Integritetspolicy

01

Inledning

Komma ApS (CVR-nr 46208765), Paul Bergsøes Vej 16, 1. tv, 2600 Glostrup, Danmark, bygger HR-systemet för nordiska företag – hela HR på ett ställe, med AI-assistenten Karma inbyggd. Den här integritetspolicyn förklarar hur vi behandlar personuppgifter: vilka uppgifter, varför, hur länge – och vilka rättigheter du har.

Policyn täcker hela resan: ditt första besök på vår webbplats, en demoförfrågan eller annan förfrågan, kundrelationen, den dagliga användningen av plattformen och mobilappen – och din ansökan om du söker jobb hos Komma. Var du än möter oss kan du hitta dig själv i den här policyn.

Policyn är skriven för att läsas. Avsnitt 3 till 21 inleds var och ett med en ”Kort sagt”-ruta: en till tre meningar på klarspråk som ger dig kärnan innan detaljerna följer. Allt som passar i en tabell – kategorier av uppgifter, rättsliga grunder, tidsfrister – står i tabeller, och den fullständiga ordlistan finns i bilaga A.

Policyn gäller för kommahr.com, kommahr.dk, Komma-plattformen och mobilappen. När ert företag använder plattformen är ert företag personuppgiftsansvarigt för uppgifterna i plattformen, och detaljerna i vår behandling regleras av personuppgiftsbiträdesavtalet (DPA) – se avsnitt 5 och 12.

Detta är version 1.2 av policyn. Den träder i kraft den 31 juli 2026. Om du har frågor kan du när som helst skriva till hej@kommahr.com – se avsnitt 23.

02

Definitioner

Dataskydd har ett eget ordförråd. Här är de tio begrepp du oftast möter i den här policyn, förklarade med enkla ord – den fullständiga ordlistan finns i bilaga A.

03

Vår syn på integritet

Det är era uppgifter. Vi förvarar dem bara. Den meningen är arbetsfördelningen hos Komma: ert företag äger och styr uppgifterna i plattformen – Komma lagrar och skyddar dem. Allt annat i den här policyn följer av det. Vi har omsatt det i fem åtaganden:

• Integritet är en produktfunktion. Åtkomststyrning på fältnivå, en revisionslogg som inte kan redigeras och automatiska gallringsregler är inbyggda i plattformen från dag ett – inga tillägg, och inget ni själva behöver bygga. Se avsnitt 15.
• Uppgiftsminimering från första fältet. Vi samlar bara in det som ett specifikt ändamål kräver – vårt demoformulär har sex fält, och telefonnumret är frivilligt. I plattformen ser varje roll bara de fält den behöver.
• En webbplats där du bestämmer. kommahr.com och kommahr.dk sätter inga cookies, laddar inga annonspixlar och har inga chattwidgetar. Vid ditt första besök frågar en pop-up om du vill slå på Statistik och Företagsigenkänning – båda är avslagna tills du säger ja. Utan ditt samtycke räknar vår server bara, anonymt, hur många gånger varje sida visas. Se avsnitt 8.
• Vi säljer aldrig data. Inte till annonsörer, inte till datamäklare, inte som ”anonymiserade insikter”. Era uppgifter är inte vår affärsmodell – plattformen är det.
• Klarspråk framför juristspråk. Den här policyn är skriven för människor: avsnitt 3 till 21 inleds var och ett med en ”Kort sagt”-ruta, och vi hänvisar till de relevanta artiklarna i dataskyddsförordningen så att du själv kan kontrollera det vi påstår.

Dessa fem åtaganden är inte ambitioner – de går att kontrollera. Läs avsnitt 8 om webbplatsen, avsnitt 14 om AI och avsnitt 15 om säkerhet, och håll oss till dem.

04

Dataskyddsförordningens principer i praktiken

Artikel 5 i dataskyddsförordningen (GDPR) fastställer sju principer för all behandling av personuppgifter. De är måttstocken vi arbetar efter – här är varje princip och vad den innebär i praktiken hos Komma.

05

Våra roller: personuppgiftsansvarig och personuppgiftsbiträde

Dataskyddsförordningen (GDPR) skiljer mellan två roller. Den personuppgiftsansvarige bestämmer varför och hur personuppgifter behandlas. Personuppgiftsbiträdet behandlar personuppgifter enbart för den personuppgiftsansvariges räkning och enligt dennes instruktioner.

För Komma är fördelningen enkel. När du själv vänder dig till oss – besöker vår webbplats, bokar en demo, skriver till supporten eller söker jobb hos oss – är Komma ApS personuppgiftsansvarig. När ert företag använder Komma som sitt HR-system är ni personuppgiftsansvariga för allt ni lägger in i plattformen: medarbetare, tidigare medarbetare, kandidater, konsulter och kontaktpersoner. Era medarbetares uppgifter tillhör er – inte oss. Vi behandlar dem enbart enligt era instruktioner enligt personuppgiftsbiträdesavtalet (DPA).

Om en medarbetare, kandidat eller annan registrerad i en kunds Komma-lösning vill ha tillgång till, rättelse eller radering av sina uppgifter går begäran alltid till arbetsgivaren – som personuppgiftsansvarig kan och ska arbetsgivaren besvara den. Om vi tar emot en sådan begäran direkt vidarebefordrar vi den till kunden utan onödigt dröjsmål och besvarar den aldrig på egen hand. Vi hjälper kunden att uppfylla begäran, så som personuppgiftsbiträdesavtalet förpliktar oss (artikel 28). Läs mer om plattformen i avsnitt 12 och om dina rättigheter i avsnitt 19.

06

Kategorier av personuppgifter

Det här avsnittet redogör för vilka kategorier av personuppgifter vi behandlar i var och en av våra två roller (se avsnitt 5). Avsnitt 7 kopplar kategorierna till ändamål, rättsliga grunder och lagringstider.

6.1 Där Komma är personuppgiftsansvarig

Där Komma är personuppgiftsansvarig samlar vi bara in det som krävs för att svara dig och driva vår verksamhet:

6.2 Där Komma är personuppgiftsbiträde (uppgifter i plattformen)

När ert företag använder plattformen bestämmer ni som personuppgiftsansvariga vilka kategorier som behandlas, om vem och hur länge. Tabellen visar de kategorier som plattformen kan innehålla:

Vi behandlar särskilda kategorier av personuppgifter – hälsouppgifter och fackföreningsmedlemskap – enbart enligt kundens dokumenterade instruktioner och på kundens rättsliga grund, normalt arbetsrättsliga förpliktelser (artikel 9.2 b). CPR-nummer behandlas endast där lön eller lagstadgade ändamål kräver det (11 § i den danska dataskyddslagen (databeskyttelsesloven)).

Frånvaroorsaker har ett särskilt skydd i plattformen: åtkomsten är begränsad i rollmodellen, och API-nycklar kan aldrig hämta dem – frånvaroorsaker är, tillsammans med lön och CPR-nummer, uteslutna från API-åtkomst redan vid källan.

07

Behandlingar – översikt

Tabellen täcker båda våra roller. I raden ”Drift av plattformen” är Komma personuppgiftsbiträde: där gäller kundens rättsliga grunder och lagringsinställningar, och personuppgiftsbiträdesavtalet (DPA) sätter ramen. I alla andra rader är Komma personuppgiftsansvarig.

Överallt där den rättsliga grunden är berättigat intresse har vi angett intresset i tabellen och gjort en intresseavvägning mot dina intressen. Du kan alltid invända mot behandling som grundar sig på berättigat intresse (artikel 21) – se avsnitt 19.

Detaljerna följer i avsnitt 8–13: webbplats och cookies (avsnitt 8), leads och marknadsföring (avsnitt 9), demor, webbinarier och evenemang (avsnitt 10), support (avsnitt 11), kunder och anställda i plattformen (avsnitt 12) och jobbsökande hos Komma (avsnitt 13).

08

Webbplats och cookies

Webbplatsen sätter inga cookies, laddar inga annonspixlar och har inga chattwidgetar. Första gången du besöker kommahr.com eller kommahr.dk frågar en pop-up vilka av tre slags lagring du godkänner: Nödvändiga, Statistik och Företagsigenkänning. Nödvändiga kommer bara ihåg ditt val, så att vi inte frågar igen på varje sida. De andra två är avslagna tills du slår på dem, och du kan när som helst ändra eller återkalla ditt val via Cookie-inställningar längst ner på varje sida.

8.1 Vad vi sparar i din webbläsare

Vi sparar bara det du har sagt ja till, och vi använder inga cookies för något av det. Ditt val i pop-upen ligger i webbläsarens localStorage under nyckeln ”komma-consent” i 12 månader, så att vi inte frågar igen på varje sida. Om du har slagit på Statistik eller Företagsigenkänning sparar vi dessutom, i webbläsarens sessionStorage, vilken sida eller kampanj som skickade dig hit (”komma-src”), och för Företagsigenkänning ett slumpmässigt besöks-ID (”komma-sid”). Båda försvinner när du stänger fliken. Språket kommer från adressen – varje språk har sin egen mapp, till exempel /da/ – och sparas inte.

8.2 Serverloggar

Webbservern registrerar automatiskt tekniska loggar som innehåller din IP-adress, tidpunkten och de sidor du begär. Vi använder dem enbart för säkerhet och felsökning – till exempel för att upptäcka attacker, missbruk och driftfel – på grundval av vårt berättigade intresse av en säker och stabil webbplats (artikel 6.1 f). Loggarna raderas senast efter 90 dagar. Webbplatsen drivs av Vercel, och våra serverfunktioner körs inom EU (Stockholm) (se avsnitt 16).

Utöver loggarna räknar vår server varje sida den levererar, för varje besökare och utan att fråga: en till i dagens totaler för sidan, den webbplats som skickade dig hit (bara dess namn), eventuella kampanjtaggar i länken och ditt land och din region (till exempel Region Midtjylland), båda utifrån nätverkets placering. Ingen IP-adress, inga uppgifter om webbläsaren och inget ID sparas, och ingenting läses från eller sparas på din enhet. Förfrågningar som ser automatiserade ut räknas separat. De dagliga totalerna raderas efter 120 dagar.

8.3 Statistik och företagsigenkänning – endast med ditt samtycke

Om du slår på Statistik laddar varje sida Vercel Web Analytics från webbplatsens egen adress. Den räknar sidvisningar, hänvisande webbplats, land, webbläsare och enhetstyp, visar oss bara totaler, sätter inga cookies och följer dig varken till andra webbplatser eller från en dag till nästa.

Om du slår på Företagsigenkänning försöker vi ta reda på vilket företag – aldrig vilken person – ett besök kommer från. Din IP-adress slås upp i en kopia av IPinfos databas som ligger i vår egen serverfunktion inom EU (Stockholm), och i offentlig DNS och i en kopia av RIPE NCC:s offentliga register över vem IP-adresser är tilldelade, som också ligger i vår egen serverfunktion. Därefter kasseras IP-adressen; vi sparar den aldrig, inte ens som hash. Om nätverket tillhör ett företag sparar vi företagets namn, de sidor som visades, tiden som ägnades åt dem, var besöket kom ifrån och landet i vår databas hos Upstash (Frankfurt) i 90 dagar. Samma uppgifter kan bli en anteckning eller en lead i vårt CRM-system, Pipedrive, och vårt säljteam kan få ett meddelande om besöket i Microsoft Teams. För danska företag slår vi upp storlek och bransch i CVR-registret via cvrapi.dk – enbart utifrån företagets namn.

Ett besök från en hem- eller mobilanslutning räknas bara, det namnges aldrig. Om anslutningen har en egen domän i DNS räknar vi bara den domänen per dag, i 30 dagar, för att mäta hur väl uppslagningen fungerar.

Med detta samtycke räknar vi också den ungefärliga ort som nätverket finns på (till exempel Aarhus; i mobilnät ofta operatörens ort). För besök som vi inte kan knyta till ett företag räknar vi dessutom per region – aldrig per ort – om pris-, demo- eller kontaktsidan visades. Båda sparas bara som dagliga totaler utan IP-adress eller ID och raderas efter 90 dagar.

Serverloggarna och den anonyma sidräkningen grundar sig på vårt berättigade intresse (artikel 6.1 f) av en säker, stabil webbplats och av att veta vilka sidor som används. Statistik och all lagring i din webbläsare utöver ditt val grundar sig på ditt samtycke (artikel 6.1 a), som du när som helst kan återkalla. Uppföljning av företagsbesök grundar sig på vårt berättigade intresse av att veta vilka företag som tittar på Komma (artikel 6.1 f). Vi har gjort den intresseavvägning mot dina intressen som krävs, och du kan alltid invända (artikel 21) – se avsnitt 19.

8.4 Vårt löfte

Om vi lägger till nya tjänster som sparar något i din webbläsare eller skickar information om ditt besök, hamnar de bakom samtyckes-pop-upen, och det här avsnittet uppdateras innan något alls placeras i din webbläsare (se avsnitt 22 om ändringar i den här policyn).

09

Leads och marknadsföring

Komma är B2B: vår marknadsföring riktar sig till företag, men det är alltid människor som fyller i formulären. Här är exakt vad vi samlar in, varför vi får göra det och vad vi aldrig gör.

9.1 Vad vi samlar in

Webbplatsen har två formulär. Vi samlar bara in det som fälten visar, samt vilket formulär du använde, sidan du skickade det från och sidans språk. Det finns ingen dold berikning bakom dem: företagsigenkänning sker bara om du har sagt ja till det i pop-upen eller i formuläret (se avsnitt 8.3). Vi registrerar din roll eller titel bara där den framgår av din förfrågan – till exempel i din mejlsignatur.

9.2 Rättsliga grunder

Där vi stöder oss på berättigat intresse har vi gjort den avvägning mellan vårt intresse och dina rättigheter som krävs (intresseavvägningen). Du kan när som helst invända mot behandlingen (artikel 21) – och då slutar vi. Läs mer om dina rättigheter i avsnitt 19.

9.3 Marknadsföring vi inte bedriver

Det enklaste är att räkna upp vad som inte händer när du kontaktar oss:

• Inga nurture-flöden – en demobokning startar ingen mejlsekvens.
• Inga autosvarskampanjer – nästa gång du hör från oss är det en människa som har läst ditt meddelande.
• Inget nyhetsbrev – vi har inget i dag, så det finns inget du behöver komma ihåg att avregistrera dig från.
• Ingen vidareförsäljning – vi säljer eller delar aldrig dina kontaktuppgifter med någon för marknadsföring.

9.4 Lagringstid

Om ditt företag inte blir kund raderar vi din förfrågan och dina kontaktuppgifter 12 månader efter vår senaste aktiva kontakt. Om ni blir kund flyttas uppgifterna till kundens grunddata och följer kundrelationen (se avsnitt 18).

9.5 Om vi någon gång lanserar ett nyhetsbrev

Om vi någon gång lanserar ett nyhetsbrev kommer det att bygga enbart på samtycke (artikel 6.1 a): vi skriver bara till dig om du aktivt har anmält dig, inga befintliga kontakter flyttas över automatiskt, och du kan återkalla ditt samtycke lika enkelt som du gav det – ett klick i varje mejl.

10

Demor, webbinarier och evenemang

Vi visar hellre Komma än pratar om det. Så här hanterar vi personuppgifter när du möter oss på en demo, i en testmiljö eller – en dag – på ett webbinarium.

10.1 Demor

En demo är ett inbokat möte där vi visar dig plattformen – och efteråt följer en människa upp med ett personligt svar på det du frågade om. Du skrivs inte in i något automatiskt – inga listor, inga flöden, inga kampanjer. Vi behandlar bokningsuppgifterna enligt beskrivningen i avsnitt 9, och de raderas enligt samma regler.

10.2 Testmiljöer

Om vi sätter upp en testmiljö åt er gäller en enkel regel: uppgifterna i testmiljön är era. Vi behandlar dem enbart för att tillhandahålla miljön (artikel 6.1 b) och använder dem varken för utveckling, statistik eller marknadsföring. Om ni blir kund fortsätter behandlingen enligt personuppgiftsbiträdesavtalet som en del av kundrelationen (se avsnitt 12). Om testperioden löper ut utan avtal raderar vi testmiljön och alla uppgifter i den senast 30 dagar efter utgången – och säkerhetskopiorna är helt rensade inom högst 90 dagar, precis som när en kundrelation upphör (se avsnitt 18).

10.3 Webbinarier och evenemang

Vi håller inga webbinarier i dag. Om vi någon gång gör det – eller anordnar evenemang med anmälan – använder vi dina anmälningsuppgifter enbart för just det evenemanget: praktisk information före, under och strax efter. Du läggs aldrig till i marknadsföringslistor utan ett separat, aktivt samtycke (artikel 6.1 a).

11

Support

Bra support kräver förvånansvärt lite personuppgifter. Här är vad vi behandlar när du skriver till oss – och vad vi ber dig att inte skicka.

11.1 Vad vi behandlar

Supporten är förbehållen kunder som använder Komma-plattformen och sköts via support@kommahr.com. Förfrågningar från alla andra besvaras via hej@kommahr.com. När du skriver till oss behandlar vi ditt namn, dina kontaktuppgifter i arbetet och innehållet i din förfrågan – varken mer eller mindre. För kunder är supporten en del av vårt avtal med er (artikel 6.1 b). Om du skriver till oss utan att vara kund svarar vi på grundval av vårt berättigade intresse av att besvara förfrågningar om vår produkt (artikel 6.1 f); du kan invända enligt artikel 21 (se avsnitt 19).

11.2 Skicka inte medarbetares personuppgifter

Vi ber er om en sak: klistra inte in medarbetares personuppgifter i supportärenden. Beskriv i stället problemet – till exempel med ett medarbetar-ID eller en skärmbild utan personuppgifter. CPR-nummer, löneuppgifter och frånvaroorsaker hör hemma i plattformen, inte i ett mejl. Om vi ändå tar emot sådana uppgifter raderar vi dem när ärendet är avslutat.

11.3 Åtkomst till era uppgifter i plattformen

Vissa ärenden kan bara lösas genom att någon i vårt supportteam tittar på era uppgifter i plattformen. Det sker enbart när det är nödvändigt för att lösa det specifika ärendet. Åtkomsten avgränsas av plattformens rollmodell och registreras alltid i den revisionslogg som inte kan redigeras – så att ni själva kan se vem som såg vad, och när.

11.4 Lagringstid

12

Kunder och anställda i plattformen

Det här avsnittet är till er som är Komma-kund – och till dig som är anställd, kandidat eller kontaktperson på ett företag som använder plattformen. Det beskriver rollfördelningen och personuppgiftsbiträdesavtalet (avsnitt 12.1), vad plattformen innehåller och hur den städar upp på egen hand (avsnitt 12.2), samt hur de anställdas åtkomst styrs och loggas (avsnitt 12.3).

12.1 Roller och personuppgiftsbiträdesavtalet

När ert företag använder plattformen är ni personuppgiftsansvariga för varje personuppgift ni lägger in i den. Ni bestämmer ändamålen, väljer lagringsinställningarna och ger instruktionerna. Komma ApS är ert personuppgiftsbiträde och behandlar uppgifterna endast inom den ramen (artikel 28).

Grunden är vårt personuppgiftsbiträdesavtal (DPA), en fast del av varje kundavtal. Det förpliktar oss bland annat till följande:

Om en medarbetare, kandidat eller annan registrerad kontaktar oss direkt om uppgifter i er plattform vidarebefordrar vi begäran till er och besvarar den aldrig på egen hand. Ni, som personuppgiftsansvariga, svarar – vi står för biståndet och verktygen.

12.2 Vad plattformen innehåller – och när den raderar på egen hand

Avsnitt 6.2 beskriver de kategorier av personuppgifter som plattformen är byggd för att innehålla – från medarbetares grunddata och lönedata till frånvaro, rekrytering och feedback. Ni bestämmer vilka kategorier ni använder och hur länge de sparas. Radering är en inbyggd funktion, inte ett manuellt göromål – plattformen levereras med dessa automatiska standardinställningar:

Standardinställningarna speglar dansk praxis och lagstadgade krav på lagring, men lagringsinställningarna är era: ni kan anpassa dem till era egna raderingsfrister – inom lagens gränser.

12.3 Anställda i plattformen

De anställda är de personer som loggar in i er plattform – HR-teamet, chefer och medarbetare. Åtkomsten bygger på en enkel princip: varje anställd ser bara det som rollen kräver.

• Inloggning med Microsoft Entra ID (SSO) med automatisk provisionering och avprovisionering: när en anställd lämnar företaget stängs åtkomsten automatiskt.
• Rollbaserad åtkomststyrning ända ner på fältnivå, avgränsad efter avdelning, plats och juridisk enhet.
• Revisionslogg som inte kan redigeras: varje läsning, ändring och export registreras i en revisionslogg som inte kan redigeras.
• Anonymitetsgränser i pulsundersökningar: svar visas bara i grupper som är så stora att ingen kan identifieras.

Om du är anställd med åtkomst till en kunds plattform är din arbetsgivare personuppgiftsansvarig för dina uppgifter. För att utöva dina rättigheter, kontakta din arbetsgivare – se avsnitt 19.

13

Jobbsökande hos Komma

Om du söker en tjänst hos Komma – via mejl eller genom en jobbannons – behandlar vi din ansökan, ditt cv, dina kontaktuppgifter och våra anteckningar från intervjuerna. Vi tar referenser först efter överenskommelse med dig.

Det finns ingen automatisering i vår rekrytering: varje ansökan läses av en människa, och varje beslut längs vägen fattas av människor (se avsnitt 21).

Om du har frågor om din ansökan eller dina uppgifter, skriv till hej@kommahr.com. Dina rättigheter beskrivs i avsnitt 19.

14

AI och ansvarsfull AI

AI är inget tillägg i Komma – det är en del av plattformen. Just därför är vi skyldiga er ett exakt svar på tre frågor: Vad gör Karma? Vad gör Karma inte? Och vem bestämmer? Det här avsnittet besvarar alla tre.

14.1 Vad Karma är

Karma är den inbyggda AI-assistenten i plattformens moduler. När Karma arbetar behandlar den de personuppgifter som redan finns i er plattform – som ert personuppgiftsbiträde och endast enligt era instruktioner (se avsnitt 5). Här är den ärliga listan över vad Karma gör:

• svarar på frågor utifrån aktuella HR-data – till exempel ”Hur många semesterdagar har teamet kvar i år?”
• tar fram utkast till ändringar i fält och grunddata, som en anställd sedan godkänner eller avvisar
• omvandlar cv:n till kompetenspoäng från 0 till 5 som kan förklaras axel för axel
• tar fram utkast till jobbannonser
• matchar kandidater mot roller med en transparent viktad formel – vikterna är synliga, inte gömda
• flaggar frånvaromönster så att en chef kan ta samtalet i god tid
• förklarar lönerader på klarspråk
• sammanfattar utvärderingar och feedbackprocesser
• föreslår lärandevägar och bemanning av pass

14.2 Våra åtta åtaganden

Varje AI-funktion i Komma bygger på en princip: ”Karma tar fram utkastet. En människa beslutar.” Den principen omsätts i åtta åtaganden, och de gäller för varenda AI-funktion i plattformen:

1. Ingenting skrivs till systemet förrän en människa godkänner det.
2. Inga automatiserade beslut om människor – och det går inte att slå på.
3. En kunds uppgifter tränar aldrig modeller som används för andra kunder, och promptar används inte för att träna de underliggande grundmodellerna.
4. Karma ärver plattformens rollmodell och kan aldrig visa en anställd uppgifter som den anställdas roll inte själv skulle kunna se.
5. Poäng är förklarbara: viktade och axel för axel – aldrig en siffra från en svart låda.
6. Varje AI-förslag hamnar i revisionsloggen, som inte kan redigeras.
7. Ni kan stänga av AI.
8. Karma markerar vad den har härlett och säger till när den är osäker.

14.3 Där vi sätter gränsen

Ansvarsfull AI handlar lika mycket om det man väljer att inte bygga. Vi har medvetet avstått från följande:

• individuell produktivitetspoängsättning av medarbetare
• sentimentanalys av fritext i medarbetarsamtal och pulsundersökningar
• automatiska avslag på sökande
• avgångsrisk-poäng som pekar ut namngivna medarbetare som sannolika att säga upp sig

Dessa funktioner finns inte i produkten, och de kan inte aktiveras – inte via en inställning, inte mot betalning och inte på begäran.

14.4 Tekniken bakom Karma

Karma körs på infrastruktur inom EU och under samma säkerhetsregler som resten av plattformen:

• Behandling inom EU: AI-modellerna bakom Karma körs på Azure OpenAI Service i Microsofts region Sweden Central (EU) – era uppgifter lämnar inte EU för att behandlas av AI.
• Ingen träning: Promptar och svar används aldrig för att träna de underliggande grundmodellerna eller modeller för andra kunder. Behandlingen är tillfällig – det som sparas är förslaget i revisionsloggen.
• Ärvd åtkomststyrning: Karma ärver plattformens rollbaserade åtkomststyrning ända ner på fältnivå. En fråga till Karma kan aldrig bli en bakdörr till uppgifter.
• Full spårbarhet: Varje förslag registreras i revisionsloggen, som inte kan redigeras (se avsnitt 15).
• Er kontroll: Ni slår på och stänger av AI – beslutet ligger hos er.

Och den rättsliga ståndpunkten: inget beslut med rättsliga eller på liknande sätt betydande följder för en person fattas enbart automatiskt i Komma (artikel 22). Karma ger beslutsstöd – människor beslutar. Läs mer om automatiserat beslutsfattande och profilering i avsnitt 21.

15

Informationssäkerhet

Ett HR-system innehåller några av de mest konfidentiella uppgifter ett företag har: lön, frånvaro, hälsodokumentation och CPR-nummer. Därför är säkerhet inte en funktion i Komma – det är en förutsättning. Vi skyddar era uppgifter med tekniska och organisatoriska åtgärder (artikel 32), och detta är de viktigaste:

• Teknik och infrastruktur
  • All trafik krypteras under överföring (TLS 1.2 eller senare), och all data krypteras i vila.
  • Plattformen körs på Microsoft Azure i regionen Sweden Central (EU) – se även avsnitt 17 om internationella överföringar.
  • Hemligheter som nycklar och certifikat lagras i Azure Key Vault, och systemkomponenter autentiserar sig med hanterade identiteter – inga delade lösenord.
  • Säkerhetskopior är krypterade, lagras inom EU och raderas i ett rullande fönster på högst 35 dagar.
• Åtkomst och spårbarhet
  • Rollbaserad åtkomststyrning ner på fältnivå avgör vem som ser vad – en chef kan till exempel se att en medarbetare är frånvarande utan att se orsaken.
  • Varje läsning, ändring och export registreras i en revisionslogg som inte kan redigeras.
  • Telemetri- och feldata rensas från personuppgifter innan de loggas.
  • Svar på pulsundersökningar visas bara i grupper som är tillräckligt stora för att förhindra att enskilda personer kan identifieras.
• Människor och processer
  • Säkerhet är en del av vårt utvecklingsarbete från design till lansering.
  • Alla anställda på Komma har undertecknat en sekretessförbindelse och introduceras till våra säkerhetskrav.
  • Vi bedömer en leverantörs säkerhet innan vi börjar använda den (se avsnitt 16).

Vårt säkerhetsprogram är uppbyggt kring erkända ramverk: kraven i artikel 32 i dataskyddsförordningen och principerna i ISO 27001. Komma håller på att bli ISO 27001-certifierat. Vi skriver ”certifierat” först den dag en oberoende part har sagt det.

Den fullständiga katalogen över våra tekniska och organisatoriska åtgärder (TOM) finns i bilaga C.

16

Personuppgiftsbiträden och underbiträden

Våra två roller (se avsnitt 5) har betydelse här. Där vi är personuppgiftsansvariga – webbplatsen, leads, support och vår egen administration – är de leverantörer vi anlitar våra personuppgiftsbiträden. Där vi är personuppgiftsbiträde för de uppgifter ni lägger in i plattformen är samma slags leverantörer underbiträden. Kraven är desamma i båda fallen.

16.1 Så granskar vi våra personuppgiftsbiträden

Ingen leverantör behandlar personuppgifter för vår räkning förrän fyra saker är på plats:

• Ett personuppgiftsbiträdesavtal. Vi tecknar ett DPA som uppfyller kraven i artikel 28.3 – dokumenterade instruktioner, sekretess, säkerhet, regler för ytterligare underbiträden och radering när uppdraget upphör.
• Due diligence. Vi granskar leverantörens säkerhetsdokumentation, driftplatser och efterlevnad av dataskyddsförordningen innan vi skriver under.
• EU först. Vi väljer leverantörer som behandlar personuppgifter inom EU/EES. Allt annat är undantag och kräver en giltig överföringsmekanism (se avsnitt 17).
• Säkerhet enligt vår egen standard. Kryptering, åtkomststyrning och loggning på den nivå vi kräver av oss själva (se bilaga C).

16.2 Vilka vi anlitar i dag

Plattformen körs på Microsoft Azure i regionen Sweden Central, och Azure OpenAI Service – i samma EU-region – tillhandahåller AI-modellerna bakom Karma. Microsoft är därför vårt centrala underbiträde: infrastruktur, databas, lagring, säkerhetskopiering och AI. Promptar och svar används inte för att träna de underliggande AI-modellerna (se avsnitt 14), och om Microsoft någon gång undantagsvis skulle behöva supportåtkomst från ett tredjeland gäller ramverket i avsnitt 17.

I vår egen verksamhet driver Vercel webbplatsen (kommahr.com och kommahr.dk); våra serverfunktioner körs inom EU (Stockholm), och sidorna levereras från Vercels nätverk nära dig. Upstash lagrar företagsbesök och samtyckesregistreringar inom EU (Frankfurt). I vårt säljarbete använder vi Pipedrive som CRM-system – leads och kundkontakter behandlas inom EU – och vårt säljteam får meddelanden om företagsbesök i Microsoft Teams. Typsnitten och alla skript levereras från webbplatsens egen domän, så din webbläsare skickar ingenting till tredje part.

Den auktoritativa, alltid aktuella listan över våra underbiträden är bilaga D tillsammans med den löpande uppdaterade lista som det hänvisas till i personuppgiftsbiträdesavtalet.

16.3 Ändringar med minst 30 dagars varsel

Vi lägger aldrig till eller byter ut ett underbiträde i det tysta. Ni meddelas minst 30 dagar innan ett nytt underbiträde behandlar era uppgifter, och ni kan invända enligt det förfarande som anges i DPA:t.

16.4 Lönesystem är ert val – inte våra underbiträden

Om ni kopplar Komma till ert lönesystem – Zenegy, Danløn, Dataløn, Visma, Lessor eller Intect – väljer ni integrationen och den körs enligt er instruktion. Löneleverantören är ert eget personuppgiftsbiträde eller en självständig personuppgiftsansvarig, inte ett underbiträde till Komma. Vi överför bara de uppgifter som er konfiguration anger, och avtalsförhållandet med löneleverantören är ert.

17

Internationella överföringar

Det här avsnittet förklarar var dina personuppgifter fysiskt behandlas, och vad som måste vara på plats innan en överföring till ett land utanför EU/EES – ett tredjeland – ens kan komma i fråga.

17.1 Utgångspunkten: allt stannar inom EU/EES

Personuppgifter i Komma lagras och behandlas inom EU/EES. Plattformen – databas, filer, säkerhetskopior och AI-behandlingen bakom Karma – körs i Microsoft Azures region Sweden Central i Sverige, och webbplatsens serverfunktioner körs inom EU (Stockholm) (se avsnitt 16). Vi överför inte era uppgifter till tredjeländer som en del av plattformens normala drift; webbplatsens dataflöden beskrivs i avsnitt 17.3.

17.2 Om en överföring blir nödvändig

Om en överföring till ett tredjeland någon gång blir nödvändig – till exempel för att ett underbiträde ger support från ett land utanför EU/EES – sker den endast med en giltig överföringsmekanism enligt kapitel V i dataskyddsförordningen (artiklarna 44–49):

• ett beslut om adekvat skyddsnivå från Europeiska kommissionen (artikel 45) – för mottagare i USA omfattar detta företag som är certifierade enligt EU–US Data Privacy Framework (DPF) – eller
• standardavtalsklausuler (SCC) (artikel 46.2 c), kompletterade med ytterligare åtgärder där en bedömning i det enskilda fallet visar att de behövs, eller
• de särskilda undantagen i artikel 49, till exempel ditt uttryckliga samtycke, i enskilda fall.

För uppgifter i plattformen gäller ytterligare en regel: varje sådan ändring går igenom förfarandet för meddelande om underbiträden i avsnitt 16 – minst 30 dagars varsel och rätt att invända – innan den träder i kraft.

17.3 Webbplatsens dataflöden till tredjeland

Webbplatsen har tre dataflöden som kan lämna EU/EES. Vercel Inc. (USA) driver webbplatsen och tillhandahåller Statistik när du har slagit på den; våra serverfunktioner körs inom EU (Stockholm), men Vercel är ett amerikanskt företag. Microsoft (USA) levererar de Teams-meddelanden som vårt säljteam får om företagsbesök. Båda överföringarna bygger på Europeiska kommissionens beslut om adekvat skyddsnivå för EU–US Data Privacy Framework, enligt vilket Vercel Inc. och Microsoft Corporation är certifierade. Slutligen går den omvända DNS-uppslagning som används för Företagsigenkänning, och som innehåller IP-adressen, via vårt webbhotells DNS-tjänst till den som driver nätverkets DNS, och den kan finnas utanför EU/EES. Google Fonts används inte längre – typsnitten levereras från vår egen domän.

18

Lagring och radering

Vi sparar personuppgifter så länge ändamålet kräver det, och inte längre (artikel 5.1 e). För oss betyder det alltid en konkret period eller ett angivet kriterium för varje kategori – aldrig ett öppet slut.

• Automatiserat där det är möjligt. Plattformen har inbyggda lagringsinställningar, så raderingen sker automatiskt – inte för att någon kommer ihåg att göra det.
• Säkerhetskopior rullas bort inom 35 dagar. Våra krypterade säkerhetskopior följer ett rullande fönster på högst 35 dagar, så raderade uppgifter försvinner från säkerhetskopiorna i takt med att fönstret rullar.
• Radering omfattar produktion och säkerhetskopior. När en kundrelation upphör kan ni när som helst exportera era uppgifter fram till att raderingen genomförs. Vi raderar från produktion inom 30 dagar från er instruktion, och allt – säkerhetskopior inräknade – raderas senast 90 dagar efter avtalets upphörande (enligt DPA:t).
• Ni styr lagringen i plattformen. Hur länge uppgifter finns kvar i Komma styrs av de lagringsinställningar ni väljer (se avsnitt 12).

Det fullständiga lagringsschemat – varje kategori, varje period och dess utgångspunkt – finns i bilaga B. Och en regel binder ihop alltihop: vi sparar aldrig personuppgifter för säkerhets skull.

19

Dina rättigheter

Där Komma är personuppgiftsansvarig (se avsnitt 5) har du följande rättigheter enligt dataskyddsförordningen (GDPR). Tabellen visar vad varje rättighet innebär och hur du använder den.

19.1 Det praktiska

• Skriv till hej@kommahr.com. Inget särskilt formulär behövs – ett vanligt mejl räcker.
• Vi svarar inom 1 månad. För komplexa begäranden kan fristen förlängas med upp till 2 månader till – men då hör du av oss inom den första månaden, med en förklaring (artikel 12.3).
• Det är kostnadsfritt. Vi tar aldrig ut någon avgift för att du utövar dina rättigheter.
• Vi kontrollerar din identitet på ett proportionerligt sätt. Vi frågar bara efter det som är nödvändigt för att säkerställa att uppgifterna når rätt person – oftast räcker det att du skriver från en mejladress vi redan känner till.

19.2 Om dina uppgifter finns i din arbetsgivares Komma-plattform

Om din arbetsgivare – eller ett företag du har sökt jobb hos – använder Komma är det företaget, inte Komma, som är personuppgiftsansvarigt för dina uppgifter i plattformen (se avsnitt 5). Kontakta därför företaget direkt, normalt HR, när du vill utöva dina rättigheter. Vi hjälper företaget att svara snabbt och korrekt enligt personuppgiftsbiträdesavtalet (DPA), men vi besvarar aldrig begäranden om kunddata på egen hand. Om din begäran av misstag når oss hänvisar vi dig till företaget och förklarar varför.

20

Personuppgiftsincidenter

En personuppgiftsincident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av personuppgifter – eller till att någon får obehörig åtkomst till dem. I praktiken kan det vara ett mejl som skickats till fel mottagare, en borttappad bärbar dator eller obehörig åtkomst till en databas.

Vår interna hantering följer fyra fasta steg:

1. Begränsa: vi stoppar incidenten och säkrar systemen så att skadan inte sprider sig.
2. Bedöma: vi kartlägger vilka uppgifter och vilka personer som berörs, och vilken risk incidenten innebär för dem.
3. Dokumentera: vi registrerar incidenten, dess följder och vår hantering i vårt interna incidentregister.
4. Lära: vi åtgärdar grundorsaken och justerar rutiner och tekniska åtgärder så att det inte händer igen.

Vem vi underrättar beror på vår roll (se avsnitt 5):

Vi dokumenterar varje personuppgiftsincident internt – även de som inte utlöser någon anmälningsskyldighet (artikel 33.5). Det ger oss överblicken, lärdomarna och dokumentationen att visa Datatilsynet.

21

Automatiserade beslut och profilering

Enligt dataskyddsförordningen har du rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling och som har rättsliga eller på liknande sätt betydande följder (artikel 22). Hos Komma är detta inte en risk vi navigerar runt – det är en funktion vi medvetet har valt att inte bygga: plattformen fattar inga sådana beslut, och den kan inte konfigureras att göra det. Inte av oss, och inte av våra kunder.

Några funktioner kan likna profilering – till exempel kandidatmatchning i Rekrytering och flaggor för frånvaromönster i Arbetsstyrka. De är beslutsstöd, inte beslut:

• Förklarbara poäng: varje poäng är viktad och nedbruten axel för axel – aldrig en siffra från en svart låda.
• En människa beslutar: Karma föreslår; inget förslag får verkan förrän en person med rätt roll aktivt godkänner det.
• Allt loggas: varje AI-förslag registreras i revisionsloggen, som inte kan redigeras – så att underlaget för ett beslut alltid kan granskas.

Läs mer om hur Karma fungerar – och vad vi medvetet har valt att inte bygga – i avsnitt 14.

22

Ändringar i den här policyn

Den aktuella versionen av den här policyn finns alltid på kommahr.com. Versionshistoriken i början av dokumentet visar vad som ändrats, och när.

Vi meddelar väsentliga ändringar på vår webbplats. Ändringar som påverkar plattformen – till exempel nya underbiträden eller ändrad behandling – meddelas dessutom våra kunder i förväg, innan de träder i kraft.

Vi ser över den här policyn minst en gång om året och uppdaterar den när produkten, lagstiftningen eller vår praxis ändras.

23

Kontakt och klagomål

Om du har frågor om den här policyn eller om hur vi behandlar dina personuppgifter är du alltid välkommen att skriva till oss.

Vi besvarar alla integritetsfrågor själva. Det finns inget callcenter och ingen ärendekö – ditt mejl läses och besvaras av en person på Komma.

Komma har inte utsett något dataskyddsombud (DPO) – vi är inte skyldiga att göra det enligt artikel 37 i dataskyddsförordningen. Vi har i stället utsett en intern dataskyddsansvarig, och varje dataskyddsfråga besvaras direkt av oss via hej@kommahr.com.

Du kan alltid klaga på vår behandling av dina personuppgifter hos den danska dataskyddsmyndigheten (Datatilsynet) (artikel 77). Vi uppskattar möjligheten att rätta till saker först – skriv gärna till oss – men du behöver aldrig vårt tillstånd för att klaga.

Bilaga A

Ordlista

Den här ordlistan förklarar begreppen i den här policyn på klarspråk. Den korta versionen finns i avsnitt 2 – det här är den fullständiga.

Bilaga B

Lagringsschema

Det här schemat samlar alla lagringstider i policyn på ett ställe – med roll, period och grund för varje kategori. Hur radering fungerar i praktiken beskrivs i avsnitt 18. De tre sista raderna är plattformens automatiska standardinställningar för radering; där är kunden personuppgiftsansvarig och bestämmer lagringstiden i plattformens inställningar.

Bilaga C

Tekniska och organisatoriska åtgärder

Den här bilagan beskriver de tekniska och organisatoriska åtgärder (artikel 32) som skyddar personuppgifter i plattformen – i alla 11 moduler och Karma – och i Kommas egen verksamhet.

Vårt säkerhetsprogram är uppbyggt kring erkända ramverk – principerna i ISO 27001 och kraven i artikel 32 – och Komma håller på att bli ISO 27001-certifierat. Vi ser över åtgärderna minst en gång om året och uppdaterar dem i takt med att tekniken och hotbilden utvecklas.

C.1 Konfidentialitet och åtkomststyrning

• Rollbaserad åtkomststyrning ända ner på fältnivå, avgränsad efter avdelning, plats och juridisk enhet. Känsliga fält som lön och frånvaroorsaker är bara synliga för roller med ett arbetsrelaterat behov.
• Enkel inloggning (single sign-on) via Microsoft Entra ID med automatisk provisionering och avprovisionering – när en anställd lämnar kunden stängs åtkomsten automatiskt.
• Principen om minsta behörighet: ingen roll har mer åtkomst än uppgiften kräver.
• Hemligheter – nycklar, certifikat och anslutningssträngar – lagras i Azure Key Vault och nås via hanterade identiteter, aldrig i kod.
• Telemetri och driftloggar rensas från personuppgifter innan de lagras.
• Varje anställd på Komma har undertecknat en sekretessförbindelse.

C.2 Integritet

• Kryptering under överföring med TLS 1.2 eller senare och kryptering i vila för både databas och lagring.
• En revisionslogg som inte kan redigeras registrerar varje läsning, ändring och export – inklusive Karmas förslag.
• API-nycklar är rollavgränsade med omfång, anropsgräns och utgångsdatum per nyckel – och lön, CPR-nummer och frånvaroorsaker är uteslutna redan vid källan.
• Säker utveckling: ändringar testas och granskas innan de når produktion.

C.3 Tillgänglighet och motståndskraft

• Plattformen körs på Microsoft Azure inom EU (regionen Sweden Central) på redundant infrastruktur.
• Krypterade säkerhetskopior inom EU med ett rullande fönster på högst 35 dagar.
• Mjuk radering (soft delete) och versionshantering i lagringen skyddar mot oavsiktlig radering och överskrivning.

C.4 Återställningsförmåga

• Dokumenterade rutiner för att återställa uppgifter och systemåtkomst efter en teknisk eller fysisk incident.
• Återställningsrutinerna är dokumenterade, och återställningstester ingår i vårt säkerhetsprogram – vi räknar inte en otestad säkerhetskopia som en säkerhetskopia.
• Mjuk radering och versionshantering gör det möjligt att snabbt återställa enskilda uppgifter utan en fullständig återställning.

C.5 Testning och utvärdering

• Sårbarhetsbedömning av plattformen och infrastrukturen är en fast del av säkerhetsprogrammet.
• Behörighetsgranskningar: roller och behörigheter kontrolleras och stramas åt när behoven ändras.
• Årlig översyn av säkerhetspolicyerna och av åtgärderna i den här bilagan.

C.6 Organisatoriska åtgärder

• Löpande utbildning av alla anställda i dataskydd och informationssäkerhet.
• En fastställd intern process för säkerhetsincidenter och personuppgiftsincidenter – se avsnitt 20.
• Due diligence av leverantörer före anslutning och löpande uppföljning – se bilaga D.
• Uppgiftsminimerande standardinställningar i produkten, till exempel automatisk radering av sökande efter 6 månader och anonymisering av tidigare medarbetare efter 5 år (se bilaga B).

Bilaga D

Personuppgiftsbiträden och underbiträden

Vi håller medvetet vår leverantörslista kort. Den här bilagan visar dem alla, uppdelade efter våra två roller – se avsnitt 5 och 16.

D.1 Komma som personuppgiftsansvarig

Leverantörer som behandlar personuppgifter i Kommas egen verksamhet – webbplats, förfrågningar, support och administration.

IPinfo och cvrapi.dk är inte personuppgiftsbiträden. Detsamma gäller RIPE NCC: vi använder en kopia av dess offentliga register, så ingen IP-adress skickas till RIPE. Företagsigenkänning använder en kopia av IPinfos databas i vår egen serverfunktion, så ingen IP-adress skickas till IPinfo (IP-data från IPinfo, licensierade under CC BY-SA 4.0). cvrapi.dk är en offentlig uppslagstjänst i Danmark som bara tar emot företagets namn.

D.2 Komma som personuppgiftsbiträde (plattformen)

Underbiträden som medverkar i leveransen av plattformen. Listan är medvetet kort.

Lönesystemsintegrationerna (Zenegy, Danløn, Dataløn, Visma, Lessor och Intect) är inte underbiträden till Komma. De körs enbart enligt era instruktioner och är era egna personuppgiftsbiträden eller självständiga personuppgiftsansvariga – se avsnitt 16.

Vi meddelar ändringar i listan över underbiträden minst 30 dagar i förväg, med rätt att invända, enligt personuppgiftsbiträdesavtalet (DPA). Den aktuella listan finns alltid tillgänglig via DPA:t och på kommahr.com.