Dataskyddspolicy (Komplett juridisk version)

Denna dataskyddspolicy ("Policyn") beskriver hur RoshaLink ("Bolaget", "vi", "oss" eller "vår") samlar in, använder, lagrar, delar och skyddar personuppgifter i samband med tillhandahållandet av våra IT-tjänster, webbapplikationer, mjukvarulösningar och integrerade plattformar. Vi värnar om din personliga integritet och är fast beslutna att skydda dina personuppgifter i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 ("GDPR"), den svenska dataskyddslagen (Lag 2018:218 med kompletterande bestämmelser till EU:s dataskyddsförordning) samt övrig tillämplig dataskyddslagstiftning. Genom att använda våra tjänster, besöka våra webbplatser eller ingå avtal med oss bekräftar du att du har tagit del av innehållet i denna dataskyddspolicy.

Vi samlar endast in personuppgifter som är strikt nödvändiga för att uppfylla våra avtalsenliga och lagstadgade skyldigheter, säkerställa systemdrift samt erbjuda och förbättra våra IT-tjänster. Personuppgifter vi kan samla in inkluderar: • Kontakt- och identifieringsuppgifter: Namn, e-postadress, telefonnummer, yrkesroll, företagsnamn, faktureringsadress samt IP-adress. • Konto- och autentiseringsuppgifter: Användarnamn, krypterade lösenord, säkerhetsloggar, åtkomsttokens samt användarpreferenser. • Tekniska loggar och enhetsdata: IP-adresser, webbläsartyp, operativsystem, skärmupplösning, tidsstämplar, refererande URL:er, felrapporter och prestandadata från våra servrar. • Kommunikationsdata: Meddelanden, supportärenden, förfrågningar och korrespondens som du skickar till oss via e-post, kontaktformulär eller integrerade chatt-widgets (t.ex. Rosha AI Assistant). • Integrations- och användningsdata: Telemetridata och interaktionsdata som genereras vid användning av våra mjukvarulösningar och integrerade plattformar.

Vi behandlar dina personuppgifter för följande ändamål: 1. Tillhandahållande och drift av IT-tjänster: För att leverera, konfigurera, underhålla och administrera våra mjukvarulösningar, webbplatser och kundkonton. 2. Kundsupport och kommunikation: För att besvara förfrågningar, hantera supportärenden, skicka tekniska meddelanden, uppdateringar och administrativ information. 3. Säkerhet och felsökning: För att övervaka systemstabilitet, förhindra obehörig åtkomst, upptäcka och avvärja cyberattacker samt genomföra felrättningar. 4. Optimering av integrationsflöden: För att säkerställa sömlös funktion och prestanda i våra arbetsflöden som integrerar över 250+ molntjänster, AI-plattformar och designverktyg. 5. Analys och produktutveckling: För att utvärdera tjänsteanvändning, förbättra användarupplevelsen och utveckla nya funktioner. 6. Rättsliga skyldigheter: För att uppfylla krav enligt bokföringslagstiftning, skattelagstiftning samt lagliga begäranden från myndigheter.

Vi behandlar dina personuppgifter med stöd av följande lagliga grunder enligt Artikel 6 i GDPR: • Fullgörande av avtal (Art. 6.1 b GDPR): Behandlingen är nödvändig för att ingå eller fullgöra ett avtal med dig eller det företag du representerar. • Rättslig förpliktelse (Art. 6.1 c GDPR): Behandlingen är nödvändig för att uppfylla en lagstadgad skyldighet som åvilar oss (exempelvis den svenska bokföringslagen 1999:1078). • Berättigat intresse (Art. 6.1 f GDPR): Behandlingen baseras på vårt berättigade intresse av att erbjuda säkra och effektiva IT-tjänster, förhindra bedrägerier, optimera våra plattformar och kommunicera med företagskunder. • Samtycke (Art. 6.1 a GDPR): I de fall behandling kräver samtycke (exempelvis för vissa typer av direktmarknadsföring eller icke-nödvändiga cookies) inhämtar vi ditt samtycke i förväg. Du har rätt att när som helst återkalla ditt samtycke.

Vi säljer aldrig dina personuppgifter till tredje part. Som en avancerad IT-verksamhet integrerar vi över 250+ molntjänster, AI-plattformar och designverktyg i våra interna och externa arbetsflöden (exempelvis leverantörer av molninfrastruktur, databaser, AI-API:er, CDN-nätverk och analysverktyg). Vi delar endast personuppgifter med följande kategorier av mottagare: • Tredjepartsleverantörer och personuppgiftsbiträden: Leverantörer av molninfrastruktur (exempelvis AWS, Google Cloud), AI-API-leverantörer (exempelvis OpenAI, Anthropic), verktyg för felspårning, kommunikation och analys. Alla biträden är bundna av skriftliga personuppgiftsbiträdesavtal (DPA) i enlighet med Artikel 28 GDPR. • Myndigheter: Om vi är skyldiga enligt lag, domstolsbeslut eller myndighetsbeslut att lämna ut uppgifter. • Professionella rådgivare: Juridiska ombud, revisorer och finansiella rådgivare under tystnadsplikt.

Våra servrar och leverantörer kan vara belägna både inom och utanför Europeiska ekonomiska samarbetsområdet (EES). När personuppgifter överförs till ett land utanför EES som inte omfattas av ett beslut om adekvat skyddsnivå från Europeiska kommissionen, säkerställer vi lämpliga skyddsåtgärder genom: • Användning av Europeiska kommissionens godkända Standardavtalsklausuler (SCCs) i enlighet med Artikel 46 GDPR. • Tillämpning av EU-U.S. Data Privacy Framework i de fall överföring sker till certifierade US-baserade organisationer. • Tekniska och organisatoriska tilläggsåtgärder, såsom totalsträckskryptering och pseudonymisering.

Vi lagrar endast personuppgifter så länge det är nödvändigt för att uppfylla de ändamål för vilka uppgifterna samlades in, eller så länge det krävs enligt lag: • Kund- och avtalsuppgifter: Lagras under avtalsförhållandet samt i upp till 7 år efter avslutad kundrelation i enlighet med den svenska bokföringslagen (1999:1078). • Tekniska loggar och säkerhetsdata: Lagras normalt mellan 30 dagar och 12 månader, varefter de raderas eller anonymiseras automatiskt. • Support- och korrespondensdata: Lagras i upp till 3 år efter avslutat ärende för att säkerställa historik och kvalitetssäkring. När personuppgifterna inte längre behövs raderas eller anonymiseras de på ett säkert sätt.

Som registrerad har du följande rättigheter enligt GDPR: • Rätt till tillgång (registerutdrag): Du har rätt att begära bekräftelse på om vi behandlar personuppgifter om dig samt få en kopia av uppgifterna. • Rätt till rättelse: Du har rätt att få felaktiga eller ofullständiga personuppgifter rättade utan onödigt dröjsmål. • Rätt till radering ("rätten att bli bortglömd"): Du kan begära att dina personuppgifter raderas om uppgifterna inte längre är nödvändiga eller om behandlingen saknar laglig grund. • Rätt till begränsning av behandling: Du har rätt att begära att behandlingen av dina personuppgifter begränsas under vissa omständigheter. • Rätt till dataportabilitet: Du har rätt att få ut dina personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format. • Rätt att göra invändningar: Du har rätt att invända mot behandling som baseras på vårt berättigade intresse. • Rätt att lämna klagomål: Om du anser att vår behandling av dina personuppgifter strider mot GDPR har du rätt att lämna klagomål till tillsynsmyndigheten: Integritetsskyddsmyndigheten (IMY) - www.imy.se

Vi använder cookies och liknande spårningstekniker för att säkerställa webbplatsens funktionalitet, analysera prestanda och förbättra användarupplevelsen. • Nödvändiga cookies: Krävs för grundläggande navigering, säkerhet och funktionalitet. Kan inte stängas av. • Analys- och prestandacookies: Hjälper oss att förstå hur besökare interagerar med plattformen genom anonymiserad statistik. • Funktionella cookies: Kommer ihåg inställningar som språk- och temapreferenser. Du kan när som helst ändra eller återkalla ditt cookie-samtycke via inställningarna i din webbläsare.

Vi tillämpar branschledande tekniska och organisatoriska säkerhetsåtgärder för att skydda dina personuppgifter mot oavsiktlig eller olaglig förstörelse, förlust, ändring, obehörigt röjande eller obehörig åtkomst: • Kryptering: Data i vila krypteras med AES-256 och data i transit krypteras med TLS 1.3. • Åtkomstkontroll: Principen om minsta privilege (PoLP) och Zero-Trust-arkitektur tillämpas strikt för all personal och alla system. • Övervakning och säkerhetsgranskning: Kontinuerlig sårbarhetsscanning, automatiserad säkerhetsövervakning och regelbundna kodgranskningar i enlighet med ISO 27001-standarder.

Om du har frågor om denna dataskyddspolicy, vill utöva dina rättigheter eller kontakta vårt dataskyddsombud, kan du nå oss via: • Företag: RoshaLink IT Infrastructure • E-post för integritetsfrågor: contact@roshalink.com • Webbplats: https://roshalink.com • Postadress: RoshaLink IT Operations, Stockholm, Sweden (Global Engineering Operations)

Vi förbehåller oss rätten att uppdatera denna dataskyddspolicy för att återspegla ändringar i vår verksamhet, tekniska utveckling eller tillämplig lagstiftning. När väsentliga ändringar görs kommer vi att meddela detta via vår webbplats eller per e-post innan ändringarna träder i kraft. Det datum som anges högst upp i policyn anger när den senast uppdaterades.