Så behandlar Nordibo personuppgifter
Den här sidan säger vad vi faktiskt gör, inte vad som låter bra. Kärnan är enkel: vi samlar in lite, vi behåller det kort, och mötesdata raderas automatiskt, normalt inom 48 timmar och alltid senast 30 dagar efter mötet. Den fullständiga behandlingsbeskrivningen finns i vårt personuppgiftsbiträdesavtal.
Vem som ansvarar för uppgifterna
Personuppgiftsansvarig för behandlingen av ditt konto är Wilhelmsson Labs AB, org.nr 559591-7435, med säte i Jönköping, Sverige. Kontakta oss på [email protected] i alla frågor som rör den här policyn eller dina uppgifter.
När du använder Nordibo för att behandla uppgifter om andra, till exempel dina mötesdeltagare, är du personuppgiftsansvarig och Nordibo personuppgiftsbiträde. Den rollfördelningen och våra skyldigheter regleras i personuppgiftsbiträdesavtalet.
Uppgifter, ändamål och lagringstid
| Kategori | Vad det är | Lagringstid |
|---|---|---|
| Konto | Namn och e-postadress, för att skapa och identifiera ditt konto. | Så länge kontot finns. |
| Mötesdata | Ljudinspelning, transkript och strukturerad mötesdata (sammanfattning, beslut, åtgärdspunkter, öppna frågor). | Normalt inom 48 timmar, i takt med hämtning. Hämtas den strukturerade mötesdatan aldrig raderas den ändå automatiskt, senast 30 dagar efter mötet. |
Loggar du in med Google hämtas namn och e-postadress från Google, och de används enbart för autentisering. Vi hämtar ingenting annat från ditt Google-konto.
Kort lagring är hela poängen. Ljud, transkript och strukturerad mötesdata raderas automatiskt när de hämtats, normalt inom 48 timmar. Vill du bevara mötesdatan längre hämtar du den till din egen AI-klient eller ditt eget system inom den tiden. Hämtas den aldrig raderas den ändå automatiskt, senast 30 dagar efter mötet.
Egen server inom EU, med ett val du styr själv
Svensk transkribering sker på vår egen server inom EU, hos Hetzner Online GmbH i Helsingfors, Finland. För mötestypen intern kan du aktivt välja att transkriberingen i stället utförs av Berget AI AB i Sverige. Det är ett val du gör, inte något som sker i bakgrunden. Själva transkriberingen sker i båda fallen inom EU och EES. Samtliga underbiträden och var de behandlar uppgifter finns listade på sidan om underbiträden.
All trafik mellan din enhet, eller din AI, och vår server går via Cloudflare, ett amerikanskt bolag som skyddar och förmedlar trafiken till nordibo.se, i båda riktningarna: när ljud och bilder laddas upp och när mötesdata hämtas. Den krypterade förbindelsen avslutas i Cloudflares närmaste kantnod, och därifrån upprättas en ny krypterad förbindelse till vår server. Ljud och mötesdata passerar alltså Cloudflare under överföringen, i alla mötestyper, men lagras inte där. Cloudflare garanterar inte att kantnoden ligger inom EU; överföringen omfattas av standardavtalsklausuler.
Data skyddas med kryptering under överföring (TLS). Detaljerna kring säkerhetsåtgärder och tredjelandsöverföring redovisas i DPA:t.
Om röstdata, artikel 9 och vad texten bearbetas av
Röstinspelningar kan utgöra biometriska uppgifter enligt artikel 9 i dataskyddsförordningen, men bara när de behandlas för att identifiera en person. Nordibo gör inte det. Talarsepareringen ger enbart anonyma etiketter, alltså Talare 1 och Talare 2. Vi skickar aldrig röstreferenser eller talarprofiler till vår leverantör, och kopplingen mellan en etikett och ett namn sker enbart i vår egen tjänst. Det är en spärr i koden, inte en rutin som kan glömmas bort.
Namn som uttalas under mötet finns däremot i ljudet och därmed i texten, på samma sätt som allt annat som sägs. Möten med känsligt innehåll bör därför klassas så att de transkriberas lokalt på vår egen server, vilket beskrivs i avsnittet ovan.
För möten som behandlas i molnet, alltså interna möten där molnbehandling valts, struktureras den färdiga texten till beslut, åtgärdspunkter och öppna frågor med hjälp av Google Vertex AI i en EU-region. Det steget tar emot text och bilder som du själv lägger till, till exempel fotograferade dokument, men aldrig ljud. Google är ett amerikanskägt bolag, och vi redovisar därför den behandlingen i varje leverans via MCP eller webhook som exponerad för lagstiftning utanför EU (fältet foreign_law_exposure). I säkert läge struktureras texten med regler på vår egen server, utan språkmodell. Fullständig redovisning av samtliga underbiträden, deras dataplatser och skyddsåtgärder finns i listan över underbiträden.
Vad som finns kvar i en backup, och hur länge
Vi tar dagliga säkerhetskopior av hela driftmiljön för att kunna återställa tjänsten vid ett tekniskt haveri, inte för att bevara mötesdata längre än de normala raderingstiderna (48 timmar, senast 30 dagar) medger. Den strukturerade mötesdatan (beslut, åtgärdspunkter, öppna frågor, citat) är krypterad redan innan den lagras, så den ligger krypterad även i en säkerhetskopia och kan inte läsas ur den utan vår krypteringsnyckel.
Kontouppgifter som e-postadress kan däremot finnas kvar i en lokal säkerhetskopia i upp till 14 dagar efter att kontot eller mötet raderats hos oss, innan den kopian i sin tur skrivs över. Kopior som lämnar vår server, till en extern lagringsplats, är alltid krypterade. Ingen säkerhetskopia är tillgänglig för allmänheten eller andra kunder.
Vad du kan begära
Enligt dataskyddsförordningen (GDPR) har du rätt att begära följande. Hör av dig till [email protected] så hanterar vi det.
- Tillgång till de uppgifter vi behandlar om dig.
- Rättelse av felaktiga uppgifter.
- Radering av dina uppgifter.
- Invändning mot viss behandling.
- Dataportabilitet, att få ut dina uppgifter i ett maskinläsbart format.
- Klagomål till Integritetsskyddsmyndigheten (IMY), som är tillsynsmyndighet i Sverige.
Fullständig behandlingsbeskrivning
DPA
Fullständig beskrivning av behandlingen: ändamål, kategorier av uppgifter, säkerhetsåtgärder, incidenthantering och radering.
Sub-processors
Aktuell lista över de underbiträden vi anlitar, vad de gör och i vilket land behandlingen sker.