Integritetspolicy
Hur vi behandlar personuppgifter i Kelomo och på marknadsföringssajten. För upphandling finns dessutom ett personuppgiftsbiträdesavtal (DPA) och en lista över underbiträden.
Personuppgiftsansvarig
Uppdaterad 11 september 2026.
Tohmoco Oy (FO-nummer 3387948-8), Viipurinkatu 12 L 246, 00510 Helsingfors. Tohmoco Oy tillhandahåller Kelomo-tjänsten. Kontakt i dataskyddsfrågor: info@tohmoco.fi.
Något dataskyddsombud har inte utsetts.
Vår roll: biträde eller ansvarig
I kundappen behandlar vi arbetsgivarens personals uppgifter som personuppgiftsbiträde för arbetsgivarens (den personuppgiftsansvariges) räkning och enligt dess anvisningar. Då tillämpas det personuppgiftsbiträdesavtal (DPA) som ingåtts med kunden.
För kundernas kontaktpersoner och besökare på marknadsföringssajten agerar vi själva som personuppgiftsansvarig, för avtalshantering, kommunikation och utveckling av tjänsten.
Vilka uppgifter vi behandlar och på vilken grund
Uppgifter som behandlas i kundappen är bl.a. identifierings- och kontaktuppgifter, anställnings- och arbetstidsuppgifter, skift, frånvaro samt löne- och ersättningsuppgifter – samt, om dessa funktioner tas i bruk, stämplings- och platsuppgifter. Arbetsgivaren ansvarar som personuppgiftsansvarig för den rättsliga grunden för behandlingen.
I vår egen roll som personuppgiftsansvarig behandlar vi kontaktpersoners uppgifter på grund av avtalets fullgörande (GDPR 6.1 b), lagstadgade skyldigheter såsom bokföring (6.1 c) och berättigat intresse (6.1 f, t.ex. tjänstens informationssäkerhet och kundkommunikation).
Lagring och plats
Tjänstens uppgifter förvaras i Finland (databasen och applikationsinfrastrukturen i Hetzners datacenter i Helsingfors). En del av underbiträdena – betalningsförmedling och valfria AI-funktioner – kan behandla uppgifter utanför EU/EES, varvid överföringen skyddas med kommissionens standardavtalsklausuler (SCC).
Lagringstiderna bestäms av ändamålet och lagstiftningen: kontaktpersoners uppgifter under avtalstiden och högst 24 månader efter att det upphört, bokföringsmaterial enligt bokföringslagen. Kundens personals uppgifter återlämnas eller raderas enligt DPA:n när avtalet upphör, med beaktande av tvingande lagringsskyldigheter (t.ex. arbetstidsbokföring).
Underbiträden och utlämnanden
Vi anlitar underbiträden för att tillhandahålla tjänsten (bl.a. databas- och serverinfrastruktur, betalningsförmedling samt utskick av notiser). Vi säljer inte personuppgifter. Den aktuella listan över underbiträden och personuppgiftsbiträdesavtalet (DPA) finns att läsa nedan.
Microsoft- och Google-konton: inloggning och kopplingar
Du kan logga in i Kelomo med ditt Microsoft- eller Google-konto och koppla din Microsoft 365- eller Google-kalender för att få ett förslag till arbetsdag. En säljare kan dessutom koppla sin egen Microsoft 365-brevlåda för kundkorrespondens. Varje koppling är separat: du ger varje koppling ett eget tillstånd i identitetstjänsten, och du kan återkalla det i dina egna inställningar.
Vid inloggning ber vi Microsoft eller Google om din grundprofil: namn, e-postadress och kontots identifierare. Vi sparar kontots bestående identifierare, e-postadressen, kontots organisationsidentifierare, uppgift om tjänsten bekräftade adressen samt tidpunkten för kopplingen och den senaste användningen. Ditt namn visas bara när du bekräftar kopplingen, och din profilbild stannar i identitetstjänsten. Vi använder dessa uppgifter enbart för att logga in dig och identifiera ditt Kelomo-konto. Identitetstjänsten ser att du loggade in i Kelomo och tillämpar sina egna regler, till exempel flerfaktorsautentisering.
Kalenderanslutningen läser tidpunkter, längd och typ för händelserna i din kalender för att föreslå en arbetsdag. Vi sparar bara tidpunkterna. Rubriker, beskrivningar, platser och deltagare stannar i kalendern, och händelser som är markerade som privata hoppas över. Om du aktiverar ledtråden om destinationsland för reseförslag härleds en landskod ur händelsens rubrik och sparas utan rubriken. Kopplingens behörighet lagras krypterad i Finland. När du kopplar från raderas behörigheten och de sparade tidpunkterna omedelbart.
Microsoft 365-e-post läser ändringar i mapparna Inkorgen och Skickat. Vi sparar bara meddelanden där avsändaren eller mottagaren är en kontaktperson eller ett lead i organisationens CRM; från resten av brevlådan registreras ingenting. Frånkoppling tar bort behörigheten omedelbart. Redan registrerade meddelanden är organisationens CRM-data och bevaras enligt dess regler.
Microsoft och Google är inte Kelomos underbiträden: vi använder ditt eller din organisations eget konto och avtal med dem. Uppgifter som erhålls via dessa kopplingar används bara för de ändamål som beskrivs ovan. De lämnas inte ut till tredje part, används inte för reklam och inte för att träna AI-modeller, och Kelomos personal läser dem bara på din begäran i ett supportärende eller av säkerhetsskäl. Kelomos användning och överföring till andra appar av information från Googles API:er följer Google API Services User Data Policy, inklusive kraven på begränsad användning (Limited Use).
Vi skyddar uppgifter från dessa kopplingar på samma sätt som tjänstens övriga uppgifter. Överföringen mellan Google eller Microsoft och Kelomo samt mellan din webbläsare och Kelomo är TLS-krypterad. Kopplingarnas behörigheter lagras i databasen krypterade med AES-256-GCM under en nyckel som förvaras skild från databasen. Databasen finns i Finland, och varje organisations uppgifter är isolerade från andra organisationer med radnivåbehörigheter i databasen. Åtkomsten till produktionssystemen är begränsad till namngivna administratörer med personliga inloggningar, och till- och frånkoppling registreras i organisationens händelselogg. Tidpunkter som sparats från din kalender raderas när du kopplar från, och senast när organisationens avtal upphör.
Du kan återkalla en koppling i dina egna inställningar under Inloggningssätt, Kalenderanslutning och Microsoft 365-e-post. Du kan också återkalla Kelomos åtkomst direkt i ditt konto: för ett Google-konto på myaccount.google.com/permissions och för ett Microsoft-konto i kontots appbehörigheter. Kelomo märker återkallandet vid nästa användning. Att ta bort en inloggningskoppling raderar inte ditt Kelomo-konto eller dina arbetstidsuppgifter; för dem gäller lagringstiderna ovan.
Cookies
Vi använder endast cookies som är nödvändiga för funktionen och inga tredjeparts annons- eller spårningscookies.
Dina rättigheter
Du har rätt att granska dina uppgifter, begära rättelse, radering eller begränsning av behandlingen, invända mot behandlingen och flytta uppgifterna. När det gäller kundappen styrs begäran i första hand till arbetsgivaren som personuppgiftsansvarig, och vi bistår med detta enligt DPA:n. Du har också rätt att lämna in klagomål till tillsynsmyndigheten (dataombudsmannens byrå, tietosuoja.fi).
Stegen, bevarandetiderna och sätten att begära radering av ett konto och dess uppgifter beskrivs på en egen sida.
Vill du radera ditt konto och dina uppgifter?
Ett Kelomo-konto administreras av arbetsgivaren. Se hur du begär radering, vad som raderas och vad som måste bevaras enligt lag.