Integritetspolicy

På Co-Learning vill vi att du ska känna dig trygg med hur vi hanterar dina personuppgifter. Här beskriver vi vilken information vi samlar in, varför vi gör det, hur länge vi sparar den och vilka rättigheter du har. Vi följer EU:s dataskyddsförordning (GDPR).

1. Vem är ansvarig för dina uppgifter?

Personuppgiftsansvarig är Accit AB (org.nr 559157-7506) i Göteborg, som driver Co-Learning.

Har du frågor om dina personuppgifter? Kontakta oss på hej@co-learning.se.

2. Vilka uppgifter samlar vi in?

När du skapar ett konto

• E-postadress
• Namn och eventuell profilbild (om du anger det)
• Inloggningshistorik (för säkerhet)

När du använder tjänsten

• Vilka kurser du har påbörjat och slutfört
• Dina svar på quizfrågor och uppgifter
• Kommentarer och inlägg du skriver i diskussionsforumet
• Bokmärken (kurser, kommentarer, länkar, ord och nyheter du sparat)
• Aktivitetsdata för streaks och badges (t.ex. när du senast loggade in eller öppnade en kurs)

När du ger feedback eller skickar förslag

• Texten du skriver (betyg, kommentarer, förbättringsförslag)
• Koppling till ditt konto via ditt interna användar-id

När du betalar för en prenumeration

• Prenumerationsstatus och period (faktiska kortuppgifter hanteras enbart av Stripe — vi lagrar dem aldrig själva)

När du anmäler dig till väntelistan

• E-postadress (om du angav den innan du blev kund)

Tekniska uppgifter

• IP-adress används kortvarigt för att skydda tjänsten mot missbruk (rate limiting). Den lagras inte permanent.
• Cookies — se avsnitt 7 för detaljer.

3. Varför samlar vi in dina uppgifter?

Vi använder din data för att:

• Skapa och hantera ditt konto
• Leverera kurser, spara framsteg och visa rätt innehåll
• Möjliggöra diskussioner, kommentarer och delning mellan användare
• Hantera betalningar och prenumerationer
• Förbättra tjänsten — analysera vilka kurser som fungerar och hur vi kan göra dem bättre
• Skicka information om tjänsten (t.ex. när nya kurser släpps)
• Skydda tjänsten mot missbruk och säkerhetshot

4. Rättslig grund för behandlingen

Vi behandlar dina personuppgifter på följande lagliga grunder enligt GDPR:

• Avtal (art. 6.1.b) — För att leverera tjänsten du registrerat dig för: konto, kurser, framsteg, diskussioner och betalningar.
• Samtycke (art. 6.1.a) — För väntelista, valfria cookies och eventuella nyhetsbrev. Du kan när som helst dra tillbaka ditt samtycke.
• Berättigat intresse (art. 6.1.f) — För att förbättra tjänsten genom intern aktivitetsstatistik (se avsnitt 7), hantera feedback och skydda tjänsten mot missbruk.
• Rättslig förpliktelse (art. 6.1.c) — Vi sparar viss faktureringsinformation enligt bokföringslagen.

5. Vilka delar vi data med?

Vi säljer aldrig din data. För att kunna driva tjänsten anlitar vi följande personuppgiftsbiträden:

* För svenska kunder processas betalningar av Stripe Payments Europe Limited (Irland). Viss funktionalitet som bedrägeribekämpning kan innebära överföring till Stripe Inc. i USA, skyddat av SCCs och Data Privacy Framework.

** CookieScript tillhandahåller en samtyckeshanteringstjänst. Enligt leverantören behandlas inga personuppgifter om dig (IP-adresser anonymiseras, ingen användar-tracking), och de erbjuder därför inget formellt DPA. Vi har granskat deras ställningstagande och bedömer det som rimligt, men följer utvecklingen av EU-praxis.

Vi har personuppgiftsbiträdesavtal (DPA) med samtliga leverantörer i tabellen ovan utom CookieScript (se fotnot). För leverantörer med huvudsäte utanför EU/EES (Clerk, Stripe, Vercel, Upstash) skyddas dataöverföringen av EU-kommissionens standardavtalsklausuler (SCCs) samt EU–US Data Privacy Framework (DPF) där leverantören är certifierad.

6. Hur länge sparar vi din data?

Vi sparar dina personuppgifter så länge du har ett aktivt konto hos oss. När du raderar ditt konto tas dina personuppgifter bort inom 30 dagar, med följande undantag:

• Faktureringsinformation sparas i 7 år enligt bokföringslagen.
• Aggregerad statistik (t.ex. "antal användare som slutfört kurs X") som inte längre kan kopplas till dig som person kan sparas längre för att förstå tjänstens utveckling över tid.
• Kommentarer du skrivit i diskussionsforumet kan stå kvar i anonymiserad form (utan ditt namn) om de är del av en pågående diskussion.

7. Cookies, spårning och aktivitetsdata

Vi använder cookies bara där det verkligen behövs, och vår externa webbstatistik är cookie-fri. När du besöker oss första gången får du välja vilka cookies du tillåter via vår cookie-banner.

Om pseudonymiserade personuppgifter: en del av aktivitetsdatan nedan lagras kopplad till ditt interna användar-id (inte ditt namn/e-post direkt i samma rad). Det är pseudonymisering enligt GDPR art. 4.5. Eftersom vi kan koppla ditt användar-id till din identitet via kontotabellen räknas datan fortfarande som personuppgifter — GDPR gäller fullt ut och du har alla rättigheter i avsnitt 8.

• Nödvändiga cookies — krävs för att du ska kunna logga in och använda tjänsten (t.ex. din Clerk-session). Dessa kan inte stängas av.
• Anonym webbstatistik via Plausible Analytics — samlar in aggregerad trafikdata (antal besök, populära sidor, länder, trafikkällor) helt utan cookies och utan att lagra någon persondata. Kräver inget samtycke enligt ePrivacy-direktivet.
• Intern aktivitetsstatistik — när du är inloggad loggar vi en post i vår databas (kopplad till ditt användar-id) när du öppnar en kurs, genomför en sökning, loggar in eller besöker en sida. Vi sparar händelsetyp, eventuellt kurs-ID eller sökfras (max 100 tecken), samt tidsstämpel — inget annat (ingen IP, ingen enhetsinfo). Datan används enbart för vår egen förbättring av plattformen och delas inte med tredje part. Rättslig grund: berättigat intresse (art. 6.1.f) enligt dokumenterad balanseringsbedömning (LIA). Invända: du kan stänga av denna insamling under Min profil → Integritet. Befintliga loggar påverkas inte — enbart framtida insamling stoppas. Vill du radera redan insamlad data, begär det via kontakt (se avsnitt 8).
• Framstegsdata (progress)— när du markerar en uppgift som klar, slutför en lektion eller genomför ett quiz loggar vi det kopplat till ditt konto. Detta används för att visa dina framsteg, räkna streak, dela ut utmärkelser, låta dig "fortsätta där du slutade" och, för plattformens ägare, se aggregerad användningsdata. För vanliga användare ser plattformsägaren endast aggregerade siffror (antal aktiva användare per tidsfönster, populära kurser och liknande). Individuell aktivitetsdata kopplad till namn/e-post visas i admin-vyn endast för beta-testare (collaborator-rollen), i syfte att verifiera att testpersoner faktiskt använder tjänsten. Rättslig grund: avtal (art. 6.1.b) — utan denna data kan vi inte leverera kärnfunktionaliteten du registrerat dig för. Det är därför ingen opt-out möjlig på samma sätt som för aktivitetsstatistiken ovan. Vill du att all din framstegsdata raderas, radera ditt konto (se avsnitt 8) så tas den bort inom 30 dagar.

Du kan när som helst ändra eller dra tillbaka ditt samtycke för valfria cookies via cookie-ikonen längst ner i hörnet av sidan.

8. Dina rättigheter

Enligt GDPR har du rätt att:

• Få tillgång till din data — begära en kopia av de uppgifter vi har om dig.
• Få felaktiga uppgifter rättade — du kan uppdatera namn och e-post direkt i ditt konto.
• Bli glömd — begära att vi raderar dina uppgifter när vi inte längre behöver dem.
• Dataportabilitet — få ut din data i ett maskinläsbart format.
• Invända mot behandling som baseras på berättigat intresse.
• Begränsa behandlingen av dina uppgifter under vissa omständigheter.
• Återkalla samtycke som du tidigare lämnat.

För att utöva någon av dessa rättigheter, mejla oss på hej@co-learning.se. Vi svarar inom 30 dagar.

9. Säkerhet

Vi använder branschstandarder för att skydda din data — kryptering vid överföring (HTTPS), säker autentisering via Clerk och databas hos Supabase med strikta åtkomstregler.

10. Internationella överföringar

Några av våra leverantörer (Clerk, Stripe, Vercel, Upstash) har sitt huvudsäte i USA. Även när data lagras i EU (vilket är fallet för Supabase, Vercel och Upstash) är bolagen själva personuppgifts­biträden utanför EU/EES, vilket innebär att överföringar formellt kan uppstå — t.ex. vid support, drift eller bedrägeribekämpning.

Sådana överföringar skyddas av två parallella mekanismer enligt GDPR kapitel V:

• EU–US Data Privacy Framework (DPF) — certifiering av EU-kommissionen som bekräftar att leverantören uppfyller EU:s dataskyddsstandarder. Gäller Clerk, Stripe och Vercel.
• EU-kommissionens standardavtalsklausuler (SCCs) — 2021 års uppdaterade modell, ingår i våra personuppgifts­biträdesavtal med samtliga US-leverantörer.

11. Klagomål till tillsynsmyndigheten

Om du anser att vi behandlar dina uppgifter felaktigt har du rätt att lämna ett klagomål till Integritetsskyddsmyndigheten (IMY). Vi uppskattar dock om du först kontaktar oss så att vi får möjlighet att rätta till eventuella fel.

12. Ändringar i denna policy

Vi kan komma att uppdatera den här policyn när tjänsten utvecklas eller när lagar och regler ändras. Större förändringar meddelar vi via e-post eller en notis i tjänsten. Datum för senaste uppdatering visas högst upp på sidan.