GDPR-policy

1. Om GDPR och vårt åtagande

Dataskyddsförordningen (GDPR) är en samlad dataskyddslagstiftning som styr hur personuppgifter om personer inom Europeiska ekonomiska samarbetsområdet (EES) får samlas in, behandlas och lagras.

PrintedIn står helhjärtat bakom att följa GDPR. Vi behandlar personuppgifter lagligt, korrekt och öppet. Vi samlar bara in uppgifter för särskilda, uttryckligt angivna och berättigade ändamål och ser till att de är adekvata, relevanta och begränsade till vad som är nödvändigt.

2. Uppgifter om personuppgiftsansvarig

Enligt GDPR är PrintedIn personuppgiftsansvarig för våra användares personuppgifter. Det betyder att vi bestämmer ändamålen med och medlen för behandlingen.

3. Rättslig grund för behandlingen

Enligt artikel 6 i GDPR behandlar vi personuppgifter på följande rättsliga grunder:

Där vi stöder oss på samtycke har du rätt att ta tillbaka ditt samtycke när som helst. Att du tar tillbaka det påverkar inte lagligheten av den behandling som skett dessförinnan.

4. Kategorier av personuppgifter

Vi behandlar följande kategorier av personuppgifter:

5. Den registrerades rättigheter

Enligt GDPR har du följande rättigheter när det gäller dina personuppgifter. Vi besvarar alla giltiga begäranden inom 30 dagar (fristen kan förlängas med 60 dagar för komplicerade ärenden):

5.1 Rätt till tillgång (art. 15)

Du har rätt att få bekräftat om vi behandlar dina personuppgifter och att begära en kopia av dem i ett allmänt använt elektroniskt format.

5.2 Rätt till rättelse (art. 16)

Du har rätt att begära att felaktiga personuppgifter rättas eller att ofullständiga uppgifter kompletteras. Det mesta kan du ändra själv i inställningarna på din profil.

5.3 Rätt till radering (art. 17)

Du har rätt att begära att dina personuppgifter raderas ("rätten att bli bortglömd"), med förbehåll för de rättsliga skyldigheter som gäller (till exempel bokföringsunderlag som måste sparas).

5.4 Rätt till begränsning (art. 18)

Du kan begära att behandlingen av dina uppgifter begränsas medan vi kontrollerar om de är riktiga, medan vi bedömer våra berättigade intressen, eller när behandlingen är olaglig men du inte vill att uppgifterna raderas.

5.5 Rätt till dataportabilitet (art. 20)

Du har rätt att få dina personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format (JSON eller CSV) och att överföra dem till en annan personuppgiftsansvarig.

5.6 Rätt att göra invändningar (art. 21)

Du har rätt att invända mot behandling som grundas på berättigade intressen och mot direktmarknadsföring. Vi upphör med behandlingen om vi inte kan visa tvingande berättigade skäl som väger tyngre än dina intressen.

5.7 Rättigheter vid automatiserat beslutsfattande (art. 22)

Vi använder inte automatiserat beslutsfattande eller profilering som får rättsliga följder eller på liknande sätt i betydande grad påverkar dig.

6. Våra behandlingar

Vi för ett register över behandling, så som artikel 30 i GDPR kräver. Våra viktigaste behandlingar är:

• Registrering av användare: Behandling av namn, e-post och lösenord för att skapa kontot.
• Design av produkter: Behandling av uppladdade bilder och text för att visa designen.
• Genomförande av beställningar: Behandling av adresser och betaluppgifter för tryck och frakt.
• Kundtjänst: Behandling av korrespondens och kontouppgifter för att besvara ärenden.
• Marknadsföring: Behandling av e-postadresser för att skicka nyhetsbrev (med stöd av samtycke).
• Analys: Behandling av användningsdata för att förbättra våra tjänster (med stöd av samtycke).
• Annonsering: Behandling av sidbesök och köp för att mäta annonsering och bygga målgrupper (med stöd av samtycke).

6.1 Underbiträden

Vi anlitar följande kategorier av underbiträden, alla med de personuppgiftsbiträdesavtal som krävs:

7. Överföring av uppgifter till tredjeland

Vi lagrar och behandlar i första hand personuppgifter inom Europeiska ekonomiska samarbetsområdet (EES). När uppgifter måste överföras utanför EES ser vi till att skyddet är tillräckligt genom:

• Beslut om adekvat skyddsnivå: Överföring till länder som EU har fattat ett sådant beslut om.
• Standardavtalsklausuler: Avtalsvillkor godkända av EU som säkerställer ett likvärdigt skydd.
• Kompletterande åtgärder: Ytterligare tekniska och organisatoriska åtgärder där det behövs (kryptering, pseudonymisering).

8. Åtgärder för dataskydd

I enlighet med artikel 32 i GDPR vidtar vi lämpliga tekniska och organisatoriska åtgärder för att uppnå en säkerhetsnivå som är lämplig i förhållande till risken:

8.1 Tekniska åtgärder

• TLS 1.3-kryptering hela vägen för all data under överföring
• AES-256-kryptering av personuppgifter i vila
• Bcrypt-hashning av lösenord med anpassad kostnadsfaktor
• Regelbunden automatisk säkerhetsskanning och testning
• Segmentering av nätverket och skydd med brandvägg
• Loggning och övervakning av åtkomst till databasen

8.2 Organisatoriska åtgärder

• Utbildning av personalen i dataskydd och program för medvetenhet
• Behörighetsstyrning enligt principen om minsta möjliga behörighet
• Sekretessavtal med alla anställda och konsulter
• Konsekvensbedömningar avseende dataskydd vid behandling med hög risk
• Regelbunden granskning och revision av våra behandlingar
• Rutiner för hantering av incidenter och för eskalering

9. Anmälan av personuppgiftsincidenter

I enlighet med artiklarna 33 och 34 i GDPR har vi fastställda rutiner för personuppgiftsincidenter:

• Tillsynsmyndigheter: Vi anmäler till behörig tillsynsmyndighet inom 72 timmar från att vi fått kännedom om en personuppgiftsincident som sannolikt medför en risk för fysiska personers rättigheter och friheter. För registrerade i Storbritannien är det Information Commissioner’s Office (ICO). För registrerade inom EES är det behörig myndighet i den aktuella medlemsstaten — vi är inte etablerade i EU, så anmälan görs inte genom en enda ansvarig tillsynsmyndighet.
• Berörda personer: Vi informerar berörda registrerade utan onödigt dröjsmål när en incident sannolikt medför en hög risk för deras rättigheter och friheter.
• Dokumentation: Alla personuppgiftsincidenter förs in i vårt incidentregister, oavsett hur allvarliga de är, med omständigheterna, effekterna och de åtgärder som vidtagits.

10. Dataskyddsombud

Vi har utsett ett dataskyddsombud som ser till att GDPR följs i hela vår organisation. Du kan kontakta vårt dataskyddsombud med frågor eller funderingar om dataskydd:

11. Tillsynsmyndighet och klagomål

Anser du att vår behandling av dina personuppgifter strider mot dataskyddsreglerna har du rätt att lämna in ett klagomål till en tillsynsmyndighet (artikel 77). Vilken myndighet det är beror på var du är, inte på var vi är:

11.1 Om du befinner dig inom Europeiska ekonomiska samarbetsområdet

Du kan klaga hos tillsynsmyndigheten i den medlemsstat där du bor, där du arbetar eller där den påstådda överträdelsen ägde rum. Eftersom vi är etablerade i Storbritannien och inte i unionen finns det ingen enskild myndighet som är ansvarig tillsynsmyndighet för oss — din egen nationella myndighet är behörig. Bor du i Sverige är det Integritetsskyddsmyndigheten (IMY). Europeiska dataskyddsstyrelsen publicerar aktuella kontaktuppgifter till alla nationella myndigheter:

11.2 Om du befinner dig i Storbritannien

Information Commissioner’s Office är tillsynsmyndighet i Storbritannien. Uppgifterna nedan är ICO:s egna — det är inte våra kontaktuppgifter; vill du nå oss, se avsnittet om dataskyddsombudet ovan.

Det kostar dig ingenting att använda den här rätten, och du behöver inte kontakta oss först — men vi rättar hellre till ett problem än att du ska behöva. Skriver du till privacy@printedin.com svarar vi inom 30 dagar.