Integritetspolicy

1. Personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen av personuppgifter i denna webbplats (Scanvat OAR-portalen) är:

Scanvat AB
E-post: info@scanvat.com

2. GDPR-principer vi följer

• Laglighet, korrekthet och öppenhet – vi behandlar uppgifter med tydlig rättslig grund och informerar dig om hur de används.
• Ändamålsbegränsning – uppgifter samlas in för specifika och berättigade ändamål och används inte för andra ändamål.
• Uppgiftsminimering – vi samlar bara in de uppgifter som krävs för att uppfylla ändamålet.
• Korrekthet – du har rätt att begära rättelse av felaktiga uppgifter.
• Lagringsbegränsning – uppgifter sparas inte längre än nödvändigt.
• Integritet och konfidentialitet – uppgifter skyddas med kryptering, åtkomstkontroll och Row-Level Security i databasen.

3. Vilka uppgifter vi behandlar

För att kunna registrera och rapportera OAR-uppdrag (RF-1198/RF-1199) till norska Skatteetaten samlar vi in följande:

• Kontouppgifter: namn, e-post, företagstillhörighet och roll (användare/admin).
• Uppdragsdata: kontraktsuppgifter, parter, arbetsplats, perioder och ekonomi.
• Arbetstagaruppgifter (RF-1198): namn, födelsedatum, medborgarskap, ID-handling, D-nummer, hemadress, kontaktuppgifter, arbetsperioder och ID-dokument (uppladdade filer).
• Tekniska loggar: tidpunkter för ändringar, samtyckesloggar (innehåller hashad fingeravtryck och user-agent — inte rå IP-adress).

4. Rättslig grund

• Rättslig förpliktelse (artikel 6.1 c GDPR) — uppgifter om arbetstagare och uppdrag måste rapporteras enligt norsk skattelag.
• Avtal (artikel 6.1 b GDPR) — för att tillhandahålla portalen till vår kund.
• Berättigat intresse (artikel 6.1 f GDPR) — för säkerhetsloggning och förhindrande av missbruk.

5. Lagringstid

Uppdragsdata och tillhörande personuppgifter sparas i 5 år efter det att uppdraget publicerats. Detta motsvarar bokförings- och dokumentationskraven från Skatteetaten/Skatteverket. Därefter raderas eller anonymiseras uppgifterna.

Samtyckesloggar sparas under samma tid som ett bevis på laglig behandling. Inaktiva användarkonton kan raderas tidigare på begäran.

6. Cookies

Vi använder endast nödvändiga cookies / lokal lagring för:

• Inloggningssession (krävs för att använda tjänsten).
• Språkval (no/sv/da/en).
• Att komma ihåg att du sett vår cookie-information.

Vi använder inga cookies för analys, spårning eller marknadsföring. Inga uppgifter delas med tredje part i marknadsföringssyfte.

7. Mottagare och underleverantörer

• Skatteetaten (Norge) — som mottagare av OAR-rapportering.
• Lovable Cloud / Supabase — molnplattform för databas, inloggning och fillagring (databehandlare).
• E-postinfrastruktur — för att skicka avisering om publicerade uppdrag.

Vi delar aldrig uppgifter med tredje part utöver vad som krävs för att leverera tjänsten eller följa lag.

8. Dina rättigheter

Enligt GDPR har du rätt att:

• Begära ett utdrag av vilka personuppgifter vi har om dig.
• Begära rättelse av felaktiga uppgifter.
• Begära radering ("rätten att bli glömd") av uppgifter som inte längre behövs och där vi inte är skyldiga att spara dem enligt lag.
• Invända mot eller begränsa viss behandling.
• Få ut dina uppgifter i ett strukturerat format (dataportabilitet).
• Lämna klagomål till tillsynsmyndigheten (Integritetsskyddsmyndigheten i Sverige eller Datatilsynet i Norge).

Skicka begäran via formuläret på /dataforfragan eller direkt till info@scanvat.com. Vi svarar normalt inom 30 dagar.

9. Säkerhet

• All trafik krypteras med HTTPS/TLS.
• Lösenord lagras hashade och kan kontrolleras mot HIBP (Have I Been Pwned).
• Databasen använder Row-Level Security så att varje användare bara ser sina egna uppdrag.
• Endast administratörer har åtkomst till andra användares data, och endast i den utsträckning som krävs.
• Samtyckesloggen är append-only och kan inte ändras eller raderas.

10. Ändringar

Vi kan komma att uppdatera denna policy. Vid betydande ändringar ber vi dig om förnyat samtycke. Aktuell version visas alltid längst upp på denna sida.