Dina kvitton, dina data. Alltid.

Sammanfattning

Denna Integritetspolicy förklarar hur Fidanet Solution Oy (”Baslic”, ”vi”, ”oss”) samlar in och behandlar personuppgifter när du besöker baslic.com, använder Baslic-webb- och mobilapplikationerna på baslic.com, eller interagerar med oss via e-post. Den gäller för grundare, anställda, bokförare och alla vars personuppgifter vi behandlar i samband med leverans av Baslic-tjänsten (”Tjänsten”).

För data vi behandlar på uppdrag av våra företagskunder (till exempel kvitton inskickade av deras anställda) agerar vi som personuppgiftsbiträde enligt artikel 28 i EU:s allmänna dataskyddsförordning (”GDPR”). Dessa behandlingsaktiviteter regleras av Databehandlingsavtalet och skyldigheterna där har företräde framför denna Policy där de står i konflikt.

Vilka vi är

Personuppgiftsansvarig för personuppgifter som behandlas under denna Policy är:

• Fidanet Solution Oy
• Marinkallio 6b, 02320 Espoo, Finland
• Företags-ID (Y-tunnus): 3497432-1
• E-post: privacy@baslic.com

Vi har inte utsett ett dataskyddsombud eftersom vi inte är skyldiga till det enligt GDPR artikel 37. Integritetsfrågor hanteras av grundarna; du kan nå oss direkt på privacy@baslic.com.

Data vi samlar in

Kontodata

När du registrerar dig samlar vi in ditt namn, din arbets-e-postadress, företaget du representerar (om något), språket du använder Baslic på och ett lösenord hashat med en enkelriktad funktion. Vi ser aldrig ditt lösenord i klartext.

Kvitto- och fakturainnehåll

Kärnan i Tjänsten är behandling av kvitton, fakturor och reseutgiftsposter som du vidarebefordrar, laddar upp eller fotograferar. Detta innehåll innehåller vanligtvis handlarens namn, radposter, priser, skattesatser, betalningsmetod och ibland namn eller roller på personer i ditt företag (till exempel ”lunch med teamet”). Om filen du skickar in innehåller personuppgifter om tredje parter är du ansvarig för att säkerställa att du har en rättslig grund att dela den med oss för behandling.

E-post-metadata

Om du använder e-post-vidarebefordran får du en arbetsytesspecifik adress på mail.baslic.com-domänen (till exempel your-workspace-code@mail.baslic.com). När du vidarebefordrar ett kvitto till den adressen tar vi emot avsändaradressen, ämnesraden och tidsstämplarna för meddelandet du vidarebefordrar. Vi använder detta endast för att koppla kvittot till rätt konto.

Fakturaleverans och öppningsspårning

När du skickar en faktura eller en betalningspåminnelse från Baslic registrerar vi mottagarens adress, tidpunkten och om vår e-postleverantör tog emot meddelandet. Om öppningsspårning är påslagen i dina faktureringsinställningar bär meddelandet dessutom en liten osynlig bild; när ett e-postprogram laddar den registrerar vi första gången den laddades, hur många gånger, och om begäran såg ut att komma från en e-posttjänst som hämtar bilder av sig själv snarare än från en person som läser. Vi registrerar inte mottagarens IP-adress, plats eller enhet, och vi för ingen logg över enskilda öppningar. Du kan stänga av detta per företag under Inställningar, och medan det är avstängt läggs ingen sådan bild till i dina meddelanden alls. Fakturorna är dina: för dessa uppgifter om dina egna kunder är du personuppgiftsansvarig och vi är ditt personuppgiftsbiträde.

Användnings- och enhetsdata

När du använder Tjänsten samlar vi automatiskt in loggdata såsom IP-adress, webbläsartyp, operativsystem, sidorna du visar, åtgärderna du utför och tidsstämplarna. Vi använder detta för säkerhet, felsökning och för att förstå vilka funktioner som fungerar.

Faktureringsdata

Prenumerationsbetalningar behandlas av Stripe Payments Europe Ltd. Vi tar emot kortets fyra sista siffror, kortmärket, landet och faktureringsadressen du anger. Vi lagrar inte fullständiga kortnummer i vår infrastruktur.

Supportkommunikation

När du skriver till oss behåller vi e-postmeddelandet, din adress och alla bilagor du väljer att dela så att vi kan svara och hänvisa tillbaka till konversationen senare.

Hur vi använder det

Vi använder ovanstående data för att:

• Leverera Tjänsten, ta emot kvitton, extrahera radposter, klassificera moms, generera exporter och returnera resultaten till dig.
• Fakturera dig, skicka prenumerationskvitton och hantera skatter.
• Berätta om det fakturamejl du skickade levererades och visades, när du har öppningsspårning påslagen.
• Skicka servicekritisk e-post, lösenordsåterställningar, betalningsfel, säkerhetsvarningar, planerade driftstopp.
• Förbättra och felsöka Tjänsten, med personuppgifter minimerade eller pseudonymiserade när den tekniska uppgiften tillåter det.
• Uppfylla våra egna rättsliga skyldigheter, finsk bokföringslag, skatterapportering, sanktionsscreening och svar på lagliga förfrågningar från myndigheter.
• Försvara oss själva i tvister och förhindra bedrägeri, missbruk och obehörig åtkomst.

Rättsliga grunder (GDPR artikel 6)

• Fullgörande av avtal, för att leverera Tjänsten du har registrerat dig för och fakturera dig för den (artikel 6(1)(b)).
• Rättslig förpliktelse, för att föra bokföring, svara myndigheter och uppfylla våra skatteförpliktelser (artikel 6(1)(c)).
• Berättigade intressen, för att hålla Tjänsten säker, förhindra missbruk, förbättra funktioner och kommunicera med befintliga kunder om meningsfulla produktuppdateringar (artikel 6(1)(f)).
• Berättigade intressen, så att den som skickar en faktura kan veta om den nådde mottagaren och visades; du kan stänga av spårningen när som helst (artikel 6(1)(f)).
• Samtycke, för valfria analytics-cookies, produktnyhetsbrev och all dataanvändning som går utöver ovanstående grunder. Du kan när som helst återkalla samtycke utan att påverka tidigare behandling.

AI och modellträning

Baslic använder stora språkmodeller för att översätta dina naturliga språkinstruktioner till Timo till strukturerade bokföringsposter och för att resonera om radposter, momssatser och reseersättningar. Optisk teckenigenkänning, att omvandla ett kvittofoto till text, körs på vår egen infrastruktur inom EU; dina kvittobilder skickas inte till en tredje part för OCR. De tredjeparts AI-leverantörer vi använder för resonemangssteget listas på vår Underbiträden-sida.

Vi tillåter inte våra AI-underbiträden att använda dina data för att träna sina modeller. Detta upprätthålls genom företagskontrakt som stänger av lagring av träningsdata. Där ett underbiträde erbjuder ett nollagringsläge använder vi det. Där ett underbiträde endast lagrar data under korta perioder för att upptäcka missbruk accepterar vi den kortaste tillgängliga lagringen.

Vi kan använda avidentifierade och aggregerade mönster härledda från Tjänsten, till exempel ”hur ofta kunder på restauranger har fri-måltidsreduktioner”, för att förbättra våra egna klassificeringsheuristiker. Aggregering här betyder data som inte kan kopplas tillbaka till en individ eller verksamhet.

Delning och underbiträden

Vi delar personuppgifter endast med parter som hjälper oss leverera Tjänsten, och alla är bundna av databehandlingsavtal med oss. Den fullständiga listan finns på Underbiträden-sidan.

Vi kommer att lämna ut personuppgifter till offentliga myndigheter när vi är lagligt skyldiga att göra det, efter att ha vidtagit rimliga åtgärder för att bedöma lagligheten av begäran. Vi kommer att meddela dig om begäran om det inte är lagligt förbjudet.

Vi säljer inte dina personuppgifter och vi delar dem inte med reklamnätverk.

Internationella överföringar

Dina kontodata och kvittoinnehåll lagras på EU-servrar belägna i Tyskland. Där ett underbiträde behandlar data utanför Europeiska ekonomiska samarbetsområdet förlitar vi oss på Europeiska kommissionens Standardavtalsklausuler (kommissionens genomförandebeslut (EU) 2021/914) tillsammans med kompletterande tekniska och organisatoriska åtgärder såsom kryptering vid överföring och i vila.

Du kan begära en kopia av skyddsåtgärderna vi använder för ett specifikt underbiträde genom att skriva till privacy@baslic.com.

När ett underbiträde är etablerat i ett land som Europeiska kommissionen erkänner som tillräcklig skyddsnivå (artikel 45 GDPR), för närvarande MapTiler AG i Schweiz, som endast används för att rendera bakgrundskartrutor för reseräknings-PDF:er, grundas överföringen på det beslutet om adekvat skyddsnivå och kräver inga standardavtalsklausuler; MapTilers kartrutdatacenter finns i Frankrike inom EES.

Lagring

• Kvitton och fakturor, behålls så länge din prenumeration är aktiv, plus den lagstadgade lagringsperioden som krävs av finsk bokföringslag (för närvarande sex år från slutet av räkenskapsperioden). Om du bor i en jurisdiktion med ett längre krav gäller den längre perioden.
• Kontodata, efter att du stänger ditt konto kan du exportera dina data i 60 dagar genom Tjänstens självserviceverktyg. Efter detta exportfönster raderar vi kontodata inom 30 dagar (90 dagar totalt från stängning), om vi inte är skyldiga att behålla dem längre av juridiska skäl. Krypterade säkerhetskopior som innehåller dina data kvarstår i upp till 90 dagar efter radering (Backblaze B2, EU-region) innan de skrivs över.
• Support-e-post, behålls upp till tre år från sista kontakten.
• Server- och applikationsloggar, behålls upp till 90 dagar, längre endast när det behövs för en aktiv utredning.
• Faktureringsregister, behålls under den lagstadgade bokföringsperioden (sex år).
• Bekräftade reseräkningar (matkalasku) och deras kvitton, sex år (lagstadgad lagringsskyldighet enligt GDPR art. 17.3 b och den finska bokföringslagen). Dessa uppgifter behålls även om du begär radering; se anmärkningen om lagstadgad lagring nedan.

Lagstadgad lagring och rätten till radering. När du begär radering raderar vi dina personuppgifter. Vi kan dock inte radera uppgifter som ingår i bekräftade reseräkningar (matkalasku) och deras underlag, som vi enligt den finska bokföringslagen är skyldiga att bevara i sex (6) år. Detta grundar sig på artikel 17.3 b i GDPR (rättslig förpliktelse). Sådana handlingar flyttas till ett begränsat arkivläge för lagstadgad lagring, där personuppgifter som inte behövs för bokföringen (t.ex. hemadress och fritext) tas bort, och resten bevaras enbart för att uppfylla lagringsskyldigheten. Uppgifterna raderas permanent när lagringstiden löper ut.

Dina rättigheter under GDPR

Under GDPR har du rätt till:

• Tillgång, begära en kopia av personuppgifterna vi har om dig.
• Rättelse, korrigera data som är felaktiga eller ofullständiga.
• Radering, begära radering där den rättsliga grunden för behandling inte längre gäller.
• Begränsning, be oss begränsa hur vi behandlar dina data medan en tvist löses.
• Portabilitet, ta emot dina data i ett strukturerat, maskinläsbart format, eller låta dem skickas till en annan leverantör.
• Invändning, invända mot behandling baserad på berättigade intressen.
• Återkallande av samtycke, när som helst, för all behandling baserad på samtycke.

För att utöva någon av dessa rättigheter, skriv till privacy@baslic.com. Vi kommer att svara inom 30 dagar, och kostnadsfritt om inte begäran är uppenbart ogrundad eller överdriven.

Säkerhet

Vi skyddar dina data med tekniska och organisatoriska åtgärder som är lämpliga i förhållande till risken, inklusive:

• TLS 1.2 eller högre för all data under överföring.
• AES-256-kryptering i vila för kvittofiler och databassäkerhetskopior.
• Rollbaserad åtkomstkontroll med multi-faktor-autentisering för all anställdas åtkomst till produktionssystem.
• Lägsta-privilegium-åtkomst, ingenjörer får åtkomst till kundinnehåll endast när de aktivt undersöker ett ärende du har rapporterat.
• Dagliga krypterade off-site-säkerhetskopior (Backblaze B2, EU-region; arkiven krypteras på klientsidan med age före uppladdning; lagras i 90 dagar).
• Kontinuerlig sårbarhetsskanning av vår infrastruktur och tredjepartsberoenden.
• Dokumenterad incident-response-process med tidslinjer för incidentanmälan i linje med GDPR artikel 33.

Ingen säkerhetskontroll eliminerar risken helt. Om vi blir medvetna om en personuppgiftsincident som sannolikt kommer att resultera i en risk för dina rättigheter, kommer vi att meddela den relevanta tillsynsmyndigheten inom 72 timmar, och där risken är hög kommer vi att meddela dig utan onödigt dröjsmål.

Cookies och spårning

Vi använder ett litet antal strikt nödvändiga cookies för att hålla dig inloggad, komma ihåg ditt språkval och skydda mot cross-site request forgery. Dessa kräver inte ditt samtycke enligt EU:s ePrivacy-direktiv.

Vi kör inget produkt-analytics-verktyg, och vi bäddar inte in reklam eller spårningspixlar mellan webbplatser. De operativa mätvärden vi behöver för att hålla Tjänsten igång beräknas från våra egna serverloggar och kasseras enligt schemat som beskrivs under lagring. Fullständiga uppgifter, inklusive namnen på varje strikt nödvändig cookie och hur länge de varar, finns på vår Cookies-sida.

Barn

Baslic är ett verktyg för företag och de yrkesverksamma som arbetar i dem. Vi behandlar inte medvetet personuppgifter om barn under 16 år. Om du tror att vi har gjort det, skriv till oss och vi kommer att radera dem.

Ändringar i denna Policy

Vi kan uppdatera denna Policy när Tjänsten utvecklas. När ändringarna är väsentliga, en ny kategori av data, ett nytt behandlingsändamål, ett nytt underbiträde som hanterar innehåll, kommer vi att meddela dig minst 30 dagar i förväg, via e-post eller genom en in-app-banner. Datumet för den version du läser står högst upp på denna sida.

Kontakt och klagomål

Det snabbaste sättet att nå oss om integritet är privacy@baslic.com.

Du har också rätt att lämna in ett klagomål till tillsynsmyndigheten i ditt bosättningsland. Om du är i Finland är myndigheten Dataskyddsombudsmannens kontor (Tietosuojavaltuutetun toimisto), Lintulahdenkuja 4, 00530 Helsinki, tietosuoja.fi.