sonda

Integritetspolicy

Senast uppdaterad: 6 september 2026

Denna integritetspolicy beskriver hur Sonda Labs AB, org.nr 559591-4374, med säte i Lund ("vi", "oss", "Sonda") behandlar personuppgifter i samband med din användning av tjänsten Sonda ("Tjänsten"). Policyn är upprättad i enlighet med EU:s dataskyddsförordning (GDPR).

1. Personuppgiftsansvarig

Sonda Labs AB är personuppgiftsansvarig för behandlingen av dina personuppgifter. Du kan kontakta oss via:

  • E-post: info@sonda.se
  • Adress: Sonda Labs AB, Vildvinsgränden 4, 224 56 Lund, Sverige

2. Vilka uppgifter vi samlar in

Vi samlar in följande kategorier av personuppgifter:

  • Kontouppgifter: namn, e-postadress, företagsnamn och lösenordshash (Argon2id).
  • Kundinnehåll och resultat: uppladdade analysrapporter, klassningsresultat och genererade PDF-rapporter.
  • Tekniska uppgifter: IP-adress, webbläsartyp, operativsystem och tidsstämplar för inloggningar.
  • Kommunikationsdata: e-postmeddelanden och supportärenden.

3. Ändamål och rättslig grund

Vi behandlar dina personuppgifter för följande ändamål:

  • Tillhandahålla Tjänsten (avtal, artikel 6.1 b i GDPR): kontohantering, uppladdning, klassning och rapportgenerering.
  • Säkerhet och driftstabilitet (berättigat intresse, artikel 6.1 f i GDPR): loggning, övervakning och felsökning.
  • Kommunikation (avtal eller berättigat intresse, beroende på typen av kommunikation): supportärenden och tjänstemeddelanden.
  • Juridiska skyldigheter (rättslig förpliktelse, artikel 6.1 c i GDPR): bokföring och lagstadgade krav.
  • Tjänsteförbättring (berättigat intresse, artikel 6.1 f i GDPR): vi tar fram anonymiserad och aggregerad statistik från uppladdade rapporter, till exempel förekomst av parametrar, precision i datautvinningen och fördelning mellan klassningar, för att förbättra Tjänstens kvalitet. Statistiken kan aldrig kopplas till en enskild användare, rapport eller registrerad person. Inga personuppgifter ingår i den anonymiserade statistiken.
  • Dokumenttolkning och kvalitetssäkring (avtal, artikel 6.1 b i GDPR): uppladdade analysrapporter kan användas som internt referensmaterial för att förbättra Tjänstens dokumenttolkning och datautvinning, exempelvis i regressionstester för nya rapportformat. Analysrapporter kan innehålla namn, kontaktuppgifter, adresser, fastighetsbeteckningar och andra projektuppgifter. Referensmaterial omfattas av samma konfidentialitets-, åtkomst-, lagrings- och raderingsregler som övrigt kundinnehåll och delas inte med tredje part för detta ändamål.
  • AI-assisterad dokumentutvinning (avtal, artikel 6.1 b i GDPR): när funktionen för konsultrapportutvinning är aktiverad kan uppladdade PDF:er eller extraherad dokumenttext skickas till en konfigurerad AI-leverantör för att ta fram källutdrag och preliminära rapportuppgifter. Funktionen aktiveras separat för kundens miljö och resultatet visas som ett AI-utkast som ska kontrolleras mot källhänvisningarna.

4. Lagring och lagringstid

Dina personuppgifter lagras så länge du har ett aktivt konto, eller så länge det krävs för att uppfylla de ändamål som beskrivs ovan. Vid kontoborttagning raderas dina uppgifter inom skälig tid, om inte lagring krävs enligt lag, till exempel i sju år enligt bokföringslagen.

Uppladdade analysrapporter och klassificeringsresultat lagras i Tjänsten så länge kontot är aktivt och raderas på begäran.

5. Delning med tredje part

Vi delar personuppgifter med följande kategorier av mottagare, i den utsträckning som krävs för att tillhandahålla Tjänsten:

  • Serverdrift: Hetzner Online GmbH (Tyskland).
  • Fillagring: Amazon Web Services (AWS S3, eu-north-1, Stockholm) för lagring av uppladdade filer och genererade rapporter.
  • Databashantering: PostgreSQL, som körs på egen server hos Hetzner i Tyskland.
  • Felövervakning: Functional Software Inc. (Sentry, EU-region, Frankfurt, Tyskland) för felrapportering och prestandaövervakning. Felinformation kan innehålla tekniska uppgifter, till exempel URL och webbläsartyp, men inga lösenord eller filinnehåll.
  • Webbanalys: Umami, som vi driver själva och som bygger på öppen källkod, för anonym besöksstatistik utan cookies. Inga personuppgifter samlas in, inga uppgifter lämnar vår server och inga cookies sätts.
  • Webbanalys på sonda.se: PostHog EU Cloud för analys av den publika landningssidan. PostHog aktiveras först efter samtycke, text och formulärfält maskeras och integrationen används inte i den inloggade portalen. Samtycket kan när som helst ändras eller återkallas på cookiepolicysidan. När samtycket återkallas stoppas fortsatt insamling omedelbart.
  • Transaktionell e-post: Resend Inc. (USA) för utskick av e-post vid rapportklassificering via e-post. E-post skickas från Irland (eu-west-1), men kontometadata lagras i USA. Gäller enbart för funktionen e-postbaserad klassificering.
  • AI-infrastruktur för konsultrapportutvinning: Berget AI AB (i Sverige eller inom EES, beroende på vald konfiguration och Bergets personuppgiftsbiträdesavtal) för AI-assisterad utvinning av källutdrag och konsultrapportuppgifter från uppladdade PDF:er. Gäller endast när konsultrapportutvinning är aktiverad för kunden och Berget är konfigurerad leverantör. Berget anger att uppgifterna behandlas på europeisk eller svensk infrastruktur och att de enligt personuppgiftsbiträdesavtalet endast används för att tillhandahålla tjänsten. Den exakta behandlingsplatsen följer den avtalade datacenterkonfigurationen.

Följande tredjepartstjänster används enbart inom funktionen Sonda AI (AI-chatten) och är inte aktiva om du inte använder AI-chatten:

  • AI-modell: Anthropic Inc./PBC (USA) tillhandahåller språkmodellen Claude för AI-assisterade frågor och svar om avfallsklassificering. Utöver dina frågor och konversationshistoriken behandlas, när du kopplar en konversation till ett klassat dokument, identitetsfri klassificeringsdata från dokumentet: analysvärden, klassningar, beslutsunderlag med regelreferenser och provtagningsunderlag. Kund, projekt, beställning, provbeteckningar, filnamn, plats och användaridentiteter överförs inte. Uppgifterna används inte för modellträning; behandlingsplats och lagringstid följer Anthropics vid var tid gällande personuppgiftsbiträdesavtal. Överföring till USA sker med stöd av EU:s standardavtalsklausuler och Anthropics personuppgiftsbiträdesavtal.
  • Vektorsökning: Voyage AI Inc. (USA) för att skapa vektorrepresentationer för semantisk sökning i kunskapsdatabasen. Behandling sker i USA.
  • Webbsökning: Brave Software Inc. (USA) för sökning efter information om regelverk. Sökfrågor lagras i högst 90 dagar för fakturering och felsökning. Brave behandlar inte sökfrågor som personuppgifter.

Vi säljer aldrig personuppgifter till tredje part. Delning sker enbart med underbiträden som är bundna av personuppgiftsbiträdesavtal och som erbjuder adekvat skyddsnivå.

6. Dina rättigheter

Enligt GDPR har du följande rättigheter avseende dina personuppgifter:

  • Rätt till tillgång: du kan begära en kopia av de uppgifter vi behandlar om dig.
  • Rätt till rättelse: du kan begära att felaktiga uppgifter korrigeras.
  • Rätt till radering: du kan begära att dina uppgifter raderas ("rätten att bli bortglömd").
  • Rätt till dataportabilitet: du kan begära att få dina uppgifter i ett maskinläsbart format.
  • Rätt att invända: du kan invända mot behandling baserad på berättigat intresse.
  • Rätt till begränsning: du kan begära att behandlingen begränsas under utredning av en invändning.

För att utöva dina rättigheter, kontakta oss på info@sonda.se. Vi svarar inom 30 dagar.

7. Internationella överföringar

Dina uppgifter lagras och behandlas huvudsakligen inom EU/EES. Sondas kärninfrastruktur körs på servrar i Tyskland, uppladdade filer lagras i Sverige och vissa funktionsspecifika flöden använder Irland eller andra dokumenterade behandlingsplatser inom EU/EES. Vi lämnar därför ingen generell garanti om att alla uppgifter behandlas i Sverige; behandlingsplatsen varierar beroende på komponent och aktiverad funktion. Vissa underbiträden är baserade i USA (se avsnitt 5). Överföring till USA sker med stöd av EU:s standardavtalsklausuler (SCC) och respektive leverantörs personuppgiftsbiträdesavtal. Vi överför aldrig personuppgifter till tredjeland utan en adekvat skyddsmekanism.

8. Säkerhetsåtgärder

Vi vidtar tekniska och organisatoriska åtgärder för att skydda dina personuppgifter, inklusive:

  • Kryptering av data under överföring (TLS/HTTPS) och vid lagring.
  • Lösenord lagras som Argon2id-hashvärden.
  • Åtkomstkontroll baserad på roller (RBAC) och företagsisolering.
  • Automatisk säkerhetskopiering av databasen med 30 dagars lagringstid.
  • Kundisolering via företags-ID på radnivå i databasen.

9. Cookies

Vi använder cookies för att tillhandahålla Tjänsten. Läs mer i vår cookiepolicy.

10. Ändringar av policyn

Vi kan komma att uppdatera denna integritetspolicy. Väsentliga ändringar meddelas via e-post eller genom ett meddelande i Tjänsten. Den senaste versionen finns alltid tillgänglig på denna sida.

11. Kontakt och tillsynsmyndighet

Om du har frågor om vår behandling av personuppgifter, kontakta oss på info@sonda.se.

Du har rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY) om du anser att vi behandlar dina personuppgifter i strid med GDPR: