Medlemsvillkor Allmänna villkor Personuppgiftsbiträdesavtal Cookiepolicy

Integritetspolicy

Senast uppdaterad: 24 september 2026 · Version 2.1

Organisationer och medlemmar. Kort sagt: Denna integritetspolicy är ett separat dokument från idbuddys allmänna villkor (tillgängliga på idbuddy.io/terms), vilka reglerar organisationers användning av plattformen. Policyn publiceras på engelska, svenska, danska och franska; vid avvikelser mellan språkversionerna har den engelska versionen företräde i den utsträckning tillämplig lag tillåter.

Din data, din kontroll

Vi är byggda för medlemskap, inte för att sälja din uppmärksamhet. Här förklarar vi i klartext vad vi samlar in, varför, och hur du behåller kontrollen. Den fullständiga juridiska texten följer direkt efter sammanfattningen.

Kort och gott

Vi följer EU:s allmänna dataskyddsförordning (GDPR) och svensk dataskyddslag. Här är vad det innebär i praktiken för dig som medlem eller administratör.

Vi säljer aldrig dina personuppgifter. Inga uppgifter delas eller säljs till annonsnätverk, datamäklare eller marknadsföringspartners. Punkt.
Du äger din data. Du kan exportera, rätta eller radera dina uppgifter. Vi svarar inom 30 dagar, kostnadsfritt.
Vi samlar bara in det vi behöver. Namn, e-post, medlemsstatus, de interaktioner tjänsten registrerar och, bara om du själv väljer att lägga till det, ditt födelsedatum. Ett telefonnummer eller en ytterligare e-postadress finns bara om du lägger till det, och varje organisation får bara den du väljer för den. Postadresser och liknande ingår inte alls i en medlemsprofil.
Två roller, samma skydd. Ibland är vi ansvariga, ibland biträde åt din organisation. Skyddsnivån är densamma och vi förklarar skillnaden i klartext.
Dina medlemsuppgifter stannar i EU/EES. Vår databas, vår fillagring och våra schemalagda jobb körs i en EU-region. Ett fåtal namngivna leverantörer behandlar vissa uppgifter på annat håll, och avsnitt 11 anger exakt vilka och på vilken rättslig grund.
Ingen annonsering, ingen profilering, inga reklam-SDK. Vi mäter hur webbplatsen används bara om du godtar det, och vi kontrollerar inloggningar för att upptäcka automatiserat missbruk. Avsnitt 17 listar varje kaka och varje tredje part som din webbläsare kontaktar.
Krypterat i transport och i vila. TLS för all trafik, kryptering i vila, åtkomst enligt minsta behörighet och loggning av administrativ åtkomst.
Mänsklig kontakt, och rätten att klaga. Skriv till info (at) idbuddy.io. Du har alltid rätt att lämna in ett klagomål till Integritetsskyddsmyndigheten (IMY) om vi inte når en lösning.

Vilka delar som handlar om dig

Organisationer och medlemmar. Kort sagt: En medlem och en organisation får olika besked här. Detta säger vilket som är vilket.

Två sorters läsare tar del av policyn, och det som gäller dem är inte detsamma.

Har du ett medlemskap i appen är du medlem. Det vi har om dig är ditt konto i avsnitt 5.1, dina medlemskap i 5.2, vad du gjort med dem i 5.3 och var ett evenemang ägde rum i 5.4. Avsnitt 6 säger var var och en av dessa finns, avsnitt 10 hur länge de stannar och avsnitt 14 vad du kan kräva. Ditt eget konto svarar vi för; allt inne i en organisations arbetsyta är den organisationens, vilket avsnitt 4 förklarar och vilket avgör vem du vänder dig till. Medlemsappen har egna villkor på idbuddy.io/member-terms.

Driver du en organisation på idbuddy är du och de administratörer du utser kund. Det vi har om dig är kontot varje administratör loggar in med i avsnitt 5.1, det du skickade oss när du anmälde intresse i 5.5, och registreringen av användningen av konsolen i 5.6. Ditt avtal med oss är de allmänna villkoren, och personuppgiftsbiträdesavtalet reglerar vad vi gör med dina medlemmars uppgifter på dina instruktioner.

Dina medlemmar svarar vi inte för i ditt ställe. För dem är du personuppgiftsansvarig och vi är personuppgiftsbiträde, så avsnitt 4 och personuppgiftsbiträdesavtalet anger vad det lägger på dig.

1. Inledning och omfattning

Organisationer och medlemmar. Kort sagt: Vilka vi är, vad policyn omfattar och vilka lagar vi följer.

Denna policy beskriver hur Byte Buddies AB (org.nr 559491-4979), nedan ”idbuddy”, ”vi” eller ”oss”, samlar in, använder, delar och skyddar personuppgifter när du besöker idbuddy.io eller använder tjänsterna app.idbuddy.io (medlemsapp) och admin.idbuddy.io (administratörsverktyg). Den omfattar även ops.idbuddy.io, den interna konsol som vår egen personal använder för att driva plattformen.

Policyn gäller även när en organisation som använder idbuddy lägger till dig som medlem. För själva medlemskapsrelationen är organisationen primärt personuppgiftsansvarig och vi agerar som deras personuppgiftsbiträde. Avsnitt 4 utvecklar de två rollerna närmare.

Vi följer Europaparlamentets och rådets förordning (EU) 2016/679 (”GDPR”), dataskyddslagen (2018:218), lagen om elektronisk kommunikation (2022:482) samt övrig tillämplig dataskyddslagstiftning.

För organisationer som använder idbuddy regleras behandlingen av deras medlemmars personuppgifter även av avsnitt 8 i de allmänna villkoren (idbuddy.io/terms) och av personuppgiftsbiträdesavtalet (DPA).

2. Definitioner

Organisationer och medlemmar. Kort sagt: GDPR-begreppen som används i policyn, samlade på ett ställe.

Följande begrepp har den innebörd som anges i Art. 4 GDPR:

Personuppgift: varje upplysning som avser en identifierad eller identifierbar fysisk person.
Behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter (insamling, lagring, ändring, läsning, radering m.m.).
Personuppgiftsansvarig: den som ensam eller tillsammans med andra bestämmer ändamål och medel för behandlingen.
Personuppgiftsbiträde: den som behandlar uppgifter för en personuppgiftsansvarigs räkning.
Underbiträde: en av oss anlitad part som behandlar uppgifter för vår räkning (t.ex. molnvärd).
Tredje land: land utanför EU/EES.
Den registrerade (”du”): den fysiska personen vars personuppgifter behandlas.
Särskilda kategorier: känsliga uppgifter enligt Art. 9 GDPR (hälsa, etniskt ursprung, religion, sexuell läggning m.m.).

3. Personuppgiftsansvarig och dataskyddsombud

Organisationer och medlemmar. Kort sagt: Byte Buddies AB är ansvarigt; vårt integritetsteam svarar på info (at) idbuddy.io.

Byte Buddies AB är personuppgiftsansvarig för den behandling som beskrivs i denna policy där vi själva bestämmer ändamål och medel. Vår kontaktinformation finns i avsnittet ”Kontakt och klagomål” längst ned i policyn.

Vi har för närvarande inte utsett ett formellt dataskyddsombud (DPO) enligt Art. 37 GDPR. Frågor om dataskydd, inklusive begäran om att utöva dina rättigheter, hanteras av vårt integritetsteam och kan skickas till info (at) idbuddy.io. Vid behov åtar vi oss att utse ett DPO och uppdaterar då denna policy.

4. Våra två roller: personuppgiftsansvarig och personuppgiftsbiträde

Organisationer och medlemmar. Kort sagt: För ditt eget konto är vi personuppgiftsansvariga; för ditt medlemskap i en organisation agerar vi endast på organisationens instruktioner.

idbuddy verkar i två distinkta dataskyddsroller beroende på sammanhang:

Personuppgiftsansvarig: när du registrerar ett eget konto direkt hos oss, besöker våra webbplatser, kommunicerar med vår support eller får marknadsföring direkt från oss.
Personuppgiftsbiträde: när du är medlem hos en organisation som använder idbuddy som verktyg. Organisationen bestämmer då ändamål och medel; vi behandlar uppgifterna för deras räkning enligt ett personuppgiftsbiträdesavtal (Art. 28 GDPR).

I biträdesrollen följer vi organisationens dokumenterade instruktioner och informerar dig om behandlingen genom dem. Frågor om sådana medlemskap riktas i första hand till organisationen. Vi vidarebefordrar förfrågningar utan onödigt dröjsmål när det krävs, och vi assisterar organisationen i den utsträckning Art. 28(3)(e) kräver.

5. Vilka personuppgifter vi behandlar

Organisationer och medlemmar. Kort sagt: En medlemsprofil är ett namn, en e-postadress, en bild och, om du väljer att lägga till det, ditt födelsedatum. Allt annat är en notering om något du har gjort.

Vi behandlar endast personuppgifter som är nödvändiga för respektive ändamål och tillämpar principen om uppgiftsminimering enligt Art. 5(1)(c) GDPR. Beroende på din roll kan följande kategorier förekomma.

5.1 Kontouppgifter

Ditt för- och efternamn, din e-postadress och, om du laddar upp en, en profilbild. Ditt lösenord förvaras hos vår autentiseringsleverantör som en saltad hash och är aldrig synligt för oss. Loggar du in med Google i stället för med lösenord lagrar vi även de identitetsuppgifter Google lämnar till oss om ditt konto, till exempel den identifierare Google använder för dig och om Google har verifierat din adress.

Du kan lägga till ett födelsedatum. Det är frivilligt: du bestämmer själv om du anger det, och det finns för att en organisation du delar det med ska kunna ge dig ett födelsedagserbjudande. Under Vad du delar i dina profilinställningar väljer du vilka av dina organisationer som ser det, såvida inte en organisation kräver det som villkor för medlemskapet, och du kan ta bort det från din profil när du vill. Du kan också lägga till fler e-postadresser, var och en bekräftad via en länk vi mejlar till den innan den räknas, och telefonnummer, och välja per organisation vilken adress och vilket nummer den får använda. En medlemsprofil innehåller ingen postadress och ingen fritextanteckning: de fälten finns inte i plattformen, och en organisation kan inte lägga till dem.

5.2 Medlemsdata

Vilka organisationer du är medlem i, det visningsnamn organisationen känner dig under, din roll i organisationen och datumet du gick med. Ditt digitala medlemskort och den QR-kod det visar. Tar en organisation ut en medlemsavgift lagras även de uppgifter organisationen registrerar för ditt medlemskap: belopp, valuta, vilken period avgiften avser och om betalningen gick igenom. För varje medlemskap lagras också vilka av ditt namn, din e-postadress och ditt födelsedatum du valt att dela med organisationen, vilka av dem organisationen kräver, och vilken av dina e-postadresser och vilket av dina telefonnummer, om något, den får använda.

5.3 Interaktionsdata

Det tjänsten registrerar när du använder den. Varje gång din QR-kod skannas registrerar vi vem som skannade den, för vilken organisation, när, om koden var giltig, vad skanningen gällde och dess utfall. För att den administratör som skannar ska kunna se vem som står framför hen lagrar vi också en kopia av ditt namn som det såg ut i det ögonblicket. Dina stämpelkort och varje enskild stämpel. Erbjudanden du har utnyttjat. Vilka evenemang du har deltagit i, oavsett om en administratör registrerade det genom att skanna dig i dörren eller lade till dig i listan för hand. Nyhetsbrev som en organisation har köat och skickat till dig, och, om du avregistrerat dig från något, att du gjorde det och när. Varje medlemskap bär också en slumpmässig identifierare som bara finns inuti den avregistreringslänken, så att ett tryck på den säger vilket medlemskap du menade utan att du behöver logga in. En gång i månaden, för att vi ska kunna fakturera organisationen, sparar vi också en räkning av hur många av de här sakerna du gjorde där, och vilken månad.

5.4 Uppgifter om evenemang och platser

Administrerar du en organisation innehåller de evenemang du skapar ett platsnamn, en gatuadress och kartkoordinater. När du skriver in en adress slår vi upp den genom en extern geokodningstjänst så att kartan kan visa rätt plats. Avsnitt 11 namnger tjänsten.

5.5 Uppgifter du skickar när du kontaktar oss

Om du ansöker om att din organisation ska ansluta sig genom formuläret på idbuddy.io/get-started samlar formuläret in ditt namn, din befattning, din e-postadress, ditt telefonnummer, din organisations adress, dess faktureringsuppgifter inklusive bankgiro eller bankkontonummer om du anger ett, och den prisplan du valde. Det du skickar sparas i plattformen som en ansökan, som finns innan din organisation gör det. Vår personal läser den för att avgöra om vi kan sätta upp er, och vi svarar till den adress du angav, antingen för att säga att organisationen är klar eller för att säga vad vi fortfarande behöver från dig. Avsnitt 10 anger en tid för en ansökan vilket håll det än går.

Allt du skriver till info (at) idbuddy.io eller contact (at) idbuddy.io är något annat: det ligger i en vanlig e-postlåda för företag och inte i plattformen, och vi sparar korrespondensen.

Vi driver ingen chattjänst, vi spelar inte in samtal och vi har inget ärendehanteringssystem för support.

5.6 Tekniska uppgifter

Vi lagrar inga IP-adresser, enhetsidentifierare eller webbläsarfingeravtryck i vår egen databas. Våra leverantörer av drift, databas och botskydd behandlar däremot tekniska uppgifter av det slaget för att kunna leverera webbplatsen, hålla den tillgänglig och blockera automatiserat missbruk; avsnitt 11 namnger dem och avsnitt 17 förklarar vad som körs i din webbläsare.

5.7 Faktureringsuppgifter för en organisation

En organisation med en plan som kostar lämnar de uppgifter fakturering kräver. Fyra av dem är obligatoriska: juridiskt namn, adress samt namn och e-postadress till den person fakturan går till. Resten efterfrågas och får lämnas tomma: organisationsnummer och momsregistreringsnummer, den personens telefonnummer, bankgironummer, bankkontonummer eller IBAN och BIC, och en fakturareferens med egen formulering, som är ett fritextfält och trycks på fakturan. Vi sparar också en notering om varje ändring av de uppgifterna och av vald plan: vem som gjorde den och när. För uppgifterna själva sparar vi bara vilka fält som ändrades, aldrig värdet före eller efter. För ett byte av plan sparar vi också planen på var sida om bytet, eftersom en siffra på en faktura måste gå att förklara. En organisation som stannar på gratisnivån tillfrågas aldrig om något av detta.

6. Var dina uppgifter lagras, och varför

Organisationer och medlemmar. Kort sagt: En databas i EU rymmer nästan allt. Detta avsnitt namnger varje annan plats dit en uppgift om dig tar vägen, och vad den gör där.

Art. 13(1) kräver att vi berättar vem som tar emot dina uppgifter. Vi menar att du också ska kunna se var de fysiskt finns, så här är kartan.

Vår databas, i en EU-region hos Supabase. Detta är tjänstens huvudregister: konton, inklusive födelsedatum där du lagt till ett, medlemskap, medlemskort, stämpelkort, erbjudanden, utnyttjade erbjudanden, evenemang, inbjudningar, skanningshistorik, ansökningar från organisationer som vill ansluta sig, kön av nyhetsbrev som ska skickas och faktureringsuppgifterna för organisationer med en plan som kostar. Den finns eftersom tjänsten inte kan fungera utan den, och den ligger i EU eftersom det är där våra medlemmar finns.
Fillagring, i samma EU-region hos Supabase. Profilbilder, organisationslogotyper och de bilder organisationer laddar upp till sina medlemssidor, evenemang och erbjudanden. Lagras för att apparna ska kunna visa dem.
Vår leverantör av e-postutskick, Resend. Varje meddelande plattformen skickar passerar genom den: inloggningslänkar, lösenordsåterställningar, inbjudningar, svar till en organisation som har ansökt om att ansluta sig och organisationers nyhetsbrev. Den tar emot mottagarens adress, namnet och svarsadressen för den organisation som skickar, ämnesraden och meddelandetexten, och den sparar leveransloggar. Resend är ett amerikanskt företag; se avsnitt 12.
Vår applikationsvärd, Vercel. idbuddys fyra webbplatser körs där. Vercel behandlar de tekniska uppgifter som hanteringen av en webbförfrågan medför, och tillhandahåller även den användningsmätning och det botskydd vid inloggning som beskrivs i avsnitt 17. Vercel är ett amerikanskt företag; se avsnitt 12.
Google, men bara om du väljer det. Trycker du på ”Fortsätt med Google” skickas du till Google för att logga in, och Google lämnar i sin tur din e-postadress och grundläggande kontouppgifter till oss. Använder du lösenord i stället får Google ingenting.
OpenStreetMap, för kartor i administratörsverktyget. När en administratör skriver in en adress till ett evenemang eller tittar på evenemangskartan hämtas adresstexten och kartområdet från OpenStreetMaps servrar. Medlemmar berörs inte; detta sker enbart i administratörsverktyget.
Vår egen brevlåda. Korrespondens med info (at) idbuddy.io och contact (at) idbuddy.io ligger i en vanlig e-postlåda för företag och inte i databasen ovan.
Krypterade säkerhetskopior av databasen, hos Supabase i samma region och överskrivna i en löpande cykel.

Vi kopierar inte dina personuppgifter till något analyslager, någon kunddataplattform, något annonssystem eller någon datamäklare, och vi använder dem inte för att träna maskininlärningsmodeller.

7. Varifrån vi får uppgifterna

Organisationer och medlemmar. Kort sagt: Dina uppgifter kommer från dig, från din organisation och från hur du använder tjänsten.

Enligt Art. 14(2)(f) GDPR ska vi vara transparenta med var personuppgifter kommer ifrån. Vi samlar in uppgifter från följande källor:

Direkt från dig: när du registrerar ett konto, uppdaterar din profil, gör inställningar eller kommunicerar med oss.
Direkt från dig innan du har något konto alls: när du ansöker om att din organisation ska ansluta sig genom formuläret på idbuddy.io/get-started.
Från organisationer som använder idbuddy: när en organisation bjuder in dig att gå med. Vi behandlar dessa uppgifter i biträdesrollen. En inbjudan registrerar din e-postadress innan du har något konto hos oss, och avsnitt 10 anger hur länge vi sparar den.
Från din identitetsleverantör: om du loggar in med Google, det namn, den e-postadress och den profilbild Google lämnar till oss.
Automatiskt vid användning: din interaktionshistorik skapas när du använder tjänsten, och våra leverantörer genererar tekniska uppgifter enligt beskrivningen i avsnitt 5.6.

8. Ändamål och rättslig grund

Organisationer och medlemmar. Kort sagt: Varje ändamål har en angiven rättslig grund; marknadsföring från oss kräver alltid ditt samtycke.

Vi behandlar dina uppgifter för följande ändamål med stöd av nedan angivna rättsliga grunder enligt Art. 6(1) GDPR. När behandlingen vilar på berättigat intresse (Art. 6(1)(f)) gör vi alltid en dokumenterad intresseavvägning som visar att dina intressen, rättigheter och friheter inte väger tyngre än vårt berättigade intresse, och du kan invända när som helst (se avsnitt 16).

Leverera och underhålla tjänsten (konto, inloggning, medlemskort, incheckningar): avtal, Art. 6(1)(b).
Skicka systemmeddelanden som rör ditt konto (inloggningslänkar, lösenordsåterställningar, notiser om förändringar, säkerhetsvarningar): avtal, Art. 6(1)(b).
Skicka nyhetsbrev och marknadsföring från idbuddy: samtycke, Art. 6(1)(a). Du kan återkalla ditt samtycke när som helst, från dina kommunikationsinställningar i appen eller genom avregistreringslänken i varje marknadsföringsutskick, och vi agerar på det omedelbart.
Skicka nyhetsbrev och erbjudanden från din organisation: organisationen bestämmer den rättsliga grunden för sina egna utskick, och vi agerar på dess instruktioner i biträdesrollen. I båda fallen kan du stoppa dem, från dina kommunikationsinställningar eller via avregistreringslänken i meddelandet.
Hantera support- och serviceärenden: avtal eller berättigat intresse, Art. 6(1)(b) och (f).
Besluta om en ansökan om att ansluta sig, och bygga organisationen utifrån vad den säger om vi godkänner den: åtgärder på din egen begäran innan något avtal finns, Art. 6(1)(b). Att bevara uppgift om vad som beslutades och när vilar på berättigat intresse, Art. 6(1)(f).
Förebygga bedrägeri, missbruk och säkerhetsincidenter, inklusive automatiserade kontroller vid inloggning och kontoskapande: berättigat intresse, Art. 6(1)(f). Vårt intresse är att skydda dig och tjänsten. Avsnitt 18 förklarar kontrollen och hur du får ett beslut omprövat.
Mäta hur våra webbplatser används så att vi kan förbättra dem: samtycke, Art. 6(1)(a), enbart på aggregerad nivå. Avsnitt 17 förklarar vad som samlas in, och inget mäts om du inte säger ja.
Förbättra och utveckla tjänsten via aggregerad statistik och felsökning: berättigat intresse, Art. 6(1)(f), med pseudonymisering där det är möjligt.
Uppfylla rättsliga skyldigheter (bokföring, skatt, svar till myndigheter): rättslig förpliktelse, Art. 6(1)(c). Bokföringslagen (1999:1078) med flera.
Bemöta rättsliga anspråk och hävda eller försvara våra rättigheter: berättigat intresse, Art. 6(1)(f).
Marknadsföra idbuddy till administratörer hos befintliga organisationer (B2B): berättigat intresse, Art. 6(1)(f), med rätt att invända.
Räkna fram vad en organisation är skyldig oss och kunna visa den en specifikation av en tidigare faktura: berättigat intresse, art. 6.1 f. Vårt intresse är att debitera rätt och att kunna svara på en fråga om en debitering. Vi räknar vad som hänt, per månad, och använder det inte till något annat.
Fakturera en organisation och hålla noteringen om vem som ändrat dess faktureringsuppgifter: avtal med den organisationen, art. 6.1 b, och berättigat intresse, art. 6.1 f, för den del som rör den person som anges som kontakt. Vårt intresse är att fakturera rätt part och att kunna visa vem som ändrat en betalningsuppgift.

9. Särskilda kategorier och barns uppgifter

Organisationer och medlemmar. Kort sagt: Vi efterfrågar aldrig känsliga uppgifter, och vi läser inte vad organisationer skriver. Är din medlemsförteckning känslig redan av sin natur är avsnitt 9.2 skrivet för dig.

9.1 Särskilda kategorier enligt Art. 9

Vi efterfrågar inte, och plattformen har inget fält för, någon av de särskilda kategorier som räknas upp i Art. 9 GDPR: hälsa, ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska eller biometriska uppgifter, sexualliv eller sexuell läggning. En medlemsprofil innehåller ett namn, en e-postadress, en bild och, om du lägger till dem, ett födelsedatum, fler e-postadresser och telefonnummer.

Våra allmänna villkor förbjuder organisationer att ladda upp eller behandla uppgifter i särskild kategori om inte ett giltigt undantag gäller (avsnitt 10.1). Du bör veta exakt hur långt det sträcker sig, eftersom det ärliga svaret betyder mer än det betryggande:

Vi granskar inte innehållet som organisationer skriver in i sina egna fält. Det finns ingen skanning, ingen klassificerare och ingen detektering, så vi kan inte utlova att vi hittar sådana uppgifter på egen hand.
Vi agerar på anmälningar. Berättar du för oss, eller får vi på annat sätt kännedom om, att en organisation behandlar uppgifter i särskild kategori i strid med våra villkor utreder vi saken, kräver att organisationen tar bort uppgifterna och underrättar organisationen.
Vi kan upprätthålla förbudet. Vi kan stänga av enskilda funktioner för en enskild organisation, inklusive dess möjlighet att skicka meddelanden, och stänga av eller avsluta åtkomsten helt. Det gör vi när en organisation inte vill rätta ett avtalsbrott.
Organisationen är fortfarande personuppgiftsansvarig. När en organisation lägger in uppgifter i särskild kategori i idbuddy är det organisationen, inte idbuddy, som måste ha en tillämplig grund enligt Art. 9 för dem.

9.2 När själva medlemskapet är känsligt

Vissa medlemskap avslöjar en särskild kategori bara genom att finnas. Att tillhöra ett trossamfund, en fackförening, en politisk förening eller en HBTQ-organisation avslöjar religion, fackligt medlemskap, politisk åsikt eller sexuell läggning, och EU-domstolen har bekräftat att uppgifter som avslöjar sådan information indirekt ändå omfattas av Art. 9 (mål C-184/20).

Är din organisation av det slaget bör du behandla hela din medlemsförteckning som uppgifter enligt Art. 9, identifiera din grund enligt Art. 9(2), som för en ideell förening oftast är Art. 9(2)(d), och hålla förteckningen inom organisationen. Vi stödjer det genom att inte visa medlemsförteckningar för andra organisationer och genom att låta dig stänga av att organisationen är sökbar publikt.

9.3 Barn

Tjänsten riktar sig inte till barn under 13 år och vi marknadsför oss inte mot barn. Administratörer av en arbetsyta måste vara minst 18 år (se våra villkor).

När samtycke är den rättsliga grunden varierar åldern då ett barn kan samtycka själv mellan länderna: 13 år i Sverige enligt 2 kap. 4 § dataskyddslagen (2018:218), och mellan 13 och 16 år i övriga EU/EES enligt Art. 8(1) GDPR. Under den åldern måste samtycket lämnas eller godkännas av vårdnadshavaren.

Om en organisation lägger till medlemmar som är minderåriga ansvarar organisationen, i egenskap av personuppgiftsansvarig, för att följa Art. 8 GDPR och den åldersgräns som gäller för den, inklusive att inhämta vårdnadshavares samtycke där det krävs. idbuddy kontrollerar ingens ålder. Ett födelsedatum i en profil är frivilligt, anges av medlemmen och används för födelsedagserbjudanden, och en organisation ser det bara där medlemmen delar det eller organisationen kräver det; vi använder det inte för att bedöma ålder eller avgöra vem som får gå med, så en organisation som skriver in minderåriga får hantera ålderskontrollen utanför plattformen. Om vi får kännedom om att vi samlat in personuppgifter om ett barn utan giltig rättslig grund raderar vi dem så snart det är rimligt möjligt.

10. Hur länge vi sparar uppgifterna

Organisationer och medlemmar. Kort sagt: En bestämd tid för varje kategori, inte ett vagt löfte. När tiden går ut raderar eller anonymiserar vi.

Vi sparar personuppgifter endast så länge det är nödvändigt för det ändamål de samlades in för, eller så länge lagen kräver det. Tiderna nedan gäller vår egen behandling som personuppgiftsansvarig. När vi agerar som personuppgiftsbiträde bestämmer din organisation i egenskap av personuppgiftsansvarig hur länge dess medlemsuppgifter sparas, och den kan instruera oss att radera tidigare.

E-postadresser som lagts till en profil men aldrig bekräftats: 7 dagar.
Kontouppgifter, inklusive ett födelsedatum du lagt till: så länge ditt konto finns, eller tills du själv tar bort födelsedatumet. Har du inte loggat in på 24 månader kontaktar vi dig, och återvänder du inte raderar eller anonymiserar vi kontot.
Medlemsdata: så länge medlemskapet varar och 12 månader därefter, om inte din organisation instruerar oss om annat. Lämnar du en organisation själv raderas dina kort, stämplar och aktiverade erbjudanden där direkt, och ditt namn tas bort ur dess skanningshistorik.
Noteringar om medlemsavgifter som en organisation registrerar för dig: så länge organisationens egen bokföringslagstiftning kräver. För en svensk organisation är det sju år enligt 7 kap. 2 § bokföringslagen (1999:1078).
Historik över incheckningar, stämplar och erbjudanden: 24 månader från interaktionen, eller 12 månader efter att medlemskapet upphör, beroende på vad som inträffar först.
Noteringar om utskickade nyhetsbrev: 12 månader från utskicket.
Underlag som visar att du lämnat samtycke till marknadsföring: så länge samtycket gäller och 24 månader därefter, så att vi kan visa att det fanns.
Noteringen om att du invänt mot marknadsföring eller avregistrerat dig: sparas så länge ditt konto finns, och upphävs inte av att du går med i en organisation igen eller av en senare import. Det är det enda sättet för oss att fortsätta respektera den. Om ditt konto raderas försvinner noteringen tillsammans med den adress den skyddade.
Inbjudningar som accepterats, återkallats eller löpt ut: 30 dagar, därefter raderas de.
En ansökan om att ansluta sig som ingen har beslutat om: till dess att den avgörs, och högst 60 dagar, varefter den markeras som utgången och behålls lika länge som en avslagen.
En ansökan vi avslagit, eller en som gått ut: 12 månader från den tidpunkten, därefter raderas den.
En ansökan vi godkänt: ditt namn, din befattning, din e-postadress och ditt telefonnummer rensas från den så snart organisationen finns, eftersom du därefter har ett ägarmedlemskap eller en inbjudan att ta ett. Vad som återstår är organisationens egna uppgifter och uppgift om beslutet, och det raderas när organisationen raderas.
Svar vi skickat till dig om en ansökan: 90 dagar från utskicket.
Korrespondens med vår support: 24 månader efter att ärendet avslutats.
Vårt eget bokföringsunderlag: sju år enligt bokföringslagen (1999:1078).
Säkerhetsloggar, inklusive inloggningar och administrativ åtkomst: 12 månader, eller längre så länge en incident utreds.
Drift- och felsökningsloggar: 30 dagar.
Krypterade säkerhetskopior: överskrivs i en löpande cykel om högst 35 dagar.
Månadsräkningen av vad du gjort hos en organisation, som vi håller för att kunna fakturera den: 24 månader, därefter finns bara organisationens summor kvar och de säger inte längre vem som räknats.
En organisations faktureringsuppgifter: så länge organisationen har en plan som kostar, och sju år därefter enligt bokföringslagen (1999:1078).
En utställd faktura eller kreditnota: sju år enligt bokföringslagen (1999:1078). Den fryser en kopia av faktureringsuppgifterna som de såg ut när den ställdes ut, inklusive kontaktpersonens namn och e-postadress, och den skrivs aldrig om. Att radera arbetsytan raderar inte den; det klipper bara kopplingen dem emellan.
Noteringen om vem som ändrat en organisations faktureringsuppgifter eller plan: 24 månader. Den håller namnet som det såg ut då och lever därför längre än kontot hos den som gjorde ändringen; raderas kontot klipps kopplingen till det, men namnet står kvar tills de 24 månaderna löpt ut.

När en tid går ut raderar vi uppgifterna eller anonymiserar dem så att de inte längre kan kopplas till dig.

11. Mottagare och underbiträden

Organisationer och medlemmar. Kort sagt: Sex namngivna leverantörer, vad var och en gör och var den finns. Aldrig annonsörer eller datamäklare.

Vi delar uppgifter med de leverantörer som behövs för att driva tjänsten. Samtliga binds av personuppgiftsbiträdesavtal enligt Art. 28 GDPR samt av sekretess- och säkerhetsåtaganden. Vi anlitar enbart leverantörer som lämnar tillräckliga garantier för att kraven i GDPR uppfylls. Den aktuella förteckningen är:

Supabase Inc. (USA), med vårt projekt upprättat i en EU-region. Databas, autentisering, fillagring och schemalagda jobb. Här ligger dina konto-, medlemskaps- och interaktionsuppgifter.
Vercel Inc. (USA). Drift av idbuddy.io, app.idbuddy.io, admin.idbuddy.io och ops.idbuddy.io, samt den aggregerade användningsmätningen och det botskydd vid inloggning som beskrivs i avsnitt 17.
Resend, Inc. (USA). Utskick av all e-post plattformen skickar. Meddelandeinnehåll och mottagaradresser passerar genom tjänsten, och dess leveransloggar och meddelandemetadata lagras i USA.
Google Ireland Limited, med Google LLC (USA) som underbiträde. Endast när du väljer ”Fortsätt med Google” för att logga in.
OpenStreetMap Foundation (Storbritannien). Adressuppslagning och kartrutor i administratörsverktyget. Markörbilderna till dessa kartor levereras från ett publikt distributionsnät för kod som drivs av Cloudflare, Inc. (USA).
En molnbaserad e-posttjänst för företag, som hanterar korrespondensen med info (at) idbuddy.io och contact (at) idbuddy.io.

Vi använder inga annonsnätverk, datamäklare, kunddataplattformar eller analysverktyg från tredje part utöver den aggregerade mätning som namnges ovan.

Innan vi anlitar ett nytt underbiträde gör vi en riskbedömning, säkerställer giltig rättslig grund för eventuell tredjelandsöverföring och informerar våra kunder i god tid så att de kan invända. Organisationskunder hittar den bindande förteckningen, och möjligheten att invända mot en ändring, i personuppgiftsbiträdesavtalet (DPA), som publiceras på idbuddy.io/dpa; ett exemplar tillhandahålls även kostnadsfritt via info (at) idbuddy.io.

12. Överföringar utanför EU/EES

Organisationer och medlemmar. Kort sagt: Dina medlemsuppgifter ligger i EU. Några av de namngivna leverantörerna är amerikanska företag, och varje överföring har en rättslig grund som vi kan visa dig.

Dina konto-, medlemskaps- och interaktionsuppgifter lagras i en EU-region, och vår egen personal kommer åt dem från Sverige. Flera av leverantörerna i avsnitt 11 är etablerade utanför EU/EES, så viss behandling når ett tredje land. När den gör det sker det enbart på någon av följande grunder enligt Art. 44–49 GDPR:

Beslut om adekvat skyddsnivå (Art. 45). Storbritannien omfattas av ett beslut om adekvat skyddsnivå, vilket är grunden för behandlingen hos OpenStreetMap i avsnitt 11.
EU-kommissionens standardavtalsklausuler (SCC, Art. 46), kompletterade med tekniska och organisatoriska skyddsåtgärder: kryptering i transport och i vila, åtkomstkontroller och transparensåtaganden. Detta är grunden för Supabase, Vercel, Resend och Cloudflare.
EU-US Data Privacy Framework, när leverantören är certifierad enligt det och behandlingen faller inom dess tillämpningsområde.

Vi gör en överföringsbedömning (Transfer Impact Assessment) innan vi inleder en ny tredjelandsöverföring för att säkerställa att skyddsnivån är väsentligen likvärdig med EU:s. Du kan begära aktuell information om överföringar via info (at) idbuddy.io.

13. Utlämning till myndigheter

Organisationer och medlemmar. Kort sagt: Myndigheter får uppgifter endast när lagen kräver det, och vi granskar varje begäran först.

Vi lämnar endast ut personuppgifter till svenska eller utländska myndigheter när vi är skyldiga enligt lag, domstolsbeslut eller annat bindande föreläggande från behörig myndighet.

Varje begäran prövas formellt och rättsligt innan någon utlämning sker, och vi dokumenterar de begäranden vi tar emot och hur vi hanterat dem. När lagen tillåter informerar vi den registrerade. Vi bestrider förfrågningar som inte uppfyller rättsliga krav, är oproportionerliga eller saknar rättslig grund.

14. Dina rättigheter enligt GDPR

Organisationer och medlemmar. Kort sagt: Tillgång, rättelse, radering, export, invändning. Allt kostnadsfritt, med svar inom 30 dagar.

Du har följande rättigheter enligt Art. 15–22 GDPR. Vi behandlar varje begäran kostnadsfritt och svarar inom 30 dagar (kan vid komplexitet förlängas med två månader, då vi informerar dig om skälet).

Rätt till information (Art. 13–14): att få veta vilka uppgifter vi behandlar och varför. Denna policy uppfyller huvuddelen.
Rätt till tillgång (Art. 15): en kopia av de personuppgifter vi har om dig, inklusive din interaktionshistorik.
Rätt till rättelse (Art. 16): korrigera felaktiga eller komplettera ofullständiga uppgifter.
Rätt till radering (Art. 17): begära att vi raderar dina uppgifter när ingen rättslig grund återstår. Vissa undantag gäller, till exempel våra bokföringsskyldigheter och noteringen om en marknadsföringsinvändning som beskrivs i avsnitt 10.
Rätt till begränsning (Art. 18): pausa behandlingen medan ett klagomål utreds eller riktigheten ifrågasätts.
Rätt till dataportabilitet (Art. 20): få ut dina uppgifter i ett strukturerat, maskinläsbart format och överföra dem till en annan personuppgiftsansvarig.
Rätt att invända (Art. 21): mot behandling som grundas på berättigat intresse eller direktmarknadsföring.
Rätt att inte bli föremål för helt automatiserade beslut (Art. 22) som har rättsverkningar eller liknande betydande inverkan. Se avsnitt 18.
Rätt att återkalla samtycke (Art. 7.3): återkallandet påverkar inte lagligheten av behandling som skett dessförinnan.

Har vi uppgifterna som personuppgiftsbiträde för en organisation vidarebefordrar vi din begäran till organisationen och hjälper den att svara.

15. Hur du utövar dina rättigheter

Organisationer och medlemmar. Kort sagt: Mejla oss eller använd integritetsinställningarna i tjänsten.

Begäran om att utöva någon av rättigheterna i avsnitt 14 görs enklast via:

E-post: info (at) idbuddy.io, ange tydligt vilken rättighet du åberopar.
Inloggad i tjänsten: i dina kontoinställningar finns självbetjäning för att exportera dina uppgifter, hantera dina kommunikationsinställningar och radera ditt konto. Om du är ägare eller enda administratör för en organisation behöver du först lämna över den, så att den inte blir utan någon som kan sköta den.

För att skydda dig mot identitetsstöld kan vi behöva verifiera din identitet (t.ex. genom befintlig inloggning eller annan rimlig kontroll). Kan vi inte identifiera dig får vi enligt Art. 11(2) avstå från att vidta åtgärder med anledning av begäran.

Är du medlem hos en organisation och din begäran rör det medlemskapet kan vi behöva vidarebefordra begäran till organisationen som är personuppgiftsansvarig.

16. Direktmarknadsföring och invändningsrätt

Organisationer och medlemmar. Kort sagt: En enda invändning stoppar all direktmarknadsföring från oss, permanent.

Du har en ovillkorlig rätt enligt Art. 21.2 GDPR att invända mot behandling av dina personuppgifter för direktmarknadsföring. Invändningen tillgodoses utan dröjsmål och utan att du behöver ange skäl.

Vi för en förteckning över alla som invänt mot marknadsföring. Den kontrolleras innan ett meddelande köas och en gång till innan det skickas, den gäller i samtliga våra system och den hävs aldrig automatiskt, varken av en senare import eller av att du går med i en organisation igen.

Marknadsföring från idbuddy: använd avregistreringslänken i valfritt marknadsföringsutskick, ändra dina kommunikationsinställningar i appen eller mejla info (at) idbuddy.io.
Utskick från en organisation du är medlem i: använd avregistreringslänken i meddelandet, eller stäng av organisationens e-postadress under Vad du delar i dina profilinställningar. Båda registrerar samma invändning. Du kan också kontakta organisationen direkt.

17. Kakor, lokal lagring och liknande tekniker

Organisationer och medlemmar. Kort sagt: Ingen annonsering och ingen spårning mellan webbplatser. Här är varje kaka, varje post i webbläsarlagringen och varje tredje part din webbläsare ombeds kontakta.

9 kap. 28 § lagen om elektronisk kommunikation (2022:482) omfattar allt som lagras i eller läses från din enhet, inte bara kakor, så detta avsnitt redovisar båda.

17.1 Strikt nödvändiga

Dessa sätts utan samtycke eftersom tjänsten inte fungerar utan dem.

idbuddy.locale: en förstapartskaka, och en motsvarande post i webbläsarens lokala lagring, som minns ditt språkval i 12 månader. Den är satt för idbuddy.io så att ditt val följer med mellan våra underdomäner.
Sessionskakan från Supabase Auth, uppkallad efter vårt projekt och ibland uppdelad på två poster. Den håller dig inloggad och är för närvarande satt för en långlivad session, upp till 400 dagar; loggar du ut tas den bort.
pending_invite_id och pending_invite_link_id: förstapartskakor som lever i 5 till 10 minuter och bär med sig den inbjudan du klickat på genom inloggningsrundan, så att du hamnar i rätt organisation.
idbuddy_admin_selected_company: en post i den lokala lagringen i administratörsverktyget som minns vilken organisation du senast hade öppen. Den skrivs när du först öppnar verktyget och ligger kvar tills du rensar webbläsarens lagring.
Kakor som börjar med KP_, satta av vår leverantör av botskydd när en inloggning kontrolleras. Se avsnitt 18.
idbuddy_terms_ok: en förstapartskaka som håller identiteten för en inloggad person som redan godtagit gällande villkor och integritetspolicy, så att kontrollen inte körs vid varje anrop. Den varar en timme och kan inte läsas av skript.
idbuddy_consent: en förstapartskaka som håller ditt svar på frågan om användningsmätning i 17.2. Den varar 180 dagar och sätts först när du svarat.

17.2 Användningsmätning

Vi mäter hur våra webbplatser används med Vercel Web Analytics. Den rapporterar till Vercel vilken sida som visades och grundläggande tekniska uppgifter om förfrågan, och den sätter ingen kaka och bygger ingen profil av dig. Vi använder den aggregerat för att se vilka sidor besökarna behöver och var de fastnar.

Detta körs bara om du godtar det. Inget laddas innan du svarat, och att neka eller låta bli att svara lämnar det avstängt. Ditt svar sparas i kakan idbuddy_consent i 17.1, och panelen som frågade kan öppnas igen när som helst för att ändra det. Om din webbläsare skickar en Global Privacy Control-signal tar vi det som ett nej och frågar inte. Innan någon händelse skickas rensas sidans adress från varje identifierare och token och från hela frågesträngen, så att en adress inne i medlemsappen inte längre säger vilken organisation den gällde. Vår cookiepolicy på idbuddy.io/cookies redogör för allt detta i sin helhet.

17.3 Vad vi inte gör

Vi sätter inga kakor för annonsering, profilering eller spårning mellan webbplatser. Vi bäddar inte in reklam-SDK, pixlar från sociala medier, verktyg för sessionsinspelning eller värmekartor. Vi hämtar inga webbtypsnitt från en tredje part. Varje typsnitt levereras från vår egen domän.

Du kan när som helst rensa kakor och webbplatsdata via webbläsarens inställningar; du kan behöva logga in igen efteråt.

18. Automatiserade beslut och profilering

Organisationer och medlemmar. Kort sagt: En automatiserad kontroll körs när du skapar ett konto, för att stänga ute botar. Blockerar den dig kan du försöka igen eller använda Google, som inte passerar den. Ingen inloggning nekas utifrån dess utlåtande.

Vi profilerar dig inte, poängsätter dig inte, rangordnar dig inte och segmenterar dig inte som individ utifrån ditt beteende, och vi säljer eller delar inga sådana uppgifter. Det finns ingen annons- eller rekommendationsmodell i produkten.

Det finns en automatiserad kontroll. När du loggar in eller skapar ett konto bedömer vår leverantör av botskydd förfrågan, utifrån webbläsarens och enhetens egenskaper och förfrågans mönster snarare än utifrån vem du är, och lämnar ett utlåtande om huruvida den kom från en automatiserad klient. Blir utlåtandet att den gjorde det nekas kontoskapandet. En inloggning bedöms på samma sätt men nekas aldrig utifrån utlåtandet, så det enda kontrollen kan stoppa är att ett konto skapas. Det är det enda automatiserade beslutet i tjänsten som kan påverka din åtkomst till den.

Blir du nekad säger skärmen det, och du kan försöka igen direkt eller skapa kontot med Google, som inte passerar kontrollen. Vi granskar inte nekanden ett och ett, eftersom vägen ut ur ett felaktigt står öppen genast. Det vi i stället för är en notering om varje nekande: tidpunkten, vilken av våra webbplatser det skedde på och domänen i den e-postadress som användes, aldrig själva adressen, så att en rad felaktiga nekanden syns. Fortsätter det att neka dig kan du skriva till info (at) idbuddy.io, så ser en människa efter vad den noteringen visar och slutför registreringen för dig. Det är den mänskliga prövning Art. 22(3) ger dig, och vi vill hellre höra om ett felaktigt utfall än förlora dig på grund av ett.

Aggregerad statistik och segmentering används enbart för att:

Hjälpa din organisation att förstå sitt eget medlemsunderlag, till exempel hur många medlemmar den har och hur många stämplar som utfärdats.
Felsöka och övervaka tjänstens prestanda.
Förbättra vår produkt.

19. Anonymisering och aggregerad data

Organisationer och medlemmar. Kort sagt: Uppgifter som inte längre kan identifiera dig kan sparas för långsiktig statistik.

Vi anonymiserar personuppgifter när de inte längre behövs för identifierande ändamål. Korrekt anonymiserad data lyder inte under GDPR (skäl 26) och kan därför användas för långsiktig statistik och produktutveckling utan att kopplas tillbaka till dig.

Där fullständig anonymisering inte är möjlig minskar vi det som identifierar dig: när lagringstiden för din incheckningshistorik löper ut kan till exempel noteringen om interaktionen sparas för statistik med ditt namn och din kontoreferens borttagna, så att varken vi eller organisationen kan spåra den tillbaka till dig.

20. Säkerhet och personuppgiftsincidenter

Organisationer och medlemmar. Kort sagt: Kryptering, minsta möjliga behörighet och loggning av åtkomst; vid en incident som innebär en risk för dig informerar vi dig och IMY.

Vi tillämpar lämpliga tekniska och organisatoriska åtgärder enligt Art. 32 GDPR med beaktande av aktuell teknik, kostnader för genomförandet, behandlingens art och omfattning samt risken för dina rättigheter och friheter. Exempel:

TLS 1.2 eller högre för all trafik i transport, och kryptering i vila för databas, fillagring och säkerhetskopior.
Säkerhet på radnivå i databasen, så att en organisations uppgifter bara är åtkomliga för den organisationen, upprätthållen av databasen själv och inte av applikationskoden.
Varje skrivning till plattformen sker genom en kontrollerad serverfunktion i stället för en direkt databasskrivning från webbläsaren.
Vår egen personals åtkomst styrs av principen om minsta behörighet, skyddas av tvåfaktorsautentisering och loggas.
Regelbundna säkerhetsgranskningar och penetrationstester av plattformen.
Krypterade, geografiskt åtskilda säkerhetskopior.
Personalen är utbildad i dataskydd och bunden av sekretess.

Vid en personuppgiftsincident som sannolikt medför en risk för dina rättigheter och friheter anmäler vi den till IMY inom 72 timmar enligt Art. 33 GDPR. Är risken hög enligt Art. 34 informerar vi dig direkt via e-post, med beskrivning av incidentens omfattning, sannolika konsekvenser samt vilka åtgärder vi vidtagit eller föreslår att du vidtar.

21. Ändringar i policyn

Organisationer och medlemmar. Kort sagt: Väsentliga ändringar aviseras minst 30 dagar i förväg.

Vi kan komma att uppdatera denna policy för att återspegla lagändringar, nya tjänster eller förbättrad praxis. Datumet längst upp speglar senaste revision.

Vid väsentliga ändringar som påverkar dina rättigheter eller utökar vår behandling informerar vi dig via e-post minst 30 dagar innan ändringen träder i kraft, och nästa gång du loggar in ber vi dig godkänna den nya versionen innan tjänsten öppnas. För icke-väsentliga ändringar (språklig redigering, korrekturer) gäller den uppdaterade versionen från publiceringsdatum.

Historiska versioner av policyn kan rekvireras via info (at) idbuddy.io.

22. Klagomål till tillsynsmyndighet

Organisationer och medlemmar. Kort sagt: Inte nöjd? Du kan alltid klaga hos IMY eller din lokala tillsynsmyndighet.

Vi uppskattar att höra direkt från dig om något känns fel. Skriv till info (at) idbuddy.io så löser vi det skyndsamt. Du har alltid rätt enligt Art. 77 GDPR att lämna in klagomål till tillsynsmyndigheten, parallellt eller utan att kontakta oss först.

I Sverige är detta Integritetsskyddsmyndigheten (IMY). Om du bor eller arbetar i annat EU-/EES-land kan du även vända dig till tillsynsmyndigheten där.

Postadress: Box 8114, 104 20 Stockholm
E-post: imy (at) imy.se
Webb: imy.se

Kontakt och klagomål

Har du frågor om hur vi hanterar dina personuppgifter, eller vill du utöva någon av dina rättigheter? Hör av dig, vi svarar inom 30 dagar. Om du tycker att vi behandlat dina uppgifter i strid med GDPR har du också rätt att lämna in ett klagomål till tillsynsmyndigheten.

Personuppgiftsansvarig

Byte Buddies AB

Org.nr 559491-4979

Malmö, Sverige

info (at) idbuddy.io

Tillsynsmyndighet

Integritetsskyddsmyndigheten (IMY)

Box 8114, 104 20 Stockholm

imy (at) imy.se · imy.se