Registerförteckning

Artikel 30 kräver att både den personuppgiftsansvarige och personuppgiftsbiträdet för ett register över sina behandlingar. Undantaget för organisationer med färre än 250 anställda gäller inte här, eftersom behandlingen inte är tillfällig utan pågår kontinuerligt så länge tjänsten används.

Hyresvyn har två roller, och de måste hållas isär. För kundernas egna konton och för marknadssajten är vi personuppgiftsansvariga. För allt en hyresvärd lägger in om sina hyresgäster är hyresvärden ansvarig och vi biträde.

Organisation

Seravel Holding (enskild firma), som driver tjänsten Hyresvyn

Ansvarig

Rasmus Andersson

Adress

Odensgatan 30B, 603 36 Norrköping

E-post

seravelholding@gmail.com

Dataskyddsombud

Finns inte, och krävs inte enligt artikel 37: kärnverksamheten består inte i regelbunden och systematisk övervakning i stor omfattning, och inga känsliga uppgifter behandlas i stor omfattning.

A1. Kundkonton

Ändamål

Tillhandahålla och administrera tjänsten, inloggning, behörigheter, support och fakturering

Rättslig grund

Fullgörande av avtal (art. 6.1 b); för fakturaunderlag även rättslig förpliktelse (art. 6.1 c, bokföringslagen)

Registrerade

Anställda och företrädare hos kundföretagen

Uppgifter

Namn, e-postadress, behörighetsroll, inloggningshistorik, organisationsnummer, e-postadress för fakturor, referens

Mottagare

Supabase (drift, Stockholm), Vercel (drift), Resend (utgående mejl), Google (Gmail – notiser om nya registreringar och aktiveringar), Seravel Holdings faktureringsverktyg (Supabase, Frankfurt – fakturaunderlag)

Lagringstid

Så länge kontot är aktivt. När kundförhållandet upphör finns uppgifterna kvar i minst 30 dagar och raderas senast inom sex månader, tidigare på begäran (användarvillkoren punkt 7) – utom underlag som bokföringslagen kräver i sju år

A2. Besökare på hyresvyn.se, prisräknare och ansökningar

Ändamål

Besvara förfrågningar, uppskatta pris, hantera ansökningar om att bli kund

Rättslig grund

Berättigat intresse av att besvara den som hör av sig (art. 6.1 f), och åtgärder före avtal (art. 6.1 b)

Registrerade

Besökare och potentiella kunder

Uppgifter

Namn, företag, e-post, telefon, antal lägenheter, fritext, aktiveringskod kopplad till e-postadressen (giltig 14 dagar, oanvänd kod tas bort 30 dagar efter utgången). Prisräknaren sparar inte IP-adress

Mottagare

Supabase, Vercel, Resend, Google (Gmail – notis om ny ansökan eller prisförfrågan)

Lagringstid

Ansökningar: 24 månader efter att ansökan skickades. Prisräknarens kontaktuppgifter: 12 månader, därefter finns bara antal lägenheter och belopp kvar

A3. Drift- och felövervakning

Ändamål

Upptäcka och rätta fel, skydda tjänsten mot missbruk

Rättslig grund

Berättigat intresse av en fungerande och säker tjänst (art. 6.1 f)

Uppgifter

Teknisk felrapport: webbläsare, sidadress, IP-adress. För spärren mot missbruk av de publika formulären: en kontrollsumma (HMAC) av IP-adressen, aldrig adressen själv, sparad i högst ett dygn

Mottagare

Sentry (inom EU, Tyskland), Vercel

Lagringstid

Enligt leverantörens standard, högst 90 dagar

Behandlingen sker för varje kunds räkning och enligt kundens instruktioner, som de uttrycks i biträdesavtalet. Kategorierna nedan gäller samtliga kunder.

Kategorier av behandling

Lagring, strukturering, läsning, ändring, utlämnande till kundens egna mottagare (hyresgäster, entreprenörer), radering

Registrerade

Hyresgäster och deras hushållsmedlemmar, kontaktpersoner hos anlitade entreprenörer

Uppgifter

Namn, adress och lägenhetsnummer, telefon, e-post, personnummer i hyresavtal, hyresvillkor och belopp, felanmälningar med fritext och bilder, meddelanden mellan hyresgäst och hyresvärd, önskad tid för tillträde och uppgift om huvudnyckel får användas, hyresavier med belopp och betalstatus

Överföring till tredjeland

Resend (USA) för utgående mejl, och Esri/ArcGIS (USA) som reservkarta. Vercel och Sentry driftas i EU men är amerikanska bolag. Alla med EU-kommissionens standardavtalsklausuler eller EU–US Data Privacy Framework. Databas och filer lagras i Stockholm

Underbiträden

Supabase (databas, autentisering, filer – Stockholm), Vercel (drift), Resend (mejl), Sentry (felövervakning, Tyskland), OpenStreetMap/Nominatim (adressuppslag från servern)

Självständiga mottagare

OpenStreetMap Foundation (kartrutor) och Esri/ArcGIS (reservkartor): ser IP-adressen för en inloggad användare som tittar på en fastighetskarta, inga hyresgästuppgifter. Entreprenörer som kunden själv delar ett ärende med

Lagringstid

Enligt kundens instruktion. Ett åtgärdat ärende gallras automatiskt efter 24 månader: anmälarens uppgifter, beskrivningen, meddelandena och bilderna tas bort, medan rubrik, kategori, status och tidpunkter behålls. Hyresavtal och hyresavier gallras inte automatiskt; kunden tar själv bort dem. Efter avslutat kundförhållande: kvar i minst 30 dagar, raderat senast inom sex månader

• Åtkomstseparation på databasnivå (row level security): varje fråga begränsas till det egna företagets uppgifter, oavsett vad applikationen begär
• Rollstyrd behörighet inom företaget (administratör, förvaltare, läsbehörig)
• Krypterad överföring (TLS) och krypterad lagring
• Publika länkar till felanmälan och ärendestatus bygger på slumpmässiga identifierare (UUID v4) som inte går att gissa eller räkna upp, och sidorna indexeras inte
• Bilder i privat lagring, nås bara via tidsbegränsade länkar
• Loggning av när tjänsteleverantörens superadminkonto går in i ett kundkonto, med angiven anledning. Kunden har rätt att få ut loggen för sitt eget konto
• Automatiska säkerhetskopior hos databasleverantören

Upptäcks en incident som rör en kunds uppgifter underrättas kunden utan onödigt dröjsmål, och senast 48 timmar efter att vi fått vetskap om den (biträdesavtalet punkt 4), med den information som behövs för kundens egen anmälan till IMY inom 72 timmar. En första underrättelse lämnas även om utredningen inte är klar.