Senast uppdaterad: 28 oktober 2026
Den här policyn förklarar vilka personuppgifter Sustifi behandlar när du använder vår webbplats och tjänst, varför och med vilken rättslig grund, vem som tar emot dem, hur länge vi sparar dem och vilka rättigheter du har enligt EU:s dataskyddsförordning (GDPR).
Personuppgiftsansvarig för dina personuppgifter är Sustifi.
Kontakt i alla integritetsfrågor, även för att utöva dina rättigheter: info@susti.fi
Vi har inte utsett något dataskyddsombud, eftersom vår behandling inte kräver det. Kontakten ovan besvarar alla integritetsfrågor.
Vi behandlar bara de uppgifter som varje ändamål nedan kräver.
Uppgifter: E-postadress, lösenord (lagrat som hash), namn, företagsnamn och företagstyp, land, inloggnings- och sessionsuppgifter, abonnemangsuppgifter.
Rättslig grund: Fullgörande av avtal, GDPR art. 6(1)(b).
Uppgifter: Det du anger eller laddar upp: kontoutdrag och transaktioner (beskrivningar och motparters namn lagras krypterade), kvitton inklusive bilder, rapporter från kundkort, energi- och uppvärmningsdata, manuella aktiviteter, projekt och de utsläppssiffror vi beräknar från dem.
Rättslig grund: Fullgörande av avtal, art. 6(1)(b).
Uppgifter: Om du ansluter Procountor eller Lilith (eller Netvisor, när den öppnas): dina inloggningsuppgifter (lagras krypterade; ditt användarnamn och lösenord för Lilith skickas vidare en gång för att öppna en session, och bara den krypterade sessionen lagras) samt importerade fakturor, transaktioner och kvittofiler.
Rättslig grund: Fullgörande av avtal, art. 6(1)(b).
Uppgifter: De delar av dina uppgifter som en funktion behöver, enligt avsnitt 3.
Rättslig grund: Fullgörande av avtal, art. 6(1)(b); för andra personer som nämns i dina uppgifter, berättigat intresse, art. 6(1)(f).
Uppgifter: Organisationsuppgifter, medlemmar och roller, inbjudningar, rapportinnehåll, koldioxidavtrycksredogörelser och märken. En redogörelses kontrollsida och dess märke är offentliga med avsikt.
Rättslig grund: Fullgörande av avtal, art. 6(1)(b); för en inbjuden persons e-post innan inbjudan accepteras, berättigat intresse, art. 6(1)(f).
Uppgifter: Om du väljer att lista ditt företag: företagsnamn, beskrivning, adress, kontaktuppgifter, webbplats och bilder samt det listningen visar om företaget: dina koldioxidavtryckssiffror (nuvarande månatligt koldioxidavtryck, trend och minskning i procent), ditt betyg och dina recensioner samt hur många gånger listningen har visats. Recensenter: namn, e-post, betyg och kommentar.
Rättslig grund: Din listning: samtycke, art. 6(1)(a), som du återkallar genom att avpublicera den. Omdömen: berättigat intresse, art. 6(1)(f).
Uppgifter: Namn, e-post, företag, hur du hörde om oss, varför du ansöker, språk och webbplatsen du kom från (bara dess adress, utan sidan).
Rättslig grund: Åtgärder på din begäran innan ett avtal ingås, art. 6(1)(b).
Uppgifter: Säkerhetshändelser för ditt konto, som inloggningar, dataexporter och begäranden om radering, med IP-adress och användaragent.
Rättslig grund: Berättigat intresse av att skydda konton och tjänsten, art. 6(1)(f).
Uppgifter: När någon öppnar en redogörelses kontrollsida eller en kataloglistning, eller söker i företagskatalogen: en hash av IP-adressen gjord med ett salt som byts ut och förstörs varje dag, webbläsarfamilj, webbplatsen besökaren kom från (bara dess adress), tidpunkt och, vid sökningar, sökorden. Själva IP-adressen lagras inte.
Rättslig grund: Berättigat intresse av att förhindra missbruk av offentliga redogörelser och av sammanställd statistik, art. 6(1)(f).
Uppgifter: IP-adress och, när du är inloggad, ditt användar-id och en hash av din API-nyckel, som kortlivade räknare.
Rättslig grund: Berättigat intresse av säkerhet, art. 6(1)(f).
Uppgifter: Tekniska uppgifter om förfrågningar, inklusive IP-adress, i vår driftleverantörs loggar; sammanställd, cookiefri användnings- och prestandastatistik.
Rättslig grund: Berättigat intresse av att driva en säker webbplats, art. 6(1)(f).
Uppgifter: Din e-postadress och det du skriver till oss.
Rättslig grund: Art. 6(1)(b) när det gäller ditt konto; annars berättigat intresse, art. 6(1)(f).
Uppgifter: Uppgifter om begäranden om export, radering och återställning, inklusive ett eventuellt skäl du anger och, i 90 dagar, IP-adress och användaragent.
Rättslig grund: Rättslig förpliktelse, art. 6(1)(c).
Dina uppgifter kan innehålla uppgifter om andra personer, till exempel motparter i dina banktransaktioner eller personer som nämns på ett kvitto eller en faktura. Din organisation bestämmer vad den för in och är personuppgiftsansvarig för dessa uppgifter; vi behandlar dem för dess räkning för att leverera tjänsten.
Kontouppgifter behövs för att använda tjänsten. Allt annat är frivilligt, men de funktioner som bygger på det fungerar inte utan det.
Vissa funktioner använder AI-modeller från externa leverantörer. Anthropic (Claude) föreslår transaktionskategorier och rekommendationer, läser kontoutdrag som vi inte kan tolka på annat sätt, klassificerar kvittorader och produkter och driver prognoschatten, VS- och CSRD-assistenterna och matchningen av informationsförfrågningar. Anthropic (Claude) läser också kvittobilder, och Microsoft (Azure AI Document Intelligence, inom EU) läser dem en andra gång för att kontrollera avläsningen. OpenAI omvandlar din fråga till CSRD-assistenten till en sökvektor. Varje leverantör får bara den text eller bild som funktionen behöver, vilket kan omfatta transaktionsbeskrivningar, motparters namn och kvittouppgifter. Vi fattar inga beslut om dig med rättsliga eller liknande betydande följder på automatiserad väg.
Vi använder tjänsteleverantörerna nedan för att driva Sustifi. De behandlar personuppgifter för vår räkning och bara för den angivna funktionen. Vår lista över underbiträden visar varje leverantörs ändamål, vilka uppgifter den får, dess region och överföringsmekanism.
Vi säljer inte dina personuppgifter och använder dem inte för reklam.
Dina konto- och tjänsteuppgifter lagras i EU (Irland). Uppgifter lämnar EU/EES när du använder AI-stödda funktioner (Anthropic och OpenAI, USA) och när du ansöker som betatestare eller ett driftlarm skickas (Slack, USA). Supabase, Vercel, Upstash och Microsoft är amerikanska företag vars personal kan komma åt uppgifter för support och drift. Dessa överföringar ska omfattas av EU-US Data Privacy Framework där leverantören deltar i det, och annars av Europeiska kommissionens standardavtalsklausuler. Vi har ännu inte bekräftat vilket som gäller för varje leverantör, eller deras personuppgiftsbiträdesavtal; listan över underbiträden visar läget och uppdateras när var och en bekräftas.
| Uppgifter | Sparas |
|---|---|
| Konto- och tjänsteuppgifter, inklusive uppladdningar, importer, rapporter och redogörelser | Så länge ditt konto finns. Efter att du raderat ditt konto, 30 dagar; därefter raderas de permanent (avsnitt 7). |
| Säkerhetshändelser för inloggade användare | IP-adress och användaragent tas bort efter 90 dagar; ditt användar-id tas bort när ditt konto raderas permanent. |
| Logg över radering och återställning av konton | IP-adress och användaragent tas bort efter 90 dagar; ditt användar-id tas bort vid permanent radering. |
| Besöksstatistik på offentliga sidor (IP-hash med dagligt salt, webbläsarfamilj, hänvisande webbplats, katalogsökningar) | Tas bort efter 90 dagar. Saltet förstörs varje dag, så hasharna kan inte kopplas samman mellan dagar. |
| Räknare för begränsning av förfrågningar (IP-adress, användar-id) | Bara under begränsningsfönstret; de upphör automatiskt inom två timmar. |
| Ansökningar som betatestare | 12 månader, därefter raderas de. |
| Prompter och felmeddelanden i våra loggar över AI-användning | 90 dagar. |
| Uppgifter om dina begäranden om dataexport | 2 år. |
| E-post till oss | Så länge som behövs för att hantera ditt ärende. |
| Säkerhetskopior | Raderade uppgifter försvinner ur vår driftleverantörs säkerhetskopior i takt med att de roteras. |
Enligt GDPR har du rätt att:
För att utöva dina rättigheter, skicka e-post till info@susti.fi. Vi svarar inom en månad.
Du kan också lämna in ett klagomål till en tillsynsmyndighet. I Finland är det Dataombudsmannens byrå (Tietosuojavaltuutetun toimisto), tietosuoja.fi. Du kan också klaga i det EU-land där du bor eller arbetar.
Vi använder bara de cookies och den webbläsarlagring som tjänsten behöver för att fungera eller för att komma ihåg ett val du gjort. Vi använder inga reklam- eller spårningscookies.
Vi använder Vercel Web Analytics och Speed Insights för att mäta sidvisningar och prestanda i appen och på offentliga redogörelsesidor. De använder inga cookies, och vi ser bara sammanställda siffror.
Uppgifter krypteras under överföring och i vila. Banktransaktioners beskrivningar och motparters namn, samt inloggningsuppgifterna till de tjänster du ansluter, krypteras dessutom fält för fält. Databasens åtkomstregler gör att varje organisation bara ser sina egna uppgifter.
Vi kan uppdatera denna policy. Vi publicerar varje ändring på denna sida och uppdaterar datumet ovan. Om en ändring väsentligt påverkar hur vi använder dina uppgifter berättar vi det också i tjänsten.