VARP
English

Integritetsmeddelande – Varp

Senast uppdaterad:

Vad Varp är

Varp är en tjänst som rangordnar troliga köpare av svenska företag, byggd av norrifrån. Tjänsten är i dag ett hobby- och utvecklingsprojekt och används bara av oss själva. Vi planerar att senare erbjuda den som betaltjänst.

För att kunna visa vem som bestämmer i ett företag och vilka företag som delar personer behandlar Varp uppgifter om personer i deras roll i ett företag. Den här sidan förklarar vad vi samlar in, varför och vilka rättigheter du har.

Personregistret (firmatecknare i årsredovisningar, insynspersoner och projektledare) byggs sedan 20 oktober 2026.

Personuppgiftsansvarig

norrifrån (webbplats: https://norrifran.se)
Kontakt: [email protected]

Vilka uppgifter vi behandlar

  • Undertecknare av årsredovisningar: namn, roll (styrelseledamot, ordförande, VD, vice VD, suppleant, arbetstagarrepresentant), datum för undertecknande och vilket företag det gäller. Även revisor och revisionsbyrå som anges i årsredovisningen.
  • Insynspersoner i börsbolag: namn, befattning, rapporterade transaktioner (datum, instrument, volym, pris) och det företag genom vilket en anmälan gjorts (t.ex. ett holdingbolag). Närstående till insynspersoner lagras inte med namn, bara som en markering på transaktionen.
  • Projektledare för offentligt finansierade forsknings- och innovationsprojekt: namn, roll och organisation.
  • Kontaktpersoner i offentliga platsannonser: namn, titel och de kontaktuppgifter som annonsen själv anger.
  • Enskilda näringsidkare och oskiftade dödsbon i SCB:s företagsregister: hela SCB-posten för företaget och dess arbetsställen, med personnummer (en enskild firmas organisationsnummer är innehavarens personnummer) och de namn, adresser, telefonnummer och e-postadresser som posten innehåller.
  • Sökande, innehavare och ombud i PRV:s varumärkesregister: namn, adress och land, händelsetexterna i registret för alla varumärken (de kan nämna tidigare innehavare) samt varumärkets text när sökanden är en person.
  • Planerat: köpare och säljare som är privatpersoner i företagsaffärer som anmälts till Konkurrensverket eller Europeiska kommissionen: vi kommer att spara namn, om personen köper eller säljer, vilket företag affären gäller, ärendenummer, datum och utfall. Inga adresser, personnummer eller kontaktuppgifter kommer att sparas. Det börjar först när vår bedömning av behandlingen är klar. Advokatbyråer som är ombud kommer att lagras som företag. Enskilda advokater och tjänstemän på Konkurrensverket och kommissionen förs inte in; deras namn finns bara i de beslutsdokument vi sparar i obearbetad form.
  • För varje uppgift sparar vi var den kommer ifrån (källa, dokument och datum).

Personnummer. Personregistret innehåller inga personnummer. SCB:s poster om enskilda näringsidkare och dödsbon innehåller däremot personnummer, eftersom en enskild firmas organisationsnummer är innehavarens personnummer och ett dödsbo kan ha den avlidnes personnummer som nummer. De posterna lagras i den separata del av databasen som är avsedd för personuppgifter, är bara åtkomliga för den som driver tjänsten och visas inte för kunder. När arbetsgivaren i en platsannons är en enskild firma lagras dess organisationsnummer bara som en envägs, nyckelförsedd hash som inte kan räknas tillbaka till personnumret. En referens i PRV:s register som ser ut som ett personnummer lagras på samma sätt bara som en nyckelförsedd hash. Enskilda näringsidkare i Bolagsverkets företagsfil importeras inte.

Råa källfiler och säkerhetskopior kan innehålla personnummer och privata adresser så som de förekommer i de offentliga källorna (t.ex. SCB:s företagsregister för enskilda firmor, Bolagsverkets råfil och c/o-rader i svar från Bolagsverket, sidor från FI:s register, Konkurrensverkets och kommissionens ärendedokument). De lagras då i obearbetad form och används inte för personregistret. Det enda planerade undantaget är köpare och säljare enligt ovan.

Vi använder inte privata telefonnummer eller privat e-post. SCB:s poster innehåller telefonnummer och e-postadresser för en del enskilda näringsidkare; de ligger kvar i den del av databasen som bara den som driver tjänsten har åtkomst till och används eller visas inte. Privata adresser förekommer bara så som de står i SCB:s och PRV:s poster och i råa källfiler.

Varifrån uppgifterna kommer

Alla uppgifter hämtas från offentliga källor:

  • Bolagsverket – årsredovisningar och företagsfilen (öppna data).
  • Finansinspektionen – insynsregistret.
  • Vinnova och Formas – öppna data om beviljade projekt.
  • Arbetsförmedlingen/JobTech – offentliga platsannonser (CC0).
  • SCB – företagsregistret, poster om enskilda firmor och oskiftade dödsbon.
  • PRV – varumärkesregistret (öppna data).
  • Konkurrensverket – e-diariet och besluten i ärenden om företagskoncentrationer (allmänna handlingar).
  • Europeiska kommissionen – anmälningar av företagskoncentrationer i Europeiska unionens officiella tidning och kommissionens ärendeförteckning (planerad).
  • Cision – pressmeddelanden. Vi hämtar Cisions listor över pressmeddelanden och sparar dem som råa filer. I databasen sparar vi bara adressen och rubrikens ord för pressmeddelanden som gäller förvärv, ingen text. Rubrikens ord kan innehålla ett namn.

Varför och med vilket stöd i lag

Ändamålet är att identifiera och bedöma möjliga köpare av företag: vem som leder ett företag, vilka personer som sitter i flera styrelser och vilka företag som därmed hänger ihop.

SCB:s poster används för ett fullständigt företagsregister för statistik per bransch och region. Personregistret använder dem inte, och enskilda näringsidkare ur SCB:s poster rangordnas aldrig i köparlistor. PRV:s varumärkesregister används för att se varumärkesöverlåtelser som en signal om förvärv. Konkurrensverkets beslut används för att se vilka företag som köpt och sålt vilka; kommissionens anmälningar ska användas på samma sätt. Planerat: köparlistor ska också kunna ta med köpare och säljare som inte är företag, till exempel en privatperson som köper ett företag för första gången. En privatperson som har köpt eller sålt i en anmäld affär kan då förekomma i våra interna listor.

Vi stödjer oss på intresseavvägning (artikel 6.1 f i dataskyddsförordningen, GDPR). Vårt berättigade intresse är att bygga och tillhandahålla företagsinformation för affärsändamål. Vi bedömer att behandlingen är rimlig eftersom uppgifterna redan är offentliga, gäller personers yrkesroller och inte avslöjar något om privatlivet. Bedömningen finns dokumenterad och kan begäras ut via kontaktadressen ovan. För uppgifterna från SCB och PRV håller bedömningen på att kompletteras och blir klar senast 2026-11-30.

Planerat: för köpare och säljare som är privatpersoner är vårt berättigade intresse att kunna visa vem som köper och säljer företag, också när det är en person och inte ett företag. En affär kan säga något om en persons ekonomi. Därför kommer vi bara att spara namnet och uppgifter om själva affären, aldrig adresser eller personnummer, och bara i tio år från beslutet. Bedömningen för den här behandlingen blir klar senast 2026-11-30, och behandlingen börjar först när bedömningen är klar.

Vilka som får uppgifterna

I dag: ingen. Uppgifterna är bara synliga för oss som driver tjänsten. De lämnas inte ut till kunder, visas inte på webbplatsen och säljs inte.

Senare: om Varp blir en betaltjänst kan betalande kunder få se personuppgifter som en del av tjänsten. Innan dess uppdaterar vi den här sidan och gör en ny bedömning. Uppgifter om personer kombinerat med signaler om konkurs eller likvidation lämnas aldrig ut till kunder. Varp är inte en kreditupplysningstjänst.

Var uppgifterna finns

Uppgifterna lagras i Sverige på vår egen utrustning (dator och extern lagringsenhet), med undantag för driftstatus (se nedan). Personuppgifterna hålls i en separat del av databasen som bara den som driver tjänsten har åtkomst till. Manuell åtkomst via tjänstens kommandon loggas. Säkerhetskopior lagras hos personuppgiftsansvarig. Lagrade uppgifter överförs inte till länder utanför EU/EES. Driftlarm skickas till Discord, en amerikansk tjänst. Larmtexterna filtreras så att personnummer och citerade värden tas bort, men det är inte kontrollerat för varje larm att ingen personuppgift kan följa med. Driftstatus (körningarnas statistik och feltexter, som kan innehålla personuppgifter) skickas var 15:e minut till varp.se:s server hos vår driftleverantör inom EU, visas bara efter inloggning, filtreras inte och raderas efter 14 dagar.

Hur länge vi sparar uppgifterna

Uppgifter om en roll sparas i fem år efter att rollen upphört, därefter raderas de. Automatisk gallring införs senast före lansering av den betalda tjänsten; fram till dess sker gallring manuellt.

Planerat: uppgifter om köpare och säljare som är privatpersoner kommer att sparas i tio år från beslutsdatum. Affärer som är äldre än så förs aldrig in i personregistret; de sparas bara som uppgifter om företagen.

För kontaktpersoner i platsannonser, SCB:s poster om enskilda firmor och dödsbon, PRV:s sökande, innehavare och ombud och råa källfiler är lagringstiden inte fastställd ännu. Den beslutas senast 2026-11-30.

Besöksstatistik på varp.se

Vi mäter besök på varp.se med Umami, som vi kör på vår egen server (stats.nmspc.com). Umami använder inga kakor. Din IP-adress sparas inte i statistiken: den används bara i stunden för att räkna fram en anonym identifierare (ett hashvärde med ett salt som byts varje månad och som är olika för varje webbplats) och ungefärlig plats. Vi följer dig inte mellan webbplatser och tittar bara på sammanställd statistik över sidor och besök.

Inga automatiserade beslut

Varp fattar inga automatiserade beslut som har rättsliga följder eller på liknande sätt i betydande grad påverkar dig. Rangordningen gäller företag. Planerat: en privatperson som har köpt eller sålt ett företag i en anmäld affär kan förekomma som möjlig köpare i en lista som bara vi ser, men inga beslut fattas om personen.

Dina rättigheter

Du har rätt att:

  • få veta om och vilka uppgifter vi har om dig (tillgång),
  • få felaktiga uppgifter rättade (rättelse),
  • få uppgifter raderade (radering),
  • få behandlingen begränsad (begränsning),
  • invända mot behandlingen (artikel 21 GDPR). Om du invänder tar vi bort dig ur alla resultat inom 30 dagar, om vi inte kan visa tvingande berättigade skäl som väger tyngre. Du kan begränsa invändningen till ett visst företag eller låta den gälla alla företag, även sådana där du dyker upp i framtiden. Kontaktpersoner i platsannonser tas bort genom att kontaktuppgifterna raderas; det hanteras manuellt inom 30 dagar.

Skriv till [email protected]. Du har också rätt att klaga hos Integritetsskyddsmyndigheten (IMY), https://www.imy.se.