Juridiskt · stashed
Integritetspolicy
Vi samlar in det som behövs för att du ska kunna köpa och sälja, för att pengar och paket ska komma rätt, och för det lagen kräver. Inget säljs vidare. Här står exakt vad, varför, hur länge och vem som får det.
1Vem som ansvarar
[FÖRETAGSNAMN AB], org.nr [ORG.NR], [POSTADRESS], är personuppgiftsansvarig för behandlingen som beskrivs här. Frågor om personuppgifter: [E-POSTADRESS]. Policyn gäller appen stashed och webbplatsen [DOMÄN].
2Vilka uppgifter vi behandlar, och varför
| Uppgifter | Varför | Rättslig grund |
|---|---|---|
| E-post, lösenord (lagras krypterat hos vår inloggningsleverantör), namn, handle, profilbild, tidpunkter för inloggning | Ditt konto, inloggning, att andra ser vem de handlar med | Avtal (användarvillkoren) |
| Butik: namn, handle, presentation, banner, rea, avsändaradress | Din butik i appen; avsändaradress på fraktetiketter | Avtal |
| Annonser: bilder, beskrivning, märke, storlek, skick, pris, status, tidpunkter | Att sälja och köpa; att visa plagget för andra, även på webben när någon delar en länk | Avtal |
| Sålda priser och annonsuppgifter: vad plagg sålts för och när, märke, kategori, skick och storlek, vad som ligger ute nu, och vilket prisförslag som visades när ett plagg lades upp | Prisförslag när du sätter pris – vad liknande plagg brukar säljas för och hur snabbt. Modellen använder inga personuppgifter utöver det som står i annonserna, och förslaget avgör ingenting: priset sätter du | Berättigat intresse (hjälpa säljare att sätta ett pris som säljer) |
| Ordrar: vad som köpts, pris, frakt, avgift, leveransadress, spårningsnummer, status, tidpunkter för leverans och bekräftelse | Genomföra köpet, leverera, betala ut, hantera köparskyddet | Avtal; rättslig förpliktelse (bokföring) |
| Betalning: betalsätt (typ, sista fyra siffror, Klarna/Apple Pay), belopp, Stripes referenser. Kortnummer ser vi aldrig – de går direkt till Stripe. | Ta betalt, hålla och betala ut pengar, återbetala | Avtal; rättslig förpliktelse |
| Utbetalningar: namn, födelsedatum, adress, bankkontonummer, legitimation om Stripe ber om det – lämnas direkt till Stripe; stashed ser status, namn och kontots sista siffror | Betala ut till säljare; Stripes kontroller mot penningtvätt | Avtal; rättslig förpliktelse (Stripes) |
| Telefonnummer, koder skickade per sms, tidpunkter | Bekräfta ändringar av vart dina pengar går | Berättigat intresse (skydda dina pengar mot kontokapning) |
| Chattar mellan köpare och säljare (text och bilder), supportchattar, orderchattar | Att ni kan prata om plagget; support; underlag i tvister; upptäcka bedrägeri och affärer utanför appen. Bilder lagras privat och kan bara hämtas av er två | Avtal; berättigat intresse (säkerhet) |
| Packbilder (plagget i paketet, paketet stängt) | Avgöra tvister om vad som skickades | Berättigat intresse (köparskyddet); ses bara av stashed |
| DAC7: namn, adress, födelsedatum, personnummer/skatteregistreringsnummer, skatteland, försäljningar och belopp per kvartal | Rapportering till Skatteverket när du nått 30 försäljningar eller 2 000 euro på ett år | Rättslig förpliktelse (DAC7) |
| Anmälningar, blockeringar, modereringsbeslut, överklaganden, automatiska flaggor på meddelanden, annonser och konton | Hålla stashed tryggt; uppfylla EU:s förordning om digitala tjänster (DSA) | Rättslig förpliktelse; berättigat intresse |
| Featuring: Apples transaktions-id, eller Stripes betalnings-id när du betalar med kort på webbplatsen, vad som köpts, period, status. Om du begär återbetalning hos Apple: att featuringen levererats och hur många dagar som gått, delat med Apple | Aktivera och avsluta featuring; hantera återbetalningar | Avtal (du godkänner delningen med Apple när du betalar) |
| Enhetens push-token, notisinställningar | Notiser om bud, köp, meddelanden och leveranser – och, om du sparat ett plagg, när priset på det sänks. Vilka notiser du får väljer du för varje telefon under Settings → Notifications i appen | Avtal; du väljer själv i iOS om notiser är på |
| Vad du tittar på, sparar och köper i appen | For You-förslag och ordningen i flödet, på din egen enhet och i ditt konto; statistik till säljare om featuring (antal personer, aldrig vilka) | Avtal (tjänstens funktion); berättigat intresse |
| Tekniska loggar: IP-adress, enhetstyp, appversion, tidpunkter, felrapporter | Drift, säkerhet, felsökning, förhindra missbruk och överbelastning; upptäcka nya konton som skapas för att komma runt en avstängning | Berättigat intresse |
| Anmälan på webbplatsen inför lanseringen: e-post, namn, Instagram, vad du säljer och ungefär hur mycket, ort, språk, var du hittade oss, och våra anteckningar om anmälan | Kontakta dig om lanseringen; märka ditt konto som Founding seller när du skapar det med samma e-post | Samtycke – du kan när som helst ta tillbaka det och be oss radera anmälan |
Vi behandlar inga känsliga personuppgifter i GDPR:s mening, och vi ber dig att inte lägga upp sådana – om hälsa, religion, politik eller sexualitet – i annonser, chattar eller bilder. Vi begär aldrig fler uppgifter än de som står ovan. Personnummer samlas bara in när DAC7 kräver det, och lagras skilt från övriga uppgifter så att apparna aldrig kan läsa det.
3Vem som får uppgifterna
- Stripe Payments Europe, Ltd. (Irland) – betalningar, utbetalningar och kontroller av säljare. Stripe är själv personuppgiftsansvarig för sina kontroller; se Stripes integritetspolicy. Klarna Bank AB är på samma sätt ansvarig när du väljer Klarna.
- Shipit – fraktförmedlaren som bokar frakten och skriver etiketten. Får avsändarens och mottagarens namn, adress, telefonnummer och e-post, för paketet och för en retur.
- Transportörerna – PostNord och Early Bird får samma uppgifter från Shipit för att leverera och avisera paketet, och för att hämta och leverera en retur.
- Apple – App Store för köp av featuring, och Apples push-tjänst (USA) för notiser. En notis innehåller det som visas på skärmen – till exempel avsändarens namn och början av ett meddelande eller ett omdöme – och går via Apple till din telefon.
- Supabase – vår leverantör av databas, inloggning, lagring av bilder och serverfunktioner. Uppgifterna lagras i [REGION, t.ex. EU (Frankfurt)]. Supabase behandlar uppgifterna för vår räkning enligt ett personuppgiftsbiträdesavtal.
- Netlify – driver webbplatsen [DOMÄN]. Som alla webbvärdar för Netlify loggar över besöken: IP-adress, webbläsare, vilken sida och när.
- [E-POSTLEVERANTÖR] – skickar mejlen om ditt konto: bekräftelse av e-postadress, nytt lösenord och byte av e-post.
- 46elks AB (Sverige) – skickar sms-koderna vid ändring av utbetalningskonto.
- Skatteverket – de uppgifter DAC7 kräver, en gång om året, för säljare som nått gränsen. Skatteverket kan dela dem med skattemyndigheten i det EU-land där du är skattskyldig.
- Myndigheter och rättsväsende – när lagen kräver det, eller när det behövs för att utreda bedrägeri, hot eller andra brott.
- Andra användare – ser ditt namn, handle, profilbild, butik och annonser. Köparen ser säljarens namn och avsändaradress på paketet, och adressen igen om plagget skickas tillbaka; säljaren ser köparens namn och leveransadress på etiketten. Ingen ser din e-post, ditt telefonnummer, dina bankuppgifter, ditt personnummer eller dina packbilder.
Vi säljer aldrig personuppgifter och delar dem inte med annonsnätverk. Appen och webbplatsen innehåller inga spårnings- eller analysverktyg från tredje part.
4Överföring utanför EU/EES
Våra leverantörer behandlar i huvudsak uppgifterna inom EU/EES. Några av dem är amerikanska företag, eller har ett moderbolag i USA som kan nå uppgifterna, till exempel för support: Apple, Stripe, Netlify och Supabase. Överföringarna till USA sker med stöd av EU:s beslut om adekvat skyddsnivå för EU–US Data Privacy Framework, för de företag som anslutit sig till det, och annars med EU-kommissionens standardavtalsklausuler. Vill du veta mer om skyddsåtgärderna för en viss överföring – hör av dig.
5Hur länge vi sparar
| Uppgifter | Sparas |
|---|---|
| Konto, butik, annonser, stash, bud, omdömen och inställningar i appen | Tills du raderar kontot, eller vi avslutar det. Då raderas de, utom det som står nedan. Omdömen du skrivit om andra står kvar utan ditt namn. |
| Avslutade ordrar | Tills kontot raderas är de dina; därefter sparas de utan koppling till dig – ditt namn och din leveransadress (utom ort och land) tas bort, motparten ser ”Deleted account” – som underlag för bokföring och skatt enligt raden nedan. |
| Chattar, bilder i dem | Så länge ditt konto finns. Raderar du kontot finns samtalet kvar hos den andra parten, med ”Deleted account” i stället för ditt namn, och bilderna du skickat raderas. När båda har raderat sina konton raderas samtalet. En bild som tas tillbaka raderas från lagringen av vår städning. |
| Underlag för betalningar, utbetalningar och återbetalningar | 7 år efter räkenskapsårets slut (bokföringslagen), hos Stripe och i vår bokföring. Låst för annat än bokföring, skatt och rättsliga krav. |
| Packbilder | 14 dagar efter att ordern avslutats; 30 dagar om den avbrutits eller återbetalats. Bilder i en pågående tvist tills tvisten är avgjord. |
| DAC7-uppgifter och årsrapporter | 7 år efter utgången av det år rapporten gäller, som skattelagstiftningen kräver av plattformsoperatörer; därefter raderas de. Raderar en säljare som nått gränsen sitt konto sparas det som rapporten behöver ändå. |
| Anmälningar, modereringsbeslut och överklaganden | Minst 6 månader efter beslutet (tiden att överklaga) och därefter så länge de behövs för att bedöma upprepade överträdelser, längst 2 år efter att kontot avslutats. Avstängningsbeslut som ska hindra nya konton sparas så länge avstängningen gäller. |
| Sms-koder och telefonnummer för dem | Koden är giltig i några minuter och lagras bara som ett kontrollvärde, tillsammans med numret den skickades till, tills nästa kod skickas eller kontot raderas. |
| Push-token | Tills du loggar ut eller stänger av notiser, eller tills Apple meddelar att telefonen inte längre tar emot dem – till exempel när appen tagits bort. |
| Anmälan inför lanseringen | Tills du tar tillbaka ditt samtycke eller raderar ditt stashed-konto. |
| Tekniska loggar, även loggen över inloggningar | Upp till 90 dagar, längre bara om de behövs för att utreda ett angrepp eller ett brott. |
6Dina rättigheter
- Tillgång. Du har rätt till en kopia av de uppgifter vi har om dig. Under Settings → Download my data, i appen eller på webbplatsen, får du den direkt: en zip-fil med dina uppgifter (data.json), en förklaring av innehållet och dina egna bilder. Länken till filen gäller i 24 timmar, och du kan ladda ner en kopia om dagen. Du kan också be om en kopia per e-post.
- Rättelse. Namn, handle, adresser och butik ändrar du själv i appen. Annat rättar vi på begäran.
- Radering. Radera kontot under Settings → Delete account, eller be oss. Det som måste sparas enligt lag – bokföring, DAC7 – behåller vi den tiden, låst.
- Begränsning. Du kan be oss att tills vidare bara lagra dina uppgifter, till exempel medan vi prövar om de är riktiga eller om en invändning ska gälla.
- Dataportabilitet. Uppgifter du lämnat till oss får du i ett maskinläsbart format – det är kopian under Download my data.
- Invändning. Du kan invända mot behandling som bygger på berättigat intresse, till exempel de automatiska flaggorna på meddelanden och annonser. Vi slutar då, om vi inte har tvingande skäl som väger tyngre.
- Återkalla samtycke. Anmälan inför lanseringen tar du tillbaka genom att svara på vårt mejl eller skriva till oss.
Så gör du
Det mesta gör du själv under Settings. För annat: skriv till Support i appen och välj Personal data, eller mejla [E-POSTADRESS]. Vi kan behöva kontrollera att det är du som frågar – därför svarar vi på det konto eller den e-postadress uppgifterna gäller. Vi svarar inom en månad. Är frågan svår eller får vi många kan tiden förlängas med två månader; då säger vi det inom den första månaden, och varför. Är du inte nöjd kan du klaga hos Integritetsskyddsmyndigheten, IMY (imy.se).
7Automatiska beslut
Appen och våra servrar flaggar automatiskt meddelanden som ser ut att leda en affär utanför stashed (telefonnummer, e-post, Swish, andra appar), annonser som ser ut att gälla kopior (ord som ”replica” eller ”1:1”, ett lyxmärke långt under sitt vanliga pris), nya konton som lägger upp mycket på kort tid eller loggar in från samma nätverk som ett avstängt konto, ordrar där paketet inte lämnats in i tid och köp där betalningen inte gått igenom. Flaggan i sig är ingen åtgärd mot dig: en avbruten order efter 7 dagar återbetalas automatiskt enligt villkoren, och alla andra åtgärder – varning, borttagning, paus – beslutas av en person, eller granskas av en person om du överklagar. Vi fattar inga automatiska beslut med rättsliga verkningar som bygger på profilering.
8Säkerhet
All trafik är krypterad. Lösenord lagras bara som hash. Betalkort och bankuppgifter går direkt till Stripe och finns aldrig hos oss. Åtkomsten till databasen är begränsad rad för rad så att apparna bara når det som ska vara synligt för just den inloggade användaren; personnummer, packbilder och supportens interna uppgifter kan apparna inte läsa alls. Utbetalningskonton skyddas av sms-kod och 72 timmars väntetid, och du kan låsa appens känsliga delar med Face ID.
9Lagring i din webbläsare och app
stashed sätter inga kakor och använder inga analys- eller reklamverktyg, varken i appen eller på webbplatsen. Webbplatsen sparar några saker i webbläsarens lokala lagring (localStorage), på din enhet: din inloggning, din bag, den leveransadress och det telefonnummer du senast använde, dina val för notiser och vilket språk du valt – sådant som behövs för att tjänsten du använder ska fungera. Appen sparar motsvarande på telefonen. När någon som inte är inloggad ser ett featurat plagg räknas det med ett slumpat id som bara finns så länge sidan eller appen är öppen; inget sparas på din enhet för det, och vi ser aldrig vem det var. Inloggningen tas bort när du loggar ut, och allt när du rensar webbplatsens data i webbläsaren. När du betalar laddas Stripes betalformulär från Stripe, som kan sätta egna kakor för att förhindra bedrägerier (se Stripes integritetspolicy). Delar du en länk till ett plagg visas plagget på webben utan att den som öppnar länken registreras.
10Barn
stashed är för personer som fyllt 18 år, och vi samlar inte medvetet in uppgifter om barn. Den som säljer lämnar sitt födelsedatum till Stripe när utbetalningarna sätts upp, och där kontrolleras åldern. Får vi veta att ett konto tillhör någon under 18 avslutar vi det och raderar uppgifterna.
11Ändringar
Ändrar vi den här policyn på ett sätt som påverkar dig meddelar vi det i appen och per e-post innan ändringen börjar gälla. Datumet överst visar vilken version som gäller.
12Kontakt
[FÖRETAGSNAMN AB], org.nr [ORG.NR]
[POSTADRESS]
[E-POSTADRESS]