Integritetspolicy för PayIt4wrd

1. Personuppgiftsansvarig

PayIt4wrd AB, org.nr 559520-6045, är personuppgiftsansvarig för den behandling som beskrivs i denna policy när vi själva bestämmer ändamål och medel för behandlingen.

2. Vilka tjänster som omfattas

Den här policyn gäller för:

• PayIt4wrd-appen för iOS och Android.
• Publika projektsidor och länkar på app.payit4wrd.se.
• Adminwebben för PayIt4wrd.

Policyn gäller inte för externa webbplatser, butiker, affiliatenätverk, appbutiker eller andra tredjepartstjänster som du öppnar via PayIt4wrd. De behandlar uppgifter enligt sina egna villkor och integritetspolicys.

3. Vilka uppgifter vi behandlar

Uppgifter om slutanvändare i appen

• Ett stabilt anonymt användar-id i appens publika flöde, som används för attribuering och klicklogik utan att kräva vanligt användarkonto.
• Valt projekt eller vald föreningskontext som behövs för att visa relevanta butiker och skapa spårade länkar.
• Tekniska uppgifter om appmiljön, till exempel appidentifierare, appversion, byggnummer, plattform och i förekommande fall push-token.
• Uppgifter kopplade till butikslänkning och attribuering, såsom projekt-id, kund-id, partner-id och anonymt användar-id i spårade länkar.

Uppgifter om administratörer och kontaktpersoner

• Namn, e-postadress, roll och behörighetsnivå.
• Förenings-, kund- och projektuppgifter som registreras i admin.
• Inloggnings- och säkerhetsuppgifter, till exempel sessionshantering, lösenordsåterställning, säkerhetsloggar och åtkomstkontroll.
• Uppgifter som används för support, onboarding och transaktionella e-postutskick.

Uppgifter vi normalt inte efterfrågar i pilot

• Känsliga personuppgifter.
• Platsdata, kameraåtkomst eller kontaktbok som del av kärnflödet.
• Direkt Firestore- eller Storage-åtkomst från klienten i publik användning.

4. Ändamål och rättslig grund

Vi behandlar personuppgifter för följande ändamål och med följande rättsliga grunder enligt GDPR:

• För att tillhandahålla tjänsten, visa projekt och butiker, öppna spårade länkar och administrera konton. Rättslig grund: fullgörande av avtal eller åtgärder inför avtal.
• För att driva, skydda och förbättra tjänsten, inklusive felsökning, loggning, åtkomstkontroll, missbruksförebyggande och säkerhet. Rättslig grund: berättigat intresse.
• För att skicka servicekritiska meddelanden, onboardingmejl, lösenordsåterställning och annan nödvändig kontokommunikation. Rättslig grund: avtal eller berättigat intresse.
• För att hantera bokföring, rättsliga skyldigheter och annan efterlevnad där vi måste spara eller lämna ut uppgifter enligt lag. Rättslig grund: rättslig förpliktelse.
• För pushnotiser i appen när du själv har godkänt det på din enhet. Rättslig grund: samtycke eller ditt aktiva val i operativsystemet.

5. Mottagare och tredjepartstjänster

Vi kan dela personuppgifter med leverantörer och mottagare som behövs för att driva tjänsten. Exempel i nuvarande pilotupplägg är:

• Firebase och Google Cloud för autentisering, serverfunktioner, datalagring, loggning, webbhosting och pushrelaterad drift.
• Appmost för applattform och apprelaterad funktionalitet.
• Brevo för transaktionella e-postutskick, till exempel onboarding och kontorelaterade meddelanden.
• AWIN och i förekommande fall anslutna annonsörer eller partnernätverk för spårning, attribuering och transaktionsuppföljning.
• Apple och Google i egenskap av appbutiker, plattformar och infrastrukturleverantörer för respektive ekosystem.

Vi delar inte personuppgifter mer än vad som behövs för att tillhandahålla tjänsten, uppfylla rättsliga krav eller skydda vår verksamhet och våra användare.

6. Överföringar utanför EU/EES

Vissa av våra leverantörer eller tredjepartstjänster kan behandla uppgifter utanför EU/EES, till exempel när globala moln-, appbutiks- eller kommunikationstjänster används. När sådan överföring sker ska vi eftersträva att använda lämpliga skyddsåtgärder enligt tillämplig lag, till exempel standardavtalsklausuler eller annan giltig överföringsmekanism.

7. Lagring och gallring

Vi sparar personuppgifter så länge det behövs för de ändamål som de samlades in för och därefter så länge som krävs för att hantera säkerhet, support, rättsliga anspråk och tillämpliga lagkrav.

• Kontouppgifter för administratörer sparas normalt så länge kontot är aktivt och därefter under en rimlig period för säkerhet, support och efterlevnad.
• Push-token och tekniska appregistreringar sparas tills de inte längre behövs, blir ogiltiga eller inaktiveras.
• Loggar, säkerhetsuppgifter och attribueringsdata sparas så länge de behövs för drift, uppföljning, felsökning och skydd mot missbruk.
• Uppgifter som måste sparas enligt lag, till exempel för bokföring eller avtalsadministration, kan behöva lagras längre.

8. Dina rättigheter

Du har enligt GDPR rätt att begära:

• information om hur dina personuppgifter behandlas,
• tillgång till de uppgifter vi har om dig,
• rättelse av felaktiga uppgifter,
• radering i de fall där uppgifterna inte längre behövs,
• begränsning av behandling i vissa situationer,
• invändning mot behandling som bygger på berättigat intresse,
• dataportabilitet när behandlingen grundar sig på avtal eller samtycke,
• att återkalla samtycke där behandling bygger på samtycke.

Du har också rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY) om du anser att vår behandling strider mot dataskyddsreglerna.

9. Säkerhet

Vi arbetar med tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter mot obehörig åtkomst, förlust och otillåten ändring. Exempel i nuvarande lösning är krypterad trafik, rollstyrd åtkomst, sessionshantering samt att klientåtkomst till känsliga backendresurser är begränsad.

10. Ändringar i denna policy

Vi kan uppdatera denna integritetspolicy när tjänsten förändras eller när det krävs av rättsliga, säkerhetsmässiga eller operativa skäl. Den senaste versionen publiceras alltid på denna sida.

11. Kontakt

Om du har frågor om denna integritetspolicy eller vill utöva dina rättigheter kan du kontakta oss på support@payit4wrd.se.

Om din fråga gäller behandling som en förening eller annan kund gör i sin egen verksamhet kan du även behöva kontakta den aktuella kunden direkt, beroende på vem som är personuppgiftsansvarig i det fallet.