Integritetspolicy

Karma fungerar helt utan konto, och då stannar nästan allt i din webbläsare. Loggar du in för att synka eller jobba med andra sparas det som behövs för det, och inget mer. Karma-knappen (annonser och flikräkning för välgörenhet) är av från början; slår du på den räknas lite mer, och det står nedan. Här står vad vi behandlar, varför, med vilken rätt, hur länge och vilka som hjälper oss.

Vem som ansvarar

Pang and the Gang AB (559149-4264), Varvsgatan 19, 11729 Stockholm, är personuppgiftsansvarig för behandlingen som beskrivs här. Frågor om dina uppgifter: ovefelt@gmail.com.

I en arbetsyta som ett företag använder för sitt arbete är det företaget som ansvarar för innehållet i arbetsytan, och vi behandlar det för deras räkning enligt vårt personuppgiftsbiträdesavtal.

Det här gör vi aldrig

• Spårar vilka sidor du besöker eller vad du söker på. Sökningar går direkt till sökmotorn, i tillägget din egen via Chrome och i webbappen Google, och vi ser dem aldrig.
• Säljer eller lämnar ut uppgifter om dig.
• Visar annonser som är anpassade efter dig. Annonser visas bara om du har slagit på Karma, och de väljs efter språk, aldrig efter vem du är. Sponsorerna får bara summor.
• Använder analysverktyg eller kakor för att följa dig. Se cookies och lagring.

Utan konto: nästan allt stannar hos dig

• Listor, uppgifter, tavlor, dokument och inställningar sparas i webbläsarens lagring på din dator.
• Egna bakgrundsbilder förminskas och sparas i webbläsaren. Utan konto skickas de ingenstans.
• Kalenderadresser (ICS) sparas bara lokalt. Karma hämtar kalendern direkt från Google, Outlook eller iCloud.
• Vädret: när du har valt en ort hämtar nya fliken prognosen från Open-Meteo (Schweiz) med ortens koordinater. Det du skriver när du söker ort skickas till Photon (komoot, Tyskland) för förslagen, och det du skriver när du söker en stad till världsklockorna till Open-Meteos ortsökning. De ser din IP-adress som vid alla besök på webben, men inget annat om dig. Väljer du Använd min plats frågar webbläsaren först; platsen skickas då till Photon och Open-Meteo och sparas bara på din dator. Grund: berättigat intresse (vädret du bett om på startsidan) och samtycke för platsen (webbläsarens fråga).
• Tala i språkkursen: säger du något i mikrofonen i Lär dig tolkas talet av webbläsarens taligenkänning. I Chrome skickar webbläsaren ljudet till Google för det. Karma får aldrig ljudet; det enda som sparas är hur det gick, på din dator. Webbläsaren frågar först om lov att använda mikrofonen, och talövningarna kan stängas av i kursen. Grund: samtycke (webbläsarens fråga).
• Fanspot-kortet: slår du på det under Widgetar hämtar webbläsaren nyheter och matcher för laget du valt direkt från Fanspot (fanspot.one), och nyheternas bilder från nyhetssajterna. De ser din IP-adress som vid alla besök på webben; inget annat om dig skickas, och laget du valt sparas hos dig. Kortet är avstängt tills du slår på det. Grund: samtycke (du slår på det).
• Genvägarnas ikoner: i tillägget hämtas de ur Chromes egen cache, så ingen annan får veta vilka genvägar du har. I webbappen hämtar vår server ikonen åt dig: webbläsaren skickar bara webbplatsens namn (till exempel github.com) till oss, och servern hämtar ikonen från Googles ikontjänst. Google ser då bara att Karmas server frågar efter en ikon, aldrig vem du är eller vilka andra genvägar du har, och vi sparar inget om det. Ingen annan får listan över dina genvägar. Genvägar till din egen dator eller ditt eget nät (localhost, ip-adresser, lokala namn eller en egen port) får ingen ikon hämtad, bara första bokstaven.

Vädret, ortsökningen och Fanspot-kortet (om du slagit på det) hämtas på samma sätt oavsett om Karma är på eller av. Inget av det går till oss. Exemplet av Karma på karma.surf/om hämtar vädret för Stockholm från Open-Meteo på samma sätt, men inga ikoner.

Karma: bara när du har slagit på det

Karma är av från början. Med Karma av visas ingen annons, inget räknas och inget om dig skickas för Karma, och det finns inget nummer för webbläsaren. Appen frågar bara vår server om Karma går att slå på än; frågan innehåller inget om dig, men är du inloggad går den med din inloggning som alla anrop. Slår du på Karma, i tillägget eller i inställningarna, gäller det här:

• Annonserna hämtas från oss som en lista för dagen och väljs i din webbläsare efter språk, aldrig efter vem du är. Bilderna hämtas utan avsändaradress (referer); ligger en bild hos sponsorn ser den webbplatsen din IP-adress, som vid alla besök på webben.
• Antalet flikar som visat en annons skickas till oss per dag och organisation, och likaså antalet rätta svar i frågorna i I dag: bara hur många, aldrig frågorna eller vad du svarade, och aldrig vilka sidor du besöker. Annonsernas visningar och klick skickas som summor per annons och dag. Det behövs för att dela pengarna mellan organisationerna och redovisa dem.
• Utan konto skickas det med ett slumpat nummer som skapas när du slår på Karma och bara finns i din webbläsare. Det säger inte vem du är, men det är samma nummer varje dag, så uppgifterna är pseudonyma, inte anonyma. Stänger du av Karma tas numret bort ur webbläsaren, och det som väntade på att skickas kastas. Med konto räknas det på kontot i stället.
• Mot fusk räknar vi hur många flikar, visningar och klick som kommer från samma IP-adress per dag; adressen sparas inte, bara en hash av adressen och dagen, och den rensas bort efter ett par dagar. Med konto räknas också visningar och klick per konto och dag, och de raderna rensas bort efter ett par dagar.

Grund: samtycke. Du har själv slagit på Karma och kan stänga av det när du vill, i inställningarna. Numret sparas i din webbläsare för att ge dig Karma, som du själv bett om (lagen om elektronisk kommunikation 9 kap. 28 §).

Med konto: det som behövs för att synka och samarbeta

Inloggningen sker med en engångskod till din e-post, eller med Google, utan lösenord. Grund: avtal (för att ge dig tjänsten du bett om).

• Konto: e-postadress, namn och färg på din profilbild, och vilken version av användarvillkoren du godkänt och när.
• Inloggningen: för varje webbläsare där du är inloggad sparas din IP-adress och vilken webbläsare det är, så länge du är inloggad där. Grund: berättigat intresse (att skydda ditt konto).
• Utseendet: tema och bakgrunder, så att samma utseende syns på alla dina datorer. Egna bakgrundsbilder laddas upp till en privat mapp som bara du kan läsa.
• Dina poster: listor, uppgifter, tavlor, dokument, kalenderhändelser, lappar och vanor, så att de finns på alla dina datorer. Bara du kan läsa dina personliga poster.
• Arbetsytor: det du delar i en arbetsyta (poster, chatt, kommentarer, omröstningar, röster) syns för medlemmarna i den, och bara för dem. Gäster ser och kan kommentera samma sak, men inte ändra något, och de ser medlemmarnas namn men inte deras e-post.
• Närvaro: när du har Karma öppet framför dig ser medlemmarna i dina arbetsytor att du är inne och vad du tittar på. Det sparas inte.
• Karma: ditt svar på frågan om Karma, ja eller nej, och när du gav det. Har du sagt ja också vilken version av texten du såg då och när vår server tog emot det, vilken organisation du valt och om du valt "Visa en annons också". Med Karma på också hur många flikar med annons och rätta svar du haft per dag och organisation, och annonsernas visningar och klick per dag, som ovan. Den öppna redovisningen visar bara summor. Grund: samtycke för räkningen; berättigat intresse för att kunna visa vad du sagt ja till.
• Notiscentret: det som händer för dig (vem som nämnde dig, svarade, kommenterade eller gick med, var det var och ett kort utdrag) sparas så att du kan se det i efterhand. Bara du ser dina notiser, och de raderas efter 90 dagar.
• Notiser: slår du på notiser sparas en adress hos din webbläsares notistjänst (till exempel Google eller Apple) så att vi kan skicka påminnelser och när någon nämner dig. Grund: samtycke (du slår på det).
• Mejla in uppgifter: din personliga adress, och det du mejlar dit blir en uppgift. Mejlen tas emot av Resend.
• Bilagor: filer, bilder, video och ritningar du bifogar sparas privat. Dina egna kan bara du nå; de i en arbetsyta kan medlemmarna nå. Länkarna som visar dem gäller en timme åt gången.

Google Kalender och inloggning med Google

Kopplar du Google Kalender får Karma se och ändra händelser i dina kalendrar och se vilka kalendrar du har. Inget annat: inte mejl, kontakter eller filer.

• Vad det används till: att visa dina möten i Karmas kalender och att skapa, flytta, byta namn på och ta bort händelser när du själv gör det i Karma.
• Vad som sparas: din Google-adress och en nyckel för att hålla kopplingen (krypterad). Händelserna sparas inte på servern.
• Det här gör vi aldrig med Google-data: säljer eller delar den, använder den för reklam eller sponsorer, låter någon människa läsa den (utom om du ber om hjälp, om det krävs enligt lag eller för säkerheten), eller använder den för att träna AI-modeller. Karmas användning av data från Googles API:er följer Google API Services User Data Policy, inklusive kraven på begränsad användning (Limited Use).
• Koppla från: Inställningar → Kalender → Koppla från, eller under myaccount.google.com/permissions.

Delning, formulär, bokning och kopplingar

• Läslänkar: vem som helst med länken kan se tavlan eller dokumentet, utan konto, men inte ändra något. Inga kommentarer, ingen chatt och inga e-postadresser visas.
• Formulär: det den som fyller i skriver blir ett kort; inget annat sparas om den som fyller i.
• Bokningslänkar: den som bokar skriver namn, e-post och ett meddelande om de vill. Det sparas, syns i din kalender och skickas som bekräftelse till båda via Resend.
• Slack och webhooks: när ett kort skapas, flyttas eller blir klart skickas kortets och tavlans namn, steget och namnet på den som ändrade till adressen du angett.
• GIF:ar i chatten: det du söker på skickas till Giphy via vår server, så Giphy ser inte vem som söker. GIF:arna visas från Giphys servrar i USA, och Giphy ser då IP-adressen hos alla som ser GIF:en, också hos den som inte själv skickat den.
• Länkar och bilder i chatten: skriver du en länk hämtar vår server sidans rubrik och bild för en förhandsvisning; det sparas inte. Bilden i förhandsvisningen, och bilder som någon länkar direkt i chatten, hämtar webbläsaren från den webbplatsen, som då ser IP-adressen.

Väntelistan, kontaktformuläret och sponsorerna

• Väntelistan på karma.surf/om: din e-post, ditt namn om du skriver det, när du kryssade i att vi får mejla dig och vilken text som stod vid rutan. Vi mejlar bara om betan och lanseringen. Vill du inte stå kvar, skriv via kontaktsidan så tar vi bort dig. Grund: samtycke.
• Kontaktformuläret på karma.surf/kontakt: din e-post, vad det gäller och det du skriver. Vi använder det bara för att svara dig. Grund: berättigat intresse (att kunna svara).
• Förhandsbokningar på karma.surf/sponsra: företagets namn, e-post, annonsens rubrik, text och länk, vilken vecka eller dag och vilket format ni önskar, det som hör till formatet (till exempel spel, organisation, mål, belopp och färg) och vilket språk annonsen gäller. Bilderna ni laddar upp stannar i webbläsaren. Vi använder det bara för att höra av oss om bokningen. Grund: berättigat intresse (att kunna höra av oss).
• Sponsorbokningar på karma.surf/sponsra, när bokningen är öppen: företagets namn och e-post, annonsen (rubrik, text, länk, bilder eller färg), period, format, språk, det som hör till formatet, priset och om det är betalt. Bilderna laddas upp till oss redan innan ni bokar. Betalningen sker hos Stripe. Vi använder uppgifterna för att granska och visa annonsen, skicka bekräftelser och kvitton och redovisa pengarna. Grund: avtal, och rättslig förpliktelse för bokföringen.

För att stoppa skript som fyller formulären räknar vi hur många som skickas från samma IP-adress. Adressen sparas inte, bara en hash av adressen och dagen. Den raderas efter två dagar, och den som hör till en förhandsbokning raderas redan inom ungefär tre timmar. På samma sätt sparas en hash av adressen när en sponsor bokar eller laddar upp bilder; den raderas inom ungefär tre timmar från bokningen och inom tre dygn från bilderna. Grund: berättigat intresse (skydd mot missbruk).

AI

AI används bara när du själv trycker på det, eller när du slagit på en AI-regel eller en AI-agent för en tavla. Det som behövs för just den uppgiften skickas till Anthropic (som gör modellen Claude); ingenting av texten sparas hos oss, utom en agents senaste rapport. Vi räknar AI-krediter, alltså hur mycket AI du använder i månaden enligt din plan, och per dag hur många anrop du gjort och hur många tokens (textbitar) som skickats och kommit tillbaka. Det är för att gränsen i din plan ska gälla och för att vi ska veta vad AI kostar, aldrig vad du skrev. I en arbetsyta med Team räknas krediterna som laget delar per arbetsyta och månad. Enligt Anthropics villkor (som vi läste den 14 oktober 2026) tränar Anthropic inte sina modeller på det som skickas via deras API, och det som skickas och svaren raderas hos Anthropic inom 30 dagar. Det som Anthropic flaggar som brott mot sina användarregler kan sparas i upp till två år, och längre om lagen kräver det. Svaren är skrivna av AI och kan bli fel. Grund: avtal.

Betalningar

Plus, Team och sponsring betalas hos Stripe. Kortuppgifterna hanteras bara av Stripe. Vi får veta att betalningen gått igenom, beloppet och vilket konto, vilken arbetsyta eller sponsorvecka den gäller. Med varje betalning sparar vi också om Karma var påslaget då och vilken organisation andelen gick till. Uppgifter om betalningar sparas så länge bokföringslagen kräver: till och med det sjunde året efter det år då räkenskapsåret slutade. Ångrar du ett köp skriver du ditt namn; det står i bekräftelsen som mejlas till dig och till oss, men sparas inte i databasen. Grund: avtal och rättslig förpliktelse.

Stripe behandlar betalningen åt oss, men ansvarar självt för det Stripe gör mot bedrägerier och för att följa lagar om betalningar och penningtvätt, enligt Stripes integritetspolicy.

Tillägget i Chrome

Tilläggets användning av uppgifter följer Chrome Web Stores policy för användardata, inklusive kraven på begränsad användning (Limited Use): vi använder uppgifterna bara för startsidan och det du själv slagit på, säljer dem aldrig, använder dem aldrig för annonser som riktas mot dig och låter ingen människa läsa dem, utom med ditt samtycke, för säkerheten eller när lagen kräver det. The use of information received from the extension adheres to the Chrome Web Store User Data Policy, including the Limited Use requirements.

Vilka som hjälper oss (personuppgiftsbiträden)

De här leverantörerna behandlar uppgifter för vår räkning och enligt avtal med oss. De får inte använda dem för egna syften.

• Standardavtalsklausuler är EU-kommissionens avtal för överföringar till länder utanför EU och EES (beslut 2021/914). De ingår i leverantörernas avtal med oss.
• Ramverket EU–USA är ramverket för dataskydd mellan EU och USA (Data Privacy Framework, kommissionens beslut 2023/1795). Render, Resend och Stripe är certifierade enligt det; Supabase och Anthropic är det inte och använder bara standardavtalsklausuler. Vi kontrollerade listan på dataprivacyframework.gov den 14 oktober 2026.
• Supabase (avtalsparten är enligt Supabases villkor Supabase Pte. Ltd. i Singapore): databasen och filerna ligger i Irland. Serverfunktionerna (till exempel AI, betalningar, kalendern och mejlen) körs i den av Supabases regioner som ligger närmast den som anropar. För dig i Europa är det i EU, Storbritannien eller Schweiz, som har ett lika starkt skydd enligt EU-kommissionen. När Stripe eller Resend anropar oss kan funktionen köras i USA. Supabase och dess underleverantörer kan nå uppgifterna från andra länder för drift och support.
• Render och Cloudflare ser din IP-adress när du öppnar karma.surf, som vid alla besök på webben.
• Anthropic: avtalsparten för kunder i EU är enligt Anthropics villkor Anthropic Ireland, och uppgifterna förs vidare till Anthropic i USA. Hur länge Anthropic sparar dem står under AI ovan.
• Stripe: avtalet är med Stripe Payments Europe i Irland.

Andra som får uppgifter och själva ansvarar för dem

När du använder vissa funktioner får de här företagen uppgifter om dig direkt. De bestämmer själva hur de behandlar dem (de är personuppgiftsansvariga, inte våra biträden), och deras egna integritetspolicyer gäller.

• Google: när du loggar in med Google eller kopplar Google Kalender, när Chrome tolkar tal i språkkursen och när du söker i webbappen. Google är certifierat enligt ramverket EU–USA. Googles integritetspolicy.
• Stripe, för det som står under Betalningar ovan.
• Giphy (USA), som visar GIF:arna i chatten och då ser din IP-adress. Giphy fanns inte med på listan över certifierade företag den 14 oktober 2026.
• Open-Meteo (Schweiz) och komoot (Tyskland), för vädret och ortsökningen. Schweiz har ett lika starkt skydd som EU enligt EU-kommissionen.
• Fanspot, för Fanspot-kortet om du slagit på det. Fanspots databas ligger hos Supabase i Stockholm.
• Webbläsarens notistjänst (till exempel Google, Apple eller Mozilla), om du har slagit på push. Innehållet i notiserna är krypterat, så tjänsten kan inte läsa det.
• Webbplatser som någon länkar till i chatten eller där en sponsor har sina bilder. De ser din IP-adress när webbläsaren hämtar en bild därifrån. Genvägarnas ikoner hämtar vår server, se ovan.
• Adresser du själv anger för Slack och webhooks får det som står under Delning ovan.

Hur länge vi sparar

• Det som hör till ditt konto: tills du raderar kontot.
• Inloggningen (IP-adress och webbläsare): så länge du är inloggad i den webbläsaren.
• Serverns loggar hos Supabase, med IP-adresser: högst 28 dagar.
• IP-hashar mot fusk och skräp: två dagar, för förhandsbokningar och sponsorbokningar ungefär tre timmar och för sponsorernas bilder tre dygn. Annonsvisningar per konto och dag: ett par dagar.
• AI-räknaren: 62 dagar per person, så att hela förra månaden syns, och tre månader för en arbetsyta med Team.
• Karma-räkningen (flikar och rätta svar per dag och organisation): kopplad till ditt konto eller till webbläsarens slumpade nummer, alltså pseudonym, så länge redovisningen finns. Raderar du kontot försvinner det som hör till kontot. När en månad är slut sparas också summan för hela månaden per organisation, utan något som pekar på någon, så att redovisningen inte ändras i efterhand; den summan ligger kvar.
• Betalningar: till och med det sjunde året efter det år då räkenskapsåret slutade (bokföringslagen 7 kap. 2 §).
• Väntelistan: tills du ber oss ta bort dig.
• Meddelanden från kontaktformuläret: ett år efter att vi svarat, och högst ett år om vi inte svarat.
• Förhandsbokningar från sponsorer: högst ett år.
• Sponsorbokningar: obetalda raderas efter fyra dygn. Uppladdade bilder som ingen bokning använder raderas när vi rensar bland bilderna, tidigast efter två dygn. Betalda bokningar sparas lika länge som betalningarna (bokföringslagen).

Dina rättigheter

Du har rätt att få veta vilka uppgifter vi har om dig och få en kopia (Inställningar → Ladda ner mina uppgifter), att rätta fel, att radera (Inställningar → Radera kontot), att återkalla ett samtycke (till exempel stänga av Karma), att begränsa eller invända mot behandling som bygger på berättigat intresse, och att få ut dina uppgifter i ett maskinläsbart format. Skriv till ovefelt@gmail.com om något inte går att göra själv. Vi svarar inom en månad.

Är du inte nöjd med hur vi behandlar dina uppgifter kan du klaga hos Integritetsskyddsmyndigheten (IMY), imy.se.

Ta bort allt

• Kontot: Inställningar → Radera kontot tar bort kontot, dina poster och dina filer direkt. Arbetsytor där du är ensam försvinner; i arbetsytor med andra ligger det du delat kvar för dem. Har du Plus behöver du avsluta det först.
• Det på din dator: Inställningar → Återställ, eller ta bort tillägget.
• Karma: stäng av Karma i inställningarna. Då tas webbläsarens nummer bort och inget mer räknas.

Barn

Karma är inte till för barn under 13 år.

Ändringar

Ändras policyn på ett sätt som spelar roll för dig säger vi till i appen. Version 10, senast ändrad 14 oktober 2026.