Privacy Policy
(org. no. , ) is the data controller for personal data processed in My Cue List. Contact: . This policy explains what we collect, why, where it is stored and what rights you have under the GDPR.
The short version
- All data is stored in the EU (Supabase, Frankfurt). Backups are kept in the EU.
- Your audio never leaves your browser. Waveforms, cue detection and fingerprints are computed locally. The only exception is the optional "identify with AudD" function, which sends a 12-second clip of the track you chose to AudD for recognition, and only when you press the button.
- We use no advertising, no tracking cookies and no third-party analytics. We only use local storage in your browser to keep you signed in and to remember your settings.
- We never sell personal data.
1. What we collect and why
| Data | Purpose | Legal basis |
|---|---|---|
| Account: email address, display name, avatar and user id from GitHub (if you sign in with GitHub), language, account level | Sign-in, showing who did what in a production, support | Contract (providing the Service) |
| Production content: cue sheets, timecodes, titles, metadata, report data (writers, publishers, IPI numbers, shares), comments, chat messages, version history, cue fingerprints (short numeric audio signatures, not audio) | The Service itself, storing and sharing your work with the members of your production | Contract |
| Membership and invitations: which users belong to which production, roles, invitation links and the email address you invite | Access control, sending invitation emails | Contract; legitimate interest of the inviting member |
| Payment data: Stripe customer id, plan, validity dates, subscription id. Card details are entered directly at Stripe and never reach us. | Managing paid plans, invoicing, VAT, bookkeeping | Contract; legal obligation (accounting, 7 years) |
| Technical logs: IP address, browser type, timestamps and request paths in server and hosting logs; AudD usage counts per user | Security, abuse prevention, troubleshooting, fair-use limits | Legitimate interest (keeping the Service secure and available) |
| Support email you send to | Answering your request | Legitimate interest / contract |
2. Processors and where data is stored
| Provider | Role | Location |
|---|---|---|
| Supabase Inc. | Database, authentication, file storage, realtime, edge functions | EU (Frankfurt, Germany) |
| Cloudflare, Inc. | Hosting of the web app, DNS, email routing for support@ (forwarding and auto-reply) | Global edge network; the app itself holds no personal data at the edge, requests are logged briefly |
| Stripe Payments Europe, Ltd. | Payments, invoices, VAT calculation (Stripe Tax) | EU/Ireland; Stripe may transfer data to the US under its own safeguards |
| Resend, Inc. | Sending sign-in links and invitation emails | EU/US (standard contractual clauses) |
| GitHub, Inc. | Optional sign-in provider (OAuth) | US (standard contractual clauses) |
| AudD Ltd. | Optional music recognition of a 12-second clip you choose to send | Outside the EU; the clip is used only for recognition |
We have data processing agreements with these providers. Where data is transferred outside the EU/EEA, the transfer is based on EU standard contractual clauses or an adequacy decision.
3. Sharing within a production
Members of a production see each other's display names, avatars and roles, comments, chat messages in channels they belong to, and who changed what in the sheet and version history. Private chat messages are visible only to the two parties. Production owners and the service administrator can see the member list of their productions.
4. Retention
- Account and production data: as long as your account exists. Archived productions are kept until you delete them or your account. We never force-delete them. If you delete your account (Settings, Data & privacy), productions you own are handed over to a member with Read & Write if there is one, otherwise deleted at once.
- Version history: the latest versions per sheet; older versions are pruned automatically, archived productions keep the 5 most recent.
- Invitation links: 14 days (email invitations 24 hours), then expired links are removed.
- Technical logs: up to 30 days.
- Payment and invoice records: 7 years after the end of the financial year (Swedish Bookkeeping Act).
- Backups: rotated, oldest copies removed within 90 days.
5. Your rights
You have the right to access the personal data we hold about you, to have it corrected or deleted, to restrict or object to processing, and to data portability (Settings, Data & privacy, Export my data gives you everything as JSON; cue sheets can also be exported as Excel). Where processing is based on legitimate interest you may object; where it is based on consent (the AudD clip) you may withdraw consent by simply not using the function. To exercise your rights, email . You can also complain to the Swedish Authority for Privacy Protection (IMY, imy.se) or the supervisory authority in your country.
6. Cookies and local storage
We do not use cookies for tracking. The app stores the following in your browser's local storage: your sign-in session, language, last opened production, local draft of the sheet and audio analysis results (so that you can keep working offline and without re-analysing). Clearing site data in your browser removes all of it. Stripe sets its own cookies on its checkout pages; see Stripe's privacy policy.
7. Security
All traffic is encrypted (TLS). Access to production data is enforced in the database with row-level security, so each user can only read the productions they belong to. Plan fields can only be changed by the payment system. We keep regular encrypted backups within the EU. No system is perfectly secure; if a breach affects your data we will inform you and the supervisory authority as required by law.
8. Children
The Service is intended for professionals and is not directed at children under 16. We do not knowingly collect data from children.
9. Changes
We will post changes to this policy here and, for material changes, notify you in the app or by email. The date at the top shows when it was last updated.
Data processing agreement
If your company needs a DPA (personuppgiftsbiträdesavtal) covering the data of your team and productions, email and we will provide one.
Contact
Integritetspolicy
(org.nr , ) är personuppgiftsansvarig för de personuppgifter som behandlas i My Cue List. Kontakt: . Den här policyn beskriver vad vi samlar in, varför, var det lagras och vilka rättigheter du har enligt GDPR.
Kortversionen
- All data lagras inom EU (Supabase, Frankfurt). Säkerhetskopior finns inom EU.
- Ditt ljud lämnar aldrig webbläsaren. Vågformer, cue-detektering och fingerprints beräknas lokalt. Enda undantaget är den valfria funktionen "identifiera med AudD", som skickar ett 12-sekundersklipp av det spår du valt till AudD för igenkänning, och bara när du trycker på knappen.
- Vi använder ingen reklam, inga spårningskakor och ingen tredjepartsanalys. Vi använder bara webbläsarens lokala lagring för att hålla dig inloggad och komma ihåg dina inställningar.
- Vi säljer aldrig personuppgifter.
1. Vad vi samlar in och varför
| Uppgifter | Ändamål | Rättslig grund |
|---|---|---|
| Konto: e-postadress, visningsnamn, avatar och användar-id från GitHub (om du loggar in med GitHub), språk, kontonivå | Inloggning, visa vem som gjort vad i en produktion, support | Avtal (att tillhandahålla Tjänsten) |
| Produktionsinnehåll: cue sheets, tidkoder, titlar, metadata, rapportdata (upphovspersoner, förlag, IPI-nummer, andelar), kommentarer, chattmeddelanden, versionshistorik, cue-fingerprints (korta numeriska ljudsignaturer, inte ljud) | Själva Tjänsten, att lagra och dela ditt arbete med produktionens medlemmar | Avtal |
| Medlemskap och inbjudningar: vilka användare som hör till vilken produktion, roller, inbjudningslänkar och e-postadressen du bjuder in | Åtkomstkontroll, utskick av inbjudningsmejl | Avtal; berättigat intresse hos den som bjuder in |
| Betaluppgifter: Stripe-kund-id, plan, giltighetstider, prenumerations-id. Kortuppgifter anges direkt hos Stripe och når aldrig oss. | Hantera betalda planer, fakturering, moms, bokföring | Avtal; rättslig förpliktelse (bokföring, 7 år) |
| Tekniska loggar: IP-adress, webbläsartyp, tidpunkter och anropade adresser i server- och driftloggar; antal AudD-sökningar per användare | Säkerhet, missbruksskydd, felsökning, rimlig användning | Berättigat intresse (att hålla Tjänsten säker och tillgänglig) |
| Supportmejl som du skickar till | Att besvara din fråga | Berättigat intresse / avtal |
2. Biträden och var data lagras
| Leverantör | Roll | Plats |
|---|---|---|
| Supabase Inc. | Databas, inloggning, fillagring, realtid, edge-funktioner | EU (Frankfurt, Tyskland) |
| Cloudflare, Inc. | Hosting av webbappen, DNS, e-postvidarebefordran för support@ (vidarebefordran och autosvar) | Globalt nätverk; appen lagrar inga personuppgifter vid nätverkskanten, anrop loggas kortvarigt |
| Stripe Payments Europe, Ltd. | Betalningar, fakturor, momsberäkning (Stripe Tax) | EU/Irland; Stripe kan överföra data till USA med egna skyddsåtgärder |
| Resend, Inc. | Utskick av inloggningslänkar och inbjudningsmejl | EU/USA (standardavtalsklausuler) |
| GitHub, Inc. | Valfri inloggningsleverantör (OAuth) | USA (standardavtalsklausuler) |
| AudD Ltd. | Valfri musikigenkänning av ett 12-sekundersklipp som du själv väljer att skicka | Utanför EU; klippet används bara för igenkänning |
Vi har personuppgiftsbiträdesavtal med dessa leverantörer. När uppgifter överförs utanför EU/EES sker det med stöd av EU:s standardavtalsklausuler eller ett beslut om adekvat skyddsnivå.
3. Delning inom en produktion
Medlemmar i en produktion ser varandras visningsnamn, avatarer och roller, kommentarer, chattmeddelanden i kanaler de tillhör samt vem som ändrat vad i arket och versionshistoriken. Privata chattmeddelanden ser bara de två parterna. Produktionens ägare och tjänstens administratör ser medlemslistan för sina produktioner.
4. Lagringstid
- Konto- och produktionsdata: så länge ditt konto finns. Arkiverade produktioner behålls tills du raderar dem eller ditt konto. Vi tvångsraderar dem aldrig. Raderar du kontot (Inställningar, Data & integritet) lämnas produktioner du äger över till en medlem med Read & Write om det finns någon, annars tas de bort direkt.
- Versionshistorik: de senaste versionerna per ark; äldre gallras automatiskt, arkiverade produktioner behåller de 5 senaste.
- Inbjudningslänkar: 14 dagar (mejlinbjudningar 24 timmar), därefter tas utgångna länkar bort.
- Tekniska loggar: upp till 30 dagar.
- Betalnings- och fakturaunderlag: 7 år efter räkenskapsårets slut (bokföringslagen).
- Säkerhetskopior: roteras, äldsta kopior tas bort inom 90 dagar.
5. Dina rättigheter
Du har rätt att få tillgång till de personuppgifter vi har om dig, få dem rättade eller raderade, begränsa eller invända mot behandling samt till dataportabilitet (Inställningar, Data & integritet, Exportera mina data ger dig allt som JSON; cue sheets kan även exporteras som Excel). När behandlingen bygger på berättigat intresse kan du invända; när den bygger på samtycke (AudD-klippet) återkallar du samtycket genom att helt enkelt inte använda funktionen. För att utöva dina rättigheter, mejla . Du kan också klaga hos Integritetsskyddsmyndigheten (IMY, imy.se) eller tillsynsmyndigheten i ditt land.
6. Kakor och lokal lagring
Vi använder inga kakor för spårning. Appen sparar följande i webbläsarens lokala lagring: din inloggningssession, språk, senast öppnad produktion, lokalt utkast av arket och ljudanalysens resultat (så att du kan jobba vidare offline och slippa analysera om). Rensar du webbplatsdata i webbläsaren försvinner allt detta. Stripe sätter egna kakor på sina kassasidor; se Stripes integritetspolicy.
7. Säkerhet
All trafik är krypterad (TLS). Åtkomst till produktionsdata upprätthålls i databasen med radnivåsäkerhet, så att varje användare bara kan läsa de produktioner hen tillhör. Planfält kan bara ändras av betalsystemet. Vi tar regelbundna krypterade säkerhetskopior inom EU. Inget system är helt säkert; om ett intrång påverkar dina uppgifter informerar vi dig och tillsynsmyndigheten enligt lag.
8. Barn
Tjänsten riktar sig till yrkesverksamma och inte till barn under 16 år. Vi samlar inte medvetet in uppgifter från barn.
9. Ändringar
Ändringar i policyn publiceras här, och vid väsentliga ändringar meddelar vi dig i appen eller via e-post. Datumet överst visar när den senast ändrades.
Personuppgiftsbiträdesavtal
Behöver ditt företag ett personuppgiftsbiträdesavtal (DPA) som täcker teamets och produktionernas uppgifter, mejla så tillhandahåller vi ett.