Integritet & dataskydd

Om Kandiflow

Kandiflow är ett personalsystem för schemalagd verksamhet som restauranger och kaféer – med personalregister, schema, stämpelklocka, tidrapportering, personalliggare, lön och lönespecifikation samt en personalapp. Den här policyn beskriver hur vi behandlar personuppgifter om anställda och användare hos våra kunder.

1. Integritetspolicy

Kandiflow värnar om din integritet och följer EU:s dataskyddsförordning (GDPR) samt svensk arbets- och bokföringslagstiftning.

Vi samlar in:

• Anställningsdata: namn, e-post, telefon, personnummer, adress, anställningsavtal, befattning, anställningsform, startdatum, lönevillkor
• Schema- och tidrapportering: arbetspass, in- och utstämplingar, OB, frånvaro, semester, sjukfrånvaro
• Lönedata: bruttolön, skatt, förmåner, utlägg, avdrag, semestersaldon, bankkonto för utbetalning, lönespecifikationer
• Anhörig- och kontaktuppgifter: närmast anhörig (om du själv väljer att ange)
• Kommunikationsdata: meddelanden i klotterplank, notiser, mejlutskick
• Användningsdata: inloggningar, enheter (inkl. push-token för mobilappen), cookies

Vi använder dina uppgifter för att:

• Hantera anställning, tjänstgöringsmallar och schemaläggning
• Registrera arbetad tid, frånvaro och semester (personalliggare enligt Skatteverket)
• Beräkna och betala ut lön, generera lönespecifikationer samt skapa filer för Skatteverket (AGI), Bokföring (SIE4), Bank (ISO 20022) och Fora
• Skicka notiser, påminnelser och anställningsrelaterad kommunikation
• Utveckla och förbättra plattformen och våra AI-funktioner
• Uppfylla rättsliga krav (bokförings-, skatte- och arbetsrättslig lagstiftning)

Rättslig grund

• Avtal – för att fullgöra anställnings- eller kundavtalet
• Rättslig förpliktelse – bokföringslagen, skatteförfarandelagen, arbetsrätt
• Berättigat intresse – produktutveckling, säkerhet, support
• Samtycke – marknadsföring, frivilliga uppgifter (t.ex. anhörig)

Lagring och delning

Data lagras i Lovable Cloud / Supabase inom EU. Lönedata, lönespecifikationer och bokföringsunderlag sparas i minst 7 år enligt bokföringslagen. Underbiträden listas nedan. Data delas aldrig med tredje part utan rättslig grund.

Dina rättigheter:

• Tillgång till din data (registerutdrag)
• Rättelse av felaktiga uppgifter
• Radering ("rätten att bli glömd") – med undantag för uppgifter som måste sparas enligt lag
• Dataportabilitet
• Invända mot eller begränsa behandling
• Lämna in klagomål till Integritetsskyddsmyndigheten (IMY)

Anställda kan begära borttagning direkt i medarbetarappen under "Inställningar". Övriga ärenden: privacy@kandiflow.com

2. Cookiepolicy

Kandiflow använder cookies för att förbättra användarupplevelsen och analysera trafik.

• Nödvändiga cookies – krävs för inloggning, sessionshantering och säkerhet
• Funktionella cookies – sparar språk, tema och inställningar
• Analyscookies – för användarstatistik
• Marknadsföringscookies – från tredjepartsverktyg (kan stängas av)

Du kan när som helst ändra ditt samtycke i webbläsarens inställningar.

3. Personuppgiftsbiträdesavtal (DPA)

När en arbetsgivare använder Kandiflow är arbetsgivaren personuppgiftsansvarig för sina anställda. Kandi Software AB är personuppgiftsbiträde och behandlar uppgifterna enligt avtalet nedan.

• Biträdet behandlar endast data på dokumenterade instruktioner från ansvarige
• Biträdet får inte använda data för egna kommersiella syften
• Underbiträden: Supabase (databas/lagring, EU), Resend (transaktionsmejl), HelloSMS (SMS), Stripe (betalning), OpenAI/Lovable AI Gateway (AI-funktioner), Apple/Google (push-notiser)
• All produktionsdata lagras inom EU
• Vid personuppgiftsincident underrättas den ansvarige utan onödigt dröjsmål (max 72 h)
• Biträdet bistår med rätten till tillgång, rättelse och radering

4. AI-transparens och etisk användning

Kandiflow använder artificiell intelligens i vissa funktioner – till exempel schemaassistent, tolkning av handskrivna scheman, Registerfråga och dokumentgenerering.

• AI ändrar aldrig scheman, löner eller avtal på egen hand – förslag måste alltid godkännas av en människa – mänsklig bedömning krävs alltid
• Anställningsdata används endast för relevanta ändamål inom respektive företag
• Vi tränar inte våra modeller på kunddata utan uttryckligt samtycke
• Vi följer EU:s AI Act och GDPR

5. Säkerhet

• All trafik krypteras (TLS 1.2+)
• Row Level Security (RLS) säkerställer att data aldrig läcker mellan företag
• Roller (HR/Ägare, Chef, Medarbetare) styr behörighet
• Lösenord lagras hashade; tvåfaktor erbjuds för admin-konton
• Regelbundna säkerhetsgenomgångar och loggning av känsliga åtgärder