Integritetspolicy — Tida

Denna integritetspolicy beskriver hur Franke & Co AB (“vi”, “oss”) samlar in, använder och skyddar personuppgifter när du använder mobilapplikationen Tida, webbgränssnittet på admin.tidaapp.se och webbplatsen tidaapp.se (gemensamt “Tjänsten”).

Vi följer EU:s allmänna dataskyddsförordning (GDPR) och svensk dataskyddslagstiftning.

1. Personuppgiftsansvarig och roller

Franke & Co AB Org.nr 559593-6674 Överkalix, Sverige E-post: kontakt@tidaapp.se

Tida är ett företagsverktyg. För arbetsrelaterade uppgifter som registreras i Tjänsten — tidrapporter, personalliggare, projekt, bilder med mera — är din arbetsgivare personuppgiftsansvarig och Franke & Co AB personuppgiftsbiträde enligt ett personuppgiftsbiträdesavtal. Den här policyn beskriver hela behandlingen i Tjänsten, oavsett roll, så att du ska kunna se vad som faktiskt sker med dina uppgifter.

Frågor om behandling av personuppgifter besvaras inom 30 dagar från att vi mottagit din förfrågan.

2. Vilka personuppgifter vi samlar in

Vi samlar endast in personuppgifter som behövs för att Tjänsten ska fungera.

Kontouppgifter:

Namn (för- och efternamn)
E-postadress
Telefonnummer (frivilligt)
Lösenord (lagras hashat — vi kan aldrig se det i klartext)
Roll inom organisationen (administratör eller arbetare)
Personnummer, samordningsnummer eller pass-/id-nummer — endast om din arbetsgivare använder elektronisk personalliggare, som kräver det enligt lag (se sektion 3)

Arbetsrelaterad data:

Tidrapporter (datum, antal timmar, kommentarer, projekt)
Frånvaro som registreras i tidrapporteringen, till exempel semester, sjukfrånvaro, VAB, tjänstledighet, permission och facklig tid
Uppgifter och uppgiftskommentarer
Material- och beställningsdata
Bilder kopplade till projekt eller uppgifter (se sektion 4)
Attesteringsstatus och granskningsanteckningar
Kund- och fakturauppgifter som ditt företag registrerar; vid ROT-arbeten kan det omfatta slutkundens personnummer och fastighetsbeteckning

Uppgifter om sjukfrånvaro, VAB och facklig tid är känsliga personuppgifter (hälsa respektive fackligt engagemang). De registreras av dig eller din arbetsgivare för att arbetsgivaren ska kunna fullgöra sina skyldigheter inom arbetsrätt och lönehantering (artikel 9.2 b GDPR). Din arbetsgivare är personuppgiftsansvarig för dessa uppgifter; vi behandlar dem endast som biträde och använder dem aldrig för något annat ändamål.

Teknisk data:

Inloggningstidpunkter
Enhetsidentifierare för push-notiser (om du aktiverat dem — se sektion 6)
Ändringshistorik: när uppgifter skapas, ändras eller attesteras loggas vem som gjorde vad och när, inklusive tidigare värden. Loggen används för säkerhet och för de rättelsekedjor som skattelagstiftningen kräver av personalliggaren.
Feedback du själv skickar via appen (ditt konto och texten du skriver)

Intresseanmälan via webbplatsen:

Om du skickar en intresseanmälan via ett formulär på tidaapp.se samlar vi in namn, företagsnamn och e-postadress, samt de uppgifter du själv väljer att lämna. Uppgifterna används endast för att kontakta dig om Tjänsten.

Vi samlar inte in följande:

Kontakter eller kalender från din enhet
Marknadsföringsdata eller spårning över andra appar och webbplatser (enda undantag: den samtyckesbaserade mätpixeln på webbplatsens kampanjsidor, se sektion 12 — aldrig i appen)
Biometrisk data

3. Elektronisk personalliggare

Om din arbetsgivare aktiverar elektronisk personalliggare på en byggarbetsplats (identifierad med byggarbetsplats-ID från Skatteverket) registrerar Tjänsten dina in- och utcheckningar med tidpunkt. Detta är ett lagkrav i byggbranschen enligt skatteförfarandelagen.

Personalliggaren kräver att ditt personnummer finns registrerat (samordningsnummer eller pass-/nationellt id-nummer för dig som saknar personnummer). Utan det kan du inte checkas in.
Vid kontroll eller på begäran kan din arbetsgivare exportera liggaren i Skatteverkets format. Exporten innehåller ditt namn och identitetsnummer, arbetsgivarens uppgifter samt in- och utcheckningstider. Rättelser i liggaren loggas med namn på den som utfört rättelsen.
Personalliggarens poster måste enligt lag bevaras i två år och kan därför inte raderas dessförinnan — inte heller på din begäran (se sektion 10 och 11).

Personnumret är särskilt skyddat i databasen: det kan bara läsas av dig själv och användas i liggarens lagstadgade export — det visas inte för andra användare i det dagliga arbetet.

4. Åtkomst till kamera och fotoarkiv

Tida begär åtkomst till din enhets kamera och fotoarkiv. Detta används endast när du själv väljer att lägga till en bild på ett projekt eller en uppgift — exempelvis en bild på arbetsplatsen, ett materialfel eller en skada.

Kamera: används bara när du aktivt väljer att ta en ny bild i appen
Fotoarkiv: används bara när du aktivt väljer en befintlig bild från din enhet

Innan uppladdning komprimeras och återkodas bilden, vilket tar bort inbäddad metadata som platsinformation och kameramodell — endast själva bildinnehållet laddas upp. Bilder lagras i Tjänstens databas inom EU (se sektion 9) och är synliga för andra användare i samma företag som har åtkomst till samma projekt eller uppgift.

Du kan när som helst återkalla appens åtkomst till kamera eller fotoarkiv via enhetens systeminställningar (på iPhone: Inställningar → Tida → Kamera/Bilder; på Android: Inställningar → Appar → Tida → Behörigheter).

5. Plats och väder

Appen kan visa väderprognoser bredvid tidrapporteringen. Om du själv aktiverar väder för din position frågar appen efter platsbehörighet, använder positionen en gång för att hitta närmaste kommun, och sparar sedan endast kommunen. Din position lagras aldrig och skickas aldrig till våra servrar.

Väderdata hämtas från SMHI:s öppna data. Anropet innehåller kommunens koordinater — ingen uppgift om vem du är. Du kan använda Tjänsten fullt ut utan att ge platsbehörighet; väder kan även visas utifrån projektets adress.

6. Push-notiser

Om du tillåter push-notiser skickar Tida meddelanden om händelser som rör ditt arbete, till exempel när en uppgift tilldelas dig, när en tidrapport återsänds för korrigering eller när en order godkänns.

För detta lagrar vi en enhetsidentifierare (push-token) som kopplas till ditt konto. Utskicken förmedlas via Expos push-tjänst (expo.dev) och levereras av Apple Push Notification service (APNs) på iPhone respektive Googles Firebase Cloud Messaging (FCM) på Android. Expo, Apple respektive Google får tillgång till själva meddelandet under leverans.

Du kan när som helst stänga av push-notiser via enhetens systeminställningar utan att förlora åtkomst till Tjänsten i övrigt.

7. Varför vi behandlar dina personuppgifter

För att tillhandahålla Tjänsten (rättslig grund: avtal mellan ditt företag och oss)

Skapa och hantera ditt konto
Lagra och visa din arbetsdata för dig och din arbetsgivare
Möjliggöra attestering, projekthantering och kommunikation inom organisationen
Skicka push-notiser om händelser som rör ditt arbete

För att uppfylla rättsliga skyldigheter (rättslig grund: rättslig förpliktelse)

Elektronisk personalliggare enligt skatteförfarandelagen (se sektion 3)
Bevarande av bokföringsunderlag enligt bokföringslagen
Behandling kopplad till arbetstids- och lönelagstiftning

För säkerhet och felsökning (rättslig grund: berättigat intresse)

Logga inloggningar och ändringar för att upptäcka obehörig åtkomst
Felsöka tekniska problem

För att svara på intresseanmälningar (rättslig grund: åtgärder på din begäran innan avtal ingås)

Kontakta dig om Tjänsten när du själv har skickat en intresseanmälan via tidaapp.se. Uppgifterna används inte för annan marknadsföring och delas inte vidare.

8. Vem kan se dina uppgifter

Inom din organisation:

Din arbetsgivare (administratörer på företaget) ser dina tidrapporter, din frånvaro, personalliggaren, uppgifter, bilder och annan arbetsrelaterad data
Andra arbetare på samma projekt kan se gemensam projektdata (uppgiftslistor, materialbeställningar, projektbilder)

Det är ditt företag som bestämmer vilken data som registreras i Tjänsten — inte vi.

Myndigheter:

Vid kontroll kan din arbetsgivare vara skyldig att visa upp eller lämna ut personalliggaren till Skatteverket (se sektion 3).

Underleverantörer (personuppgiftsbiträden):

Supabase Inc. (USA-baserat företag) — hanterar databasen där dina uppgifter lagras. Servrarna står inom EU. Supabase agerar som personuppgiftsbiträde åt oss enligt skriftligt avtal som följer GDPR artikel 28.
Apple Inc. — om du installerar appen via App Store/TestFlight gäller även Apples integritetspolicy för installation och push-notiser (APNs).
Google LLC — om du installerar appen via Google Play gäller även Googles integritetspolicy för installation och push-notiser (FCM).
Expo (expo.dev, USA-baserat företag) — förmedlar push-notiser från oss till Apples och Googles leveranstjänster. Behandlingen omfattar push-token och notisens innehåll.
Resend Inc. (USA-baserat företag) — levererar e-post från oss, till exempel svar på intresseanmälningar. Behandlingen omfattar namn och e-postadress vid utskick; överföring utanför EU/EES skyddas av EU-kommissionens standardavtalsklausuler (SCC).
Vercel Inc. (USA-baserat företag) — driftar webbplatsen tidaapp.se och tillhandahåller dess besöksstatistik (se sektion 12).
Anthropic PBC (USA-baserat företag) — tillhandahåller AI-modellen (Claude) som används för frivilliga AI-funktioner, till exempel att sammanfatta arbetskommentarer till fakturaunderlag. Anthropic agerar som personuppgiftsbiträde enligt databehandlingsavtal som följer GDPR artikel 28 och tränar inte sina modeller på data som skickas via deras API. AI:n föreslår text som en administratör granskar — funktionen är frivillig och avstängd som standard.

SMHI tar emot väderanrop enligt sektion 5, men eftersom anropen inte innehåller några personuppgifter är SMHI ingen mottagare av personuppgifter.

Vi säljer aldrig dina personuppgifter. Vi delar inte dina uppgifter för marknadsföring.

9. Var dina uppgifter lagras

Dina personuppgifter lagras på servrar inom Europeiska unionen hos vår underleverantör Supabase. Med undantag för AI-funktionerna (se nedan) överförs inga personuppgifter rutinmässigt till länder utanför EU/EES.

När en administratör använder den frivilliga AI-sammanfattningen överförs den aktuella texten till Anthropic PBC i USA för behandling. Överföringen skyddas av EU-kommissionens standardavtalsklausuler (SCC) och Anthropics databehandlingsavtal.

Tekniska säkerhetsåtgärder:

All datatrafik krypteras (TLS/HTTPS)
Lösenord lagras hashade (kan inte återskapas)
Åtkomst till databasen styrs av radnivåsäkerhet (Row Level Security) — varje företags data är isolerad från andra företag
Personnummer är dessutom skyddat på kolumnnivå och kan inte läsas av andra användare
Bilder och dokument lagras i privata lagringsytor där åtkomst kräver inloggning och företagstillhörighet

10. Hur länge vi sparar uppgifterna

Aktiva konton: så länge du eller ditt företag använder Tjänsten
Avaktiverade konton: ett avaktiverat konto förlorar omedelbart all åtkomst. Uppgifterna står kvar hos din arbetsgivare tills kontot raderas på begäran (se sektion 11) eller företagets avtal upphör.
Personalliggare: två år, enligt skattelagstiftningens bevarandekrav. Kan inte raderas tidigare.
Tidrapporter och bokföringsrelevant data: upp till 7 år enligt bokföringslagen, även efter att kontot avslutats
Bilder: tills du eller en administratör tar bort dem, eller tills företagets avtal upphör
Ändringshistorik: så länge den behövs som rättelsekedja för personalliggaren (två år) och bokföringsunderlag (7 år) samt för säkerhet
Push-tokens: tills du stänger av notiser, loggar ut eller kontot avslutas
AI-funktioner: den text som skickats till AI:n och dess svar raderas automatiskt efter 90 dagar; kvar blir endast metadata om anropet (tidpunkt, kostnad, modell) för kostnadskontroll

Du har rätt att:

Få information om vilka uppgifter vi har om dig (registerutdrag)
Rätta felaktiga uppgifter
Radera dina uppgifter (“rätten att bli glömd”), med undantag för uppgifter som måste bevaras enligt lag — till exempel personalliggarens poster i två år och bokföringsunderlag i 7 år
Begränsa behandlingen av dina uppgifter
Flytta dina uppgifter till annan tjänsteleverantör (dataportabilitet)
Invända mot behandling som baseras på berättigat intresse
Återkalla samtycke när behandling baseras på samtycke

För arbetsrelaterade uppgifter är din arbetsgivare personuppgiftsansvarig — vänd dig i första hand dit. Du kan alltid också kontakta oss på kontakt@tidaapp.se; vi svarar inom 30 dagar. Hur du begär radering av ditt konto beskrivs på sidan Radering av konto.

Du har också rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY) om du anser att dina uppgifter behandlas i strid med lagen. Mer information på imy.se.

12. Cookies och spårning

Mobilappen använder inga cookies och ingen spårning över andra appar och webbplatser. Inga analys- eller kraschrapporteringsverktyg finns i appen.

Webbgränssnittet admin.tidaapp.se sätter inga cookies och har ingen besöksstatistik; inloggningssessionen sparas lokalt i din webbläsare.

Webbplatsen tidaapp.se sätter inga cookies utan ditt samtycke. Vi använder Vercels inbyggda besöksstatistik, som är cookiefri, aggregerad och inte spårar dig över andra webbplatser. Det enda som kräver samtycke är en mätpixel på kampanjsidorna:

Meta-pixel på kampanjsidorna (endast efter samtycke)

På tidaapp.se/pilot och tidaapp.se/pilot-text frågar vi i en cookiebanner om vi får ladda en mätpixel från Meta. Väljer du Avvisa laddas pixeln inte alls och inga cookies sätts.

Om du godkänner gäller följande:

Cookies som sätts: _fbp och i förekommande fall _fbc (tredjepartscookies från Meta, lagringstid upp till 90 dagar)
Uppgifter som behandlas: IP-adress, information om webbläsare och enhet samt sidhändelser (sidvisning och att en intresseanmälan har skickats). Vi skickar inte ditt namn, din e-postadress eller ditt telefonnummer till Meta.
Mottagare: Meta Platforms Ireland Limited. Uppgifter kan överföras till Meta Platforms, Inc. i USA med stöd av EU-kommissionens adekvansbeslut för EU-U.S. Data Privacy Framework.
Rättslig grund: ditt samtycke (artikel 6.1 a GDPR samt lagen om elektronisk kommunikation). Du kan när som helst återkalla samtycket via länken “Ändra cookieval” i sidfoten på kampanjsidorna. Redan satta Meta-cookies tar du bort genom att rensa cookies i din webbläsare.

13. Barns personuppgifter

Tida är ett verktyg för yrkesverksamma vuxna inom byggbranschen. Tjänsten är inte avsedd för personer under 16 år. Vi samlar inte medvetet in uppgifter från barn.

14. Säkerhetsincidenter

Vid en personuppgiftsincident som riskerar dina rättigheter kommer vi att anmäla till Integritetsskyddsmyndigheten inom 72 timmar och informera berörda användare utan onödigt dröjsmål.

15. Ändringar i denna policy

Vi kan komma att uppdatera denna integritetspolicy. Vid väsentliga ändringar informerar vi via e-post eller via Tjänsten. Den senaste versionen finns alltid på den här sidan, och tidigare versioner arkiveras här på webbplatsen.

16. Kontakt

Franke & Co AB Org.nr 559593-6674 E-post: kontakt@tidaapp.se Överkalix, Sverige