Integritetspolicy för Jolene

Version 1.3 — gäller från 2026-10-07

Denna Integritetspolicy beskriver hur Sparrings & Eckert AB ("Jolene", "vi", "oss") behandlar personuppgifter när vi är personuppgiftsansvariga. Den gäller dig som är kontohavare, Användare, kontaktperson, affiliate eller besökare i förhållande till oss och Tjänsten Jolene.

Denna policy gäller de uppgifter vi behandlar om dig som privatperson i din relation till oss. När vi i stället behandlar personuppgifter för en Kunds räkning — till exempel uppgifter om Kundens anställda, kunder eller medlemmar som Kunden lägger in i Tjänsten (Kunddata) — är vi personuppgiftsbiträde och inte personuppgiftsansvarig. Den behandlingen regleras i stället i vårt Personuppgiftsbiträdesavtal (se /personuppgiftsbitrade). Se avsnitt 2 för gränsdragningen.

Vi har skrivit policyn så klar och begriplig som möjligt (artikel 12 i EU:s dataskyddsförordning, "GDPR"). Har du frågor är du alltid välkommen att kontakta oss – se avsnitt 16.

1. Personuppgiftsansvarig och kontakt

Personuppgiftsansvarig för den behandling som beskrivs i denna policy är:

• Sparrings & Eckert AB (Tjänsten Jolene)
• Organisationsnummer: 559553-5179
• Momsregistreringsnummer (VAT): SE559553517901
• Webbplats: jolenesverige.se
• E-post: kontakt@jolenesverige.se
• Postadress: Sofiagatan 48 a, 416 72 Göteborg

Dataskyddskontakt. Vi har bedömt att vi inte är skyldiga att utse ett dataskyddsombud (DSO) enligt artikel 37 i GDPR, och något dataskyddsombud är därför inte utsett. Vi har däremot en särskild kontaktväg för dataskyddsfrågor. Frågor om denna policy, om vår behandling av personuppgifter eller om hur du utövar dina rättigheter kan ställas till:

• Dataskyddskontakt: kontakt@jolenesverige.se

Du kan alltid även använda kontakt@jolenesverige.se.

2. Vilka den här policyn gäller (kategorier av registrerade)

Denna policy omfattar följande kategorier av registrerade:

• Kontohavare och Användare – fysiska personer som skapar ett konto, tecknar abonnemang eller ges åtkomst till Tjänsten (till exempel systemadministratör, ägare eller anställd hos Kunden). För en enskild firma är innehavaren en fysisk person och företagets uppgifter är då personuppgifter.
• Kontaktpersoner – personer som anges som kontakt hos en Kund eller ett företag som kommunicerar med oss.
• Affiliates – personer och företrädare som deltar i vårt affiliate-program.
• Webbplatsbesökare – personer som besöker jolenesverige.se.

Viktig avgränsning – när vi i stället är personuppgiftsbiträde

En stor del av de personuppgifter som hanteras i Tjänsten avser tredje part – till exempel Kundens anställda, Kundens egna kunder, leverantörer eller föreningsmedlemmar. Sådana uppgifter lägger Kunden själv in och bestämmer över (Kunddata). För den behandlingen är Kunden personuppgiftsansvarig och Jolene endast personuppgiftsbiträde. Den behandlingen omfattas inte av denna policy utan regleras av Personuppgiftsbiträdesavtalet (/personuppgiftsbitrade).

Kort sagt: den här policyn handlar om uppgifter om dig som vår motpart – inte om de uppgifter du eller din arbetsgivare lägger in om andra i Tjänsten.

3. Vilka personuppgifter vi behandlar

I rollen som personuppgiftsansvarig behandlar vi bland annat följande kategorier av personuppgifter:

• Identitets- och kontaktuppgifter: namn, e-postadress, telefonnummer och lösenord (lagras alltid i krypterad/hashad form).
• Uppgift om hur du hittade till oss: ditt svar på frågan "hur hörde du om oss".
• Företagsprofil: företagsnamn, organisationsnummer, momsregistreringsnummer, adress, kontaktperson, bankuppgifter och logotyp. För en enskild firma utgör organisationsnumret ett personnummer – se särskilt avsnitt 5.
• Betal- och abonnemangsuppgifter: kundidentifierare hos vår betalleverantör (Stripe-kund-id), vald plan, faktureringsunderlag, OCR-nummer och belopp. Fullständiga kortuppgifter hanteras enbart av Stripe och lagras aldrig av oss.
• Bankkontouppgifter (via bankkopplingen): om du väljer att aktivera bankkopplingen hämtar vi kontoinformation, saldon, transaktioner, belopp och beskrivningar från ditt bankkonto. Kopplingen ger enbart läsåtkomst och kan inte användas för att initiera betalningar – se särskilt avsnitt 7 (Särskilt om bankkopplingen).
• Support- och kontaktmeddelanden: innehållet i de meddelanden och ärenden du skickar till oss.
• Affiliate-uppgifter: uppgifter som behövs för att administrera ditt deltagande i affiliate-programmet och betala ut ersättning (t.ex. bankgironummer och intjänat saldo).
• Samtyckes-, åtkomst- och säkerhetsloggar: uppgift om lämnade samtycken, inloggningar och viss teknisk logg för säkerhet och felsökning.
• Webb- och användningsdata: viss teknisk information som samlas in via cookies och liknande tekniker (se avsnitt 13 och vår Cookiepolicy).

4. Ändamål och rättslig grund

Vi behandlar dina personuppgifter för de ändamål och med de rättsliga grunder (artikel 6 i GDPR) som anges nedan.

Vi använder inte dina eller Kundens uppgifter för att träna AI-modeller. Endast fullständigt anonymiserad eller aggregerad statistik kan användas för att förbättra Tjänsten, och den delas aldrig med tredje part för modellträning (se även avsnitt 10 samt vår AI-ansvarsfriskrivning, /ai-disclaimer).

5. Personnummer

Vi behandlar personnummer endast när det är klart motiverat med hänsyn till ändamålet, vikten av en säker identifiering eller något annat beaktansvärt skäl, i enlighet med 3 kap. 10 § dataskyddslagen (2018:218).

I rollen som personuppgiftsansvarig förekommer personnummer framför allt i två situationer:

• Enskild firma, där organisationsnumret utgörs av innehavarens personnummer.
• Fakturering, betalning, bokföring och skattehantering, där personnummer kan krävas enligt lag och avtal och för säker identifiering.

Behandlingen är motiverad av lag- och avtalskrav för fakturering, bokföring och skatt samt av behovet av att säkert kunna identifiera rätt person och företag. Vi begränsar åtkomsten till personnummer till de funktioner och den personal som behöver dem för dessa ändamål, och vi visar inte personnummer i större utsträckning än nödvändigt.

Uppgifter om Kundens anställda, kunder och medlemmar – som ofta innehåller personnummer och i vissa fall känsliga uppgifter (t.ex. hälsa eller kyrkotillhörighet) – behandlar vi som personuppgiftsbiträde. Den behandlingen regleras i Personuppgiftsbiträdesavtalet (/personuppgiftsbitrade) och omfattas inte av denna policy.

6. Varifrån uppgifterna kommer (källor)

De flesta uppgifter får vi direkt från dig när du skapar ett konto, tecknar abonnemang, kontaktar oss eller använder Tjänsten. I vissa fall får vi uppgifter från andra källor (artikel 14 i GDPR):

• Från Kunden/din arbetsgivare – om du är Användare eller kontaktperson kan den Kund som administrerar kontot lämna dina uppgifter (t.ex. namn och e-post) till oss för att ge dig åtkomst.
• Från den som förmedlat dig – vid affiliate-hänvisning kan vi få uppgift om att du hänvisats via en viss affiliate-länk.
• Från offentliga register och företagsdatabaser – t.ex. uppgifter från Bolagsverket eller Skatteverket för att verifiera företags- och registreringsuppgifter.
• Från våra betal- och IT-leverantörer – t.ex. status på betalningar från Stripe.
• Från Skatteverket – om Kunden utsett Jolene till ombud: status och kvittens för inskickade deklarationer samt transaktioner och saldo på Kundens skattekonto (se avsnitt 7, "Särskilt om Skatteverket och ombudsrollen").
• Från din bank via bankkopplingen – om du aktiverar bankkopplingen hämtar vi kontoinformation, saldon och transaktioner från ditt bankkonto via Roaring (se avsnitt 7), efter ditt uttryckliga samtycke i bankens flöde.
• Automatiskt vid webbplatsbesök – teknisk information via cookies och liknande tekniker (se avsnitt 13).

När vi tar emot uppgifter om dig från någon annan än dig själv behandlar vi dem för de ändamål och med de rättsliga grunder som anges i avsnitt 4.

7. Mottagare och personuppgiftsbiträden

Vi säljer aldrig dina personuppgifter. Vi delar dem endast när det behövs för de ändamål som anges ovan, med följande kategorier av mottagare:

• IT- och molnleverantörer (personuppgiftsbiträden) som driftar Tjänsten för vår räkning, till exempel för databas, autentisering, fillagring, hosting, e-postutskick, betalning, webbanalys och AI-funktioner.
• Betaltjänstleverantör – Stripe, för prenumeration och kortbetalning.
• Myndigheter – till exempel Skatteverket, när Kunden skickar moms- eller arbetsgivardeklarationer via Tjänsten med Jolene som ombud (se "Särskilt om Skatteverket och ombudsrollen" nedan), samt andra myndigheter när vi är skyldiga enligt lag.

Nedan anges de viktigaste leverantörer som kan behandla personuppgifter för vår räkning. En fullständig och aktuell förteckning över samtliga underbiträden finns i vår Underbiträdesförteckning, som hör till Personuppgiftsbiträdesavtalet.

Vi ingår personuppgiftsbiträdesavtal med samtliga leverantörer som behandlar personuppgifter för vår räkning, och de får endast behandla uppgifterna enligt våra instruktioner.

Google Ads-taggen laddas på alla sidor i Google Consent Mode v2. Utan samtycke till marknadsföring sätts eller läses inga marknadsföringskakor. Google får då endast cookielösa signaler, såsom att en sidvisning eller registrering har skett, tidpunkt, webbläsartyp och samtyckesstatus. De används för aggregerad mätning och modellering av annonsresultat, inte för att identifiera eller följa den enskilda besökaren. Med samtycke får Google sätta annonskakor för att mäta vilka annonser som leder till registreringar. Läs Googles integritetspolicy.

Särskilt om bankkopplingen

Om du väljer att aktivera bankkopplingen hämtar Tjänsten kontoinformation, saldon och transaktionshistorik från ditt bankkonto. Åtkomsten sker via Roaring (Roaring AB), vars kontoinformationstjänst tillhandahålls som white-label av Enable Banking, en enligt betaltjänstdirektivet (PSD2) licensierad leverantör av kontoinformationstjänster (AIS).

Bankkopplingen aktiveras endast om du väljer det och endast efter ditt uttryckliga samtycke i bankens eget flöde. Kopplingen ger enbart läsåtkomst – den kan inte användas för att initiera betalningar eller föra över pengar. Ändamålet är automatiserad bokföring och matchning av transaktioner. Den rättsliga grunden är fullgörande av avtal (art. 6.1 b), medan själva åtkomsten till dina bankuppgifter vilar på ditt uttryckliga samtycke (art. 6.1 a). Samtycket är tidsbegränsat och behöver förnyas med jämna mellanrum (som utgångspunkt ungefär var 180:e dag). Du kan när som helst återkalla samtycket och avsluta kopplingen.

Transaktioner som förs in i bokföringen blir räkenskapsinformation och sparas då enligt lagstadgad tid (se avsnitt 9). När bankkopplingen avser Kunddata regleras behandlingen även av Personuppgiftsbiträdesavtalet (/personuppgiftsbitrade).

Särskilt om Skatteverket och ombudsrollen

För att Tjänsten ska kunna utbyta uppgifter med Skatteverket utser Kunden Jolene (Sparrings & Eckert AB, org.nr 559553-5179) till ombud i Skatteverkets e-tjänst Ombud och behörigheter, med de roller Kunden själv väljer: Momsdeklaration ombud, Registreringsombud arbetsgivardeklaration och Skattekonto — bara läsbehörighet. Kunden kan när som helst ta bort behörigheten hos Skatteverket.

• Uppgifter som skickas till Skatteverket: momsdeklarationens uppgifter och arbetsgivardeklarationer (AGI). AGI innehåller personuppgifter om Kundens anställda — personnummer, lön, förmåner och avdragen skatt, samt de frånvarouppgifter som arbetsgivare enligt lag (2024:1300) ska lämna: datum och omfattning för frånvaro som kan ge rätt till föräldrapenning eller tillfällig föräldrapenning (vab). Skatteverket vidarebefordrar dem till Försäkringskassan.
• Uppgifter som hämtas från Skatteverket: status och kvittens för inskickade deklarationer samt transaktioner och saldo på Kundens skattekonto. Skattekontot hämtas när Kunden själv begär det, och automatiskt på vardagsmorgnar endast om Kunden slagit på automatisk hämtning (avstängd som standard).
• Enskild firma: skattekontot för en enskild firma är innehavarens personliga skattekonto. Det kan därför även visa innehavarens privata skatter, till exempel slutlig skatt och preliminärskatt, och de hämtas då tillsammans med företagets transaktioner.
• Signering är alltid Kundens. Det som skickas hamnar som underlag i Kundens eget utrymme hos Skatteverket och blir inte inlämnat förrän en behörig företrädare för Kunden signerar med BankID hos Skatteverket. Jolene signerar aldrig.

Skatteverket är en självständig mottagare som behandlar uppgifterna under eget ansvar enligt lag, inte vårt personuppgiftsbiträde. Uppgifterna är Kunddata, och vår behandling av dem sker som personuppgiftsbiträde enligt Personuppgiftsbiträdesavtalet (/personuppgiftsbitrade). Inkomstdeklarationer lämnas i dag inte in via Tjänsten; Kunden laddar ned SRU-fil eller PDF och lämnar in själv.

8. Överföring till tredjeland

Vissa av våra leverantörer behandlar personuppgifter utanför EU/EES, främst i USA. Det gäller bland annat Anthropic, Google, Stripe, Resend, Mailgun/Sinch och Microsoft. Vår primära databas- och fillagring (Supabase) sker inom EU.

Vi säkerställer att sådana överföringar sker med lämpliga skyddsåtgärder enligt kapitel V i GDPR:

• Standardavtalsklausuler (SCC) enligt artikel 46, kompletterade med en bedömning av skyddsnivån i mottagarlandet (transfer impact assessment, TIA) och vid behov ytterligare tekniska och organisatoriska åtgärder. Detta gäller bland annat Anthropic, Google, Resend, Mailgun/Sinch och Microsoft.
• EU-US Data Privacy Framework (DPF) enligt artikel 45 för leverantörer som är certifierade under ramverket. Stripe omfattas av DPF.

Vi påminner om att vi inte överför alla uppgifter enbart inom EU/EES – vissa funktioner, särskilt AI-funktioner och viss e-post- och analysleverans, innebär överföring till USA enligt ovan.

För Google Ads kan cookielösa mätsignaler överföras till Google i USA även utan samtycke till marknadsföringskakor. Annonskakor sätts eller läses då inte. Efter samtycke kan även cookie-baserade annonsuppgifter överföras. Överföringen skyddas enligt mekanismerna ovan. Läs Googles integritetspolicy.

Vill du ha en kopia av de skyddsåtgärder (t.ex. standardavtalsklausuler) som vi tillämpar för en viss överföring? Kontakta oss på kontakt@jolenesverige.se, så tillhandahåller vi information om skyddsåtgärderna.

9. Hur länge vi sparar uppgifterna

Vi sparar personuppgifter så länge det behövs för de ändamål de samlades in för, och därefter så länge vi är skyldiga enligt lag. Nedan anges våra huvudsakliga lagringstider.

Du kan när som helst själv exportera dina egna uppgifter och begära radering – se avsnitt 11.

10. Automatiserat beslutsfattande, profilering och AI

Tjänsten innehåller automatiserade funktioner och AI-stöd, till exempel:

• AI-genererade förslag – t.ex. tolkning av kvitton och dokument, förslag på bokföring, deklarationshjälp, import och analystexter. Dessa funktioner drivs av Anthropic (Claude, USA) och Google (Gemini, USA) – se avsnitt 7 och 8.

Ingen åtgärd med rättslig verkan eller på liknande sätt betydande påverkan fattas enbart automatiskt. AI-förslag är beslutsstöd – en människa (du som Användare eller vår personal) granskar, bedömer och godkänner alltid innan något bokförs, lämnas in eller får verkan. Du är därför inte föremål för sådant automatiserat beslutsfattande som avses i artikel 22 i GDPR i din relation till oss. AI-förslag är inte ofelbara och utgör inte professionell rådgivning (revisor, jurist eller Skatteverket).

När AI-funktioner används kan uppgifter som behandlas skickas till AI-leverantören för bearbetning. Vi tränar inte, och tillåter inte tredjepart att träna, AI-modeller på dina eller Kundens uppgifter. Läs mer i vår AI-ansvarsfriskrivning (/ai-disclaimer); när AI-behandlingen avser Kunddata regleras den även av Personuppgiftsbiträdesavtalet (/personuppgiftsbitrade).

Transparens om AI. I enlighet med EU:s AI-förordning (2024/1689, artikel 50, som tillämpas från och med den 2 augusti 2026) upplyser vi om när du interagerar med ett AI-system, till exempel i chatt- och assistentfunktioner.

11. Dina rättigheter

Enligt GDPR (artiklarna 15–22) har du följande rättigheter i förhållande till vår behandling av dina personuppgifter:

• Tillgång (art. 15) – du har rätt att få veta om vi behandlar personuppgifter om dig och att få en kopia av dem.
• Rättelse (art. 16) – du har rätt att få felaktiga uppgifter rättade och ofullständiga uppgifter kompletterade.
• Radering (art. 17) – du har rätt att få dina uppgifter raderade, till exempel när de inte längre behövs (rätten begränsas av vår skyldighet att bevara viss information, t.ex. räkenskapsinformation).
• Begränsning (art. 18) – du har rätt att begära att behandlingen begränsas i vissa fall.
• Underrättelse (art. 19) – de som fått del av dina uppgifter underrättas om rättelse, radering eller begränsning.
• Dataportabilitet (art. 20) – du har rätt att få ut uppgifter du lämnat till oss i ett strukturerat, maskinläsbart format och att få dem överförda till en annan aktör där det är tekniskt möjligt.
• Invändning (art. 21) – du har rätt att invända mot behandling som grundas på berättigat intresse och mot direkt marknadsföring. Invänder du mot direkt marknadsföring upphör vi alltid med den.
• Automatiserat beslutsfattande (art. 22) – du har rätt att inte bli föremål för beslut som enbart grundas på automatiserad behandling och som har rättslig verkan eller på liknande sätt betydande påverkan (se avsnitt 10).

Så utövar du dina rättigheter

• Självbetjäning: Du kan själv exportera dina uppgifter och begära radering direkt i Tjänsten under Inställningar → Integritet.
• Kontakta oss: Du kan också vända dig till oss på kontakt@jolenesverige.se.

Vi besvarar din begäran utan onödigt dröjsmål och normalt inom en månad (artikel 12.3 i GDPR). Det är kostnadsfritt att utöva sina rättigheter, men vi kan ta ut en rimlig avgift eller neka uppenbart ogrundade eller orimliga begäranden.

12. Återkalla samtycke och klaga till tillsynsmyndigheten

Återkalla samtycke. När vi behandlar dina uppgifter med stöd av ditt samtycke (t.ex. för nyhetsbrev eller statistik-/marknadsföringscookies) har du rätt att när som helst återkalla samtycket (artikel 7.3 i GDPR). Ett återkallande påverkar inte lagligheten av den behandling som skedde innan du återkallade. Du återkallar enklast genom att avregistrera dig via länken i utskicket, öppna Hantera kakor eller kontakta oss.

Klaga till tillsynsmyndigheten. Om du anser att vi behandlar dina personuppgifter i strid med reglerna har du rätt att lämna klagomål till tillsynsmyndigheten:

• Integritetsskyddsmyndigheten (IMY)
• Box 8114, 104 20 Stockholm
• imy@imy.se · imy.se

Vi uppskattar om du först kontaktar oss så att vi kan försöka lösa saken.

13. Cookies

På vår webbplats använder vi cookies och liknande tekniker. Vi använder nödvändiga cookies, statistikcookies (Microsoft Clarity) och marknadsföringscookies (Google Ads och Meta-pixeln), och webbplatsen laddar även Google Fonts.

Google Ads-taggen laddas på alla sidor med lagring nekad som standard. Utan samtycke sätts eller läses inga marknadsföringskakor; Google får endast cookielösa signaler om exempelvis sidvisning eller registrering, tidpunkt, webbläsartyp och samtyckesstatus för aggregerad mätning och modellering. Med samtycke aktiveras Googles annonskakor för att mäta vilka annonser som leder till registreringar. Microsoft Clarity och Meta-pixeln laddas fortfarande endast efter samtycke. Du kan när som helst ändra eller återkalla ditt val via Hantera kakor.

En fullständig beskrivning av vilka cookies vi använder, deras ändamål och lagringstid finns i vår Cookiepolicy (/cookies).

14. Säkerhet

Vi vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda dina personuppgifter mot obehörig åtkomst, förlust och missbruk, i enlighet med artikel 32 i GDPR. Åtgärderna innefattar bland annat:

• Kryptering av uppgifter vid överföring (TLS) och lagring.
• Lösenord lagras i hashad form – aldrig i klartext.
• Behörighets- och åtkomststyrning så att endast behörig personal och funktioner får åtkomst.
• Loggning, övervakning och rutiner för incidenthantering.
• Regelbunden säkerhetskopiering.
• Personuppgiftsbiträdesavtal med de leverantörer som behandlar uppgifter för vår räkning.

Om det inträffar en personuppgiftsincident som kräver det anmäler vi den till IMY och informerar berörda i enlighet med artiklarna 33–34 i GDPR.

15. Ändringar av denna policy

Vi kan komma att uppdatera denna Integritetspolicy, till exempel vid ändrad lagstiftning eller nya funktioner. Den senaste versionen finns alltid publicerad på jolenesverige.se. Vid väsentliga ändringar informerar vi dig på lämpligt sätt, till exempel via e-post eller ett meddelande i Tjänsten. Överst i dokumentet anges vilken version och vilket datum som gäller.

16. Kontakt

Har du frågor om denna Integritetspolicy eller om hur vi behandlar dina personuppgifter är du välkommen att kontakta oss:

• Sparrings & Eckert AB (Tjänsten Jolene)
• Organisationsnummer: 559553-5179
• E-post: kontakt@jolenesverige.se
• Dataskyddskontakt: kontakt@jolenesverige.se
• Postadress: Sofiagatan 48 a, 416 72 Göteborg

Version 1.3 — gäller från 2026-10-07. Ändring mot version 1.2: mejlen om konto och abonnemang samt mejlen som hjälper dig komma igång har fått egna rader i avsnittet om ändamål och rättslig grund, med hur du stänger av dem.