Hoppa till innehållet

GDPR & personuppgifter

Senast uppdaterad: 2026-10-20

Kort sammanfattning: TidLog behandlar personuppgifter för att uppfylla lagkrav (Skatteverkets personalliggare, bokföring) och för att tillhandahålla lönehanteringstjänster. Vi använder en enda cookie, som behövs för enhetslåset. Vi har ingen spårning, ingen webbanalys och delar aldrig data med annonsörer.

Roller och ansvar

Roll Vem Ansvar
Personuppgiftsansvarig Arbetsgivaren (kunden) Bestämmer ändamålet med behandlingen av anställdas uppgifter
Personuppgiftsbiträde Ninmar Baresso Invest AB Behandlar uppgifter på kundens uppdrag, enligt PUB

Dataminimering

Vi samlar bara in uppgifter som behövs:

  • Namn + personnummer: krävs av Skatteverket för personalliggare (SFL 39 kap.)
  • Stämplingstider: krävs för personalliggare
  • Löneuppgifter: behövs för att betala ut lön
  • E-post: behövs för att skicka inloggningslänk
  • Bankuppgifter: frivilligt, för löneutbetalning
  • Gäster: förnamn, efternamn, personnummer och tid för in- och utstämpling, bara om arbetsgivaren har slagit på gäststämpling på väggplattan

Position: Om arbetsgivaren har slagit på platskontroll jämförs din position med arbetsplatsen i samma stund som du stämplar i telefonen. Är du för långt bort nekas instämplingen. Sker utstämplingen långt från arbetsplatsen sparas en markering och avståndet i meter. Själva koordinaterna sparas aldrig. Telefonen kan be om tillgång till positionen när du stämplar, men utan platskontroll används den inte och ingenting sparas.

Vi samlar inte in biometriska data eller information om fackmedlemskap.

Tekniska säkerhetsåtgärder

Kryptering i transit All trafik skyddas med TLS 1.3 / HTTPS
Kryptering i vila Databasen krypteras med AES-256
Hashade lösenord PIN-koder lagras som bcrypt-hashar (aldrig i klartext)
Åtkomstkontroll Rollbaserad: admin, revisor, personal. Varje roll ser bara det den behöver
Ingen spårning Bara en nödvändig cookie för enhetslåset. Ingen Google Analytics, inget Facebook Pixel
Rate-limiting Automatiskt skydd mot brute-force på inloggning

Underbiträden

Följande tredjepartstjänster behandlar personuppgifter på vårt uppdrag:

Tjänst Funktion Data som delas Plats
Supabase Databashosting All applikationsdata EU (Irland)
Render Applikationsserver Data passerar servern vid API-anrop EU (Frankfurt)
Resend Transaktionsmail Namn och e-postadress. I vissa mejl även arbetspass och stämplingstider, de sista siffrorna i ett ändrat bankkonto, personnummer på den som tagit ut personalliggaren (till enhetens admins) och dricksbelopp per anställd (namn och belopp) som PDF-bilaga till kundens revisor USA (med SCC)
AI-leverantör AI-assistent (när den används) Användarens fråga, namn, stämplingar och arbetstider, schema, frånvaro (även sjukfrånvaro, utan diagnos), avvikelser, anställnings- och skatteuppgifter samt, för den med lönebehörighet, lönebelopp och semestersaldon. Personnummer, bankuppgifter, adress, telefon, e-post och anhörig tas bort ur underlaget från TidLog före överföring USA (med SCC)
Vercel Frontend-hosting Inga personuppgifter (statiska filer) Globalt CDN

Cookies

TidLog sätter en enda cookie, lt_device_id. Den innehåller ett slumpat enhets-ID som används för enhetslåset: ett personligt konto kan bara logga in från den telefon som användes första gången, och en telefon kan inte delas av flera personer. Cookien gäller för tidlog.se och dess underdomäner och sparas i ett år. Samma ID och inloggningen sparas också i webbläsarens lokala lagring.

Cookien är strikt nödvändig för en tjänst du själv har bett om och används inte för spårning, statistik eller reklam. Därför krävs inget samtycke enligt lagen om elektronisk kommunikation (2022:482) 9 kap. 28 §, och vi visar ingen cookie-banner.

Dina rättigheter

Som registrerad har du rätt att:

  • Få tillgång till dina uppgifter (registerutdrag)
  • Rätta felaktiga uppgifter
  • Begära radering (med undantag för lagkrav)
  • Exportera dina uppgifter i maskinläsbart format
  • Invända mot behandling

Anställda kan exportera sina uppgifter direkt i appen under "Min profil". För övriga förfrågningar, kontakta info@tidlog.se.

Incidenthantering

Vid en personuppgiftsincident (dataläcka) följer vi följande process:

  1. Identifiering och bedömning av incidenten inom 24 timmar
  2. Anmälan till Integritetsskyddsmyndigheten (IMY) inom 72 timmar
  3. Information till berörda registrerade om risken är hög
  4. Dokumentation och åtgärder för att förhindra upprepning

Kontakt

Frågor om personuppgiftsbehandling:
info@tidlog.se

Tillsynsmyndighet:
Integritetsskyddsmyndigheten (IMY)