Integritetspolicy

1. Personuppgiftsansvarig

Novaflow AB (org.nr 559522-0509), som driver tjänsten Vänkraft, är personuppgiftsansvarig för den behandling som beskrivs i denna policy.

Frågor om hur vi behandlar dina personuppgifter, inklusive begäran om registerutdrag, rättelse eller radering, skickas till hej@vankraft.se. Vi besvarar din begäran inom en månad (GDPR art. 12.3).

2. Uppgifter vi behandlar

• Konto: e-postadress, visningsnamn och lösenord (lagras hashat hos vår driftleverantör).
• Identitetsverifiering: vi lagrar endast verifieringsstatus (godkänd/ej godkänd) och en referens från betalpartnern. Själva verifieringsunderlaget (t.ex. BankID-data) behandlas uteslutande av betalpartnern och lagras aldrig hos oss.
• Insamlingar: rubrik, beskrivning och mottagarens visningsnamn (publikt synliga).
• Donationer: belopp, valfritt givarnamn och hälsning (visas publikt om de anges), samt e-postadress för kvitto (lagras separat och visas aldrig publikt).
• Utbetalningar: belopp, status och betalpartnerns transaktionsreferenser.
• Missbruksskydd: IP-adress i korttidsräknare för att begränsa automatiserat missbruk.
• Rapporter: om du rapporterar en insamling sparas ditt meddelande och, om du anger den, din e-postadress för eventuell återkoppling.
• Tekniska loggar: bekräftelser från betalpartnern (webhookar) för felsökning och spårbarhet.

3. Ändamål och rättslig grund

• Avtal (GDPR art. 6.1 b): tillhandahålla kontot, insamlingarna, donations- och utbetalningsflödet samt skicka kvitton. Gäller konto-, donations- och utbetalningsuppgifter, inklusive e-postadress för kvitto.
• Rättslig förpliktelse (GDPR art. 6.1 c): bevara transaktionsunderlag enligt bokföringslagen (7 år).
• Berättigat intresse (GDPR art. 6.1 f): missbruksskydd (IP-räknare), moderering av plattformen och felsökning via tekniska loggar. Vi har bedömt att vårt intresse av att skydda användare och plattformens integritet väger tyngre än den begränsade integritetsrisken för den registrerade.
• Samtycke (GDPR art. 6.1 a): publicering av givarnamn och hälsning. Dessa fält är frivilliga och du väljer själv om de ska visas publikt. Samtycket kan återkallas genom att kontakta oss.

Vi behandlar inga uppgifter i kategorin känsliga personuppgifter (GDPR art. 9). Ett moment i tjänsten sker automatiskt: en insamling öppnar för gåvor först när identitetsverifieringen hos betalpartnern har godkänts, och utfallet avgör statusen utan att vi granskar det manuellt. Går verifieringen inte igenom kan du göra om den, och du kan alltid kontakta oss på hej@vankraft.se för att få ärendet prövat av en människa. Hur momentet ska bedömas enligt GDPR art. 22 fastställs i den juridiska granskningen före publik lansering.

4. Mottagare och biträden

• Supabase Inc.: drift av databas och inloggning (personuppgiftsbiträde). Data lagras i EU (Stockholm, eu-north-1). Supabase DPA.
• Licensierad betalpartner: betalningar, identitetsverifiering (BankID/KYC) och utbetalningar. Betalpartnern står under Finansinspektionens tillsyn och är självständigt personuppgiftsansvarig för den behandling de utför. Upplägget bygger på att KYC- och AML-hanteringen ligger hos betalpartnern. Den exakta ansvarsfördelningen fastställs i avtalet innan tjänsten öppnar för riktiga betalningar.
• Resend Inc.: utskick av kvitton och kontomejl (personuppgiftsbiträde). Behandling sker med stöd av EU:s standardavtalsklausuler (SCC). Resends DPA.
• Vercel Inc.: webbhotell och drift (personuppgiftsbiträde). Vercels DPA.

I den mån leverantörerna behandlar uppgifter utanför EU/EES sker det med giltiga överföringsmekanismer. Mer information lämnas på begäran.

5. Lagringstider

• Kontouppgifter: tills du raderar kontot.
• Donations- och utbetalningshistorik: 7 år (bokföringslagen), i anonymiserad form om kontot raderats.
• E-postadress för kvitto: tills den donation kvittot avser har fullgjorts och kvittot skickats, dock längst 7 år i den anonymiserade transaktionsloggen.
• Missbruksskyddets IP-räknare: raderas när tidsfönstret på 24 timmar löpt ut, senast vid nästföljande dygnsgallring.
• Tekniska loggar (webhookar): högst 90 dagar.
• Rapporter: tills ärendet är hanterat och uppföljt, dock högst 2 år efter att ärendet avslutats.

6. Dina rättigheter

Enligt GDPR har du följande rättigheter avseende dina personuppgifter:

• Registerutdrag: rätt att få veta vilka uppgifter vi behandlar om dig.
• Rättelse: rätt att få felaktiga uppgifter korrigerade.
• Radering: rätt att begära att uppgifter raderas. Notera att transaktionsunderlag bevaras i anonymiserad form i enlighet med bokföringslagen (art. 17.3 b).
• Begränsning: rätt att begära att behandlingen begränsas i vissa situationer.
• Dataportabilitet: rätt att få ut dina uppgifter i ett maskinläsbart format.
• Invändning: rätt att invända mot behandling som grundar sig på berättigat intresse (art. 6.1 f). Vi upphör med behandlingen om vi inte kan visa tvingande berättigade skäl.

Du raderar ditt konto själv från kontosidan. Övriga begäranden skickas till hej@vankraft.se , vi svarar inom en månad. Du har också rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY).

7. Cookies

Vänkraft använder endast nödvändiga cookies för inloggningen. Vi använder ingen spårning, ingen analys och ingen marknadsföring, och därför visas ingen cookiebanner.

8. Ändringar

Denna policy kan komma att uppdateras. Vid ändringar av väsentlig betydelse publiceras den reviderade policyn på webbplatsen med information om när ändringarna träder i kraft. Vid behov informeras registrerade på lämpligt sätt, t.ex. via e-post.

Denna version fastställdes 2026-09-08.