Integritetspolicy

Senast uppdaterad: 28 oktober 2026

Den här policyn beskriver hur Sören (drivs av Vindsmide AB med organisationsnummer 559605-8213, fortsättningsvis "vi") behandlar personuppgifter när er förening använder bokföringsprogrammet Sören. Den vänder sig till två grupper: kassörer/styrelseledamöter som loggar in i appen, och medlemmar i de föreningar som använder Sören.

Vem är personuppgiftsansvarig?

När en förening lägger in sina medlemmar och bokföring i Sören är föreningen personuppgiftsansvarig. Det är föreningen som beslutar varför och hur uppgifterna behandlas. Sören är personuppgiftsbiträde och behandlar uppgifterna på föreningens uppdrag enligt det personuppgiftsbiträdesavtal som gäller när ni skapar ett konto.

När det gäller uppgifter om kassörer/användare av appen (e-post, lösenord, IP-adress) är Sören personuppgiftsansvarig.

Vilka uppgifter behandlar vi?

Om kassörer/användare

• E-postadress (för inloggning, supportkommunikation)
• Krypterat lösenord (hashat, lagras aldrig i klartext)
• IP-adress vid inloggning (för säkerhetsändamål)
• Tidsstämpel för senaste aktivitet

Om föreningens medlemmar (uppgifter ni själva matar in)

• Namn
• Adress, postnummer, ort
• E-postadress, telefonnummer
• Medlemsnummer
• Eventuella anteckningar ni själva skriver i fritextfältet
• Faktura- och betalningshistorik kopplad till medlemmen

Varför behandlas uppgifterna?

• Tillhandahålla tjänsten: bokföring, fakturering, medlemsregister, revisorpaket, AI-assistans.
• Säkerhet: autentisering, skydd mot intrång, loggning av ändringar.
• Support: när ni mejlar oss, använder Tyck till eller eskalering från Lille-Sören, svarar på vår fråga om ett omdöme eller skickar ett exempel från Bankinläsningen när Sören inte kunde läsa ett kontoutdrag. Exemplet tvättas i er webbläsare innan det skickas: namn, butiker, meddelanden, nummer och belopp byts ut, och ni ser exakt vad som skickas innan ni trycker Skicka.
• Ansökan om att testa Sören: uppgifterna ni fyller i formuläret (föreningens namn, kontaktperson, e-post och telefon) sparas hos oss så att vi kan bedöma ansökan och lägga upp föreningen. Vi skickar ett mejl till adressen ni angett och ber er bekräfta den, så att inloggningslänken hamnar hos rätt person. Namn, e-post, telefon och meddelande raderas 90 dagar efter att ansökan besvarats och senast efter 180 dagar om den blivit liggande. Rättslig grund är att vidta åtgärder på er begäran innan ett avtal ingås.
• Produkt- och driftinformation: vi håller en kontaktlista över dem som har konto i Sören och mejlar er om viktiga ändringar i tjänsten. Rättslig grund är berättigat intresse, och varje utskick går att avregistrera sig från. Föreningens medlemsregister används aldrig för detta.
• Bokföringslagen: föreningen är skyldig att bevara sin räkenskapsinformation i sju år. Så länge kontot är aktivt lagrar vi den åt er, men ansvaret för bevarandet är föreningens.

Hur länge sparas uppgifterna?

• Bokföringsdata (verifikationer, fakturor, kvitton): så länge kontot är aktivt, och därefter under exportfönstret nedan. Bokföringslagens krav på sju års bevarande vilar på föreningen, så se till att exportera bokföringen inom det fönstret.
• Medlemsdata: så länge ni har dem som medlemmar + den tid som krävs för avslutad fakturahantering.
• Användarkonto: tills ni avslutar prenumerationen. Därefter har ni 90 dagar på er att exportera, sedan raderas allt hos oss.
• Säkerhetskopior: varje natt tas en säkerhetskopia av hela databasen. Den lagras krypterad hos Google Cloud Storage och raderas automatiskt efter 30 dagar. Uppgifter kan därför finnas kvar i en säkerhetskopia i upp till 30 dagar efter att de raderats i appen.

Vart skickas datan?

Bokföringen, medlemsregistret och uppladdade filer lagras inom EU. Undantaget är inloggningen, som sköts av Firebase Authentication i USA (se fotnoten under tabellen). Vi använder följande underbiträden (sub-processors), se fullständig lista:

* Googles Gemini-modeller anropas via Google Cloud (Vertex AI) i EU-regionen, så AI-anropen behandlas inom EU:s medlemsländer. Innehållet används inte för att träna modellerna. Google kan spara anropen en begränsad tid för cachning och missbruksövervakning, även det inom EU-regionen. Datan som skickas är frivillig (AI-funktionerna kan stängas av i Inställningar). Vid kvittotolkning och kontoförslag skickas den enskilda posten tillsammans med föreningens kontoplan, alltså kontonummer och kontonamn, eftersom modellen behöver den för att kunna föreslå ett konto. Chatten Lille-Sören får därutöver föreningens verifikationer och budget för att kunna svara utifrån er bokföring. Fram till den 22 oktober 2026 gick AI-anropen till Google Gemini API, där behandlingen kunde ske i USA under standardavtalsklausuler (SCC).

** Firebase Authentication körs bara i Googles datacenter i USA och går inte att begränsa till EU. Där lagras kontoinnehavarnas e-postadress, lösenordet i hashad form och när kontot skapades och senast användes. Vid inloggning behandlas också IP-adress och webbläsarens user agent för att upptäcka missbruk. Google sparar loggade IP-adresser i några veckor och övriga inloggningsuppgifter tills kontot tas bort. Föreningens bokföring och medlemmarnas uppgifter skickas inte dit. Överföringen sker till Google LLC, som är certifierat enligt EU-U.S. Data Privacy Framework, med EU-kommissionens standardavtalsklausuler (SCC) som reserv om ramverket upphör att gälla. Tidigare stod inloggningen här felaktigt som en del av Google Cloud i EU.

Era rättigheter (GDPR)

• Rätt till tillgång: ni kan exportera all er data som ZIP- eller SIE-fil i appen.
• Rätt till rättelse: ni kan när som helst redigera medlemsuppgifter och beskrivning på verifikationer.
• Rätt till radering: ni kan radera medlemmar och utlägg direkt i appen. Hela föreningen raderar kassören under Inställningar → Abonnemang: den stängs direkt och raderas helt efter 30 dagar, och fram till dess kan vi återställa den om det var ett misstag. Ett inloggningskonto tar vi bort om ni mejlar oss.
• Rätt till dataportabilitet: ZIP-arkivet innehåller all data som JSON och CSV. SIE-filen kan importeras i Fortnox, Spiris (tidigare Visma eEkonomi), Bokio m.fl.
• Rätt att invända: t.ex. mot AI-användning. Stäng av i Inställningar → Förening.
• Rätt att klaga: till Integritetsskyddsmyndigheten (IMY) på imy.se.

Säkerhet

• All trafik krypteras med HTTPS.
• Lösenord hashas och lagras aldrig i klartext. Inloggningen sker via en kortlivad token.
• Databasen krypteras vid lagring och säkerhetskopieras varje natt.
• Varje förenings data hålls isolerad från andra föreningars på applikationsnivå.
• Vid säkerhetsincident anmäler vi inom 72 timmar till IMY enligt GDPR och informerar drabbade föreningar.

Kakor (cookies)

Sören sätter inga kakor alls. Inloggningen hålls kvar via webbläsarens lokala lagring på er egen enhet, och besöksstatistiken på sorenbok.se använder sessionStorage, som töms när fliken stängs. Inga marknadsföringskakor, inga analytics-cookies från tredje part, ingen individuell spårning.

Anonym besöksstatistik

För att förstå vilka sidor som är mest lästa och hur långt besökarna scrollar samlar vi anonym aggregerad statistik på sorenbok.se. Vi sparar sidans adress, hur långt ned besökaren scrollat, hur länge sidan var öppen, vilka länkar som klickats, om ansökningsformuläret skickats, om filmen på startsidan startats och hur långt den setts, hänvisande domän (bara domännamnet, aldrig hela adressen) och en grov enhetskategori (mobil, surfplatta eller dator, härledd ur fönstrets bredd). Inga cookies, inga IP-adresser, inga User-Agent-strängar. Ett slumpmässigt sessions-ID genereras per besök och försvinner när besökaren stänger fliken. Det kan inte kopplas till en person och syns inte mellan besök. Kommer besöket via en märkt länk i en av våra annonser (till exempel ?utm_source=facebook&utm_content=a) sparas också märkningen för fliken, så att vi kan se hur många som kom via varje annons och hur många av dem som gick vidare till provformuläret. Märkningen beskriver annonsen, inte besökaren, och försvinner med fliken. Vi har ingen spårningspixel från annonsplattformen på sajten och skickar ingenting tillbaka till den.

Vi använder ingen tredje part för detta (ingen Google Analytics, Plausible, Hotjar, Microsoft Clarity etc). All data lagras i vår egen databas inom EU. Statistiken används bara för att förbättra sajtens innehåll.

För att se hur många som är inne på sajten just nu skickar sidan dessutom en signal en gång i minuten medan fliken syns, med samma sessions-ID, sidans adress och enhetskategori. Den sparas inte som statistik: vi håller bara reda på pågående besök och raderar besöket senast några minuter efter att signalerna slutat komma.

Vi respekterar webbläsarens Do Not Track-inställning. Är den aktiverad samlas ingen statistik från besöket.

Statistik i själva appen

I bokföringsprogrammet på app.sorenbok.se mäter vi betydligt mindre, och på ett annat sätt. Här är alla inloggade, så en logg med tidpunkter hade i teorin kunnat kopplas till en person. Därför sparar vi inga händelser alls, bara summor.

En gång per session räknas tre grova egenskaper upp: enhetskategori (mobil, surfplatta eller dator), fönstrets bredd i intervall och webbläsarfamilj (Safari, Chrome, Firefox, Edge eller annan). Resultatet är rader av formen "den 24 augusti var 47 sessioner mobila". Ingen session, ingen tidpunkt utöver datumet, ingen sida, ingen förening och ingen användare sparas. User-Agent-strängen lämnar aldrig er webbläsare, den kokas ned till ett av fem ord innan något skickas.

För att se hur många som är inne i appen just nu skickar appen en signal en gång i minuten medan fliken syns. Signalen innehåller bara ett slumptal som skapas när appen laddas och som glöms när fliken stängs, ingen sida, ingen förening och ingen användare. Servern läser inte er inloggning för den signalen och vet alltså inte vem den kom från. Vi håller bara reda på pågående besök och raderar dem senast några minuter efter att signalerna slutat komma, så ingen historik sparas.

Det är alltså inte uppgifter som gjorts anonyma i efterhand, utan siffror som aldrig handlade om en person. De går inte att koppla till er ens av oss, och de finns bara av ett skäl: att veta om det är värt att lägga arbete på att göra appen bättre på mobil. Även här respekteras Do Not Track.

Sören på Facebook

Sören har en sida på Facebook. Varken sajten eller appen hämtar något från Facebook: inga gilla-knappar, inga inbäddningar och ingen Meta-pixel. Ett besök på sorenbok.se syns alltså inte för Meta.

Besöker ni sidan på Facebook, följer den eller skriver till oss där, behandlar Meta era uppgifter enligt Metas integritetspolicy. Meta ger oss sammanräknad statistik över sidans besökare (sidstatistik). Den visar inte vem som besökt sidan, men för just den statistiken är vi och Meta Platforms Ireland Ltd gemensamt personuppgiftsansvariga. Hur ansvaret är fördelat står i Metas tillägg om sidstatistik: Meta har huvudansvaret och är den ni i första hand vänder er till för att utöva era rättigheter, men ni kan alltid kontakta oss också.

Skriver ni till oss på Facebook sparar vi inte meddelandet någon annanstans, utom när ett ärende behöver fortsätta via e-post. Vi riktar inga annonser mot besökare på sorenbok.se.

Kontakt

Frågor om er data eller den här policyn? Mejla hej@sorenbok.se så svarar vi inom en arbetsdag.

Tjänsten Sören drivs av Vindsmide AB, organisationsnummer 559605-8213, Kalmar.

Den här policyn kan komma att uppdateras. Vid väsentliga ändringar informerar vi via e-post och i appen.