INTEGRITETSPOLICY - SVEBRA | Svenska brandsakerhetsföretag

INTEGRITETSPOLICY

(In English further down)

Personlig integritet är något vi anser är viktigt och vill beskydda. Vi vill därför alltid eftersträva en hög nivå av dataskydd. I denna policy förklarar vi hur vi samlar in och använder personuppgifter. Vi beskriver också dina rättigheter och hur du kan göra
dem gällande. Du är alltid välkommen att kontakta oss om du har frågor om hur vi behandlar dina personuppgifter. Kontaktuppgifter finner du nedan.

PERSONUPPGIFTSANSVARIG OCH KONTAKTUPPGIFTER
För de behandlingar av personuppgifter som beskrivs i denna policy är vi personuppgiftsansvarig. Med ”vi” avses:

Svenska brandsäkerhetsföretag SVEBRA (org.nr. 802412-8376), och
Svenska Brandsäkerhetsföretag Utbildning AB (org.nr. 559167-5490), tillsammans (”SVEBRA”)
▪ Adress: Drottninggatan 1, 641 30 Katrineholm
▪ Tel.nr: 08-98 11 22
▪ E-post: info@svebra.se

Vi är delvis gemensamt personuppgiftsansvariga för den personuppgiftsbehandling som beskrivs i denna policy. Det gemensamma personuppgiftsansvaret mellan oss är reglerat i ett särskilt avtal. Detta inbördes arrangemang mellan oss görs tillgängligt för dig på förfrågan.

VILKA PERSONUPPGIFTER SAMLAR VI IN OM DIG OCH VARFÖR?

Kategorier av personuppgifter

Vi behandlar i huvudsak följande kategorier av personuppgifter:

Identitetsuppgifter: Namn, födelsedatum, personnummer (i begränsad omfattning)
Kontaktuppgifter: E-postadress, telefonnummer, postadress
Professionella uppgifter: Arbetsgivare
Utbildning: Genomförda utbildningar, resultat och certifikat
Tekniska uppgifter: IP-adress, inloggningsuppgifter, användardata från webbplatsen
Marknadsföringsuppgifter: Intresseområden
Orderuppgifter: Beställningar, betalningshistorik
Kommunikationsuppgifter: Korrespondens med oss
Särskilda kategorier av personuppgifter: Hälsouppgifter (matallergier)

Ändamål med behandlingen

Vi behandlar dina personuppgifter för följande ändamål:

Externa ändamål:

Tillhandahålla tjänster och produkter du har begärt (exempelvis ett nyhetsbrev eller deltagande i en utbildning, inklusive examinering och utfärdande av certifikat)
Vårda vår relation med dig samt administrera avtalet med dig eller med din arbetsgivare
Informera dig om våra kurser, evenemang och liknande som vi finner ligga i såväl ditt som vårt intresse
Informera dig om produkter och tjänster som vi eller våra partners erbjuder och som kan vara av intresse för dig
Analys och bearbetning av uppgifterna för att ge mer anpassad och relevant information till dig

Interna ändamål inom verksamheten:

Bokföring och ekonomisk administration
Kvalitetssäkring och kundservice
Statistik och analys för verksamhetsutveckling
Efterlevnad av rättsliga förpliktelser
Fastställa, göra gällande eller försvara rättsliga anspråk

LAGLIG GRUND FÖR BEHANDLINGEN
SVEBRA behandlar alltid dina personuppgifter i enlighet med tillämplig lagstiftning. Vi behandlar dina personuppgifter baserat på följande lagliga grunder enligt GDPR:

Fullgörande av avtal: för personuppgiftsbehandling som är nödvändigt för att fullgöra ett avtal med dig, till exempel för att leverera de tjänster du har beställt av oss.

Berättigat intresse: för att fullgöra avtal med din arbetsgivare eller våra samarbetspartners, samt för marknadsföring när vi anser att vi har ett legitimt och berättigat intresse av att behandla dina personuppgifter för att kunna informera dig om våra tjänster och erbjudanden. Vi har också ett berättigat intresse av att behandla dina personuppgifter för att fastställa, göra gällande och/eller försvara rättsliga anspråk.

Rättslig förpliktelse: när vi är skyldiga att behandla personuppgifter för att uppfylla våra förpliktelser enligt lag eller myndighetsbeslut.

Samtycke: om SVEBRA skulle behandla dina personuppgifter för något ändamål som kräver ditt samtycke kommer vi att inhämta ditt samtycke i förväg, till exempel när vi efterfrågar information om specialkost inför en utbildning eller liknande. Du
har alltid rätt att återkalla ditt samtycke genom att kontakta oss på de uppgifter som beskrivs överst i denna integritetspolicy under avsnitt ”Personuppgiftsansvarig och kontaktuppgifter”.

Vissa personuppgifter kan vara obligatoriska att tillhandahålla för att vi till exempel ska kunna tillhandahålla en tjänst eller fullgöra en annan begäran från dig. Detta kommer då att anges eller framgå i samband med att uppgifterna samlas in.

LAGRINGSTIDER
Vi sparar aldrig dina personuppgifter längre än vad som är nödvändigt för respektive ändamål. Vi har utarbetat rensningsrutiner för att säkerställa att personuppgifter inte sparas längre än vad som behövs för det specifika ändamålet. Hur länge detta är varierar på skälet för behandlingen.

Specifika lagringstider:

Avtalsuppgifter: Tre (3) år efter avtalets upphörande
Certifikat: Tio (10) år efter utfärdandet av certifikatet
Marknadsföringsuppgifter: Ett (1) år från senaste kontakt
Specialkost och liknande: En (1) månad efter att evenemanget är avslutat
Korrespondens: Två (2) år från senaste kontakt
Webbanalysdata: Ett (1) år från datum för insamlandet
Bokföringsuppgifter: Sju (7) år enligt lagstiftning

INSAMLING AV PERSONUPPGIFTER
Insamling av dina personuppgifter sker i först hand direkt från dig, exempelvis när du anger dina uppgifter i samband med att du anmäler dig för att få nyhetsbrev, deltar på seminarier och event, beställer tjänster och/eller produkter från oss eller tar kontakt med oss. Förutom de uppgifter som du ger oss, kan vi komma att samla in och verifiera dina personuppgifter från någon annan, en så kallad tredje part. Sådan insamling kan ske till exempel från offentliga register eller när det företag du arbetar på anmäler dig till ett utbildningstillfälle.

DELNING OCH MOTTAGARE AV PERSONUPPGIFTER
Åtkomst till personuppgifter begränsas till de personer som har ett tjänsterelaterat behov av informationen för att fullgöra sina arbetsuppgifter inom ramen för de ändamål som beskrivs i denna integritetspolicy.

Personuppgiftsbiträden
I en del situationer är det nödvändigt för oss att anlita andra parter för att kunna utföra vårt arbete. Det handlar exempelvis om när vi använder oss av olika ITleverantörer. Vi kan vidare komma att lämna ut personuppgifter till våra arrangörer i den mån det krävs för att samverkan mellan organisationerna ska fungera. Dessa parter är att betrakta som personuppgiftsbiträden till oss. SVEBRA har ansvar för att skriva avtal med samtliga personuppgiftsbiträden och lämna instruktioner om hur dessa får behandla personuppgifterna. Vi kontrollerar självklart alla personuppgiftsbiträden för att säkerställa att de kan lämna tillräckliga garantier avseende säkerheten och sekretessen för personuppgifterna.

När personuppgiftsbiträden anlitas sker det bara för de ändamål som är förenliga med de ändamål vi själva har för behandlingen.

Aktörer som är självständigt personuppgiftsansvariga
Har du genomgått en utbildning hos oss med godkänt resultat och blivit certifierad kan vi på din begäran dela ditt utbildningsbevis och certifikat (inkl. personuppgifter) till våra samarbetspartners, ID06 AB och/eller SSG Standard Solutions Group AB. Ditt certifikat (inkl. kompetens och behörighet) registreras i deras respektive databaser för att du ska vara sökbar för företag. Dessa aktörer är personuppgiftsansvariga för den personuppgiftsbehandling som utförs i dessa databaser.

Vi kan även komma att dela dina personuppgifter med vissa andra aktörer som är självständigt personuppgiftsansvariga, exempelvis till myndigheter, såsom Skatteverket eller polisen, om det rör utredning av brott eller om vi annars är skyldiga att lämna ut sådan uppgift med stöd av lag eller myndighetsbeslut.

När dina personuppgifter delas med en aktör som är självständigt personuppgiftsansvarig gäller den organisationens integritetspolicy och personuppgiftshantering.

ÖVERFÖRING TILL TREDJELAND
Vi strävar alltid efter att dina personuppgifter ska behandlas inom EU/EES. För visst IT-stöd kan uppgifterna dock komma att överföras till ett land utanför EU/EES. Det gäller till exempel om vi delar dina personuppgifter med ett personuppgiftsbiträde som, antingen själv eller genom en underleverantör, är etablerad eller lagrar information i ett land utanför EU/EES.

När personuppgifter behandlas utanför EU/EES garanteras skyddsnivån genom någon av följande åtgärder:

överföringen sker endast till ett land för vilket Europeiska kommissionen har utfärdat ett adekvansbeslutet som fastställer att landet tillhandahåller en adekvat skyddsnivå för personuppgifter; eller
överföringen omfattas av lämpliga skyddsåtgärder, inklusive ”Binding Corporate Rules” (BCR) eller av Europeiska kommissionen godkända standardavtalsklausuler (SCC).

I händelse av att vi överför dina personuppgifter till ett land utanför EU/EES under andra omständigheter än de som anges ovan, kommer vi att implementera lämpliga skyddsåtgärder för att säkerställa att dina personuppgifter förblir adekvat skyddade i enlighet med tillämplig dataskyddslagstiftning. Om du vill ha ytterligare information är du välkommen att kontakta oss och begära en kopia av de skyddsåtgärder som används.

SÄKERHETSÅTGÄRDER
Vi arbetar aktivt för att säkerställa att personuppgifter hanteras på ett säkert sätt. Det gäller såväl genom tekniska som organisatoriska skyddsåtgärder. Nedan följer några exempel på vidtagna skyddsåtgärder:

Krypterad kommunikation
Starka lösenord och multifaktorautentisering (MFA)
Automatisk utloggning: För att undvika att obehöriga får tillgång till information om en dator lämnas obevakad, loggar det system som SVEBRA använder automatiskt ut användaren efter 30 minuter.
Brandväggar: primära och sekundära med skydd mot DDoS-attacker
Backuper: Kompletta backuper görs dagligen och inkrementella varje timme.
All personal hos SVEBRA är bunden av sekretess som förhindrar spridning av kundens information. Endast behörig personal har tillgång till uppgifterna.
SVEBRA:s personal utbildas löpande inom säkerhet, dataskydd och inom intern IT- och säkerhetspolicy.

AUTOMATISERAD BEHANDLING
Innan SVEBRA implementerar en lösning som kommer att fatta beslut om dig enbart baserat på automatiserad behandling, som ger rättsverkningar eller väsentligt påverkar dig, kommer SVEBRA att informera dig och tillhandahålla meningsfull information om den logik som är involverad, betydelsen och de potentiella konsekvenserna för dig samt de åtgärder som finns på plats för att skydda dina fri-och rättigheter.

DINA RÄTTIGHETER OCH HUR DU UTÖVAR DOM
Som registrerad har du enligt GDPR ett antal rättigheter avseende dina personuppgifter. Sammanfattningsvis är dessa följande:

Rätten att få tillgång till dina personuppgifter (begäran om registerutdrag)
Rätten till att få dina personuppgifter rättade (eller kompletterade)
Rätten att få dina personuppgifter raderade (rätten att bli bortglömd)
Rätten att begränsa behandlingen av dina personuppgifter
Rätten att göra invändningar mot viss typ av personuppgiftsbehandling
Rätten till att få dina personuppgifter överförda till en annan personuppgiftsansvarig (rätt till dataportabilitet)
Rätten att inte bli föremål för ett beslut som fattas enbart genom automatiserad behandling

Utövandet av dessa rättigheter kan göras både skriftligen, inklusive via e-post, och muntligen. För att göra en begäran om att utöva någon av dina rättigheter, vänligen kontakta oss med hjälp av kontaktuppgifterna som beskrivs överst i denna integritetspolicy under avsnitt ”Personuppgiftsansvarig och kontaktuppgifter”.

I vissa fall kan det föreligga hinder för oss att efterkomma din begäran, till exempel på grund av andra lagar och regler. Det kan också hända att behandlingen är nödvändig för att vi ska kunna fastställa, göra gällande eller försvara rättsliga anspråk. Vi kommer göra en bedömning i det enskilda fallet och berätta för dig vilka åtgärder vi har vidtagit och på vilka grunder.

Vi kommer att besvara din begäran utan onödigt dröjsmål och i alla fall inom en månad från mottagandet av begäran. Denna period kan förlängas ytterligare vid behov, med hänsyn till ärendets komplexitet. Vi kommer att informera dig om en sådan förlängning så snart som möjligt, och senast inom en månad från mottagandet av begäran, tillsammans med skälen för förseningen.

TILLSYN OCH KLAGOMÅL
Vi anser att vår behandling av personuppgifter överensstämmer med kraven i GDPR. Skulle du vara av en annan uppfattning uppskattar vi om du kontaktar oss för att beskriva vad du är missnöjd med. Du kan också lämna in ett klagomål till Integritetsskyddsmyndigheten på www.imy.se, som är ansvarig myndighet för att övervaka tillämpningen av lagstiftningen kring dataskydd.

ÄNDRINGAR AV INTEGRITETSPOLICYN
Vi kan komma att uppdatera denna integritetspolicy från tid till annan. Väsentliga ändringar kommer att kommuniceras till dig via e-post eller genom meddelande på vår webbplats. Den senaste versionen finns alltid tillgänglig på vår webbplats.

Senast uppdaterad: 2025-10-15 Version: 1:0

PRIVACY POLICY

Personal privacy is something we consider important and want to protect. We therefore always strive to maintain a high level of data protection. In this policy, we explain how we collect and use personal data. We also describe your rights and how
you can exercise them.

You are always welcome to contact us if you have any questions about how we process your personal data. Contact details can be found below.

DATA CONTROLLER AND CONTACT DETAILS
We are the data controller for the processing of personal data described in this policy. ”We” refers to:

Swedish Fire Safety Companies SVEBRA (company registration number 802412-8376), and
Swedish Fire Safety Companies Training AB (company registration number 559167-5490), together (”SVEBRA”)
▪ Address: Drottninggatan 1, 641 30 Katrineholm
▪ Tel. no: 08-98 11 22
▪ Email: info@svebra.se

We are jointly responsible for the processing of personal data described in this policy. The joint responsibility for personal data between us is regulated in a separate agreement. This mutual arrangement between us is available to you upon request.

WHAT PERSONAL DATA DO WE COLLECT ABOUT YOU AND WHY?

Categories of personal data

We mainly process the following categories of personal data:

Identity data: Name, date of birth, personal identification number (to a limited extent)
Contact details: Email address, telephone number, postal address
Professional information: Employer
Education: Completed courses, results and certificates
Technical data: IP address, login details, user data from the website
Marketing data: Areas of interest
Order details: Orders, payment history
Communication data: Correspondence with us
Special categories of personal data: Health data (food allergies)

Purpose of processing

We process your personal data for the following purposes:

External purposes:

To provide services and products you have requested (e.g. a newsletter or participation in training, including examination and issuance of certificates)
Maintaining our relationship with you and administering the agreement with you or your employer
Informing you about our courses, events and similar activities that we believe are in both your and our interest
To inform you about products and services offered by us or our partners that may be of interest to you
Analysing and processing the data to provide you with more tailored and relevant information

LEGAL BASIS FOR PROCESSING
SVEBRA always processes your personal data in accordance with applicable legislation. We process your personal data based on the following legal grounds under the GDPR:

Performance of a contract: for personal data processing that is necessary to perform a contract with you, for example to deliver the services you have ordered from us.

Legitimate interest: to fulfil agreements with your employer or our partners, as well as for marketing when we believe we have a legitimate and justified interest in processing your personal data in order to inform you about our services and offers. We also have a legitimate interest in processing your personal data to establish, assert and/or defend legal claims.

Legal obligation: when we are required to process personal data to comply with our obligations under law or official decisions.

Consent: if SVEBRA were to process your personal data for any purpose that requires your consent, we will obtain your consent in advance, for example when we request information about special dietary requirements prior to a training course or similar. You always have the right to withdraw your consent by contacting us using the details provided at the top of this privacy policy under the section ”Data controller and contact details”.

Certain personal data may be mandatory to provide in order for us to, for example, provide a service or fulfil another request from you. This will then be stated or indicated when the data is collected.

STORAGE PERIODS
We never store your personal data for longer than is necessary for the respective purpose. We have developed cleansing procedures to ensure that personal data is not stored for longer than is necessary for the specific purpose. How long this is varies depending on the reason for the processing.

Specific storage periods:

Contract details: Three (3) years after the end of the contract
Certificates: Ten (10) years after the certificate was issued
Marketing data: One (1) year from last contact
Special dietary requirements and similar: One (1) month after the event has ended
Correspondence: Two (2) years from last contact
Web analytics data: One (1) year from the date of collection
Accounting data: Seven (7) years in accordance with legislation

COLLECTION OF PERSONAL DATA
Your personal data is primarily collected directly from you, for example when you enter your details in connection with signing up for newsletters, participating in seminars and events, ordering services and/or products from us, or contacting us. In addition to the information you provide to us, we may collect and verify your personal data from someone else, a so-called third party. Such collection may take place, for example, from public registers or when the company you work for registers you for a training course.

SHARING AND RECIPIENTS OF PERSONAL DATA
Access to personal data is limited to those individuals who have a service-related need for the information in order to perform their duties within the scope of the purposes described in this privacy policy.

Personal data processors
In some situations, it is necessary for us to engage other parties in order to carry out our work. This applies, for example, when we use various IT suppliers. We may also disclose personal data to our organisers to the extent necessary for cooperation between the organisations to function. These parties are to be regarded as personal data processors for us. SVEBRA is responsible for signing agreements with all personal data processors and providing instructions on how they may process personal data. We naturally check all personal data processors to ensure that they can provide sufficient guarantees regarding the security and confidentiality of personal data.

When personal data processors are engaged, it is only for purposes that are compatible with our own purposes for processing.

Actors who are independent data controllers
If you have completed a training course with us with a passing grade and become certified, we can, at your request, share your training certificate and certification (including personal data) with our partners, ID06 AB and/or SSG Standard Solutions Group AB. Your certificate (including skills and qualifications) will be registered in their respective databases so that you can be searched for by companies. These actors are data controllers for the personal data processing carried out in these databases.

We may also share your personal data with certain other parties who are independent data controllers, such as authorities, such as the Swedish Tax Agency or the police, if it concerns the investigation of a crime or if we are otherwise obliged to disclose such information by law or by decision of an authority.

When your personal data is shared with an entity that is an independent data controller, that organisation’s privacy policy and personal data management apply.

TRANSFER TO THIRD COUNTRIES

We always strive to ensure that your personal data is processed within the EU/EEA. However, for certain IT support, the data may be transferred to a country outside the EU/EEA. This applies, for example, if we share your personal data with a data processor who, either themselves or through a subcontractor, is established or stores information in a country outside the EU/EEA.

When personal data is processed outside the EU/EEA, the level of protection is guaranteed by one of the following measures:

the transfer is only made to a country for which the European Commission has issued an adequacy decision establishing that the country provides an adequate level of protection for personal data; or
the transfer is subject to appropriate safeguards, including Binding Corporate Rules (BCR) or Standard Contractual Clauses (SCC) approved by the European Commission.

In the event that we transfer your personal data to a country outside the EU/EEA under circumstances other than those specified above, we will implement appropriate safeguards to ensure that your personal data remains adequately protected in accordance with applicable data protection legislation.

If you would like further information, please contact us and request a copy of the safeguards used.

SECURITY MEASURES
We work actively to ensure that personal data is handled securely. This applies to both technical and organisational safeguards. Below are some examples of the safeguards we have implemented:

Encrypted communication
Strong passwords and multi-factor authentication (MFA)
Automatic logout: To prevent unauthorised access to information on an unattended computer, the system used by SVEBRA automatically logs out the user after 30 minutes.
Firewalls: primary and secondary with protection against DDoS attacks
Backups: Full backups are performed daily and incremental backups every hour.
All SVEBRA staff are bound by confidentiality agreements that prevent the disclosure of customer information. Only authorised personnel have access to the data.
SVEBRA’s staff receive ongoing training in security, data protection and internal IT and security policies.

AUTOMATED PROCESSING
Before SVEBRA implements a solution that will make decisions about you solely based on automated processing, which has legal effects or significantly affects you, SVEBRA will inform you and provide meaningful information about the logic involved, the significance and the potential consequences for you, as well as the measures in place to protect your freedoms and rights.

YOUR RIGHTS AND HOW TO EXERCISE THEM
As a data subject, you have a number of rights under the GDPR with regard to your personal data. In summary, these are as follows:

The right to access your personal data (request for a register extract)
The right to have your personal data corrected (or supplemented)
The right to have your personal data deleted (the right to be forgotten)
The right to restrict the processing of your personal data
The right to object to certain types of personal data processing
The right to have your personal data transferred to another datacontroller (right to data portability)
The right not to be subject to a decision made solely through automated processing

These rights can be exercised both in writing, including by email, and verbally. To make a request to exercise any of your rights, please contact us at using the contact details described at the top of this privacy policy under the section ”Data controller and contact details”.

In some cases, there may be obstacles to us complying with your request, for example due to other laws and regulations. It may also be the case that the processing is necessary for us to establish, assert or defend legal claims. We will assess each individual case and inform you of the measures we have taken and the grounds for doing so.

We will respond to your request without undue delay and in any case within one month of receiving the request. This period may be extended further if necessary, taking into account the complexity of the case. We will inform you of any such extension as soon as possible, and at the latest within one month of receiving the request, together with the reasons for the delay.

SUPERVISION AND COMPLAINTS
We believe that our processing of personal data complies with the requirements of the GDPR. If you disagree, we would appreciate it if you would contact us to describe what you are dissatisfied with. You can also submit a complaint to the Swedish Data Protection Authority at www.imy.se, which is the authority responsible for monitoring the application of data protection legislation.

CHANGES TO THE PRIVACY POLICY
We may update this privacy policy from time to time. Significant changes will be communicated to you by email or by notice on our website. The latest version is always available on our website.

Last updated: 15 October 2025 Version: 1:0