Integritetspolicy

1. Vem är personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen som beskrivs i denna policy är:

Det innebär att Cartaro AB bestämmer varför och hur dina personuppgifter behandlas i samband med denna webbplats.

2. Vilka personuppgifter vi behandlar

Vi samlar bara in de uppgifter som behövs för att driva webbplatsen och hantera Early Access. Beroende på hur du interagerar med oss kan följande uppgifter behandlas:

Vid anmälan till Early Access

• E-postadress (i klartext, samt en icke-återställbar hash av adressen som används för sökning utan att lagra klartexten i sökindex)
• IP-adress (lagras i binärt format)
• Webbläsar- och enhetsinformation (User-Agent)
• Vilken sida du kom ifrån (referrer), om sådan finns
• Vilken landsdomän/marknad anmälan gjordes från (t.ex. cartaro.se eller cartaro.fi)
• Tidpunkt för anmälan
• Status på din anmälan (t.ex. om åtkomst är beviljad)

Vid inloggning med Early Access

• Ett lösenord som du tilldelats, lagrat som en saltad hash — aldrig i klartext
• Tidpunkt för senaste inloggning och antal inloggningar
• Sessionsinformation som håller dig inloggad under besöket

Om du kontaktar oss

• De uppgifter du själv lämnar i din kommunikation med oss, t.ex. namn, e-postadress och innehållet i ditt meddelande

Vi samlar inte in särskilda kategorier av personuppgifter (känsliga personuppgifter) via denna webbplats, och du ombeds aldrig lämna sådana uppgifter till oss här.

3. Varifrån uppgifterna kommer

Uppgifterna kommer i huvudsak direkt från dig, genom att du fyller i formulär på webbplatsen. Teknisk information som IP-adress och User-Agent samlas automatiskt in av webbservern när du besöker webbplatsen.

4. Varför vi behandlar dina uppgifter och rättslig grund

Du kan när som helst återkalla ditt samtycke. Det påverkar inte lagligheten av behandling som redan skett innan återkallelsen.

5. Cookies och liknande tekniker

Webbplatsen använder en sessionscookie som är nödvändig för att hålla dig inloggad under ett besök (t.ex. i Early Access-läget eller det interna adminläget). Denna cookie är strikt nödvändig för att webbplatsen ska fungera och kräver därför inte samtycke, men lagras bara under din session.

Vid sidladdning hämtas typsnitt (Plus Jakarta Sans) från Google Fonts (fonts.googleapis.com och fonts.gstatic.com) samt CSS, JavaScript och bilder från vår egen assets-server (assets.cartaro.se). Detta innebär att din webbläsare gör en direkt förfrågan till dessa servrar, vilket i sig innebär att din IP-adress blir synlig för leverantören av tjänsten under förfrågan, på samma sätt som vid vilket webbanrop som helst.

Vi använder inga cookies för marknadsföring, spårning eller analys på den här webbplatsen.

6. Hur länge vi sparar dina uppgifter

• Early Access-anmälningar: sparas fram till lansering av Cartaro eller tills du begär radering, i syfte att kunna kontakta dig och hantera din åtkomst.
• Inloggningsuppgifter (lösenordshash): sparas så länge din Early Access-åtkomst är aktiv. Vid återkallad åtkomst nollställs uppgifterna.
• Teknisk loggdata (IP-adress, User-Agent): sparas kopplat till din anmälan så länge anmälan finns kvar, för säkerhets- och missbruksändamål.
• Meddelanden via e-post: sparas så länge det behövs för att hantera ditt ärende, normalt inte längre än 24 månader efter senaste kontakt, om inte längre lagring krävs enligt lag.

Du kan när som helst begära att vi tar bort dina uppgifter tidigare, se avsnitt 10 om dina rättigheter.

7. Vilka vi delar uppgifter med

Vi säljer aldrig dina personuppgifter. Uppgifter kan delas med:

• IT-driftleverantörer som hostar vår server och databas åt oss, under avtal och sekretess.
• Google, i den utsträckning din webbläsare laddar typsnitt från Google Fonts (se avsnitt 5).
• Myndigheter, om vi är skyldiga att lämna ut uppgifter enligt lag eller myndighetsbeslut.

Vi anlitar inga tredjepartstjänster för marknadsföring, annonsering eller analys på den här webbplatsen.

8. Överföring till tredje land

Vår server, databas och lagring finns inom EU/EES (Sverige). Vi överför inte dina personuppgifter till länder utanför EU/EES.

Ett undantag är laddning av typsnitt från Google Fonts (se avsnitt 5 och 7): Google kan i vissa fall behandla uppgifter (t.ex. IP-adress) i USA. Google är självständigt personuppgiftsansvarig för den behandlingen, och du kan läsa mer i Googles egen integritetspolicy.

9. Hur vi skyddar dina uppgifter

• Lösenord lagras aldrig i klartext, utan hashas med en säker, saltad hashfunktion (bcrypt/Argon2 via PHPs password_hash()).
• E-postadresser slås upp via en engångshash (SHA-256) vid inloggning, inte i klartext.
• All kommunikation med databasen sker via parametriserade frågor (prepared statements) för att förhindra SQL-injektion.
• Åtkomst till administrationsgränssnittet kräver egen, separat inloggning skild från Early Access-inloggningen.
• Tekniska och organisatoriska åtgärder ses löpande över för att upprätthålla en lämplig säkerhetsnivå.

10. Dina rättigheter enligt GDPR

Du har följande rättigheter i förhållande till dina personuppgifter:

• Rätt till tillgång — begära en kopia av de personuppgifter vi behandlar om dig.
• Rätt till rättelse — begära att felaktiga eller ofullständiga uppgifter rättas.
• Rätt till radering — begära att dina uppgifter tas bort, t.ex. om de inte längre behövs för ändamålet.
• Rätt till begränsning — begära att behandlingen av dina uppgifter begränsas i vissa situationer.
• Rätt att invända — invända mot behandling som stödjer sig på berättigat intresse.
• Rätt till dataportabilitet — få ut uppgifter du lämnat till oss i ett strukturerat, maskinläsbart format.
• Rätt att återkalla samtycke — när som helst, utan att det påverkar tidigare behandling.

För att utöva någon av dessa rättigheter, kontakta oss via privacy@cartaro.se. Vi svarar normalt inom 30 dagar.

11. Automatiserat beslutsfattande och profilering

Vi använder inte automatiserat beslutsfattande, inklusive profilering, som har rättsliga följder för dig eller på liknande sätt i betydande grad påverkar dig, i samband med denna webbplats.

12. Barns integritet

Denna webbplats och Early Access riktar sig till företag och yrkesverksamma, inte till barn. Vi samlar inte medvetet in personuppgifter från personer under 18 år. Om du tror att vi ändå har samlat in uppgifter om ett barn, kontakta oss så tar vi bort dem.

13. Ändringar av denna policy

Vi kan uppdatera denna integritetspolicy, exempelvis när webbplatsen eller lagstiftningen förändras. Den senaste versionen finns alltid på denna sida, med datum för senaste uppdatering överst. Vid väsentliga ändringar informerar vi dig som är anmäld till Early Access via e-post.

14. Kontakta oss

Har du frågor om denna policy eller hur vi behandlar dina personuppgifter är du välkommen att höra av dig:

15. Klagomål till tillsynsmyndighet

Om du anser att vi behandlar dina personuppgifter i strid med gällande dataskyddslagstiftning har du rätt att lämna in ett klagomål till en tillsynsmyndighet. I Sverige är det:

Om du bor i ett annat EU/EES-land har du även rätt att vända dig till tillsynsmyndigheten i det landet.