Säkerhet och data

Vilken data behandlas?

Plattformen är byggd för företagsdata om leverantörer, avtal, kostnader, datum och villkor. Den behandlar även den e-postadress som används för inloggning och de kontaktuppgifter som kan förekomma i uppladdade avtalsdokument eller fritextanteckningar.

Löneuppgifter, skatteuppgifter, hälsouppgifter och andra känsliga personuppgifter ska inte läggas in. Det betyder inte att plattformen är fri från personuppgifter: namn, e-post och telefonnummer kan förekomma i avtal och anteckningar.

Lagring och dataflöde

1. Uppladdning. Originalfiler lagras i Supabase Storage.
2. Strukturering. Avtalsuppgifter, konto- och användningsdata lagras i Supabase Postgres. Inloggning hanteras med Supabase Auth.
3. SIE4-import. Originalfilen behandlas i minnet och sparas inte. Endast transaktionsrader på tillåtna konton för externa leverantörskostnader sparas som underlag och förslag; löner, skatt och kundinbetalningar sorteras bort.
4. AI-avläsning. Avtalsinnehållet skickas till Anthropics API för att föreslå leverantör, belopp, datum och villkor. Förslagen ska granskas av kunden.
5. Visning. Plattformen körs på Vercel och hämtar den data som det inloggade kontot har rätt att se.

Plattformens Supabase-projekt är konfigurerat i eu-north-1 (Stockholm) för databas, inloggning och fillagring. Vercel Functions är konfigurerade för arn1 (Stockholm). Det betyder inte att all behandling sker i Sverige: Vercels globala nätverk och leverantörer som Anthropic kan innebära behandling eller överföring utanför Sverige. Aktuella regioner, mottagarländer och överföringsskydd ska framgå av kundens personuppgiftsbiträdesavtal.

Hur avgränsas åtkomsten?

Kunddata avgränsas med radnivåregler i databasen och sökvägar per konto för uppladdade filer. Vanliga kundvyer filtrerar även på det inloggade kontots användar-id.

Sparaa behöver i vissa arbetsflöden kunna se uppgifter som kunden uttryckligen skickat för förhandling, support eller uppföljning. Sådan administrativ åtkomst är avgränsad till arbetsflödet och ska inte blandas ihop med en annan kunds vanliga produktvy.

Export, radering och vad som händer efter uppsägning

Varje inloggad person kan under Inställningar ladda ner en maskinläsbar fil med uppgifter knutna till den egna inloggningen och tillfälliga länkar till filer personen själv laddat upp. Kollegors egna rader ingår inte, så funktionen ska inte beskrivas som en fullständig export av det gemensamma bolagskontot.

Begär fullständig återlämning för bolagskontot eller radering genom att mejla felix@sparaa.com. De delarna hanteras manuellt; plattformen har i dag ingen automatisk kontoradering.

Efter uppsägning begränsas den fortsatta behandlingen och uppgifterna hanteras enligt kundens skriftliga instruktion och gällande personuppgiftsbiträdesavtal. Automatisk radering efter en bestämd tidsfrist är inte byggd. Underlag som Sparaa måste bevara enligt lag undantas från en raderingsbegäran.

Underleverantörer och personuppgiftsbiträdesavtal

Ett personuppgiftsbiträdesavtal ska finnas innan Sparaa behandlar personuppgifter för kundens räkning. Be om aktuellt avtal och underleverantörslista via felix@sparaa.com.