Integritetspolicy
Vilka uppgifter vi behandlar, varför, hur länge – och vad du kan begära av oss.
Senast ändrad 2026-09-20.
1. Vem ansvarar för vad
Det finns två roller, och vilken vi har beror på vems uppgifter det gäller.
- Uppgifter om dig som driver butik och din personal – namn, e-post, telefon, inloggning. Där är Third Element AB, org.nr 559389-1327, personuppgiftsansvarig. Den här policyn beskriver den behandlingen.
- Uppgifter om butikens kunder – köp, kvitton, åldersverifiering, passeringar. Där är butiken personuppgiftsansvarig, och vi är personuppgiftsbiträde. Vad vi får och inte får göra står i personuppgiftsbiträdesavtalet. Handlar du i en butik och vill veta hur just dina uppgifter behandlas ska du vända dig till butiken.
2. Uppgifter om butiker och deras personal
| Vad | Varför | Rättslig grund |
|---|---|---|
| Verksamhetens namn, organisationsnummer, adress | För att kunna teckna avtal och fakturera | Avtal |
| Namn, e-post och telefon till kontaktperson och personal | För inloggning, support och meddelanden om tjänsten | Avtal |
| Lösenord (sparas bara som en oläsbar hash) och tvåstegsverifiering | För att skydda kontot | Avtal och berättigat intresse |
| E-postadress för fakturor | För att skicka månadsfakturan | Avtal |
| Uppgifter i en offertförfrågan: omsättning, antal butiker och kassor | För att kunna lämna ett pris | Berättigat intresse |
| Vem som ändrat ett lagersaldo och vem som öppnat dörren manuellt | För säkerhet och felsökning | Berättigat intresse |
Vi använder inte dina uppgifter för att profilera dig, och vi säljer dem aldrig vidare. Vi skickar inte reklam till dig utan att du bett om det.
3. Uppgifter om kunder i butikerna
Det här behandlar vi för butikens räkning. Vi har byggt tjänsten för att samla in så lite som möjligt:
- Konto är frivilligt. Kunden kan handla utan konto – varukorgen hålls ihop av en kaka i mobilen. Väljer kunden att spara ett konto hos butiken lagras e-postadress, förnamn och födelsedatum, så att inpassering går utan nytt BankID. Väljer kunden ett lösenord sparas det bara som en oläsbar hash. Kontot gäller bara i den butiken, åldern måste kontrolleras om efter ett år, och ett konto som stått oanvänt i två år tas bort.
- Personnumret sparas aldrig. Legitimerar sig kunden med BankID för en åldersgräns använder vi personnumret för att räkna ut födelsedatum, och sparar bara födelsedatum och förnamn – aldrig personnumret självt.
- Vi ser aldrig kortuppgifter. Kortnummer hanteras av betaltjänsten. Vi sparar bara en referens till betalningen.
- Kvitto till mobilen nås med en hemlig länk. Vi kräver ingen e-postadress för att visa ett kvitto.
4. Hur länge vi sparar
| Uppgift | Tid | Varför |
|---|---|---|
| Order, kvitton och underlag för moms | 7 år | Räkenskapsinformation enligt bokföringslagen. |
| Kundens varukorg och session | 12 timmar | Behövs bara under besöket. |
| Påbörjad legitimering med BankID | 1 timme | Behövs bara medan legitimeringen pågår. |
| Namn och födelsedatum från BankID | Så länge kundens session lever, högst 12 timmar | Visar att åldersgränsen är kontrollerad. Personnumret sparas aldrig. |
| Passeringar vid dörren | 90 dagar | Ska gå att utreda svinn och skadegörelse i efterhand. |
| Personalens inloggningar: när, och om det var i appen eller på webben | 90 dagar | Så att personen och butikens ägare kan se om ett konto använts av någon annan. Ingen IP-adress sparas. |
| Kundkonto hos en butik: e-post, förnamn, födelsedatum och lösenord (bara som oläsbar hash, om kunden valt ett) | Tills kunden slutar använda det, längst 2 år efter senaste inloggningen | Låter kunden komma in utan att legitimera sig varje gång. Åldern måste kontrolleras om efter ett år. |
| Butikens konton och inställningar | Under avtalstiden och 3 månader därefter | Så att en butik som ändrar sig kan komma tillbaka. |
Gallringen sker automatiskt varje dygn. Den är inte något vi behöver komma ihåg att göra för hand.
5. Vilka som får del av uppgifterna
Underbiträden behandlar uppgifter för vår räkning och får bara göra det vi instruerar dem att göra.
| Företag | Vad de gör | Var |
|---|---|---|
| Hetzner Online GmbH | Serverdrift och lagring av databasen | EU |
| Resend (Plus Five Five, Inc.) | Utskick av e-post, t.ex. kvitton och dagsrapporter | EU (Irland). Leverantören finns i USA; överföring sker med EU-kommissionens standardavtalsklausuler. |
| Cloudflare, Inc. | DNS för korgly.se | EU. Överföring med standardavtalsklausuler. |
Självständigt personuppgiftsansvariga bestämmer själva över uppgifterna, eftersom de har egna skyldigheter enligt lag. Vi ansvarar inte för deras behandling, och de har egna integritetspolicyer.
| Företag | Vad de gör | Var |
|---|---|---|
| Stripe Payments Europe, Ltd. | Kortbetalning i mobilen och i kassan | Irland |
| Getswish AB | Swish-betalning | Sverige |
| Finansiell ID-Teknik BID AB | Legitimering med BankID vid åldersgräns och inpassering | Sverige |
| Nexi Group | Betalterminal i kassan | EU |
Vi lämnar också ut uppgifter när lag kräver det, till exempel till Skatteverket vid en kontroll. I övrigt lämnar vi inte ut uppgifter till någon.
6. Var uppgifterna finns
Servrarna står inom EU. Ett par av våra leverantörer har moderbolag utanför EU. När uppgifter kan nås därifrån sker det med EU-kommissionens standardavtalsklausuler som grund. Vilka det gäller framgår av tabellen ovan.
7. Hur vi skyddar uppgifterna
- All trafik går krypterad över HTTPS.
- Lösenord sparas bara som en oläsbar hash (scrypt), och går inte att räkna tillbaka.
- Inloggningar, inbjudningar och kvittolänkar sparas bara som hashade värden i databasen.
- Butiker är åtskilda i systemet: varje förfrågan kontrolleras mot vilken butik användaren hör till.
- Tvåstegsverifiering finns för admin och rekommenderas för alla som kommer åt rapporter och återköp.
- Inloggningsförsök och känsliga anrop har tak per konto och per adress.
- Databasen säkerhetskopieras, och säkerhetsuppdateringar installeras löpande.
9. Dina rättigheter
Du har rätt att
- få veta vilka uppgifter vi har om dig, och få en kopia,
- få felaktiga uppgifter rättade,
- få uppgifter raderade, när vi inte måste spara dem enligt lag,
- invända mot behandling som vilar på berättigat intresse,
- begära att behandlingen begränsas,
- få ut uppgifter du lämnat i ett maskinläsbart format.
Hör av dig till dataskydd@korgly.se, så svarar vi inom en månad. Är du missnöjd med hur vi hanterar dina uppgifter kan du klaga hos Integritetsskyddsmyndigheten (IMY).
10. Kontakt
Third Element AB, org.nr 559389-1327
Dataskyddsfrågor: dataskydd@korgly.se
Övrigt: hej@korgly.se