Integritetspolicy

(Car) Collectives är ett personligt entusiastprojekt, inte ett företag. Personuppgifts­ansvarig är Mikael Rinstad, privatperson, Stockholm, Sverige.

Frågor om den här policyn, eller om du vill använda någon av dina rättigheter enligt punkt 10, går till info@carcollectives.se. Jag svarar själv, och strävar efter att göra det inom en månad — den frist GDPR sätter.

Sajten säljer ingenting, förmedlar ingenting och tar inte betalt av någon. Skulle det ändras uppdateras den här sidan innan det sker.

Sajten har, oavsett vad du svarar på frågan om kakor:

• inga konton, ingen inloggning, inget nyhetsbrev,
• inga kontaktformulär,
• ingen annonsmätning, inga annonsskript, ingen retargeting, ingen Meta-pixel,
• ingen profilering och inget automatiserat beslutsfattande,
• ingen delning eller försäljning av uppgifter till någon för marknadsföring,
• inga inbäddade kartor eller videoklipp som sätter egna kakor,
• inga typsnitt som hämtas från tredje part när du besöker en sida.

Sajten fungerar fullt ut utan att något lagras i din webbläsare. Ingen sida, ingen kalkyl och ingen fråga till (C)C AI kräver att du samtycker till något.

Sajten mäter vilka guider som läses — men bara om du säger ja. Frågan ställs innan något laddas, inte efteråt.

Skillnaden är större än den låter. Många sajter laddar Googles skript direkt och sätter mätningen till "nekad" i efterhand. Då har din webbläsare redan kontaktat Google och lämnat sin IP-adress. Här injiceras skriptet inte alls förrän du tryckt på knappen.

cc_consent är strikt nödvändig — den bär bara ditt eget val, och kräver därför inget separat samtycke. Även efter ett ja hålls annonssignalerna nekade permanent via Googles Consent Mode: ad_storage, ad_user_data och ad_personalization. Google Signals och annonspersonalisering är avstängda.

Du kan ändra dig när som helst via länken längst ned på varje sida. Fullständig uppräkning finns på sidan om kakor.

(C)C AI är rutan där du kan fråga om en generation, en annons eller vad en import landar på. Den är det enda stället på sajten där du själv lämnar text. Så här hanteras den.

Frågan skickas vidare för att kunna besvaras

Svaret genereras av en språkmodell hos Groq, Inc. i USA. Din fråga och det utdrag ur sajtens eget innehåll som svaret ska bygga på skickas dit via deras API. Groq agerar personuppgiftsbiträde och sparar enligt sina egna villkor inte kunddata för API-anrop som standard, och får inte använda frågor eller svar för att träna sina modeller. Överföringen till USA vilar på EU-kommissionens standardavtalsklausuler.

Två skilda lagringar, med avsikt

Det som sparas hos oss ligger i två tabeller som inte går att pussla ihop. Uppdelningen är hela poängen:

Driftloggen finns för ett enda syfte: att stoppa missbruk och hindra att kostnaden för modellanropen skenar. För det behövs bara veta att någon ställt ett visst antal frågor den senaste timmen — inte vad de handlade om. Därför finns ingen frågetext där.

Kunskapsbanken finns för två syften: så att en fråga som redan besvarats kan återanvändas i stället för att kosta ett nytt modellanrop, och så att jag kan se vilka frågor som återkommer och skriva riktigt innehåll om dem. Den innehåller ingen koppling till vem som frågat.

Frågor som ser ut att innehålla personuppgifter sparas inte

Innan en fråga hamnar i kunskapsbanken passerar den ett filter. Ser texten ut att innehålla en e-postadress, ett telefonnummer, ett personnummer, ett registreringsnummer, ett chassinummer, ett kontonummer eller en länk, sparas frågan inte alls — varken text eller svar. Du får ändå ditt svar; det är bara ingenting som blir kvar.

Filtret läser mönster, inte innebörd. Det fångar ett telefonnummer men inte en berättelse. Skriv därför inga personuppgifter i frågefältet — varken dina egna eller någon annans. Det behövs inte för att få ett bra svar.

Sajten körs på Google Cloud Run i regionen europe-north1 (Finland). Som varje webbserver tar den emot din IP-adress, vilken sida du begärde, tidpunkt och din webbläsares user-agent. Det behövs tekniskt för att en sida ska kunna skickas till dig, och för att kunna se om något är trasigt.

Dessa loggar hanteras av Google Cloud Platform inom EU enligt deras personuppgiftsbiträdesavtal. De används inte för att bygga någon bild av dig och sammanförs inte med något annat på sajten.

Annonserna på sajten samlas från öppna europeiska marknadsplatser, i huvudsak AutoScout24 och mobile.de. Bilderna ligger kvar hos dem — men de hämtas inte längre av din webbläsare.

Varje bild går via sajtens egen server, som hämtar den från källan och skickar den vidare till dig. Det betyder att din webbläsare bara pratar med carcollectives.se, och att din IP-adress och user-agent aldrig blir kända för AutoScout24 eller mobile.de när du tittar på en annons. Servern skickar inte vidare något om dig: ingen user-agent, ingen referer, inga kakor.

Tidigare hämtades bilderna direkt från källan, vilket innebar att din IP-adress gick dit vid varje sidvisning. Det är åtgärdat, och det står här hellre än att bara försvinna tyst.

Ett undantag kvarstår, av teknisk nödvändighet: när en annonslänk delas i sociala medier eller visas i ett sökresultat hämtar den tjänstens egen robot förhandsbilden från källan. Det sker utan din inblandning och utan att din webbläsare är inkopplad.

Läsmätningen vilar på ditt samtycke enligt artikel 6.1 a i GDPR, och på 9 kap. 28 § lagen om elektronisk kommunikation för själva lagringen i din webbläsare. Samtycket är frivilligt, kan tas tillbaka när som helst, och ingenting på sajten fungerar sämre om du säger nej.

Övrig behandling vilar på berättigat intresse enligt artikel 6.1 f:

• Driftloggen — intresset av att kunna hålla en gratistjänst öppen utan att den slås ut av missbruk eller kostar mer än den kan bära. Uppgiften är en saltad summa, inte en adress, och sparas kort.
• Kunskapsbanken — intresset av att inte betala för samma svar två gånger, och av att kunna skriva innehåll som svarar på det folk faktiskt undrar. Ingen koppling till person finns kvar.
• Serverloggarna — intresset av att kunna driva och felsöka en webbserver alls.
• Bildproxyn — intresset av att skydda besökarens IP-adress från tredje part. Servern behandlar bara bild-URL:en, inget om dig.

Ingen behandling är profilering, och inget beslut om dig fattas automatiserat. Inga känsliga personuppgifter enligt artikel 9 behandlas. Sajten riktar sig inte till barn.

Groqs EU-representant är DP-Dock GmbH, Ballindamm 39, 20095 Hamburg, Tyskland. För Google Analytics gäller Googles biträdesavtal. Ingen uppgift säljs, byts eller lämnas till någon annan än dessa.

Gallringen sker med ett skript som tömmer allt som passerat sin tid. Ingenting sparas ”för säkerhets skull”.

Du har rätt att begära tillgång till, rättelse av och radering av dina personuppgifter, att invända mot behandling som vilar på berättigat intresse, att begära begränsning, och att få ut uppgifter i ett maskinläsbart format.

En ärlig anmärkning: i praktiken har jag mycket sällan möjlighet att hitta något som är ditt. Det enda som knyter en rad till en besökare är en saltad summa av en IP-adress, och den kan jag inte räkna baklänges. Kan du ange den tidpunkt du besökte sajten och din IP-adress kan jag däremot söka fram och radera raden. Kunskapsbanken innehåller per konstruktion ingenting som går att hänföra till dig.

Har du lämnat samtycke till läsmätning kan du ta tillbaka det när som helst, utan att motivera det, via länken längst ned på varje sida. Det är lika lätt som att ge det.

Är du inte nöjd med hur dina uppgifter hanteras har du rätt att klaga till Integritetsskyddsmyndigheten (IMY), som är tillsynsmyndighet i Sverige.

Sajten byggs fortfarande. Ändras något i hur uppgifter hanteras ändras den här sidan, och datumet högst upp med den. Sker en förändring av betydelse — till exempel att sajten börjar ta betalt, eller att ett nytt biträde tillkommer — skrivs det ut tydligt här och inte bara i en fotnot.

Sedan förra versionen har två saker ändrats: annonsbilderna hämtas nu via sajtens egen server i stället för direkt från källan, och läsmätning har införts efter samtycke. Se även användarvillkoren och sidan om kakor.