Integritetspolicy

1. Inledning

NexPath Oy ("vi", "vår" eller "oss") driver karriärvägledningstjänsten NexPath. Denna integritetspolicy förklarar hur vi samlar in, använder, delar och skyddar dina uppgifter när du använder våra tjänster.

Vi är fast beslutna att skydda din integritet och säkerställa efterlevnad av GDPR. Vi tror på transparens kring våra datapraxis och dina rättigheter.

2. Uppgifter vi samlar in

2.1 Uppgifter du lämnar

• Kontouppgifter: Namn, e-postadress, organisationstillhörighet
• Bedömningsuppgifter: Svar på karriärbedömningar, intressen, värderingar, arbetssätt
• Profiluppgifter: Utbildningsbakgrund, karriärmål, demografiska uppgifter (valfritt)
• Kommunikationsuppgifter: Meddelanden skickade via vår plattform, supportförfrågningar

2.2 Automatiskt insamlade uppgifter

• Användningsuppgifter: Besökta sidor, använda funktioner, tid spenderad, klickmönster
• Enhetsuppgifter: Webbläsartyp, enhetstyp, operativsystem, IP-adress
• Cookies: Sessionshantering, inställningar, analys (se cookiepolicyn)

3. Så använder vi dina uppgifter

Vi använder dina uppgifter för att:

• Erbjuda personlig karriärvägledning och rekommendationer
• Analysera dina bedömningssvar med hjälp av algoritmer (RIASEC, Work Adjustment Theory)
• Skapa rapporter för rådgivare och administratörer (med behörighet)
• Förbättra våra algoritmer och plattformens funktionalitet
• Kommunicera viktiga uppdateringar, nya funktioner eller supportsvar
• Efterleva lagstadgade krav och förhindra bedrägeri

3.1 Så använder vi artificiell intelligens

Din bedömning poängsätts av en deterministisk, regelbaserad motor — beräkningarna som ger din profil och dina karriärmatchningar är matematik, inte AI. Vi använder tredjeparts-AI-tjänster endast i en begränsad, stödjande roll:

• Narrativ tolkning: för att formulera redan beräknade resultat i tydligt, läsbart språk.
• Rådgivarassistent (NexPilot™): hjälper rådgivare att granska en deltagares färdiga profil samt allmän, offentligt tillgänglig karriär- och lagstiftningsinformation.
• Karriärchatt, CV-byggare och kompetensgapsanalys: svarar på frågor och skriver utkast utifrån din profil och det du skriver eller importerar.

AI:n utför eller ändrar aldrig bedömningens poängsättning. För sitt arbete kan den få dina bedömningsresultat (inklusive poäng), din ålder och ditt kön om du har angett dem samt text du skriver i AI-funktioner; ditt namn, din e-postadress och ditt användarnamn tas bort innan en förfrågan skickas. AI-behandlingen utförs av vårt AI-underbiträde (se §4.2), som vi instruerar att endast använda leverantörer som inte samlar in innehållet eller tränar på det. Trust Centers AI-sida listar varje AI-funktion och vad den får.

4. Delning och utlämnande av uppgifter

4.1 Inom din organisation

Om du använder NexPath via en skola eller organisation kan behöriga rådgivare och administratörer se dina bedömningsresultat och framsteg. Enskilda svarsdata aggregeras för organisationens insikter.

4.2 Underbiträden

Vi använder en liten grupp granskade tjänsteleverantörer ("underbiträden") för att driva NexPath. Var och en är bunden av ett personuppgiftsbiträdesavtal och behandlar dina uppgifter endast enligt våra instruktioner:

• Värdskap och infrastruktur: Hetzner Online — servrarna finns i Helsingfors, Finland (EU), där ditt konto och dina bedömningsuppgifter lagras.
• Nätverk, edge och säkerhetskopior: Cloudflare — DNS, TLS-terminering och R2-objektlagring för krypterade databassäkerhetskopior.
• Autentisering: Supabase — endast inloggning och social inloggning. Inga bedömningsuppgifter lagras där.
• Artificiell intelligens: OpenRouter — vidarebefordrar förfrågningar till språkmodeller för att skapa narrativa tolkningar och driva rådgivarassistenten (se §3.1).
• E-post: Resend — transaktionell e-post (konto-, samtyckes- och aviseringsmeddelanden).
• Nyhetsbrev och kontaktformulär: Loops (USA) — tar emot namn, e-postadress och organisation som du skickar via våra nyhetsbrevs- och kontaktformulär, för att skicka det du bett om. Överföringarna bygger på standardavtalsklausuler eller EU–USA-ramverket för dataskydd (§9).
• Webbplatsanalys (endast med ditt samtycke): Google Analytics och Google Tag Manager — mätning av hur webbplatsen används. Inget skickas förrän du godkänner analyscookies i cookiebannern (se cookiepolicyn).
• Felövervakning och loggning: Sentry och Better Stack — teknisk fel- och loggdata för att upprätthålla tjänstens tillförlitlighet och säkerhet.
• Betalningshantering: Stripe för säker betalningshantering. När du gör ett köp tar Stripe emot dina kortuppgifter, din faktureringsadress och din e-postadress för att behandla transaktionen. NexPath lagrar inte dina kortnummer. Se Stripes integritetspolicy.

Alla underbiträden är avtalsmässigt förpliktade att skydda dina uppgifter enligt GDPR-standarder. En aktuell lista upprätthålls på vårt Trust Center; vi meddelar kunder om väsentliga ändringar.

4.3 Lagstadgade krav

Vi kan lämna ut uppgifter om det krävs enligt lag, domstolsbeslut eller för att skydda våra eller andras rättigheter och säkerhet.

Fakturerings- och betalningsuppgifter (organisationens namn, betalarens namn och e-postadress samt belopp) delas med vår redovisningsbyrå i Finland så att vi kan uppfylla våra lagstadgade redovisnings- och skatteskyldigheter.

5. Datasäkerhet

Vi tillämpar branschstandardiserade säkerhetsåtgärder:

• Kryptering under överföring (TLS 1.2+) på alla anslutningar, även till våra databaser
• Databassäkerhetskopior krypterade i vila och lagrade separat från livesystemet (den primära databasvolymen är krypterad i vila, LUKS2)
• JWT-baserad autentisering och åtkomstkontroll enligt principen om minsta behörighet; administrativ åtkomst endast via säkra, icke-offentliga kanaler
• EU-hostad, enanvändarinfrastruktur med strikt nätverksisolering och brandväggar
• Kontinuerlig övervakning, extern logginsamling, testade säkerhetskopior och en dokumenterad incidenthanteringsprocess

6. Dina rättigheter (GDPR)

Enligt GDPR har du rätt till:

• Tillgång: Begära en kopia av dina personuppgifter
• Rättelse: Korrigera felaktiga eller ofullständiga uppgifter
• Radering ("rätten att bli glömd"): Begära att dina uppgifter raderas
• Dataportabilitet: Exportera dina uppgifter i maskinläsbart format (JSON)
• Begränsning av behandling: Begränsa hur vi använder dina uppgifter
• Invändning: Motsätta dig viss användning av uppgifter (t.ex. marknadsföring)
• Återkallande av samtycke: Återkalla samtycke när som helst

För att utöva dessa rättigheter, kontakta oss på [email protected] eller använd kontoinställningarna i tjänsten.

7. Lagring av uppgifter

• Konto- och bedömningsuppgifter: lagras så länge kontot är aktivt och raderas när du raderar ditt konto eller dina uppgifter.
• Raderade konton: när du bekräftar raderingen raderas dina personuppgifter permanent och oåterkalleligt från våra system — inklusive från vår autentiseringsleverantör — utan onödigt dröjsmål, utom där vi enligt lag måste bevara specifika uppgifter (nedan).
• Faktureringsuppgifter: fakturor, betalningsuppgifter och transaktionshistorik bevaras i 6 år enligt finsk bokföringslag (Kirjanpitolaki 1336/1997).
• Obekräftade minderåriga konton: om samtycke från vårdnadshavare begärs men inte bekräftas inom 7 dagar raderas kontot automatiskt.

8. Barns integritet

NexPath behandlar minderårigas uppgifter endast inom en skol- eller vägledningskontext eller med lämpligt samtycke. För användare under 16 år kräver vi verifierbart samtycke från vårdnadshavare — eller, när en skola är personuppgiftsansvarig, skolans godkännande — innan deras bedömningsuppgifter behandlas, enligt GDPR artikel 8. Om samtycke från vårdnadshavare begärs men inte bekräftas inom 7 dagar raderas kontot och dess uppgifter automatiskt. De egenskaper vi mäter är begränsade till karriärintressen och personlighet; vi samlar inte in känsliga personuppgifter.

9. Internationella dataöverföringar

Ditt konto och dina bedömningsuppgifter lagras inom EU, på servrar belägna i Helsingfors, Finland. Vissa av våra underbiträden (till exempel för AI-behandling, betalningar och felövervakning) kan behandla begränsade uppgifter utanför EU. Sådana överföringar regleras av EU-kommissionens standardavtalsklausuler eller en motsvarande adekvansmekanism.

10. Ändringar av denna policy

Vi kan uppdatera denna integritetspolicy med jämna mellanrum. Ändringar publiceras på denna sida med ett uppdaterat "Senast uppdaterad"-datum. Väsentliga ändringar meddelas via e-post eller i tjänsten.

11. Kontakta oss

För frågor om integritet, dataförfrågningar eller klagomål: