Integritetspolicy

Hur Heqtic samlar in, använder och skyddar personuppgifter enligt EU:s allmänna dataskyddsförordning (GDPR, 2016/679).

Senast uppdaterad: 24 augusti 2026

1. Personuppgiftsansvarig

Heqtic är personuppgiftsansvarig för behandlingen som beskrivs nedan. Kontakt: sam@heqtic.se.

2. Vilka uppgifter vi behandlar

2.1 Kunduppgifter

Namn, titel, e-postadress, företagsnamn och webbsida.
Det innehåll du själv lägger in (ICP, värdeerbjudande, anteckningar).
Inloggnings- och sessionsdata via Supabase Auth.
Fakturauppgifter du anger vid beställning: organisationsnummer, momsregistreringsnummer, fakturaadress, e-postadress för faktura och er referens.
Bevis på att avtalet godkänts: namnet på den som godkände, tidpunkt, samt IP-adress vid godkännandet.

Rättslig grund: Avtal (GDPR Art. 6.1 b) — vi behöver uppgifterna för att leverera och fakturera tjänsten du köpt. Bevisen på godkännande (namn, tidpunkt, IP-adress) behandlas med stöd av berättigat intresse (Art. 6.1 f) av att kunna styrka att en behörig person accepterat beställningen; IP-adressen raderas efter 24 månader. När vi fakturerar via ett bokföringssystem sparas fakturauppgifterna där så länge bokföringslagen kräver (räkenskapsinformation, 7 år), och den kopian omfattas då inte av radering enligt Art. 17.

2.2 Prospect-uppgifter

För att leverera Researched Buying Signals (RBS:er) samlar vi in publikt tillgänglig information om beslutsfattare på företag som matchar din ICP:

Namn och titel hos beslutsfattaren.
Företagsnamn, sektor, storlek, geografisk hemvist.
Publika köpsignaler (regulatoriska deadlines, nyrekryteringar, pressmeddelanden, etc.) hämtade dels via webbsökning från officiella webbplatser, LinkedIn och nyhetskällor, dels via en automatiserad insamling som löpande hämtar daterade signaler från publika svenska källor (se Källa nedan).
Näringsgrenskod (SNI), verksamhetsbeskrivning och organisationsform för företaget, hämtade från Bolagsverkets och SCB:s öppna register för att kunna kategorisera företaget rätt. För en enskild firma kan en sådan företagsuppgift utgöra en personuppgift; just denna uppgift lagras men skickas inte till vår AI-modell, och raderas på begäran. Andra uppgifter om företaget — inklusive företagsnamnet, som för en enskild firma är en fysisk persons namn — behandlas däremot av vår AI-modell när en köpsignal analyseras.
Verifierade kontaktuppgifter för yrkesutövningen: beslutsfattarens e-postadress på arbetet och ett telefonnummer, hämtade via vår berikningspartner FullEnrich. Leverantören särskiljer inte alltid en växel, en direktlinje och en privatpersons eget mobilnummer — numret kan därför vara en privatpersons mobilnummer, och vi behandlar det som ett sådant. Privata e-postadresser hämtas inte.
Beslutsfattarens aktuella roll och rubrik samt ett fåtal av deras senaste publika LinkedIn-inlägg, hämtade via vårt underbiträde Unipile, för att belägga en aktuell och daterad köpsignal. Vi lagrar endast en minimerad, affärsrelevant sammanfattning av signalen — inte fullständiga profiler. Denna funktion är avstängd och har aldrig varit påslagen i drift. Vi hämtar alltså i dag inga LinkedIn-uppgifter via Unipile. Vi uppdaterar den här sidan innan funktionen slås på.

Rättslig grund: Berättigat intresse (GDPR Art. 6.1 f, skäl 47 — direkt B2B-marknadsföring mellan företag) av att möjliggöra relevant och välresearchad försäljning. En intresseavvägning har genomförts och dokumenterats. Prospects kan när som helst invända mot behandlingen via sam@heqtic.se; invändningar förs in i vår globala spärrlista, som stoppar all framtida insamling och all vidare kontakt via oss. Vill du dessutom att uppgifter i redan levererade RBS:er tas bort, begär radering (Art. 17) i samma mejl — ange gärna e-postadress, telefonnummer eller LinkedIn-profil så att vi hittar dig.

Källa (Art. 14): Prospect-uppgifter kommer inte från dig själv utan från publikt tillgängliga källor — företags webbplatser, nyhetskällor och offentliga LinkedIn-profiler (hämtning via underbiträdet Unipile är avstängd — se ovan); Arbetsförmedlingens JobTech/Platsbanken (jobbannonser); press- och nyhetsflöden (RSS) samt Google Alerts; Bolagsverket och SCB (för näringsgrenskod och verksamhet på företag vi redan känner till); samt Bolagsverket och SCB:s veckovis publicerade register över samtliga svenska företag (en öppen bulkfil, inte en sökning — vi använder den för att själva upptäcka nyregistrerade företag inom de branscher vi bevakar, avgränsat till företag registrerade de senaste tre månaderna. Enskilda näringsidkare ingår inte: rader där identiteten är ett personnummer i stället för ett organisationsnummer sorteras bort innan något sparas. Vid ett enstaka tillfälle använder vi samma bulkfil även för att, för övriga Sverige, komplettera vår databas med redan existerande — inte bara nyregistrerade — aktiva företag inom de branscher vi bevakar, avgränsat till bolag och liknande juridiska personer registrerade under de branschkoder vi bevakar (inte det bredare livsmedelsverksamhet-begrepp de kommunala registren nedan täcker för Göteborg); samma urval och undantag gäller: enskilda näringsidkare exkluderas och en registrerad reklamspärr respekteras); samt kommunala öppna register över livsmedelsverksamheter och serveringstillstånd (t.ex. Göteborgs stad — uppgift om verksamhet, adress, tillståndstyp och tillståndshavare; för en enskild firma är tillståndshavaren en fysisk person); samt Västra Götalandsregionens öppna register över besöksnäringsverksamheter (namn, besöksadress och ort för företag i regionens besöksnäring — branschtillhörighet anges inte i källan och kan avse t.ex. restauranger, caféer, hotell, aktivitetsföretag eller museer; för en enskild firma är företagsnamnet en fysisk person). För verifierade kontaktuppgifter används vår berikningspartner FullEnrich. En del av denna insamling sker automatiskt och löpande; du kan när som helst invända mot behandlingen (se ovan).

Mottagare (Art. 14.1 e): Uppgifterna lämnas ut till den kund som beställt researchen, och den kunden blir självständigt personuppgiftsansvarig för sin kopia. Har kunden kopplat sitt eget CRM-system förs uppgifterna även dit — i vissa fall automatiskt för varje levererad RBS, om kunden valt det (se integrationssidan). Kopian omfattar namn, titel, arbetsgivare, arbetsrelaterad e-post och telefon, LinkedIn-profil, köpsignalen, den säljmässiga analysen (varför bolaget passar, vinkel och invändningar) och de källor researchen bygger på (länkar till offentliga sidor), samt hela RBS:en som PDF-fil.

I enstaka fall visar vi, en RBS åt gången, ett redigerat utdrag för en potentiell Heqtic-kund, som exempel på hur en RBS ser ut — högst 5 olika RBS:er per intern testleverans totalt. Företagets och kontaktpersonens namn samt kontaktvägar (LinkedIn, e-postadress, telefonnummer) döljs bakom en tom, oläslig ruta överallt de förekommer, inklusive i löptexten — det finns ingen riktig text bakom rutan att återskapa. Kontaktuppgiftsrutan kan ändå visa ATT en verifierad e-postadress eller ett publicerat telefonnummer hittats för personen (med samma märkning som i en riktig RBS), utan att visa själva adressen eller numret. Källor visas inte alls. Övrigt innehåll — beslutsfattarens befattning/titel, en kort motivering till varför just den personen är relevant (t.ex. roll, bakgrund, offentliga uttalanden), köpsignalen, den säljmässiga analysen, företagsfakta (bransch, storlek, omsättning, ort), samtalspunkterna och utkastet till första mejlet — visas i huvudsak oredigerat, inklusive exakta datum och citat, för att visa att researchen är verklig och konkret; en separat AI-modellgranskning söker efter och döljer på samma sätt namn på andra identifierbara personer eller bolag som förekommer i texten (t.ex. en citerad chef eller en namngiven konkurrent). Trots detta kan enskilda uppgifter — t.ex. en ovanlig kombination av titel, bransch, storlek och ort — i undantagsfall göra det möjligt att räkna ut vilket bolag eller vilken person det gäller. Detta gäller endast research som tagits fram i en intern testleverans (aldrig en betalande kunds egen leverans), kräver en extra inloggningsverifiering varje gång, granskas av en människa innan filen skickas, och loggas i sin helhet. Du kan invända mot detta på samma sätt som mot övrig behandling (se ovan).

Vi använder även Anthropic (AI-generering), Supabase (lagring) och FullEnrich (kontaktuppgifter) som underbiträden — se underbiträdessidan och avsnitt 2.5 nedan för hela bilden. Invänder du eller begär radering underrättar vi de kunder som fått dina uppgifter (Art. 19).

2.3 Audit-logg

Vi loggar varje administrativ åtgärd på kunddata (genereringar, godkännanden, ändringar, raderingar, export). Loggen innehåller tidsstämpel, aktörens identitet, åtgärden och mål-ID.

Rättslig grund: Rättslig förpliktelse (GDPR Art. 6.1 c) och berättigat intresse (Art. 6.1 f) av spårbarhet enligt NIS2 Art. 21.

2.4 Frivillig mailbox-integration (ej i bruk)

Denna funktion är avstängd sedan 12 augusti 2026 och kan inte aktiveras av dig som kund. Ingen e-post kopplas och inga personuppgifter skickas till Unipile. Beskrivningen nedan gäller hur funktionen fungerar om vi slår på den igen, vilket vi inte gör förrän ett biträdesavtal med Unipile finns på plats — och vi uppdaterar den här sidan innan det sker.

Om du som kund väljer att koppla din e-post (Gmail eller Outlook) — någon sådan funktion finns i dag inte i produkten — kopplas den via vårt underbiträde Unipile. Vi får då en signal när du skickar ett mejl till en prospekt respektive när prospekten svarar, så att motsvarande RBS automatiskt uppdateras till Kontaktad respektive Svar. Vi lagrar aldrig själva mejltexterna — endast avsändar-/mottagaradress och tidpunkt används för att matcha rätt RBS. Ett inkommande svar granskas kortvarigt och lokalt hos oss (ingen mejltext skickas till någon extern tjänst) enbart för att skilja ett verkligt svar från ett frånvaromeddelande, och kasseras därefter. Om ett svar ser ut att vara en avregistrering flaggas det för dig — att agera på begäran är ditt ansvar som personuppgiftsansvarig; det påverkar inte Heqtics egen spärrlista. Integrationen är helt frivillig och kan när som helst kopplas från — i dag på begäran till oss, varvid anslutningen avslutas hos Unipile.

Rättslig grund: För denna behandling agerar Heqtic personuppgiftsbiträde åt dig som kund (du är personuppgiftsansvarig för din egen inkorg), enligt biträdesavtal mellan dig och oss (GDPR Art. 28). En fullständig avtalskedja — inklusive ett biträdesavtal med Unipile som underbiträde — är en förutsättning för att funktionen ska kunna slås på, och finns ännu inte.

2.5 Frivillig CRM-integration

Kopplar du som kund ditt eget CRM kan RBS:er föras över dit — antingen när någon hos er skickar en enskild RBS, eller automatiskt vid varje leverans om ni valt det. Den automatiken är avstängd från början, kan stängas av när som helst och nollställs om ni kopplar från eller byter CRM; är den på får ert CRM en kopia även av de kontaktpersoner ingen hos er hinner arbeta med.

Det som förs över är bolagsnamn, kontaktuppgifter (namn, titel, e-post, telefonnummer, LinkedIn), köpsignalen, den säljmässiga analysen (varför bolaget passar, vinkel och invändningar) och de källor researchen bygger på, samt — vid första överföringen av en RBS — hela RBS:en som PDF-fil, med samma underlag som du ser i Heqtic, inklusive kontaktuppgifter. Filen laddas upp som en privat fil, aldrig till ett publikt filbibliotek.

Mottagaren är ditt eget CRM-konto, inte ett underbiträde till Heqtic — se underbiträdessidan för hela resonemanget. När uppgifterna landat där är du självständigt personuppgiftsansvarig för den kopian, inklusive för radering av anteckningar, fritext och bifogade filer.

Slår du dessutom på Automatisk statusuppdatering läser vi högst en gång per dygn av om de affärer Heqtic själv har skapat i ditt CRM har markerats som vunna eller förlorade, och uppdaterar status på motsvarande RBS. Vi hämtar endast detta avslutsvärde — inga kontakter, anteckningar, aktiviteter, e-post eller övriga fält — och aldrig affärer du själv skapat. Avslutsvärdet lagras hos oss kopplat till den RBS det gäller och omfattas av samma radering och lagringstid som RBS:en i övrigt. Båda funktionerna är frivilliga, avstängda som standard och kan när som helst stängas av.

Vilka CRM-system som stöds, exakt vad som skrivs var och vilka inställningar som finns beskrivs samlat på integrationssidan, som hålls uppdaterad i takt med att tjänsten utvecklas. Villkoren för integrationen står i kundavtalet § 6.

Rättslig grund: Berättigat intresse (GDPR Art. 6.1 f) av att kunna leverera och följa upp den RBS du beställt, med samma intresseavvägning som för prospekt-uppgifterna i övrigt (avsnitt 2.2). Källa för avslutsvärdet (Art. 14.2 f) är kundens eget CRM.

2.6 Teammedlemmar hos en kund

Ett kundföretag kan ha flera inloggningar: den person som tecknade avtalet (kontoägaren) och de kollegor som kontoägaren har låtit lägga till. Har du fått en inloggning av din arbetsgivare är det det här avsnittet som gäller dig — och du har inte själv lämnat dina uppgifter till oss, så vi vill vara tydliga med vad vi har och varför.

Vilka uppgifter: din e-postadress på arbetet, en frivillig fritextetikett för din roll (t.ex. ”Säljare”) som din arbetsgivare eller vi kan ha satt, samt uppgift om vem som lade till dig och när.
Varifrån (Art. 14.2 f): från din egen arbetsgivare — den person hos kunden som tecknat avtalet, eller Heqtic på deras begäran. Uppgifterna kommer alltså inte från dig.
Vad vi använder dem till: att ge dig åtkomst till den tjänst din arbetsgivare har köpt, och att kunna visa i efterhand vem som gjort vad i kontot.
Vilka som ser dem: övriga inloggningar på samma kundkonto ser din e-postadress i teamlistan under Inställningar. Det är avsiktligt — ni delar konto — men det innebär att dina kollegor ser att du har åtkomst. Utöver dem har Heqtics administratörer åtkomst.
Vad som loggas om dig: när du gör något som ändrar något i kontot skrivs en rad i vår audit-logg med din e-postadress som aktör. Markerar du en RBS som kontaktad sparas din adress på den RBS:en.

Rättslig grund: Berättigat intresse (GDPR Art. 6.1 f). Du är inte part i avtalet mellan Heqtic och din arbetsgivare, så vi kan inte luta oss mot avtalet när det gäller dig. Intresset är att låta din arbetsgivares egen personal använda ett verktyg som köpts för dem; uppgiften är en tjänste-e-postadress och inget mer, och den är lämnad av din arbetsgivare. Vi har vägt det mot ditt integritetsintresse och bedömt att intrånget är litet.

Dina rättigheter — och en sak som är viktig att känna till. Så länge du har en inloggning kan du hämta ett utdrag och begära radering av dina egna uppgifter direkt i appen, under Inställningar → Mina uppgifter. Din åtkomst styrs dock av din arbetsgivares kontoägare, inte av oss: de kan ta bort dig när som helst och utan att först meddela dig, och då försvinner även din självbetjäningsväg. Det tar inte bort dina rättigheter. Mejla sam@heqtic.se så hanterar vi begäran manuellt — det gäller även om du redan har blivit borttagen. Vill du invända mot behandlingen (Art. 21) gör du det till oss på samma adress.

Observera att kundens leveranser inte är dina personuppgifter — de är kundens uppgifter om tredje part. En begäran om utdrag från dig omfattar din inloggning, din rad i teamlistan, dina audit-loggrader och de RBS:er som bär ditt namn, inte företagets RBS-underlag i stort.

3. Lagringstid

Aktiva kundkonton: så länge avtalet löper. Kontot raderas inte automatiskt när avtalet upphör — det ligger kvar tills ni begär radering, så att ni hinner hämta ut era leveranser (kundavtalet § 8). Begär ni radering tar vi bort kontot, inloggningarna, ICP:erna och leveranserna, utom de fakturauppgifter som utgör räkenskapsinformation. Dem måste vi enligt bokföringslagen behålla i 7 år efter utgången av det räkenskapsår fakturan avser.
Kontaktuppgifter i en levererad RBS: de verifierade kontaktuppgifter vi hämtat via vår berikningspartner FullEnrich — e-postadress, telefonnummer och LinkedIn-URL — rensas automatiskt 12 månader efter leverans, även om själva leveransen sparas längre. Beslutsfattarens namn och analysen finns kvar. Observera att analystexten kan innehålla kontaktvägar som researchen själv citerar (t.ex. en växeltelefon), och att gränssnittet kan visa en gissad e-postadress som räknas fram ur namnet och företagets adressmönster och därför inte är lagrad hos oss — den gissningen kan visas även efter 12 månader. Vill du att allt om dig tas bort, inte bara de verifierade uppgifterna, använd rätten till radering nedan (avsnitt 4).
ICP och RBS-leveranser: som standard 24 månader räknat från den senaste leveransen (3, 6 eller 12 månader kan avtalas i stället). Varje ny leverans på samma ICP startar om perioden, så en löpande prenumeration raderas inte mitt i. När tiden löpt ut raderar en nattlig städning automatiskt ICP:n och samtliga RBS:er under den — det går inte att ångra. En ICP som aldrig levererats har ingen sådan slutpunkt: den ligger kvar så länge kundrelationen finns (dess ogranskade utkast rensas efter ca 6 månader), och tas bort när kontot raderas.
Prospect-data: samma retention som tillhörande ICP.
Prospekt i Heqtics egen leadgenerering: raderas automatiskt efter ca 18 månader utan aktivitet. Har du bokat ett möte med oss, eller svarat så att kontakten togs vidare manuellt, sparas uppgifterna längre — men inte permanent: ca 24 månader räknat från mötet respektive den senaste händelsen i den kontakten, varefter de raderas av samma nattliga städning.
Signalarkiv och företagsberikning: daterade köpsignaler och hämtade registeruppgifter (SNI m.m.) gallras automatiskt efter en bestämd tid av en nattlig städning, och raderas omedelbart vid en giltig invändning eller raderingsbegäran.
Mailbox-händelser: matchningsdata (adress + tidpunkt) från den frivilliga mailbox-integrationen raderas efter ca 6 månader, och omedelbart vid radering av kontot eller berörd prospekt.
Teammedlemmar hos en kund: uppgifterna finns kvar så länge du har en inloggning på kundens konto. Tar kontoägaren bort dig — eller raderas hela kundkontot — tas din rad i teamlistan och din inloggning bort samtidigt. Dina rader i audit-loggen är undantagna och finns kvar enligt punkten nedan; begär du radering pseudonymiseras i stället din e-postadress på de RBS:er du hunnit arbeta med, så att kunden ser att någon arbetat med prospektet men inte längre vem.
Audit-logg: bevaras tills vidare för NIS2-spårbarhet.
Spärrlista: bevaras permanent för att garantera att en invändning respekteras även vid framtida sökningar.

4. Dina rättigheter

Enligt GDPR kapitel 3 har du rätt att:

Få veta vilka uppgifter vi har om dig (Art. 15).
Rätta felaktiga uppgifter (Art. 16).
Få uppgifter raderade (Art. 17).
Begränsa behandlingen (Art. 18).
Få dina uppgifter överförda till en annan leverantör (Art. 20).
Invända mot behandling baserad på berättigat intresse (Art. 21).
Klaga till tillsynsmyndigheten Integritetsskyddsmyndigheten (IMY), imy.se.

Inloggade kunder hämtar utdrag och begär radering i appen, under Inställningar → Mina uppgifter. Övriga begäranden skickas till sam@heqtic.se. Vi svarar inom 30 dagar (Art. 12.3).

5. Underbiträden och dataöverföring

Vi använder ett fåtal underbiträden för hosting, databas och AI. Se listan över underbiträden för detaljer, inklusive vilka som behandlar data utanför EU och vilka lämpliga skyddsåtgärder (SCC) som finns på plats.

6. Säkerhet

Tekniska och organisatoriska skyddsåtgärder beskrivs på vår säkerhetssida.

7. Ändringar

Denna policy uppdateras vid behov. Vid väsentliga ändringar meddelar vi inloggade kunder via e-post minst 14 dagar i förväg.