Integritetspolicy

Senast uppdaterad: [DATUM – fylls i vid publicering]. Denna integritetspolicy är en MALL och har ännu inte juridiskt granskats.

1. Personuppgiftsansvarig

Matchaverket Club, Birkagatan 19, Stockholm (”vi”, ”oss”), är personuppgiftsansvarig för behandlingen av dina personuppgifter enligt denna policy. Kontakta oss på info@matchaverket.com (placeholder — verifiera adress innan publicering).

2. Vilka uppgifter vi samlar in

• Kontouppgifter: namn, e-postadress, språkinställning (User.locale), roll (kund/personal).
• Beställningar: beställd vara, pris, betalningsstatus, upphämtningstid, betalningsmetod och betalningsreferens.
• Lojalitetsledger: poäng, stämplar, nivå (Frö / Blad / Ceremoni), utfärdade och inlösta belöningar.
• Abonnemang: abonnemangstyp, status, daglig inlösenkod och inlösenhistorik.
• Inloggningsdata: engångstoken för magisk länk (hashad, giltig 15 minuter), signerad sessionscookie.
• Uppgifter från Google (om du väljer ”Fortsätt med Google”): namn, e-postadress, uppgift om att adressen är verifierad, profilbildens webbadress samt Googles stabila konto-id (”sub”). Vi begär endast omfattningarna openid, email och profile. Vi får aldrig ditt Google-lösenord, och vi sparar inga Google-token efter inloggningen. Konto-id:t sparas för att kunna känna igen dig även om du byter e-postadress hos Google. Loggar du in med en e-postadress som redan finns hos oss är det samma konto — vi skapar inte ett nytt.
• Frivilliga profiluppgifter: telefonnummer och födelsedag. Båda är frivilliga, lämnas av dig själv på sidan Min profil, och krävs aldrig för att beställa. Du kan när som helst tömma fälten.
• Marknadsföringssamtycke: om du kryssat i rutan samt tidpunkten då samtycket lämnades.

3. Ändamål och rättslig grund

• Fullgörande av avtal (art. 6.1 b GDPR) — hantera ditt konto, dina beställningar och ditt abonnemang.
• Berättigat intresse (art. 6.1 f) — driva lojalitetsprogrammet, förhindra bedrägeri, säkra tjänsten.
• Rättslig förpliktelse (art. 6.1 c) — bokföringslag och skattelagstiftning för transaktionsdata.
• Samtycke (art. 6.1 a) — enda rättslig grund för marknadsföringsutskick (erbjudanden och nyheter). Vi skickar sådana mejl endast om du själv kryssat i rutan under Min profil. Samtycket är frivilligt, påverkar inte din möjlighet att beställa, och kan återkallas när som helst direkt i appen genom att ta bort krysset och spara (eller via avregistreringslänken i utskicket). Återkallandet gäller framåt i tiden och påverkar inte lagligheten av utskick som redan gjorts. Frivilliga profiluppgifter (telefonnummer, födelsedag) lämnas också med stöd av samtycke.

4. Lagringstid

[Att fastställas juridiskt.] Riktlinje: kontodata sparas så länge kontot är aktivt; beställnings- och betalningsdata sparas enligt gällande bokföringskrav (normalt 7 år i Sverige); inloggningstoken raderas/ogiltigförklaras efter användning eller 15 minuter; inaktiva konton kan komma att raderas eller anonymiseras efter en period av inaktivitet (period att fastställas).

5. Mottagare av uppgifter (tredje part)

• Stripe — kortbetalningar och abonnemangsfakturering.
• Swish (Handel) — mobila betalningar.
• Bank/betalningsförmedlare — clearing och avräkning av betalningar.
• Resend — utskick av transaktionsmejl (t.ex. inloggningslänkar) och, om du samtyckt, marknadsföringsmejl.
• Google (Google Ireland Ltd.) — leverantör av inloggning (”Fortsätt med Google”), om du väljer det alternativet. Google får då veta att du loggar in hos oss. Du kan alltid välja e-postlänk i stället; ingen Google-uppgift samlas in om du inte använder knappen. Se Googles egen integritetspolicy.
• Hostingleverantör (t.ex. Vercel/Neon eller motsvarande) — drift av applikation och databas.

Vi delar inte dina uppgifter med tredje part för deras egna marknadsföringsändamål.

6. Dina rättigheter

• Rätt till tillgång (registerutdrag).
• Rätt till rättelse av felaktiga uppgifter.
• Rätt till radering (”rätten att bli glömd”), med undantag för uppgifter vi måste behålla enligt lag.
• Rätt till dataportabilitet.
• Rätt att invända mot behandling som grundas på berättigat intresse.
• Rätt att återkalla lämnat samtycke — gör det direkt under Min profil i appen.
• Rätt att inge klagomål till Integritetsskyddsmyndigheten (IMY), imy.se.

7. Cookies och sessioner

Vi använder en signerad, httpOnly sessionscookie (mv_session) för inloggning och en enkel cookie (mv_locale) för att komma ihåg ditt språkval. Under en pågående Google-inloggning sätts två tillfälliga säkerhetscookies (mv_oauth_state och mv_oauth_verifier) som skyddar inloggningsflödet mot manipulation; de lever i högst 10 minuter och raderas så fort inloggningen är klar. Inga tredjeparts-spårningscookies används av applikationen själv. Betalningsleverantörer (Stripe/Swish) och Google kan sätta egna cookies när du omdirigeras till deras flöden.

8. Kontakt

Frågor om denna policy eller dina uppgifter: info@matchaverket.com (placeholder-adress — ersätt med verklig, bevakad brevlåda).