Integritetspolicy

1. Vem ansvarar för dina uppgifter?

DiscoCo drivs av IGTM Invest AB, organisationsnummer 559374-0227, Kungsgatan 64, 111 22 Stockholm. IGTM Invest AB är personuppgiftsansvarigt för den behandling som vi bestämmer över. Kontakta oss på hello@discoco.se med frågor eller begäranden om dina uppgifter.

Policyn gäller dig som använder DiscoCo, företagskunders kontaktpersoner och personer vars uppgifter förekommer i företagsuppgifter från SCB. Den är information om personuppgiftsbehandling, inte en begäran om samtycke.

2. Vilka uppgifter använder vi?

Sökning: Vi använder dina filterval för att räkna träffar och visa företag. Filter finns i sidans adress och kan förekomma i trafikloggar tillsammans med exempelvis IP-adress och tidpunkt. Vi kopplar inte dina sökningar till en kundprofil.

Drift- och felmätning: Webbplattformen som driver DiscoCo behandlar tekniska uppgifter för drift, säkerhet och felsökning, till exempel begärda adresser, felmeddelanden och webbläsartyp. Plattformen kan också ladda ett skript som mäter fel och prestanda. Uppgifterna behandlas av plattformsleverantören. Vi har stängt av plattformens separata besöksanalys. Vi har inte kunnat fastställa exakt vilka adressuppgifter som ingår i varje felrapport, om uppgifterna kan kopplas till samma besökare över tid eller hur länge de sparas.

Konto och inloggning: Vi använder din e-postadress, kontoidentifierare och uppgifter om verifiering och inloggning. För att motverka missbruk sparas tidpunkter för kodutskick och inloggningsförsök tillsammans med kodade uppgifter om e-postadress och anslutning. Även kodade uppgifter kan vara personuppgifter.

Listor och support: Vi använder ditt urval, vilket företagsunderlag listan bygger på, antal företag, användning av gratispotten, beställnings- och leveransuppgifter samt filen vi skapar. Vi sparar också vilka villkor du godkände och när. När du kontaktar oss behandlar vi dina kontaktuppgifter och innehållet i ditt meddelande.

Betalningar: Vi behandlar företagsnamn, organisationsnummer, faktureringsadress, e-postadress, orderreferenser, belopp och betalnings- och återbetalningsstatus. För en enskild näringsidkare kan kundens organisationsnummer vara personnummer. Dessa köparuppgifter ingår inte i företagslistorna. Kortuppgifter lämnas till Stripe; vi sparar inga fullständiga kortuppgifter.

Företagsuppgifter: SCB:s allmänna företagsregister är vår källa till företagsnamn, organisationsnummer, juridisk form, status, postadress, säte, bransch, storleksklasser samt arbetsställens namn och besöksadresser. Vi sparar inte telefonnummer eller e-postadresser från SCB. Ett aktiebolags eller en annan juridisk persons företagsnamn, organisationsnummer, verksamhetsuppgifter och företagsadress är inte i sig personuppgifter. Namn på en levande person, personliga c/o-uppgifter eller en adress som identifierar en person kan däremot vara personuppgifter även när de förekommer tillsammans med bolagsuppgifter. Policyns rättigheter och information avser sådana personuppgifter, inte juridiska personer som sådana.

Enskilda firmor och deras arbetsställen ingår inte i de företag du kan söka fram eller hämta i nya listor. Enskilda näringsidkare kan däremot använda DiscoCo som företagskunder. Personbaserade organisationsnummer visas inte i sökresultat eller företagslistor.

Tidigare hämtade uppgifter om enskilda näringsidkare, däribland namn, adresser och personnummer, finns fortfarande i vårt interna företagsunderlag och i vissa äldre filer som inte längre kan hämtas genom tjänsten. Avgränsningen av utbudet innebär inte att dessa uppgifter har raderats. Vi har dessutom tillfälligt undantagit 51 identifierade företag från sökning och nya listor medan personanknutna mottagaruppgifter granskas. Det är en riktad åtgärd, inte en fullständig kartläggning av alla personuppgifter. Övriga företagsdetaljer behålls. Intern lagring och tidigare utlämnanden prövas separat; inget individuellt informationsutskick har genomförts för dessa fall ännu.

3. Varför använder vi uppgifterna?

Vi använder nödvändiga konto-, beställnings- och leveransuppgifter för att tillhandahålla tjänsten. När du själv är avtalspart är den rättsliga grunden att fullgöra avtalet med dig. För företagens kontaktpersoner är grunden vårt berättigade intresse av att administrera företagens användning och köp.

För support är grunden vårt berättigade intresse av att besvara frågor och lösa problem, eller att fullgöra avtalet med dig när det är tillämpligt. För säkerhet och missbruksförebyggande är grunden vårt berättigade intresse av att skydda tjänsten, konton och gratispotten. Nödvändiga bokföringsuppgifter behandlas för att uppfylla rättsliga skyldigheter enligt bokföringslagen.

Företagsuppgifter från SCB används för sökning och affärsmässiga urval av svenska verksamheter samt för att skapa de listor kunder beställer. För de personuppgifter som ingår är grunden vårt berättigade intresse av att tillhandahålla företagsinformation, med begränsning av uppgifter och möjlighet att invända. Äldre firmauppgifter som inte längre ingår i utbudet finns fortfarande i vårt interna underlag. Deras kvarvarande behov prövas för teknisk matchning, säker avveckling och konkreta leverans- eller rättighetsärenden. Tidigare pilot- och provhämtningar ska inte återupptas. Bevarande av överflödiga namn, adresser eller personnummer för dessa prov är inte ett självständigt ändamål. Utbudsbegränsningen är inte en grund för obegränsad lagring, och internt personnummerbevarande behöver vara särskilt motiverat.

Uppgifter som behövs för inloggning eller beställning måste lämnas för att de funktionerna ska fungera. Du kan söka utan konto. Vi fattar inte automatiserade beslut om dig med rättsliga eller motsvarande betydande följder.

4. Vem får uppgifterna och var behandlas de?

Vi använder leverantörer av webbdrift, datalagring, inloggning, e-postleverans och bildleverans. De behandlar de uppgifter som behövs för att driva tjänsten, lagra filer, hantera konton och skicka engångskoder. Leverantörer kan också behandla vissa drift- och säkerhetsuppgifter under eget ansvar. Inloggningsmejl skickas från notify.discoco.se. Kontaktmejl hanteras i vår företags e-posttjänst.

Tjänstens databas och exportfiler lagras i Irland. Webbdrift och bildleverans använder ett globalt nätverk. Leverantörernas dokumentation omfattar även behandling i bland annat Nederländerna, Storbritannien och USA. Att databasen finns inom EU betyder därför inte att all behandling sker inom EU/EES. Alla dessa platser är inte bekräftade som lagringsplats för varje uppgift i DiscoCo.

Stripe hanterar kortbetalningar, kvitton och återbetalningar. Stripe behandlar vissa uppgifter för vår räkning och andra under eget ansvar, exempelvis för betalningssäkerhet, bedrägeribekämpning och rättsliga skyldigheter. Stripe använder betalningsförmedlare, banker och andra leverantörer och behandlar uppgifter internationellt, bland annat i USA och Indien. Läs mer på https://stripe.com/se/privacy.

Leverantörsavtalen innehåller EU-kommissionens standardavtalsklausuler för överföringar som inte omfattas av ett beslut om adekvat skyddsnivå. Stripe beskriver dessutom överföringar till sin amerikanska verksamhet enligt EU–USA:s dataskyddsramverk. Skyddet beror på mottagaren och den aktuella överföringen. Du kan begära kompletterande information och en kopia av tillämpliga skyddsåtgärder genom hello@discoco.se.

Besökare får de företagsuppgifter som visas i sökresultat och kunder får uppgifterna i det urval de hämtar. De ansvarar för sin fortsatta användning. En lista innebär inte att personer som förekommer i den har samtyckt till kontakt eller marknadsföring. Uppgifter kan lämnas till myndigheter när lagen kräver det. Vi säljer inte användarnas kontouppgifter som företagslistor.

5. Hur länge sparas uppgifterna?

Färdiga listor kan hämtas i sju dagar från att filen blev klar. Därefter upphör tillgången och filen och tillhörande delresultat tas bort genom automatisk städning varje timme. Borttagning sker vid en städkörning, inte nödvändigtvis på exakt den sekund tillgången upphör. Delresultat från misslyckade listor städas också. Kopior som redan har laddats ned kan vi inte återkalla.

Våra beslutade bevarandetider skiljer sig från vad som i dag sker automatiskt:

• Listornas historik: visas i tolv månader från beställningen. Fullständiga urval, filter och leveranshistorik ska normalt tas bort eller begränsas senast tolv månader från att filen blev klar. Historiken döljs automatiskt, men raderingen är ett separat steg.
• Konton: kontouppgifter ska normalt tas bort inom trettio dagar efter avslut. Inaktiva konton ska avslutas efter tjugofyra månaders inaktivitet, efter varning. Öppna beställningar, reservationer och ärenden måste först hanteras.
• Gratispott: detaljerad förbrukningshistorik ska normalt begränsas efter tolv månader från senaste slutliga förbrukning eller återföring, eller trettio dagar efter kontoavslut, beroende på vilken tid som infaller sist. Så länge kontot används behålls det saldo och underlag om redan tilldelad gratispott som behövs för att hantera potten korrekt. Radering får inte ge en ny gratispott av misstag.
• Egna säkerhets- och inloggningshändelser: trettio dagar. Avgränsat underlag för en konkret säkerhetsincident kan behållas längre så länge ärendet kräver det.
• Support: tjugofyra månader efter att ärendet avslutats. Nödvändig räkenskapsinformation skiljs från meddelanden och bilagor.
• Rättighetsärenden: dokumentation ska normalt tas bort eller begränsas tre år efter ärendeslut. Minsta nödvändiga uppgift för en aktiv invändning eller begränsning behålls så länge beslutet behöver respekteras.
• Företagsunderlag: aktivt och närmast föregående underlag används som utgångspunkt. Äldre kopior får bara behållas när de behövs för en öppen beställning, giltig lista eller ett konkret ärende. Överflödiga prov- och importkopior ska avvecklas säkert; hela gamla företagsunderlag sparas inte i sju år enbart för att en kund har gjort ett köp.
• Bokföring: nödvändig räkenskapsinformation bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Detta gäller inte automatiskt fullständiga sökfilter, exportjobb eller hela företagsregistret.

Utöver exportfilerna och den dolda historiken saknas ännu automatisk gallring för dessa kategorier. Genomföranderutinen innebär veckovis granskning av uppgifter vars frist löpt ut och månatlig granskning av avslutade supportärenden, äldre företagsunderlag och undantag. Före borttagning kontrolleras öppna betalningar, reservationer, giltiga filer och rättighetsärenden. Ett undantag ska ha ett konkret skäl och en ny kontrolltid. Om borttagning skulle förstöra nödvändigt saldo-, bokförings- eller rättighetsunderlag måste uppgifterna först kunna begränsas och skiljas från det som ska bort. En sådan blockerad åtgärd är inte redan genomförd och motiverar inte obegränsat bevarande. De beslutade tiderna innebär alltså inte att äldre uppgifter redan har raderats.

Databasleverantören beskriver dagliga säkerhetskopior som bevaras upp till ungefär fjorton dagar. De omfattar databasen, inte exportfilerna. Raderade databasuppgifter kan därför finnas kvar i äldre säkerhetskopior tills dessa löper ut. Den faktiska uppsättningen säkerhetskopior är inte kontrollerad. Leverantörernas drift- och e-postloggar kan ha andra bevarandetider som ännu inte är fastställda för tjänsten.

6. Kakor och lagring i webbläsaren

Vår webbdrift sätter en kaka för skydd mot automatiserad trafik (bot-skydd). Den gäller i cirka 30 minuter och används inte för marknadsföring. Webbplattformen sätter också en teknisk kaka (__dpl) som gäller i cirka ett dygn. Vi har inte fått dess exakta ändamål dokumenterat av plattformen; vi använder den inte för analys eller marknadsföring. Därutöver kan plattformens drift- och felmätning som beskrivs i avsnitt 2 förekomma. Plattformens besöksanalys är avstängd och vi har ingen marknadsföringsspårning. När du loggar in sparas din inloggning i webbläsarens lokala lagring så att du förblir inloggad. Den tas bort när du loggar ut. Dina filterval finns i sidans adress. Webbdriftens säkerhets- och trafikbehandling är skild från marknadsföringsspårning.

Analys med HubSpot: Om du väljer ”Godkänn analys” laddar vi HubSpots analysverktyg för att förstå hur besökare hittar och använder DiscoCo. Rättslig grund är ditt samtycke. Innan du har godkänt laddas inget från HubSpot. Mätningen sker bara på publika sidor utan filterval: startsidan utan valda filter, Backstage (inklusive vald paketstorlek och antal användare i kalkylatorn), HubSpot-sidan, integritetspolicyn och villkoren. När du gör filterval eller går till inloggning, beställningar, Mina listor, inbjudningar eller admin pausas mätningen direkt och återupptas först på nästa mätbara sida. Kommer du direkt till en sådan sida laddas ingen HubSpot-kod. Till HubSpot skickas sidans adress, sidans titel, varifrån du kom, skärmstorlek, språk och webbläsaruppgifter samt vilka länkar och knappar du klickar på (deras text och adress) på de mätta sidorna. HubSpot sätter kakor som känner igen din webbläsare mellan besök, bland annat __hstc och hubspotutk (i vårt prov cirka sex månader), __hssc (cirka 30 minuter) och __hssrc (sessionen). Våra formulär, till exempel inloggningen, är undantagna från HubSpots formulärinsamling. Vi kopplar inte mätningen till ditt konto eller din e-postadress. Du kan när som helst ändra dig under ”Kakinställningar” längst ned på sidan; då stoppas mätningen direkt, även i andra öppna flikar, HubSpots igenkänningskakor tas bort och en kaka (__hs_do_not_track) sparas som talar om för HubSpot att inte mäta. Redan insamlade uppgifter raderas inte automatiskt. HubSpots lagringstider och skydd vid eventuell överföring utanför EU/EES har vi ännu inte fastställt för tjänsten.

När du går till Stripes betalningssida gäller även Stripes information om kakor och betalningssäkerhet: https://stripe.com/legal/cookies-policy. Det innebär inte att marknadsföringsspårning från Stripe är installerad på DiscoCos söksida.

7. Dina rättigheter

Du kan begära tillgång till dina personuppgifter samt rättelse, radering eller begränsning av behandlingen. När lagens villkor är uppfyllda har du också rätt till dataportabilitet. Du kan invända mot behandling som grundas på berättigat intresse.

Skriv till hello@discoco.se. Skicka inte personnummer eller id-handlingar i ditt första mejl. Om vi behöver kontrollera din identitet berättar vi hur. Vi besvarar normalt en begäran inom en månad. Om tiden behöver förlängas enligt dataskyddsreglerna får du information om det och varför.

Gäller din begäran en uppgift från SCB prövar vi vår egen behandling och förklarar om en rättelse även behöver göras hos SCB. En hänvisning till SCB ersätter inte vårt ansvar. Uppgifter som behövs för att respektera en invändning kan behöva sparas i begränsad omfattning. Information om vår behandling ska lämnas även till berörda personer vars uppgifter kommer från SCB enligt de regler som gäller när uppgifter hämtas från annan källa.

Du kan lämna klagomål till Integritetsskyddsmyndigheten på https://www.imy.se.

8. Ändringar

Den aktuella policyn finns på discoco.se/integritet. Vid ändringar visar vi datum och informerar om väsentliga förändringar när det behövs. Integritetsinformation är skild från köpvillkor och innebär inte samtycke till marknadsföring.