Integritetspolicy

1. Personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen är Tomas Henningsson Invest AB (org.nr 559244-9887), Norra Stallbacksvägen 3, 425 43 Hisings Kärra. Vid frågor om dina personuppgifter eller den här policyn, kontakta oss på dataskydd@cvmatch.nu.

2. Vilka uppgifter vi behandlar

Vi behandlar de uppgifter du själv lämnar och som skapas när du använder tjänsten:

• Kontouppgifter: din e-postadress och ditt lösenord, som lagras hashat (envägskodat) hos vår autentiseringsleverantör.
• CV-innehåll: det CV du laddar upp samt den information som AI extraherar ur det (arbetslivserfarenhet, utbildning, kompetenser, sammanfattning m.m.).
• Sökpreferenser: orter och avstånd, anställningsformer, körkortsbehörigheter, sökord, uteslut-ord och liknande inställningar.
• Jobbsökarstatus och månadsuppgifter: om du söker jobb eller har ett, och, om du använder funktionen, om du markerat månadens uppgifter för a-kassan och aktivitetsrapporten som gjorda. Det kan säga något om din sysselsättning och används bara för påminnelserna i tjänsten.
• Genererat innehåll: skräddarsydda CV:n (med en kopia av det CV de utgick från), de svar du ger på följdfrågor i matchningsflödet, samt intervjufrågor och företagsresearch du tar fram.
• Aktivitet i tjänsten: jobb du markerat som sökta eller ej relevanta, jobb som sparats på Översikt för att de matchar dig bra (med en kopia av annonstexten), annonser du själv klistrat in, och vilka tips i hjälpguiden du sett.
• Ansökningsdata: statusar (t.ex. att du fått intervju) och egna anteckningar du väljer att skriva om jobb du sökt, samt en kopia av annonsen.
• Supportärenden: meddelanden du skickar till oss via tjänsten eller e-post, och våra svar.
• Användningsstatistik: vilka funktioner du använder och när, vilken typ av enhet (mobil, surfplatta eller dator) och vad varje AI-anrop kostar oss.
• Betalningsuppgifter: köper du en betald plan hanteras kortuppgifterna av vår betalpartner Stripe — vi lagrar aldrig ditt kortnummer, bara en kund- och prenumerationsreferens samt betalstatus.
• Samtycken: när du skapar konto, när du laddar upp ett CV och när du köper en betald plan (att du begärt att den börjar direkt) sparar vi vilken version av texten du godkände och när (se avsnitt 3 och 5).
• Teknisk data: sessionscookies för inloggning, samt tidpunkter för uppladdningar och sökningar som vi använder för att begränsa missbruk.
• Tekniska loggar: IP-adress, webbläsarens användaragent (typ av webbläsare och operativsystem) och tidpunkter för anrop och inloggningar, som vår hosting- och autentiseringsleverantör sparar i sina loggar för säkerhet och felsökning.
• Felrapporter: tekniska uppgifter om fel som uppstår i tjänsten, t.ex. vilken sida eller funktion som drabbades och när (se Sentry i avsnitt 4).

3. Varför vi behandlar uppgifterna och laglig grund

Vi behandlar dina uppgifter för att kunna leverera tjänsten du efterfrågar — matcha ditt CV mot jobb, generera anpassade ansökningar och hantera ditt konto. Den lagliga grunden är i huvudsak fullgörande av avtal (artikel 6.1 b GDPR) med dig som användare.

Måste du lämna uppgifterna? E-postadress och lösenord krävs för att skapa ett konto, och ett CV krävs för att vi ska kunna matcha dig mot jobb och ta fram anpassade CV:n. Uppgifterna behövs alltså för att vi ska kunna fullgöra avtalet med dig — lämnar du dem inte kan du inte använda de funktionerna. Köper du en betald plan krävs betalningsuppgifter. Övriga uppgifter, t.ex. sökpreferenser, anteckningar och svar på följdfrågor, väljer du själv om du vill lämna.

För att leverera tjänsten skickas ditt CV-innehåll till en AI-leverantör för analys och textgenerering (se avsnitt 4). Den behandlingen är nödvändig för funktioner du aktivt väljer att använda. Vi använder inte dina uppgifter för annonsering eller profilering utanför tjänstens syfte.

Känsliga uppgifter. Ett CV kan innehålla känsliga personuppgifter enligt artikel 9 GDPR — t.ex. uppgifter om hälsa, medlemskap i fackförening, politiska åsikter, religiös övertygelse eller etniskt ursprung. Vill du inte att sådana uppgifter behandlas ber vi dig att ta bort dem ur CV:t innan du laddar upp det. Innan du laddar upp ett CV får du aktivt kryssa i en ruta där du lämnar ditt uttryckliga samtycke (artikel 9.2 a GDPR) till att sådana uppgifter, om ditt CV innehåller dem, behandlas för att matcha dig mot jobb och ta fram anpassade CV:n och annat ansökningsmaterial åt dig. Utan det krysset går det inte att ladda upp något.

Du kan när som helst återkalla samtycket genom att radera ditt CV eller ditt konto. Raderar du ditt CV slutar vi behandla det, men anpassade CV:n som redan tagits fram finns kvar tills de töms enligt avsnitt 5. Vill du att även de tas bort direkt kan du radera ditt konto eller kontakta oss. Att du återkallar samtycket påverkar inte lagligheten i den behandling som skedde innan du återkallade det.

Vi sparar att du har samtyckt. När du skapar konto, när du laddar upp ett CV och när du köper en betald plan registrerar vi vilken version av texten du godkände och när, så att vi kan visa att samtycket lämnats (artikel 7.1 GDPR). I samtyckesloggen sparar vi inte din IP-adress. Den lagliga grunden är den rättsliga förpliktelsen att kunna visa samtycket (artikel 6.1 c) och, efter att du raderat ditt konto, vårt berättigade intresse av att kunna försvara oss mot rättsliga anspråk (artikel 6.1 f).

Tidpunkterna för uppladdningar och sökningar behandlar vi med stöd av vårt berättigade intresse av att skydda tjänsten mot missbruk (artikel 6.1 f).

De tekniska loggarna hos vår hosting- och autentiseringsleverantör och felrapporterna i vår felövervakning behandlas med stöd av vårt berättigade intresse av att skydda tjänsten mot intrång och missbruk och att upptäcka och åtgärda tekniska fel (artikel 6.1 f).

Supportärenden behandlar vi för att besvara dina frågor och hantera eventuella reklamationer. Gäller ärendet avtalet med dig, t.ex. ditt konto eller en betalning, är den lagliga grunden fullgörande av avtal (artikel 6.1 b). I övriga fall är grunden vårt berättigade intresse av att kunna svara den som hör av sig till oss (artikel 6.1 f).

Användningsstatistiken behandlar vi med stöd av vårt berättigade intresse av att förbättra tjänsten och sätta rätt priser (artikel 6.1 f). Den används inte för annonsering eller för att fatta beslut om dig.

Innehåller ditt CV uppgifter om andra personer (t.ex. referenspersoner) ansvarar du för att ha rätt att dela dem.

Tjänsten riktar sig inte till barn. Du måste vara minst 16 år för att använda tjänsten och lämna dina uppgifter till oss.

4. Mottagare och personuppgiftsbiträden

Vi säljer aldrig dina uppgifter. För att driva tjänsten anlitar vi följande leverantörer som behandlar uppgifter för vår räkning:

• Supabase — autentisering, databas och fillagring (konto, CV och inställningar). Uppgifterna lagras inom EU: North EU (Stockholm).
• Anthropic — AI-bearbetning av CV-innehåll (extrahering, matchning och generering). Behandling sker i USA; se nedan om överföring utanför EU/EES.
• Stripe — betalningshantering vid köp av en betald plan. Kortuppgifter hanteras av Stripe, inte av oss. Stripe är personuppgiftsbiträde åt oss, men personuppgiftsansvarig för sina egna ändamål såsom bedrägeribekämpning och regelefterlevnad.
• Vercel — hosting och leverans av webbplatsen.
• Resend — utskick av kontomejl (bekräftelse av e-postadress, återställning av lösenord) samt mottagning och utskick av supportmejl. Behandling sker i USA; se nedan om överföring utanför EU/EES.
• One.com — mottagning och lagring av mejl som du skickar till våra adresser (support@, dataskydd@ och betalning@cvmatch.nu). Mejlen lagras i datacenter i Danmark; se nedan om systemövervakning utanför EU/EES.
• Sentry — felövervakning, så att vi upptäcker tekniska fel i tjänsten. Uppgifterna lagras inom EU. Felrapporterna innehåller inte ditt CV-innehåll, dina kontaktuppgifter eller din IP-adress — vi har aktivt stängt av den insamlingen.

Vår AI-leverantör använder inte ditt innehåll för att träna sina AI-modeller.

Överföring utanför EU/EES. Anthropic, Resend, Stripe och Vercel är amerikanska bolag, och dina uppgifter kan därför överföras till USA. One.com lagrar mejl i Danmark, men ett bolag i samma koncern i Indien kan få åtkomst vid systemövervakning. Vid sådan överföring skyddas uppgifterna av följande skyddsåtgärder enligt kapitel V GDPR:

• Anthropic: EU-kommissionens standardavtalsklausuler (SCC), som ingår i Anthropics personuppgiftsbiträdesavtal.
• Resend: EU–US Data Privacy Framework (Resend är certifierat).
• Stripe: EU–US Data Privacy Framework, med EU-kommissionens standardavtalsklausuler (SCC) som reserv.
• Vercel: EU–US Data Privacy Framework och EU-kommissionens standardavtalsklausuler (SCC).
• One.com (systemövervakning från Indien): lämpliga skyddsåtgärder, såsom EU-kommissionens standardavtalsklausuler (SCC), som One.com åtar sig i sitt personuppgiftsbiträdesavtal.

Du kan få en kopia av skyddsåtgärderna genom att kontakta oss på dataskydd@cvmatch.nu.

För jobbsökningen hämtar vi annonser från Arbetsförmedlingens öppna JobTech-API samt, i förekommande fall, andra öppna jobbkällor: arbetsgivares publika annonsflöden via rekryteringssystemet Teamtailor och jobbplattformen Himalayas. De sökord som skickas dit härleds från ditt CV (t.ex. rolltitlar) — vi skickar inte ditt namn eller dina kontaktuppgifter till dessa källor.

Använder du företagsresearch (en betald funktion) gör AI-leverantören en webbsökning på arbetsgivarens namn för att sammanfatta publik information. Ingen av dina personuppgifter ingår i den sökningen.

Vi skyddar dina uppgifter med lämpliga tekniska och organisatoriska säkerhetsåtgärder, t.ex. kryptering vid överföring och åtkomstbegränsning. Våra personuppgiftsbiträden är avtalsbundna att vidta motsvarande skydd.

5. Hur länge vi sparar uppgifterna

Vi sparar dina uppgifter så länge du har ett aktivt konto. Du har ett CV i taget: laddar du upp ett nytt raderas det tidigare, både filen och den information som extraherats ur det. Du kan också radera ditt CV direkt i tjänsten, och du kan när som helst radera hela ditt konto under Profil → Radera konto. Då tas dina uppgifter bort och en eventuell aktiv prenumeration sägs upp, med de undantag som anges nedan (samtycken, supportärenden, bokföringsunderlag och tekniska loggar). Du kan också kontakta oss (se avsnitt 1) för att få dina uppgifter raderade. Vissa uppgifter har kortare livslängd: jobb du markerat som "ej relevant" och jobb som sparats på Översikt rensas efter 45 dagar.

Genererade CV:n töms efter 90 dagar. Ett CV som du låtit tjänsten anpassa mot en annons sparas i 90 dagar och töms sedan automatiskt — vi ska inte lagra dina uppgifter längre än vi behöver dem. Undantag: har du markerat jobbet som sökt sparas det anpassade CV:t så länge du har kvar din ansökan, så att du kan se vad du faktiskt skickade in. Ditt eget uppladdade CV berörs inte av gallringen.

Uppgiften om ditt samtycke sparas längre. Raderar du ditt konto tas kopplingen till ditt konto bort, men uppgiften om att du samtyckte (vilken text, när, och en envägskodad kontrollsumma av din e-postadress) sparas i 10 år efter raderingen. Det är den tid under vilken ett rättsligt anspråk kan riktas mot oss, och uppgiften används inte till något annat. Kontrollsumman gör att uppgiften kan hittas om du själv hör av dig, men den går inte att använda för att kontakta dig. Därefter raderas den.

Köp av betald plan. Har du köpt en betald plan sparas räkenskapsinformationen om köpet (t.ex. belopp, datum, kvitto och den e-postadress köpet gjordes med) i sju år från utgången av det kalenderår då räkenskapsåret avslutades, enligt bokföringslagen (7 kap. 2 §). Uppgifterna finns i vår bokföring och hos Stripe, och sparas även om du raderar ditt konto. Den lagliga grunden är rättslig förpliktelse (artikel 6.1 c GDPR).

Tekniska loggar hos vår hosting- och autentiseringsleverantör sparas i högst 7 dagar och raderas därefter automatiskt.

Supportärenden sparas så länge du har kvar ditt konto och raderas 12 månader efter att du raderat det, så att vi kan hantera eventuella reklamationer.

Användningsstatistiken och ett eventuellt svar på frågan om varför du lämnar kopplas bort från ditt konto när du raderar det, och sparas därefter som statistik utan koppling till dig. Skriver du något i fritextfältet sparas texten som du skrev den, så den är inte nödvändigtvis anonym — skriv inte ditt namn eller annat som kan identifiera dig där om du vill vara anonym.

Gallringen av uppgifterna i vår databas som beskrivs i det här avsnittet sker automatiskt varje natt.

6. Dina rättigheter

Enligt GDPR har du rätt att:

• få tillgång till de uppgifter vi behandlar om dig,
• få felaktiga uppgifter rättade,
• få dina uppgifter raderade ("rätten att bli bortglömd"),
• begära begränsning av eller invända mot behandlingen,
• få ut dina uppgifter i ett maskinläsbart format (dataportabilitet),
• när som helst återkalla ett samtycke (se avsnitt 3).

Du utövar dina rättigheter genom att mejla oss på dataskydd@cvmatch.nu. Vi besvarar din begäran inom en månad. Är begäran omfattande eller får vi många samtidigt kan fristen förlängas med högst två månader, och då meddelar vi dig det inom den första månaden. Det finns i dag ingen funktion i tjänsten för att själv ladda ner dina uppgifter — begär du ut dem skickar vi dem till dig. Ditt CV och ditt konto kan du däremot radera själv direkt i tjänsten.

Du har också rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), som är tillsynsmyndighet i Sverige.

7. Cookies

Vi använder endast nödvändiga cookies för att hålla dig inloggad. Vi använder inga cookies för annonsering eller spårning av tredje part.

Utöver det sparar din webbläsare två saker lokalt, som aldrig skickas till oss: ditt val av ljust eller mörkt tema, och din senaste jobbsökning, så att den inte behöver göras om när du går mellan sidor. Sökningen försvinner när du stänger fliken.

8. Profilering och automatiserat beslutsfattande

När vi matchar dig mot jobb gör AI:n en automatiserad bedömning av ditt CV (profilering): den jämför ditt CV med annonsen och räknar fram en matchningsprocent och skälen till den. Procenten är en uppskattning och kan variera något mellan körningar.

Matchningsprocenten och de förslag som AI:n tar fram är beslutsstöd — de hjälper dig att hitta och anpassa ansökningar, men fattar inga beslut med rättslig verkan för dig. Du väljer alltid själv vilka jobb du söker och vad som står i ditt CV. Vi använder inte sådant automatiserat beslutsfattande som avses i artikel 22 GDPR.

9. Ändringar av policyn

Vi kan komma att uppdatera den här policyn. Vid väsentliga ändringar informerar vi dig i tjänsten. Det datum som anges högst upp visar när policyn senast ändrades.