Personuppgiftsbiträden och AI-leverantör

Senast uppdaterad den 18 oktober 2026. Denna sida kompletterar vår integritetspolicy och beskriver öppet vem som behandlar uppgifter för vår räkning, vad de får och på vilka villkor. Vi uppdaterar sidan när förhållandena ändras. Detta är en översättning av den danska sidan, som gäller om de skiljer sig åt.

1. Översikt

Leverantör	Roll	Uppgifter	Land	Avtalsgrund
Ollama Inc.	AI-språkmodeller (matchningspoäng, utkast till CV och ansökan, chatt, utkast till vårt svar på ditt ärende)	Utdrag ur CV, jobbannonsens text, dina instruktioner, texten i ett ärende du har skickat oss (bara tillfälligt, se punkt 2)	USA	Leverantörens publicerade villkor; se status i punkt 3
Cloudflare, Inc.	Nätverket framför elsepath.io (skydd, krypterad anslutning, DNS)	All trafik till och från webbplatsen, även det du laddar upp, samt din IP-adress medan anslutningen pågår	Globalt nätverk; amerikanskt företag under EU-US Data Privacy Framework	Cloudflares personuppgiftsbiträdesavtal (Data Processing Addendum, version 6.4)
Hetzner Online GmbH	Drift av Elsepaths servrar (produktion och test)	Alla uppgifter i Elsepath, på krypterade diskar	EU (Tyskland och Finland)	Hetzners personuppgiftsbiträdesavtal
Google (Workspace Drive)	Förvaring av säkerhetskopior	Krypterad databasfil (hela filen krypteras med vår nyckel innan den lämnar servern)	Servrar i EU möjliga; Google är DPF-certifierat	Googles personuppgiftsbiträdesavtal (Workspace DPA)

Elsepath körs på servrar hos Hetzner i EU (Tyskland och Finland) med krypterade diskar. Mejl från oss skickas fortfarande från vår egen e-postserver, och därför finns ingen e-posttjänst på listan.

Planerat och nämnt här för öppenhetens skull: betalning (Stripe), när betalning aktiveras. Byter vi AI-leverantör eller flyttar driften till en annan leverantör sker det först när personuppgiftsbiträdesavtalet är på plats och denna sida har uppdaterats.

2. Vad skickar vi till AI-leverantören, och vad händer med det?

När du använder AI-funktionerna (matchningsbedömning, "Skapa CV & ansökan", revisionschatten, supportchatten) skickar vi det nödvändiga utdraget per anrop över en krypterad anslutning (TLS): relevant CV-innehåll, jobbannonsens text och dina instruktioner. Vi skickar aldrig ditt lösenord, din e-postadress behövs inte för beräkningen, och vi skickar aldrig hela databasen, bara innehållet i det konkreta anropet.

Enligt Ollamas integritetspolicy (senast uppdaterad mars 2026, granskad av oss den 28 juli 2026 och igen den 8 augusti 2026) gäller följande för deras molnmodeller:

Innehållet behandlas tillfälligt och sparas inte längre än den tid det tar att besvara anropet. De använder tekniska åtgärder som är utformade för att minimera lagringen av prompt- och svarsinnehåll.
Leverantören ställer samma krav vidare på sina driftpartner: ingen loggning, ingen träning och ingen datalagring ("zero data retention"). Kravet gäller molntjänsten som helhet, inte bara utvalda modeller.
Ditt innehåll används aldrig för att träna AI-modeller.
De metadata de samlar in (till exempel appversion och antal anrop) innehåller inte själva innehållet i prompter eller svar.
De säljer inte personuppgifter.
Vid säkerhetsincidenter anmäler de till tillsynsmyndigheten inom 72 timmar, om det inte är osannolikt att incidenten medför en risk.
Policyn erkänner rättigheterna enligt dataskyddsförordningen för personer i EU, bland annat rätten att klaga till en tillsynsmyndighet.

Källor hos leverantören: Ollamas integritetspolicy och villkor. Vi uppmuntrar dig att själv läsa dem; det är leverantörens egna dokument, och de kan ändras.

3. Status: behandling i USA och avtalsgrund

Ollama behandlar molnanrop i USA och erbjuder i dag varken en EU-region eller ett offentligt personuppgiftsbiträdesavtal enligt artikel 28 i dataskyddsförordningen, och vid vår senaste kontroll (28 juli 2026) hittade vi dem inte på listan för EU-US Data Privacy Framework. Det betyder att den formella avtalsgrunden för denna del ännu inte når upp till den nivå vi vill ha.

I augusti 2026 meddelade leverantören kapacitet i både USA och Europa. Vi undersöker om våra anrop kan köras i Europa; tills det är bekräftat beskriver denna sida behandlingen som baserad i USA.

Vår bedömning och plan: Vi har gjort en skriftlig konsekvensbedömning av överföringen (Transfer Impact Assessment). Den verkliga risken bedöms som låg, eftersom innehållet inte sparas hos leverantören, inte används för träning och skickas krypterat, men vi betraktar upplägget som en övergångslösning. Planen är att flytta AI-behandlingen till en leverantör i EU, eller att ingå ett undertecknat personuppgiftsbiträdesavtal med den nuvarande leverantören, innan tjänsten lanseras kommersiellt. Denna sida uppdateras när det sker.

Vill du inte att ditt innehåll skickas till AI-leverantören kan du använda Elsepath utan AI-funktionerna: du kan se hittade jobb utan matchningspoäng och avstå från att använda "Skapa CV & ansökan" och chatten.

4. Säkerhetskopior hos Google

Av driftsäkerhetsskäl kopieras dagliga säkerhetskopior av databasen till Google Drive enligt Googles personuppgiftsbiträdesavtal för Workspace. Hela filen krypteras med vår publika nyckel innan den lämnar servern, och CV:n, ansökningar, annonstexter och mejllösenord är dessutom fältkrypterade (AES-256-GCM) inuti den. Krypteringsnycklarna förvaras åtskilda från säkerhetskopiorna. Hos Google sparas dagliga kopior i 14 dagar och söndagskopior i 8 veckor. Säkerhetskopior används bara för återställning efter driftstopp, aldrig för att slå upp enskilda personers uppgifter.

5. Jobbkällor och vår sökrobot (ElsepathBot)

Jobbannonserna i tjänsten kommer från offentliga källor: Jobnet (offentligt API), Jobindex (officiella RSS-flöden), öppna ATS-API:er (till exempel Greenhouse) och danska företags egna, offentligt tillgängliga karriärsidor. Det är uppgifter om företag och tjänster, inte personuppgifter om våra användare.

Karriärsidorna besöks av vår egen sökrobot med den identifierbara User-Agent ElsepathBot, som länkar till denna sida. Den följer dessa regler:

Den respekterar robots.txt på varje domän och hämtar aldrig sidor som är undantagna för sökrobotar. Domäner med totalförbud besöks inte alls.
Den hämtar bara offentliga sidor: aldrig innehåll bakom inloggning och aldrig LinkedIn.
Den körs med låg belastning: ett anrop åt gången till samma domän, minst tre sekunders paus mellan anropen, och varje webbplats besöks högst en gång per dygn.
Svarar en webbplats "åtkomst nekad" (HTTP 403 eller 401), eller förbjuder robots.txt oss jobbsidorna, låter vi webbplatsen vara och försöker först igen en månad senare. Vi försöker aldrig ta oss runt ett nej.
Kontaktpersoner kan förekomma i en annons (namn och e-post i jobbannonsen). De behandlas enbart som en del av den publicerade annonsen och visas bara i annonsens sammanhang. Annonsen raderas ur vår gemensamma jobbpool 30 dagar efter att den har gått ut; har en användare jobbet på sin lista finns den kvar där tills användaren raderar sitt konto. Se integritetspolicyn, punkt 10.

Är du ansvarig för en karriärsida och vill ha den undantagen kan du antingen uppdatera er robots.txt (vi följer den inom ett dygn) eller skriva till [email protected].

6. Vad vi aldrig gör

Vi säljer aldrig dina uppgifter och visar ingen reklam.
Vi skickar aldrig ansökningar eller något annat för din räkning; du skickar alltid själv.
Vi delar inte dina uppgifter med arbetsgivare, headhunters eller andra användare.
Vi tar aldrig ett nytt personuppgiftsbiträde i bruk utan att uppdatera denna sida och integritetspolicyn.

Frågor? Skriv till [email protected].