Vad vi vet om dig, och varför.

Personuppgiftsansvarig är STAFE Group AB. Frågor om den här policyn, om ett registerutdrag eller om radering ställer du till hej@stafe.se. Vi svarar på svenska.

Allt nedan kommer antingen från dig själv eller från din telefon när du fotograferar.

• E-postadress. Den är din inloggning. Du loggar in med en engångskod som mejlas till adressen, så det finns inget lösenord — varken hos dig eller hos oss.
• Namn på dina platser. Det du kallar dina platser: Hem, Sommarstugan, Föreningen, Jobbet. Du bestämmer själv om namnet ska säga något om var platsen ligger.
• Försäkringsuppgifter du anger själv. Bolag, försäkringsnummer, försäkringsbelopp, självrisk och tak för stöldbegärlig egendom. Vi hämtar ingenting från ditt försäkringsbolag; siffrorna kommer från ditt försäkringsbrev, via dig.
• Foton av lösöre och fordon, och det du skriver om sakerna: namn, värde, kategori, serienummer, garantitid och om det finns ett kvitto.
• Tidpunkt och position på bilden. Se avsnittet längre ner — den delen förtjänar ett eget stycke.
• Skadeärenden. Vilken händelse det gäller, vilka saker som är skadade eller borta, bilder tagna efter skadan, och den beräknade förlusten.
• Registrering och trafikdata. IP-adressen sparas när en engångskod begärs, så att koder inte kan beställas i mängd i någon annans namn. Vi använder en nödvändig inloggningskaka för att hålla dig inloggad, och inga kakor för mätning eller annonser. Besöken räknas utan kakor och utan att spara adressen — se avsnittet längre ned.
• Dina inloggade enheter. När du loggar in i appen skapas en nyckel för just den enheten, med det namn enheten uppgav. Du ser dem på kontosidan och kan logga ut dem.

Vi räknar hur många som läser sidan och använder appen. Den räkningen är vår egen och ligger i vår egen databas — ingen Google Analytics, ingen mätpixel, ingen tredje part som får veta att du var här. Det hade varit svårt att ta på allvar: en sida som säljer att ingen ser dina saker kan inte lämna ut sina besökare.

Raden vi sparar bär varken din IP-adress eller din webbläsares namn. I stället räknas du som en hashning av de två, tillsammans med ett salt som byts varje dygn. Det gör att vi kan se att 214 personer läste sidan i går, men inte att det var du — och inte att du kom tillbaka i dag. Gårdagens salt går inte att räkna fram igen.

Det är skillnaden mot en kaka: en kaka följer dig tills du rensar den. Det här glömmer bort dig vid midnatt, för att det inte finns någon nyckel kvar att räkna bakåt med. Siffrorna gallras efter fjorton månader.

Från appen följer också plattformen och versionsnumret med — iOS 18.2, version 1.0.20 — så att vi vet om en rättning nått ut. Inget enhets-id, inget reklam-id, inget namn.

På kontosidan väljer du mellan två lägen, och valet gäller från och med nästa bild du tar.

• AI-assistent. Bilden skickas till GoZero Core inom EU, som föreslår namn, kategori och värde. Förslaget kan du alltid ändra.
• Manuellt. Bilden stannar hos oss. Inget analysjobb läggs i kö, inget skickas vidare, och du fyller själv i namn och värde.

Det manuella läget är inte en inställning som bara dämpar något. Det finns en enda plats i koden där en bildanalys köas, och i manuellt läge köas ingenting — det är därför bilden aldrig lämnar servern, och inte för att vi lovar det på den här sidan.

Har du valt AI-assistent skickas bilden och, om saken ligger i ett rum du namngett, rummets namn till GoZero Core, som kör AI-modellerna åt oss. Vi väljer inte modell — vi ställer krav, och GoZero Core väljer en modell som uppfyller dem.

Två av kraven är hårda: analysen får bara köras inom EU, och bara på modeller i den lägsta riskklassen. De två värdena står fast i vår konfiguration och går inte att ändra med en miljövariabel på en server — det finns alltså ingen inställning någon kan råka slå av.

Finns det ingen modell inom EU att köra analysen på görs ingen analys alls. Bilden skickas inte någon annanstans i stället; saken lämnas åt dig att fylla i, och jobbet försöker inte igen. Svarar GoZero Core utan att bekräfta EU-låsningen, eller från en annan datazon, kastar vi svaret i stället för att spara det.

Bilden som skickas är den nedskalade, metadatatvättade kopian — inte originalet från kameran. Din e-postadress, ditt namn, platsens namn, adressen och bildens koordinater följer inte med.

Landar värderingen över 20 000 kr skickas samma bild en gång till, med ett högre kvalitetskrav, för en andra åsikt. Samma EU-låsning gäller då. Svaret vi får tillbaka — namn, kategori, värde — är ett förslag som du kan ändra när som helst.

Ett foto med tidsstämpel och position är det som gör bilden till ett bevis: det visar att saken fanns, och att den fanns där. Därför sparas positionen tillsammans med bilden när telefonen lämnar en position — och bara då.

Telefonen frågar först om lov. Säger du nej sparas bilden ändå, utan position. Samma sak händer när telefonen svarar med ett mätvärde som inte går att lita på: en kall GPS inomhus kan svara med koordinater utanför giltigt intervall eller med en negativ noggrannhet. Sådana värden kastas innan de når databasen.

Vi fyller aldrig i platsens adress i stället. Det hade gjort bilden till ett bevis för något den inte visar. Saknar en bild position så saknar den position.

Koordinaten hamnar i databasen, krypterad, och inte i bildfilen. Bilden skalas ned och töms på sina metadata innan den sparas, så GPS-taggen kameran bakade in i filen följer varken med till lagringen eller vidare till en analys.

Ingen bild har en publik adress. Filerna ligger utanför webbroten, och den enda vägen till en av dem går genom en länk som är signerad av oss och slutar gälla efter 15 minuter.

Länken räcker inte i sig. Du måste också vara inloggad, och du måste ha åtkomst till den plats saken ligger på — den frågan avgörs mot platsen, aldrig mot det som står i adressen. Själva sökvägen till filen läses ur databasen och kommer aldrig från förfrågan.

Svaret märks så att det inte får sparas i någon mellanliggande cache. En bild på ditt vardagsrum ska inte ligga kvar i en proxy när du stängt platsen.

Databasen är i sig en karta över vad som är värt att stjäla och var det står. Det känsligaste innehållet ligger därför krypterat i databasen, med en egen datanyckel per plats. Datanyckeln ligger i sin tur inslagen i en huvudnyckel som bara finns i serverns miljö och aldrig i databasen. En stulen databasdump är alltså oläslig utan tillgång till servern.

Krypterat i dag:

• Platsens underrubrik, försäkringsbolag, försäkringsnummer och koordinater.
• Namnen på byggnader och rum.
• Sakens namn, serienummer, kvittots filnamn och AI:ns anteckning.
• Fordonets namn och registreringsnummer.
• Koordinaterna på varje foto, både på saker och på fordon.
• Skadeärendets uträkning, och namn och koordinat på varje skadad sak.
• Filerna — foton och kvitton — med samma nyckel som platsen, block för block när de skrivs och läses. Din egen logotyp är undantagen: den hör inte till någon plats och är ett varumärke, inte ett bevis.

Det som inte är krypterat är de fält som måste gå att räkna och sortera på: belopp, datum, kategorier — och din e-postadress, eftersom inloggningen slår upp dig på den.

Raderar du en plats eller ditt konto slängs nyckeln först, innan raderna tas bort. Innehållet blir därmed obrukbart även i en säkerhetskopia som redan tagits, och även om raderingen skulle avbrytas mitt i.

• Databas och bilder ligger på servrar inom EU, hos vår driftleverantör, som också är personuppgiftsbiträde.
• E-post — inloggningskoder och besked om en skadeanmälan — skickas med Mailgun i deras EU-region.
• GoZero Core får bilden för värdering när du valt AI-assistent, och kör den inom EU. Se avsnittet ovan.
• Ditt försäkringsbolag ser ingenting alls förrän du själv skickar in en skadeanmälan. Registret är ditt, inte deras. Även när appen bär ett bolags färger och logga ger det bolaget ingen åtkomst till dina uppgifter.
• Andra du bjuder in — en familjemedlem, en styrelsekollega — ser den plats du delat med dem, så länge du inte tar bort åtkomsten.

Vi säljer inga uppgifter och lämnar inte ut dem för marknadsföring.

Det finns inga lösenord. Varje inloggning sker med en engångskod som mejlas till din adress, gäller i 10 minuter och tål 5 felaktiga försök. Begär du koder i snabb följd får du samma kod igen inom 60 sekunder, och den som fortsätter möts av en spärr som växer för varje gång.

Loggar du in i appen får enheten en nyckel som slutar gälla efter 90 dagar. På kontosidan ser du vilka enheter som är inloggade och när de senast användes, och kan logga ut dem alla på en gång — det är vad du gör om du tappat telefonen. Nycklar som gått ut städas bort automatiskt varje dygn.

• Att fullgöra avtalet med dig (artikel 6.1 b i dataskyddsförordningen) för registret, bilderna, värderingen, stresstestet och skadeanmälan. Det är tjänsten du har bett om, och utan uppgifterna finns ingen tjänst.
• Berättigat intresse (artikel 6.1 f) för säkerhet och drift: att spara IP-adressen vid en kodbegäran, att begränsa antalet försök och att logga ändringar i registret så att underlaget håller i ett skadeärende.
• Rättslig förpliktelse (artikel 6.1 c) för bokföringen av det du betalar.

Positionen på ett foto behandlas inom avtalet, men lämnas alltid först efter att du sagt ja i telefonens egen fråga, och du kan säga nej utan att förlora någon annan funktion. AI-värderingen behandlas också inom avtalet, och den väljer du bort med ett klick.

• Ditt register — saker, bilder, fordon och skadeärenden — finns kvar så länge du har ett konto. Poängen med ett lösöresregister är att det är gammalt när det behövs, så vi gallrar det inte åt dig.
• Engångskoder slutar gälla efter 10 minuter och förbrukas när de används.
• Raderar du en enskild sak försvinner den ur appen direkt, men raden och dess bild ligger kvar dolda. Vi har i dag ingen rutin som tömmer det automatiskt efter en viss tid, och lovar därför ingen sådan frist. Vill du ha en enskild sak borta på riktigt innan dess, mejla oss. Raderar du hela kontot tas den bort med allt annat.
• Raderar du ditt konto sker raderingen direkt, inte efter en frist. Se nästa avsnitt.
• Bokföringsunderlag för det du betalat sparas i sju år enligt bokföringslagen. Det innehåller varken bilder eller uppgifter om vad du äger.

Du raderar kontot själv, inifrån appen och på webben — du behöver inte mejla oss och be om det. Du får först se hur många platser, rum, saker, fordon, bilder och skadeärenden som försvinner, och får bekräfta genom att skriva ett ord. Sedan sker det direkt och går inte att ångra: raderna tas ur databasen och bilderna ur filsystemet. Ingenting läggs i en papperskorg. Exportera det du vill ha kvar innan du trycker.

Delade platser är undantaget, och det är värt att läsa. En plats du delat med någon annan raderas inte — den lämnas över. Ägarskapet går till den som accepterade din inbjudan först, och innehållet står orört kvar hos dem. Det du tar med dig är din egen koppling till platsen. Platser du är ensam på raderas med allt de innehåller.

Är du i stället inbjuden till någon annans plats försvinner bara din åtkomst. Deras saker är deras.

Vid raderingen slängs också platsens datanyckel, dina inloggningsnycklar och de engångskoder som ligger på din adress.

Skriv till hej@stafe.se från adressen kontot ligger på, så får du:

• Registerutdrag — besked om vad vi behandlar, och en kopia på det.
• Rättelse av uppgifter som blivit fel. Det mesta rättar du själv i appen.
• Radering av kontot och allt som hör till det — det gör du också själv, se ovan.
• Dataportabilitet — ditt register som maskinläsbar fil att ta med någon annanstans.
• Begränsning av eller invändning mot en viss behandling.

Vi svarar inom en månad. Tycker du att vi behandlar dina uppgifter fel kan du klaga hos Integritetsskyddsmyndigheten, imy.se.

Ändrar vi något som har betydelse för dig mejlar vi adressen kontot ligger på innan ändringen börjar gälla. Datumet högst upp visar när sidan senast skrevs om.