Integritetspolicy

1. Personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen är GAVINI AB, org.nr 559400-9515, med postadress Sedelvägen 20, 129 32 Hägersten. Kontakt i dataskyddsfrågor och övriga frågor: info@skiftera.se.

2. Vilka uppgifter vi behandlar

Vi samlar in så lite som möjligt och bara det som behövs för att leverera tjänsten.

• Väntelistan: e-postadress, önskad stad, valfritt område, tidpunkt och en genererad referenskod.
• Bytesvärderingen: anonyma uppgifter om lägenheten (storlek, hyra, stad, område, standard). Ingen personidentifierare lagras tillsammans med dessa poster. Väljer du frivilligt att spara värderingen och få uppdateringar sparas din e-postadress och ditt samtycke i en separat tabell, tekniskt åtskild från själva värderingsposten. Vi kan radera din e-postadress utan att röra den anonyma värderingen.
• Sessionsnummer vid värdering: När du använder bytesvärderingen skapas ett tillfälligt sessionsnummer i din webbläsares minne. Det sparas tillsammans med värderingen så att flera värderingar från samma besök kan höra ihop. Numret sparas inte som kaka, försvinner när du laddar om sidan och går inte att koppla till dig som person. Din eventuella återkoppling kopplas till själva värderingen, inte till sessionsnumret.
• Feedback på värderingen: efter en bytesvärdering kan du anonymt svara på om bedömningen stämde, med valfri fritext. Svaret lagras på den anonyma värderingsposten och används för att kalibrera modellen. Vi lagrar varken e-postadress, IP-adress eller någon annan identifierare tillsammans med svaret. Feedbacken raderas 24 månader efter att den lämnats.
• Frågor till redaktionen: längst ned på våra guider och stadssidor kan du skriva en fråga du inte fick svar på. Vi sparar enbart frågetexten, vilken sida den skrevs på och tidpunkten — ingen e-postadress, IP-adress, webbläsaruppgift eller annan identifierare. Frågorna används som underlag när vi uppdaterar innehållet; de publiceras inte, besvaras inte personligen och modereras inte. Skriv därför inga personuppgifter i fältet. Posterna raderas automatiskt efter 24 månader.
• Kontakt via e-post: innehållet i det du skriver till oss samt din avsändaradress.
• Teknisk drift: IP-adress och tidsstämpel används tillfälligt för säkerhetsloggar och för att förhindra missbruk (rate limiting). IP-adresser raderas eller pseudonymiseras inom 30 dagar.
• Vid framtida marknadsplats (Fas 2): BankID-verifierad identitet, kontraktsuppgifter, meddelanden mellan bytesparter samt fakturaunderlag. Denna behandling träder i kraft först när marknadsplatsen öppnar och beskrivs då separat innan du väljer att aktivera den.

Kakor

Skiftera använder två kakor, båda nödvändiga för att sajten ska fungera och vara säker. Vi använder inga kakor för analys, marknadsföring eller spårning, och vi delar inga uppgifter med annonsnätverk.

• __cf_bm — sätts av Cloudflare för att skilja mänskliga besökare från automatiserad trafik. Den är en del av sajtens skydd mot bottar och överbelastning. Livslängd: 30 minuter.
• __dpl — teknisk kaka som håller reda på vilken version av sajten din webbläsare hämtat, så att sidor och filer hänger ihop. Den innehåller inga personuppgifter och används inte för spårning. Livslängd: 24 timmar.

Ingen av dessa kräver samtycke enligt lagen om elektronisk kommunikation, eftersom de är nödvändiga för att tillhandahålla tjänsten. Vi lagrar heller ingenting i webbläsarens lokala lagring.

Skulle vi längre fram börja använda kakor som kräver samtycke — exempelvis för analys — kommer vi att be om det innan de sätts.

3. Ändamål och rättslig grund

• Väntelista och lanseringsinformation: att kunna kontakta dig när tjänsten öppnar i din stad. Rättslig grund: samtycke (artikel 6.1 a GDPR), som du kan återkalla när som helst.
• Bytesvärdering: att leverera värderingen och förbättra modellen. Rättslig grund: fullgörande av avtal och berättigat intresse(artikel 6.1 b och f GDPR). Inmatningar behandlas anonymt.
• Säkerhet och drift: att skydda tjänsten mot missbruk. Rättslig grund: berättigat intresse (artikel 6.1 f GDPR).
• Bokföring och skatt (vid betald tjänst): lagkrav enligt bokföringslagen. Rättslig grund: rättslig förpliktelse (artikel 6.1 c GDPR).

4. Så länge sparar vi uppgifterna

• Väntelistan: som längst 24 månader efter anmälan. Poster som passerat den gränsen raderas automatiskt varje natt. Avanmäler du dig slutar vi mejla dig omedelbart och sparar enbart en notering om att du avanmält dig, så att du inte läggs till igen — vill du att posten raderas helt kontaktar du oss. Vid lansering i din stad raderas din post inom 30 dagar efter att du fått lanseringsmejlet.
• Bytesvärderingar: de anonyma posterna innehåller inga personuppgifter och sparas för modellförbättring utan tidsbegränsning. Har du valt att spara din värdering med e-post lagras e-postadressen separat och raderas när du ber om det, senast 24 månader efter senaste kontakt.
• Feedback på bytesvärderingar: raderas automatiskt 24 månader efter att den lämnats, i samma nattliga rensningsjobb som väntelistan.
• Frågor till redaktionen: raderas automatiskt 24 månader efter att de skickats, i samma nattliga rensningsjobb.
• E-postkonversationer: upp till 24 månader efter senaste kontakt.
• Bokföringsunderlag: 7 år enligt bokföringslagen.
• Säkerhetsloggar: 90 dagar, därefter raderade eller pseudonymiserade. IP-adresser i loggarna anonymiseras redan efter 30 dagar.

5. Vilka vi delar med (personuppgiftsbiträden)

Vi säljer aldrig dina uppgifter. Vi delar dem enbart med leverantörer som behövs för att driva tjänsten, och alltid under skriftligt personuppgiftsbiträdesavtal.

• Databas- och applikationshosting: Lovable Cloud (Supabase) med databasen i AWS-regionen eu-west-2 (London, Storbritannien). Storbritannien omfattas av EU-kommissionens beslut om adekvat skyddsnivå, vilket innebär att överföringen är tillåten utan ytterligare skyddsåtgärder.
• E-postutskick: Resend, EU-regionen Irland (eu-west-1), för transaktionella mejl (välkomst, notiser, avprenumerering). Endast e-postadress och meddelandeinnehåll behandlas.

Om ett biträde ligger utanför EU/EES sker överföring endast med lagliga skyddsåtgärder (t.ex. EU-kommissionens standardavtalsklausuler).

6. Cookies och analys

Vi använder inga tredjepartsannonseringscookies. Vi strävar efter cookielös eller aggregerad analys. Om vi framöver behöver samtycke till cookies visar vi en tydlig samtyckesruta där du kan välja per ändamål, och du kan ändra dig när som helst.

7. Dina rättigheter enligt GDPR

Du har rätt att:

• få veta vilka uppgifter vi har om dig (registerutdrag),
• få felaktiga uppgifter rättade,
• få dina uppgifter raderade (”rätten att bli glömd”),
• begära begränsning av eller invända mot behandling,
• få ut dina uppgifter i ett maskinläsbart format (dataportabilitet),
• återkalla samtycke utan att det påverkar behandling som redan skett.

Mejla info@skiftera.se så svarar vi normalt inom 30 dagar. Om du är missnöjd med hur vi behandlar dina uppgifter har du rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY).

8. Säkerhet

Vi tillämpar branschstandard för dataskydd: TLS-kryptering vid överföring, kryptering av databasen i vila hos vår hostingleverantör, radbegränsning på publika endpoints och åtkomstkontroll på radnivå (RLS) i databasen. Ingen tjänst kan garantera fullständig säkerhet — vi arbetar löpande med förbättringar och rapporterar personuppgiftsincidenter till IMY inom 72 timmar när lagen kräver det.

9. Barn

Tjänsten riktar sig till personer över 18 år. Vi samlar inte medvetet in uppgifter om barn under 13 år. Kontakta oss om du tror att vi ändå gjort det, så raderar vi uppgifterna.

10. Ändringar av policyn

Vi kan uppdatera denna policy. Vid väsentliga ändringar meddelar vi via e-post till dig som är registrerad hos oss, minst 30 dagar innan ändringen träder i kraft.