Integritetspolicy för ReBid

1Ansvarig och kontakt

ReBid AB, organisationsnummer 559492-1610, Vasagatan 12, 111 20 Stockholm, Sverige, ansvarar för den personuppgiftsbehandling där vi bestämmer ändamål och medel. Dataskyddsfrågor: gdpr@rebid.se. Övriga frågor: info@rebid.se. Webbplats: www.rebid.se. Denna policy gäller besökare, användare, kund- och leverantörskontakter, potentiella kunder samt personer som förekommer i upphandlings- och företagsinformation. Den beskriver vår behandling enligt GDPR och kompletterande svensk lag.

Vi är personuppgiftsansvariga för bland annat kundadministration, försäljning, säkerhet och den upphandlingsinformation som vi samlar in för egna tjänsteändamål. För personuppgifter i dokument och annat material som vi behandlar enbart på kundens instruktioner är vi personuppgiftsbiträde. Då regleras behandlingen i personuppgiftsbiträdesavtal. Kontakta i första hand kunden för rättighetsfrågor om sådant material; vi bistår kunden.

2Vilka uppgifter vi behandlar

• Kontakt och konto: namn, arbetsrelaterad e-post och telefon, företag, befattning, inloggningsuppgifter och behörigheter.
• Avtal och betalning: abonnemang, beställningar, fakturauppgifter, fakturakontakt och betalningsstatus. Enligt nuvarande betalningsupplägg sker betalning mot faktura.
• Kommunikation: e-post, supportärenden, mötesanteckningar och, när inspelning sker, ljud, bild och transkribering.
• Teknik och användning: IP-adress, enhets- och webbläsaruppgifter, inloggnings- och säkerhetsloggar, funktionsanvändning, fel och prestanda.
• Upphandlingsinformation: arbetsrelaterade kontaktuppgifter, företrädare och referenspersoner i annonser, tilldelningar och referenser. Uppgifter om enskilda näringsidkare kan vara personuppgifter.
• Prospektering: namn, yrkesroll, arbetsgivare, kontaktuppgifter i arbetet och relevanta offentliga yrkesuppgifter.
• Kundmaterial: uppladdade eller anslutna dokument, företagsprofiler, referenser, frågor, svar och analyser som kan innehålla personuppgifter.

Företagsuppgifter är inte alltid personuppgifter. De omfattas av denna policy när de kan knytas till en levande person. Vi efterfrågar inte känsliga personuppgifter eller uppgifter om lagöverträdelser för tjänstens normala användning. Sådant innehåll ska inte tillföras utan särskild överenskommelse och rättsligt stöd.

3Källor och information till berörda

Vi får uppgifter från dig, från din arbetsgivare eller uppdragsgivare, genom användning av tjänsten och från system som kunden väljer att ansluta. Upphandlingsuppgifter hämtas enligt nuvarande policy främst från TED och kompletterande svenska upphandlingsannonser. Tilldelningsbeslut kan också tillföras manuellt.

Företags- och yrkesuppgifter kan komma från Bolagsverket, myndigheters och företags webbplatser, företagsinformationstjänster och offentliga yrkesprofiler. Offentlig tillgänglighet innebär inte att all återanvändning är tillåten. Vi begränsar insamlingen till relevanta uppgifter och tillåtna källor.

När uppgifter samlas in från någon annan lämnar vi information inom den tid som GDPR kräver, normalt senast inom en månad och tidigare vid första kontakt eller utlämnande om det sker dessförinnan. Undantag används endast efter en dokumenterad bedömning i det enskilda sammanhanget. Om individuell information är omöjlig eller kräver oproportionerlig ansträngning vidtar vi lämpliga skyddsåtgärder, bland annat offentlig information. Denna policy innebär inget generellt undantag från informationsskyldigheten.

4Ändamål och rättslig grund

Konton, kundadministration och support: vårt berättigade intresse av att leverera och administrera tjänsten till kundens organisation. Om du själv är avtalspart och behandlingen är nödvändig för avtalet används artikel 6.1 b GDPR.

Fakturering och bokföring: rättslig förpliktelse för lagstadgad redovisning och berättigat intresse för betalningsadministration och indrivning.

Upphandlingsinformation och matchning: vårt och kundernas berättigade intresse av att identifiera relevanta affärsmöjligheter, analysera upphandlingar och finna yrkesmässiga kontaktvägar. Personnummer behandlas bara om det är klart motiverat enligt svensk lag, exempelvis för säker identifiering av en enskild näringsidkare.

Säkerhet, drift och begränsad produktanalys: berättigat intresse av att förebygga missbruk, felsöka och förbättra funktion och prestanda. Kunddokument och promptinnehåll räknas inte automatiskt som teknisk statistik. Samtycke inhämtas när regler om cookies eller liknande teknik kräver det.

Prospektering och marknadsföring: berättigat intresse av relevant företagsförsäljning, eller samtycke när det krävs. Elektronisk marknadsföring till fysiska personer kräver som huvudregel förhandssamtycke. Undantaget för befintliga kunder används bara när samtliga lagvillkor är uppfyllda, inklusive egna likartade tjänster och enkel kostnadsfri möjlighet att tacka nej. Yrkesroll innebär inte i sig undantag från reglerna.

Inspelning och transkribering: berättigat intresse av korrekt dokumentation och uppföljning, efter nödvändighets- och intresseavvägning. Vi informerar före inspelningen och erbjuder kontakt utan inspelning. Rättsliga anspråk: berättigat intresse av att fastställa, göra gällande eller försvara anspråk.

Du kan invända mot behandling som grundas på berättigat intresse och begära information om avvägningen. Mot direktmarknadsföring kan du alltid invända. Samtycke kan återkallas utan att det påverkar tidigare laglig behandling.

5AI och användning av kundmaterial

ReBid använder AI för sökning, sammanfattningar, matchning, analys och svar. Det material som behövs kan behandlas av en AI-leverantör för vår räkning. Frågor, dokumentutdrag, svar och sökindex kan innehålla personuppgifter och omfattas då av samma krav som annat personuppgiftsmaterial.

Vi använder inte kundmaterial för att träna gemensamma eller generella AI-modeller. Våra AI-leverantörer ska enligt våra avtal inte använda materialet för egen modellträning. Kundspecifik sökning och analys i materialet är inte samma sak som modellträning.

Eventuell framtida träning kräver en separat uttrycklig överenskommelse, rättslig grund och information till berörda; godkännande av användarvillkoren räcker inte.

Vi använder teknisk användningsstatistik för drift och förbättring. Pseudonymiserade uppgifter är fortfarande personuppgifter. Statistik faller utanför GDPR först när personer inte rimligen kan identifieras. Kunders konfidentiella anbud, prisuppgifter och kalkyler används inte för gemensam benchmarking utan separat överenskommelse.

Du kommunicerar med ett AI-system när du använder AI-assistenten. Svar kan vara felaktiga eller ofullständiga. Matchningen avser affärsmöjligheter för företag och är ett beslutsstöd. ReBid fattar inte beslut om dig som enbart bygger på automatiserad behandling och har rättsliga eller motsvarande betydande följder.

6Integrationer och externa assistenter

När en integration aktiveras bestämmer dess funktion och beviljade behörigheter vilka uppgifter som överförs. Teams-notiser enligt nuvarande policy skickar matchade upphandlingar till kundens valda kanal och läser inte kanalens innehåll. Andra integrationer omfattas endast om de faktiskt har aktiverats och beskrivits för kunden.

Anslutning till dokumentlagring eller en extern AI-assistent via exempelvis MCP kan innebära att valda dokument, frågor, svar eller upphandlingsuppgifter delas. Kunden ska begränsa behörigheterna och kontrollera mottagare och åtkomst. Leverantörer som kunden själv anlitar behandlar uppgifterna enligt kundens avtal med dem. Om leverantören i stället arbetar för ReBids räkning ansvarar vi för tillämpliga biträdesarrangemang.

Frånkoppling stoppar framtida åtkomst genom kopplingen men raderar inte automatiskt tidigare överförda uppgifter hos den externa tjänsten.

7Mottagare

Behöriga medarbetare och leverantörer får tillgång när det behövs för deras uppgifter. Vi anlitar leverantörer för molndrift, lagring och sökning, AI, kundregister, e-post, möten och transkribering, support, produktutveckling, ekonomi samt, efter tillämpligt samtycke, analys och annonsering. Biträden omfattas av personuppgiftsbiträdesavtal.

Användare i kundens organisation kan se uppgifter enligt sina behörigheter. Yrkesrelaterade kontaktuppgifter i upphandlingsinformation görs tillgängliga för tjänstens kunder. Banker, rådgivare och myndigheter kan vara självständigt ansvariga för sina ändamål. Vid investering eller överlåtelse kan nödvändiga uppgifter delas under sekretess och med begränsad åtkomst.

Vi säljer inte personuppgifter för tredje parts egen marknadsföring. Kontakta gdpr@rebid.se för närmare information om mottagare. Kundens godkännande och information om underbiträden regleras i biträdesavtalet.

8Behandlingsländer och säkerhet

Enligt nuvarande driftbeskrivning lagras plattformsdata hos Amazon Web Services inom EU. Lagring inom EU innebär inte att all behandling sker där. Leverantörer och underleverantörer kan behandla eller få åtkomst till uppgifter utanför EU/EES, bland annat i USA.

Överföring sker bara med tillämpligt stöd enligt GDPR, exempelvis ett giltigt beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler med de bedömningar och kompletterande skydd som behövs. För USA kan EU–U.S. Data Privacy Framework användas när mottagaren och behandlingen omfattas av giltig certifiering och beslut. Kontakta oss för information om länder, skydd och en kopia av relevanta skyddsåtgärder.

Vi vidtar riskanpassade tekniska och organisatoriska åtgärder, bland annat behörighetsstyrning, kryptering, loggning och säkerhetskopiering. Om vi är biträde underrättar vi kunden utan onödigt dröjsmål om personuppgiftsincidenter. När vi är ansvariga gör vi anmälan till IMY inom 72 timmar från vetskap när det krävs och informerar berörda utan onödigt dröjsmål när incidenten sannolikt leder till hög risk.

9Lagring och radering

Vi sparar inte uppgifter längre än vad ändamålet kräver. Nedanstående maximitider gäller om inte tidigare radering krävs, kunden instruerar oss enligt biträdesavtalet eller en särskild laglig skyldighet eller ett konkret rättsligt anspråk motiverar fortsatt bevarande. Vid sådant bevarande begränsas åtkomst och användning.

• Kontouppgifter: under kundrelationen och högst 90 dagar efter abonnemangets slut. Provkonton: högst sex månader efter provperioden.
• Supportärenden: högst 24 månader efter avslut. Säkerhets- och driftloggar: högst 12 månader. Personanknuten användningsstatistik: högst 13 månader.
• Prospekt och marknadsföringskontakter: högst 24 månader efter senaste relevanta kontakt, med löpande relevansprövning. En minimal spärrpost kan sparas så länge den behövs för att respektera ett nej till utskick.
• Inspelningar och transkriberingar: högst 12 månader. Relevanta avtals- och kundanteckningar prövas separat utifrån kundrelation och eventuella anspråk.
• Upphandlingsinformation med personuppgifter: högst fem år efter tilldelningsbeslut eller publicering, med tidigare rättelse eller radering när skäl finns.
• Kundmaterial: enligt biträdesavtalet, normalt radering från aktiva system senast 90 dagar efter avtalsupphörande. Tider för datauttag och byte enligt användarvillkoren ska respekteras. Radering omfattar även tillhörande sökindex och mellanlagrade kopior.
• Säkerhetskopior: roterande bevarande i högst 35 dagar. Raderade uppgifter kan därför finnas kvar isolerade under denna tid och får inte återinföras i ordinarie användning.
• Räkenskapsinformation: till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades.

Att ta bort ett användarkonto innebär inte automatiskt att organisationens abonnemang sägs upp eller att allt kundmaterial raderas. Begäranden om radering prövas enligt GDPR; vi lämnar inget generellt löfte om att alla uppgifter raderas inom 24 timmar.

10Dina rättigheter

Du kan begära tillgång till och kopia av dina personuppgifter, rättelse, radering och begränsning av behandling när förutsättningarna är uppfyllda. Du kan invända mot behandling med stöd av berättigat intresse. Vi ska då upphöra om vi inte kan visa skäl som väger tyngre eller behöver uppgifterna för rättsliga anspråk. Direktmarknadsföring upphör alltid vid invändning.

Du har rätt till dataportabilitet för uppgifter som du har tillhandahållit, när behandlingen sker automatiserat och grundas på samtycke eller avtal med dig. Rätten innebär inte en obegränsad rätt till alla analyser eller till andra personers uppgifter. Du kan alltid återkalla ett lämnat samtycke.

Mejla gdpr@rebid.se. Vi svarar utan onödigt dröjsmål och senast inom en månad. Vid behov får fristen förlängas med ytterligare två månader enligt GDPR; då informerar vi inom den första månaden och anger skälen. Vi kan behöva verifiera din identitet på ett proportionerligt sätt. Begäranden är normalt kostnadsfria. Vid uppenbart ogrundade eller orimliga begäranden tillämpas GDPR:s särskilda regler.

Du har rätt att klaga till Integritetsskyddsmyndigheten, www.imy.se, och att använda de rättsmedel som lagen ger dig. Användarvillkorens tvistbestämmelser begränsar inte dina rättigheter som registrerad.

11Cookies och annonsering

Nödvändig teknik används för exempelvis inloggning och säkerhet. Annan lagring eller åtkomst i din enhet för statistik, personalisering, annonsering eller konverteringsmätning används först efter giltigt samtycke, när sådant krävs. Detta gäller även pixlar och liknande teknik.

Du ska kunna tacka nej lika enkelt som ja och återkalla ditt val genom webbplatsens cookieinställningar. Närmare information om använda tekniker, leverantörer, ändamål och livslängd ska finnas där samtycket lämnas. Att en statistikleverantör beskriver uppgifterna som aggregerade gör inte i sig insamlingen undantagen från samtyckeskravet.

12Nödvändiga uppgifter och ändringar

Kontakt- och kontouppgifter behövs för att ge dig åtkomst, och nödvändiga fakturauppgifter behövs för att administrera beställningen. Om de inte lämnas kan vi inte leverera berörda delar av tjänsten. Uppgifter för frivillig marknadsföring behöver inte lämnas för att använda tjänsten. ReBid riktar sig till verksamheter och inte till barn.

Vi uppdaterar policyn när behandlingen ändras och lämnar tydlig information om väsentliga förändringar. Om ett nytt ändamål kräver samtycke inhämtas det separat. Fortsatt användning av tjänsten utgör inte dataskyddssamtycke.