Integritetspolicy

Den här översättningen tillhandahålls för bekvämlighets skull. Om den engelska och den svenska versionen skiljer sig åt gäller den engelska versionen.

Den här integritetspolicyn (”Policyn”) beskriver hur NorReach behandlar personuppgifter som lämnas till NorReach, eller som på annat sätt blir tillgängliga för NorReach, när kunder och andra användare använder webbplatsen, programvaran och tjänsterna. Den förklarar hur NorReach behandlar personuppgifter (i) som personuppgiftsansvarig, för egna ändamål såsom kontoadministration, fakturering, säkerhet, kundsupport och egen marknadsföring; och (ii) som personuppgiftsbiträde, för kunders räkning, när det tillhandahåller tjänsterna med personuppgifter som kunderna lämnar in eller ger instruktion att hämta.

Den här policyn utgör en del av avtalet mellan varje kund och NorReach. Avsnitt 3 och bilagorna I–III utgör tillsammans personuppgiftsbiträdesavtalet (”PUB-avtalet”) mellan kunden som personuppgiftsansvarig och NorReach som personuppgiftsbiträde enligt artikel 28 i EU:s GDPR och UK GDPR. När NorReach behandlar personuppgifter som personuppgiftsbiträde gör det endast enligt kundens dokumenterade instruktioner, om inte tillämplig lag kräver något annat. En separat undertecknad kopia av PUB-avtalet finns på begäran.

Läs den här policyn noggrant. Genom att använda webbplatsen, programvaran eller tjänsterna bekräftar kunderna att de har haft möjlighet att läsa den. Vi kan uppdatera policyn från tid till annan (se avsnitt 17).

1. Definitioner

1. Kund — en juridisk person (eller en enskild näringsidkare som agerar i företagssyfte) som registrerar sig för och använder tjänsten.
2. Kunders personuppgifter — personuppgifter som NorReach behandlar för kundens räkning som personuppgiftsbiträde, inklusive kundens kontakter, leads, meddelanden, samtal och innehåll.
3. Personuppgiftsansvarig och personuppgiftsbiträde — enligt definitionerna i artikel 4 i EU GDPR och UK GDPR.
4. Registrerad — en identifierad eller identifierbar fysisk person vars personuppgifter behandlas, till exempel en användare hos en kund, en kontakt som kunden når, eller en besökare på webbplatsen.
5. Dataskyddslagstiftning — EU GDPR, UK GDPR och UK Data Protection Act 2018, dataskyddslagen (2018:218), nationella lagar som genomför eller kompletterar dem, ePrivacy-reglerna om elektronisk direktmarknadsföring så som de genomförts i respektive land, och all annan tillämplig lag om dataskydd eller integritet.
6. EU GDPR — förordning (EU) 2016/679. UK GDPR — EU GDPR i den form den ingår i Storbritanniens lagstiftning.
7. EU:s standardavtalsklausuler (”SCC-klausulerna”) — de klausuler som Europeiska kommissionen antog den 4 juni 2021 (genomförandebeslut (EU) 2021/914), eller efterföljande klausuler. UK-tillägget — tillägget om internationella överföringar av personuppgifter till SCC-klausulerna enligt UK GDPR. DPF — EU–USA:s Data Privacy Framework, dess UK-tillägg och ramverket mellan Schweiz och USA.
8. Personuppgifter — all information som avser en identifierad eller identifierbar fysisk person. Behandling — varje åtgärd som vidtas med personuppgifter, till exempel insamling, lagring, användning, utlämnande eller radering.
9. Överföring till tredjeland — en överföring av personuppgifter till ett land som inte omfattas av ett adekvansbeslut enligt EU GDPR eller av adekvansföreskrifter enligt UK GDPR.
10. Tjänsten — NorReach-plattformen för att planera och köra flerkanalig prospektering och marknadsföring: e-post, sms, WhatsApp, LinkedIn, AI-samtal, inlägg i sociala medier och annonser. Den inkluderar AI-assistenten Nora, leadsnätverket, inkorgen, mötesbokning och närliggande funktioner.
11. Programvara — NorReachs webbapplikation, NorReachs mobilapp, NorReachs webbläsartillägg för LinkedIn och de API:er som NorReach tillhandahåller.
12. Underbiträde — en tredje part som NorReach anlitar för att behandla kunders personuppgifter (kategorierna anges i bilaga III).
13. Webbplatsen — www.norreach.app och andra webbplatser som NorReach driver.

2. Vilka vi är

NorReach drivs av Youpal AB (youpalgroup.com), ett bolag registrerat i Sverige med kontor i Stockholm (”NorReach”, ”vi”, ”oss”). Eftersom vi är etablerade i Europeiska unionen gäller EU GDPR för all vår behandling, och vår ledande tillsynsmyndighet är Integritetsskyddsmyndigheten (IMY).

Om du har frågor om denna policy eller om personuppgifter, kontakta oss på privacy@norreach.ai.

3. Våra två roller: personuppgiftsansvarig och personuppgiftsbiträde

3.1 NorReach som personuppgiftsbiträde (kunders personuppgifter)

När en kund använder tjänsten — importerar kontakter, söker i leadsnätverket, kör kampanjer och planer, skickar meddelanden, ringer AI-samtal, bokar möten eller publicerar innehåll — är kunden personuppgiftsansvarig för de personuppgifterna och NorReach är personuppgiftsbiträde. I den rollen gör NorReach följande:

1. behandlar kundens personuppgifter endast enligt kundens dokumenterade instruktioner, givna genom kundens konfiguration och användning av tjänsten, dess kontoinställningar, supportärenden, andra skriftliga meddelanden, villkoren och detta PUB-avtal — om inte tillämplig lag kräver annat, i vilket fall vi informerar kunden först om inte lagen förbjuder det;
2. meddelar kunden omgående om vi anser att en instruktion strider mot dataskyddslagstiftningen, och kan avstå från att genomföra en olaglig instruktion;
3. säkerställer att alla som är behöriga att behandla kundens personuppgifter omfattas av sekretess;
4. tillämpar säkerhetsåtgärderna i avsnitt 12 och bilaga II;
5. anlitar underbiträden endast enligt beskrivningen i avsnitt 10 och bilaga III, enligt skriftliga villkor som skyddar personuppgifter minst lika väl som detta PUB-avtal, och förblir ansvarigt gentemot kunden för deras prestation;
6. hjälper kunden att besvara registrerades begäranden och att uppfylla sina skyldigheter avseende säkerhet, anmälan av personuppgiftsincidenter, konsekvensbedömning och förhandssamråd (artiklarna 32–36 i GDPR), med beaktande av behandlingens art och den information som står till vårt förfogande;
7. vid tjänstens slut raderar eller återlämnar kundens personuppgifter enligt beskrivningen i bilaga I, om inte lagen kräver att vi behåller dem; och
8. tillhandahåller den information som behövs för att visa att artikel 28 följs och tillåter granskningar enligt beskrivningen i avsnitt 9.

Behandlingens föremål och varaktighet: tillhandahållandet av tjänsten så länge kundens konto finns, plus raderingsperioden i bilaga I. Behandlingens art och syfte: hosting, organisering, generering, sändning, mottagning, analys och visning av kommunikation och relaterade uppgifter, så att kunden kan köra sina säljutskick och sin marknadsföring. Kategorier av registrerade: kundens kontakter, leads, prospekt, kunder, personer som svarar på eller bokar möten med kunden, och kundens egna användare. Kategorier av personuppgifter: de som anges i avsnitt 4.3. Särskilda kategorier av personuppgifter: tjänsten är inte utformad för sådana uppgifter (artikel 9 i GDPR), och kunder får inte skicka in dem om de inte har en laglig grund och har informerat oss skriftligen.

3.2 NorReach som personuppgiftsansvarig

NorReach är personuppgiftsansvarig för personuppgifter om kundens användare och representanter som vi behandlar för att driva vår egen verksamhet: skapa och säkra konton, fakturering, kundsupport, produktkommunikation och förbättring, bedrägeriförebyggande, efterlevnad av lagar och webbplatsen. Avsnitt 6.1 anger våra rättsliga grunder för detta.

3.3 Självständiga personuppgiftsansvariga

När en kund ansluter ett konto från tredje part (till exempel sitt eget Google-, LinkedIn-, Meta-, X- eller TikTok-konto, eller en kalender) behandlas även de uppgifter som utbyts med plattformen av plattformen enligt dess egna villkor och integritetspolicy. Företagskontaktuppgifter från vår leverantör av leadsdata tillhandahålls av det företaget som en självständig personuppgiftsansvarig för sin egen databas; när en kund lägger till en post i sin arbetsyta är kunden personuppgiftsansvarig för den.

4. Personuppgifter vi behandlar

4.1 Konto- och användaruppgifter (personuppgiftsansvarig)

• Namn, jobbmejladress, telefonnummer, lösenord (lagras endast som saltad hash hos vår autentiseringsleverantör) eller Google-inloggningens identifierare.
• Uppgifter om arbetsyta och företag, roll, teamtillhörighet samt inställningar för aviseringar och kontakt.
• Faktureringsuppgifter: plan, fakturor och faktureringskontakt. Kortuppgifter samlas in och lagras av vår betalningsleverantör (PCI DSS Level 1). NorReach lagrar aldrig kompletta kortnummer.
• Supportkonversationer och feedback.

4.2 Användnings- och enhetsdata (personuppgiftsansvarig)

• Loggdata: IP-adress, webbläsare och enhetstyp, tidsstämplar, sidor och funktioner som använts, fel.
• Mobilapp: enhetstyp, appversion och en push-notistoken, om notiser är tillåtna.
• Webbläsartillägg: kopplingstoken som kopplar tillägget till en arbetsyta, och resultaten av de LinkedIn-åtgärder det utför. Tillägget samlar aldrig in användarens LinkedIn-lösenord.

4.3 Kunders personuppgifter (personuppgiftsbiträde)

Omfattningen beror på hur varje kund använder tjänsten och omfattar vanligtvis:

• Kontakt- och leadposter: namn, befattningar, företag, jobbmejladresser, telefonnummer, länkar till LinkedIn- och andra sociala profiler, platser, listmedlemskap, taggar, anteckningar, poäng och vilket steg varje person befinner sig på.
• Kommunikation: innehållet i mejl, sms, WhatsApp-meddelanden, LinkedIn-meddelanden och kontaktförfrågningar samt svar på dem. Leverans-, öppnings- och klickhändelser. Status för avregistrering och spärrlista.
• Samtal: samtalsinspelningar, transkriptioner, samtalsutfall och sammanfattningar från AI-samtal och från uppringaren.
• Möten: namn, e-postadresser och tider för personer som bokar möten, och eventuella anteckningar som de lägger till.
• Innehåll: varumärkesmaterial, inlägg, annonser, bilder och videor, dokument och kunskap som kunden laddar upp eller skapar. Det kan inkludera bilder på personer.
• Marknadsföring: målgrupper och konverteringshändelser som kunden skickar till en annonsplattform som den kopplar.

4.4 Besökare på webbplatsen (personuppgiftsansvarig)

När någon besöker webbplatsen eller begär en demo behandlar vi de uppgifter som de skickar in (namn, jobbmejl, företag, meddelande) och tekniska loggdata som behövs för att leverera och säkra webbplatsen.

4.5 Källor

Vi tar emot personuppgifter från kunden och dess användare; från personer som interagerar med en kunds säljutskick (svar, samtal, bokningar); från plattformar som kunden ansluter; från leverantören av leadsdata när en kund söker efter leads; och från de offentliga sidorna på kundens egen webbplats och sociala konton när kunden ber Nora läsa dem.

5. Varför vi behandlar dem

• Tillhandahållande av tjänsten — drift av arbetsytor, planer och kampanjer; skicka och ta emot meddelanden; ringa och spela in samtal; boka möten; publicera inlägg och annonser; hitta och verifiera leads.
• AI-funktioner — skriva utkast till meddelanden, planer, inlägg och annonser; läsa webbplatser; assistenten Nora (text och röst); AI-samtal; skapa bilder och video (se avsnitt 7).
• Leveransbarhet och efterlevnad — verifiering av e-postadresser, uppvärmning och övervakning av e-postkonton, respekt för avregistreringar och spärrlistor, och hänsyn till utskicksfönster och tak.
• Konton, fakturering och support — skapa och säkra konton, ta betalt för tjänsten och svara på frågor.
• Säkerhet och integritet — förebygga missbruk, bedrägerier och skräppost, utreda incidenter och föra loggar.
• Förbättring av tjänsten — att förstå hur funktioner används, rätta fel, utveckla nya funktioner och, där det är möjligt, använda aggregerade eller avidentifierade data.
• Kommunikation — tjänstemeddelanden, säkerhetslarm, sammanfattningar som en användare har begärt och, där det är tillåtet, nyheter om NorReach (med en avregistreringslänk i varje meddelande).
• Rättsliga skyldigheter — redovisning, skatt och att svara på lagliga begäranden från myndigheter.

6. Rättslig grund och kundernas ansvar

6.1 När NorReach är personuppgiftsansvarig

• Avtal (Art. 6(1)(b)) — för att tillhandahålla tjänsten till kunden och hantera kontot.
• Berättigade intressen (Art. 6(1)(f)) — säkerhet, bedrägeriförebyggande, förbättring av tjänsten, support och kommunikation mellan företag om NorReach. Du kan invända när som helst.
• Samtycke (Art. 6(1)(a)) — när lagen kräver det, till exempel valfri marknadsföring till privatpersoner. Samtycket kan återkallas när som helst.
• Rättslig förpliktelse (Art. 6(1)(c)) — bokföring, skatt och lagliga begäranden.

6.2 Kundens ansvar som personuppgiftsansvarig

När NorReach är personuppgiftsbiträde ska kunden:

1. ansvarar för att ha en rättslig grund för varje behandlingsaktivitet som den ger instruktioner om, inklusive säljutskick till personer den inte har varit i kontakt med tidigare, och för att de uppgifter den skickar in är korrekta och lagliga;
2. ger registrerade den information som krävs enligt artiklarna 13 och 14 i GDPR, inklusive att den använder NorReach och AI-verktyg för att kontakta dem;
3. följer direktmarknadsföringsreglerna i varje mottagares land — för mejl, sms, WhatsApp och samtal skiljer de sig åt, och många kräver föregående samtycke för meddelanden till privatpersoner eller ett tydligt sätt att tacka nej i varje meddelande — och respekterar avregistreringar snabbt. NorReach tillhandahåller avregistreringshantering, spärrlistor, tysta timmar och godkännandesteg som hjälp, men kunden bestämmer hur de används;
4. där den använder AI-röstsamtal ser den till att människor får veta att de talar med ett AI-system där lagen kräver det (till exempel enligt artikel 50 i EU:s AI-förordning), och inhämtar eventuellt samtycke som krävs för att spela in samtal;
5. använder inte tjänsten för att behandla särskilda kategorier av personuppgifter, uppgifter om barn eller uppgifter som den inte får använda; och
6. meddelar NorReach utan dröjsmål om den rättsliga grunden för någon behandling som den har gett instruktioner om upphör.

NorReach tillhandahåller bara de tekniska medlen för att skapa, skicka och hantera kommunikation. Kunden ansvarar ensam för innehållet den skickar och för de personer den kontaktar.

7. Artificiell intelligens

AI är centralt för tjänsten. AI-funktionerna använder språk-, tal-, bild- och videomodeller från AI-leverantörerna i de kategorier som anges i bilaga III. När en funktion körs skickas det innehåll som uppgiften kräver till relevant leverantör, till exempel en kontakts namn och företag, en meddelandetråd, en webbplats offentliga text eller varumärkesbilder. Resultatet returneras till tjänsten.

• Vi delar inte kundens personuppgifter med AI-leverantörer för att träna deras generella modeller, och vi använder deras affärs-API-tjänster snarare än konsumentprodukter.
• AI-resultat kan vara fel. Som standard ber tjänsten en person granska och godkänna AI-skrivna utkast innan de skickas. Kunder kan ändra dessa godkännandeinställningar och ansvarar för det som skickas.
• Tjänsten fattar inga beslut om registrerade enbart på grundval av automatiserad behandling som får rättsliga eller liknande betydande följder. Leadpoäng och föreslagna nästa steg hjälper bara kunder att prioritera sina egna säljutskick.
• AI-samtal behandlas av våra leverantörer av telefoni och röst för att ringa samtalet, generera tal, transkribera och sammanfatta det. Inspelningar och transkriptioner lagras i kundens arbetsyta.
• I Noras röstläge (webben och mobilen) strömmas användarens röst till röstmodellen under hela sessionen, för att förstå och svara. Den används inte för att identifiera talaren. På mobilen kan taligenkänning också använda operativsystemets egen tjänst (Apple eller Google) enligt användarens enhetsinställningar.

8. De registrerades rättigheter

Enligt dataskyddslagstiftningen har registrerade rätt att få tillgång till sina personuppgifter, få dem rättade, raderade eller begränsade, få dataportabilitet, invända (inklusive mot direktmarknadsföring när som helst), återkalla samtycke och klaga till en tillsynsmyndighet.

• När NorReach är personuppgiftsansvarig (till exempel om du är användare av tjänsten eller besökare på webbplatsen), mejla privacy@norreach.ai. Vi svarar inom en månad, som kan förlängas med ytterligare två månader för komplexa begäranden; vi säger till om det.
• När NorReach är personuppgiftsbiträde (till exempel om du har fått ett meddelande som skickats av en av våra kunder) ansvarar kunden för din begäran. Säljmejl som skickas via tjänsten kan innehålla en avregistreringslänk, och du kan alltid svara och be om att bli borttagen. Om du kontaktar oss skickar vi din begäran vidare till kunden utan onödigt dröjsmål och agerar enligt dess instruktioner; om kunden inte kan identifieras eller inte svarar hjälper vi till så långt vi lagligen kan.

9. Granskningar och stöd

NorReach ställer till kundens förfogande den information som rimligen krävs för att visa att vi följer artikel 28 i GDPR, och tillåter och bidrar till granskningar, inklusive inspektioner, som utförs av kunden eller av en oberoende revisor som kunden utser, på kundens bekostnad. Granskningar måste begäras skriftligen med minst 30 dagars varsel, genomföras under normal kontorstid, inte störa vår verksamhet, omfattas av sekretess och normalt inte genomföras mer än en gång per år, om inte en tillsynsmyndighet kräver det eller en personuppgiftsincident har inträffat. Vi kan först besvara en granskningsbegäran med skriftliga svar, dokumentation och de säkerhetsrapporter som våra underbiträden publicerar. Granskningsrätten omfattar inte underbiträdenas lokaler, som omfattas av deras egna certifieringar och revisionsrapporter.

10. Underbiträden och andra mottagare

Vi säljer inte personuppgifter, och vi delar dem inte för beteendebaserad annonsering över olika sammanhang.

1. Kunden ger NorReach ett allmänt skriftligt bemyndigande att anlita underbiträden i de kategorier som anges i bilaga III. Vissa används bara när kunden aktiverar en relaterad funktion (till exempel WhatsApp, AI-samtal, publicering i sociala medier eller annonser). Den aktuella listan över underbiträden med namn finns för kunder på begäran på privacy@norreach.ai och utgör en del av det här PUB-avtalet.
2. Vi informerar kunderna om varje planerad tillägg eller ersättning av ett underbiträde genom att uppdatera den namngivna listan (och bilaga III om en ny kategori läggs till) och, för underbiträden som behandlar kundens personuppgifter, genom att meddela kontoägaren via mejl eller i appen minst 14 dagar innan ändringen träder i kraft (eller så snart som möjligt om en ändring är brådskande av säkerhets- eller kontinuitetsskäl). Kunden kan invända på rimliga dataskyddsgrunder inom den perioden; om vi inte rimligen kan lösa invändningen kan kunden säga upp den berörda tjänsten.
3. Innan vi anlitar ett underbiträde bedömer vi dess säkerhet och dataskydd. Vi binder det till skriftliga åtaganden som inte är mindre skyddande än detta DPA, inklusive SCC-klausulerna eller en annan överföringsmekanism där det behövs.
4. Övriga mottagare: plattformar som kunden väljer att ansluta (avsnitt 3.3); professionella rådgivare under sekretess; en köpare eller efterträdare vid en fusion eller ett förvärv, med förbehåll för denna policy; och myndigheter när lagen kräver det, för att skydda rättigheter, säkerhet eller egendom eller för att verkställa våra användarvillkor. När vi får en begäran från en myndighet om kundens personuppgifter hänvisar vi den till kunden där det är möjligt och informerar kunden, om inte lagen förbjuder det.

11. Överföringar utanför EES och Storbritannien

Vår primära databas och applikationens serverfunktioner finns i Europeiska unionen. Vissa underbiträden är etablerade i, eller får åtkomst till uppgifter från, länder utanför EES och Storbritannien — främst USA. För varje överföring till tredje land använder vi någon av följande:

1. ett adekvansbeslut, inklusive EU–USA:s dataskyddsramverk och dess UK-tillägg där mottagaren är certifierad;
2. EU:s standardavtalsklausuler (modul 2 eller 3 i tillämpliga fall) och, för brittiska uppgifter, UK-tillägget; eller
3. en annan skyddsåtgärd eller ett undantag som tillåts enligt artiklarna 46–49 i GDPR (eller motsvarande brittiska bestämmelser).

Vid behov genomför vi överföringsbedömningar och tillämpar kompletterande åtgärder, såsom kryptering vid överföring och i vila samt strikta åtkomstkontroller. Kunden bemyndigar överföringarna till tredje land till de underbiträden som anlitas enligt avsnitt 10. En kopia av relevanta skyddsåtgärder kan begäras på privacy@norreach.ai.

12. Säkerhet

Vi genomför tekniska och organisatoriska åtgärder som är lämpliga med hänsyn till risken, med beaktande av den senaste tekniken, genomförandekostnaden och behandlingens art, omfattning, sammanhang och syfte. Bilaga II beskriver dem i detalj. Kort sagt:

• Byggd på infrastruktur med SOC 2 Type 2. Dina data finns på oberoende granskad infrastruktur. Våra leverantörer av databas, autentisering, lagring och hosting är granskade enligt SOC 2 Type 2, våra övriga infrastrukturleverantörer har certifiering enligt ISO/IEC 27001 eller SOC 2-rapporter, och vår betalningsleverantör är certifierad enligt PCI DSS Level 1.
• Våra egna kontroller. Utöver den infrastrukturen tillämpar NorReach kontrollerna i bilaga II. NorReach har ännu inte genomfört en egen granskning enligt SOC 2 eller ISO 27001, och vi påstår inga certifieringar som vi inte har. Leverantörernas rapporter omfattar deras plattformar.
• Kryptering av all trafik under överföring (TLS 1.2+) och av lagrade data i vila (AES-256 hos våra databas- och lagringsleverantörer).
• Isolering av arbetsytor tillämpas i databasen självt (säkerhet på radnivå), så att varje arbetsyta bara kan läsa sina egna poster. Kontroller görs också på servern för varje API-rutt.
• Hemligheter och nycklar som bara hålls på servern, i krypterad miljökonfiguration och databasens valv. Privilegierade nycklar når aldrig webbläsare eller appar.
• Verifierade webhooks — signaturer från våra leverantörer av telefoni, e-post, betalning, röst och sociala medier kontrolleras innan någon händelse godkänns.
• Minsta möjliga behörighet — personalens åtkomst till produktionssystem begränsas till dem som behöver den och tas bort när den inte längre behövs.

13. Personuppgiftsincidenter

Om vi får kännedom om en personuppgiftsincident som påverkar kunders personuppgifter underrättar vi kunden utan onödigt dröjsmål, och där det är möjligt inom 72 timmar från att vi fick kännedom om den. Vi lämnar den information som kunden behöver för att uppfylla sina egna skyldigheter att anmäla till en tillsynsmyndighet eller till registrerade: incidentens art, kategorierna och ungefärligt antal berörda personer och poster, de sannolika följderna och de åtgärder som har vidtagits eller föreslagits. Vi samarbetar med kunden och vidtar rimliga åtgärder för att utreda, begränsa och åtgärda incidenten. Där NorReach är personuppgiftsansvarig anmäler vi till IMY och berörda personer så som dataskyddslagstiftningen kräver.

14. Lagringstid

Vi sparar personuppgifter bara så länge de behövs för de ändamål som anges i avsnitt 5, för att uppfylla rättsliga skyldigheter, för att lösa tvister och för att verkställa våra avtal. Bilaga I anger tidsperioderna. Kunderna styr själva det mesta av lagringen av kundens personuppgifter: de kan när som helst radera kontakter, konversationer, inspelningar och innehåll i tjänsten.

15. Cookies och spårning

Webbplatsen och webbappen använder endast cookies och liknande lagring som är absolut nödvändig — för att hålla användare inloggade, hålla sessionerna säkra och komma ihåg inställningar som tema eller sidofältets läge. Vi använder inga annonscookies eller analyscookies från tredje part på webbplatsen. Om vi någon gång lägger till valfria cookies frågar vi först om samtycke.

Säljmejl som skickas via tjänsten kan registrera när ett meddelande levereras, öppnas eller när en länk i det klickas (länkar går via en omdirigering från NorReach). Dessa händelser är kundens personuppgifter som används för att mäta och schemalägga kundens säljutskick; kunderna ansvarar för eventuella meddelanden eller samtycken som detta kräver i mottagarens land.

16. Barn

Tjänsten är ett verktyg för företag och är inte avsedd för personer under 18 år. Vi samlar inte medvetet in personuppgifter från barn, och kunder får inte använda tjänsten för att kontakta dem.

17. Ändringar i denna policy

Vi kan ändra den här policyn från tid till annan, till exempel när vi lägger till funktioner eller underbiträden eller när lagen ändras. Datumet högst upp visar den senaste versionen. Vi informerar kontoägare om väsentliga ändringar via mejl eller i appen innan de träder i kraft. Ändringar av underbiträden följer avsnitt 10.

18. Kontakt och klagomål

Frågor, förfrågningar, klagomål och rapporter om misstänkta säkerhetsbrister kan skickas till oss när som helst. Vi bekräftar och utreder dem utan onödigt dröjsmål.

Du har också rätt att lämna klagomål till en tillsynsmyndighet — i Sverige Integritetsskyddsmyndigheten (IMY), www.imy.se; i Storbritannien Information Commissioner's Office; eller myndigheten där du bor eller arbetar.

Bilaga I – Lagringstider

1. Kunders personuppgifter: sparas så länge kunden behåller dem i sin arbetsyta. Kontakter, konversationer, inspelningar och innehåll som en kund raderar tas bort från den levande databasen direkt.
2. Avslutade konton: när en kund avslutar sitt konto raderas arbetsytedata inom 30 dagar, om inte kunden först ber oss exportera den eller lagen kräver att delar av den sparas.
3. Säkerhetskopior: vår databasleverantör sparar säkerhetskopior löpande. Raderade data försvinner ur dem när de skrivs över i den vanliga cykeln och återställs aldrig i den levande tjänsten, utom för att återhämta sig från en incident.
4. Spärrlistor: e-postadressen eller telefonnumret till en person som har tackat nej sparas så länge kundens arbetsyta finns, så att deras nej fortsätter att respekteras.
5. Konto- och faktureringsuppgifter (personuppgiftsansvarig): sparas så länge kontot finns. Fakturor och bokföringshandlingar sparas i sju år efter räkenskapsårets slut, enligt svensk bokföringslag.
6. Loggar: applikations- och säkerhetsloggar sparas av våra hostingleverantörer under en begränsad period för säkerhet och felsökning och raderas sedan.
7. Support- och webbplatsförfrågningar: sparas i upp till 24 månader efter den senaste kontakten, om de inte blir en del av en kundrelation.
8. Data som skickas till AI och andra underbiträden sparas av dem bara så länge deras tjänstevillkor med oss tillåter. Oftast är det kort, för övervakning av missbruk, om inte lagring ingår i funktionen (till exempel en sparad samtalsinspelning).

Bilaga II – Tekniska och organisatoriska åtgärder

NorReach tillämpar minst följande åtgärder. De granskas och kan ersättas med åtgärder som inte är mindre skyddande.

1. Hosting och infrastruktur

• Data hostas hos leverantörer som har oberoende granskade säkerhetsprogram (SOC 2 Type 2, ISO/IEC 27001 och, för betalningar, PCI DSS Level 1). Deras rapporter finns hos respektive leverantör. Vilken leverantör som har vilken rapport delas på begäran tillsammans med förteckningen över underbiträden.
• Den primära databasen och applikationsfunktionerna körs i Europeiska unionen.
• Den fysiska säkerheten i datacenter tillhandahålls av dessa leverantörer enligt deras certifieringar.

2. Kryptering och pseudonymisering

• TLS 1.2 eller högre för all trafik mellan användare, tjänsten och underbiträden; HTTPS tillämpas.
• Kryptering i vila (AES-256) för databasen, fillagringen och säkerhetskopiorna.
• Lösenord lagras aldrig i klartext, bara som saltade hashvärden hos autentiseringsleverantören; inloggning med Google finns.
• Åtkomsttokens och uppgifter från tredje part lagras på servern och exponeras aldrig för klientenheter.

3. Åtkomstkontroll och isolering av arbetsytor

• Varje arbetsytas data är separerad i databasen med säkerhetspolicyer på radnivå. Varje API-rutt kontrollerar den inloggade användaren och dennes arbetsyta innan något läses eller skrivs.
• Privilegierade tjänsteuppgifter används bara av kod på servern, aldrig i webbläsare eller appar.
• Rollbaserad åtkomst inom arbetsytor; produktionsåtkomst för NorReachs personal begränsas till namngivna personer som behöver den och tas bort när den inte längre behövs.
• Webbläsartillägget agerar bara inom användarens egna LinkedIn-session och autentiserar med en återkallbar kopplingstoken; det ser eller lagrar aldrig några LinkedIn-lösenord.

4. Integritet för inkommande data

• Webhooks från våra leverantörer av telefoni, betalning, e-post, röst och publicering i sociala medier samt från Meta verifieras med signatur eller delad hemlighet, jämförs i konstant tid innan de behandlas.
• Indata valideras på servern innan de lagras eller används.

5. Tillgänglighet och motståndskraft

• Hanterad databas med automatiska säkerhetskopior och möjlighet att återställa från dem.
• Bakgrundsjobb körs i köer med återförsök, så att en leverantör som felar inte förlorar några data.

6. Loggning, övervakning och incidenthantering

• Händelser i applikationen, autentiseringen och säkerheten loggas och övervakas för fel och missbruk.
• En process för incidenthantering omfattar upptäckt, inneslutning, bedömning, anmälan enligt avsnitt 13 och uppföljning.

7. Säker utveckling

• Ändringar görs via versionshantering med granskning, automatiska tester och typkontroller före release. Testmiljö och produktionsmiljö är separerade.
• Beroenden hålls uppdaterade. Hemligheter hålls utanför källkoden och byts ut när en exponering misstänks.

8. Dataminimering och integritet från start

• Varje underbiträde får bara de uppgifter som en funktion behöver (till exempel får bildgenerering varumärkesmaterial, inte kontaktuppgifter).
• Inbyggda kontroller för regelefterlevande prospektering: avregistreringslänkar och spärrlistor, tysta timmar och dagliga tak, godkännande före utskick och en inställning för att upplysa om AI i röstsamtal.

9. Personal och styrning

• Alla med åtkomst till personuppgifter omfattas av tystnadsplikt som gäller även efter att deras uppdrag har upphört, och de informeras om sina skyldigheter avseende dataskydd.
• Underbiträden bedöms före användning och är bundna av skriftliga villkor för dataskydd.

Bilaga III – Kategorier av underbiträden

Kunden bemyndigar NorReach att använda underbiträden i följande kategorier. Om ett underbiträde ingår i en koncern kan dess närstående bolag behandla uppgifter för samma ändamål under samma skyddsåtgärder. Överföringar utanför EES och Storbritannien följer avsnitt 11.

Plattformar som en kund ansluter till sin arbetsyta med eget konto (till exempel Google Workspace eller Gmail, LinkedIn, X, TikTok eller ett eget Meta-företagskonto) omfattas av sina egna villkor och är inte underbiträden till NorReach för de uppgifterna.