Integritetspolicy

1. Vem är personuppgiftsansvarig?

Luvid AB (559607-3717) tillhandahåller tjänsten Luvid ("tjänsten"). Kontakta oss genom vårt kontaktformulär.

Vår roll beror på vilka uppgifter det gäller:

Personuppgiftsansvarig: för de uppgifter om dig som användare som behövs för att tjänsten ska fungera (konto, inloggning, kommunikation och driftsäkerhet).
Personuppgiftsbiträde: för de uppgifter du själv matar in i tjänsten om andra personer, till exempel anställda, kunder och leverantörer. För den datan är det du eller ditt bolag som är personuppgiftsansvarig, och vi behandlar den bara på dina instruktioner.

2. Vilka personuppgifter behandlar vi?

Uppgifter du själv lämnar till oss

Kontouppgifter: namn, e-postadress, telefonnummer och adress (när du skapar konto eller lägger till dem efteråt)
Företagsuppgifter: företagsnamn, organisationsnummer, adress, momsregistreringsnummer och liknande uppgifter för ditt eller dina bolag
Bokföringsdata: poster, belopp, motparter, bilagor och annan information du bokför i tjänsten
Uppgifter om anställda och kunder: om du använder löner, fakturor eller kontaktregister kan du lägga in uppgifter om andra personer, till exempel namn, personnummer, bankkonto och lön. Särskilt skyddade uppgifter (personnummer, clearing- och kontonummer) går inte att läsa direkt via vårt gränssnitt för användare med enbart läsrättighet
Kommunikation: det du skriver i kontaktformuläret eller när du anmäler dig till pilottestet, samt din e-postadress, så att vi kan svara

Uppgifter som skapas när du använder tjänsten

Inloggningssession: en cookie som håller dig inloggad (se avsnitt 4)
Val av aktivt bolag: en cookie som minns vilket av dina bolag som senast var valt
Tvåstegsverifiering: om du aktiverar den lagras en säkerhetsnyckel för din autentiseringsapp hos vår inloggningsleverantör
Ändringslogg: för varje ändring i ett bolag sparas vem som gjorde den (namn/e-postadress), vad som ändrades, när, och från vilken IP-adress. Loggen är synlig för bolagets administratörer och redigerare
Inbjudningar: när du bjuds in till ett bolag sparas den inbjudna e-postadressen tills inbjudan har besvarats, återkallats eller gått ut (länken är giltig i 14 dagar)
Namn i tjänsten: ditt visningsnamn visas för andra medlemmar i samma bolag, till exempel som "Bokförd av"
Tekniska loggar: våra driftleverantörer (hosting och databas) sparar tekniska loggar (till exempel IP-adress, tidpunkt och vilken sida som begärdes) för drift och felsökning
E-postloggar: vår e-postleverantör sparar adress, tid och innehåll för de mejl som tjänsten skickar (till exempel inloggnings- och inbjudningsmejl)
Felrapporter: när ett oväntat fel uppstår skickas en teknisk felrapport till vår felövervakning. Innan den skickas tas användaruppgifter, förfrågningsinnehåll, headers samt e-postadresser och nummerföljder (t.ex. personnummer) bort
Skydd mot missbruk: för kontaktformulär, pilottestanmälan och inbjudningar räknas antalet försök per IP-adress. Adressen sparas bara som ett oåterkalleligt hashvärde, i högst två dygn

Vi använder inga analys-, marknadsförings- eller spårningscookies.

3. Varför behandlar vi dina uppgifter, och med vilket stöd?

Tillhandahålla och drifta tjänsten (bokföring, inloggning, bolagshantering, tvåstegsverifiering): rättslig grund är fullgörande av avtal
Svara på kontaktformulär och pilottestanmälningar: rättslig grund är berättigat intresse, eftersom du själv har tagit kontakt
Uppfylla bokföringslagens krav på lagring av räkenskapsinformation: rättslig grund är rättslig förpliktelse
Felsökning, felövervakning, ändringslogg och skydd mot missbruk: rättslig grund är berättigat intresse, nämligen en trygg och driftsäker tjänst

4. Cookies och liknande lagring

Se vår Cookiepolicy för en fullständig lista över vilka cookies vi använder, varför, och hur länge de sparas. Kort sammanfattat: vi använder just nu bara cookies som krävs för att tjänsten ska fungera (inloggning och val av bolag). Inga analys-, marknadsförings- eller spårningscookies.

5. Vem delar vi uppgifter med?

Vi delar uppgifter med ett fåtal underleverantörer (personuppgiftsbiträden) som hjälper oss driva tjänsten:

Supabase – inloggning, databas och fillagring (all din bokföringsdata och dina bilagor). Uppgifterna behandlas i Stockholm, Sverige
Vercel – hosting och drift av webbapplikationen. Funktionerna körs i Stockholm, Sverige. Statiska filer och driftloggar kan hanteras inom leverantörens globala nätverk
Resend – utskick av e-post: inloggnings- och återställningsmejl, medlemsinbjudningar samt svar via kontaktformulär och pilottestanmälan. Utskicken sker från en EU-region (Irland). Leverantören är ett amerikanskt bolag och viss behandling sker i USA
Sentry – felövervakning (tekniska felrapporter, utan användaruppgifter). Lagras i leverantörens EU-region. Leverantören är ett amerikanskt bolag
Loopia – våra e-postkonton och domäner. Uppgifterna behandlas i Sverige
Moderbolag inom koncernen – drift, support och utveckling av tjänsten, med begränsad åtkomst till uppgifter när det behövs. Uppgifterna behandlas i Sverige

Din bokföringsdata lagras i Stockholm. Fyra av leverantörerna (Supabase, Vercel, Resend och Sentry) tillhör bolag med säte i USA. Överföring av personuppgifter dit sker bara med lämpliga skyddsåtgärder enligt GDPR: EU-kommissionens standardavtalsklausuler, och för vissa leverantörer även att de är certifierade enligt EU–US Data Privacy Framework.

Vi säljer aldrig dina uppgifter till tredje part, och delar dem inte i marknadsföringssyfte.

6. Hur länge sparar vi uppgifterna?

Bokföringsdata: i sju år efter utgången av det kalenderår då räkenskapsåret avslutades, i enlighet med bokföringslagen
Kontouppgifter: så länge du har ett aktivt konto, plus en rimlig tid efter avslutat konto för att kunna uppfylla rättsliga skyldigheter
Ändringslogg: till och med det åttonde kalenderåret efter händelsen, vilket täcker bokföringslagens sju år. IP-adressen i loggen sparas dock bara i tolv månader
Kontaktformulär och pilottestanmälan: så länge det krävs för att upprätthålla en dialog, dock högst ett år efter senaste kontakten
Inbjudningar: tills de besvarats eller återkallats. Länken är giltig i 14 dagar och en utgången inbjudan raderas automatiskt, senast ett dygn efter att den gått ut
Försök för missbruksskydd (hashade IP-adresser): högst två dygn
Driftloggar (hosting): sparas i en timme hos vår hostingleverantör
Databas- och inloggningsloggar: sparas i ett dygn hos vår databasleverantör
E-postloggar (e-postadress och innehåll i utskickade mejl): sparas i 30 dagar hos vår e-postleverantör
Felrapporter: sparas i 30 dagar hos vår felövervakningsleverantör

Tiderna gäller de planer vi har idag och kan bli längre om vi byter plan; vi uppdaterar då denna sida.

7. Dina rättigheter

Enligt GDPR har du rätt att:

få tillgång till de uppgifter vi har om dig (registerutdrag)
få felaktiga uppgifter rättade
begära radering av dina uppgifter (med undantag för det bokföringslagen kräver att vi sparar)
invända mot viss behandling
begränsa behandlingen i vissa fall
få ut dina uppgifter i ett maskinläsbart format (dataportabilitet). Din bokföring kan du själv exportera som SIE-fil när som helst
lämna klagomål till Integritetsskyddsmyndigheten (IMY), imy.se

Kontakta oss genom vårt kontaktformulär för att utöva någon av dessa rättigheter. Gäller din fråga uppgifter som ditt eller ett annat bolag har lagt in (till exempel en anställds personuppgifter) hänvisar vi dig till det bolaget, som är ansvarigt för dem.

8. Säkerhet

Vi vidtar tekniska och organisatoriska åtgärder för att skydda dina uppgifter, bland annat:

kryptering av data under överföring
åtkomst per bolag med olika roller (administratör, redigerare, läsare)
frivillig tvåstegsverifiering för inloggning
särskilt skydd för känsliga uppgifter som personnummer och kontonummer
ändringslogg över vad som görs i varje bolag
begränsad åtkomst till produktionsdata

9. Ändringar i denna policy

Vi kan uppdatera denna policy vid behov, till exempel om vi börjar använda nya verktyg som påverkar vilka uppgifter vi samlar in. Väsentliga ändringar meddelas på lämpligt sätt.

Senast uppdaterad: 2026-10-15