Integritetspolicy

Datum: 27 mars 2026 Version: 2.0

Information om språkversion: denna tyska version är den rättsligt bindande och avgörande versionen. Eventuella engelska översättningar är endast för information; vid motsägelser gäller den tyska versionen.

Denna integritetspolicy informerar om hur Etzensperger Informatik AG (”vi”, ”oss”) behandlar personuppgifter när du (a) använder våra webbplatser och onlinetjänster, (b) skapar eller hanterar ett kundkonto (SaaS-konto), (c) som slutanvändare eller deltagare anger uppgifter via en kund på vår plattform, (d) kommunicerar med oss (support, försäljning, marknadsföring), (e) söker arbete hos oss eller är anställd av oss.

Vi beaktar särskilt den schweiziska dataskyddslagen (DSG) och, när den är tillämplig, EU:s allmänna dataskyddsförordning (GDPR).

1. Personuppgiftsansvarig (Controller) och kontakt

Ansvarig för uppgiftsbehandlingen enligt DSG och, i den mån det är tillämpligt, personuppgiftsansvarig enligt GDPR är:

Etzensperger Informatik AG Kirchweg 24 CH-3366 Bettenhausen Schweiz E-post: support@edoobox.com Telefon: +41 43 434 65 91 Handelsregister/UID: CHE-107.413.131

2. Dataskyddskontakt / dataskyddsrådgivare / dataskyddsombud (DPO)

För dataskyddsfrågor når du oss här: dataskyddskontakt: support@edoobox.com Etzensperger Informatik AG Kirchweg 24 CH-3366 Bettenhausen Schweiz

Obs! Om vi enligt tillämplig lag måste utse eller frivilligt utser ett dataskyddsombud kan personen nås via kontaktuppgifterna ovan.

3. Rollmodell i SaaS (kunduppgifter jämfört med uppgifter om vår egen affärsverksamhet)

3.1 Kunduppgifter (”Customer Content”) – vi som personuppgiftsbiträde

När våra kunder använder SaaS-plattformen kan de ange personuppgifter om slutanvändare och deltagare (t.ex. deltagar-, boknings- eller evenemangsuppgifter). När vi behandlar dessa kunduppgifter på kundens uppdrag och enligt kundens instruktioner är:

• Kund = personuppgiftsansvarig (Controller),
• vi = personuppgiftsbiträde (Processor).

I dessa fall reglerar vi biträdesbehandlingen i ett separat personuppgiftsbiträdesavtal (AVV/DPA) med kunden.

3.2 Våra egna verksamhetsuppgifter – vi som personuppgiftsansvariga

Vi behandlar även personuppgifter för egna ändamål, t.ex. kontoadministration, avtal och fakturering, säkerhet, produktförbättring, tillåten marknadsföring och regelefterlevnad. För denna behandling är vi personuppgiftsansvariga.

4. Kategorier av personuppgifter

Beroende på sammanhang behandlar vi särskilt följande kategorier:

A) Konto- och avtalsuppgifter

• Efternamn, förnamn, företag eller organisation, roll eller befattning
• Inloggnings- och identifieringsuppgifter (t.ex. användarnamn), lösenordshash
• Kontaktuppgifter (e-post, telefon, adress)
• Avtals- och abonnemangsinformation, licensomfattning

B) Fakturerings- och betalningsuppgifter

• Fakturaadress, momsuppgifter
• Betalningsstatus, transaktions- och referensuppgifter (inga fullständiga kort- eller bankuppgifter om betalningsleverantören behandlar dem direkt)

C) Användnings- och enhetsdata

• Användningsdata inom plattformen (t.ex. funktionsanvändning, klickvägar i appen)
• Enhets- och webbläsardata, operativsystem, appversion
• IP-adress, tidsstämpel, ungefärliga platsuppgifter (härledda), språk/tidszon

D) Kommunikations- och supportuppgifter

• Supportförfrågningar, innehåll i e-post och chatt, bilagor
• Samtalsanteckningar, ärenden, status- och händelsehistorik

E) Logg-, säkerhets- och metadata

• System- och åtkomstloggar (t.ex. inloggningsförsök, administratörsåtgärder)
• Revisionsloggar, fel- och kraschrapporter
• Säkerhetskopior/återställningspunkter inklusive datakopior

F) Marknadsförings- och evenemangsdata

• Anmälan/avanmälan till nyhetsbrev, samtyckesstatus
• Kampanjparametrar (t.ex. UTM), leadinformation

G) Uppgifter om sökande och anställda

• Ansökningshandlingar, kommunikationsinnehåll, HR-administration (separat information kan förekomma)

5. Ändamål med behandlingen och rättsliga grunder

Vi behandlar personuppgifter enligt principerna om ändamålsbegränsning, proportionalitet och uppgiftsminimering. Vi förstör eller anonymiserar uppgifterna när de inte längre behövs för ändamålet, med förbehåll för lagstadgade lagringskrav och berättigade arkiveringsintressen.

I den mån GDPR är tillämplig grundar vi behandlingen särskilt på följande rättsliga grunder:

• Fullgörande av avtal eller åtgärder före avtal (artikel 6.1 b i GDPR),
• Rättslig förpliktelse (artikel 6.1 c i GDPR),
• Berättigade intressen (artikel 6.1 f i GDPR),
• Samtycke (artikel 6.1 a i GDPR) – t.ex. för nyhetsbrev, marknadsföring eller icke nödvändiga cookies när det krävs,
• i undantagsfall: skydd av grundläggande intressen eller uppgift av allmänt intresse (artikel 6.1 d/e i GDPR).

Huvudändamål:

5.1 Drift av SaaS-plattformen och tillhandahållande av funktionerna

• Kontoskapande, inloggning, behörigheter, tillhandahållande av funktioner
• Support, incidenthantering, vidareutveckling, kvalitetssäkring

5.2 Avtal, fakturering, administration

• Ingående och administration av avtal, fakturering, betalning, kravhantering
• Finansiell bokföring, dokumentation, intern administration

5.3 Säkerhet och förebyggande av missbruk

• IT-säkerhet, åtkomstkontroller, loggning, upptäckt av bedrägeri och missbruk
• Genomdrivande av allmänna villkor, skydd av rättigheter, rättsliga anspråk

5.4 Kommunikation

• Servicemeddelanden (t.ex. säkerhetsinformation, systemstatus)
• Supportkommunikation
• Marknadsföringskommunikation endast när det är tillåtet eller med samtycke

5.5 Webbplatsdrift och cookies

Vi använder nödvändiga cookies och tekniker för att tillhandahålla webbplatsen och plattformen tekniskt. För icke nödvändiga cookies och tekniker (t.ex. räckviddsmätning, marknadsföring och sociala medier) använder vi samtyckeshantering i den mån tillämplig lag kräver det. Du kan när som helst återkalla eller ändra ditt samtycke via cookieinställningarna i webbplatsens sidfot.

Microsoft Advertising (Universal Event Tracking) Efter ditt samtycke till analys och marknadsföring använder vi Microsoft Advertising från Microsoft för att koppla besök och genomförda registreringar till våra annonser. Då kan bland annat besökt URL, tekniska webbläsar- och enhetsuppgifter, IP-adress samt cookie- och annonsklickidentifierare (MSCLKID) överföras till Microsoft. Vår egen lagrade Microsoft-klickidentifierare sparas i högst 90 dagar för denna koppling. När du går vidare till registrering på app2.edoobox.com skickar vi identifieraren vidare endast med samtycke till marknadsföring. Om samtycket återkallas stoppar vi UET-händelserna och tar bort tillhörande marknadsföringsidentifierare som vi har åtkomst till. Microsoft kan även behandla uppgifter för egna annonseringsändamål. Mer information finns i Microsofts integritetspolicy.

6. Mottagare, tjänsteleverantörer och underbiträden

Vi lämnar endast ut personuppgifter när det krävs för de angivna ändamålen, när vi är skyldiga till det eller när du har samtyckt.

Mottagarkategorier kan vara:

• Hosting- och molnleverantörer (drift, lagring, säkerhetskopiering, övervakning)
• Kommunikationstjänsteleverantörer (e-post, SMS, telefoni)
• Betaltjänstleverantörer (betalningshantering, faktura- och prenumerationshantering)
• Tjänsteleverantörer för analys, prestanda och säkerhet (t.ex. felspårning, APM, CDN/WAF)
• CRM- och supportsystem (ärendehantering, chatt, kunskapsbas)
• Professionella rådgivare (juridisk rådgivning, revision), banker och inkassobolag vid behov
• Myndigheter/domstolar om lagen kräver det

Underbiträden (Subprocessors): en aktuell förteckning över våra underbiträden med ändamål, säte, uppgiftskategorier och överföringsgrunder finns på https://www.edoobox.com/sv/följer-dsg-och-gdpr-2/

7. Behandling av uppgifter utomlands / gränsöverskridande överföringar

Centrala plattformsuppgifter lagras och behandlas i regel huvudsakligen i Schweiz. Beroende på tjänsteleverantör kan behandling även ske inom EU/EES eller i andra länder. Om vi eller våra tjänsteleverantörer behandlar personuppgifter utanför Schweiz respektive EES säkerställer vi ett lämpligt dataskydd, särskilt genom:

• Beslut om adekvat skyddsnivå (Schweiz: stater och organisationer med adekvat skydd; EU: beslut om adekvat skyddsnivå),
• Standardavtalsklausuler eller standarddataskyddsklausuler (SCC) och ytterligare åtgärder vid behov,
• tillämpliga Data Privacy Frameworks (t.ex. Swiss‑U.S. DPF eller EU‑U.S. DPF), när de är tillämpliga och mottagaren är certifierad enligt dem,
• eller andra lagstadgade garantier eller överföringsgrunder som är tillämpliga i undantagsfall.

8. Lagring, radering och avslut

Vi fastställer lagringstider efter behovet av att känna till och behålla uppgifterna.

8.1 Riktvärden

• Konto- och kunduppgifter: avtalstiden plus en skälig övergångsperiod för migrering och fullgörande av avtalet
• Supportärenden: så länge det behövs för support, spårbarhet och regelefterlevnad
• Säkerhets- och åtkomstloggar: enligt våra säkerhets- och efterlevnadskrav
• Säkerhetskopior: löpande enligt vår rullande säkerhetskopieringscykel (radering kan ske med fördröjning)
• Leaduppgifter för marknadsföring: tills samtycket återkallas, mottagaren avböjer eller ändamålet upphör
• Bokförings- och fakturaunderlag: enligt lagstadgade lagringsskyldigheter (i regel upp till 10 år), i den mån de är tillämpliga

8.2 Introduktion och avslut för kunder

• Under avtalstiden: behandling för att tillhandahålla tjänsten.
• Efter uppsägning eller avtalets slut: (i) återlämning eller export av kunduppgifter vid behov, (ii) spärrning av kontot, (iii) radering eller anonymisering efter lagringstidernas slut, med undantag för kopior i säkerhetskopior tills de skrivs över nästa gång.
• På begäran kan tidigare radering av kunduppgifter prövas om inga rättsliga skyldigheter eller övervägande intressen talar emot det.

9. Datasäkerhet (tekniska och organisatoriska åtgärder)

Vi vidtar lämpliga tekniska och organisatoriska åtgärder (TOM) med hänsyn till risken, särskilt:

Obs! Fullständig säkerhet kan inte garanteras.

• Kryptering under överföring (TLS) och, där det är lämpligt, vid lagring (Encryption at Rest)
• Roll- och behörighetsmodeller (minsta möjliga behörighet), åtskillnad av miljöer
• Flerfaktorsautentisering för administrativ åtkomst och känsliga interna system, i den mån det är tekniskt tillgängligt
• Loggning och granskning av säkerhetsrelevanta åtgärder
• Regelbundna korrigeringar och uppdateringar, sårbarhetshantering
• Säkerhetskopior samt planer för återställning och nödsituationer
• Utbildning av och åtaganden från medarbetare (sekretess)

10. Registrerades rättigheter

10.1 Rättigheter enligt schweiziska DSG

Beroende på omständigheter och lagstadgade begränsningar har du särskilt:

• Rätt till tillgång, inklusive information om ändamål, lagringstid eller kriterier, mottagare och automatiserat individuellt beslutsfattande,
• rätt till rättelse av felaktiga uppgifter,
• Rätt till radering eller förstöring i den mån det är tillåtet,
• Rätt att få ut eller överföra uppgifter (portabilitet) under lagstadgade förutsättningar,
• Rättigheter kopplade till automatiserat individuellt beslutsfattande (se punkt 11).

10.2 Rättigheter enligt GDPR där tillämpligt

Beroende på omständigheterna har du särskilt:

• Tillgång, rättelse, radering, begränsning av behandling,
• Dataportabilitet,
• Invändning mot behandling som grundar sig på berättigade intressen,
• Återkallande av samtycke med verkan för framtiden,
• rätt att klaga hos en tillsynsmyndighet.

10.3 Utövande av rättigheter

Skicka förfrågningar till support@edoobox.com. Vi kan begära rimliga underlag för att verifiera din identitet.

Viktig rollprincip för SaaS:

• För ”Customer Content” som våra kunder hanterar som personuppgiftsansvariga kan vi sakna rätt att ändra eller radera uppgifter direkt. Då vidarebefordrar vi registrerades förfrågningar till respektive kund när det är tillåtet, eller informerar dig om hur du kontaktar kunden direkt.

11. Automatiserat individuellt beslutsfattande och profilering

Om vi använder automatiserade individuella beslut som får rättsliga följder för dig eller påverkar dig avsevärt informerar vi dig om det. Du har rätt att framföra din ståndpunkt och begära granskning av en fysisk person i den mån tillämplig lag föreskriver det. För närvarande använder vi i regel inga automatiserade individuella beslut som får rättsliga följder för registrerade eller på liknande sätt påverkar dem avsevärt.

12. Anmälan av personuppgiftsincidenter (Data Breach)

Vi har processer för att upptäcka, utreda, åtgärda och dokumentera personuppgiftsincidenter. När lagen kräver det anmäler vi relevanta incidenter till behörig tillsynsmyndighet och informerar berörda personer.

När vi agerar personuppgiftsbiträde informerar vi våra kunder utan onödigt dröjsmål om vi upptäcker en personuppgiftsincident som berör kunduppgifter.

13. Jobbansökningar och personaluppgifter

Om du söker arbete hos oss eller är anställd behandlar vi personuppgifter för rekryteringen eller anställningen, administration, lön och socialförsäkring, regelefterlevnad och IT-säkerhet. Vid behov eller under ansökningsprocessen tillhandahåller vi även separat dataskyddsinformation för HR.

14. Minderåriga

Våra tjänster riktar sig i grunden till företag och vuxna. Personer under 16 år ska inte använda tjänsterna utan vårdnadshavares samtycke i den mån tillämplig lag kräver det.

15. Regelefterlevnad, revision och avtal

• Vi för register över behandlingar och dokumenterar säkerhetsåtgärder och relevanta incidenter i den mån lagen kräver det eller det är organisatoriskt lämpligt. Kundspecifika intyg, säkerhetsformulär, kontroller och revisioner tillhandahåller vi efter överenskommelse och mot separat ersättning, såvida de inte är lagstadgade eller föranleds av en händelse som vi orsakat.
• Vid behov ingår vi ett personuppgiftsbiträdesavtal (AVV/DPA) med kunder.
• Vi ingår motsvarande avtal med underbiträden, inklusive tekniska och organisatoriska åtgärder och vid behov överföringsinstrument (t.ex. SCC).

16. Ändringar av denna integritetspolicy

Vi kan uppdatera denna integritetspolicy, t.ex. vid lagändringar eller produktanpassningar. Aktuell version publiceras under /sv/integritetspolicy/. Väsentliga ändringar meddelas på lämpligt sätt.

17. Ansvarsfriskrivning / ansvarsbegränsning (i den mån det är tillåtet)

Denna integritetspolicy beskriver databehandlingen efter bästa förmåga. Vi garanterar inte att externa tjänster, exempelvis tredjepartswebbplatser och länkade leverantörer, alltid fungerar likadant eller att innehållet förblir oförändrat. Lagstadgade ansvarsregler förbehålls.