Så behandlar Anbudskollen personuppgifter

Information enligt artiklarna 13 och 14 i dataskyddsförordningen. Version 2, daterad 13 oktober 2026.

Personuppgiftsansvarig är Wilhelmsson Labs AB, org.nr 559591-7435, Dunkehallavägen 72, 554 47 Jönköping, [email protected].

• Om ni har fått ett mejl från Anbudskollen
• Om ni köper en kontrolllista
• Vilka som tar del av uppgifterna
• Era rättigheter

Om ni har fått ett mejl från Anbudskollen

Vem mejlet går till

Aktiebolag som vi har hittat i ett offentligt tilldelningsmeddelande på TED för en tidigare upphandling inom samma område som en upphandling som pågår just nu. Mejlet länkar till meddelandet.

Varifrån uppgifterna kommer

Från TED (Tenders Electronic Daily), EU:s officiella databas för offentliga upphandlingar, som ges ut av Europeiska unionens publikationsbyrå och är öppen för alla. Vi hämtar uppgifterna ur tilldelningsmeddelanden, där bolagets kontaktuppgifter finns med. Uppgifterna kommer alltså från en allmänt tillgänglig källa och inte direkt från er.

Vilka uppgifter

Företagsnamn, organisationsnummer, den funktionsadress som angavs i TED, webbadress, ort, vilket upphandlingsområde, vilket tilldelningsmeddelande uppgifterna kommer från (med meddelandets titel) och vilken pågående upphandling mejlet gäller, poängen och det korta skälet i kontrollen av att upphandlingen passar er, samt tidpunkt för uttaget ur TED och för utskicket. Vi sparar inga kontaktpersoners namn och inga personliga e-postadresser: vi använder bara funktionsadresser som info@ och kontakt@. Företagsnamnet sparas så som det står i TED.

Varför och rättslig grund

För att erbjuda Anbudskollen, en betald kontrolltjänst, till aktiebolag som är verksamma i offentliga upphandlingar inom samma område. Mejlet är marknadsföring och är märkt så. Rättslig grund är berättigat intresse (artikel 6.1 f i dataskyddsförordningen). Vårt intresse är att kunna erbjuda en tjänst till företag som förekommer i offentliga upphandlingar inom området. Vi har vägt det mot era intressen och bedömt att vårt intresse väger tyngre, eftersom mejlet gäller er yrkesmässiga verksamhet, vi bara använder en funktionsadress och ni enkelt kan säga nej. Vår intresseavvägning skickas på begäran.

Kontroll av att upphandlingen passar er

För att inte kontakta bolag som inte arbetar med det som upphandlingen gäller låter vi en AI-tjänst, Google Cloud Vertex AI i EU, bedöma om den pågående upphandlingen gäller samma sorts uppdrag som den tidigare upphandling som bolaget förekommer i. Tjänsten får bara bolagets namn, titeln på det tidigare tilldelningsmeddelandet samt titel, köpare och upphandlingsområde i den pågående upphandlingen. Den får aldrig bolagets e-postadress eller organisationsnummer. Bedömningen används bara för att avgöra vilka bolag som får ett mejl och i vilken ordning, och i sammanräknad statistik utan namn över hur väl bedömningen fungerar. Den gäller bolagets verksamhet och inte någon enskild person, och leder inte till något beslut med rättsliga följder för er. Google kan logga det som skickas för att upptäcka missbruk.

Hur ofta

Högst 2 mejl per företag, någonsin: ett första mejl och en påminnelse.

Hur länge

Skickar vi inget mejl inom 28 dagar från uttaget ur TED raderas adressen ur registret. Skickar vi ett mejl sparas adressen i högst 24 månader efter det första mejlet, därefter raderas den ur registret. En adress som inte uppfyller våra krav för utskick används inte och raderas ur registret enligt samma tider. Efter raderingen sparas bolagets namn och organisationsnummer, uppgift om att bolaget har kontaktats och när, och ett hashvärde av adressen, så länge tjänsten finns. Det behövs för att vi aldrig ska kontakta samma bolag fler gånger än vi har sagt. Kontrollens poäng och korta skäl, och titeln på det tidigare tilldelningsmeddelandet, sparas så länge tjänsten finns. Uppgifterna handlar om vad bolaget arbetar med, inte om någon person. Säkerhetskopior av registret sparas i 14 dagar, så en raderad adress kan finnas kvar i en säkerhetskopia i högst 14 dagar till.

Spärrlista

Avregistrerar ni er raderas adressen ur vårt register och ett hashvärde av adressen läggs på en spärrlista, så att vi känner igen adressen utan att behöva spara den. Hashvärdet (SHA-256) är en omvandling som inte går att vända utan att man redan känner till adressen. Det är fortfarande en personuppgift och sparas så länge tjänsten finns. Mejlet vi har skickat, och ert svar om ni har svarat, finns kvar i vår e-postlåda hos Google Workspace. De omfattas inte av den automatiska raderingen i registret.

Om ni svarar på mejlet

Svarar ni behandlar vi ert svar, namnet och titeln i er signatur och den e-postadress ni skriver från. Syftet är att hantera ert svar, verkställa en invändning och kunna visa att vi har gjort det. Rättslig grund är berättigat intresse (artikel 6.1 f). Ert svar och vårt svar sparas i vår e-postlåda hos Google Workspace i högst 24 månader efter sista kontakten. Svar hanteras med hjälp av en AI-tjänst från Anthropic Ireland Limited, som är underbiträde. Dokument ni laddar upp skickar vi inte dit. Behandling kan ske i USA med stöd av EU-kommissionens standardavtalsklausuler. Skriv inte känsliga personuppgifter i ert svar.

Dataskyddsombud

Vi har inget dataskyddsombud. Frågor om personuppgifter skickas till [email protected].

Om ni köper en kontrolllista

Vilka uppgifter

De uppgifter ni anger vid betalningen: namn, e-postadress, företag, organisationsnummer, faktureringsadress och momsregistreringsnummer. Kortuppgifterna hanteras av Stripe och vi ser aldrig kortnumret. Vi sparar också ordernummer, belopp, tidpunkter och vilken version av villkoren ni godkände.

Varför och rättslig grund

För att leverera tjänsten, fakturera och bokföra. Rättslig grund är avtalet (artikel 6.1 b) och bokföringslagen (artikel 6.1 c). Uppgifterna är nödvändiga för att vi ska kunna leverera.

Dokument ni laddar upp

Underlag och utkast lagras krypterat och används bara för er kontrolllista. De analyseras av en AI-modell i Google Cloud Vertex AI i EU. Enligt Googles villkor kan Google hålla indata i minnet i upp till 24 timmar och logga förfrågningar för att upptäcka missbruk, och indata används inte för att träna Googles modeller utan vårt tillstånd. Vi använder inte dokumenten för att träna AI-modeller. Raderingen efter 30 dagar gäller vår egen lagring. Innehåller dokumenten personuppgifter är ni personuppgiftsansvariga och vi personuppgiftsbiträde, se villkoren.

Hur länge

Fakturan och de uppgifter som behövs för bokföringen (räkenskapsinformation) sparas enligt bokföringslagen fram till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. 30 dagar efter leveransen eller återbetalningen raderar vi dokumenten, kontrolllistan, dokumentens filnamn och e-postadressen ur vårt orderregister. Namn, organisationsnummer, faktureringsadress och momsregistreringsnummer finns kvar i orderregistret som bokföringsunderlag, även för en order som har återbetalats, och raderas därifrån senast ett år efter att bokföringslagens tid har gått ut. Säkerhetskopior av registret sparas i 14 dagar, så en raderad uppgift kan finnas kvar i en säkerhetskopia i högst 14 dagar till. Mejl vi har skickat till er (uppladdningslänk, påminnelser, rapportlänk och besked om återbetalning) och era svar finns kvar i vår e-postlåda hos Google Workspace och omfattas inte av den automatiska raderingen i registret.

Vilka som tar del av uppgifterna

Vi lämnar inte uppgifterna till andra än de underbiträden som behövs för tjänsten:

Fullständig lista med dataplats och skyddsåtgärder finns på sidan Underbiträden. Stripe, Google, Cloudflare och Anthropic ingår i amerikanska koncerner. Överföring till USA kan ske och sker då med stöd av EU-US Data Privacy Framework när bolaget är certifierat enligt det, och i övrigt med EU-kommissionens standardavtalsklausuler. Ni kan få en kopia av skyddsåtgärderna genom att kontakta [email protected].

AI

Kontrolllistorna från Anbudskollen tas fram av AI och är märkta så. Utskicken är fasta texter som skickas automatiskt av Wilhelmsson Labs AB. Svar på era mejl kan skrivas med hjälp av AI, och är då märkta så i första raden. Vi fattar inga automatiska beslut som får rättsliga följder för er.

Era rättigheter

Ni har rätt att få veta vilka uppgifter vi har om er, få dem rättade eller raderade, begära begränsning av behandlingen och invända mot den. Invändning mot direktmarknadsföring gäller alltid, se avsnittet Rätten att invända ovan. Uppgifter ni själva har lämnat vid köp kan ni dessutom ha rätt att få ut i ett maskinläsbart format. Kontakta [email protected].

Ni har också rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY): imy.se.