Integritetspolicy

Denna Integritetspolicy förklarar hur JobbLoggen ("vi", "oss", "vår") samlar in, använder, lagrar och skyddar dina personuppgifter när du använder vår webbplats jobbloggen.percher.run och tillhörande tjänster ("Tjänsten"). Transaktionella e-postmeddelanden (verifiering, lösenordsåterställning, påminnelser) skickas från vår egen domän jobbloggen.com via e-postleverantören Resend; webbplatsens kanoniska adress är jobbloggen.percher.run och officiell kontakt sker på info@jobbloggen.com.

Vi är skyldiga att skydda dina personuppgifter i enlighet med EU:s dataskyddsförordning (GDPR), den svenska dataskyddslagen (2018:218) och annan tillämplig dataskyddslagstiftning.

1. Personuppgiftsansvarig

• Personuppgiftsansvarig: Mattias Malmborg, privatperson bosatt i Sverige
• Postadress: 42260 Hisings Backa, Sverige
• E-post: info@jobbloggen.com
• Webbplats: https://jobbloggen.percher.run

Officiell kontaktväg är e-post — alla frågor om denna policy och om behandlingen av dina personuppgifter besvaras därifrån.

Vi har för närvarande inte utsett ett dataskyddsombud (DPO), då verksamhetens omfattning inte uppfyller tröskelvärdena i GDPR Art. 37. Om detta förändras uppdaterar vi denna policy.

2. Vilka personuppgifter vi samlar in

2.1 Uppgifter du lämnar till oss

• Kontoinformation — e-postadress, namn (om du anger ett), tidpunkt för registrering och senaste inloggning, status för e-postverifiering. Ändamål: skapa och hantera ditt konto.
• Lösenord — hash av ditt lösenord (bcrypt). Vi lagrar aldrig lösenord i klartext. Ändamål: autentisering.
• Innehåll du skapar — jobbannonser du sparar (titel, företag, plats, deadline, status, sammanfattning, taggar, nyckelord, lön, anteckningar, påminnelser och eget yrkesval), inställningar (tema, layout, densitet, notifieringspreferenser). Ändamål: tillhandahålla Tjänsten.
• Annons-snapshots — när du sparar en annons via URL hämtar vår server sidan en gång och lagrar den extraherade textversionen åt dig. Vi lagrar bara textinnehåll — inte bilder, spårningspixlar eller scripts. Innehållet kan inkludera namn på rekryterare, kontaktpersoner eller andra uppgifter som ursprungligen publicerats av annonsören. Ändamål: din kopia av annonsen även när källan tas bort.
• Uppladdade skärmdumpar — bilder du frivilligt laddar upp för OCR (textigenkänning). Ändamål: extrahera text ur skärmdumpen så att du kan klistra in den i Tjänsten.
• Kommunikation — innehållet i e-post du skickar till oss (namn, e-post, ämne, meddelande). Ändamål: besvara dina förfrågningar.

2.2 Uppgifter vi samlar in automatiskt

• Användningsdata — tidsstämplar för konto- och säkerhetshändelser (registrering, inloggning, lockout, kontoradering), grov webbläsartyp. Ändamål: tillhandahålla Tjänsten, felsökning, missbruksskydd.
• Säkerhetsdata — hashad IP-adress (SHA-256 + salt, vi sparar aldrig rå IP), tidsstämplar för login-försök. Ändamål: bromsa botar och utreda misstänkta intrång.
• Sessionsdata — sessionscookie för autentisering och CSRF-token (se vår Cookiepolicy). Ändamål: hålla dig inloggad och skydda mot CSRF-attacker.

2.3 Uppgifter vi INTE samlar in

• Vi spårar dig inte mellan webbplatser. Inga marknadsförings-cookies, ingen analytics-pixel, ingen spårningspixel.
• Vi samlar inte in platsdata (GPS) — utöver vad som indirekt framgår av en hashad IP-adress.
• Vi säljer aldrig dina personuppgifter och delar dem inte med annonsörer.
• Vi tränar inga AI-modeller på dina sparade jobb, anteckningar eller skärmdumpar.

3. Hur vi använder dina personuppgifter

Vi behandlar dina personuppgifter för följande ändamål och med följande rättsliga grunder enligt GDPR:

• Tillhandahålla Tjänsten — Avtal (Art. 6.1 b). Skapa konto, lagra dina jobb och annons-snapshots, hantera påminnelser och inställningar.
• Skicka transaktionella e-postmeddelanden — Avtal (Art. 6.1 b). Verifiering av e-post, lösenordsåterställning, säkerhetsmeddelanden.
• Skydda mot missbruk — Berättigat intresse (Art. 6.1 f). Rate-limit, kontolåsning vid upprepade felaktiga inloggningsförsök, bot-skydd. Vårt berättigade intresse: att skydda Tjänstens integritet och säkerhet samt övriga användares rättigheter.
• Felsökning och drift — Berättigat intresse (Art. 6.1 f). Loggning av systemfel och säkerhetshändelser. Vårt berättigade intresse: att upprätthålla Tjänstens stabilitet och säkerhet.
• Uppfylla rättsliga skyldigheter — Rättslig förpliktelse (Art. 6.1 c). Myndighetsbegäran och annan tvingande lagstiftning.

3.1 Sammanfattning av rättsliga grunder

• Avtal (Art. 6.1 b GDPR): för att skapa och hantera ditt konto, lagra ditt sparade innehåll och tillhandahålla Tjänsten.
• Berättigat intresse (Art. 6.1 f): för att upprätthålla säkerhet, förebygga missbruk och felsöka (bl.a. hashad IP-adress, login-loggar och audit-loggar).
• Rättslig förpliktelse (Art. 6.1 c): för att uppfylla krav enligt tvingande lagstiftning, t.ex. vid myndighetsbegäran.

4. Delning med tredje part

4.1 Underbiträden (sub-processors)

Vi delar personuppgifter med följande tredjepartsleverantörer, som behandlar data på våra vägnar och enligt våra instruktioner:

• Percher.app (Sverige, hosting på Hetzner Cloud i EU) — serverhosting och databas (PocketBase). Data som delas: alla uppgifter (lagring). Skyddsmekanism: inom EES — ingen tredjelandsöverföring. Krypterade dagliga backuper i annan EU-datacenter.
• Resend (USA) — leverans av transaktionella e-postmeddelanden. Data som delas: e-postadress och meddelandeinnehåll. Skyddsmekanism: EU-kommissionens standardavtalsklausuler (SCC, beslut 2021/914).
• Cloudflare Turnstile (USA) — bot-skydd vid registrering och upprepade inloggningsförsök. Data som delas: tekniska signaler från din webbläsare (cookie-fri, ingen användarspårning). Skyddsmekanism: SCC.
• OpenRouter (USA, vidareförmedlar till AI-leverantör för OCR) — när du frivilligt laddar upp en skärmdump för textigenkänning. Data som delas: bilden du laddat upp. Bilden skickas en gång och lagras inte hos OpenRouter eller den underliggande modellen. Skyddsmekanism: SCC.

Denna lista uppdateras när nya underbiträden tillkommer. Väsentliga ändringar meddelas via e-post minst 30 dagar i förväg.

4.2 Viktigt om annons-snapshots och uppladdade skärmdumpar

Annons-snapshots är din privata kopia och visas inte för andra användare. De kan innehålla namn på rekryterare, kontaktpersoner eller andra uppgifter som ursprungligen publicerats av annonsören. Vi behandlar snapshot-text som personuppgifter oavsett innehåll. Snapshots vidarebefordras inte till AI-leverantörer för bearbetning.

Skärmdumpar för OCR som du frivilligt laddar upp skickas till OpenRouter för textigenkänning. Bilden lagras inte hos OpenRouter eller den underliggande modellen, men passerar deras infrastruktur. Undvik att ladda upp bilder som innehåller personnummer, betalkortsuppgifter, medicinsk information eller annan känslig information som inte behöver finnas i en jobblogg.

Vi använder inte ditt sparade innehåll för att träna AI-modellereller för ändamål som andra användare får del av. Innehållet används enbart för att tillhandahålla Tjänsten åt dig.

4.3 Övrig delning

Vi delar inte personuppgifter med tredje part utöver vad som anges ovan, med undantag för:

• Rättsliga krav: om vi är skyldiga enligt lag, domstolsbeslut eller myndighetsbegäran.
• Skydd av rättigheter: om det är nödvändigt för att skydda våra rättigheter, egendom eller säkerhet.
• Företagsöverlåtelse: vid eventuell fusion, förvärv eller försäljning av verksamheten, varvid din information kan överföras till den nya ägaren. Du meddelas i sådant fall i förväg.

5. Internationella överföringar

5.1 Överföringar utanför EES

Vissa av våra underbiträden är baserade i USA. Vid överföring av personuppgifter till länder utanför EES använder vi tillämplig överföringsmekanism enligt GDPR, kompletterad med riskbedömning och vid behov ytterligare tekniska, organisatoriska och avtalsmässiga skyddsåtgärder, i syfte att säkerställa en skyddsnivå som är väsentligen likvärdig med den som gäller inom EES.

För varje tredjelandsöverföring används följande mekanism:

• Resend (USA) — EU-kommissionens standardavtalsklausuler (SCC, beslut 2021/914).
• Cloudflare Turnstile (USA) — SCC (beslut 2021/914).
• OpenRouter (USA) — SCC (beslut 2021/914).

Samtliga tredjelandsöverföringar skyddas minst med kryptering under transport (TLS). Du kan begära information om tillämplig överföringsmekanism och en kopia av relevanta SCC genom att kontakta info@jobbloggen.com.

5.2 Percher / Hetzner (inom EES)

Vår serverinfrastruktur hos Percher.app, som i sin tur driftar på Hetzner Cloud, är lokaliserad inom EES. Ingen tredjelandsöverföring sker för lagrad data. Krypterade dagliga backuper sparas i annan EU-datacenter.

6. Datalagring och radering

• Kontoinformation, sparade jobb, annons-snapshots, påminnelser och inställningar — så länge kontot är aktivt. Raderas omedelbart vid kontoavslut.
• Lösenordshash — så länge kontot är aktivt. Raderas vid kontoavslut.
• Sessionsdata — sessionscookie giltig i upp till 14 dagar från inloggningstillfället, därefter krävs ny inloggning. Vid lösenordsbyte invalideras alla utfärdade sessioner automatiskt.
• Login-försök / lockout-loggar — 30 dagar, sedan rensas raderna automatiskt.
• Audit-loggar (autentisering, kontoändringar, kontoradering) — 12 månader, sedan rensas raderna automatiskt.
• Hashad IP-adress — kopplad till ovanstående logg-rader; raderas tillsammans med dem.
• Uppladdade skärmdumpar — som huvudregel endast under den tid som krävs för att genomföra OCR; lagras högst 24 timmar för felsökning och säkerhet om det behövs.
• Backuper hos Percher — krypterade, off-site i annan EU-datacenter, 30 dagars rullande retention.
• Aggregerad statistik — obegränsad. Statistik som anonymiserats så att ingen person längre är identifierbar omfattas ej av GDPR.

Vid kontoavslut raderas dina personuppgifter omedelbart i den primära databasen. Backupkopior fasas ut i takt med backup-rotationen (max 30 dagar).

7. Datasäkerhet

Vi vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda dina personuppgifter (GDPR Art. 32), inklusive:

• Kryptering: all kommunikation sker över HTTPS/TLS. Lösenord hashas med bcrypt.
• Sessionssäkerhet: sessionstokens och CSRF-token sätts som HttpOnly/Secure/SameSite=Lax-cookies.
• Åtkomstkontroll: sessionvalidering på varje skyddad route. All dataåtkomst filtreras per användare via en BFF-proxy.
• Missbruksskydd: rate-limit, kontolåsning efter upprepade felaktiga inloggningsförsök, bot-skydd via Cloudflare Turnstile, blockering av kända engångsmejldomäner och vanliga lösenord.
• Infrastruktur: servrar inom EES (Percher.app på Hetzner Cloud) med automatisk SSL-certifiering och dagliga krypterade off-site-backuper.

8. Personuppgiftsincidenter

8.1 Anmälan till tillsynsmyndighet

Vid en personuppgiftsincident som sannolikt innebär en risk för dina rättigheter och friheter ska vi anmäla incidenten till Integritetsskyddsmyndigheten (IMY) inom 72 timmar efter att vi blivit medvetna om den, i enlighet med GDPR Art. 33.

8.2 Meddelande till dig

Om incidenten sannolikt medför en hög risk för dina rättigheter och friheter ska vi utan onödigt dröjsmål informera dig direkt, i enlighet med GDPR Art. 34. Meddelandet ska innehålla:

• en beskrivning av incidenten,
• kontaktuppgifter för ytterligare information,
• de sannolika konsekvenserna,
• de åtgärder vi vidtagit eller planerar att vidta.

Misstänkta säkerhetsincidenter rapporteras till info@jobbloggen.com.

9. Automatiserat beslutsfattande och profilering

Vi fattar inte automatiserade beslut enligt GDPR Art. 22 som har rättsliga följder eller på liknande sätt i betydande grad påverkar dig. Tjänsten använder viss automatiserad behandling för säkerhet:

• rate-limit och kontolåsning vid upprepade felaktiga inloggningsförsök (lockout efter 10 felaktiga försök, normalt 15 minuter),
• bot-skydd via Cloudflare Turnstile vid registrering,
• blockering av kända engångsmejldomäner och vanliga lösenord vid registrering.

Om du anser att ett automatiserat beslut har rättsliga följder eller i betydande grad påverkar dig har du rätt att begära manuell prövning enligt artiklarna 21–22 GDPR. Kontakta oss på info@jobbloggen.com.

10. Dina rättigheter enligt GDPR

Som registrerad har du följande rättigheter:

• Rätt till tillgång (Art. 15) — du har rätt att begära en kopia av de personuppgifter vi behandlar om dig. Du kan exportera all din data som JSON-fil via Inställningar.
• Rätt till rättelse (Art. 16) — du har rätt att begära att felaktiga personuppgifter korrigeras. Du kan ändra dina sparade jobb och inställningar direkt i appen.
• Rätt till radering (Art. 17) — du har rätt att begära att dina personuppgifter raderas ("rätten att bli bortglömd"), med förbehåll för rättsliga skyldigheter. Inställningar → Radera mitt konto, bekräftas med ditt lösenord.
• Rätt till begränsning (Art. 18) — du har rätt att begära att behandlingen av dina personuppgifter begränsas under vissa omständigheter.
• Rätt till dataportabilitet (Art. 20) — du har rätt att erhålla dina personuppgifter i ett strukturerat, maskinläsbart format och att överföra dem till en annan personuppgiftsansvarig.
• Rätt att invända (Art. 21) — du har rätt att invända mot behandling som grundas på berättigat intresse (t.ex. säkerhetsloggar). Vi upphör då med behandlingen om vi inte kan visa tvingande berättigade skäl som väger tyngre.
• Rätt att klaga (Art. 77) — du har rätt att lämna in ett klagomål till en tillsynsmyndighet.

Dessa rättigheter gäller inte alltid i alla situationer. Om du utövar en rättighet där förutsättningarna inte är uppfyllda informerar vi dig om skälen till att vi inte kan tillmötesgå begäran.

10.1 Hur du utövar dina rättigheter

Kontakta oss på info@jobbloggen.com med ditt namn och e-postadress. Vi besvarar din begäran inom 30 dagar. Om vi inte kan identifiera dig kan vi begära ytterligare verifiering.

10.2 Tillsynsmyndighet

I Sverige är tillsynsmyndigheten:

Integritetsskyddsmyndigheten (IMY)
Webbplats: imy.se
E-post: imy@imy.se
Postadress: Box 8114, 104 20 Stockholm

11. Barns personuppgifter

Tjänsten riktar sig till personer som är minst 18 år. Personer under 18 år får endast använda Tjänsten med vårdnadshavares samtycke. Vid registrering utgår vi från användarens egna uppgifter och den försäkran som lämnas vid kontoöppning. Vi samlar inte medvetet in personuppgifter från personer under 18 år utan vårdnadshavares samtycke.

Om vi får skälig anledning att tro att en användare är under 18 år utan sådant samtycke kan vi begära ytterligare verifiering, begränsa kontot eller radera uppgifterna utan onödigt dröjsmål.

12. Ändringar av denna Integritetspolicy

Vi kan uppdatera denna Integritetspolicy. Vid väsentliga ändringar (t.ex. nya datakategorier, nya underbiträden, ändrade ändamål) meddelar vi dig via e-post innan ändringen träder i kraft, så du får möjlighet att radera ditt konto först om du inte håller med. Det aktuella ikraftträdandedatumet visas alltid högst upp i detta dokument.

13. Kontakt

• Frågor om dataskydd och allmänna frågor: info@jobbloggen.com
• Tillsynsmyndighet (Sverige): Integritetsskyddsmyndigheten (IMY)