Personuppgiftsansvarigs integritetspolicy

1. Personuppgiftsansvarig

Gosoft Oy är personuppgiftsansvarig för den behandling som beskrivs i denna policy och ansvarar för den enligt EU:s dataskyddsförordning (GDPR) och den finländska dataskyddslagen (1050/2018).

Gosoft Oy (FO-nummer: 3454099-6) Punavuorenkatu 7 B 38, 00120 Helsingfors, Finland

Denna policy gäller de personuppgifter som Gosoft behandlar för egna ändamål: användarna av portalen Gosoft Connect och kontaktpersonerna hos våra kunder och partner, personer som kontaktar oss eller prenumererar på vårt nyhetsbrev, besökare på vår egen webbplats gosoft.fi samt de som använder vår kontroll av AI-genererad text.

När en kund använder Gosoft Connect på sin egen webbplats, eller publicerar ett formulär som Gosoft driftar på gosoft.fi (Q-formulär), är kunden personuppgiftsansvarig för de uppgifter som dess besökare och svarande lämnar, och Gosoft behandlar uppgifterna för kundens räkning. Den behandlingen beskrivs i Personuppgiftsbiträdes integritetspolicy. Gosoft är dock personuppgiftsansvarig för de fingeravtryck av AI-svar som Gosoft sparar, även när svaren har getts på en kunds webbplats (avsnitt 3).

2. Kontakt i dataskyddsfrågor

privacy@gosoft.fi, eller per post till adressen ovan. Gosoft har inte utsett något dataskyddsombud.

3. Ändamål, rättslig grund och lagringstid

4. Personuppgifter som behandlas

Uppgifterna anges per ändamål i avsnitt 3 och, för besökare på gosoft.fi, i avsnitt 12. Vi ber inte om särskilda kategorier av personuppgifter eller personbeteckningar.

Om du loggar in i Gosoft Connect-portalen med Google eller Microsoft får vi från leverantören ditt namn, din e-postadress, uppgift om huruvida leverantören har bekräftat adressen och en kontoidentifierare; från Microsoft även din organisations katalogidentifierare och från Google, för ett Google Workspace-konto, din organisations domän. Leverantören skickar också uppgifter som vi bara använder för att kontrollera inloggningen och inte sparar, till exempel tidpunkten för inloggningen, om ett Microsoft-konto är ett gästkonto eller ett personligt konto och Googles länk till din profilbild. Vi sparar kontoidentifieraren, Microsofts katalogidentifierare, Google Workspace-domänen, adressen som leverantören uppgav när inloggningssättet kopplades och den som den uppgav senast, hur och när kopplingen gjordes och när den senast användes, för att känna igen dig när du loggar in, och för varje session att den började med Google eller Microsoft och när leverantören senast bekräftade den. Gosofts personal kan logga in med Google bara med Gosofts eget Google Workspace-konto och sin egen verifierade e-postadress för personal: för en session som tillhör personalen sparar vi också att den uppfyllde dessa villkor, och när någon i personalen kopplar Google genom att skriva sitt lösenord sparar vi kontoidentifieraren, adressen och domänen tills rätt lösenord har skrivits. Om det inte skrivs inom 10 minuter kopplas ingenting, och uppgifterna raderas vid nästa rensning, som görs varje timme. Om du accepterar en inbjudan eller en överlämning av en arbetsyta med Google eller Microsoft och ännu inte har något konto blir namnet från leverantören ditt kontos namn. Om det är leverantörens bekräftelse som bekräftar ditt kontos adress (ett konto som skapats så, eller ett obekräftat konto som tas över av den som innehar adressen), antecknas på kontot vilken leverantör som bekräftade den. Händelser som gäller inloggningen (ett inloggningssätt som kopplas eller tas bort, ett obekräftat konto som tas över av den som innehar adressen, en Google- eller Microsoft-session som avslutas av den dagliga kontrollen eller för att kontot tillhör Gosofts personal) sparas i vår granskningslogg i högst 12 månader och raderas tillsammans med ditt konto. Vi får inte ditt lösenord och ingen åtkomst till din e-post, dina filer eller din kalender.

Leverantören får veta att du loggade in i Gosoft Connect och behandlar det enligt sina egna integritetsvillkor. När du accepterar en inbjudan eller en överlämning av en arbetsyta med Google eller Microsoft skickar vi den inbjudna adressen till leverantören som inloggningstips, så att den kan föreslå rätt konto. Medan du är inloggad kontrollerar vi ungefär en gång om dagen hos leverantören att ditt konto fortfarande är aktivt; vid kontrollen skickar vi som inloggningstips din kontoidentifierare till Google och till Microsoft den adress som Microsoft senast uppgav. Du kan ta bort kopplingen på din profilsida; därefter sparar vi bara kontoidentifieraren (för Microsoft även katalogidentifieraren) och tidpunkten för borttagningen tills ditt konto raderas, så att den inte kopplas automatiskt igen.

Ett fingeravtryck av ett AI-svar (avsnitt 3) är en kod, inte text. Det beräknas för varje mening med sex ord eller fler i ett svar från AI-chatten eller Kollega, ett förslag från Bygg från din webbplats eller ett FAQ-utkast, och är de första 8 byten av en SHA-256-hash av meningens ord. Hela texten får ytterligare en kod, och ett svar i chatten eller från Kollega en som beräknas från svarets identifierare. Ett fingeravtryck innehåller inte meningen: en mening kan kopplas till det bara genom att koden beräknas på nytt från samma ord, och det är vad kontrollen gör. Meningar som innehåller en e-postadress, ett telefonnummer, en webbadress, ett tal med fem eller fler siffror eller ett namn som personen har uppgett i konversationen, eller som upprepar sex eller fler ord i följd ur personens egna meddelanden, lämnas bort; när en mening lämnas bort av något av dessa skäl får inte heller hela texten någon kod. Meningar som citerar företagets egna texter lämnas också bort, och för Kollega, Bygg från din webbplats och FAQ-utkasten meningar som citerar materialet som texten skrevs utifrån. Uppgifterna känns igen automatiskt, så en del kan missas: till exempel ett namn som skrivs på ett ovanligt sätt eller som också förekommer i företagets egna texter, en webbadress som skrivs utan https:// eller www. och utan sökväg, eller ett tal som skrivs i grupper, som 123 456. Det du skickar till kontrollen, en text eller ett svars identifierare, används bara för att söka efter det bland fingeravtrycken; för en identifierare anger kontrollen också vilken dag svaret gavs. Varken det du skickar eller resultatet av kontrollen sparas eller loggas någonsin.

Vi sparar fingeravtrycken och erbjuder kontrollen på grundval av vårt berättigade intresse (avsnitt 3), som vi har vägt mot dina rättigheter. Fingeravtryck är det minst ingripande sätt vi har för att göra svaren möjliga att upptäcka: ett fingeravtryck är en kort kod som texten inte kan läsas ut ur, meningar med de uppgifter som nämns ovan lämnas bort, fingeravtrycken raderas med det de märker, och kontrollen anger om en text motsvarar ett fingeravtryck, vilken funktion som skrev texten och, för ett svars identifierare, vilken dag, men visar aldrig någon text, arbetsyta eller konversation. Du kan invända mot denna behandling via privacy@gosoft.fi (avsnitt 11); vi väger då din invändning mot vår skyldighet enligt artikel 50.2 i AI-förordningen.

Ditt namn, din e-postadress och din organisation behövs för att skapa ett konto och ingå avtalet, och faktureringsuppgifter behövs för ett betalt paket. Allt annat är frivilligt.

5. Varifrån uppgifterna kommer

Vi får personuppgifter främst av dig: när du registrerar dig, använder portalen, gör en beställning, fyller i ett formulär eller chattar på vår webbplats, prenumererar på vårt nyhetsbrev eller kontaktar oss. Vi får dem också från din organisation, till exempel när en kollega bjuder in dig till portalen eller din organisation beställer tjänsten, och från en partnerbyrå som förvaltar din organisations arbetsyta. Om du loggar in i Gosoft Connect-portalen med Google eller Microsoft får vi dessutom de uppgifter som beskrivs i avsnitt 4 från leverantören. Vi kan kontrollera företagsuppgifter i offentliga källor, såsom handelsregistret och din organisations webbplats. Säkerhets- och feluppgifter uppstår i våra egna system. Fingeravtrycken av AI-svar beräknas i våra egna system från de svar och utkast som de märker (avsnitt 4).

6. Mottagare

Om du loggar in i Gosoft Connect-portalen med Google eller Microsoft skickar vi de inloggningstips som beskrivs i avsnitt 4 till leverantören.

Den som använder kontrollen av AI-genererad text får veta om en text motsvarar ett fingeravtryck och vilken funktion som skrev den motsvarande texten samt, för ett svars identifierare, vilken dag svaret gavs (avsnitt 4).

Vi säljer inte personuppgifter och lämnar inte ut dem för andras marknadsföring.

7. Överföring av uppgifter utanför EU eller EES

Hetzner lagrar våra uppgifter i Finland och Tyskland. OpenAI, Google och Stripe är etablerade i Irland, men de, deras koncernbolag och deras egna underbiträden kan behandla uppgifter i USA och andra länder utanför EES. De villkor för personuppgiftsbehandling som vi har med var och en av dem kräver att varje sådan överföring grundar sig på Europeiska kommissionens standardavtalsklausuler eller på ett beslut av kommissionen om adekvat skyddsnivå, till exempel beslutet om ramverket för dataskydd mellan EU och USA (Data Privacy Framework) när mottagaren i USA är certifierad enligt det. Du kan begära en kopia av skyddsåtgärderna via privacy@gosoft.fi.

8. Principer för skydd av registret

Vi skyddar personuppgifter med tekniska och organisatoriska åtgärder: åtkomsten är begränsad till namngivna personer, lösenord sparas som argon2id-hashar, webbanslutningar skyddas med TLS, säkerhetskopior krypteras och åtkomst till kunders uppgifter i portalen registreras i en granskningslogg. Vår säkerhetssida beskriver åtgärderna och deras begränsningar i detalj. De personer hos Gosoft som hanterar personuppgifter har tystnadsplikt.

9. Lagringstid

Vi sparar personuppgifter endast under de tider som anges i avsnitt 3 och 12. Om lagen kräver längre lagring, som bokföringslagen gör för bokföringsmaterial, sparar vi uppgifterna så länge. Uppgifter som raderats från den aktiva tjänsten finns kvar i våra krypterade säkerhetskopior tills de roteras bort, normalt cirka 30 dagar senare.

10. Rätt till tillgång och rätt till rättelse

Du har rätt att få veta om vi behandlar dina personuppgifter, att få en kopia av dem och att få felaktiga uppgifter rättade. Portalanvändare kan själva rätta de flesta av sina uppgifter i portalen.

11. Övriga rättigheter i samband med behandling av personuppgifter

Du har rätt att få dina personuppgifter raderade, att begränsa behandlingen och att invända mot behandling som grundar sig på vårt berättigade intresse. Du kan när som helst invända mot att dina uppgifter används för direktmarknadsföring, och då upphör vi med det. När behandlingen grundar sig på ditt samtycke kan du när som helst återkalla det, utan att det påverkar behandlingen före återkallelsen. När behandlingen grundar sig på ditt samtycke eller på ett avtal och sker automatiserat har du rätt till dataportabilitet, det vill säga att få dina uppgifter i ett maskinläsbart format.

Skicka begäranden till privacy@gosoft.fi. Vi svarar inom en månad, som dataskyddsförordningen kräver. Vi kan först be dig bekräfta din identitet.

12. Besökare som använder chatten och widgetarna på vår webbplats

Vår egen webbplats (gosoft.fi) använder Gosoft Connect, samma chatt, AI-assistent och formulär som vi tillhandahåller våra kunder. När du använder dem här är Gosoft Oy personuppgiftsansvarig. Ett undantag är Q-formulärens sidor på gosoft.fi: de tillhör den kund som publicerade formuläret (avsnitt 1).

• Vad vi lagrar. Om du chattar med oss eller skickar ett formulär lagrar vi konversationen och dess meddelanden, det du skickar via ett formulär (inklusive uppladdade filer) och de kontaktuppgifter du lämnar för att vi ska kunna återkomma, tillsammans med den sida de skickades från. När du skickar ett formulär eller dina kontaktuppgifter i chatten kan en AI-skriven sammanfattning av konversationen sparas med dem för vårt säljteam. Sammanfattningen anger vad du bad om, vilka detaljer och farhågor du nämnde och ett förslag på nästa steg för vårt team. Denna bedömning av dina behov är profilering som grundar sig på vårt berättigade intresse, och du kan när som helst invända mot den via privacy@gosoft.fi. Kontaktförfrågningar levereras också till vår e-post. Rättslig grund: åtgärder på din begäran innan ett avtal ingås, eller vårt berättigade intresse av att svara och betjäna dem som kontaktar oss (artikel 6.1 b och f).
• Analys. Vi räknar sidvisningar, klick, tid på sidan och konverteringar för att se hur vår webbplats används (berättigat intresse, artikel 6.1 f). gosoft.fi ber inte om samtycke till analys, och vår analys sparar ingenting på din enhet. Vår server bildar en daglig identifierare av webbplatsen, din IP-adress och webbläsarens identifieringssträng (user-agent) med en nyckel som byts ut och raderas varje dag. Besök samma dag kan kopplas till varandra, besök olika dagar kan inte det. Under den identifieraren sparar vi sidans adress (utan frågedel, utom kampanjtaggar), den hänvisande webbplatsen, språket, enhetstypen och, för ett klick, vilken knapp eller vilket alternativ som klickades. Uppgifterna är pseudonymiserade, inte anonyma. Din IP-adress och webbläsarens identifieringssträng sparas inte.
• Din IP-adress. Vi lagrar den inte med dina chatt-, formulär- eller analysuppgifter. Den används i minnet för att begränsa missbruk och för att bilda den dagliga identifieraren ovan. En förfrågan som misslyckas kan lämna den i webbserverns fellogg, som sparas i 14 dagar.
• AI-svar. För att svara dig skickar AI-chatten ditt meddelande, den senaste konversationen och relevant innehåll från vår kunskapsbas till vårt personuppgiftsbiträde OpenAI Ireland Ltd, och meddelandena och svaren till OpenAI:s modereringstjänst, som granskar dem för att upptäcka skadligt innehåll. OpenAI kan behandla uppgifterna utanför EES (avsnitt 7). Enligt OpenAI:s API-villkor används uppgifterna inte för att träna dess modeller, och OpenAI kan spara dem i upp till 30 dagar för att upptäcka missbruk. Chatten märker assistenten som AI. Sökningen i vår kunskapsbas sker på våra egna servrar. Vi använder inga spårningsverktyg för annonsering eller analys från tredje part, och automatiserad besökarprofilering är avstängd.
• AI-märkning. AI-assistentens svar märks maskinläsbart som AI-genererade, och vi sparar fingeravtryck av deras meningar (avsnitt 3 och 4). Vem som helst kan på https://connect.gosoft.fi/api/ai-check kontrollera om en text motsvarar ett svar som assistenten har gett; chattens integritetsmeny länkar dit ("Kontrollera om en text är AI-genererad"). Fingeravtrycken innehåller ingen text och raderas med konversationen.
• Livechatt. Om du ber om en människa svarar vår personal dig i portalen. De kan få en avisering med början av ditt meddelande via webbläsarens push-tjänst (Apple, Google, Microsoft eller Mozilla), end-to-end-krypterad så att tjänsten inte kan läsa den.
• Lagringstid. Konversationer och meddelanden: 90 dagar från senaste aktivitet. Formulärsvar och uppladdade filer: 90 dagar från när de skickades. Kontaktuppgifter som du lämnat i AI-chatten och analyshändelser: 365 dagar. En kontaktförfrågan som levererats till vår e-post: enligt avsnitt 3 (kontakter och försäljning). Poster över AI-användning (modell, antal tokens och kostnad, inget meddelandeinnehåll) förlorar sin koppling till din konversation när konversationen raderas.
• Dina rättigheter. I chattens integritetsmeny kan du ladda ner ("Ladda ner mina uppgifter") eller radera ("Radera alla mina uppgifter") de uppgifter som är kopplade till den identifierare som din webbläsare har nu; begäran autentiseras med en hemlighet som finns i din webbläsare. Fingeravtrycken av AI-svaren (koder, avsnitt 4) ingår inte i nedladdningen; de raderas med konversationen. Raderingen når inte ett tidigare besök som gjordes under en identifierare som sedan har gått ut, kopian av en kontaktförfrågan i vår e-post eller de kopior som OpenAI sparar för att upptäcka missbruk. I de fallen, och om du har rensat webbläsarens lagrade data, skicka e-post till privacy@gosoft.fi, så behandlar vi din begäran manuellt. Rättigheterna i avsnitt 10 och 11 gäller.

13. Cookies och annan lagring i din webbläsare

Reglerna om att lagra uppgifter i din webbläsare och läsa dem (i Finland 205 § i lagen om tjänster inom elektronisk kommunikation, 917/2014) gäller cookies och alla andra tekniker, till exempel lokal lagring (local storage) och sessionslagring (session storage). Det här lagrar gosoft.fi och vår portal:

Vi ber inte om samtycke till denna lagring: den tjänar chatten, formulären och portalen som du använder, och markeringarna registrerar bara att du stängde en hälsning eller öppnade chatten. Inget av detta följer dig till andra webbplatser, och inget av det lämnas ut till tredje part. Vad ett Q-formulärs sida på gosoft.fi lagrar beror på inställningarna hos den kund som publicerade formuläret; se Personuppgiftsbiträdes integritetspolicy.

14. Automatiserade beslut

Vi fattar inga beslut som enbart grundar sig på automatiserad behandling och som har rättsliga följder för dig eller på liknande sätt i betydande grad påverkar dig (artikel 22 i GDPR). AI-funktionerna skriver svar och sammanfattningar; personer hos Gosoft beslutar hur de ska användas.

15. Rätt att lämna in klagomål

Om du anser att behandlingen av dina personuppgifter strider mot GDPR har du rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i det EU-land där du bor eller arbetar eller där överträdelsen skedde. I Finland är tillsynsmyndigheten Dataombudsmannens byrå (tietosuoja.fi).

16. Ändringar i denna policy

Vi uppdaterar denna policy när vår behandling ändras. Datumet för den senaste uppdateringen visas överst. Vi informerar våra kunder i förväg om en ändring som försämrar skyddet för deras uppgifter, på det sätt som våra användarvillkor anger.