Integritetspolicy

1. Personuppgiftsansvarig

Committa AB är personuppgiftsansvarig för behandlingen av dina personuppgifter i denna tjänst. Kontakta oss på gdpr@committa.se vid frågor om dataskydd.

2. Vilka personuppgifter behandlas?

När du använder CV-generatorn behandlar vi följande uppgifter:

• Kontaktuppgifter: Namn och e-postadress (vid inloggning)
• CV-innehåll: All information i ditt uppladdade CV – namn, titel, arbetslivserfarenhet, utbildning, kompetenser, certifieringar m.m.
• Genererad data: Det omstrukturerade CV:t och tillhörande metadata
• Tekniska uppgifter: Tidsstämplar, jobb-ID:n

3. Rättslig grund för behandlingen

Vi behandlar dina personuppgifter baserat på:

• Samtycke (Art. 6(1)(a) GDPR): Du ger uttryckligt samtycke innan ditt CV laddas upp och bearbetas. Du kan när som helst återkalla ditt samtycke.
• Avtal (Art. 6(1)(b) GDPR): Behandlingen är nödvändig för att tillhandahålla den tjänst du begärt.
• Berättigat intresse / arbetsrelation: Intern visning av kollegors profiler i appen kan stödjas på annan rättslig grund än AI-behandling.

AI (CAI): Automatiserad användning av en konsults profildata i AI-chatt kräver separat samtycke från den berörda personen.

4. Hur behandlas dina uppgifter?

1. Uppladdning: Ditt original-CV laddas upp till säker molnlagring (Supabase, EU).
2. Textextraktion: Text extraheras från PDF/DOCX-filen.
3. AI-bearbetning: Den extraherade texten skickas till Anthropic (Claude AI) för omstrukturering. Anthropic behandlar inte data för modellträning via API:et.
4. Generering: Ett nytt CV-dokument skapas baserat på AI:ns svar.
5. Radering av original: Ditt original-CV raderas automatiskt från lagringen direkt efter att texten extraherats (dataminimering).
6. Kryptering: Den strukturerade CV-datan krypteras innan den lagras i databasen.

5. Underbiträden (tredjepartstjänster)

Tjänst	Syfte	Plats	Dataskydd
Supabase	Databas och fillagring	EU (Frankfurt)	Krypterad lagring, SOC2-certifierad
Anthropic (Claude AI)	AI-bearbetning av CV-text	USA	Zero data retention API, EU-US DPF
Render	Applikationshosting	EU (Frankfurt)	SOC2, krypterad transit

6. Lagringstid

Vi tillämpar strikt dataminimering:

• Original-CV:n: Raderas automatiskt direkt efter textextraktion (minuter).
• Genererade CV:n och CV-data: Lagras i högst 30 dagar, därefter raderas de automatiskt.
• Exempel-CV:n för stilanalys: Lagras i högst 30 dagar.
• Samtyckesregister: Sparas så länge det behövs för att dokumentera samtycke (lagkrav).

7. Dina rättigheter

Enligt GDPR har du följande rättigheter:

• Rätt till tillgång (Art. 15): Du kan se vilka uppgifter vi har om dig.
• Rätt till radering (Art. 17): Du kan begära att all din data raderas omedelbart.
• Rätt till dataportabilitet (Art. 20): Du kan exportera all din data i maskinläsbart format (JSON).
• Rätt att återkalla samtycke (Art. 7(3)): Du kan när som helst återkalla ditt samtycke utan att det påverkar lagligheten av behandling som skett dessförinnan.
• Rätt att klaga: Du kan lämna klagomål till Integritetsskyddsmyndigheten (IMY) – www.imy.se.

8. Säkerhetsåtgärder (Art. 32)

• Persondata krypteras med Fernet (AES-128-CBC) innan lagring i databasen.
• All kommunikation sker över HTTPS/TLS.
• Signerade nedladdningslänkar med 1 timmes giltighetstid.
• Automatisk dataminimering – original-CV:n raderas omedelbart efter bearbetning.
• Schemalagd gallring av data som passerat retentionstiden.
• Audit-loggning av all dataåtkomst.

9. Överföring till tredjeland

CV-text skickas till Anthropic (USA) för AI-bearbetning. Denna överföring skyddas av EU-US Data Privacy Framework (DPF) och Anthropics zero data retention-policy för API-anrop. Data som skickas till Claude AI används inte för modellträning.