Översikt
Agrepto Klarhet (”Klarhet”) är en tjänst från Agrepto AB som sammanställer ett företags försäljning, bokförda kostnader och marknadsföring för att visa verklig lönsamhet. Här beskriver vi vilka personuppgifter som behandlas i Klarhet, varför och hur länge, och vilka rättigheter du har.
Ansvarig: Agrepto AB, org.nr 559168-6141, Glasgatan 34A, 731 30 Köping. E-post: mattias@agrepto.se, telefon +46 73 751 87 94.
Agrepto har två roller i Klarhet:
- Personuppgiftsansvarig för uppgifter om dig som har ett användarkonto i Klarhet (avsnitt 02) eller skickar en förfrågan om personlig analys (avsnitt 04).
- Personuppgiftsbiträde för de uppgifter som hämtas från ett anslutet företags system, till exempel butikens ordrar (avsnitt 03). Där är det anslutna företaget personuppgiftsansvarigt och Agrepto behandlar uppgifterna för företagets räkning enligt ett personuppgiftsbiträdesavtal. Har du handlat i en butik som använder Klarhet och vill utöva dina rättigheter vänder du dig i första hand till butiken.
Uppgifter om användare
| Uppgifter | Ändamål | Rättslig grund |
|---|---|---|
| E-postadress och lösenord (lagras bara som hash), organisation och roll | Skapa och administrera ditt konto och ge dig rätt behörighet | Avtal (art. 6.1 b) |
| Vid inloggning med Google: Googles konto-id och e-postadress | Logga in dig utan lösenord | Avtal (art. 6.1 b) |
| Nyckel för tvåstegsverifiering (lagras krypterad) och reservkoder | Skydda ditt konto | Berättigat intresse av säkerhet (art. 6.1 f) |
| Inbjudningar: e-postadress, roll och giltighetstid | Låta en organisation bjuda in dig | Berättigat intresse (art. 6.1 f) |
| Händelselogg: vem som anslutit, ändrat eller kopplat från en integration, med e-postadress och tidpunkt | Spårbarhet och säkerhet för organisationen | Berättigat intresse (art. 6.1 f) |
| Inloggningsförsök (e-postadress och IP-adress lagras bara som hash) | Stoppa försök att gissa lösenord | Berättigat intresse av säkerhet (art. 6.1 f) |
| Betalning med kort: företag med en WooCommerce-, Starweb/Thea Commerce- eller Quickbutik-butik betalar Klarhet med kort via Stripe. Shopify-butiker betalar via Shopify-fakturan och lämnar inga kortuppgifter till Agrepto. Vid kortbetalning: företagets namn, ägarens e-postadress, faktureringsadress och momsnummer. Kortuppgifterna lämnas direkt till Stripe. I Klarhet sparas bara Stripes referenser och kortets typ och fyra sista siffror. | Ta betalt för Klarhet och skicka fakturor | Avtal (art. 6.1 b). Fakturor sparas enligt bokföringslagen (art. 6.1 c). |
Uppgifter från anslutna tjänster
Ett företag som använder Klarhet väljer själv vilka tjänster som ansluts. Klarhet läser bara uppgifterna och kan inte ändra annonser, ordrar eller bokföring. Vi hämtar så lite som möjligt:
- Shopify: per order bara ordernummer, tidpunkter, status, belopp, valuta, land och marknad. Namn, e-postadresser, adresser och telefonnummer hämtas inte.
- WooCommerce: per order bara ordernummer, tidpunkter, status, belopp, valuta, land och om ordern lades på webben eller i butikens kassa. Ordern läses från butiken, men namn, e-postadresser, adresser och telefonnummer sparas aldrig.
- Starweb/Thea Commerce: per order bara ordernummer, tidpunkter, status, belopp, valuta och land. Butiken skapar själv en API-nyckel som bara får läsa ordrar. Ordern kan innehålla namn, e-postadress, personnummer och adresser, men de läses bara tillfälligt och sparas aldrig.
- Quickbutik: per order bara ordernummer, tidpunkter, status, belopp, krediteringar, valuta och land. Butiken skapar själv en API-nyckel som bara får läsa beställningar. Ordern kan innehålla namn, e-postadress och adresser, men de läses bara tillfälligt och sparas aldrig.
- Fortnox: företagsuppgifter, kontoplan, räkenskapsår, låst period och verifikationsrader med datum, konto och belopp. Verifikationstexter sparas inte.
- Spiris: företagsnamn och organisationsnummer, kontoplan, räkenskapsår, låst period, namn på resultatenheter och projekt samt verifikationsrader med datum, konto och belopp. Verifikationstexter sparas inte. Låst period finns bara i Spiris företagsinställningar, och dem får Klarhet läsa bara med behörigheten att läsa försäljning. Klarhet hämtar ändå aldrig kunder eller fakturor.
- Annonsplattformar (Meta Ads, Google Ads, TikTok Ads, Snapchat Ads, Microsoft Advertising och Pinterest Ads): annonskostnad, antal köp och köpvärde per dag och land, på kontonivå. Inga personuppgifter, inga uppgifter om enskilda besökare och inga annonser, kampanjer, klick eller visningar.
- E-postplattformar (Klaviyo, Omnisend, Rule och Mailchimp): antal köp och omsättning från e-post per dag och land. Kostnaden för e-postplattformen hämtas från bokföringen. Klaviyos köphändelser kan innehålla kunduppgifter och läses då tillfälligt för att fastställa land, men de sparas aldrig. Inga e-postadresser, listor eller mottagare hämtas.
- Riksbanken: valutakurser. Inga personuppgifter.
Uppgifterna används bara för att visa företaget dess egna siffror. De säljs inte, används inte för reklam och delas inte med andra företag som använder Klarhet.
Förfrågningar om personlig analys
När du skickar en förfrågan på sidan Personlig analys sparar vi ditt namn, din e-postadress, vilket paket du är intresserad av och det du skriver om vad ni vill förbättra. Är du inloggad sparas också vilket företag och vilket konto förfrågan kom från.
| Ändamål | Rättslig grund | Hur länge |
|---|---|---|
| Besvara förfrågan, ta fram en offert och kontakta dig om analysen | Åtgärder före ett avtal på din begäran (art. 6.1 b) | Raderas automatiskt 12 månader efter att förfrågan kom in |
Förfrågan sparas i Klarhet och skickas som e-post till Agreptos e-post hos Google Workspace. Bara Agrepto kan se den. Vill du att den raderas tidigare, mejla mattias@agrepto.se. Blir förfrågan ett uppdrag sparas avtal och fakturor enligt bokföringslagen, utanför Klarhet.
Hur länge sparas uppgifterna?
- Kontouppgifter sparas så länge du har ett konto. Företagets ägare kan avsluta Klarhet under Mitt konto. Då raderas företagets konton och all data efter 30 dagar, eller direkt om ägaren väljer det. Vem som godkände användarvillkoren och PUB-avtalet, och när, sparas i tio år efter raderingen som bevis på avtalet. Sedan raderas även det.
- Händelseloggen sparas så länge organisationen använder Klarhet.
- Inloggningsförsök raderas efter ett dygn.
- Förfrågningar om personlig analys raderas 12 månader efter att de kom in.
- Uppgifter från en ansluten tjänst raderas 30 dagar efter att tjänsten kopplats från i Klarhet, eller direkt om företaget väljer det. Ansluts tjänsten igen inom 30 dagar avbryts raderingen.
- När Klarhet avinstalleras i Shopify raderas butikens uppgifter när Shopify begär det, 48 timmar efter avinstallationen.
- Fakturor för Klarhet sparas hos Stripe och i Agreptos bokföring i sju år, enligt bokföringslagen, även om företaget avslutar Klarhet. Kortet tas bort hos Stripe när Klarhet avslutas.
- Tekniska körningsloggar raderas efter 7 dagar, eller efter 30 dagar om körningen misslyckades.
- Raderade uppgifter finns kvar i driftleverantörens krypterade säkerhetskopior i högst tre månader innan kopiorna skrivs över. Säkerhetskopiorna används bara för att återställa Klarhet efter ett fel.
Radering av data från plattformar
Ett företag kan när som helst ta bort Klarhets åtkomst och all data från en plattform: öppna Integrationer i Klarhet, välj plattformen och klicka på Koppla från längst ner. Välj ”Radera all data nu” för att radera direkt. Ta sedan även bort Agreptos åtkomst i plattformen, till exempel appen Agrepto Klarhet under Anslutna appar i Metas affärsverktyg, Klarhets åtkomst i Google Ads, appen Agrepto Klarhet i TikTok, Snapchat, Microsoft Advertising eller Pinterest, API-nyckeln i Klaviyo, Omnisend, Rule eller Mailchimp, nyckeln Klarhet under WooCommerce → Inställningar → Avancerat → REST API, API-nyckeln Klarhet under Inställningar → Starweb API i Starweb, eller API-nyckeln Klarhet under Inställningar → API i Quickbutik. Vill företaget sluta använda Klarhet helt kan ägaren välja Avsluta Klarhet under Mitt konto. Du kan också mejla mattias@agrepto.se och begära radering.
Klarhets användning av information från Googles API:er följer Google API Services User Data Policy, inklusive kraven på begränsad användning (Limited Use).
Vilka tar del av uppgifterna?
- Oderland Webbhotell AB (org.nr 556680-8746) driftar Klarhets servrar och databas på egen hårdvara i Sverige, som vårt personuppgiftsbiträde. Säkerhetskopior tas en gång per dygn och lagras krypterade i ett annat datacenter i Sverige.
- Oderlands leverantörer av serverprogramvara (CloudLinux i USA, WebPros/cPanel och Acronis i Schweiz) kan ta del av teknisk metadata, till exempel domännamn, kontoreferenser och filnamn, för säkerhetsfunktioner, kontrollpanel och säkerhetskopiering. De har ingen åtkomst till innehållet i databasen eller säkerhetskopiorna. Överföringen till USA sker med EU-kommissionens standardavtalsklausuler, och Schweiz har ett beslut om adekvat skyddsnivå.
- Google tar emot din inloggning om du väljer att logga in med Google. Agreptos e-post, där förfrågningar om personlig analys och mejl till oss hamnar, finns hos Google Workspace (Google Cloud EMEA Ltd, Irland). Google kan behandla uppgifter i USA och gör det då enligt EU-kommissionens beslut om EU–US Data Privacy Framework och standardavtalsklausuler.
- Stripe (Stripe Payments Europe Ltd, Irland) tar emot betalningen när ett företag med en WooCommerce-, Starweb/Thea Commerce- eller Quickbutik-butik betalar Klarhet med kort, med de uppgifter som anges i avsnitt 02. Stripe är vårt personuppgiftsbiträde för betalningen och personuppgiftsansvarigt för sin egen kontroll mot bedrägerier och sina lagkrav. Stripe kan behandla uppgifter i USA och gör det då enligt EU–US Data Privacy Framework och EU-kommissionens standardavtalsklausuler.
- De tjänster ett företag ansluter (till exempel Shopify, WooCommerce, Starweb/Thea Commerce, Quickbutik, Fortnox, Spiris, annons- och e-postplattformarna ovan) är egna personuppgiftsansvariga för sin behandling. Klarhet skickar inga personuppgifter till dem, bara begäran om att läsa företagets egna uppgifter.
Uppgifterna i Klarhet lagras och behandlas i Sverige. Utanför EU/EES kan bara den tekniska metadata hos Oderlands leverantörer, Agreptos e-post hos Google och kortbetalningar hos Stripe hanteras, med de skyddsåtgärder som beskrivs ovan.
Så skyddar vi uppgifterna
All trafik krypteras med HTTPS. Åtkomsttoken och API-nycklar till anslutna tjänster lagras krypterade, och hemligheter förvaras utanför webbservern. Säkerhetskopiorna är krypterade och lagras i ett separat datacenter. I databasen sparas order-id bara som nycklade pseudonymer, och ordernummer samt namn, e-post och meddelanden i förfrågningar om personlig analys lagras krypterade. Konton skyddas med tvåstegsverifiering eller inloggning via Google, spärr vid upprepade felaktiga inloggningar och behörigheter per roll. Varje företag har bara åtkomst till sina egna uppgifter.
Dina rättigheter
Du har rätt att få veta vilka uppgifter vi har om dig, att få felaktiga uppgifter rättade, att få uppgifter raderade, att begränsa behandlingen, att invända mot behandling som grundar sig på berättigat intresse och att få ut uppgifter du själv lämnat i ett maskinläsbart format. Kontakta mattias@agrepto.se.
Är du missnöjd med hur vi behandlar dina personuppgifter kan du lämna klagomål till Integritetsskyddsmyndigheten (IMY), imy.se.
Ändringar
Vi uppdaterar policyn när Klarhet ändras. Datumet högst upp visar när den senast ändrades. Vid större ändringar informerar vi användarna i Klarhet.