Fastia
Logga inKom igång

Integritetspolicy

Senast uppdaterad: 2026-11-12

1. Personuppgiftsansvarig

Den organisation (bostadsrättsförening, fastighetsägare eller förvaltare) som administrerar sin Samlia-arbetsyta är personuppgiftsansvarig för behandlingen av personuppgifter i systemet. Samlia agerar personuppgiftsbiträde åt organisationen.

2. Vilka personuppgifter behandlar vi?

  • Kontaktuppgifter: Namn, e-postadress, telefonnummer
  • Kontouppgifter: Inloggningshistorik, rollbehörigheter
  • Boendeuppgifter: Adress, hyresavtal, inflyttningsdatum
  • Ärenden: Felanmälningar, bilder, beskrivningar
  • Teknisk data: IP-adress, webbläsare (vid inloggning)

3. Ändamål och rättslig grund

  • Fastighetsförvaltning — Fullgörande av avtal (Art. 6.1b)
  • Ärendehantering — Berättigat intresse (Art. 6.1f)
  • Ekonomi och fakturering — Rättslig förpliktelse (Art. 6.1c)
  • Säkerhet och loggning — Berättigat intresse (Art. 6.1f)

4. Lagringstider

Personuppgifter lagras så länge det finns ett ändamål. Retentionsregler konfigureras av systemadministratören. Ekonomiska data sparas enligt bokföringslagen (7 år). Loggar sparas i enlighet med konfigurerade regler.

5. Dina rättigheter

  • Rätt till tillgång (Art. 15) — Begär registerutdrag via din administratör
  • Rätt till rättelse (Art. 16) — Kontakta din administratör
  • Rätt till radering (Art. 17) — Begär anonymisering av dina uppgifter
  • Rätt till dataportabilitet (Art. 20) — Export i JSON/CSV-format
  • Rätt att invända (Art. 21) — Kontakta personuppgiftsansvarig

6. Datasäkerhet

Samlia använder krypterad kommunikation (TLS/SSL), åtkomstkontroll baserad på roller (RBAC), radnivåsäkerhet (RLS) för dataseparering mellan organisationer, samt fullständig ändringsloggning.

7. Underbiträden

Vi anlitar följande underbiträden för att leverera tjänsten (listan uppdaterad 2026-10-18). Vissa används bara när en funktion är aktiverad.

  • Supabase (Supabase, Inc. (USA)) — Databas, inloggning, fillagring, serverfunktioner och schemalagda jobb – driften av hela tjänsten. Plats: AWS eu-west-1, Irland (EU). Överföring till tredje land: Uppgifterna lagras i EU. Eventuell åtkomst från USA (support/drift) sker enligt Supabase DPA med EU:s standardavtalsklausuler (SCC). Används: Alltid.
  • Vercel (Vercel Inc. (USA)) — Hosting av webbappen (app.fastia.se, samlia.se), länkförhandsvisningar och vidarekoppling till serverfunktioner. Plats: Globalt CDN (närmaste nod); serverfunktionernas region att bekräfta. Överföring till tredje land: EU:s standardavtalsklausuler (SCC) enligt Vercel DPA; EU-US Data Privacy Framework att bekräfta. Används: Alltid.
  • Resend (Resend (Plus Five Five, Inc., USA)) — Utskick av e-post: inloggnings- och aktiveringslänkar, kallelser, påminnelser om avgifter, kvitton och medlemsbrev. Plats: USA (sändningsregion att bekräfta). Överföring till tredje land: EU:s standardavtalsklausuler (SCC) enligt Resends DPA; EU-US Data Privacy Framework att bekräfta. Används: Alltid (alla e-postutskick från tjänsten).
  • 46elks (46elks AB (Sverige)) — Utskick av SMS (påminnelser, kallelser och meddelanden som föreningen väljer att skicka som SMS). Plats: Sverige (EU). Används: När föreningen skickar SMS via plattformen.
  • Stripe (Stripe Payments Europe, Ltd. (Irland)) — Kort- och Swish-betalning av medlemsavgifter och andra avgifter samt prenumerationer. Kortuppgifter hanteras enbart av Stripe och passerar aldrig plattformens servrar. Plats: EU och USA. Överföring till tredje land: EU:s standardavtalsklausuler (SCC) och EU-US Data Privacy Framework enligt Stripes DPA (att bekräfta). Används: När föreningen har kopplat betalningar.
  • OpenAI (OpenAI (avtalspart att bekräfta)) — AI-funktioner (assistent, sammanfattningar, förslag och analys), automatisk översättning av innehåll och chattmeddelanden samt en förklarande text om varje inloggning i säkerhetsloggen. Översättningsanropen sparas inte hos OpenAI (store: false) och skickas utan avsändarnamn. Plats: USA (eller EU vid EU-datalagring – att bekräfta). Överföring till tredje land: EU:s standardavtalsklausuler (SCC) enligt OpenAIs DPA; EU-US Data Privacy Framework att bekräfta. Används: Vid varje inloggning (säkerhetsloggen) samt när AI-funktioner eller automatisk översättning används.
  • Anthropic (Anthropic PBC (USA)) — Alternativ AI-motor för AI-funktioner – när organisationen valt den eller när uppgiften kräver den. Plats: USA. Överföring till tredje land: EU:s standardavtalsklausuler (SCC) enligt Anthropics DPA (att bekräfta). Används: När en AI-funktion som kör Anthropic används.
  • Sentry (Functional Software, Inc. (Sentry), data i EU-region (Frankfurt)) — Felövervakning: tekniska felrapporter från appen så att fel kan hittas och rättas. Plats: EU (Tyskland). Används: När ett fel uppstår i appen på app.fastia.se eller samlia.se.
  • Google Fonts (Google Ireland Ltd (Irland) / Google LLC (USA)) — Typsnitt som webbläsaren hämtar när sidan visas. Plats: Globalt (Googles nätverk). Överföring till tredje land: EU-US Data Privacy Framework (Google LLC är certifierat – att bekräfta för tjänsten). Används: Alltid (när sidan laddas i webbläsaren).
  • Webbläsarens pushtjänst (Webbläsarens leverantör: Google (Chrome/Android), Apple (Safari/iOS), Mozilla (Firefox), Microsoft (Edge)) — Leverans av pushnotiser till enheten. Innehållet är krypterat från plattformen till enheten (RFC 8291) och kan inte läsas av pushtjänsten. Plats: Beror på webbläsare – oftast USA. Överföring till tredje land: Leverantörens egna villkor; EU-US Data Privacy Framework för Google, Apple och Microsoft (att bekräfta). Används: När användaren själv har slagit på pushnotiser.
  • OpenStreetMap (OpenStreetMap Foundation (Storbritannien)) — Kartbilder och adress-sökning (Nominatim), t.ex. i utdelningskartor och när en incident anmäls med position. Plats: Storbritannien. Överföring till tredje land: EU-kommissionens beslut om adekvat skyddsnivå för Storbritannien. Används: När en karta eller adress-sökning används.
  • Cloudflare Realtime (Calls) (Cloudflare, Inc. (USA)) — Förmedling av ljud och video i digitala styrelsemöten och porttelefonsamtal. Plats: Globalt (närmaste nod). Överföring till tredje land: EU:s standardavtalsklausuler (SCC) och EU-US Data Privacy Framework enligt Cloudflares DPA (att bekräfta). Används: När digitala möten med ljud/video eller porttelefon används.

8. Kontakt

Kontakta din organisationsadministratör för frågor om personuppgiftsbehandling eller för att utöva dina rättigheter.