Integritetspolicy

1. Inledning

Denna Integritetspolicy förklarar hur Optimas Organisasjonspsykologi AS ("Optimas", "vi") samlar in och använder personuppgifter via OnlineJTI-plattformen. Den gäller Praktiker, Respondenter och besökare på onlinejti.com.

Vi behandlar personuppgifter i enlighet med dataskyddsförordningen (EU) 2016/679 (GDPR), den svenska dataskyddslagen och tillämpliga nationella regler i EES. Vår interna Dataskyddspolicy (DPP-001) anger de tekniska och organisatoriska åtgärderna bakom denna policy och är tillgänglig på begäran.

Om du bara vill ha en kort sammanfattning: vi samlar in det som är nödvändigt för att leverera Kartläggningen och Rapporterna; vi lagrar data i Tyskland; vi delar data endast med underbiträdena i avsnitt 8; du kan exportera och radera dina personuppgifter när som helst.

2. Vår roll: personuppgiftsansvarig och personuppgiftsbiträde

OnlineJTI har två olika typer av användare och vår roll enligt GDPR beror på datatypen:

• Respondentens kartläggningsdata: Praktikerns organisation är personuppgiftsansvarig. Optimas behandlar uppgifterna för Praktikerns räkning som personuppgiftsbiträde under ett personuppgiftsbiträdesavtal.
• Praktikerkonton, fakturering, plattformstelemetri: Optimas är personuppgiftsansvarig.
• Offentlig webbplats och marknadsföringskommunikation: Optimas är personuppgiftsansvarig.

Om du är Respondent och vill utöva rättigheter över dina kartläggningsdata (till exempel registerutdrag eller radering), kontakta först din Praktiker; du kan även kontakta oss direkt via kontaktuppgifterna i avsnitt 18 så vidarebefordrar vi förfrågan vid behov.

3. Personuppgifter vi samlar in

Vad vi samlar in beror på hur du använder Tjänsten.

Från Praktiker

• namn, e-postadress, telefonnummer (frivilligt), önskat språk, profilbild (frivillig);
• den organisation, Distributör och det team du tillhör samt din roll i dem;
• JTI-certifieringsstatus;
• inloggningsuppgifter (lösenord lagrat som saltad bcrypt-hash) och autentiseringstokens;
• kreditsaldo, köphistorik och fakturor;
• fritextanteckningar, teamkontextinformation och chattmeddelanden du skickar till AI-funktioner;
• loggar över aktivitet i plattformen, IP-adress och webbläsarmetadata för säkerhet och förebyggande av missbruk;
• kommunikation du skickar till oss via e-post, in-app-meddelanden och supportförfrågningar.

Från Respondenter

• namn, e-postadress och (frivilligt) ålder, kön, yrke, utbildningsnivå, språk;
• dina 56 svar på JTI-frågeformuläret (vart och ett lagrat som A eller B), beräknad personlighetstyp och de åtta dimensionspoängen (E/I, S/N, T/F, J/P);
• tidpunkten då du slutförde Kartläggningen och senaste tillgång till din post;
• eventuella reflektionssvar, journalanteckningar eller chattmeddelanden du skickar till AI-funktioner i kurs- eller coachingmoduler;
• eventuell teamtillhörighet vald av din Praktiker;
• leveranskvitton för e-post eller SMS som vi skickar till dig (utan meddelandeinnehåll efter leverans).

Från besökare på onlinejti.com

• nödvändiga cookies för session, säkerhet och språkval (se vår Cookiepolicy);
• serverloggar (IP, webbläsare, hänvisare) under den period som krävs för säker drift.

Vi samlar inte in särskilda kategorier av personuppgifter (såsom hälsa, religion eller politisk åsikt) i den mening som avses i GDPR artikel 9. JTI-personlighetsresultat utgör inte artikel 9-data, men vi behandlar dem som känsliga och begränsar åtkomsten i enlighet därmed.

4. Hur vi använder personuppgifter

Vi använder personuppgifter för att:

• leverera Tjänsten: bjuda in Respondenter, beräkna Kartläggningen, generera Rapporter, leverera kurs- och coachinginnehåll;
• administrera Praktikerkonton, saldon och fakturering;
• kommunicera med dig om Kartläggningar, Rapporter, kontoändringar och säkerhetsmeddelanden;
• driva AI-funktioner (typinsikter, teamanalys, kurscoach) genom att skicka nödvändiga indata till våra AI-underbiträden enligt avsnitt 7;
• säkra Tjänsten mot bedrägeri, missbruk, kontoövertaganden och oproportionerlig belastning;
• förbättra Tjänsten genom aggregerad och anonymiserad statistik;
• uppfylla rättsliga skyldigheter, inklusive skatt, bokföring och incidentrapportering;
• skicka marknadsföringsmejl till Praktiker som har samtyckt (Respondenter mottar inte marknadsföring).

5. Rättslig grund för behandlingen

Vi behandlar personuppgifter på följande rättsliga grunder (GDPR artikel 6):

• Fullgörande av avtal (artikel 6.1 b) för att leverera Tjänsten till Praktiker och Respondenter som har accepterat en inbjudan;
• Berättigat intresse (artikel 6.1 f) för säkerhet, förebyggande av bedrägeri, förebyggande av missbruk, intern administration och aggregerad produktförbättring; vi har vägt intresset mot dina rättigheter och funnit behandlingen nödvändig och proportionerlig;
• Rättslig förpliktelse (artikel 6.1 c) såsom bokföring, skatt och incidentrapportering;
• Samtycke (artikel 6.1 a) för marknadsföringskommunikation och eventuella valfria funktioner som kräver samtycke. Du kan när som helst återkalla samtycket utan att det påverkar lagligheten av tidigare behandling.

6. Känsliga uppgifter

JTI-resultat beskriver psykologiska preferenser och utgör inte hälsouppgifter eller andra särskilda kategorier enligt GDPR artikel 9. Vi behandlar dem ändå som känsliga: åtkomst är begränsad till din Praktiker och det fåtal anställda hos Optimas som behöver åtkomst för support- och säkerhetsändamål, och vi tillämpar de principer om uppgiftsminimering, lagringsbegränsning och säkerhet som beskrivs i denna policy.

7. AI-baserade funktioner och uppgifter som skickas till AI-leverantörer

OnlineJTI använder Anthropic (Claude), OpenAI och Groq för att generera texten i typinsikter, teamanalys och kurscoach. Vi använder dessa leverantörer under tecknade personuppgiftsbiträdesavtal som inkluderar EU:s standardavtalsklausuler för överföringar utanför EES, och vi instruerar varje leverantör att inte spara indata och inte använda dem för att träna sina modeller.

Innan några data lämnar vår backend ersätts riktiga namn med sessionsstabila kodnamn som ”Member42”. Kodnamnet har bara betydelse inom din aktuella session, och det återställs till det riktiga namnet på vår sida innan något visas för dig. AI-leverantören tar därmed emot endast den minimala information som krävs för analysen — vanligtvis en typkod och ett kodnamn — och ser aldrig den verkliga personen bakom. Direkta identifierare som e-postadresser, och demografiska detaljer som kön, ålder och yrke, tas helt bort från data som skickas till AI.

Vad vi skickar till AI-leverantörer (beroende på funktion):

• din personlighetstyp och dimensionspoäng;
• sessionsstabila kodnamn som ”Member42” för de teammedlemmar eller respondenter som diskuteras (aldrig deras riktiga namn);
• fritextinnehåll du anger, såsom anteckningar, teamkontext, reflektionssvar och chattmeddelanden;
• kurs- och modulkontext som krävs för att besvara din fråga.

Vad vi inte skickar:

• riktiga namn på Praktiker, respondenter eller teammedlemmar — dessa ersätts med sessionsstabila kodnamn innan de skickas;
• demografiska detaljer om respondenter, såsom kön, ålder eller yrke;
• e-postadresser, telefonnummer eller postadresser;
• lösenord, autentiseringstokens eller betalningsuppgifter;
• alla dina 56 råa kartläggningssvar;
• personnummer eller andra nationella identifieringsnummer.

Alla AI-anrop görs server-till-server från vår backend; AI-nycklar exponeras inte för webbläsaren. Konversations- och analyshistorik sparas i vår egen databas så länge ditt konto är aktivt eller tills du raderar en session, beroende på vilket som inträffar först.

AI-funktionerna fattar inte automatiserade beslut med rättslig verkan eller motsvarande betydande påverkan på dig, jfr GDPR artikel 22. En kvalificerad Praktiker är alltid med i loopen för beslut som baseras på AI-utdata.

8. Underbiträden

Vi anlitar följande underbiträden för att driva Tjänsten. Var och en är bunden av ett skriftligt avtal som inkluderar GDPR-konforma villkor.

Vi genomför due diligence för varje underbiträde innan engagemang. Aktuell lista publiceras även i vår interna Dataskyddspolicy. Vi ger Praktiker rimlig förhandsvarning vid väsentliga ändringar i listan.

9. Internationella dataöverföringar

Den primära behandlingen sker inom EES (Hetzner, Tyskland). Vissa underbiträden är etablerade i USA. För sådana överföringar förlitar vi oss på EU-kommissionens standardavtalsklausuler (SCC) som ingår i tillämpligt personuppgiftsbiträdesavtal, vid behov kompletterade med ytterligare tekniska skyddsåtgärder såsom kryptering under överföring och i vila.

Du kan begära en kopia av gällande SCC för ett specifikt underbiträde via e-post till privacy@onlinejti.com.

10. Lagring och anonymisering

Vi sparar personuppgifter endast så länge det är nödvändigt för de syften som anges i denna policy.

Vi har automatiserad anonymisering baserad på inaktivitet av Respondenters kartläggningsdata. Det finns en minsta säkerhetsperiod om 90 dagar innan någon post kan auto-anonymiseras. Respondenter och Praktiker mottar en varning före planerad anonymisering och kan skjuta upp den via en signerad länk.

Du kan också begära omedelbar radering av dina kartläggningsdata när som helst, jfr avsnitt 14.

11. Utlämnande

Vi delar personuppgifter endast:

• med Praktikerns organisation som bjöd in en Respondent och med teammedlemmar som ingår i en teamrapport enligt Praktikerns instruktion;
• med underbiträdena i avsnitt 8, endast i den utsträckning det är nödvändigt för att driva Tjänsten;
• med yrkesmässiga rådgivare (revisorer, advokater, försäkringsbolag) under sekretess, endast där det är strikt nödvändigt;
• där det krävs enligt lag, domstolsbeslut eller föreläggande från behörig myndighet, efter att vi har verifierat förfrågan;
• i samband med en bolagstransaktion (såsom fusion eller förvärv); berörda användare informeras i förväg.

Vi säljer inte personuppgifter och delar dem inte för tredjeparts annonsering.

12. Cookies och lokal lagring

Vi använder endast cookies och webbläsarlagring som är nödvändiga för att driva Tjänsten: session, säkerhet (CSRF), språk- och tema-preferenser samt en kundvagns-id för Praktiker.

Vi använder för närvarande inte tredjepartscookies för annonsering eller beteendeanalys. Om vi lägger till analyser som kräver samtycke kommer vi att införa en samtyckesbanner först.

Fullständig information, inklusive hur du hanterar cookies i din webbläsare, finns i vår Cookiepolicy på /about/cookies.

13. Marknadsföringskommunikation

Vi skickar marknadsföringsmejl endast till Praktiker som har samtyckt. Varje marknadsföringsmejl innehåller en avregistreringslänk, och du kan även återkalla samtycket genom att kontakta privacy@onlinejti.com.

Respondenter mottar inte marknadsföring. Servicemejl (såsom inbjudningar och resultatmeddelanden) skickas på grunden fullgörande av avtal och kan inte avregistreras så länge du har en aktiv kartläggningspost.

14. Dina rättigheter

Enligt GDPR har du följande rättigheter avseende dina personuppgifter. Vi besvarar verifierade förfrågningar inom 30 dagar.

• Rätt till tillgång (artikel 15) — bekräftelse på behandling och kopia av dina personuppgifter.
• Rätt till rättelse (artikel 16) — korrigera felaktiga eller ofullständiga uppgifter. Själva kartläggningssvaren kan inte ändras efter slutförande (det är ett datakvalitetskrav i JTI-metoden), men identitetsuppgifter runt omkring kan rättas av din Praktiker.
• Rätt till radering (artikel 17) — begära radering av dina personuppgifter. Vi genomför detta genom anonymisering där identifierande fält tas bort medan typ och poäng behålls i icke-identifierbar form för aggregerad statistik.
• Rätt till begränsning (artikel 18) — pausa behandlingen i närmare angivna fall.
• Rätt till dataportabilitet (artikel 20) — få dina uppgifter i ett strukturerat, allmänt använt och maskinläsbart format. Respondenter kan själva exportera JSON från kontosidan.
• Rätt att invända (artikel 21) — invända mot behandling som grundar sig på berättigat intresse, inklusive profilering.
• Rätt att återkalla samtycke — när som helst utan att det påverkar lagligheten av tidigare behandling.
• Rätt att inte vara föremål för automatiserade beslut med rättslig verkan eller motsvarande betydande påverkan (artikel 22) — sådant beslutsfattande tillämpas inte.

Självbetjäning

Respondenter kan exportera sina uppgifter och begära omedelbar radering från integritetsavsnittet på kontosidan (/account). Raderingen utförs av AnonymizationService och kan inte ångras.

Så utövar du dina rättigheter

För uppgifter knutna till en Kartläggning, kontakta först din Praktiker; denne är personuppgiftsansvarig. Du kan även kontakta oss direkt på privacy@onlinejti.com så vidarebefordrar vi förfrågan till rätt part.

Rätt att klaga

Om du anser att vi inte har behandlat dina personuppgifter korrekt kan du klaga hos en tillsynsmyndighet. Tillsynsmyndighet för Optimas är Datatilsynet (Norge), Postboks 458 Sentrum, 0105 Oslo, post@datatilsynet.no, https://www.datatilsynet.no. Som svensk medborgare kan du även vända dig till Integritetsskyddsmyndigheten (IMY), https://www.imy.se.

15. Säkerhet

Vi tillämpar tekniska och organisatoriska åtgärder anpassade till risken, bland annat:

• TLS 1.2 eller högre för all överförd data;
• kryptering i vila för databaser och säkerhetskopior;
• saltad bcrypt för lösenordshashning och JWT-baserad autentisering;
• tvåfaktorsautentisering via SMS för känsliga konton;
• rollbaserad åtkomstkontroll och isolering mellan Distributörstenanter;
• sårbarhetshantering, beroendeuppföljning och rutinmässig uppdatering;
• Incidenthanteringsplan med varsel till tillsynsmyndighet inom 72 timmar och till berörda användare utan onödigt dröjsmål där lagen kräver det;
• pseudonymisering av personidentifierare i AI-riktade data: riktiga namn på Praktiker, respondenter och teammedlemmar ersätts med sessionsstabila kodnamn innan några data passerar gränsen till AI-leverantören, och demografiska detaljer tas bort helt från AI-riktade data.

Inga säkerhetsåtgärder är perfekta. Om du upptäcker en sårbarhet, vänligen rapportera den till security@onlinejti.com.

16. Barn

Tjänsten är inte avsedd för barn under 16, och vi samlar inte medvetet in personuppgifter från barn under 16. Om du blir medveten om att ett barn har lämnat personuppgifter till Tjänsten, vänligen kontakta privacy@onlinejti.com så att vi kan ta bort dem.

17. Ändringar i denna Integritetspolicy

Vi kan uppdatera denna Integritetspolicy från tid till annan. Den aktuella versionen visas högst upp på denna sida. När vi gör väsentliga ändringar uppdaterar vi versionsreferensen och ber dig godkänna på nytt i applikationen före nästa användning av Tjänsten.

18. Kontakt och tillsynsmyndighet

Optimas Organisasjonspsykologi AS är personuppgiftsansvarig för de personuppgifter som beskrivs i denna policy om inte annat anges.

Optimas Organisasjonspsykologi AS
Myrdalskogen 435, 5117 Ulset, Norge
Norskt organisationsnummer: 979 972 660

Integritet och dataregister: privacy@onlinejti.com
Juridiska frågor och personuppgiftsbiträdesavtal: legal@onlinejti.com
Säkerhetsincidenter: security@onlinejti.com

Du kan även kontakta Datatilsynet på post@datatilsynet.no.