Integritetspolicy

Voqal AB (nedan "Voqal", "vi" eller "oss") är personuppgiftsansvarig för behandlingen av personuppgifter som beskrivs i denna policy.

Kontakt: privacy@voqal.se

Vi behandlar följande kategorier av personuppgifter beroende på hur du använder våra tjänster:

• Röstljud, när du använder vår röstdemo eller ringer vår AI-kundtjänst samlas ditt röstljud in och behandlas i realtid.
• IP-adress, registreras vid alla förfrågningar till våra tjänster för säkerhet och missbruksskydd.
• E-postadress, om du fyller i ett kontaktformulär eller skapar ett konto hos oss.
• Telefonnummer, om du begär en återuppringning eller kontaktar oss via telefon.
• Samtals- och chattinnehåll, när du pratar eller chattar med en AI-agent från Voqal kan samtalet sparas som text, så att ärenden kan följas upp och tjänsten förbättras. Själva röstljudet sparas inte.
• Namn, om du uppger ditt namn via chatwidget, kontaktformulär eller under en AI-screening.
• Screeningsvar, om du deltar i en AI-genomförd kandidatscreening samlas dina svar på ja/nej-frågor in samt ett automatiserat kvalificeringsbeslut. Röstljudet behandlas i realtid och sparas inte av Voqal.
• Uppgifter när du startar en provperiod, om du anmäler ditt företag på voqal.se/kom-igang sparar vi företagsnamn, organisationsnummer, hemsida, ditt namn, din e-postadress och ditt mobilnummer, vald plan och språk, samt den IP-adress anmälan kom från. Kortuppgifterna lämnar du direkt till vår betalleverantör Stripe. Vi ser aldrig kortnumret, bara korttyp, de fyra sista siffrorna, utgivningsland och ett kortfingeravtryck, en kod som Stripe räknar fram ur kortet och som inte går att räkna tillbaka till kortnumret. Se avsnitt 6a.

• Samtycke (art. 6.1 a GDPR), röstinspelning i röstdemon kräver ditt aktiva samtycke, som du ger genom att kryssa i samtyckesrutan innan demo startar. Du kan när som helst återkalla samtycket.
• Berättigat intresse (art. 6.1 f GDPR) - behandling av IP-adresser för att förhindra missbruk och skydda tjänstens integritet. Kontaktuppgifter inlämnade via kontaktformulär behandlas för att kunna besvara din förfrågan.
• Avtal (art. 6.1 b GDPR), för kunder som tecknat avtal med Voqal behandlas uppgifter som är nödvändiga för att fullgöra avtalet.
• Samtycke (art. 6.1 a GDPR), kandidatscreening - kandidatscreening kräver ditt muntliga godkännande i början av samtalet. Dina svar och ett automatiserat kvalificeringsbeslut sparas sedan och delas med den rekryterande arbetsgivaren. Du kan avbryta utan att data sparas om du inte ger ditt godkännande. Det automatiserade beslutet baseras uteslutande på dina svar mot fördefinierade krav och kan begäras granskat av en människa hos arbetsgivaren (art. 22 GDPR).

Vi anlitar följande tredjepartsleverantörer för att tillhandahålla våra tjänster. Dessa behandlar personuppgifter för vår räkning i egenskap av personuppgiftsbiträden:

Röstbearbetning (webbdemo och telefonsamtal): Röstljud behandlas av Google Vertex AI inom EU/EES. Google Cloud DPA gäller och ingen överföring till tredjeland sker.

Telefoni: 46elks är en svensk operatör och behandlar samtalsdata inom Sverige. Ingen överföring till tredjeland sker för telefonin.

Supabase och Google Cloud (hosting) lagrar och behandlar data inom EU/EES och kräver inte kompletterande skyddsåtgärder.

Betalning och e-post: Stripe och Google kan behandla uppgifter i USA. Båda är certifierade enligt EU-U.S. Data Privacy Framework, som Europeiska kommissionen har beslutat ger adekvat skyddsnivå, och har dessutom standardavtalsklausuler.

• Kontaktförfrågningar och callback-begäranden - sparas i databasen i 24 månader, därefter raderas de automatiskt.
• Samtalsloggar, samtalsrelaterade sessionsdata lagras i 90 dagar.
• Röstljud (webbdemo och telefonsamtal), behandlas i realtid av Google Vertex AI inom EU och sparas inte av Voqal. Google Cloud DPA reglerar Googles hantering.
• Samtals- och chattinnehåll som text, sparas en begränsad tid, normalt några veckor, för uppföljning av ärenden, kvalitetskontroll och förbättring av tjänsten, och raderas sedan automatiskt. För företag som använder Voqals AI-kundtjänst kan lagringstid och lagringsplats bestämmas i avtalet med företaget.
• IP-adresser, sparas i upp till 24 månader som del av kontaktförfrågningar och callback-begäranden, och i 90 dagar som del av samtalsloggar. IP-adressen används för säkerhet och missbruksskydd.
• Screeningdata (kandidatscreening), kandidatnamn, svar och kvalificeringsstatus sparas tills rekryteringen avslutats, dock som längst 12 månader. Den rekryterande arbetsgivaren ansvarar för radering av data som delas med dem.
• Provperioder och kunduppgifter via självbetjäning, se avsnitt 6a nedan.

När du anmäler ditt företag till en provperiod använder vi uppgifterna för att sätta upp tjänsten, kontakta dig om uppsättningen, påminna dig innan provperioden slutar och sköta betalningen.

Rättslig grund: berättigat intresse (art. 6.1 f GDPR), eftersom avtalet tecknas med ditt företag och du är dess kontaktperson. Vårt intresse är att kunna leverera och ta betalt för tjänsten som företaget beställt. Driver du en enskild firma är grunden i stället avtal (art. 6.1 b GDPR). Betalningar och fakturor sparas för att uppfylla bokföringslagen (art. 6.1 c GDPR).

Påminnelser: två dagar innan provperioden slutar får du ett mejl, och dagen innan ett sms, med datum och belopp och hur du avslutar.

Skydd mot missbruk: varje företag kan få en provperiod. För att upprätthålla det jämför vi organisationsnumret och kortfingeravtrycket med tidigare provperioder. Används samma kort för flera organisationsnummer får vi en signal, och en människa på Voqal bedömer saken. Inget beslut fattas automatiskt. Vi tar också emot högst tre anmälningar per IP-adress och dygn. Grunden är berättigat intresse (art. 6.1 f GDPR): att gratisperioden inte ska kunna utnyttjas upprepade gånger.

Lagringstid:

• Påbörjad anmälan där kortet aldrig sparades raderas inom 90 dagar, både hos oss och hos Stripe.
• IP-adressen raderas inom 30 dagar.
• Kontaktuppgifterna sparas så länge företaget är kund och raderas 12 månader efter att kundförhållandet upphört.
• Organisationsnummer och kortfingeravtryck sparas i 24 månader efter avslut, enbart för att förhindra upprepade provperioder.
• Fakturor och betalningar sparas i sju år enligt bokföringslagen.

Kampanj: kom du till sidan via en länk från en annons eller ett utskick sparar vi kampanjuppgifterna i länken (utm-parametrar, till exempel källa och sökord) tillsammans med anmälan, för att veta vilka kanaler som fungerar. Vi använder inga kakor eller spårningsverktyg för det. Uppgifterna raderas tillsammans med anmälan.

Språk: sidan väljer språk utifrån webbläsarens tidszon. Det sker helt i din webbläsare och skickas inte till oss. Väljer du språk själv sparar webbläsaren valet lokalt så att du slipper välja igen.

Har du fått ett mail från oss utan att ha kontaktat oss först, är det det här avsnittet som gäller dig. Vi har då fått dina uppgifter från någon annan än dig själv, och du har rätt att veta vilka de är och varifrån de kommer (artikel 14 GDPR).

Vilka uppgifter vi har om dig: ditt namn, din e-postadress i tjänsten, arbetsgivarens namn, bransch, företagets webbadress och en kort notering om företagets verksamhet som ligger till grund för varför vi hörde av oss. Vi samlar inte in uppgifter om dig som privatperson.

Varifrån vi fått dem: från offentligt tillgängliga källor, i första hand företagets egen webbplats och offentliga företagsregister. Vi köper inte in adresslistor.

Varför: för att kontakta ditt företag om en tjänst vi bedömer kan vara relevant för er verksamhet.

Rättslig grund: berättigat intresse (artikel 6.1 f GDPR). Vi har vägt vårt intresse av att nå ut mot din rätt till integritet. Bedömningen bygger på att du kontaktas i din yrkesroll om något som rör ditt arbete, att vi behandlar ett minimum av uppgifter, att vi hör av oss sällan, och att du enkelt kan säga ifrån.

Så säger du ifrån: svara STOPP på mailet, eller mejla privacy@voqal.se. Då slutar vi kontakta dig, direkt och utan att du behöver motivera varför.

Lagringstid: uppgifter om en namngiven person som vi hämtat men inte kontaktat raderas inom 25 dagar, automatiskt varje natt. Har vi mailat dig avidentifieras uppgifterna 24 månader efter senaste utskicket: ditt namn, din adress, mailets ämnesrad och brödtext tas bort, medan noteringen om att ett mail gick till företaget och när den gjorde det finns kvar. Kvar blir alltså affärshistorik som inte pekar ut dig. Uppgifter om företaget självt, alltså namn, bransch och webbadress, är inte personuppgifter och omfattas inte av den gränsen.

En sak vi sparar även efter radering: säger du ifrån, eller ber du oss radera dina uppgifter, lägger vi din e-postadress på en spärrlista tillsammans med datumet. Vi sparar ingenting annat om dig. Det är nödvändigt just för att vi inte ska kunna kontakta dig igen av misstag, och det är också skälet till att adressen inte kan raderas därifrån.

Vi använder AI för att formulera mailen. Innehållet bygger på de uppgifter som räknas upp ovan, och behandlingen sker hos Google Vertex AI inom EU. Inga beslut om dig fattas automatiskt.

Voqal bygger en katalog över svenska företag. Den används för att hitta vilka bolag som finns, vad de gör och hur man når dem, och den ligger till grund för de utskick som beskrivs i avsnitt 7. Det här avsnittet finns för att du ska kunna läsa om den utan att vi först behöver kontakta dig, vilket är vad artikel 14.5 b GDPR förutsätter.

Varifrån uppgifterna kommer: Bolagsverkets och SCB:s öppna företagsregister, Internetstiftelsens öppna förteckning över .se-domäner, Arbetsförmedlingens Platsbanken, samt företagens egna webbplatser. Vi köper inte in adresslistor och vi konstruerar aldrig e-postadresser ur mönster, till exempel genom att gissa att förnamn.efternamn fungerar.

Vad katalogen innehåller om ett företag: organisationsnummer, firmanamn, bolagsform, bransch, ort, registreringsdatum, verksamhetsbeskrivning, webbadress och publicerade funktionsadresser som info@ eller kontakt@. Det är uppgifter om ett bolag, inte om en människa.

Namngivna adresser: står en adress på formen fornamn.efternamn@bolaget.se publicerad på företagets egen webbplats kan den samlas in tillsammans med namnet och den yrkesroll som anges bredvid. Det är en personuppgift. Sådana uppgifter raderas automatiskt inom 25 dagar om de inte kommit till användning, och raderingen körs varje natt. Enskilda firmor utesluts helt, eftersom de är privatpersoner. Fackliga, religiösa och politiska organisationer utesluts också, eftersom en kontaktperson där kan röja en särskild kategori av personuppgift enligt artikel 9.

Rättslig grund: berättigat intresse (artikel 6.1 f GDPR). Vi har gjort en dokumenterad intresseavvägning och kan redogöra för den på begäran.

Vår webbcrawler

Ser du den här raden i din serverlogg är det vi:

Mozilla/5.0 (compatible; VoqalProspect/0.1; +https://voqal.se)

Den hämtar förstasidan och ett fåtal kontaktsidor, läser dem, och sparar ingenting hos dig. Den loggar aldrig in, provar inga lösenord och kringgår inga spärrar.

Den respekterar följande, och det är inte frivilligt för oss:

• robots.txt, både regler för alla robotar och regler som nämner VoqalProspect vid namn.
• Svarar din server 401 eller 403 slutar vi besöka sajten, och vi kommer inte tillbaka för att fråga igen.
• Ber du oss sluta läggs domänen på en permanent stopplista. Den listan tas aldrig bort och rensas aldrig automatiskt.

Så ber du oss sluta: mejla privacy@voqal.se med domänen eller adressen det gäller. Du behöver inte motivera varför, och vi kommer inte att fråga efter ett skäl. Vi bekräftar när det är gjort.

Vill du bort ur katalogen helt raderar vi uppgifterna och lägger adressen på en spärrlista så att en senare insamling inte hämtar in dig igen. Den spärren lagras som en kryptografisk kontrollsumma och aldrig som en läsbar adress, så att listan inte i sig blir ett register över dem som sagt nej.

Detta sker bara när uppföljning av demolänkar är påslagen för den avsändare som skickat mailet. Funktionen är avstängd som standard och kräver ett eget beslut för att slås på. Är den avstängd innehåller länken i mailet ingen identifierare alls, inga händelser knyts till dig, och ingenting i det här avsnittet gäller dig.

Är den påslagen lägger vi till en pid-parameter i länken till vår röstdemo (/demo/?clientId=...&pid=...). Parametern är ett internt id för din post i vår lista. Den innehåller inte din e-postadress, och den som ser adressen i sin webbläsare eller i en loggfil kan inte utläsa vem du är. Länkar som skickades före den 7 september 2026 innehöll i stället mottagarens e-postadress.

Det enda vi knyter till dig är att du öppnade länken, och när. Tillsammans med den händelsen lagras en hashad IP-adress (salted SHA-256), user-agent-sträng och eventuell referrer. Gör du något mer på sidan, till exempel provar rösttjänsten eller fyller i formuläret, registreras det utan koppling till dig. Vi kan alltså inte se hur länge du pratade eller om det var just du som gjorde det.

Mailet i sig spåras inte: det finns ingen spårpixel och ingen bild som hämtas när du öppnar. Vi kan inte se om du läst ett mail, bara att någon besökt sidan.

Ingen profilering och inget automatiserat beslutsfattande. Vi bedömer ingen egenskap hos dig, ger dig ingen poäng och rangordnar dig inte mot andra. Listan står i tidsordning efter när klicket kom. En människa läser den och avgör själv om hon hör av sig. Fram till den 7 september 2026 registrerade vi även samtal och samtalslängd kopplat till mottagaren och sorterade listan efter engagemang, vilket var profilering enligt artikel 4.4 GDPR. Den behandlingen är borttagen.

Rättslig grund: berättigat intresse (art 6.1.f GDPR), B2B-säljuppföljning av företag vi aktivt kontaktat. Du har rätt att invända mot behandlingen enligt art 21 GDPR genom att höra av dig till rasmus@voqal.se.

Lagringstid: 12 månader, därefter raderas händelserna automatiskt.

Voqal erbjuder en publik testversion av screening-skapandeflödet för rekryteringsföretag under URL:en /screening-demo/. Testversionen är inte en skarp tjänst och får inte användas för att screena riktiga arbetssökande.

Vid användning av testversionen lagras jobbannonsen, de genererade frågorna och eventuella projektinställningar enbart i din webbläsares lokala lagring (localStorage). Inget av detta innehåll sparas på Voqals servrar.

Voqal loggar endast en kryptografiskt slumpad åtkomsttoken och tidsstämplade händelser (länk öppnad, disclaimer accepterad, PDF uppladdad, frågor granskade, kandidatlänk klickad) för att mäta användning. Tokenen är kopplad till den e-postadress som fick inviten och raderas manuellt senast 30 dagar efter att den gått ut.

Om du använder testversionens kandidatvy skapas en temporär screening-session som automatiskt raderas inom 7 dagar. Rösten spelas in, transkriberas och bearbetas av en AI-agent (Google Vertex AI) inom EU-regionen.

Som registrerad har du enligt GDPR följande rättigheter. För att utöva dem, kontakta oss på privacy@voqal.se.

• Tillgång (art. 15), rätt att få bekräftelse på om vi behandlar dina uppgifter och att få ett registerutdrag.
• Rättelse (art. 16), rätt att få felaktiga uppgifter rättade.
• Radering (art. 17), rätt att under vissa omständigheter begära att vi raderar dina uppgifter ("rätten att bli glömd").
• Portabilitet (art. 20), rätt att under vissa omständigheter få ut dina uppgifter i ett strukturerat, maskinläsbart format.
• Invändning (art. 21), rätt att invända mot behandling som sker med stöd av berättigat intresse.
• Återkalla samtycke, du kan när som helst återkalla ett lämnat samtycke. Återkallandet påverkar inte lagligheten av behandling som utförts innan återkallandet.

Vi svarar på DSR-förfrågningar inom 30 dagar.

Om du anser att vår behandling av dina personuppgifter strider mot GDPR har du rätt att lämna in ett klagomål till tillsynsmyndigheten:

Integritetsskyddsmyndigheten (IMY)
Webbplats: imy.se
E-post: imy@imy.se

Vi kan komma att uppdatera denna integritetspolicy. Väsentliga ändringar meddelas via vår webbplats eller per e-post till berörda användare. Aktuell version finns alltid tillgänglig på voqal.se/integritetspolicy.