Integritetspolicy

Här beskriver vi vilka personuppgifter Signatum behandlar, varför, hur länge och vilka rättigheter du har.

1. Vem som ansvarar

M Martinsson AB, org.nr 556963-7548, Kivra: 556963-7548, 106 31 Stockholm, driver Signatum. Frågor om personuppgifter skickas till kontakt@signatum.se.

Vem som är personuppgiftsansvarig beror på uppgiften:

• M Martinsson AB är personuppgiftsansvarig för beställningar, kundavtal och fakturering, avsändarkonton, driftloggar och säkerhet. Dessa beskrivs i avsnitt 2.
• Den organisation som skickar ett dokument är personuppgiftsansvarig för uppgifterna om undertecknarna, för händelsekedjan med IP-adress och webbläsare vid underskrift, och för innehållet i dokumenten. Signatum behandlar dem som personuppgiftsbiträde enligt personuppgiftsbiträdesavtalet. Har du fått ett dokument att skriva under är det i första hand avsändaren du vänder dig till.

2. Vad vi behandlar, varför och med vilken rättslig grund

Beställningar

När en organisation beställer Signatum sparar vi det som fylls i formuläret: paket, organisationens namn och organisationsnummer, kontaktpersonens namn och e-postadress, telefonnummer (valfritt), önskad adress, fakturaadress, e-post för faktura (valfritt), meddelande (valfritt) och vilken version av villkoren som godkändes. Vi sparar ingen IP-adress med beställningen.

• Ändamål: att pröva beställningen, sätta upp tjänsten och ingå avtalet.
• Rättslig grund: avtal, artikel 6.1 b i dataskyddsförordningen (åtgärder före och för att fullgöra avtalet). Kontaktpersonen företräder en organisation; behandlingen av kontaktpersonens uppgifter grundas därför på vårt berättigade intresse av att kunna ingå och fullgöra avtalet med organisationen, artikel 6.1 f.
• Lagringstid: beställningar som inte leder till ett avtal raderas 12 månader efter att de kom in. Godkända beställningar sparas så länge avtalet gäller och raderas inom 90 dagar efter att det upphört.

Kundavtal och fakturering

Organisationens namn, organisationsnummer, kontaktpersonens e-post, fakturaadress och fakturerat paket.

• Ändamål: att fakturera och sköta avtalet.
• Rättslig grund: avtal (artikel 6.1 b) och, för kontaktpersonen, berättigat intresse (artikel 6.1 f). Fakturor och verifikationer sparas för att uppfylla bokföringslagen, rättslig förpliktelse (artikel 6.1 c).
• Lagringstid: avtalsuppgifterna raderas inom 90 dagar efter avtalets slut. Fakturor sparas i vårt bokföringssystem i sju år efter utgången av det kalenderår då räkenskapsåret avslutades.

Avsändarkonton

Namn och e-postadress för de personer hos kunden som skickar dokument, deras roll, deras passkeys (den publika nyckeln och nyckelns id, aldrig något biometriskt) och en sessionscookie när de är inloggade.

• Ändamål: att avsändarna ska kunna logga in och skicka ärenden.
• Rättslig grund: berättigat intresse (artikel 6.1 f) av att fullgöra avtalet med kunden och hålla kontona säkra.
• Lagringstid: tills kunden tar bort avsändaren eller avtalet upphört och kunden raderats, inom 90 dagar.

Händelsekedjan: IP-adress och webbläsare vid underskrift

När någon öppnar en länk, registrerar en passkey eller skriver under förs en händelse in i kundens händelsekedja med tidpunkt, IP-adress och webbläsarens identifiering (user agent). Kedjan är skyddad mot ändring och tidsstämplas varje natt, så att kunden i efterhand kan visa vem som skrev under vad och när.

Kedjan förs på kundens uppdrag. Den organisation som skickade dokumentet är personuppgiftsansvarig och står för den rättsliga grunden; M Martinsson AB behandlar uppgifterna som personuppgiftsbiträde enligt personuppgiftsbiträdesavtalet och använder dem inte för egna ändamål. IP-adress och webbläsare visas inte på den synliga revisionssidan i dokumentet, bara i den maskinläsbara bevisbilagan.

Personuppgifterna i ett ärendes händelser gallras tio år efter ärendets sista händelse, eller inom 90 dagar efter att kundens avtal upphört. Kontrollsummorna i kedjan finns kvar så att andra underskrifter fortfarande går att kontrollera.

Driftloggar och säkerhet

Servern loggar fel och driftshändelser. Webbserverns fellogg tar med IP-adress och tidpunkt, men adressen i förfrågan maskeras, eftersom länkar till dokument bär en nyckel, och inloggningsuppgifter och cookies tas bort. Det finns ingen åtkomstlogg. Misslyckade inloggningsförsök mot servern loggas med IP-adress för att kunna spärra angrepp.

• Ändamål: drift, felsökning och skydd mot angrepp.
• Rättslig grund: berättigat intresse (artikel 6.1 f) av en säker och fungerande tjänst.
• Lagringstid: högst 90 dagar.

Cookies

Signatum använder en enda cookie, __Host-sgn_a, som håller en avsändare inloggad. Den är nödvändig för tjänsten och kräver därför inget samtycke. Vi använder inga cookies för statistik eller marknadsföring och inga tjänster från tredje part på sidorna.

E-post till oss

Skriver du till kontakt@signatum.se sparar vi meddelandet så länge det behövs för att besvara det och följa upp ärendet. Rättslig grund: berättigat intresse (artikel 6.1 f).

3. Säkerhetskopior

Databasen säkerhetskopieras varje natt, krypterat, till en lagringstjänst i Finland. Säkerhetskopiorna gallras inom 12 månader. Dokumenten finns aldrig i säkerhetskopiorna.

4. Vilka som får del av uppgifterna

E-post från Signatum skickas från M Martinsson AB:s egen e-postserver i Sverige. Vi säljer inte personuppgifter och lämnar inte ut dem till andra än de leverantörer som behövs för att driva tjänsten, och till myndigheter när lag kräver det. Leverantörerna är personuppgiftsbiträden eller underbiträden till oss:

Överföring utanför EU/EES. Till DigiCert och SSL.com skickas bara kontrollsummor, som inte är personuppgifter; dit förs inga personuppgifter över. Tailscale behandlar uppgifter om våra egna servrar och administratörer för att upprätta driftförbindelsen, inte uppgifter om kunder eller undertecknare. Överföringen till Tailscale i USA sker med stöd av EU-kommissionens standardavtalsklausuler i Tailscales personuppgiftsbiträdesavtal.

5. Dina rättigheter

Du har rätt att

• få veta vilka uppgifter vi har om dig och få en kopia (registerutdrag),
• få felaktiga uppgifter rättade,
• få uppgifter raderade när de inte längre behövs eller när behandlingen saknar stöd,
• begära att behandlingen begränsas,
• invända mot behandling som grundas på berättigat intresse,
• få ut uppgifter som du själv lämnat i ett maskinläsbart format, när behandlingen grundas på avtal.

Rättigheterna gäller med de begränsningar som följer av lag, till exempel bokföringslagen. Gäller din fråga en underskrift i ett dokument som någon annan skickade, vidarebefordrar vi den till den organisationen, som är ansvarig för de uppgifterna.

Skriv till kontakt@signatum.se. Vi svarar inom en månad.

Du kan också klaga hos Integritetsskyddsmyndigheten (IMY), www.imy.se.

6. Måste du lämna uppgifterna?

Uppgifterna i beställningsformuläret som inte är märkta valfria behövs för att ingå avtalet. Utan dem kan vi inte leverera tjänsten. Den som skriver under ett dokument måste ha en e-postadress och en länk från avsändaren; IP-adress och webbläsare registreras när underskriften görs.

7. Ändringar

Vi uppdaterar policyn när behandlingen ändras. Den senaste versionen finns alltid på signatum.se/integritet.html.

Version 2026-11. Gäller från 2026-11-01.