Så behandlar vi
dina uppgifter.

Kursa är en tjänst för digital körjournal, milersättning, utlägg och traktamenten. Tjänsten tillhandahålls av:

Kursa används av företag för att hantera sina anställdas resor och utlägg. Därför har vi två olika roller:

Din arbetsgivare är personuppgiftsansvarig för allt du registrerar i tjänsten som en del av jobbet. Det gäller resor, körjournal, milersättningsrapporter, utlägg, kvitton, traktamenten, attester och kommentarer. Det är din arbetsgivare som avgör varför och hur uppgifterna används, till exempel för löneutbetalning, skatteredovisning och bokföring. Vi behandlar de uppgifterna som personuppgiftsbiträde, bara på arbetsgivarens uppdrag och enligt ett personuppgiftsbiträdesavtal. Vill du veta mer om den behandlingen, eller använda dina rättigheter, vänder du dig i första hand till din arbetsgivare.

Hedströmming AB är personuppgiftsansvarig för de uppgifter vi behöver för att driva tjänsten. Det gäller ditt användarkonto, inloggning och säkerhet, e-postutskick från tjänsten, kundrelationen och fakturering.

Konto och inloggning

• Namn och e-postadress
• Profilbild, om du loggar in med Google eller Microsoft
• Lösenord, som bara lagras i krypterad (hashad) form
• Kopplingar till inloggning via Google eller Microsoft
• Sessioner: IP-adress, webbläsare/enhet och tidpunkter
• Inbjudningar: namn, e-post, roll och vem som skickade inbjudan
• Vilket företag du tillhör, din roll (användare eller administratör) och när du gick med

Fordon och fordonsdata

• Registreringsnummer, chassinummer (VIN), märke, modell, årsmodell, ägandeform och drivmedel
• Vilka förare som är kopplade till ett fordon och under vilken period, om bilen är en förmånsbil och vem som betalar drivmedlet
• Om bilen är ansluten via vår fordonsdataleverantör: mätarställning, fordonets position vid avläsningen och tidpunkter. Vi lagrar också anslutningens status och de meddelanden bilen skickar till oss.

Resor och körjournal

• Start- och sluttid, start- och slutposition (koordinater och adress), mätarställning och körd sträcka
• Om resan är i tjänsten eller privat, och varför den klassades så (till exempel att resan började vid en sparad plats)
• Anteckningar och ändamål som du skriver in
• Granskningsstatus, eventuell avslagsorsak och vem som attesterat eller avslagit resan
• En historik över ändringar av varje resa, så att körjournalen håller som underlag
• Månadsrapporter för milersättning. När en rapport skickas in sparas en kopia av resorna i den.

Platser och automatisk klassificering

• Platser som du sparar, till exempel kontoret, en kund eller hemmet, med position och radie
• Din hemadress och ditt tjänsteställe, om de har lagts in
• Dina inställningar för automatisk klassificering, inklusive arbetstider om du använder den funktionen
• Vilka anteckningar du använder ofta, så att de kan föreslås

Utlägg

• Datum, säljare, land, valuta, belopp, moms, kategori och syfte
• Kvittobilder och andra filer som du laddar upp
• Vid representation: namnen på de som deltog. Det här är uppgifter om andra personer, och du ska bara ange det som behövs för att styrka utlägget.

Traktamente

• Resmål, syfte, avresa och hemkomst
• Vilka länder du var i under respektive dag, om arbetsgivaren betalade logi, vilka måltider som tillhandahölls och beräknade belopp

Attest, aviseringar och loggar

• Inskickade och beslutade rapporter, attestflöden och kommentarer
• Aviseringar till dig, vilka du har läst och dina aviseringsinställningar
• En aktivitetslogg över viktiga händelser i företagets konto, till exempel att någon loggade in eller ändrade något

Lönekoppling och fakturering

• Om företaget kopplar Kursa till sitt lönesystem (till exempel Fortnox): åtkomstnycklar för kopplingen, lönesystemets företagsnamn och organisationsnummer samt namn och e-post på den som godkände kopplingen
• Milersättningsnivåer och vem som har ställt in dem
• Fakturor till kundföretaget, vilka fordon som debiteras per månad och vem som godkände eller avslutade ett fordonsabonnemang

• Från dig, när du registrerar dig, skriver in resor, utlägg och traktamenten eller laddar upp kvitton
• Från din arbetsgivare, när en administratör bjuder in dig, lägger upp fordon eller attesterar
• Från bilen, via vår fordonsdataleverantör, när bilen har anslutits
• Från Google eller Microsoft, om du väljer att logga in med dem (namn, e-post och profilbild)
• Från lönesystemet, när företaget kopplar det (företags- och behörighetsuppgifter)

Uppgifter som din arbetsgivare ansvarar för behandlas för att föra körjournal, beräkna och rapportera milersättning, hantera utlägg och traktamenten, attestera och föra över underlag till lön och bokföring. Arbetsgivaren står för den rättsliga grunden. Normalt är det en rättslig förpliktelse (skatte- och bokföringsregler) eller ett berättigat intresse. Samtycke är normalt inte grunden, eftersom en anställd inte fritt kan säga nej till sin arbetsgivare.

Arbetsgivaren behöver veta hur många mil som körts privat, men inte vart. Därför får arbetsgivaren bara tid, mätarställning och sträcka för privata resor, aldrig destinationen. Det är en del av vår dataminimering.

Uppgifter som vi själva ansvarar för

Vi säljer aldrig personuppgifter, använder dem inte för reklam och gör ingen profilering för marknadsföring. Den automatiska klassificeringen av resor är ett förslag som du själv kan ändra, och varje resa granskas av en människa innan den attesteras.

Du själv ser alltid all din egen data, även var dina privata resor började och slutade.

Inom ditt företag

• Tjänsteresor: administratörer och de som attesterar ser dina tjänsteresor fullt ut. Det gör också kollegor som delar bil med dig, eftersom körjournalen förs per bil.
• Privata resor: alla andra än du, även administratörer och kollegor som delar bil med dig, ser att resan var privat, när den gjordes, mätarställningen och hur lång den var. Start- och slutadress och position visas inte för dem, utan där står ”Privat resa”. Det gäller överallt i tjänsten, även i månadsrapporter och i ändringshistoriken. Detsamma gäller administratörer som själva kör: de ser sina egna privata resor fullt ut, men inte andras. Tänk på att en anteckning du skriver på en privat resa syns för de som kan se resan.
• Utlägg, traktamenten, rapporter och kommentarer: administratörer och de som attesterar kan se dem. Kommentarer som är markerade som interna för granskare visas inte för dig.

Export: När du exporterar din körjournal väljer du själv om privata resor ska visas med destination eller bara som ”Privat resa”. Den som exporterar en körjournal med andras resor får aldrig se deras privata destinationer.

Hedströmming AB: Behörig personal hos oss kan komma åt uppgifter i tjänsten, även destinationer för privata resor, när det behövs för drift, support, felsökning eller för att uppfylla en rättslig skyldighet, och bara i den mån det behövs.

Våra underbiträden och leverantörer

Vi skickar inga namn eller andra identifierande uppgifter till adress- och ruttjänsterna, bara koordinater. För att skicka så lite som möjligt sparar vi uppslagna adresser och rutter på avrundade koordinater och återanvänder dem.

All vår lagring sker i Sverige. Vissa leverantörer, till exempel Smartcar, finns i USA. När uppgifter förs över dit sker det med stöd av EU–US Data Privacy Framework eller EU-kommissionens standardavtalsklausuler, tillsammans med de skyddsåtgärder som krävs.

• Medan kundavtalet gäller sparar vi uppgifterna så länge företaget använder Kursa, eller tills företaget eller du tar bort dem.
• När ett kundföretag säger upp tjänsten kan företaget exportera sin data. Tre månader efter avtalets slut raderar vi företagets data, inklusive resor, utlägg, kvitton och användarkopplingar. Arbetsgivaren ansvarar själv för att spara underlag som bokföringslagen kräver ska sparas i sju år.
• Om du tas bort ur ett företag finns resor och rapporter du redan registrerat kvar hos arbetsgivaren, eftersom de är bokföringsunderlag.
• Fakturor och betalningsuppgifter till kundföretag sparar vi i sju år enligt bokföringslagen.
• Sessioner och engångskoder för inloggning och e-postverifiering upphör automatiskt när de löpt ut.

• All trafik är krypterad (HTTPS), och data krypteras även när den lagras i Azure.
• Kvitton och filer lagras privat och kan bara öppnas via tillfälliga länkar som slutar gälla efter kort tid.
• Varje företags data hålls åtskild, och behörigheten styrs av din roll.
• Destinationer för privata resor visas bara för föraren själv. Det styrs av behörighetsregler i tjänsten, inte bara av vad som visas på skärmen.
• Lösenord lagras bara hashade.
• Viktiga händelser loggas, och ändringar av resor sparas i en historik.

Enligt dataskyddsförordningen (GDPR) har du rätt att:

• få veta vilka uppgifter om dig som behandlas och få en kopia av dem
• få felaktiga uppgifter rättade
• få uppgifter raderade, om det inte finns en skyldighet att spara dem
• begära att behandlingen begränsas
• invända mot behandling som grundas på berättigat intresse
• få ut uppgifter du själv har lämnat i ett maskinläsbart format (dataportabilitet). Du kan exportera din körjournal direkt i tjänsten.

För uppgifter som din arbetsgivare ansvarar för (se avsnitt 2) vänder du dig till arbetsgivaren. Vi hjälper arbetsgivaren att uppfylla din begäran. För allt annat kontaktar du oss på hej@kursa.se. Vi svarar inom en månad.

Om du tycker att vi behandlar dina uppgifter felaktigt kan du klaga hos Integritetsskyddsmyndigheten (IMY), www.imy.se.

Vi använder bara cookies som behövs för att tjänsten ska fungera, främst för att hålla dig inloggad. Vi använder inga cookies för analys eller marknadsföring.

Om vi ändrar policyn uppdaterar vi datumet högst upp. Vid större ändringar meddelar vi kundföretagen och användarna i tjänsten eller via e-post.