Integritetspolicy

1. Personuppgiftsansvarig och personuppgiftsbiträde

Diktly tillhandahålls av PEYS Group AB, org.nr 559553-3653, Smedjegatan 33, 632 20 Eskilstuna (”vi”, ”oss”). För kontouppgifter (namn, e-post, organisation), fakturering, vår webbplats och vår egen kommunikation med kunder är vi personuppgiftsansvariga.

För det mötesinnehåll din organisation laddar upp eller spelar in (ljud, transkript, sammanfattningar) är vi personuppgiftsbiträde. Din organisation är personuppgiftsansvarig och bestämmer ändamålen. Behandlingen regleras då av vårt personuppgiftsbiträdesavtal mellan oss och din organisation.

Frågor om personuppgifter och den här policyn besvaras via hej@diktly.se eller kontaktformuläret på diktly.se/kontakt. Vi har inte utsett något dataskyddsombud.

2. Vilka uppgifter vi behandlar

• Kontouppgifter: namn, e-postadress, profilbild om du lagt till en, och vilken organisation du tillhör.
• Inloggning med Google eller Microsoft: loggar du in så får vi från leverantören din e-postadress, ditt namn, eventuellt en profilbild och ett id som kopplar kontot till inloggningen.
• Mötesinnehåll: ljudinspelningar, transkript, sammanfattningar, uppgifter, talarnamn och ett sökindex över sammanfattningarna för de möten du laddar upp eller spelar in.
• Kalender- och uppgiftskopplingar: kopplar du en kalender eller ett uppgiftsverktyg sparar vi behörighetsnycklar (tokens) och kontots e-postadress, och hämtar kommande kalenderhändelser med möteslänk, titel, tid och deltagarnas namn och e-postadresser.
• Mejl till bot@diktly.se: vidarebefordrar du en möteskallelse dit läser vi avsändaren, mötets tid, länk och deltagare ur kallelsen.
• Användnings- och faktureringsdata: inspelad tid per organisation, paket och betalningsstatus.
• Logg- och säkerhetsdata: teknisk loggdata för drift och felsökning, och en aktivitetslogg över inloggningar, ändringar av inställningar och delning av innehåll, där IP-adressen sparas för vissa händelser.
• Kommunikation: meddelanden du skickar till oss, till exempel via kontaktformuläret eller e-post, samt betyg och synpunkter du lämnar om tjänsten.
• Om du använder appen för iPhone eller Android: ljudet från mötet du spelar in, din talade fråga om du använder röstläget i iPhone-appen, samt den e-postadress du loggar in med. Inget annat hämtas från telefonen.
• Om du besöker webbplatsen: besöksstatistik enligt avsnitt 12.

3. Ändamål och rättslig grund

• Tillhandahålla tjänsten (transkribering, sammanfattning, lagring och delning av möten, inloggning och kopplingar) med rättslig grund fullgörande av avtal.
• Fakturering och administration av abonnemanget med rättslig grund fullgörande av avtal samt rättslig förpliktelse (bokföring).
• E-post om tjänsten, till exempel verifiering, inloggning, att ett protokoll är klart, påminnelser om provperiodens slut och varsel innan data raderas, med rättslig grund fullgörande av avtal.
• Uppföljande brev till nya och betalande kunder, till exempel en fråga om hur det gått några dagar efter registreringen, med rättslig grund berättigat intresse. Du kan när som helst tacka nej genom att svara på brevet.
• Drift, säkerhet, felsökning och aktivitetslogg med rättslig grund berättigat intresse av en säker och fungerande tjänst och av att kunna utreda vad som hänt i ett konto.
• Betyg och synpunkter på tjänsten, som vi använder för att förbättra den, med rättslig grund berättigat intresse.
• Visa rätt namn på en deltagare: står en deltagare i ett möte bara med sin e-postadress, och adressen tillhör en registrerad användare av Diktly, visar vi användarens namn i mötet i stället för adressen. Rättslig grund är berättigat intresse av ett läsbart protokoll. Bara namnet används, och bara för en adress som redan står i mötets deltagarlista.
• Besöksstatistik och annonsmätning på webbplatsen med rättslig grund samtycke, se avsnitt 12.
• Svara på förfrågningar du skickar till oss med rättslig grund berättigat intresse.

Vi fattar inga beslut som enbart grundas på automatiserad behandling och som har rättsliga följder för dig eller på liknande sätt i betydande grad påverkar dig (artikel 22 i GDPR).

4. Mötesinnehåll och AI-behandling

Ljud, transkript och sammanfattningar kan innehålla känsliga uppgifter beroende på vad som sägs. Innehållet behandlas enbart för att leverera tjänsten till din organisation, och säljs aldrig vidare. Våra AI-leverantörer får enligt avtal inte träna sina modeller på ert innehåll. Sammanfattningar, talarnamn och uppgifter tas fram med AI och kan innehålla fel.

Det är din organisation som ansvarar för att ha rättslig grund för att spela in och behandla mötena. Den som startar en inspelning ska informera övriga i rummet eller i mötet om att den pågår, och om att ljudet transkriberas och sammanfattas. Vi kan inte göra det åt er, eftersom vi inte vet vilka som deltar. Det gäller också när ni delar en inspelningslänk: den som spelar in behöver inget Diktly-konto, men ansvaret för att berätta det för rummet är detsamma.

5. Diktly som app på iPhone och Android

Diktly finns som app för iPhone. Den spelar in fysiska möten med telefonens mikrofon och skickar ljudet till samma behandling som webbversionen. Appen begär tillgång till mikrofonen, som bara används medan du spelar in eller pratar med Diktly. Telefonens egen taligenkänning används bara som reserv i röstläget, se nedan.

I röstläget kan du ställa frågor om dina möten med rösten och få svaret uppläst. Medan du pratar skickas talet till ElevenLabs, som omvandlar det till text. Texten skickas sedan till oss och besvaras på samma sätt som en skriven fråga i Fråga Diktly. Svaret skickas till ElevenLabs, som läser upp det. ElevenLabs är samma underbiträde som omvandlar mötesljudet till text, och behandlingen sker i USA under standardavtalsklausuler (SCC).

Vi sparar inte ljudet från röstläget. ElevenLabs sparar enligt sina villkor som standard text och ljud en tid för drift, felsökning och säkerhet. Att stänga av det kräver deras Enterprise-avtal, som vi inte har. För att ElevenLabs ska känna igen namn skickar appen med ord ur din organisations ordlista och namn på deltagare i dina egna möten. Går ElevenLabs inte att nå används telefonens egen taligenkänning och röst i stället, och då lämnar talet inte telefonen.

Ljudet skrivs först till appens egen katalog på telefonen och ligger kvar där tills uppladdningen är klar, så att en avbruten uppkoppling inte förstör inspelningen. När ljudet kommit fram till oss raderas hela den lokala kopian, inklusive mötets titel och övriga uppgifter om inspelningen. Inspelningar som ännu inte laddats upp ser du i appen och kan radera själv.

Appen hämtar ingenting annat från telefonen. Den läser inte din position, dina kontakter eller din kalender, använder inga annons-id:n och innehåller varken analysverktyg eller andra tredjeparts-SDK:er. Den spårar dig inte mellan appar eller webbplatser. Det som lagras lokalt utöver ljudet är appens egna inställningar och din inloggning i telefonens nyckelring.

Diktly finns också som app för Android, med samma behandling som iPhone-appen med två skillnader. Android-appen har inget röstläge, så inget tal från telefonen skickas till ElevenLabs utöver mötesljudet. Inloggningen sparas krypterad med en nyckel i telefonens Android Keystore. Medan du spelar in visar telefonen en avisering om att inspelningen pågår, så att den kan fortsätta när skärmen är släckt. Appen begär tillgång till mikrofonen och till att visa den aviseringen, och läser i övrigt samma saker som iPhone-appen, det vill säga inget annat från telefonen.

6. Kopplingar till era andra system

Diktly kan kopplas till system ni redan använder. Varje koppling görs av er, och kan när som helst tas bort under Inställningar.

Kalender. Kopplar ni Google Calendar eller Microsoft Outlook läser vi de kommande mötena för att veta när boten ska ansluta — tid, titel, möteslänk och vilka som är bjudna. Vi läser bara kalendern, vi skriver aldrig i den, och bara i det tidsfönster som behövs för att hinna förbereda mötet. Vad som gäller specifikt för uppgifter från Google står i avsnitt 6a.

Uppgifter ut. Väljer ni att skicka åtgärdspunkter vidare till Microsoft To Do, Microsoft Planner eller Google Tasks lämnar punkternas text och den ansvariges namn Diktly och hamnar i det systemet, där era egna villkor med den leverantören gäller. Samma sak om ni kopplar en webhook till ett eget system.

API. Med en API-nyckel kan ni hämta era egna möten, transkript och uppgifter till ett annat system. Vad som händer med uppgifterna därefter avgör ni.

6a. Uppgifter från Google (Google Calendar och Google Tasks)

Det här avsnittet gäller när du kopplar ditt Google-konto till Diktly under Inställningar. Kopplingen är frivillig och görs av dig. Du ser på Googles egen skärm vad Diktly begär åtkomst till innan du godkänner.

Google Calendar (endast läsning av händelser). Vi läser händelserna i din primära kalender för de kommande sju dagarna, ungefär var femte minut. Titel, beskrivning, plats och mötesinformation i varje händelse läses bara för att hitta en länk till ett Teams- eller Meet-möte. För de händelser som har en sådan länk sparar vi titel, starttid, möteslänk, händelsens identitet i kalendern och deltagarna (namn, e-postadress, om de tackat ja och vem som är arrangör). Beskrivning och plats sparas inte, och händelser utan möteslänk sparas inte alls. Vi sparar också e-postadressen för det Google-konto du kopplade, så att du ser vilket konto som är anslutet. Vi skriver aldrig i din kalender.

Uppgifterna används till det du ser i Diktly: att boten ansluter till rätt möte vid rätt tid, att mötet syns bland dina kommande möten, att deltagarlistan står i mötesprotokollet och att deltagarnas namn hjälper till att sätta rätt namn på rösterna i transkriptet. För det sista skickas namnen tillsammans med transkriptet till den språkmodell som beskrivs i avsnitt 7, och mötets titel ingår i det sökindex som gör mötet sökbart i Fråga Diktly. Ändras eller ställs en händelse in följer det med vid nästa synkning.

Google Tasks (endast skapa uppgifter). När du själv väljer att skicka åtgärdspunkter till Google Tasks skapar vi dem i din standardlista, med punktens text, den ansvariges namn, mötets titel och eventuellt förfallodatum. Vi läser inte dina befintliga uppgifter eller listor.

Begränsad användning. Diktlys användning och överföring av information som tas emot från Googles API:er följer Google API Services User Data Policy, inklusive kraven på begränsad användning (Limited Use). Det innebär att vi:

• bara använder uppgifterna för att tillhandahålla och förbättra de funktioner i Diktly som beskrivs ovan och som du ser i tjänsten,
• bara för över dem till andra när det behövs för just de funktionerna (underbiträdena i avsnitt 7), för säkerhet, för att följa lag, eller vid en fusion eller ett förvärv och då bara med ditt samtycke,
• aldrig säljer uppgifterna, aldrig för över dem till annonsplattformar eller datamäklare och aldrig använder dem för annonser, inklusive riktad eller återriktad annonsering,
• aldrig använder dem för att bedöma kreditvärdighet eller för utlåning,
• aldrig använder dem för att skapa, träna eller förbättra generella AI- eller maskininlärningsmodeller, varken egna eller någon annans. De AI-leverantörer vi anlitar använder inte innehållet för träning, se avsnitt 7,
• inte låter någon människa läsa dem, utom när du först uttryckligen bett oss titta på något specifikt (till exempel i ett supportärende), när det behövs av säkerhetsskäl, som att utreda missbruk, när lag kräver det, eller när uppgifterna är sammanställda och avidentifierade för intern drift.

In English: Diktly’s use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Ta bort åtkomsten. Kopplar du bort Google under Inställningar raderar vi de åtkomstnycklar vi fått av Google, och ingen ny synkning sker. Du kan också återkalla åtkomsten direkt hos Google på myaccount.google.com/permissions. Möten som redan hämtats ligger kvar i Diktly tills du raderar dem, och alla uppgifter raderas när du raderar ditt konto (avsnitt 10). Lagringstiderna i avsnitt 9 gäller i övrigt.

7. Underbiträden och andra mottagare

För att leverera tjänsten anlitar vi följande underbiträden, som behandlar mötesinnehåll för vår räkning under personuppgiftsbiträdesavtal:

• Supabase. Databas och fillagring för konton, möten, ljudfiler, transkript och sammanfattningar. Stockholm, Sverige (EU). Leverantören är etablerad i USA. Lagring inom EU. Standardavtalsklausuler (SCC) för eventuell åtkomst från USA.
• Vercel. Drift och leverans av webbapplikationen, där bearbetningen av möten körs. Stockholm, Sverige (EU). Leverantören är etablerad i USA. Standardavtalsklausuler (SCC).
• ElevenLabs. Omvandlar mötesljudet till text, även den direkta textningen under inspelning. I appens röstläge omvandlar de även din talade fråga till text och läser upp svaret. USA. Standardavtalsklausuler (SCC).
• OpenRouter. Förmedlar text till de språkmodeller som anges nedan. Vi styr i varje anrop vilka värdar som får användas och kräver att de inte samlar in data. USA, behandlingen kan ske globalt. Standardavtalsklausuler (SCC).
• Amazon Web Services (Amazon Bedrock, via OpenRouter). Kör språkmodellen Claude från Anthropic, som skriver sammanfattning, uppgifter och talarnamn och svarar i Fråga Diktly. Vi använder i första hand AWS region i Irland. Irland (EU). Behandling inom EU. Leverantören är certifierad enligt EU-U.S. Data Privacy Framework.
• Anthropic (via OpenRouter). Samma språkmodell, Claude. Används bara om AWS i Irland inte svarar. USA. Standardavtalsklausuler (SCC).
• OpenAI (via OpenRouter). Gör sammanfattningarna sökbara i Fråga Diktly genom att omvandla text till vektorer. Privata möten skickas inte. USA. Standardavtalsklausuler (SCC).
• Resend. Utgående e-post, till exempel protokoll som användaren väljer att dela. USA. Standardavtalsklausuler (SCC).
• Hostinger. Servern som mötesbottarna körs på. Ljudet mellanlagras där tills det laddats upp till lagringen, sedan raderas den lokala kopian. Frankfurt, Tyskland (EU). Behandling inom EU.
• Amazon Web Services (Fargate). Extra servrar för mötesbottarna när de ordinarie är upptagna. Boten spelar in mötet på en tillfällig server, laddar upp ljudet till lagringen och raderas tillsammans med servern när mötet är slut. Stockholm, Sverige (EU). Avtalspart är Amazon Web Services EMEA SARL i Luxemburg; moderbolaget är etablerat i USA. Behandling inom EU. Standardavtalsklausuler (SCC).
• SiteGround. E-postservern för bot@diktly.se. En möteskallelse som skickas dit passerar deras servrar, med deltagaruppgifterna i den. SiteGrounds europeiska datacenter (EU). Behandling inom EU.

För webbplatsen, statistiken och betalningen, där vi själva är personuppgiftsansvariga, använder vi:

• Vercel Web Analytics. Cookiefri besöksmätning. Sparar ingenting på enheten och följer inte besökare mellan webbplatser. Id:n och nycklar tas bort ur adresserna innan de skickas. Vercel, etablerat i USA. Standardavtalsklausuler (SCC).
• Google Analytics. Besöksstatistik på de publika webbsidorna. Laddas först efter samtycke till statistik och används inte inne i den inloggade tjänsten eller i iPhone-appen. USA. Samtycke. Standardavtalsklausuler (SCC).
• Google Ads. Får via Google Analytics veta att ett konto skapats eller ett formulär skickats, för att mäta våra annonser. Bara efter samtycke till marknadsföring. Inga mötesuppgifter skickas. USA. Samtycke. Standardavtalsklausuler (SCC).
• Stripe. Kortbetalning och kvitton för organisationer med betalt paket. Appen innehåller inga köp. Vi lagrar aldrig kortuppgifter själva. Avtalspart är Stripe Payments Europe Limited på Irland. Behandling kan ske utanför EU/EES. Standardavtalsklausuler (SCC).
• Fortnox. Fakturor och bokföring för organisationer som betalar mot faktura: organisationens namn, organisationsnummer, adress, fakturamejl och referens. Sverige (EU). Behandling inom EU.
• Resend. E-post om kontot, till exempel verifiering, inloggning och påminnelser. USA. Standardavtalsklausuler (SCC).

Loggar du in med Google eller Microsoft, eller kopplar en kalender eller ett uppgiftsverktyg, sker det mot ditt eget konto hos den leverantören, enligt deras villkor. Samma förteckning, med datum för senaste ändring, finns på diktly.se/underbitraden. Du kan begära en kopia av de tillämpliga biträdesavtalen via hej@diktly.se.

8. Överföring till tredjeland

Konto- och mötesinnehåll lagras inom EU: databasen och ljudfilerna i Stockholm, och råljudet från bottarnas möten tillfälligt i Frankfurt eller, när våra ordinarie bottar är upptagna, i Stockholm innan det laddas upp. AI-sammanfattningen görs i första hand inom EU (Amazon Bedrock i Irland). Transkribering och sökindex tas däremot fram av leverantörer i USA, och AI-sammanfattningen görs där om Irland inte svarar. Sådana överföringar sker med stöd av EU-kommissionens standardavtalsklausuler (SCC) och kompletterande skyddsåtgärder. Du kan begära en kopia av de tillämpliga skyddsåtgärderna via hej@diktly.se.

9. Lagringstid

Råljudet från ett möte raderas automatiskt 90 dagar efter mötet. Transkript, sammanfattning och uppgifter ligger kvar efter det, så att mötet fortfarande går att läsa och söka i. Du kan radera ett enskilt möte när du vill, och då försvinner ljudet direkt.

Tekniska händelser från behandlingen av ett möte sparas i 90 dagar och används för felsökning. Aktivitetsloggen, som visar vem som loggat in, ändrat inställningar och delat innehåll, sparas i ett år, eftersom frågan om vad som hänt i ett konto ofta ställs långt i efterhand. Möten som blev helt tomma, till exempel när ingen anslöt, raderas i sin helhet efter tre dagar.

Konto- och organisationsuppgifter lagras så länge din organisation har ett aktivt konto, eller tills du eller din organisation begär radering. Fakturerings- och bokföringsunderlag sparas så länge lagstiftningen kräver, normalt sju år enligt bokföringslagen. Hos AI-underbiträdena behandlas innehållet endast tillfälligt för att producera resultatet.

10. Dina rättigheter

• Rätt till tillgång till de personuppgifter vi behandlar om dig.
• Rätt till rättelse av felaktiga uppgifter.
• Rätt till radering (”rätten att bli bortglömd”).
• Rätt till begränsning av och invändning mot behandling, bland annat mot behandling som grundas på berättigat intresse.
• Rätt till dataportabilitet.
• Rätt att återkalla samtycke när behandlingen grundas på samtycke.

Radering och export sköter du själv. Under Inställningar på diktly.se kan du ladda ner allt du har i tjänsten i ett maskinläsbart format, och radera ditt konto med all tillhörande data. Kontot går också att radera i appen för iPhone eller Android, under Konto. Raderingen går inte att ångra och tar bort möten du spelat in eller skapat, även sådana som varit synliga för din organisation, samt ljud, transkript, sammanfattningar, uppgifter, scheman och kopplingar. Är du ensam medlem i en organisation tas även den bort.

Några uppgifter finns kvar efter en kontoradering, och då utan koppling till dig: rader i aktivitetsloggen som gäller säkerhet (till exempel inloggningar och delning av innehåll) avidentifieras i stället för att raderas, så att det går att utreda vad som hänt i ett konto. Synpunkter du lämnat om tjänsten finns kvar hos organisationen utan ditt namn. Fakturerings- och bokföringsunderlag sparas så länge lagen kräver.

Övriga rättigheter utövar du via hej@diktly.se eller kontaktformuläret på diktly.se/kontakt. Rör det mötesinnehåll där din organisation är personuppgiftsansvarig kan vi hänvisa dig dit. Du har även rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), tillsynsmyndighet i Sverige (imy.se).

11. Säkerhet

Vi skyddar uppgifter med tekniska och organisatoriska åtgärder, däribland kryptering i vila och vid överföring, åtkomstkontroll och loggning. Endast behörig personal har tillgång, och bara i den utsträckning det behövs för att leverera tjänsten, felsöka eller ge support. Sådan åtkomst loggas.

12. Cookies och besöksstatistik

Inne i den inloggade tjänsten används bara nödvändiga cookies, för inloggning och säkerhet. Google Analytics används bara på våra publika webbsidor och laddas först när du samtyckt till statistik. Innan dess skickas ingenting till Google. Ett undantag finns: på välkomstsidan direkt efter att ett nytt konto verifierats räknas, om du samtyckt, att ett konto skapats. Då skickas ingen sidvisning och inga andra uppgifter. Samtycker du även till marknadsföring kan Google Analytics dela sådana händelser med Google Ads, så att vi kan mäta våra annonser. Mötesinnehåll skickas aldrig till Google Analytics.

Vi mäter också besök med Vercel Web Analytics, som inte använder cookies, inte sparar något på din enhet och inte följer dig mellan webbplatser. Apparna för iPhone och Android använder inga cookies och innehåller ingen besöksstatistik. Du kan ändra eller återkalla ditt samtycke när som helst. Läs mer i vår cookiepolicy.

13. Ändringar i policyn

Vi kan uppdatera den här policyn. Den senaste versionen finns alltid här, med datum för senaste ändring högst upp. Väsentliga ändringar informerar vi om i tjänsten eller via e-post.