Integritetspolicy

1. Personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen är GAVINI AB, org.nr 559400-9515, med postadress Sedelvägen 20, 129 32 Hägersten. Kontakt i dataskyddsfrågor och övriga frågor: skiftera@proton.me.

2. Vilka uppgifter vi behandlar

Vi samlar in så lite som möjligt och bara det som behövs för att leverera tjänsten.

• Väntelistan: e-postadress, önskad stad, valfritt område, tidpunkt och en genererad referenskod.
• Bytesvärderingen: anonyma uppgifter om lägenheten (storlek, hyra, stad, område, standard). Ingen personidentifierare kopplas till dessa poster.
• Kontakt via e-post: innehållet i det du skriver till oss samt din avsändaradress.
• Teknisk drift: IP-adress och tidsstämpel används tillfälligt för säkerhetsloggar och för att förhindra missbruk (rate limiting). IP-adresser raderas eller pseudonymiseras inom [VERIFIERA: antal] dagar.
• Vid framtida marknadsplats (Fas 2): BankID-verifierad identitet, kontraktsuppgifter, meddelanden mellan bytesparter samt fakturaunderlag. Denna behandling träder i kraft först när marknadsplatsen öppnar och beskrivs då separat innan du väljer att aktivera den.

3. Ändamål och rättslig grund

• Väntelista och lanseringsinformation: att kunna kontakta dig när tjänsten öppnar i din stad. Rättslig grund: samtycke (artikel 6.1 a GDPR), som du kan återkalla när som helst.
• Bytesvärdering: att leverera värderingen och förbättra modellen. Rättslig grund: fullgörande av avtal och berättigat intresse(artikel 6.1 b och f GDPR). Inmatningar behandlas anonymt.
• Säkerhet och drift: att skydda tjänsten mot missbruk. Rättslig grund: berättigat intresse (artikel 6.1 f GDPR).
• Bokföring och skatt (vid betald tjänst): lagkrav enligt bokföringslagen. Rättslig grund: rättslig förpliktelse (artikel 6.1 c GDPR).

4. Så länge sparar vi uppgifterna

• Väntelistan: tills tjänsten öppnat i din stad + 30 dagar, eller tills du avanmäler dig.
• Bytesvärderingar: anonyma poster sparas för modellförbättring utan tidsbegränsning.
• E-postkonversationer: upp till 24 månader efter senaste kontakt.
• Bokföringsunderlag: 7 år enligt bokföringslagen.
• Säkerhetsloggar: [VERIFIERA: antal] dagar, därefter raderade eller pseudonymiserade.

5. Vilka vi delar med (personuppgiftsbiträden)

Vi säljer aldrig dina uppgifter. Vi delar dem enbart med leverantörer som behövs för att driva tjänsten, och alltid under skriftligt personuppgiftsbiträdesavtal.

• Databas- och applikationshosting: Lovable Cloud / Supabase, med data lagrad inom EU. [VERIFIERA: exakt region].
• E-postutskick: [VERIFIERA: leverantör, t.ex. Resend/Postmark] för transaktionella mejl (välkomst, kvitton, notiser).
• Betalningar (Fas 2): [VERIFIERA: Stripe eller motsvarande] för hantering av abonnemang och kvitton.
• BankID-verifiering (Fas 2): [VERIFIERA: leverantör] för att säkerställa att bytesparter är verkliga personer.

Om ett biträde ligger utanför EU/EES sker överföring endast med lagliga skyddsåtgärder (t.ex. EU-kommissionens standardavtalsklausuler).

6. Cookies och analys

Vi använder inga tredjepartsannonseringscookies. Vi strävar efter cookielös eller aggregerad analys. Om vi framöver behöver samtycke till cookies visar vi en tydlig samtyckesruta där du kan välja per ändamål, och du kan ändra dig när som helst.

7. Dina rättigheter enligt GDPR

Du har rätt att:

• få veta vilka uppgifter vi har om dig (registerutdrag),
• få felaktiga uppgifter rättade,
• få dina uppgifter raderade (”rätten att bli glömd”),
• begära begränsning av eller invända mot behandling,
• få ut dina uppgifter i ett maskinläsbart format (dataportabilitet),
• återkalla samtycke utan att det påverkar behandling som redan skett.

Mejla skiftera@proton.me så svarar vi normalt inom 30 dagar. Om du är missnöjd med hur vi behandlar dina uppgifter har du rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY).

8. Säkerhet

Vi tillämpar branschstandard för dataskydd: TLS-kryptering vid överföring, kryptering av databasen i vila hos vår hostingleverantör, radbegränsning på publika endpoints och åtkomstkontroll på radnivå (RLS) i databasen. Ingen tjänst kan garantera fullständig säkerhet — vi arbetar löpande med förbättringar och rapporterar personuppgiftsincidenter till IMY inom 72 timmar när lagen kräver det.

9. Barn

Tjänsten riktar sig till personer över 18 år. Vi samlar inte medvetet in uppgifter om barn under 13 år. Kontakta oss om du tror att vi ändå gjort det, så raderar vi uppgifterna.

10. Ändringar av policyn

Vi kan uppdatera denna policy. Vid väsentliga ändringar meddelar vi via e-post till dig som är registrerad hos oss, minst 30 dagar innan ändringen träder i kraft.