Vad vi vet om dig, och hur länge

1. Kort svar

GADDR AB, organisationsnummer 559123-4567, med säte i Stockholm, är personuppgiftsansvarig för kontot, marknadsplatsen, betalningen och tvistlösningen. Säljaren är personuppgiftsansvarig för sitt eget kundregister och sin egen marknadsföring. Var gränsen går står i nästa avsnitt, med exempel.

Vi säljer inga uppgifter, vi lämnar dem inte till någon annonsmarknad, och vi använder ingen tredjepartskaka. Mätningen ligger bakom ett aktivt ja, och frågan står på nej tills du svarar.

Du når oss i en fråga om dina uppgifter via supporten. En människa läser, och du får svar inom fem arbetsdagar.

2. Var gränsen går mellan vårt ansvar och säljarens

Det här är sidans viktigaste avsnitt, och den fråga som annars kommer varje vecka. På en marknadsplats finns två parter som behandlar uppgifter om en köpare, och de gör det för olika ändamål. Då finns det två personuppgiftsansvariga, var och en för sitt.

Gränsen går vid ändamålet, alltså vid vem som bestämmer varför en uppgift behandlas. Bestämmer vi det är vi ansvariga. Bestämmer säljaren det är säljaren ansvarig, och vi är då personuppgiftsbiträde enligt artikel 28 i dataskyddsförordningen.

Samma uppgift, två ändamål

Din leveransadress är exemplet som gör gränsen tydlig. Vi behandlar den för att paketet ska komma fram, och det ansvaret är vårt. Tar säljaren in samma adress i sitt eget kundregister för att kunna skicka ett erbjudande nästa vår, är det ett nytt ändamål som säljaren har bestämt, och då är säljaren ansvarig för den behandlingen. Vill du inte finnas där vänder du dig till säljaren, och säljaren ska radera dig.

Ett foto du skickar in i ett tvistärende är däremot alltid vårt ansvar, eftersom ändamålet är vår prövning. Detsamma gäller ett omdöme, eftersom det ligger på profilen och inte i säljarens butik.

Vi är inte gemensamt ansvariga

Gemensamt personuppgiftsansvar enligt artikel 26 förutsätter att två parter tillsammans bestämmer ändamål och medel. Det gör vi inte. Vi bestämmer var för sig, för var sitt ändamål, och därför är vi två separata ansvariga. Det är inte en formalitet: det avgör vem du ska vända dig till, och svaret blir olika beroende på vad frågan gäller.

Säljer en privatperson gäller något annat

En privatperson som säljer sin egen cykel behandlar uppgifter om köparen som ett led i sin privata verksamhet, och omfattas då av undantaget i artikel 2.2 c i dataskyddsförordningen. Den säljaren är alltså inte personuppgiftsansvarig i lagens mening. Vi är fortfarande ansvariga för det som ligger i systemet, så en fråga om det köpet ska till oss.

Biträdesavtalet

För säljarens eget kundregister är vi biträde, och behandlar bara på säljarens instruktion. Ett biträdesavtal enligt artikel 28 ingår i planerna Butik och Handel och lämnas på begäran. Vi använder aldrig en säljares kundregister för våra egna ändamål, och vi lägger aldrig ihop två säljares register.

3. Vad en transaktion lämnar efter sig, och hur länge

Varje rad har ett ändamål, en rättslig grund och en tid, och varje tid har ett skäl. En lagringstid utan skäl går inte att pröva, varken av dig eller av en tillsynsmyndighet.

De sju åren, och varför de inte går att förhandla

Bokföringslagen (1999:1078) kräver att räkenskapsinformation bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Ett kvitto, en faktura och underlaget för den avgift vi tog är sådan information. Begär du radering raderar vi allt annat, men de posterna står kvar tills tiden har löpt ut, och sedan raderas de utan att du behöver be om det igen.

En bokförd verifikation får inte heller ändras. Har ett namn blivit fel på ett redan utfärdat kvitto rättar vi det inte i efterhand. Vi utfärdar en rättelsepost bredvid, så att båda uppgifterna finns och det syns vilken som gäller.

4. Säljarens assistent samlar aldrig in personuppgifter i ett samtal

En butik kan ge sin assistent ett eget namn och en egen ton. Vad den heter ändrar ingenting i vad den får göra. Golvet gäller varje assistent på marknadsplatsen, oavsett plan och oavsett vad butiken har betalat:

• Den säger alltid att den är en assistent, i varje nytt samtal
• Den lovar aldrig ett pris, ett datum eller ett resultat som inte står i ditt innehåll
• Den samlar aldrig in personuppgifter i ett samtal
• Den svarar aldrig på det den inte har underlag för, den hämtar en människa

Vad det betyder för dina uppgifter

Assistenten frågar aldrig efter ditt namn, din adress, ditt personnummer, ditt telefonnummer eller ditt kortnummer. Behövs någon av de uppgifterna för att gå vidare hämtar den en människa eller skickar dig till kassan, där uppgiften lämnas på den plats som är byggd för den.

Skriver du ändå in något om dig själv i ett samtal hamnar det inte i säljarens kundregister, det kopplas inte till din profil, och det används inte för att träna någon modell. Samtalet ligger kvar i 30 dagar för att en människa ska kunna läsa vad som sades om du hör av dig, sedan raderas det.

Assistenten fattar inga beslut om dig. Den avgör inte om du får handla, den sätter inget pris åt dig och den avgör inget tvistärende. Automatiserat beslutsfattande med rättslig verkan enligt artikel 22 i dataskyddsförordningen förekommer inte hos oss, och ett beslut om ett konto fattas alltid av en människa.

Den säger också att den är en assistent i varje nytt samtal, så att du vet vem du talar med innan du skriver något.

5. Ingen tredjepartskaka, och en mätning som frågar först

Vi använder ingen tredjepartskaka. Ingen. Det finns inget annonsnätverk på sajten, ingen pixel från ett socialt nätverk, ingen delad målgrupp och inget skript som laddas från någon annans domän. Betalningen sker på betalleverantörens egen sida, så inget betalskript körs här heller.

Det är ett tekniskt val med en juridisk följd: eftersom ingen tredje part får se ditt besök finns det ingen mottagare att lämna uppgifter till, och det finns inget att invända mot i efterhand.

Mätningen ligger bakom ett aktivt ja

Vår egen mätning räknar sidvisningar på shops.gaddr.com och ingenting utanför den. Enligt 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation krävs samtycke för att lagra något i din utrustning som inte är nödvändigt för en funktion du själv har begärt, och mätningen är inte nödvändig. Behandlingen vilar därför på ditt samtycke enligt artikel 6.1 a.

Frågan står på nej när sidan laddas. Inget mäts före ditt svar, och blir svaret nej kastas det som ligger i kön. Ett ja kan tas tillbaka när som helst, och då raderas mätkakorna direkt. Varje kaka står med namn, ändamål och livslängd i kakpolicyn.

6. Vem som får se uppgifterna

Säljaren ser det som behövs för att leverera: ditt namn, din leveransadress, vad du beställde och det du själv skriver i ordern. Säljaren ser inte din betalningsinformation, din orderhistorik hos andra säljare eller något annat i ditt konto.

Utöver säljaren delas uppgifter med:

• Betalleverantören. Tar emot betalningen och gör identitetskontrollen inför utbetalning, som eget personuppgiftsansvarig för det.
• Fraktbolaget. Får adress och kontaktuppgift för att kunna leverera, och är ansvarigt för sin egen behandling.
• Driftleverantören. Behandlar som biträde, på vår instruktion, och har ingen egen rätt att använda uppgifterna.
• Skatteverket. Får det som lagen (2022:1026) kräver, och ingenting mer.
• En myndighet med ett bindande föreläggande. Får det föreläggandet omfattar. Du underrättas, om det inte är förbjudet enligt lag eller enligt beslutet självt.

Varje biträde vi anlitar behandlar uppgifterna inom EU eller EES. Behöver vi någon gång anlita ett biträde utanför, sker det på standardavtalsklausulerna enligt artikel 46 i dataskyddsförordningen, och det skrivs in här innan behandlingen börjar.

Vi säljer inga uppgifter, byter inga uppgifter och lämnar inget till en annonsmarknad. Det gäller också aggregerad statistik som skulle gå att koppla tillbaka till en enskild säljare.

7. Registerutdrag, rättelse och radering, med tiden det tar

Rättigheterna nedan är dina enligt dataskyddsförordningen. Du behöver inte motivera varför du använder dem, och det kostar ingenting. Vi begär inte mer identifiering än vad som behövs för att veta att det är du.

Registerutdrag, artikel 15

Du begär det i inställningarna eller via supporten. Du får en fil med allt vi har om dig, uppdelat per ändamål, tillsammans med de rättsliga grunderna och lagringstiderna. Vi svarar normalt inom fem arbetsdagar, och alltid inom en månad enligt artikel 12.3. Är begäran omfattande får vi förlänga med två månader, och då säger vi till inom den första månaden och skriver varför.

Rättelse, artikel 16

Namn, adress och kontaktuppgifter rättar du själv i inställningarna, och ändringen slår igenom direkt. Det du inte kan rätta själv rättar vi inom fem arbetsdagar. Undantaget är en redan bokförd verifikation, som inte får ändras. Där lägger vi en rättelsepost bredvid i stället, och det syns vilken uppgift som gäller.

Radering, artikel 17

Du raderar kontot i inställningarna, utan att behöva be oss om det. Uppgifterna tas bort inom 30 dagar. Kvar blir det som lagen kräver att vi behåller, alltså verifikationer i sju år enligt bokföringslagen, det som lagen (2022:1026) kräver, och en pågående order eller ett öppet tvistärende tills det är avgjort. Vi skriver ut exakt vad som ligger kvar och när det försvinner, i samma svar.

Har du ett öppet ärende raderas kontot när ärendet är avgjort och pengarna är utbetalda. Vi håller inte kvar ett konto längre än så.

Dataportabilitet, artikel 20

Din export ligger i inställningarna och byggs på begäran, oftast inom några minuter. Den innehåller dina annonser, dina ordrar, dina meddelanden och dina omdömen i ett öppet format. Den kräver ingen kontakt med oss och fungerar lika bra efter en uppsägning som före.

Begränsning och invändning, artiklarna 18 och 21

Anser du att en uppgift är fel kan du begära att behandlingen begränsas medan vi kontrollerar det. Du kan också invända mot en behandling som vilar på vårt berättigade intresse, alltså säkerhetsloggen och delar av tvistärendet. Vi prövar invändningen och svarar inom en månad, med skäl.

Ta tillbaka ett samtycke, artikel 7.3

Ett ja till mätning tar du tillbaka i kakpolicyn. Det gäller från samma ögonblick, och det som redan samlats in raderas.

Klagomål

Är du inte nöjd med hur vi hanterat din begäran kan du klaga till Integritetsskyddsmyndigheten, imy.se, som är tillsynsmyndighet i Sverige. Du kan också klaga hos tillsynsmyndigheten i det land där du bor. Vi vill gärna höra det först, men det är inget krav.

8. Säkerhet och incidenter

Uppgifter i vila är krypterade, trafiken går över TLS, och åtkomsten till produktionsdata är begränsad till de personer vars arbete kräver den. Varje sådan åtkomst loggas, och loggen granskas. Åtgärderna följer artikel 32 i dataskyddsförordningen.

Vi tar aldrig emot ditt kortnummer. Kassan ligger hos betalleverantören, på deras egen sida, och det vi får tillbaka är ett besked om att betalningen gick igenom.

Sker en personuppgiftsincident anmäler vi den till Integritetsskyddsmyndigheten inom 72 timmar enligt artikel 33. Är risken hög för dig som person underrättar vi dig direkt enligt artikel 34, och då skriver vi vad som hände, vilka uppgifter det gällde och vad du bör göra. Vi lägger den upplysningen på driftsidan också.

9. Om policyn ändras

En ny version får ett nytt versionsnummer och ett nytt datum högst upp på sidan. Ändras ett ändamål, en lagringstid eller en mottagare säger vi till minst trettio dagar innan ändringen träder i kraft.

Ett nytt ändamål som kräver ditt samtycke börjar aldrig gälla på en gammal fråga. Vi frågar på nytt, och tills du har svarat behandlas ingenting för det ändamålet.

Läs också villkoren, som säger vem du handlar av och vilka rättigheter det ger dig, och kakpolicyn, som listar varje kaka med livslängd.