Integritetspolicy för kobbi

Velona AB, org.nr 559577-0453, Sisjöbäckens Väg 22 Lgh 1002, 436 38 Askim, Sverige. Momsregistreringsnummer SE559577045301.

Velona AB tillhandahåller tjänsten kobbi — en AI-assistent som besvarar meddelanden i din verksamhets kanaler (WhatsApp, Instagram DM och webbchatt) och som kan slå upp uppgifter om katalog, lager, order och returer.

Kontakt i dataskyddsfrågor: dataskydd@kobbi.se.

Policyn beskriver två skilda situationer. Vilken som gäller dig avgör vem du ska vända dig till.

Del A — Velona AB är personuppgiftsansvarig. Det gäller dig som besöker kobbi.se, begär en demo, är kontaktperson hos en kund eller mottagare av en faktura. Där bestämmer Velona AB ändamål och medel för behandlingen.

Del B — Velona AB är personuppgiftsbiträde. Det gäller de meddelanden som slutkunder skickar till en verksamhet som använder kobbi. Där är vår kund personuppgiftsansvarig, och Velona AB behandlar uppgifterna enbart enligt kundens dokumenterade instruktioner och det personuppgiftsbiträdesavtal som ingås med varje kund (dataskyddsförordningen art. 28).

Har du skrivit till ett företags kobbi-assistent och vill få dina uppgifter raderade? Då ska du vända dig till det företaget, inte till Velona AB. Vi bistår företaget och vidarebefordrar din begäran om du ändå kontaktar oss — se sidan Radera data.

Del A — där vi är personuppgiftsansvariga:

• Kontaktuppgifter: namn, e-postadress, telefonnummer, företag och befattning.
• Kontouppgifter: användarnamn, lösenord i hashad form, inloggningstidpunkter och IP-adress.
• Fakturerings- och avtalsuppgifter: faktureringsadress, organisationsnummer, momsregistreringsnummer och betalningshistorik.
• Teknisk logg: felmeddelanden, anrop mot tjänsten och webbläsartyp.
• Personnummer eller samordningsnummer — endast när kunden är en enskild näringsidkare och identitetsnumret behövs för att fakturera. För en enskild firma är organisationsnumret detsamma som innehavarens personnummer.

Del B — där kunden är personuppgiftsansvarig och vi är biträde:

• Innehållet i meddelanden mellan slutkunden och kundens assistent — text, bild, ljud och bifogade filer.
• Kanalidentifierare: telefonnummer på WhatsApp, Instagram-ID och profilnamn.
• Handels- och orderuppgifter som kunden har gjort tillgängliga för assistenten, till exempel ordernummer, leveransadress och returstatus.

Personnummer. Assistenten frågar aldrig slutkunder efter personnummer, och skickas ett personnummer ändå in i ett meddelande maskeras det innan uppgiften når våra loggar eller vår felövervakning. Däremot efterfrågar vi personnummer i vår egen kundpanel när kunden är en enskild näringsidkare — se listan för Del A ovan.

Nedan är den aktuella förteckningen över de underbiträden som behandlar personuppgifter för vår räkning. Vi meddelar våra kunder innan förteckningen ändras.

Två rader är medvetet ofullständiga. Vi anger hellre att uppgiften saknas än att skriva en behandlingsplats vi inte har verifierat.

WhatsApp — gränsen för EU-datalagring. För våra WhatsApp-nummer är EU-datalagring (Tyskland) vald. Inställningen har två kända begränsningar som vi redovisar öppet: under själva behandlingen av ett meddelande kan innehållet ligga i internationella datacenter i upp till 60 minuter, och inställningen omfattar inte adressboksuppgifter.

Instagram — ingen EU-datalagring. Meta erbjuder inte valet av EU-datalagring för Instagram DM. Vi kan därför inte utlova att meddelanden från Instagram behandlas enbart inom EU/EES. Det vi gör är dataminimering: vi hämtar och sparar inte mer än vad som krävs för att besvara meddelandet.

DeepSeek behandlar meddelandetext i Kina. Europeiska kommissionen har inte fattat något beslut om adekvat skyddsnivå för Kina. Vi håller på att dokumentera det rättsliga stödet för den överföringen och redovisar det här när det är på plats. Vi skriver inte att stödet finns innan vi kan visa det.

Det som skickas till modellen är meddelandets innehåll och den information som behövs för att formulera ett svar.

Google (Gemini API) används för bild, ljud och inbäddningar. Slutpunkten är global och vi har inte fastställt någon behandlingsregion. Vi utlovar därför inte att den behandlingen sker inom EU/EES.

För Instagram DM kan Meta inte erbjuda EU-datalagring, se avsnitt 5.

Vill du inte att dina meddelanden behandlas av en AI-assistent? Kontakta den verksamhet du skrev till och be om en annan kontaktväg, till exempel telefon eller e-post.

Vi sparar inte uppgifter längre än vad ändamålet kräver (dataskyddsförordningen art. 5.1 e).

Standardtiden för konversationer och meddelanden är 12 månader. En kund kan avtala om en annan lagringstid med oss; det är inte en inställning som kunden ändrar själv i panelen.

När ett kundkonto avslutas raderas kunddata direkt, utan väntetid. Se sidan Radera data.

Du har rätt att begära tillgång till dina personuppgifter, rättelse av felaktiga uppgifter, begränsning av behandlingen, radering (art. 17) och dataportabilitet (art. 20). Du har också rätt att invända mot behandling som sker med stöd av berättigat intresse (art. 21).

Sker behandlingen med stöd av samtycke — det gäller marknadsföring till den som inte är kund, se avsnitt 4 — har du rätt att när som helst återkalla ditt samtycke. Ett återkallande påverkar inte lagligheten av den behandling som utfördes innan samtycket återkallades (dataskyddsförordningen art. 7.3).

Vart du vänder dig beror på vilken del som gäller, se avsnitt 2. Gäller det Del B riktar du din begäran till den verksamhet du skrev till; vi bistår dem i vår roll som personuppgiftsbiträde (art. 28.3 e).

Vi svarar på en begäran utan onödigt dröjsmål och senast inom en månad (art. 12.3).

Du har rätt att klaga hos tillsynsmyndigheten (art. 77). I Sverige är det Integritetsskyddsmyndigheten (IMY), imy.se.

Vi använder nödvändiga kakor för inloggning och säkerhet. I dag använder vi inga kakor för marknadsföring eller för analys hos tredje part.

Om vi börjar använda kakor som inte är nödvändiga kommer de att vara avstängda tills du aktivt samtycker, och du ska kunna ändra ditt val när som helst. Grunden är lagen om elektronisk kommunikation.

kobbi är ett AI-system. När du skriver till en verksamhets kobbi-assistent är det ett AI-system som svarar, inte en människa. Du kan alltid be om att få prata med en människa hos verksamheten.

Våra kunder kan inte stänga av informationen om att du interagerar med ett AI-system. Grunden är AI-förordningen (EU) 2024/1689 art. 50.

Uppgifterna lagras på servrar i Stockholm, Sverige. Åtkomsten är begränsad och loggas. Känsliga identifierare, bland annat personnummer, maskeras innan de når loggar eller felövervakning.

Vi beskriver här bara det vi kan visa. Uppgifter om penetrationstest, säkerhetskopiering utanför vår driftleverantör och en skriftlig incidentrutin lägger vi till först när de finns och är verifierade.

Frågor om den här policyn: dataskydd@kobbi.se. Velona AB, Sisjöbäckens Väg 22 Lgh 1002, 436 38 Askim, Sverige.

Vi kan komma att ändra policyn. Väsentliga ändringar meddelas i tjänsten eller via e-post. Aktuell version och datum står överst på sidan.

• Radera data