Integritetspolicy

Katla Privacy AB (”Katla”, ”vi”, ”oss”, ”vår”), organisationsnummer 559603-7134, med registrerad adress Tulpanvägen 3a, 125 53 Älvsjö, Sverige, är den juridiska person som står bakom den här tjänsten. Bolaget driver webbplatsen katla.app, Katla-konsolen och tillhörande API, SDK, widget, CLI och MCP-server. Den här policyn förklarar vilka personuppgifter vi samlar in, varför vi samlar in dem, vem vi delar dem med och vad du kan be oss göra med dem.

För ditt eget konto och de uppgifter du ger oss om dina webbplatser är vi personuppgiftsansvariga. För de samtyckesbevis som dina besökare lämnar via Katla på dina webbplatser är du personuppgiftsansvarig och vi ditt personuppgiftsbiträde: vi hanterar de uppgifterna enligt dina instruktioner, i enlighet med användarvillkoren och inte för något eget ändamål.

Vi samlar in följande kategorier av personuppgifter:

• Kontouppgifter: ditt namn, din e-postadress och URL:en till din profilbild, som vi får från vår identitetsleverantör när du loggar in. Om du loggar in med ett Google-konto kommer namnet, e-postadressen och profilbilden från Google.
• Teamuppgifter: de team du tillhör, din roll i dem och inbjudningar som du skickar eller accepterar.
• Webbplats- och skanningsuppgifter: de domäner du lägger till, de poster för verifiering av ägarskap som du placerar och allt som en skanning hittar på dem: cookies, spårare, taggar och sidmetadata.
• Samtyckesbevis: de val som besökarna på dina webbplatser gör, tillsammans med en tidsstämpel och de uppgifter som behövs för att styrka valet. De samlas in för din räkning, i egenskap av ditt personuppgiftsbiträde.
• Faktureringsuppgifter: din plan, status för ditt abonnemang och dina fakturor. Kortuppgifter anges hos vår betalningsleverantör och når aldrig våra servrar.
• Support- och kontaktuppgifter: det du skriver till oss via kontaktformuläret eller per e-post, så att vi kan svara.
• Tekniska loggar: IP-adress, användaragent och metadata om förfrågningar, som sparas i 30 dagar för att hålla tjänsten igång och för att utreda missbruk och fel.
• Integrationsuppgifter: det som ett anslutet tredjepartskonto gör tillgängligt för oss, för Googles del beskrivet i avsnitt 05 till 08 nedan.

Vi använder personuppgifter endast för att:

• Tillhandahålla tjänsten: köra skanningar, klassificera det de hittar, generera policyer, registrera samtycken och visa allt detta för dig.
• Autentisera dig och skydda ditt konto och dina teammedlemskap.
• Fakturera dig, om du har en betald plan, och skicka de kvitton och betalningspåminnelser som hör till.
• Skicka tjänstemejl som du rimligen inte kan välja bort, till exempel säkerhetsmeddelanden, och introduktionsmejl som du kan avregistrera dig från när som helst.
• Besvara supportärenden och svara på det du skickar till oss.
• Hålla tjänsten tillgänglig och säker: begränsning av antalet anrop, förebyggande av missbruk och bedrägerier, felsökning och kapacitetsplanering.
• Fullgöra rättsliga förpliktelser samt skyldigheter avseende bokföring och revision.

Vi stöder oss på fullgörande av avtal (artikel 6.1 b GDPR) för att driva ditt konto och leverera tjänsten, på våra berättigade intressen (artikel 6.1 f GDPR) för att hålla tjänsten säker och förbättra den, på ditt samtycke (artikel 6.1 a GDPR) för icke-nödvändiga cookies och för att ansluta ett tredjepartskonto som Google Tag Manager, och på rättslig förpliktelse (artikel 6.1 c GDPR) där lagen kräver att vi sparar uppgifter.

När vi är ditt personuppgiftsbiträde för besökarnas samtyckesbevis är det du som personuppgiftsansvarig som avgör vilken rättslig grund som gäller för den behandlingen.

Katla får åtkomst till Google-användardata på ett enda ställe: den valfria installationen via Google Tag Manager, som du själv startar från sidan Install för en webbplats och som inte gör något förrän du har slutfört Googles samtyckesskärm. Om du aldrig ansluter Google Tag Manager får Katla ingen åtkomst alls till Google-användardata.

När du ansluter den begär vi följande OAuth-scopes och får åtkomst till exakt de uppgifter som respektive scope omfattar:

Google-användardata används enbart för att utföra den installation som du har bett om, och för inget annat. Närmare bestämt:

• Dina listor över konton, containrar och arbetsytor används för att visa väljaren i installationsguiden, så att du kan välja var taggen ska placeras.
• De valda ID:na för konto, container och arbetsyta används för att skriva en enda Custom HTML-tagg med namnet ”Katla consent”, som utlöses av Tag Managers inbyggda utlösare Consent Initialization - All Pages så att standardvärdena för samtycke är satta innan någon analys- eller annonstagg körs. Inget annat i din container läses, ändras eller tas bort.
• De ID:n för tagg, utlösare och version som Google returnerar sparas, så att en senare uppdatering eller frånkoppling ändrar exakt det som Katla skapade och lämnar resten av din container orörd.
• En containerversion skapas, och publiceras, bara när du väljer att publicera från guiden.
• Google-kontots e-postadress sparas och visas i konsolen som en etikett, så att du kan se vilket Google-konto en anslutning tillhör. Den används aldrig för att autentisera dig eller för att godkänna något.
• Den uppdateringstoken (refresh token) som Google utfärdar sparas krypterad med AES-256-GCM och används bara för att ta fram en kortlivad åtkomsttoken när någon av åtgärderna ovan behöver det. Själva åtkomsttoken sparas aldrig.

Vi säljer inte Google-användardata, vi delar eller överför dem inte till någon tredje part för annonsering, analys, profilering, kreditbedömning eller utlåning, och vi använder dem inte för att träna, träna om eller förbättra någon modell för artificiell intelligens eller maskininlärning, vare sig vår egen eller någon annans.

Google-användardata överförs tillbaka till Googles eget Tag Manager-API för att utföra de åtgärder som du har bett om, och lämnas i övrigt bara ut till:

• Vår leverantör av hosting och databas, som lagrar den krypterade anslutningsposten för vår räkning som underbiträde och inte använder den på något annat sätt.
• Katlas personal, och bara när det är nödvändigt för att driva tjänsten, utreda ett säkerhetsproblem eller hantera ett supportärende som du har tagit upp, och bara så länge som uppgiften kräver.
• En behörig myndighet, när utlämnande krävs enligt lag och begäran är giltig; vi informerar dig om vi inte är rättsligt förhindrade att göra det.

Katlas användning av information som tas emot från Googles API:er, och överföring av sådan information till andra appar, följer Google API Services User Data Policy, inklusive kraven på begränsad användning (Limited Use).

Google-användardata sparas bara så länge anslutningen finns. Om du kopplar från Google Tag Manager på sidan Install tas den tagg och den utlösare som Katla skapade bort, uppdateringstoken återkallas hos Google och anslutningsposten raderas från vår databas, det vill säga ID:n för konto, container, arbetsyta, tagg och version samt den sparade e-postadressen till Google-kontot. Att radera webbplatsen eller ditt konto har samma effekt.

Du kan också när som helst återkalla Katlas åtkomst från behörighetssidan för ditt Google-konto på myaccount.google.com/permissions. Då upphör all vidare åtkomst omedelbart; skriv till oss på privacy@katla.app om du också vill att anslutningsposten tas bort hos oss.

Vi säljer inte personuppgifter. Vi delar dem bara med de tjänsteleverantörer vi behöver för att driva Katla, som var och en är bunden av ett personuppgiftsbiträdesavtal och bara behandlar det som dess uppdrag kräver:

• WorkOS: autentisering och sessionshantering.
• Stripe: fakturering av abonnemang och betalningshantering.
• Resend: transaktions- och introduktionsmejl.
• Anthropic: AI-klassificering av de cookies och spårare som en skanning hittar. Skanningsresultat skickas, men inte kontouppgifter eller samtyckesbevis, och uppgifterna används inte för att träna modeller.
• Better Stack: applikationsloggning och felövervakning.
• Google: bara om du har anslutit Google Tag Manager, och bara på det sätt som beskrivs i avsnitt 05 till 08.
• Våra leverantörer av hosting, databas och köer, som lagrar och flyttar data för vår räkning.

Vi lämnar också ut personuppgifter när lagen kräver det, och till en efterträdare vid en fusion eller ett förvärv, och i så fall fortsätter den här policyn att gälla tills du får besked om något annat. Skriv till privacy@katla.app för att få den aktuella listan över underbiträden.

Dina personuppgifter kan överföras till och behandlas i länder utanför Europeiska ekonomiska samarbetsområdet. När det sker stöder vi oss på ett beslut om adekvat skyddsnivå eller på standardavtalsklausuler tillsammans med de kompletterande skyddsåtgärder som klausulerna kräver.

Du kan få en kopia av de skyddsåtgärder vi stöder oss på för en viss överföring genom att skriva till privacy@katla.app, så skickar vi den till dig. Om en överföring i stället grundar sig på ett beslut om adekvat skyddsnivå talar vi om vilket beslut som gäller.

Vi sparar personuppgifter bara så länge de behövs för det ändamål de samlades in för. Konto-, team- och webbplatsuppgifter sparas så länge ditt konto är öppet. Samtyckesbevis sparas så länge du behåller dem, eftersom syftet med att ha dem är att kunna styrka samtycket, och raderas när du raderar dem eller avslutar ditt konto. Faktureringsuppgifter sparas så länge skatte- och bokföringslagstiftningen kräver. Tekniska loggar, som innehåller IP-adresser, sparas i 30 dagar och raderas sedan. Uppgifter om Google-anslutningen hanteras enligt avsnitt 08.

När du har avslutat ditt konto behåller vi dina uppgifter under en kort period så att du kan exportera dem, och raderar eller anonymiserar dem sedan.

Vi vidtar lämpliga tekniska och organisatoriska åtgärder: kryptering under överföring, kryptering i vila för inloggningsuppgifter och tredjepartstokens, avgränsade åtkomstkontroller, minsta möjliga behörighet för personal och granskningsloggning av administrativa åtgärder. Inget system är helt säkert, men vi underrättar dig och den berörda tillsynsmyndigheten om en personuppgiftsincident när lagen kräver det.

Enligt GDPR och motsvarande lagar har du rätt att få tillgång till dina personuppgifter, att få dem rättade eller raderade, att begränsa eller invända mot behandlingen av dem, att få ut dem i ett portabelt format och att när som helst återkalla ditt samtycke utan att det påverkar behandling som redan har utförts. Enligt CCPA/CPRA har du dessutom rätt att få veta vad vi samlar in, att få det raderat, att få det rättat och att välja bort försäljning eller delning. Vi varken säljer eller delar personuppgifter så som de begreppen definieras där.

Skriv till privacy@katla.app för att utöva någon av dessa rättigheter. Vi svarar inom en månad. Om du inte är nöjd med vårt svar kan du lämna in ett klagomål till din lokala dataskyddsmyndighet.

Katla är ett verktyg för företag och är inte avsett för barn under 16 år. Vi samlar inte medvetet in personuppgifter från barn. Om du tror att ett barn har lämnat uppgifter till oss, kontakta oss så raderar vi dem.

De cookies som katla.app själv sätter, vad var och en används till och hur länge den finns kvar, listas i vår cookiepolicy, som Katla genererar utifrån sin egen skanning av den här webbplatsen. Du kan när som helst ändra dina val där eller via samtyckeswidgeten.

Ingenting skickas till vår analysleverantör innan du har gjort ett val. Taggen laddas inte alls förrän du tillåter analyscookies, vilket innebär att ingen förfrågan, ingen IP-adress och ingen sidadress når Google från ett besök där du tackade nej eller helt enkelt aldrig svarade. Det är det striktare av de två sätten att konfigurera Google Consent Mode; vi valde det eftersom vi säljer verktyg för samtycke och hellre avstår från mätningen. En webbläsare som skickar en Global Privacy Control-signal behandlas som ett nej, och inget laddas för den heller.

Vi kan uppdatera den här policyn för att återspegla ändringar i tjänsten eller i lagen. Väsentliga ändringar meddelas i konsolen eller per e-post, och datumet högst upp på sidan, som anger när policyn började gälla, visar alltid vilken version du läser. Tidigare versioner finns tillgängliga på begäran.

Frågor om den här policyn eller om de personuppgifter vi innehar: privacy@katla.app. Vårt dataskyddsombud nås på dpo@katla.app. Personuppgiftsansvarig är Katla Privacy AB, organisationsnummer 559603-7134, Tulpanvägen 3a, 125 53 Älvsjö, Sverige. Du har också rätt att lämna in ett klagomål till din lokala tillsynsmyndighet; i Sverige är det Integritetsskyddsmyndigheten (IMY).