Integritetspolicy

1. Personuppgiftsansvarig

Committa AB är personuppgiftsansvarig för behandlingen av dina personuppgifter i denna tjänst. Kontakta oss på gdpr@committa.se vid frågor om dataskydd.

2. Vilka personuppgifter behandlas?

När du använder CV-generatorn behandlar vi följande uppgifter:

• Kontaktuppgifter: Namn och e-postadress (vid inloggning)
• CV-innehåll: All information i ditt uppladdade CV – namn, titel, arbetslivserfarenhet, utbildning, kompetenser, certifieringar m.m.
• Genererad data: Det omstrukturerade CV:t och tillhörande metadata
• Tekniska uppgifter: Tidsstämplar, jobb-ID:n
• Mötestranskribering: Transkript, sammanfattning och ditt intyg om att deltagarna har sagt ja till transkribering. Ljudfilen sparas inte.

3. Rättslig grund för behandlingen

Vi behandlar dina personuppgifter baserat på:

• Samtycke (Art. 6(1)(a) GDPR): Du ger uttryckligt samtycke innan ditt CV laddas upp och bearbetas. Du kan när som helst återkalla ditt samtycke.
• Avtal (Art. 6(1)(b) GDPR): Behandlingen är nödvändig för att tillhandahålla den tjänst du begärt.
• Berättigat intresse / arbetsrelation: Intern visning av kollegors profiler i appen kan stödjas på annan rättslig grund än AI-behandling.

AI (CAI): Automatiserad användning av en konsults profildata i AI-chatt kräver separat samtycke från den berörda personen.

4. Hur behandlas dina uppgifter?

1. Uppladdning: Ditt original-CV laddas upp till säker molnlagring (Supabase, EU).
2. Textextraktion: Text extraheras från PDF/DOCX-filen.
3. AI-bearbetning: Den extraherade texten skickas till Anthropic (Claude AI) för omstrukturering. Anthropic behandlar inte data för modellträning via API:et.
4. Generering: Ett nytt CV-dokument skapas baserat på AI:ns svar.
5. Radering av original: Ditt original-CV raderas automatiskt från lagringen direkt efter att texten extraherats (dataminimering).
6. Kryptering: Den strukturerade CV-datan krypteras innan den lagras i databasen.

Mötestranskribering: Innan inspelning startar intygar du i appen att deltagarna har tillfrågats och sagt ja. Intyget är din bekräftelse och ersätter inte deltagarnas eget samtycke. Ljud skickas till OpenAI (Whisper) för transkribering och sparas inte som ljudfil. Transkript och sammanfattning lagras kopplat till ditt konto. Sammanfattningen kan bearbetas med Claude.

5. Underbiträden (tredjepartstjänster)

Tjänst	Syfte	Plats	Dataskydd
Supabase	Databas och fillagring	EU (Frankfurt)	Krypterad lagring, SOC2-certifierad
Anthropic (Claude AI)	AI-bearbetning av CV-text och mötessammanfattningar	USA	Zero data retention API, EU-US DPF
OpenAI (Whisper)	Transkribering av mötesljud	USA	API-anrop, ljudfilen sparas inte hos oss
Render	Applikationshosting	EU (Frankfurt)	SOC2, krypterad transit

6. Lagringstid

Vi tillämpar strikt dataminimering:

• Original-CV:n: Raderas automatiskt direkt efter textextraktion (minuter).
• Genererade CV:n och CV-data: Lagras i högst 30 dagar, därefter raderas de automatiskt.
• Exempel-CV:n för stilanalys: Lagras i högst 30 dagar.
• Samtyckesregister: Sparas så länge det behövs för att dokumentera samtycke (lagkrav).

7. Dina rättigheter

Enligt GDPR har du följande rättigheter:

• Rätt till tillgång (Art. 15): Du kan se vilka uppgifter vi har om dig.
• Rätt till radering (Art. 17): Du kan begära att all din data raderas omedelbart.
• Rätt till dataportabilitet (Art. 20): Du kan exportera all din data i maskinläsbart format (JSON).
• Rätt att återkalla samtycke (Art. 7(3)): Du kan när som helst återkalla ditt samtycke utan att det påverkar lagligheten av behandling som skett dessförinnan.
• Rätt att klaga: Du kan lämna klagomål till Integritetsskyddsmyndigheten (IMY) – www.imy.se.

8. Säkerhetsåtgärder (Art. 32)

• Persondata krypteras med Fernet (AES-128-CBC) innan lagring i databasen.
• All kommunikation sker över HTTPS/TLS.
• Signerade nedladdningslänkar med 1 timmes giltighetstid.
• Automatisk dataminimering – original-CV:n raderas omedelbart efter bearbetning.
• Schemalagd gallring av data som passerat retentionstiden.
• Audit-loggning av all dataåtkomst.

9. Överföring till tredjeland

CV-text och mötessammanfattningar skickas till Anthropic (USA) för AI-bearbetning. Mötesljud skickas till OpenAI (USA) för transkribering. Dessa överföringar skyddas av EU-US Data Privacy Framework (DPF). Data som skickas till Claude AI används inte för modellträning. Ljudfilen från mötet sparas inte efter transkriberingen.