läggs in inne i ett kundföretags konto i Impetus (till exempel uppgifter om kundens anställda, kundens kunder, slutkunder i kundportalen, tidrapporter, dagbok, chatt, frågor till AI-assistenten, foton och dokument) är det kundföretaget som är personuppgiftsansvarig. CN Agency är då personuppgiftsbiträde. Det betyder att vi hanterar uppgifterna bara på kundföretagets uppdrag, som en underleverantör, enligt personuppgiftsbiträdesavtalet (PUB-avtalet) som ingår i avtalet om tjänsten. Denna policy gäller inte för den behandlingen.

1.3 Är du anställd hos ett företag som använder Impetus, eller kund till ett sådant företag, ska du därför i första hand vända dig till det företaget med frågor om dina uppgifter. Vi hjälper företaget att svara enligt PUB-avtalet.

2. Kontaktuppgifter

CN Agency Theodore Norström Sikvägen 11, Sverige E-post: info@cnagency.se

CN Agency har inget dataskyddsombud, eftersom verksamhetens art och omfattning inte kräver det. Frågor om dataskydd skickas till e-postadressen ovan.

3. Vilka uppgifter vi behandlar, varför och med vilket lagstöd

Vi får bara behandla personuppgifter om vi har stöd i lagen (en "rättslig grund"). Oftast använder vi intresseavvägning: vi har ett berättigat intresse av behandlingen och har bedömt att det väger tyngre än ditt intresse av att den inte sker. Artikelhänvisningarna avser GDPR.

3.1 Besökare på hemsidan

Uppgifter: teknisk information som behövs för att visa sidan, till exempel IP-adress, webbläsartyp, tidpunkt och begärd sida. Den sparas i serverloggar hos vår driftleverantör Render (Frankfurt). Uppstår ett fel skickas en felrapport till Sentry, utan e-post, personnummer och telefonnummer.

Typsnitten är inbyggda i hemsidan och appen. Din webbläsare hämtar inget från Google eller andra när du besöker oss.

Varför: för att visa webbplatsen, hålla den säker och felsöka driftstörningar.

Lagstöd: intresseavvägning (art. 6.1 f). Vårt intresse är att webbplatsen fungerar och är säker. Vi använder ingen analys- eller reklamspårning (se avsnitt 7).

3.2 Personer som använder kontaktformuläret eller mejlar oss

Uppgifter: namn, e-postadress, telefonnummer om du anger det, företagsnamn och ditt meddelande. Meddelanden från kontaktformuläret sparas i vårt kundsystem, som drivs av Render i Frankfurt. Mejl till info@cnagency.se sparas hos vår e-postleverantör (se avsnitt 4).

Varför: för att svara på din fråga, boka demo och föra dialog om tjänsten.

Lagstöd: se avsnitt 3.4.

3.3 Personer som registrerar ett företag i Impetus

Uppgifter: företagsnamn, organisationsnummer, adress, bransch, ditt namn, e-postadress, telefonnummer och den PIN-kod du väljer för inloggning (den sparas bara som en hash, aldrig i klartext). När du godkänner villkoren sparar vi vilken version du godkände, tidpunkten, IP-adressen och vilken webbläsare du använde, så att vi kan visa vad som avtalats. Organisationsnumret kan slås upp hos Bolagsverket för att kontrollera att företaget finns. Driver du enskild firma är organisationsnumret ditt personnummer.

Betalning: du betalar med kort via vår betalleverantör Stripe. Kortuppgifterna lämnar du direkt till Stripe, och vi ser aldrig kortnumret. Vi får veta att betalningen gått igenom, och Stripe har fakturaadress, e-post och momsnummer för kvittot.

E-post från oss: orderbekräftelse, bekräftelse av e-postadressen och viktiga meddelanden om kontot skickas från app@impetus.nu via vår e-postleverantör.

Varför: för att skapa och administrera kontot, ingå och fullgöra avtalet om tjänsten, ta betalt, ge support och informera om tjänsten (driftinformation, planerat underhåll, ändringar av villkor och priser).

Lagstöd: se avsnitt 3.4.

3.4 Kontaktpersoner hos kundföretag

Uppgifter: namn, e-postadress, telefonnummer, roll, företag och vår kommunikation med dig (supportärenden, avtalsfrågor, fakturafrågor).

Varför: för att sköta kundrelationen, ge support, fakturera, skicka betalningspåminnelser, informera om tjänsten och hantera avtalsfrågor.

Lagstöd för 3.2–3.4:

Företräder du ett aktiebolag eller annat företag: intresseavvägning (art. 6.1 f). Vårt och ditt företags intresse är att vi kan svara på förfrågningar och ingå och fullgöra avtalet med företaget.
Driver du enskild firma är du själv avtalspart. Då är lagstödet i stället avtal (art. 6.1 b), alltså att behandlingen behövs för att ingå eller fullgöra avtalet med dig.
Fakturor och bokföringsunderlag sparar vi för att bokföringslagen kräver det (rättslig förpliktelse, art. 6.1 c).

3.5 Företag vi kontaktar för att erbjuda Impetus

Uppgifter: namn, befattning, e-postadress eller telefonnummer i jobbet, företagsnamn, bransch och anteckningar om kontakten (när vi hört av oss och vad som sagts).

Källa: företagets egen webbplats, offentliga register eller branschkataloger. Har du själv anmält intresse kommer uppgifterna från dig.

Varför: för att erbjuda Impetus till företag inom bygg, VVS, el, industri och mark genom e-post eller telefon till personer i deras yrkesroll.

Lagstöd: intresseavvägning (art. 6.1 f). Vårt intresse är att marknadsföra tjänsten till företag. Vi kontaktar dig bara i din yrkesroll och bara om sådant som är relevant för företagets verksamhet. Har du själv anmält intresse är lagstödet åtgärder inför ett avtal (art. 6.1 b).

Så här gör vi:

Enskilda firmor räknas som privatpersoner enligt marknadsföringslagen. Dem skickar vi inte reklam via e-post eller SMS utan samtycke; vi kontaktar dem i så fall per telefon.
Första gången vi kontaktar dig berättar vi var vi har fått dina uppgifter och länkar till denna policy.
Du kan när som helst säga nej till fler kontakter, till exempel genom att svara "STOPP" eller mejla info@cnagency.se. Då slutar vi omedelbart och för upp dig på en spärrlista så att du inte kontaktas igen.

3.6 Referenser

Vill vi använda ditt namn eller ett citat från dig som referens frågar vi dig först (samtycke, art. 6.1 a). Du kan ångra dig när som helst. Användning av kundföretagets namn och logotyp regleras i de allmänna villkoren.

4. Vilka som får del av uppgifterna

4.1 CN Agency säljer aldrig personuppgifter. Vi lämnar bara ut uppgifter till leverantörer som behövs för att driva tjänsten och verksamheten, och till myndigheter när lagen kräver det.

4.2 Dessa leverantörer behandlar uppgifter för vår räkning i de behandlingar som beskrivs i denna policy:

Render Services, Inc. (USA-bolag) – drift av server och databas. Uppgifterna lagras i region Frankfurt (EU). Om uppgifter nås från USA, till exempel vid support, gäller skyddet i avsnitt 5.
Resend, Inc. (USA) – utskick av e-post från app@impetus.nu, till exempel orderbekräftelser.
Functional Software, Inc. (Sentry) (USA) – felrapporter från hemsidan och appen, utan e-post, personnummer och telefonnummer.
Stripe (Stripe Payments Europe, Ltd., Irland, med Stripe, Inc. i USA) – kortbetalning, kvitton och kundportalen för kort och kvitton. Stripe är själv personuppgiftsansvarig för en del av behandlingen, till exempel för att förebygga bedrägerier och följa lagar om betalningar.
Vår e-postleverantör – e-post och kalender för info@cnagency.se. Vilken leverantör och vilket land får du veta om du frågar oss. Finns leverantören utanför EU/EES gäller skydden i avsnitt 5.
Bolagsverket – uppslag av organisationsnummer när ett företag registreras.
Google LLC och Microsoft Corporation (USA) – kalender, filer och mejl, endast om du själv kopplar ditt Google- eller Microsoft-konto till tjänsten. Du kan ta bort kopplingen när som helst.

4.3 Fortnox AB och Visma Spiris AB (Spiris) är kundföretagets egna system som företaget självt väljer att koppla till Impetus. De behandlar uppgifter för kundföretagets räkning, inte för vår, enligt kundens avtal med respektive leverantör.

4.4 Uppgifter inne i kundens konto omfattas av PUB-avtalet, där hela listan över underbiträden finns (Bilaga 2). Där ingår bland annat AI-funktionerna, som bygger på Claude från Anthropic, PBC (USA). Det som behövs för att svara, till exempel frågor till Copilot, skickas till Anthropic. Anthropic använder dem inte för att träna sina modeller och raderar dem inom 30 dagar. Innehåll som Anthropics säkerhetssystem flaggar som missbruk kan sparas i upp till två år. (Källa: Anthropics integritetscenter, privacy.claude.com, kontrollerad 2026-10-21.)

5. Överföring till länder utanför EU/EES

5.1 Uppgifterna i Impetus lagras inom EU/EES (Frankfurt). Några leverantörer är bolag i USA: Render Services, Inc., Resend, Inc., Functional Software, Inc. (Sentry), Stripe, Inc., Google LLC och Microsoft Corporation om du kopplar ditt konto, samt Anthropic, PBC för AI-funktionerna inne i kundens konto.

5.2 När uppgifter förs över till USA skyddas de av EU-kommissionens standardavtalsklausuler och, när leverantören är certifierad, av EU-US Data Privacy Framework (EU-kommissionens beslut om att skyddsnivån är tillräcklig). Om Data Privacy Framework skulle upphöra att gälla använder vi standardavtalsklausuler.

5.3 Du kan få en kopia av skyddsåtgärderna genom att mejla info@cnagency.se.

6. Hur länge vi sparar uppgifterna

6.1 Vi sparar personuppgifter bara så länge de behövs. Som huvudregel gäller:

Serverloggar (besökare): högst 90 dagar.
Förfrågningar som inte leder till avtal: högst 12 månader från sista kontakt. Förfrågningar från hemsidan gallras automatiskt efter 12 månader.
Konto och kundrelation: under avtalstiden. Efter avslut kan kundföretaget under 30 dagar be om en export. Kontots uppgifter raderas senast 90 dagar efter avslut. Bevis om vilka villkor som godkändes sparas så länge avtalet gäller och därefter så länge ett anspråk kan riktas, högst tio år.
Betalningar: Stripe sparar betalningsuppgifter enligt sina villkor och de lagar som gäller för betalningar.
Fakturor och bokföringsunderlag: sju år efter utgången av det räkenskapsår de avser, enligt bokföringslagen.
Leads: högst 12 månader från att uppgiften hämtades eller från sista kontakt, om kontakten inte lett till en dialog. Har du sagt nej till fler kontakter sparar vi bara det som behövs för spärrlistan (normalt namn och e-postadress eller telefonnummer) så länge det behövs för att respektera ditt nej.
Supportärenden: 24 månader efter att ärendet avslutats, för att kunna följa upp återkommande fel.
Säkerhetskopior: tas dagligen och lagras i EU/EES. De skrivs över löpande och är raderade senast 90 dagar efter att ett konto avslutats.

6.2 Vi går igenom och rensar uppgifter manuellt minst en gång per kvartal. Uppgifter vars lagringstid har gått ut raderas eller anonymiseras.

7. Cookies och lagring på din enhet

7.1 Impetus använder bara cookies och lagring i webbläsaren som behövs för att tjänsten ska fungera:

Inloggning: när du loggar in sparas en inloggningsbiljett med uppgift om ditt företag och din person i webbläsarens lokala lagring (localStorage). Den gäller i två dygn. Telefonen kan dessutom komma ihåg dig i 90 dagar, så att du loggar in igen med bara din PIN. Båda tas bort när du loggar ut.
Cookie för bilder: en cookie som bara skickas när appen hämtar bilder och filer, så att de visas för den som är inloggad. Den kan inte läsas av skript och gäller lika länge som inloggningen.
Cookie vid koppling: när du kopplar till exempel Fortnox eller Google sätts en kortlivad cookie som skyddar kopplingen mot förfalskning.
Offline-kö: ändringar du gör utan täckning, till exempel tidrapporter och dagboksanteckningar, sparas på enheten tills de har skickats till servern. Därefter tas de bort från kön.
Offline-cache: appens sidor, bilder och ritningar, och de uppgifter du får se i appen, sparas på enheten så att appen fungerar utan täckning.

Betalar du med kort sker det på Stripes egna sidor, och då gäller Stripes cookies och villkor.

7.2 Vi använder ingen tredjepartsspårning, inga analysverktyg från tredje part och ingen reklam. Eftersom vi bara använder lagring som är nödvändig för tjänsten krävs inget samtycke enligt 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation. Därför visar vi ingen cookiebanner.

7.3 När du loggar ut tas inloggningen bort. Cachade sidor, bilder, ritningar och uppgifter ligger kvar på enheten tills du rensar webbläsardata. Använder du en delad enhet bör du därför rensa webbläsardata efter användning. Ändringar som ännu inte skickats till servern går förlorade om du rensar innan du haft täckning.

8. Dina rättigheter

8.1 Du har följande rättigheter gentemot oss:

Få veta och få en kopia: du kan få besked om vi behandlar uppgifter om dig och i så fall få en kopia (art. 15).
Rättelse: du kan få felaktiga eller ofullständiga uppgifter rättade (art. 16).
Radering: du kan få uppgifter raderade när de inte längre behövs, när du invänt och vi saknar starkare skäl, eller när behandlingen är olaglig (art. 17). Det gäller inte uppgifter vi måste spara enligt lag, till exempel bokföring.
Begränsning: du kan få behandlingen begränsad i vissa fall, till exempel medan en invändning prövas (art. 18).
Flytta dina uppgifter: du kan få ut uppgifter du själv lämnat i ett maskinläsbart format, när behandlingen bygger på avtal eller samtycke (art. 20).
Invända: du kan invända mot behandling som bygger på intresseavvägning (art. 21). Mot marknadsföring gäller rätten alltid; då slutar vi omedelbart.
Ta tillbaka samtycke: bygger behandlingen på samtycke kan du ta tillbaka det när som helst. Det påverkar inte behandling som redan skett.

8.2 Mejla info@cnagency.se för att använda dina rättigheter. Vi bekräftar normalt inom en arbetsdag och ger besked senast inom en månad. Är ärendet komplicerat, eller kommer många begäranden, kan tiden förlängas med två månader; då meddelar vi dig inom den första månaden. Vi kan behöva kontrollera din identitet innan vi lämnar ut uppgifter.

8.3 Gäller din begäran uppgifter inne i ett kundföretags konto (avsnitt 1.2) skickar vi den vidare till kundföretaget, som ansvarar för att svara.

9. Automatiska beslut

Vi fattar inga beslut om dig som enbart bygger på automatisk behandling och som har rättsliga eller liknande betydande följder för dig. AI-funktionerna ger förslag och sammanställningar. Svaren kan vara fel och ska alltid granskas av den som använder tjänsten.

10. Säkerhet

10.1 Vi skyddar uppgifterna med åtgärder som passar risken, bland annat krypterad trafik (HTTPS), PIN-koder som bara sparas som hash, behörigheter efter roll, tvåstegsinloggning för vår egen åtkomst, daglig säkerhetskopiering och lagring inom EU/EES (Frankfurt).

10.2 Om en säkerhetsincident drabbar uppgifter som vi ansvarar för anmäler vi den till Integritetsskyddsmyndigheten (IMY) inom 72 timmar, om det inte är osannolikt att den medför risk för dig. Är risken hög informerar vi dig utan onödigt dröjsmål. Incidenter som rör uppgifter inne i ett kundföretags konto rapporterar vi till kundföretaget enligt PUB-avtalet.

11. Klagomål

Tycker du att vi hanterar dina uppgifter fel får du gärna kontakta oss först på info@cnagency.se så att vi kan rätta till det. Du har alltid rätt att klaga hos tillsynsmyndigheten:

Integritetsskyddsmyndigheten (IMY) Box 8114, 104 20 Stockholm E-post: imy@imy.se Webb: www.imy.se

12. Ändringar av denna policy

12.1 Vi kan uppdatera policyn när tjänsten, lagstiftningen eller våra leverantörer ändras. Väsentliga ändringar meddelas via e-post till kundföretagens kontaktpersoner och i appen minst 30 dagar innan de börjar gälla. Den aktuella versionen finns alltid på Impetus hemsida med versionsnummer och datum.

12.2 Denna version är 1.1 och gäller från 2026-11-10.

13. Kontakt

Frågor om denna policy eller om hur vi hanterar personuppgifter:

CN Agency Sikvägen 11, Sverige E-post: info@cnagency.se Support: vardagar 08–17