Dataskydd och säkerhet

Ert ansvar och vårt uppdrag

Det är normalt fastighetsbolaget eller hyresvärden som bestämmer varför uppgifter om hyresgäster, sökande och kontaktpersoner behandlas. Den organisationen är personuppgiftsansvarig. Om en förvaltare arbetar på ett bolags uppdrag behöver rollerna klargöras i den avtalskedjan.

När Caseus driver systemet och behandlar kundens uppgifter enligt instruktioner är vår roll normalt personuppgiftsbiträde. Behandlingen ska regleras i ett personuppgiftsbiträdesavtal, med bland annat ändamål, uppgiftstyper, säkerhetsåtgärder, underbiträden, incidenthantering och hantering vid avtalets slut.

För egna affärskontakter och caseus.se ansvarar Caseus AB själv. Det beskrivs i vår integritetspolicy. Den här sidan är en produktöversikt och ersätter inte ett biträdesavtal eller er information till hyresgästerna.

Vilka personuppgifter kan finnas i Caseus?

Vilka uppgifter som behandlas beror på era funktioner, importer och anslutningar. Systemet har stöd för bland annat:

• Identitets- och kontaktuppgifter, personnummer, adresser och kopplingar mellan hyresgäst, bolag, objekt och avtal.
• Hyresavtal, boende, borgensåtaganden, uppsägningar och signerade handlingar.
• Avier, betalningar, reskontra, autogiromedgivanden och uppgifter i leverantörsfakturor.
• Felanmälningar, meddelanden, bilder, tillträdesuppgifter, besiktningar och arbetsorder.
• Konton, behörigheter, inloggnings- och händelseuppgifter.
• Ansökningar, e-post, kalender, dokument och samtals- eller mötesunderlag när motsvarande funktioner används.

Uppgifter kan komma från er personal, hyresgästen, ett tidigare system eller en ansluten tjänst. Import och spegling är också personuppgiftsbehandling, även om Caseus inte skriver tillbaka till det tidigare systemet.

Begränsa fritext och bilagor till vad arbetet kräver. Hälsouppgifter och andra särskilt skyddsvärda uppgifter behöver en separat bedömning; en vanlig felanmälan är inte en generell plats för sådan information.

Behörigheter och skydd i systemet

Åtkomst efter roll och bolag

Caseus har behörigheter för funktioner och regler för vilka bolags uppgifter en användare får läsa och ändra. Ni behöver ge medarbetare rätt åtkomst för deras arbete och se över den när roller ändras.

Skydd för identifierare

Hyresgästers personnummer lagras krypterat i det centrala hyresgästregistret. Portalens sessions- och återställningstoken lagras som hashvärden. Dessa skydd betyder inte att alla uppgifter i dokument, fritext eller andra system är krypterade på samma sätt.

Skyddad identitet

Systemet har maskering av namn och kontaktuppgifter i flera listor, exporter och AI-verktyg när en hyresgäst är markerad med skyddad identitet. Behörig personal kan fortfarande behöva läsa originaluppgifterna på personens post. Fritext och bilagor måste hanteras med särskild försiktighet. Maskering ersätter inte era rutiner för skyddade personuppgifter.

Spårbarhet för integritetsärenden

Integritetsärenden har en händelsehistorik för begäran, analys och åtgärd. Radering dokumenteras som åtgärder och antal, utan att de raderade värdena skrivs tillbaka i den historiken.

AI och anslutna tjänster

Vilka uppgifter som lämnar Caseus beror på vilken funktion och leverantör ni använder. En anslutning till bokföring, signering, utskick, bank, e-post eller AI behöver bedömas för sitt ändamål. Alla anslutningar är inte aktiva hos alla kunder.

AI i Caseus

Systemet har stöd för modeller hos OpenAI, Anthropic och via OpenRouter, samt för modeller som körs i Caseus egen beräkningsmiljö. Vid extern bearbetning kan relevant frågetext, dokumentinnehåll, bilder, ljud eller verktygsresultat lämnas till den valda leverantören. En lokal modell innebär inte att andra aktiva funktioner saknar externa anslutningar.

OpenRouter förmedlar förfrågningar vidare till den modellleverantör som väljs för bearbetningen. Både OpenRouter och den mottagande leverantören behöver därför ingå i bedömningen av mottagare, behandlingsländer, lagring och eventuell användning för modellträning. Villkoren kan skilja sig mellan leverantörer. OpenRouter beskriver dessa dataflöden i sin integritetspolicy.

Systemets telefoni- och mötesfunktioner har stöd för att skicka ljud till OpenAI för transkribering. Telefonifunktionen kan också skicka text till OpenAI för att skapa talade meddelanden. När dessa funktioner används kan underlaget innehålla personuppgifter från samtalet, mötet eller meddelandet. Ni behöver informera berörda personer om behandlingen och ha rättslig grund för den.

Caseus verktygsanslutning för AI använder den anslutna användarens behörigheter för åtkomst till systemets uppgifter. Det finns dessutom begränsningar för krypterade identifierare och autentiseringsuppgifter. Personuppgifter i frågor, dokument och fritext kan fortfarande ingå i underlaget till modellen.

ChatGPT och Claude som anslutna klienter

När ni ansluter en egen AI-klient kan klientens leverantör få de uppgifter som hämtas och visas i samtalet. Granska därför även det kontots avtal, behörigheter, lagring och inställningar. Webbplatsens val för annonsmätning reglerar inte användningen av AI i fastighetssystemet.

Den valda AI-tjänstens avtal och inställningar styr lagring, behandlingsländer och användning för modellträning. Externa AI-tjänster kan innebära behandling utanför EU/EES.

Granska AI-underlag innan det ligger till grund för åtgärder om en person. Att godkänna en teknisk anslutning är inte ett samtycke från hyresgästerna. Ni behöver bedöma rättslig grund, informationskrav och om användningen kräver en konsekvensbedömning.

Registerutdrag, rättelse och radering

En inloggad hyresgäst kan skicka en begäran om registerutdrag, rättelse eller radering via hyresgästportalen. Begäran skickas till varje bolag som hyresgästen är kopplad till i systemet. Behörig personal för respektive bolag granskar ärendet, sammanställer uppgifter från de anslutna datadelarna och hanterar utlämnandet.

Den som inte har tillgång till hyresgästportalen kan kontakta det ansvariga fastighetsbolaget direkt för att utöva sina rättigheter. Det gäller även tidigare hyresgäster, sökande och andra personer vars uppgifter bolaget behandlar.

Systemets sammanställning omfattar inte automatiskt alla funktioner och datakällor. Handläggaren behöver även söka efter relevanta uppgifter i kund- och sökandekontakter, e-post, kalendrar, samtals- och mötesunderlag samt dokument som inte ingår i sammanställningen. Det gäller både registerutdrag och prövning av radering.

Inför en radering visar systemet en plan med uppgifter som kan raderas, anonymiseras eller behöver behållas. En handläggare granskar och verkställer planen. Pågående hyresförhållanden, borgensåtaganden och kopplingar till andra bolag kan påverka vad som går att anonymisera.

Räkenskapsinformation, signerade handlingar och viss historik kan behöva behållas. Fritext, bilagor, utskickade kopior och uppgifter hos anslutna leverantörer kan kräva manuell genomgång. En radering av en kontaktpost är därför inte ett löfte om att varje kopia av varje uppgift försvinner.

Ni ansvarar för prövningen av begäran och svaret till den registrerade. För frågor om egna hyresuppgifter ska hyresgästen i första hand kontakta sin hyresvärd.

Drift, lagring och säkerhetskopior

Caseus använder Hetzner för serverdrift. Anslutna tjänster för AI, kommunikation och andra funktioner har egna dataflöden och behandlingsländer. Ert biträdesavtal reglerar behandlingen på ert uppdrag och användningen av underbiträden.

Systemet har stöd för säkerhetskopiering och återställning med konfigurerbara intervall och lagringstider. Säkerhetskopior kan innehålla äldre uppgifter tills de löper ut. Vid återställning behöver redan utförda raderingar tillämpas på nytt.

Ni bestämmer hur länge kundens uppgifter behövs för respektive ändamål. Avtal, bokföring, felanmälningar och meddelanden hanteras därför med olika lagringstider. Gallring sker genom systemets raderings- och anonymiseringsfunktioner tillsammans med manuell genomgång av bilagor och andra kopior. Automatisk tidsstyrd gallring omfattar inte alla datakategorier. Räkenskapsinformation ska normalt bevaras till och med det sjunde året efter kalenderåret då räkenskapsåret avslutades.

Inför ett avslut behöver ni och Caseus avtala om export, återlämnande, radering, eventuella lagkrav och när kvarvarande säkerhetskopior löper ut.

Misstänker ni en incident?

Kontakta hej@caseus.se eller 076-686 25 56. Beskriv vad som hänt, när och vilket bolag eller vilken funktion det gäller. Skicka inte lösenord eller en fullständig lista över berörda personuppgifter i ett vanligt mejl.

Som personuppgiftsbiträde ska Caseus underrätta den ansvariga kunden utan onödigt dröjsmål när vi får kännedom om en personuppgiftsincident. Kunden ska anmäla incidenten till IMY inom 72 timmar från kännedom, om det inte är osannolikt att incidenten medför en risk för människors rättigheter och friheter. Vid sannolik hög risk ska även de berörda personerna informeras utan onödigt dröjsmål, med de undantag som anges i GDPR.

Det här går vi igenom inför starten

• Vilka bolag, personer, uppgifter och funktioner som omfattas, inklusive en eventuell import eller spegling.
• Personuppgiftsbiträdesavtal, dokumenterade instruktioner och förteckning över aktuella underbiträden.
• Drift- och behandlingsländer, eventuella tredjelandsöverföringar och tillämpliga skyddsåtgärder.
• Behörigheter, kontaktpersoner, gallring, säkerhetskopior och hantering när avtalet upphör.
• Information till hyresgäster och anställda samt rutiner för integritetsärenden och incidenter.

Kontakta oss om ert dataskyddsunderlag. För allmän vägledning finns IMY:s information till verksamheter.