GDPR, Integritetspolicy & Informationssäkerhet för Novro

⚠️ Under uppbyggnad — leverantörens juridiska namn. Produkten heter numera Novro (tidigare EquiPay). Den formella juridiska enheten är under etablering och registrering. Namnet nedan är ett tillfälligt platshållarnamn och ersätts så snart bolaget är registrerat.

Denna integritetspolicy och tekniska specifikation redogör för hur personuppgifter behandlas inom ramen för programvaruplattformen Novro (”Tjänsten”), som tillhandahålls av [Novro juridiska enhet — under registrering] (”Leverantören” eller ”Personuppgiftsbiträdet”).

Dokumentet är utformat för att möta kraven enligt EU:s allmänna dataskyddsförordning (GDPR) 2016/679 samt ge kunders dataskyddsombud (DPO) och juridiska rådgivare full insyn i plattformens säkerhetsarkitektur och efterlevnadsnivå.

Kontakt / DPO: under utredning — kontakta er leverantörskontakt tills vidare.

1. Rättslig status och Definitioner

Plattformen Novro är ett verktyg för lagstadgad lönekartläggning (i enlighet med diskrimineringslagen 2008:567) samt kartläggning av organisatorisk och social arbetsmiljö (i enlighet med AFS 2015:4).

• Personuppgiftsansvarig (Controller): Kunden (Arbetsgivaren som licensierar Tjänsten). Kunden äger all data, bestämmer ändamålen med behandlingen och bär det primära ansvaret gentemot de registrerade (medarbetarna).
• Personuppgiftsbiträde (Processor): [Novro juridiska enhet]. Vi behandlar endast personuppgifter på skriftligt uppdrag från Kunden och i strikt överensstämmelse med parternas Personuppgiftsbiträdesavtal (DPA).
• Registrerade (Data Subjects): Kundens nuvarande och tidigare anställda, konsulter samt användare av Tjänsten.

2. Rättslig grund för behandling (GDPR Art. 6 & Art. 9)

Kunden ansvarar som personuppgiftsansvarig för att säkerställa en giltig rättslig grund för behandlingen av medarbetaruppgifter i plattformen:

1. Lönekartläggning: Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åligger den personuppgiftsansvarige (GDPR Artikel 6.1.c), specifikt kraven på årlig lönekartläggning enligt kapitel 3 i den svenska diskrimineringslagen.
2. Arbetsmiljöundersökningar (Puls- & OSA-enkäter): Behandlingen baseras på en intresseavvägning (GDPR Artikel 6.1.f) för att fullgöra arbetsgivarens lagstadgade ansvar för systematiskt arbetsmiljöarbete (SAM) enligt arbetsmiljölagen (1977:1160).
3. Känsliga personuppgifter (Särskilda kategorier): Lönekartläggningsdata innehåller information om kön. Denna behandling är tillåten med stöd av GDPR Artikel 9.2.b (fullgörande av skyldigheter inom arbetsrätten) jämförd med 2 kap. 2 § lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

3. Insamlade datakategorier och Behandlingsaktiviteter

Följande uppgifter importeras av Kundens administratör eller samlas in under användning av Tjänsten:

A. Lönekartläggningsmodul (Strukturerad data)

• E-postadress och Fullständigt namn: För identifikation och behörighetsstyrning.
• Demografiska och organisatoriska parametrar: Kön, födelsedatum (ålder), avdelning/enhet, geografisk ort/kontor.
• Anställningsdata: Roll/yrkesklassificering, anställningsnivå (Level), anställningsdatum (lojalitet), sysselsättningsgrad (FTE).
• Löneparametrar: Grundlön (omräknad till heltidsekvivalent), rörliga tillägg, förmåner, valuta samt betyg/prestation (Performance Score).

B. Enkätmodul (Puls- & OSA-undersökningar)

• Enkätinbjudningar: E-postadresser används för distribution av unika tokens (engångslänkar). Dessa raderas eller markeras som förbrukade i samband med att enkäten besvaras eller stängs.
• Enkätsvar: Numeriska betyg och svar på flervalsfrågor rörande arbetsmiljö, stress, trakasserier, samarbete och ledarskap.
• Fritextkommentarer: Kommentarer skrivna i öppna textfält.

C. Ytterligare datakategorier (viktigt att notera)

• Personnummer: Kan lagras som ett namngivet fält om Kunden väljer att importera det. Omfattas av särskilda krav enligt 2 kap. 3 § lag (2018:218).
• Anpassade fält (custom fields): Kundens administratör kan skapa fritt konfigurerbara fält utöver ovanstående listor. Listorna A och B ovan är därför illustrativa, inte uttömmande. Kunden ansvarar för att inte lägga in särskilda kategorier av personuppgifter (t.ex. hälsouppgifter) i ett anpassat fält utan giltig rättslig grund.
• Visselblåsarkanal (om aktiverad): Rapporter kan innehålla fritext som, beroende på innehåll, kan omfatta särskilda kategorier av personuppgifter om den rapporterade personen. Avstängd som standard.

4. Anonymisering, Integritetsgarantier och "Privacy by Design"

Novro tillämpar avancerade integritetsskydd för att säkerställa att enskilda medarbetares enkätsvar aldrig kan spåras av arbetsgivaren:

Anonymitetsgräns (Tröskelvärde)

• Tröskelkontroll (GDPR Art. 32): Svarsdata från puls- och OSA-enkäter redovisas aldrig för enskilda individer. Data aggregeras per organisatorisk enhet (orgNode).
• Redigeringsalgoritm: Om färre än 3 personer (eller det valda systemtröskelvärdet, som aldrig kan sättas lägre än 3) inom en specifik avdelningsnod har svarat på en enkät, spärras visningen av all data för den noden i gränssnittet. Svaren ingår endast i det aggregerade resultatet för överordnade noder (t.ex. avdelningsnivå eller bolagsnivå) där antalet svar överstiger gränsen.
• Separering av data: Enkätsvar sparas i en separat databassamling utan koppling till e-postadress eller användar-ID. Det finns ingen databaskoppling (Foreign Key) mellan tabellen över skickade inbjudningar (surveyInvites) och tabellen över sparade svar (surveyResponses).

Fritextkommentarer

• Fritextkommentarer lagras utan tidstämplar och utan koppling till specifika betygskombinationer. De visas för administratören i slumpmässig ordning för att minimera risken för mönsterigenkänning baserat på svarstidpunkt.

5. Tekniska och Organisatoriska Säkerhetsåtgärder (GDPR Art. 32)

Leverantören upprätthåller en informationssäkerhetsnivå motsvarande branschstandard (baserat på principerna i ISO/IEC 27001):

A. Systemarkitektur och Nätverkssäkerhet

• Kryptering i transport: All kommunikation mellan användare och Tjänsten sker via HTTPS med stark kryptering (TLS 1.3 som primär standard, TLS 1.2 som lägsta fallback).
• Kryptering i vila: All data i Firestore-databasen och tillhörande lagringsenheter krypteras på blocknivå med AES-256.
• Isolering (Multi-tenancy): Kunddata hålls logiskt separerad i databasen genom unika orgId-taggar. Säkerhetsregler på databasnivå (Firestore Security Rules) validerar varje enskild läs- och skrivförfrågan mot användarens inloggningssession och roll innan data returneras.

B. Autentisering och Behörighet

• Lösenordslös OTP (One-Time Password): Tjänsten använder inga fasta lösenord. Användare loggar in via verifierade engångskoder som skickas till deras registrerade e-postadress. Detta eliminerar helt risker relaterade till brute-force-attacker, nätfiske av lösenord eller återanvändning av lösenord.
• Rollbaserad behörighet (RBAC): Rättigheter styrs strikt via rolltilldelning:
  • SuperAdmin: Systemteknisk administration, kan inte läsa känslig lönedata utan explicit loggad behörighet.
  • Admin (HR/Ledning): Full behörighet inom den egna organisationen (ladda upp personalfiler, konfigurera lönekartläggning).
  • Chef (Manager): Åtkomst begränsad till aggregat och underställda medarbetare för den tilldelade avdelningsnoden. Har inte åtkomst till detaljerade lönelistor för andra avdelningar.
  • Medarbetare (Employee): Endast åtkomst till sin egen profil och övergripande, anonymiserad benchmarkdata.

6. Underbiträden och Datatransfer (GDPR Art. 28 & 44)

Se underbiträdeslistan nedan för den fullständiga listan. Sammanfattning:

• Primär lagring: Google Cloud Platform — databas (Firestore, flerregional EU-lokalisering eur3), fillagring och serverless-infrastruktur (europe-west3, Frankfurt).
• E-post: Brevo (Sendinblue SAS), EU-baserat (Frankrike).
• SMS (endast om aktiverat av Kunden, avstängt som standard): Twilio Inc., ett amerikanskt bolag. Ingen EU-lokaliseringsgaranti idag — utvärdering av EU-alternativ pågår.
• AI-funktioner: Google Gemini API (standardval), en global slutpunkt utan garanterad EU-lokalisering. Endast aggregerad/avidentifierad data skickas. Ett självhostat eller EU-baserat alternativ (Gemma, öppen källkod) kan väljas istället.
• Tredjelandsöverföring: Med undantag för Twilio (om SMS aktiveras) och Gemini API (standard-AI-leverantören) sker ingen behandling utanför EU/EES idag. För dessa två tillämpas Standard Contractual Clauses (SCC) som kompletterande skyddsåtgärd.

7. De registrerades rättigheter (GDPR Art. 12-22)

Novro tillhandahåller de verktyg som krävs för att Kunden ska kunna uppfylla registrerades rättigheter:

• Rätt till radering (”Att bli bortglömd”): Medarbetaren kan skicka in en raderingsbegäran direkt i gränssnittet. Begäran granskas av Kundens administratör, som godkänner eller avslår den. Vid godkännande markeras medarbetaren idag som inaktiverad (åtkomst spärras, profilen döljs) — full permanent radering av enskilda medarbetarposter hanteras för närvarande manuellt av administratören eller på begäran till Leverantören. En automatiserad raderingsfunktion är under utveckling. Vid uppsägning av Huvudavtalet raderas dock all Kundens data i sin helhet.
• Svarstid: Ingen fast SLA är ännu fastställd i detta dokument — GDPR:s huvudregel (max 1 månad, förlängningsbart) gäller under tiden.
• Rätt till registerutdrag: Lönekartläggningsdata och flertalet övriga datakategorier kan exporteras i strukturerat format (JSON) på begäran. Exportfunktionens täckning av samtliga datakategorier ses över löpande.
• Anonymiserade uppgifter: Eftersom enkätsvar från puls- och OSA-mätningar sparas i avsevärd anonymiserad form (utan personkoppling), omfattas dessa inte av rätten till registerutdrag eller radering efter inskickat svar, i enlighet med GDPR skäl 26.

Personuppgiftsbiträdesavtal (DPA-mall)

⚠️ Under uppbyggnad — biträdets juridiska namn. Den formella juridiska enheten för Novro är under etablering och registrering. Namnet nedan är ett tillfälligt platshållarnamn — kontrollera med er kontaktperson innan undertecknande av en bindande version.

Detta Personuppgiftsbiträdesavtal (”Avtalet”) har ingåtts mellan:

Nedan var för sig kallad ”Part” och gemensamt ”Parterna”.

1. Bakgrund och Syfte

2. Behandlingens Omfattning och Instruktioner

3. Säkerhetsåtgärder och Sekretess

4. Underbiträden (Subprocessors)

5. Överföring till Tredje Land

6. Incidenthantering (Personuppgiftsincidenter)

7. Samarbete och Revision

8. Avtalstid och Åtgärder vid Avtalets Upphörande

Bilaga 1 — Beskrivning av Behandlingen

Kategori av registrerade

• Kundens nuvarande och tidigare anställda samt konsulter.
• Användare med administrativ tillgång till Tjänsten.

Kategorier av personuppgifter

• Namn, e-postadress, födelsedatum, kön, roll/titel, avdelningstillhörighet, anställningsdatum, lön och tillhörande lönekomponenter, sysselsättningsgrad samt enkätsvar relaterade till organisatorisk och social arbetsmiljö (OSA).
• Denna lista är illustrativ, inte uttömmande. Tjänsten låter Kundens administratör definiera egna, fritt konfigurerbara anpassade fält för medarbetare — de faktiska kategorierna kan därför gå utöver ovanstående lista beroende på hur Kunden konfigurerar Tjänsten.
• Kunden ansvarar som personuppgiftsansvarig för att inte lägga till särskilda kategorier av personuppgifter (GDPR Artikel 9) i ett anpassat fält utan att först säkerställa en giltig rättslig grund och, om tillämpligt, komplettera detta Avtal med särskilda villkor.

Behandlingens karaktär och syfte

• Insamling, strukturering, lagring, aggregering och statistisk beräkning av data för att generera rapporter och analyser rörande löneskillnader (lönekartläggning) samt temperaturmätningar av arbetsmiljön.

Bilaga 2 — Tekniska och Organisatoriska Säkerhetsåtgärder

Följande säkerhetsåtgärder är implementerade i Novro-plattformen:

1. Pseudonymisering och Anonymisering: Enkätsvar och fritextkommentarer sparas separerade från e-postadresser och personuppgifter. Resultat redovisas endast aggregerat med strikta anonymitetsgränser (minst 3 respondenter).
2. Kryptering: All data krypteras i vila med AES-256 samt i transport med TLS 1.3/TLS 1.2.
3. Behörighetshantering: Rollbaserad åtkomstkontroll (RBAC) begränsar åtkomst till personuppgifter till behörig personal.
4. Autentisering: Systemåtkomst skyddas av engångskoder (OTP) skickade via verifierade e-postkanaler.
5. Loggning: Alla administrativa åtgärder (inbjudningar, rolländringar, export av data) loggas för spårbarhet.

Bilaga 3 — Underbiträden

Följande Underbiträden är godkända av Kunden vid Avtalets ingående. Se även den fristående underbiträdeslistan nedan, som hålls uppdaterad löpande mellan avtalsrevisioner.

Underbiträdeslista

Senast uppdaterad: 2026-07-22. Denna lista uppdateras löpande och oberoende av DPA-mallens revisionscykel — den fristående listan är alltid den mest aktuella källan.

Detta är den fullständiga, publika listan över tredjepartsleverantörer (underbiträden) som behandlar personuppgifter för Novros räkning. Enligt GDPR Artikel 28(2) informeras Kunden härmed om samtliga underbiträden och kan invända mot framtida ändringar (se DPA §4.2, 14 dagars invändningsfrist).

Har ni frågor om ett specifikt underbiträde, eller vill invända mot en planerad ändring, kontakta er leverantörskontakt.

Lagringspolicy

Senast uppdaterad: 2026-07-22.

• Aktiva medarbetare: Data lagras så länge anställningen (eller motsvarande relation) pågår och Kunden har ett aktivt avtal med Novro.
• Avslutade/inaktiverade medarbetare: Idag finns ingen automatisk raderingsrutin — profilen markeras som inaktiverad men underliggande data kvarstår i den aktiva databasen tills Kundens administratör vidtar manuell åtgärd, eller tills Huvudavtalet upphör (se nedan). En tydligare lagringstid för denna situation är under utredning.
• Vid Huvudavtalets upphörande: All Kundens data raderas eller återlämnas i sin helhet enligt DPA §8, om inte lagring krävs enligt tillämplig lagstiftning (t.ex. bokföringslagen för lönerelaterad data).
• Säkerhetskopior (endast produktionsmiljön): Automatiska dagliga säkerhetskopior sparas i 7 dagar för katastrofåterställning, oberoende av ovanstående raderingsflöden.
• Loggar och telemetri: Systemloggar för spårbarhet (t.ex. inloggningar, administrativa åtgärder) och teknisk telemetri rensas automatiskt av ett dagligt schemalagt jobb — se separat internt register för exakta tidsfönster per logg-typ.
• Enkätsvar: Sparas i anonymiserad form utan koppling till individ (se Integritetspolicyn §4) och omfattas därför inte av samma raderingslogik som identifierbar medarbetardata.

Cookiepolicy

Senast uppdaterad: 2026-07-22.

Novro använder inga cookies för marknadsföring, spårning eller analys. Vi använder följande strikt nödvändiga cookies/lagringsmekanismer:

Eftersom Google reCAPTCHA är strikt nödvändigt för att skydda Tjänsten mot missbruk krävs inget samtyckesbanner enligt undantaget för strikt nödvändiga cookies i ePrivacy-direktivet/kakförordningen. Om Novro i framtiden lägger till cookies för analys eller marknadsföring uppdateras denna policy och ett samtyckesbanner införs innan sådana cookies aktiveras.