Integritet

Vad Nordsynk lagrar och varför

Nordsynk autentiserar MCP-sessioner och hanterar Fortnox-arbetsflöden. Vissa flöden lagrar också bolagsdata, bankuppgifter, ändringsuppgifter, uppladdade filer och driftinformation som behövs för tjänsten. Här beskriver vi huvudsakliga ändamål och kända lagringsfönster; lagringstider beror på datatyp.

Leverantör: Nordbeam AB, org.nr 559434-4201, Limhamn
Senast uppdaterad: 2 oktober 2026

Det här meddelandet finns på svenska och engelska. Vid skillnader gäller den svenska texten.

Identitets- och kontodata

Nordsynk lagrar det interna Nordsynk-användar-ID:t, ID:t för det anslutna Fortnox-bolaget, företagsnamn, organisationsnummer, senaste inloggningstidstämpel och, när det finns, den Fortnox-kopplade e-postadressen och Fortnox-användaridentifieraren.

Sessionsdata

Nordsynk använder krypterade webbläsarcookies för att hålla dig inloggad både på adminsidorna och på sidorna där du ansluter en AI-assistent, på nordsynk.se och mcp.nordsynk.se. Dessa cookies innehåller Nordsynk-användar-ID, ID:t för det anslutna Fortnox-bolaget, företagsnamn och de godkända Fortnox-integrationsbehörigheterna. En separat serverpost lagrar sessions-ID, när sessionen skapades och löper ut samt om den har återkallats, så att Nordsynk kan validera sessionen. Sessioner löper ut inom 30 dagar; utgång eller återkallelse avslutar åtkomsten. Utgångna poster tas bort i begränsade omgångar när nya sessioner skapas. Återkallelse raderar inte posten omedelbart.

Licensiering och företagsanslutningsstatus

För Fortnox Marketplace-lanseringen cachar Nordsynk företagsanslutningsposter och Fortnox-platsverifieringsresultat så att tjänsten kan avgöra om en användare ska tillåtas ansluta.

Drifttelemetri

Nordsynk registrerar begränsade drifthändelser som OAuth-aktivitet, MCP-verktygsnamn, varaktigheter och framgångs- eller felstatus i egna telemetrilager hos Cloudflare. En strikt filtrerad och pseudonymiserad del speglas till PostHog EU Cloud för produktlärande. Rå Fortnox-data, företagsnamn, organisationsnummer, e-postadresser, fritextmeddelanden, OAuth-material och godkännandepayloads ingår inte i den speglingen.

Cookies och webbplatsanalys

Nordsynk använder Google Analytics 4 (mätnings-ID G-Y1VLVFJWVP) och PostHog EU Cloud för att förstå hur webbplatsen och introduktionen används. Analyslagring är nekad som standard och PostHog startar inte förrän du klickar Tillåt cookies. Före godkännandet tar Google endast emot aggregerade, cookielösa Consent Mode-pingar utan identifierare. Efter godkännandet registrerar PostHog avsiktliga produkthändelser och kan spela in helt maskerade sessioner på marknads- och introduktionssidor: all synlig text, alla formulärfält och elementattribut maskeras, och sidor för dashboard, byrå, drift, autentiseringscallback och godkännanden undantas. Rå bokföringsdata ingår aldrig. Händelser i Google Analytics lagras i 14 månader och behandlas av Google LLC i USA enligt EU:s standardavtalsklausuler; PostHog-data behandlas inom EU. Du kan när som helst ändra ditt val via ”Hantera cookies” i sidfoten.

Supportchatt

Om du skriver till oss i supportchatten sparar vi meddelandet, den sida du skickade det från och e-postadressen du lämnar. Meddelandet skickas även till vår Slack-kanal så att teamet kan följa konversationen och svara direkt. När AI-svar är aktiverade skickas meddelandetexten till Googles Gemini-API för att skapa ett svar. Svar från Slack och AI visas i chatten.

Marknadsföring och annonsmålgrupper

För att nå företag som liknar våra kunder kan vi normalisera och hasha kunders e-postadresser innan hashvärdet skickas till annonsplattformar som Meta och Google. Hashning minskar den direkta exponeringen, men hashvärdet är fortfarande en personuppgift och används för målgruppsmatchning, mätning, exkludering och närliggande annonseringsändamål som beskrivs här. Grunden är vårt berättigade intresse av att marknadsföra tjänsten; du kan när som helst invända genom att mejla hello@nordbeam.io så tar vi bort din adress ur framtida målgrupper.

Fortnox-dataåtkomst

Fortnox-data nås genom autentiserade MCP-sessioner och OAuth-tokens utfärdade av Fortnox. Varje användare ansluter med sitt eget Fortnox-konto, och åtkomsten följer användarens bolagsbehörigheter, produktlicenser, Nordsynk-plats och de godkända integrationsbehörigheterna. Vissa arbetsflöden lagrar skyddade SIE-/huvudbokssnapshots för rapporter och DataLink-exporter, samt ändringsuppgifter och körunderlag som behövs för att visa ett förslag, registrera ett beslut och utföra den begärda ändringen. Som standard öppnas en förhandsgranskning i webbläsaren för ändringar; ett bolag kan aktivera autogodkännande under Nordsynk Dashboard → Inställningar → Ändringsgodkännande. Fortnox-behörigheter och bolagets åtkomstpolicy gäller i båda lägena.

Bankuppgifter via Open Banking

Om bankkoppling är aktiverad för bolaget kan Nordsynk via Enable Banking Oy, ett finskt kontoinformationsinstitut (AISP) under FIN-FSA:s tillsyn, läsa valda svenska bankkonton, saldon och transaktioner. Uppgifterna kan omfatta datum, belopp, valuta, motpart, referenser och meddelandetext när banken lämnar ut dem. Kopplingen är endast läsande och kan inte initiera betalningar. Detaljerade banksessioner och transaktionshistorik lagras i Nordsynks banklager med uttrycklig EU-jurisdiktion. En separat D1-databas lagrar anslutnings- och kontosammanfattningar, inklusive maskerad kontobeteckning och senaste saldo, men inte transaktionsrader; den har ingen uttrycklig geografisk låsning. Personer som har åtkomst till bolaget i Nordsynk kan läsa uppgifterna, även konsulter som har behörighet till klientbolaget i byråns arbetsyta. När du ber AI-assistenten om bankuppgifter returneras de till den anslutna AI-klienten och behandlas av dess leverantör enligt ditt avtal. Enable Banking uppger att bolaget också är personuppgiftsansvarigt för den reglerade AISP-tjänsten; rollfördelningen ska granskas juridiskt.

Banksamtycke och radering

Samtycket gäller till det datum som banken visar. Du kan se eller återkalla det på Enable Bankings samtyckessida. När samtycket löper ut eller återkallas stoppas fortsatt hämtning när ändringen upptäcks, men redan hämtad bankhistorik raderas inte omedelbart. Om funktionen är aktiverad för ditt bolag finns anslutning, kontomappning, uppdatering, status och frånkoppling under Bank i Dashboard. Vid avveckling och vissa samtyckesutgångar blir uppgifterna aktuella för schemalagd radering efter en 30-dagars frist. Misslyckade försök görs om, så detta är ingen garanterad tidsfrist för radering. För att begära åtkomst till, rättelse av eller radering av bankuppgifter som Nordsynk har, mejla hello@nordbeam.io. Begränsade revisionsuppgifter eller säkerhetskopior kan finnas kvar enligt separata lagringstider.

Dropzone — tillfällig fillagring

När du skickar en fil, till exempel ett kvitto eller en faktura som PDF, till Fortnox via din AI-assistent mellanlagras den kortvarigt i privat Nordsynk-lagring. Filen publiceras inte på en öppen URL. Uppladdningslänken är giltig i 30 minuter som standard (5–60 minuter), och du kan be assistenten att återkalla en väntande uppladdningssession. De mellanlagrade bytes raderas normalt när Fortnox har tagit emot filen, med en städningsfrist på 24 timmar; avvisade filer, till exempel fel filtyp eller en ogiltig PDF, sparas inte.

Personuppgiftsansvar och personuppgiftsbiträde

För kontodata, sessionsdata, drifttelemetri och marknadsföring som beskrivs ovan är Nordbeam AB personuppgiftsansvarig. För bokförings- och kunddata som Nordsynk läser eller skriver i kundens Fortnox-bolag på kundens uppdrag agerar Nordbeam AB i stället som personuppgiftsbiträde, och kunden är personuppgiftsansvarig för den datan. Rollfördelningen för bankuppgifter mellan Nordbeam AB, Enable Banking Oy, banken och kunden behöver granskas utifrån respektive behandling. Enable Banking uppger att bolaget är personuppgiftsansvarigt för den reglerade AISP-tjänsten.

Personuppgiftsbiträdesavtal (DPA)

Ett personuppgiftsbiträdesavtal som reglerar hur Nordbeam AB behandlar kundens bokföringsdata i Fortnox på kundens uppdrag finns tillgängligt på begäran via hello@nordbeam.io. Det avtalet fastställer inte villkoren för Enable Bankings reglerade AISP-tjänst. Enable Banking uppger att bolaget är personuppgiftsansvarigt för den tjänsten. Kontakta hello@nordbeam.io för information om aktuella villkor och rollfördelning för en viss behandling av bankuppgifter.

Underleverantörer och bankdataleverantör

Nordsynk använder Cloudflare (hosting, databas, fillagring och e-postutskick), Google (Gemini-API:et för webbplatsens supportchatt och Google Analytics 4) samt PostHog EU Cloud (produktanalys). Byråavtal använder även Stripe (fakturering). När bankkoppling är aktiverad används Enable Banking Oy, Finland, som reglerad leverantör av kontoinformationstjänster. Enable Banking är ett finskt AISP under FIN-FSA:s tillsyn; dess roll och villkor för bankåtkomst beskrivs i avsnittet om bankuppgifter. Fortnox, Spiris och Bokio är de bokföringssystem kunden själv väljer att ansluta.

Lagringstider

Lagringstiderna varierar mellan arbetsflöden och datatyper. En skyddad SIE-/huvudbokssnapshot blir inaktuell efter sex timmar; det är en gräns för aktualitet, inte för radering. En schemalagd städning tar bort snapshots efter 30 dagar utan lyckad användning. När en DataLink återkallas eller löper ut upphör åtkomsten via länken, men det sätter ingen separat raderingsfrist för källsnapshoten. Ändringsgodkännanden behåller en maskerad förhandsvisning samt uppgifter om beslut och utfall. Nya exakta begäranden som behövs för att utföra eller återuppta en ändring krypteras vid lagring; schemalagd städning tar bort dem 30 dagar efter en avgjord körning, tidigare för avvisade förslag. Olösta eller säkert återförsökbara ärenden behåller körunderlaget tills de är avgjorda. Äldre begäranden i klartext migreras i begränsade omgångar. Det här meddelandet anger ingen fast raderingsfrist för godkännandenas revisionsposter. Städning i applikationen raderar inte omedelbart D1 Time Travel eller säkerhetskopior. Google Analytics-händelser sparas i 14 månader (se ”Cookies och webbplatsanalys” ovan). Dropzone-filbytes raderas efter lyckad uppladdning, utgång eller återkallelse, med en städningsfrist på 24 timmar — se avsnittet om Dropzone nedan. Uppgifter om filen och händelser kan finnas kvar efter att bytes har tagits bort; det här meddelandet anger ingen fast raderingsfrist för sådana uppgifter.

Integritetskontakt och uppdateringar

Nordsynk tillhandahålls av Nordbeam AB (org.nr 559434-4201), Nätsnäcksgränd 8, 216 31 Limhamn. Frågor, begäran om tillgång, rättelse eller radering kan skickas till hello@nordbeam.io. Detta meddelande kan uppdateras när tjänsten, Fortnox krav eller stödda MCP-klienter ändras.