Integritetspolicy — weakestlink
Senast uppdaterad: 29 september 2026
Denna policy beskriver hur weakestlink hanterar personuppgifter för de uppgifter vi själva är personuppgiftsansvariga för. Om din arbetsgivare använder weakestlink för säkerhetsutbildning är arbetsgivaren personuppgiftsansvarig för medarbetaruppgifterna, och weakestlink agerar som personuppgiftsbiträde — se Bilaga A.
1. Personuppgiftsansvarig
WEAKESTLINK ApS (danskt CVR-nr 46614011) är personuppgiftsansvarig för behandlingen av personuppgifter på weakestlink.io. Kontakt: info@weakestlink.io.
2. Vilka uppgifter vi behandlar, varför och med vilken rättslig grund
| Uppgifter | Ändamål | Rättslig grund (GDPR art. 6) | Raderas |
|---|---|---|---|
| Kontaktperson hos kunden (namn, e-post, befattning) | Skapa och administrera organisationens konto | Avtal (art. 6.1 b) | Vid avslutat kundförhållande |
| Faktureringsuppgifter | Fakturering och bokföring | Rättslig skyldighet (art. 6.1 c) | 5 år, enligt den danska bokföringslagen (bogføringsloven) |
| Serverloggar (IP, tidpunkt) | Drift och säkerhet | Berättigat intresse (art. 6.1 f) | 90 dagar |
| E-postadress, när du själv anmäler dig för att få besked om en kommande modul (AI-Klar, deepfake) | Meddela dig när modulen är klar | Samtycke (art. 6.1 a) — du kan återkalla det genom att skriva till oss | Senast 12 månader efter anmälan |
| Googles klick-id när du kommer från en Google-annons, tidpunkten för klicket och om kontot skapades eller började betala | Annonsmätning: att se om en annons hos Google ledde till att ett konto skapades | Berättigat intresse (art. 6(1)(f)) — du kan invända, se avsnitt 7 | 90 dagar efter klicket. Om en konvertering har rapporterats till Google raderas den 90 dagar efter rapporteringen |
| Besöksstatistik: sidvisningar och klick på knappar, med webbläsartyp, enhet och land. Utan cookies, och IP-adressen sparas inte | Se vilka sidor som används så att vi kan förbättra dem. Statistiken körs på vår egen server (Umami) och delas inte med någon tredje part | Berättigat intresse (art. 6(1)(f)) | Sparas som samlad statistik utan namn, e-postadress eller IP-adress |
Vi behandlar inte personnummer eller några känsliga uppgifter (GDPR art. 9).
3. AI-behandling
Vi använder AI (Claude från Anthropic) för att skapa utbildningsinnehåll och simuleringsmallar — lektioner, quiz och lockmejl — internt, innan det publiceras. Inga kunddata och inga personuppgifter om era medarbetare skickas till AI-tjänster, och ingen AI körs på era data i drift.
4. Personuppgiftsbiträden och underbiträden
Vi använder följande personuppgiftsbiträden. För leverantörer utanför EU/EES sker överföringen med stöd av EU-kommissionens beslut om adekvat skyddsnivå (EU-U.S. Data Privacy Framework) och/eller standardavtalsklausuler (SCC):
| Leverantör | Tjänst | Land | Grund för överföring |
|---|---|---|---|
| Anthropic PBC | AI-framtagning av träningsinnehåll (offline) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | Utgående transaktions- och notifieringsmejl (t.ex. e-postbekräftelse) | Frankrig | — |
| Cloudflare, Inc. | Nätverk, TLS och DDoS-skydd | USA | DPF/SCC |
Hosting sker på egen infrastruktur i Danmark.
Om ni betalar med kort behandlas kortuppgifter och betalningsdata av vår betalningslösning QuickPay (QuickPay ApS, Danmark) och kortinlösaren Clearhaus (Clearhaus A/S, Danmark) som självständigt personuppgiftsansvariga enligt betaltjänstlagstiftningen — inte som våra personuppgiftsbiträden. Vi tar aldrig emot ert fullständiga kortnummer. QuickPays och Clearhaus egna integritetspolicyer gäller för den behandlingen.
5. Utlämnande av uppgifter
Vi lämnar endast ut uppgifter när det är nödvändigt för att leverera tjänsten, när lagen kräver det eller med ditt samtycke. Ett undantag: om du kom till oss via en Google-annons skickar vi annonsens klick-id, tidpunkten och om kontot skapades eller betalades till Google Ireland Ltd. (Google Ads), så att vi kan se vilka annonser som fungerar. Vi skickar varken namn, e-postadress eller IP-adress. Google kan överföra uppgifterna till Google LLC i USA. Enligt Google sker det med stöd av EU-U.S. Data Privacy Framework, som Google LLC är certifierat enligt, och annars med stöd av standardavtalsklausuler (SCC). Vi säljer aldrig uppgifter.
6. Lagring och radering
Konkreta tidsgränser framgår av tabellen i avsnitt 2. Räkenskapsmaterial sparas i 5 år från räkenskapsårets utgång, enligt bokföringslagen. Därefter raderas eller anonymiseras uppgifterna.
7. Dina rättigheter
Du har rätt till tillgång, rättelse, radering, begränsning av behandling, dataportabilitet och att göra invändningar (GDPR art. 15–21). Om du har gett ditt samtycke kan du när som helst återkalla det med verkan framåt. Skriv till info@weakestlink.io – vi svarar senast en månad efter att vi fått din begäran. Om du inte vill att vi använder annonsens klick-id (avsnitt 2 och 5) kan du invända (art. 21) genom att skriva till samma adress – då raderar vi klick-id:t och rapporterar ingenting om ditt konto till Google. Om du är anställd hos en kund kan du också vända dig till din arbetsgivare, som är personuppgiftsansvarig (se Bilaga A).
8. Klagomål
Du kan klaga på vår behandling till danska Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk. Du kan även vända dig till IMY (Integritetsskyddsmyndigheten), www.imy.se.
9. Cookies
Vi använder två cookies: en sessionscookie för inloggning och säkerhet och – om du själv väljer språk i språkväljaren – en cookie som kommer ihåg ditt val. Om du kommer från en Google-annons sparar vi annonsens klick-id i sessionen på vår server, så att vi kan meddela Google om klicket ledde till ett konto (se avsnitt 5). Själva cookien innehåller bara ett slumpmässigt sessions-id. Vi använder inga andra spårningscookies och inga tredjepartscookies, och besöksstatistiken (Umami) använder inga cookies.
10. Ändringar
Väsentliga ändringar av denna policy meddelas på weakestlink.io och/eller via e-post.
Bilaga A — rollfördelning vid medarbetarutbildning
När ett företag (din arbetsgivare) använder weakestlink för säkerhetsträning och phishing-simulering är företaget personuppgiftsansvarigt för medarbetaruppgifterna, och weakestlink är personuppgiftsbiträde. Behandlingen sker enligt instruktion i ett biträdesavtal som tecknas vid registreringen. Denna policy gäller därför bara de uppgifter vi själva är personuppgiftsansvariga för (kundens kontakt- och faktureringsuppgifter samt drift).
Phishing-simuleringar körs endast på en dokumenterad rättslig grund (samtycke från organisationen och en godkänd intresseavvägning). Rapporterna är sammanställda och visar bara siffror för grupper på minst fem personer. Den enskilda medarbetarens resultat (riskpoäng, kursförlopp och simuleringshändelser) kan bara ses av organisationens administratör — och av chefer, om organisationen själv slår på det. Syftet är riktad extra träning, aldrig utpekande eller sanktioner. Resultaten sparas under kundförhållandet och raderas när det upphör, enligt personuppgiftsbiträdesavtalet. Vi sparar aldrig vad en medarbetare skriver i en simulering, bara att en händelse inträffade.