Integritet och personuppgifter

Den här sidan beskriver hur Tilldelat behandlar personuppgifter: när ni läser de publika sidorna, när ni har ett konto, när ni betalar, när ni kopplar en AI, och när uppgifter om personer förekommer i själva registret. Sist står vad som gäller för företag vi kontaktar.

1. Personuppgiftsansvarig

Celxius AB, org.nr 559288-1220, Lidingö, som driver tilldelat.se. Frågor om personuppgifter: kontakt@tilldelat.se.

2. Att läsa tilldelat.se

De publika sidorna kräver inget konto. Vi mäter besök med Umami på en egen server, utan cookies och utan att spara IP-adress eller något annat som pekar ut en person. Skriver ni in er hemsida på sidan Hitta sparas domänen i en cookie (tl_hemsida) så att den finns kvar nästa gång; den innehåller inget om er som person och behöver inget samtycke. Kommer ni hit via en länk med utm-parametrar sparas de på samma sätt i webbläsaren, så att vi kan se vilken kanal ett konto kom ifrån.

3. Kontot

Vad vi behandlar. E-postadressen ni loggar in med, och det ni själva sparar: bevakningar med kategorier, län, länder, nyckelord och mottagaradresser, sparade upphandlingar och anteckningar, en företagsprofil med hemsida och organisationsnummer, samt kontots nivå, provperiod och inloggningshändelser.

Varför och med vilken grund. För att tillhandahålla tjänsten ni bett om (avtal, artikel 6.1 b i dataskyddsförordningen).

Kollegor som mottagare. Den som lägger till en kollega som mottagare ansvarar för att kollegan vet om det. Varje mejl har en avregistreringslänk.

Hur länge. Tills kontot raderas, vilket ni gör själva under Konto; uppgifterna tas då bort omedelbart. Underlag för fakturor sparas så länge bokföringslagen kräver, sju år. Inga lösenord finns (inloggning sker med engångslänk) och mejlen innehåller inga spårningspixlar.

4. Betalning

Kortbetalningar hanteras av Stripe; kortuppgifterna når aldrig oss. Vi sparar en kundreferens hos Stripe och vilken plan kontot har. Vid fakturering behandlar vi organisationsnummer och fakturaadress, som sparas enligt bokföringslagen.

5. API, MCP och AI-kopplingar

API-nycklar sparas bara som kryptografiska avtryck, aldrig i läsbar form. Till varje nyckel sparar vi det organisationsnummer och det syfte ni anger när den skapas, samt antalet anrop per dygn, för att kunna hålla dygnsgränsen. Vad anropen innehåller sparas inte i vår databas. Driftloggen hos vår leverantör registrerar adressen för varje anrop och sparas i sju dagar. Via MCP, och när ni skickar parametrarna i body som vi rekommenderar, finns de inte i adressen. Assistenter ni kopplat med OAuth listas under kontot och kan kopplas bort där.

När ni sparar en bevakning för länder med annat språk, eller låter oss läsa er hemsida för en profil, skickas era sökord respektive hemsidans text till en språkmodell hos Anthropic för att föreslå översättningar och kategorier. Vi skickar aldrig er e-postadress eller ert konto dit, och texten används inte för att träna modeller.

6. Uppgifter i registret

Annonser och tilldelningsbeslut innehåller ibland namn och kontaktuppgifter till handläggare hos köparen eller kontaktpersoner hos leverantören. Vi återger dem som de står i den offentliga källan, med stöd av berättigat intresse (artikel 6.1 f) att göra offentlig upphandling sökbar. Vill du att en uppgift om dig tas bort eller döljs, mejla adressen till sidan så tar vi ställning skyndsamt.

7. Företag vi kontaktar

Ibland mejlar vi företag som vi inte haft kontakt med tidigare, för att berätta att det finns offentliga upphandlingar inom deras bransch och län. Det här avsnittet gäller den behandlingen, inte kontot ovan.

Vad vi behandlar och varifrån. Företagsnamn, organisationsnummer, en e-postadress till företaget, län och verksamhetskategori. Uppgifterna kommer från öppna källor: branschorganisationers publika medlemsregister, våra egna katalogsajter (ovkguiden.se, energideklarationsguiden.se, lokalvardsguiden.se), SCB:s företagsregister och de offentliga upphandlingsannonser och tilldelningsbeslut som Tilldelat publicerar. Varje mejl anger i klartext vilken källa uppgiften kommer från.

Ändamål och rättslig grund. Syftet är att nå företag som kan konkurrera om offentliga kontrakt men som inte bevakar annonserna. Grunden är berättigat intresse enligt artikel 6.1 f. Vi har gjort en dokumenterad intresseavvägning och lämnar den på begäran.

Bara juridiska personer. Enskilda näringsidkare utesluts redan när uppgifterna importeras, eftersom en enskild firma rättsligt är en fysisk person. Kommer uppgiften från ett register över certifierade personer, som OVK-guiden, utesluter vi dessutom privata e-postadresser. Vi mejlar högst ett meddelande per företag var femte vecka.

Hur länge. Kontaktuppgiften sparas så länge företaget är aktuellt för tjänsten. Avregistrerar ni er sparar vi adressen i en spärrlista på obestämd tid, men bara för att kunna se att vi aldrig ska kontakta den igen. Det är den enda behandling som fortsätter efter en avregistrering.

8. Mottagare och biträden

Supabase (databas och inloggning, EU), Postmark (mejl), Stripe (betalning), Anthropic (språkmodell, se punkt 5), Netlify (webbplatsen) och Umami på egen server. Leverantörer utanför EU anlitas med EU-kommissionens standardavtalsklausuler eller under EU–US Data Privacy Framework. Vi säljer inga uppgifter vidare.

9. Dina rättigheter

Ni har rätt till registerutdrag, rättelse, radering, begränsning, dataportabilitet och att invända mot behandlingen. Ett mejl till kontakt@tilldelat.se räcker. En invändning mot direktmarknadsföring respekteras alltid. Är ni missnöjda med hur vi behandlar uppgifterna kan ni klaga till Integritetsskyddsmyndigheten (imy.se).

10. Ändringar

Den här policyn gäller från den 8 september 2026. Väsentliga ändringar meddelas kontoinnehavare via mejl.