Complifai
Tillbaka

Integritetspolicy

Senast uppdaterad: 26 maj 2026

Den här policyn beskriver hur Complifai, drivet av Haijja AB, samlar in, använder och skyddar personuppgifter i enlighet med EU:s dataskyddsförordning (GDPR, förordning 2016/679) och tillämplig svensk dataskyddslagstiftning.

1. Personuppgiftsansvarig

Complifai drivs av Haijja AB, ett bolag registrerat i Sverige. Haijja AB är personuppgiftsansvarig för all behandling av personuppgifter som sker via Complifai-plattformen.

BolagHaijja AB
LandSverige
Kontaktinfo@complifai.se
Dataskyddprivacy@complifai.se

2. Vilka uppgifter vi behandlar

Vi samlar bara in uppgifter som krävs för att leverera tjänsten. Följande kategorier av personuppgifter behandlas:

  • Identitets- och kontaktuppgifter — namn och e-postadress från Microsoft Azure AD vid inloggning via OAuth.
  • Microsoft 365-konfigurationsdata — Secure Score, MFA-status, Conditional Access-policyer, enhetsefterlevnad och inloggningsaktivitet — hämtade via Microsoft Graph API med behörigheter som godkänts av er organisations administratör. Vi läser aldrig innehåll i e-post, filer eller chattar.
  • Efterlevnadsdata — riskregister, incidentrapporter, leverantörsbedömningar och policydokument som skapas av er organisation i plattformen. Dessa kan innehålla personuppgifter om anställda.
  • Sessions- och säkerhetsdata — autentiseringstoken och sessionscookies som krävs för säker åtkomst.

Vi samlar inte in kortuppgifter — betalningar hanteras av Stripe. Vi behandlar inte känsliga personuppgifter enligt GDPR artikel 9.

3. Ändamål och rättslig grund

Tillhandahålla Complifai-tjänstenAvtalets fullgörande (art. 6.1 b)
Microsoft 365-integration via Graph APIAvtalets fullgörande (art. 6.1 b)
Autentisering och kontosäkerhetBerättigat intresse (art. 6.1 f)
Betalningshantering via StripeAvtalets fullgörande (art. 6.1 b)
Service- och faktureringsmeddelandenAvtalets fullgörande (art. 6.1 b)
Uppfyllande av rättsliga skyldigheterRättslig förpliktelse (art. 6.1 c)
Analyscookies (om du godkänt alla)Samtycke (art. 6.1 a)

4. Lagring och säkerhet

All data lagras på Supabase-infrastruktur i EU-West-regionen (Frankfurt, Tyskland). Data lämnar inte EES.

Tekniska skyddsåtgärder:

  • Kryptering i transit (TLS 1.3) och i vila (AES-256)
  • Row-level security (RLS) med strikt klientisolering — en organisation kan aldrig se en annans data
  • Inloggning via Microsoft Azure AD — inga lösenord lagras av Complifai
  • Åtkomst till produktionssystem begränsad till behörig personal

5. Lagringstid

  • Kontouppgifter och efterlevnadsdata — så länge kontot är aktivt, plus 30 dagar efter uppsägning. Därefter raderas all data permanent.
  • Microsoft 365-data — cachas maximalt 24 timmar, hämtas sedan om från Microsoft.
  • Bokföringsunderlag — 7 år enligt bokföringslagen.
  • Loggar — 90 dagar rullande.

Du kan begära tidigare radering via privacy@complifai.se. Begäran hanteras inom 30 dagar (GDPR art. 17).

6. Cookies

Vi använder enbart tekniskt nödvändiga cookies. Inga reklamcookies, tredjepartsanalys eller spårningspixlar används utan ditt godkännande.

sb-access-tokenSupabase-sessionens JWT. Löper ut när webbläsarsessionen avslutas.
sb-refresh-tokenMöjliggör tyst tokenförnyelse. Roteras vid varje användning.
pkce-verifierEngångs-PKCE-kod för OAuth-inloggningsflödet. Raderas direkt efter användning.

Om du väljer "Acceptera alla" i cookiebannern aktiveras anonymiserade analyscookies. Du kan återkalla samtycket när som helst genom att rensa localStorage-nyckeln complifai_cookie_consent_v1 i din webbläsare.

7. Tredjepartsleverantörer

Vi säljer inga personuppgifter. Vi delar data enbart med följande underleverantörer under dataskyddsavtal (DPA):

  • Supabase, Inc. — databas, autentisering och row-level security. Data lagras i Frankfurt, EU.
  • Microsoft Corporation — identitetsleverantör (Azure AD) och datakälla (Microsoft Graph API). Microsoft agerar som självständig personuppgiftsansvarig för ditt Microsoft-konto.
  • Vercel, Inc. — applikationshosting och CDN. Requestmetadata behandlas i enlighet med deras DPA.
  • Stripe, Inc. — betalningshantering. Stripe är självständig personuppgiftsansvarig för betalningsdata.

8. Dina rättigheter

Enligt GDPR artiklarna 15–21 har du rätt att:

Rätt till tillgång (art. 15)Begära en kopia av de uppgifter vi har om dig.
Rätt till rättelse (art. 16)Begära rättelse av felaktiga eller ofullständiga uppgifter.
Rätt till radering (art. 17)Begära att vi raderar dina uppgifter.
Rätt till begränsning (art. 18)Begära att vi begränsar behandlingen i vissa fall.
Dataportabilitet (art. 20)Få ut dina uppgifter i ett maskinläsbart format.
Rätt att invända (art. 21)Invända mot behandling som grundar sig på berättigat intresse.
Återkalla samtyckeÅterkalla givet samtycke utan att det påverkar tidigare behandling.

Skicka din begäran skriftligt till privacy@complifai.se. Vi svarar inom 30 kalenderdagar och kan komma att be dig verifiera din identitet.

9. Tillsynsmyndighet

Om du anser att vi behandlar dina uppgifter i strid med GDPR kan du lämna klagomål till den svenska tillsynsmyndigheten:

MyndighetIMY — Integritetsskyddsmyndigheten
AdressBox 8114, 104 20 Stockholm
Webbwww.imy.se
Telefon08-657 61 00

10. Ändringar

Vi kan komma att uppdatera den här policyn när vår verksamhet eller lagstiftningen förändras. Väsentliga ändringar meddelas kontoadministratörer via e-post minst 14 dagar innan de träder i kraft. Aktuell version finns alltid på complifai.se/privacy.