Integritetspolicy

1. Inledning

NexPath Oy ("vi", "vår" eller "oss") driver karriärvägledningstjänsten NexPath. Denna integritetspolicy förklarar hur vi samlar in, använder, delar och skyddar dina uppgifter när du använder våra tjänster.

Vi är fast beslutna att skydda din integritet och säkerställa efterlevnad av GDPR. Vi tror på transparens kring våra datapraxis och dina rättigheter.

2. Uppgifter vi samlar in

2.1 Uppgifter du lämnar

• Kontouppgifter: Namn, e-postadress, organisationstillhörighet
• Bedömningsuppgifter: Svar på karriärbedömningar, intressen, värderingar, arbetssätt
• Profiluppgifter: Utbildningsbakgrund, karriärmål, demografiska uppgifter (valfritt)
• Kommunikationsuppgifter: Meddelanden skickade via vår plattform, supportförfrågningar

2.2 Automatiskt insamlade uppgifter

• Användningsuppgifter: Besökta sidor, använda funktioner, tid spenderad, klickmönster
• Enhetsuppgifter: Webbläsartyp, enhetstyp, operativsystem, IP-adress
• Cookies: Sessionshantering, inställningar, analys (se cookiepolicyn)

3. Så använder vi dina uppgifter

Vi använder dina uppgifter för att:

• Erbjuda personlig karriärvägledning och rekommendationer
• Analysera dina bedömningssvar med hjälp av algoritmer (RIASEC, Work Adjustment Theory)
• Skapa rapporter för rådgivare och administratörer (med behörighet)
• Förbättra våra algoritmer och plattformens funktionalitet
• Kommunicera viktiga uppdateringar, nya funktioner eller supportsvar
• Efterleva lagstadgade krav och förhindra bedrägeri

3.1 Så använder vi artificiell intelligens

Din bedömning poängsätts av en deterministisk, regelbaserad motor — beräkningarna som ger din profil och dina karriärmatchningar är matematik, inte AI. Vi använder tredjeparts-AI-tjänster endast i en begränsad, stödjande roll:

• Narrativ tolkning: för att formulera redan beräknade resultat i tydligt, läsbart språk.
• Rådgivarassistent (NexPilot™): hjälper rådgivare att granska en deltagares färdiga profil samt allmän, offentligt tillgänglig karriär- och lagstiftningsinformation.

AI:n utför eller ändrar aldrig bedömningens poängsättning, och den arbetar utifrån kvalitativ profilinformation snarare än dina råa numeriska poäng. AI-behandlingen utförs av vårt AI-underbiträde (se §4.2). Vi minskar successivt de personuppgifter som ingår i AI-förfrågningar.

4. Delning och utlämnande av uppgifter

4.1 Inom din organisation

Om du använder NexPath via en skola eller organisation kan behöriga rådgivare och administratörer se dina bedömningsresultat och framsteg. Enskilda svarsdata aggregeras för organisationens insikter.

4.2 Underbiträden

Vi använder en liten grupp granskade tjänsteleverantörer ("underbiträden") för att driva NexPath. Var och en är bunden av ett personuppgiftsbiträdesavtal och behandlar dina uppgifter endast enligt våra instruktioner:

• Värdskap och infrastruktur: Hetzner Online — servrarna finns i Helsingfors, Finland (EU), där ditt konto och dina bedömningsuppgifter lagras.
• Nätverk, edge och säkerhetskopior: Cloudflare — DNS, TLS-terminering och R2-objektlagring för krypterade databassäkerhetskopior.
• Autentisering: Supabase — endast inloggning och social inloggning. Inga bedömningsuppgifter lagras där.
• Artificiell intelligens: OpenRouter — vidarebefordrar förfrågningar till språkmodeller för att skapa narrativa tolkningar och driva rådgivarassistenten (se §3.1).
• E-post: Resend — transaktionell e-post (konto-, samtyckes- och aviseringsmeddelanden).
• Felövervakning och loggning: Sentry och Better Stack — teknisk fel- och loggdata för att upprätthålla tjänstens tillförlitlighet och säkerhet.
• Betalningshantering: Stripe för säker betalningshantering. När du gör ett köp tar Stripe emot dina kortuppgifter, din faktureringsadress och din e-postadress för att behandla transaktionen. NexPath lagrar inte dina kortnummer. Se Stripes integritetspolicy.

Alla underbiträden är avtalsmässigt förpliktade att skydda dina uppgifter enligt GDPR-standarder. En aktuell lista upprätthålls på vårt Trust Center; vi meddelar kunder om väsentliga ändringar.

4.3 Lagstadgade krav

Vi kan lämna ut uppgifter om det krävs enligt lag, domstolsbeslut eller för att skydda våra eller andras rättigheter och säkerhet.

5. Datasäkerhet

Vi tillämpar branschstandardiserade säkerhetsåtgärder:

• Kryptering under överföring (TLS 1.2+) på alla anslutningar, även till våra databaser
• Databassäkerhetskopior krypterade i vila och lagrade separat från livesystemet (kryptering av den primära databasvolymen i vila håller på att rullas ut)
• JWT-baserad autentisering och åtkomstkontroll enligt principen om minsta behörighet; administrativ åtkomst endast via säkra, icke-offentliga kanaler
• EU-hostad, enanvändarinfrastruktur med strikt nätverksisolering och brandväggar
• Kontinuerlig övervakning, extern logginsamling, testade säkerhetskopior och en dokumenterad incidenthanteringsprocess

6. Dina rättigheter (GDPR)

Enligt GDPR har du rätt till:

• Tillgång: Begära en kopia av dina personuppgifter
• Rättelse: Korrigera felaktiga eller ofullständiga uppgifter
• Radering ("rätten att bli glömd"): Begära att dina uppgifter raderas
• Dataportabilitet: Exportera dina uppgifter i maskinläsbart format (JSON)
• Begränsning av behandling: Begränsa hur vi använder dina uppgifter
• Invändning: Motsätta dig viss användning av uppgifter (t.ex. marknadsföring)
• Återkallande av samtycke: Återkalla samtycke när som helst

För att utöva dessa rättigheter, kontakta oss på [email protected] eller använd kontoinställningarna i tjänsten.

7. Lagring av uppgifter

• Konto- och bedömningsuppgifter: lagras så länge kontot är aktivt och raderas när du raderar ditt konto eller dina uppgifter.
• Raderade konton: när du bekräftar raderingen raderas dina personuppgifter permanent och oåterkalleligt från våra system — inklusive från vår autentiseringsleverantör — utan onödigt dröjsmål, utom där vi enligt lag måste bevara specifika uppgifter (nedan).
• Faktureringsuppgifter: fakturor, betalningsuppgifter och transaktionshistorik bevaras i 6 år enligt finsk bokföringslag (Kirjanpitolaki 1336/1997).
• Obekräftade minderåriga konton: om samtycke från vårdnadshavare begärs men inte bekräftas inom 7 dagar raderas kontot automatiskt.

8. Barns integritet

NexPath behandlar minderårigas uppgifter endast inom en skol- eller vägledningskontext eller med lämpligt samtycke. För användare under 16 år kräver vi verifierbart samtycke från vårdnadshavare — eller, när en skola är personuppgiftsansvarig, skolans godkännande — innan deras bedömningsuppgifter behandlas, enligt GDPR artikel 8. Om samtycke från vårdnadshavare begärs men inte bekräftas inom 7 dagar raderas kontot och dess uppgifter automatiskt. De egenskaper vi mäter är begränsade till karriärintressen och personlighet; vi samlar inte in känsliga personuppgifter.

9. Internationella dataöverföringar

Ditt konto och dina bedömningsuppgifter lagras inom EU, på servrar belägna i Helsingfors, Finland. Vissa av våra underbiträden (till exempel för AI-behandling, betalningar och felövervakning) kan behandla begränsade uppgifter utanför EU. Sådana överföringar regleras av EU-kommissionens standardavtalsklausuler eller en motsvarande adekvansmekanism.

10. Ändringar av denna policy

Vi kan uppdatera denna integritetspolicy med jämna mellanrum. Ändringar publiceras på denna sida med ett uppdaterat "Senast uppdaterad"-datum. Väsentliga ändringar meddelas via e-post eller i tjänsten.

11. Kontakta oss

För frågor om integritet, dataförfrågningar eller klagomål: