Integritetspolicy

Policyns omfattning

Denna policy beskriver hur Näro behandlar personuppgifter i samband med försäljning av Närokort och drift av den tjänst korten är kopplade till. Policyn omfattar webbplatsen narokort.se, aktiveringsflödet samt de kortlänkar som ligger under narokort.se/c/.

Behandlingen sker i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 (dataskyddsförordningen, GDPR) och kompletterande svensk lagstiftning.

Personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen är Näro, organisationsnummer 060126-7834. Kontakt sker via hej@narokort.se.

Frågor om denna policy och begäran om att utöva rättigheter enligt avsnitt 10 ställs till hej@narokort.se.

Kategorier av personuppgifter

Följande kategorier av uppgifter behandlas.

Kontaktuppgifter

E-postadress samt, i förekommande fall, namn, verksamhetens namn, telefonnummer, ort, antal kort och kortkod. Uppgifterna lämnas av den registrerade själv via kontaktformuläret. Endast e-postadress är obligatorisk.

Ärendeuppgifter

Innehållet i meddelanden som skickas till Näro, samt datum för när ärendet inkom.

Kunduppgifter

Verksamhetens namn, den destinationslänk kortet är kopplat till samt datum för kortets registrering och aktivering.

Användningsstatistik

Tidpunkt för skanning, operativsystemets kategori (iOS, Android eller övrigt) samt om kortet lästes via NFC eller QR-kod. Uppgifterna kan inte hänföras till en identifierbar fysisk person.

Faktureringsuppgifter

Uppgifter som krävs för att upprätta och bokföra faktura, i förekommande fall inklusive fakturaadress och referensperson.

Uppgifter som inte behandlas

Tjänsten är utformad enligt principen om uppgiftsminimering i artikel 5.1 c GDPR. Följande behandlas inte:

IP-adresser. Vid skanning av ett kort registreras tidpunkt och enhetskategori. Avsändarens IP-adress lagras inte. Vid meddelanden via webbplatsens formulär används ett envägshashat och avkortat värde av IP-adressen, tillsammans med dagens datum, uteslutande för att begränsa antalet meddelanden per avsändare och timme. Värdet kan inte återföras till en IP-adress, raderas efter en timme, och behandlas med stöd av berättigat intresse enligt artikel 6.1 f GDPR att skydda tjänsten mot automatiserad skräppost.
Kakor utan samtycke. Webbplatsen sätter inga egna kakor. Kakor för annonsmätning sätts först efter uttryckligt samtycke, enligt avsnitt 5. Grundläget är nekat, och den som inte svarar eller svarar nej får inga kakor alls.
Webbanalys. Webbplatsen använder inga analysverktyg för besöksstatistik, såsom Google Analytics eller motsvarande. Den mätning som förekommer är begränsad till annonskonverteringar enligt avsnitt 5.
Externa typsnittstjänster. Typsnitt levereras från Näros egen domän, vilket innebär att besökarens IP-adress inte överförs till tredje part vid sidladdning.
Särskilda kategorier av personuppgifter enligt artikel 9 GDPR.

Den som skannar ett kort lämnar inga personuppgifter till Näro. Personen leds vidare till den tjänst som destinationslänken avser, normalt Google, varvid den tjänstens egen behandling och integritetspolicy tillämpas.

Annonsmätning och kakor

Näro annonserar i Google Ads. För att kunna se vilka annonser som leder till en beställning används Googles konverteringstagg (gtag.js), tillhandahållen av Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Taggen är förinställd i nekat läge enligt Googles Consent Mode v2. Innan besökaren lämnat sitt samtycke sätts inga kakor och ingen uppgift som kan hänföras till en enskild besökare överförs. Besökaren tillfrågas i en ruta längst ned på sidan. Vid nej fungerar webbplatsen oförändrat.

Efter lämnat samtycke behandlas följande:

Kakor från Google, som gör det möjligt att koppla samman ett klick på en annons med en senare beställning på webbplatsen.
Konverteringsuppgifter. Vid genomförd beställning överförs ordervärdet exklusive moms, valuta samt ett ordernummer. Ordernumret överförs för att samma köp inte ska räknas mer än en gång. Vid en förfrågan överförs endast uppgiften att en förfrågan skickats.
Förbättrade konverteringar. Kundens e-postadress överförs i envägshashad form (SHA-256). Hashningen utförs i Näros egen server, och adressen i klartext lämnar aldrig webbplatsen. Värdet används av Google uteslutande för att matcha köpet mot en tidigare annonsvisning.

Rättslig grund är samtycke enligt artikel 6.1 a GDPR samt 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation. Samtycket är frivilligt och kan när som helst återkallas med verkan för framtiden: . Återkallelse påverkar inte lagligheten av behandling som skett dessförinnan.

Ändamål och rättslig grund

Annonsmätning

Ändamål: att mäta vilka annonser som leder till beställning och förfrågan. Rättslig grund: samtycke, artikel 6.1 a GDPR. Se avsnitt 5.

Besvara förfrågningar

Ändamål: att hantera och besvara förfrågningar om köp och support. Rättslig grund: åtgärder före avtals ingående samt berättigat intresse av att besvara inkomna förfrågningar, artikel 6.1 b och 6.1 f GDPR.

Leverans och drift

Ändamål: att leverera beställda kort, koppla kort till angiven destinationslänk och hantera ändringar av denna. Rättslig grund: fullgörande av avtal, artikel 6.1 b GDPR.

Statistik och felsökning

Ändamål: att sammanställa användningsstatistik samt identifiera och åtgärda tekniska fel. Rättslig grund: berättigat intresse av att kunna följa upp och säkerställa tjänstens funktion, artikel 6.1 f GDPR.

Bokföring

Ändamål: att upprätta och bevara räkenskapsinformation. Rättslig grund: rättslig förpliktelse enligt bokföringslagen (1999:1078), artikel 6.1 c GDPR.

Lagringstid

Personuppgifter bevaras inte längre än vad som är nödvändigt för respektive ändamål.

Kontakt- och ärendeuppgifter

Till dess ärendet avslutats och därefter längst 24 månader. Uppgifterna raderas tidigare på begäran, om inte annan rättslig grund för fortsatt behandling föreligger.

Kunduppgifter

Under den tid kortet är i bruk. När ett kort avregistreras raderas kortuppgifterna och tillhörande användningsstatistik.

Användningsstatistik

Cirka 25 månader, varefter varje post raderas automatiskt. Perioden möjliggör jämförelse mellan motsvarande månader två år i följd.

Räkenskapsinformation

Sju år efter utgången av det kalenderår då räkenskapsåret avslutades, i enlighet med 7 kap. 2 § bokföringslagen. Denna tid kan inte förkortas.

Uppgifter för annonsmätning

Enligt Googles lagringstider för konverteringsdata. Besökarens eget svar på samtyckesfrågan sparas lokalt i webbläsaren till dess att besökaren ändrar det eller rensar webbplatsdata.

Mottagare av personuppgifter

Inom Näro har endast de personer tillgång till uppgifterna som behöver dem för att utföra sina arbetsuppgifter. Näro anlitar följande kategorier av personuppgiftsbiträden, med vilka personuppgiftsbiträdesavtal enligt artikel 28 GDPR har ingåtts:

Leverantör av webbhotell och datalagring (Cloudflare, Inc.) för drift av webbplatsen och lagring av kort- och statistikuppgifter.
Leverantör av e-posttjänst för hantering av korrespondens.
Leverantör av bokförings- och faktureringstjänst för hantering av räkenskapsinformation.
Korttillverkare, som endast erhåller de kortkoder som ska tryckas och inga kunduppgifter.
Leverantör av annonstjänst (Google Ireland Limited) för mätning av annonsers resultat. Uppgifter överförs endast efter samtycke enligt avsnitt 5. För denna behandling är Näro och Google självständigt personuppgiftsansvariga i den mening som avses i artikel 4.7 GDPR.

Personuppgifter lämnas i övrigt inte ut till tredje part, med undantag för när Näro är skyldigt att göra det enligt lag, förordning eller myndighetsbeslut.

Överföring till tredjeland

Personuppgifter kan komma att behandlas utanför EU/EES av de personuppgiftsbiträden och mottagare som anges i avsnitt 8. För sådan överföring tillämpas EU-kommissionens standardavtalsklausuler enligt artikel 46.2 c GDPR, kompletterade med tekniska och organisatoriska skyddsåtgärder efter genomförd bedömning av mottagarlandets skyddsnivå.

Dokumentation avseende överföringsgrunder tillhandahålls på begäran till hej@narokort.se.

Den registrerades rättigheter

Den registrerade har enligt GDPR rätt att begära följande. Begäran handläggs kostnadsfritt och besvaras utan onödigt dröjsmål, senast inom en månad från mottagandet.

Tillgång till uppgift om huruvida personuppgifter behandlas samt en kopia av dessa, artikel 15.
Rättelse av felaktiga eller ofullständiga uppgifter, artikel 16.
Radering av uppgifter när förutsättningarna i artikel 17 är uppfyllda.
Begränsning av behandlingen under den tid en invändning eller riktighetsfråga utreds, artikel 18.
Invändning mot behandling som grundas på berättigat intresse, artikel 21.
Dataportabilitet, det vill säga att få ut uppgifter i ett strukturerat, allmänt använt och maskinläsbart format, artikel 20.

Begäran ställs till hej@narokort.se. Näro kan behöva vidta rimliga åtgärder för att fastställa den sökandes identitet innan begäran handläggs.

Klagomål till tillsynsmyndighet

Den som anser att Näro behandlar personuppgifter i strid med gällande rätt har rätt att inge klagomål till Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy.se.

Säkerhet

Näro vidtar lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 GDPR för att skydda personuppgifter mot obehörig åtkomst, förlust och otillåten behandling. All trafik till och från webbplatsen sker krypterat. Administrativa gränssnitt är åtkomstskyddade och tillgängliga endast för behörig personal.

Ändringar av policyn

Näro kan komma att uppdatera denna policy. Gällande version publiceras alltid på denna sida med angivande av versionsnummer och datum. Vid väsentliga ändringar informeras berörda kunder innan ändringen träder i kraft.