Integritetspolicy

Acnova Oy — Tuusula, Suomi

Denna integritetspolicy beskriver hur Acnova Oy behandlar personuppgifter i enlighet med EU:s allmänna dataskyddsförordning (GDPR) och finsk dataskyddslagstiftning.

Var våra system finns. Acnovas applikationsinfrastruktur och beständiga applikationsdata (kundkonton, beställningar, fakturor, uppladdade dokument och säkerhetskopior) finns i Helsingfors, Finland (EU). acnova.eu levereras via Cloudflares globala nätverk, som fungerar som vår omvända proxy och vårt säkerhetslager (se delen om Cloudflare i avsnitt 11 samt avsnitt 13). En lättläst översikt över vad som behandlas i Finland och vad som inte gör det finns på acnova.eu/data-residency.

Vi kan behandla följande kategorier av uppgifter:

• För- och efternamn

• Företagsnamn

• E-postadress

• Telefonnummer

• Leverans- och faktureringsadress

• Orderuppgifter

• Köphistorik

• Meddelanden som skickas via formulär eller chatt

• Analysdata (om samtycke finns)

• Uppgifter för annonsering i Metas tjänster (om du samtycker till marknadsföring, se avsnitt 4): visningar av sidor och produkter, tillägg i varukorgen, lagda beställningar och inskickade formulär, identifierare från pixelns cookies, IP-adress och uppgifter om webbläsaren

• IP-adress (för att skydda webbplatsen och formulären mot skräppost och bottar, se avsnitt 10 och 11; i loggen över cookiessamtycke endast i hashad form)

Vi behandlar personuppgifter på följande grunder:

• Fullgörande av avtal (beställningar, leverans, betalningar)

• Rättslig förpliktelse (bokföring och skatt)

• Berättigat intresse (webbplatssäkerhet, förebyggande av bedrägerier)

• Samtycke (analys, marknadsföring inklusive Meta-pixeln, cookies); du kan när som helst återkalla det via länken ”Cookie-inställningar” i sidfoten

Vi använder Google Analytics 4 för att analysera användningen av webbplatsen. Analys aktiveras endast efter användarens samtycke. Innan samtycke laddas inga analyscookies. Google Consent Mode v2 används.

Loggar över cookiessamtycke lagras i 365 dagar i skyddad form (IP och User-Agent hash-as med salt).

Leverantör:

Google Ireland Limited.

Om du samtycker till analys kan Acnovas server själv skicka uppgiften om att en beställning har betalats (order- eller fakturanumret, beloppet och produkterna) till Google Analytics, kopplad till din webbläsares Google Analytics-identifierare. För detta ändamål kan vi, när du går vidare till betalning, spara denna identifierare i högst 30 dagar; den raderas när uppgifterna har skickats eller när det har beslutats att inte skicka dem. Utan samtycke till analys skickas detta inte. För att ett köp inte ska skickas efter att du har återkallat ditt samtycke till analys kan samtyckescookien innehålla ett slumpmässigt nummer för ditt beslut som inte innehåller några uppgifter om dig; i så fall sparas numret i loggen över cookiesamtycke tillsammans med själva beslutet.

Meta-pixeln

Om du har slagit på ”Marknadsföring” i cookiebannern eller accepterat alla cookies körs Meta-pixeln, ett verktyg från Meta Platforms Ireland Limited, på webbplatsen. Vi använder den för att mäta hur effektiv vår annonsering i Metas tjänster (till exempel Facebook och Instagram) är och för att visa Acnovas annonser för personer som har besökt vår webbplats (remarketing).

Innan du ger ditt samtycke laddas ingen kod från Meta, inga uppgifter skickas till Meta och inga pixelcookies sätts. Om du inte har gett samtycke men pixelcookies eller pixelns poster i webbläsarens lagring finns kvar på din enhet från tidigare besök raderar webbplatsen dem.

Pixeln skickar följande händelser till Meta:

• sidvisning

• visning av en produktsida: offentligt artikelnummer, produktens namn, pris exklusive moms och valuta (priset endast om det visas för dig)

• tillägg av en produkt i varukorgen: offentligt artikelnummer, produktens namn, antal, belopp exklusive moms och valuta

• lyckat inskickande av ett formulär på webbplatsen (till exempel kontaktformuläret eller en PRO-kontobegäran): endast typen av formulär, utan de uppgifter du har angett

• en beställning (när betalningen har bekräftats eller en beställning som betalas mot faktura har skapats): produkternas offentliga artikelnummer och antal, totalt antal artiklar, belopp exklusive moms och valuta samt order- eller fakturanumret — endast som teknisk identifierare för händelsen, så att samma köp inte räknas två gånger

Vid varje händelse får Meta bland annat pixelns ID, adressen till sidan och till den sida du kom från, tidpunkten för händelsen, skärmstorleken, värdena för cookies _fbp och _fbc samt — som vid varje begäran från din webbläsare till en server — din IP-adress och uppgifter om din webbläsare. Meta kan koppla dessa uppgifter till ditt Meta-konto, om du har ett.

Ditt namn, din e-postadress, ditt telefonnummer och din postadress skickas inte till Meta: utökad matchning (advanced matching) används inte, och pixelns automatiska insamling av uppgifter från sidor är avstängd. Inte heller interna referensnummer skickas till Meta: endast offentliga artikelnummer och order- eller fakturanumret.

Pixelns cookies _fbp och _fbc sparas på din enhet i 90 dagar från senaste uppdatering. Metas skript kan dessutom spara egna tekniska poster i webbläsarens lagring (localStorage) under domänen acnova.eu (multiFbc, lastExternalReferrer och lastExternalReferrerTime), till exempel vilken webbplats du kom från (Facebook, Instagram, en annan webbplats eller direkt) och när, samt uppgifter om ett klick på en annonslänk från Meta. Meta kan få dessa uppgifter tillsammans med pixelns händelser. Liksom pixelns cookies skapas dessa poster endast med ditt samtycke till ”Marknadsföring”; om du avböjer eller återkallar samtycket raderar webbplatsen dem tillsammans med cookies _fbp och _fbc. Mer om pixelns cookies och poster och om när pixeln inte skickar några händelser finns i vår cookiepolicy.

För insamlingen av uppgifter med pixeln på vår webbplats och överföringen av dem till Meta ansvarar vi och Meta Platforms Ireland Limited gemensamt (gemensamt personuppgiftsansvariga enligt artikel 26 GDPR). Enligt vårt avtal med Meta informerar vi dig om denna behandling och inhämtar ditt samtycke, medan Meta tillgodoser dina rättigheter i fråga om de uppgifter som Meta lagrar efter överföringen. Du kan utöva dina rättigheter både hos oss och hos Meta. Avtalets huvudsakliga innehåll: facebook.com/legal/controller_addendum.

Meta behandlar dessa uppgifter vidare som självständigt personuppgiftsansvarig enligt sin egen integritetspolicy: facebook.com/privacy/policy. Uppgifter som Meta tar emot via pixeln sparar Meta enligt sina egna regler. Meta kan överföra dessa uppgifter utanför EES, bland annat till USA — se avsnitt 13.

Rättslig grund: artikel 6.1(a) GDPR — samtycke. Att pixelns cookies lagras på din enhet och läses kräver dessutom ditt samtycke enligt 205 § i den finska lagen om tjänster inom elektronisk kommunikation (917/2014).

Du kan när som helst återkalla ditt samtycke genom att klicka på länken ”Cookie-inställningar” i sidfoten, stänga av ”Marknadsföring” och spara ditt val. Därefter slutar Meta-pixeln omedelbart att skicka data och laddas inte längre, och webbplatsen raderar pixelns cookies (_fbp, _fbc) och pixelns poster i webbläsarens lagring från din enhet. Återkallande av samtycke påverkar inte lagligheten av behandling som utförts före återkallandet.

För betalningshantering används Stripe och Paytrail. Betalningsleverantörer agerar som självständiga personuppgiftsansvariga för betalningsinformation.

För att leverera din beställning lämnar vi mottagarens uppgifter till den valda transportören: namn, leveransadress eller utlämningsställe, e-post och telefonnummer.

Till vem. De transportörer vi anlitar är Shipit Oy Ab, PostNord Oy. De agerar som personuppgiftsbiträden för vår räkning och använder uppgifterna endast för leverans och leveransaviseringar (t.ex. sms «paketet kan hämtas»).

Grund. GDPR art. 6.1 b — behandlingen krävs för att fullgöra beställningsavtalet. Något separat samtycke behövs inte.

Hur länge. Kontaktuppgifter (e-post, telefon) raderas ur beställningen när du begär radering av ditt konto. Mottagarens namn och leveransadress bevaras under den lagstadgade bokföringstiden eftersom de ingår i verifikationskedjan för den levererade beställningen (GDPR art. 17.3 b).

Service- och transaktionsmeddelanden. Orderbekräftelser, proformafakturor, fakturor, betalningsbekräftelser och kreditfakturor skickar vi för att fullgöra avtalet med dig (artikel 6.1 b i GDPR) och för att uppfylla våra rättsliga skyldigheter, bland annat bokföringsskyldigheten (artikel 6.1 c i GDPR). Dessa meddelanden utgör inte marknadsföring, kräver inte något separat samtycke och kan inte avregistreras så länge din beställning är aktiv.

Marknadsföringsmeddelanden. Nyhetsbrev, erbjudanden och påminnelser om en ofullbordad beställning (övergiven varukorg) skickar vi endast med stöd av det samtycke du lämnat vid beställningen eller, i förhållande till befintliga kunder, med stöd av bestämmelserna om direktmarknadsföring i lagen om tjänster inom elektronisk kommunikation (917/2014, 200 §). Varje marknadsföringsmeddelande innehåller en avregistreringslänk med ett klick, och efter avregistrering skickar vi inte fler sådana meddelanden. Dessa utskick förmedlas via Google Workspace.

När din beställning har levererats kan vi också tacka dig och be dig lämna ett omdöme om ditt köp (även via vår omdömespartner Trustpilot). Dessa e-postmeddelanden skickas på samma grund — direktmarknadsföring till befintliga kunder (§ 200) — och innehåller, liksom alla marknadsföringsmeddelanden, en avprenumerationslänk med ett klick.

Vi använder tjänsten Trustpilot (Trustpilot A/S, Danmark, EU) för att samla in omdömen. På vårt uppdrag delas ditt namn, din e-postadress och din beställnings innehåll med tjänsten för att skicka dig en inbjudan att lämna ett omdöme. Trustpilot agerar personuppgiftsbiträde enligt ett personuppgiftsbiträdesavtal; personuppgiftsansvarig är fortfarande Acnova Oy.

För kontakt används WhatsApp Business API (Meta) och Telegram. I båda kanalerna svarar AI-assistenten Hanna — se avsnitt 9. Uppgifter kan komma att överföras utanför EES, se avsnitt 13.

När du chattar på vår webbplats samt på WhatsApp och Telegram är det Hanna du pratar med — en AI-assistent hos Acnova Oy. Hon är inte en människa. Vi säger det redan i första meddelandet och i chattens rubrik. Du kan när som helst be om en människa — det räcker att säga det: samtalet lämnas då över till en person, och Hanna drar sig tillbaka.

Vad som behandlas. Texten i dina meddelanden och tidigare meddelanden i samma konversation; filer du själv bifogar; ditt gränssnittsspråk och sidan du skrev från. Namn, e-post och vid behov telefon — bara det du själv uppger.

Varför och med vilken grund. Enbart för att svara på din fråga och hantera din förfrågan. Grunden är GDPR art. 6.1 b — åtgärder på din egen begäran innan avtal. Inget separat samtycke krävs eller begärs för detta. Nyhetsbrevet är en annan sak: det skickas bara med separat samtycke som bekräftas via länk i ett e-postmeddelande.

Vem mer ser konversationen. För att Hanna ska kunna svara skickas konversationens text till vår leverantör av AI-modellen — Anthropic PBC, som är vårt personuppgiftsbiträde (underbiträde) enligt ett personuppgiftsbiträdesavtal. Personuppgiftsansvarig är fortsatt Acnova Oy. Behandlingen sker i USA; överföringen grundas på EU-kommissionens standardavtalsklausuler (SCC) — mer i avsnitt 13. Enligt leverantörens villkor används din konversation inte för att träna dess modeller.

Vad modellen aldrig ser. Frågor som rör hälsa — hudreaktion, brännskada, utslag, läkarbesök — skickas aldrig till den externa modellen: en sådan fråga tas omedelbart om hand av en människa. Det är känsliga personuppgifter (GDPR art. 9), och vi har valt att inte skicka ut dem ens för en sekund.

Hur länge vi sparar. Vi sparar konversationen så länge den behövs för att hantera din förfrågan. Om en beställning eller faktura uppstår ur samtalet omfattas de uppgifterna av tiderna i avsnitt 12.

Så raderar du. Skriv till [email protected] — vi raderar dina kontaktuppgifter och tar bort dem ur konversationens text utan onödigt dröjsmål, dock senast inom en månad (GDPR art. 12.3). Själva konversationen kan finnas kvar i anonymiserad form — utan namn, e-post och telefon. Vi behåller även beviset på vad som visades för dig och vad du svarade (GDPR art. 7.1): det är vår skyldighet, och dina kontaktuppgifter är borttagna ur det.

Har du ett kundkonto kan du göra samma sak själv: under "Mina uppgifter" ser du exakt vad vi har om dig, till vilket datum vi måste spara det, och det finns en knapp för raderingsbegäran.

Vi använder inte Google reCAPTCHA eller andra CAPTCHA-tjänster från tredje part för att skydda formulären, och vi laddar inte skript från tredje part för detta ändamål: kontrollerna görs på våra egna servrar. Oberoende av detta passerar all trafik till webbplatsen genom Cloudflare, som skyddar webbplatsen mot skadliga bottar och i vissa fall kan visa en säkerhetskontroll (se avsnitt 11 och vår cookiepolicy).

För att skydda formulären använder vi, beroende på formulär:

• ett dolt fält som människor inte ser och lämnar tomt

• en signerad tidsstämpel som servern utfärdar när formuläret öppnas (den innehåller inga personuppgifter): med den kontrolleras att formuläret inte har skickats snabbare än en människa hade hunnit fylla i det

• en begränsning av antalet inskick från samma IP-adress: för närvarande högst 8 inskick inom 10 minuter

Av dina personuppgifter används endast IP-adressen för detta skydd: med den räknas inskicken. Ett formulär som avvisas som skräppost sparas inte; uppgifter om avvisningen, inklusive IP-adressen, kan registreras i vår tekniska logg. Den rättsliga grunden är vårt berättigade intresse (art. 6.1 f i GDPR) av webbplatsens säkerhet.

Räknaren för inskick sparas bara en kort tid. För vissa formulär lagras inte själva IP-adressen i den, utan ett hashvärde av den som beräknats med salt, och poster som är äldre än ett dygn raderas automatiskt varje dag. För övriga formulär förs räknaren i ett tillfälligt minne och raderas automatiskt efter 10 minuter.

På vissa sidor på webbplatsen — till exempel startsidan, kontaktsidan och sidorna ”Avhämtningsställen” och ”Hitta en specialist” — finns inbäddade Google Maps-kartor. En karta laddas bara om du har slagit på ”Kartor (Google Maps)” i cookiebannern eller accepterat alla cookies, eller en gång, om du klickar på knappen ”Visa karta” på en viss sida; innan dess kontaktar din webbläsare inte Google för kartans skull. När en karta laddas får Google din IP-adress, uppgifter om din webbläsare och enhet samt adressen till den sida där kartan är inbäddad, och kan sätta eller läsa egna cookies under sina domäner. Den rättsliga grunden är ditt samtycke (art. 6.1 a i GDPR). Mer information finns i vår cookiepolicy.

Användning av Cloudflare (innehållsleverans och skydd av webbplatsen)

Vår webbplats använder Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA) som omvänd proxy, innehållsleveransnätverk (CDN), brandvägg för webbapplikationer (WAF) samt skydd mot DDoS-attacker och skadliga robotar. All trafik mellan din enhet och vår webbplats passerar genom Cloudflares nätverk.

Som vårt underbiträde behandlar Cloudflare besökarens IP-adress, förfrågningens metadata (bl.a. sidans adress, webbläsarens typ och version, hänvisande sida och förfrågningens rubriker) samt Cloudflares tekniska cookies. Eftersom Cloudflare fungerar som omvänd proxy och avslutar den krypterade (TLS) anslutningen är trafikens innehåll tekniskt tillgängligt för Cloudflare vid behandlingstillfället. Den rättsliga grunden är vårt berättigade intresse (art. 6.1 f i GDPR) av webbplatsens säkerhet, tillgänglighet och prestanda.

Behandlingen sker i Cloudflares globala nätverk, inklusive servrar i USA, vilket utgör en överföring av personuppgifter utanför EES. Överföringen sker med stöd av Europeiska kommissionens standardavtalsklausuler (SCC) som ingår i Cloudflares personuppgiftsbiträdesavtal (DPA), med kompletterande skyddsåtgärder; dessutom är Cloudflare, Inc. certifierat under EU-U.S. Data Privacy Framework. Mer information: https://www.cloudflare.com/cloudflare-customer-dpa/ ; https://www.cloudflare.com/gdpr/subprocessors/ ; https://www.cloudflare.com/privacypolicy/ .

Bokföringsuppgifter — 10 år. Vi sparar beställningar, fakturor, betalningar och tillhörande handlingar i 10 år från utgången av det räkenskapsår då handlingen uppstod. Vardera bolaget i koncernen är personuppgiftsansvarig för sina egna kunders handlingar: Acnova Oy för fakturor och beställningar från sina egna (finska och andra) kunder, YDE Areal Est OÜ för fakturor och beställningar från sina egna estniska kunder. Samma lagringstid gäller för båda bolagens handlingar.

Lagen kräver mindre: den finska bokföringslagen (kirjanpitolaki 1336/1997, kap. 2 § 10) kräver 10 år för räkenskapsböcker och 6 år för verifikationer; den estniska bokföringslagen (raamatupidamise seadus § 12) kräver minst 7 år. Vi har medvetet valt en gemensam, längre tid — det är enklare, och vi raderar därmed aldrig det vi är skyldiga att spara.

Så länge tiden löper kan vi inte radera dessa uppgifter på begäran — det följer direkt av GDPR art. 17.3 b (behandlingen är nödvändig för att fullgöra en rättslig förpliktelse). Men behandlingen begränsas (GDPR art. 18): sådana uppgifter undantas från marknadsföring, analys och rekommendationer och finns kvar enbart på grund av lagen. När tiden löper ut raderas de på vanligt sätt. Du kan själv se det exakta datumet för dina egna uppgifter under "Mina uppgifter" i ditt kundkonto.

Övrigt. Marknadsföringsuppgifter — tills samtycket återkallas. Loggar för cookiesamtycke — 365 dagar. Chattkonversationer — se avsnitt 9.

Tekniska uppgifter på webbplatsen. I loggarna för cookiesamtycke sparas IP-adressen och webbläsaruppgifterna endast i hashad form; poster som är äldre än 365 dagar raderas automatiskt varje dag. Poster i räknaren för inskickade formulär (avsnitt 10) som är äldre än ett dygn raderas också automatiskt varje dag, och för vissa formulär raderas posten automatiskt efter 10 minuter. Meta-pixelns cookies (_fbp, _fbc) sparas på din enhet i 90 dagar från senaste uppdatering; uppgifter som Meta tar emot via pixeln sparar Meta enligt sina egna regler (avsnitt 4).

En del av våra leverantörer behandlar uppgifter utanför EES. Vi namnger dem öppet så att du vet vilka det gäller:

— Anthropic PBC (USA) — AI-modellen som assistenten Hanna bygger på. Konversationens text och filer du själv bifogar överförs (avsnitt 9). — Cloudflare, Inc. (USA) — skydd och leverans av webbplatsen. Exakt vad som överförs och på vilken grund beskrivs i detalj i avsnitt 11. — WhatsApp / Meta — konversationer i WhatsApp-kanalen (avsnitt 8). — Meta Platforms Ireland Limited / Meta Platforms, Inc. (USA) — Meta-pixeln, om du har samtyckt till marknadsföring (avsnitt 4). Meta Platforms Ireland Limited överför som självständigt personuppgiftsansvarig uppgifterna till Meta Platforms, Inc. i USA; enligt Meta sker överföringen med stöd av EU-U.S. Data Privacy Framework och standardavtalsklausulerna (SCC). — Google Ireland Limited — analys, e-posttjänst och kartor (avsnitt 4, 7, 11); inom Google-koncernen kan uppgifter behandlas utanför EES.

Grund för överföring: EU-kommissionens standardavtalsklausuler (SCC), som ingår i personuppgiftsbiträdesavtalen med våra leverantörer; där det är tillämpligt gäller dessutom leverantörens certifiering enligt EU-U.S. Data Privacy Framework.

Du kan begära en kopia av de tillämpade skyddsåtgärderna (avtalsvillkoren för överföringen) från oss på [email protected] — vi är skyldiga att tillhandahålla den (GDPR art. 13.1 f och art. 15.2).

Detta gäller inte överföringar inom Meta-koncernen för pixeln: dem gör Meta själv som självständigt personuppgiftsansvarig och tillämpar själv skyddsåtgärderna, så vi har inga kopior av dem. Information om dem finns i Metas integritetspolicy: facebook.com/privacy/policy.

Du har rätt att:

• Få tillgång till dina uppgifter

• Begära rättelse

• Begära radering

• Begränsa behandlingen

• Återkalla samtycke

• Lämna in klagomål till den finska dataombudsmannen

Acnova Oy

Email:

[email protected]

Telefon:

+358 9 424 513 15