Integritetspolicy

1.Personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen av personuppgifter enligt denna policy är Yemaya Labs (Care of Agency AB), organisationsnummer 559335-1603, med postadress Brännkyrkagatan 56, 118 22 Stockholm. För frågor om integritet och dataskydd kan den registrerade kontakta bolaget via e-post på muntaga@coagency.se. Kontaktperson för dataskyddsfrågor är Muntaga Sowe via samma e-postadress. Den personuppgiftsansvarige ansvarar för att behandlingen sker lagligt, korrekt, transparent och med lämpliga säkerhetsåtgärder.

2.När policyn gäller

Policyn gäller för personer som registrerar sig som panelmedlemmar, använder panelportalen, deltar i undersökningar, kontaktar bolaget i supportärenden, löser in poäng till presentkort eller besöker webbplatsen där cookies eller annan spårning kan förekomma. Policyn gäller inte för tredjepartstjänster som länkas från plattformen eller för tredje parters egna webbplatser, produkter eller appar, som har egna integritetsvillkor och eget ansvar för sin personuppgiftsbehandling.

3.Vilka personuppgifter som samlas in

Vilka uppgifter som behandlas beror på hur personen använder plattformen, men kan omfatta kontaktuppgifter såsom namn och e-postadress. Plattformen kan även behandla profil- och bakgrundsuppgifter som ålder eller födelseår, kön, kommun eller region, postnummer, födelseland, ursprung eller härkomst, språk, utbildningsnivå, sysselsättning, yrkesgrupp, hushållsstorlek, barn i hushållet, boendeform och inkomstintervall.

Därutöver kan plattformen behandla panelrelaterade uppgifter såsom panel-ID, registreringsdatum, kontostatus, poängsaldo, nivåstatus, historik över genomförda undersökningar, inbjudningar, poängtransaktioner och uttagsbegäranden. Enkätsvar behandlas i separata system och används för analys, rapportering och insiktsarbete, normalt i aggregerad, pseudonymiserad eller anonymiserad form. Tekniska uppgifter som IP-adress, webbläsare, enhetstyp, loggar och tidsstämplar kan också behandlas för att tillhandahålla tjänsten, säkra plattformen och felsöka incidenter.

4.Hur personuppgifter samlas in

Personuppgifter samlas i första hand in direkt från den registrerade när denne registrerar sig som panelmedlem, fyller i profilfrågor, loggar in i panelportalen, deltar i undersökningar, uppdaterar sina uppgifter, kontaktar supporten eller begär uttag av poäng. Uppgifter kan också genereras när plattformen används, till exempel genom att poängtransaktioner, inloggningshändelser, uttagshistorik och användning av vissa funktioner loggas i systemet.

Om bolaget i framtiden använder kompletterande källor, till exempel offentliga register eller partners för validering, kommer policyn uppdateras med tydlig information om vilka uppgifter som hämtas, från vilka källor och med vilken laglig grund.

5.Ändamål med behandlingen

Yemaya Labs (Care of Agency AB) behandlar personuppgifter för att kunna driva panelplattformen och administrera medlemskap i panelen. Detta inkluderar att skapa och hantera användarkonton, bjuda in panelmedlemmar till relevanta undersökningar, segmentera urval, administrera poängsystem, hantera presentkortsutbetalningar och ge support i anslutning till tjänsten.

Personuppgifter behandlas också för att genomföra undersökningar, analysera resultat och leverera insikter till kunder i anonymiserad, aggregerad eller pseudonymiserad form. Bolaget kan vidare behandla uppgifter för statistik, kvalitetsuppföljning, bedrägeribekämpning, förbättring av plattformens funktioner, säkerhet och användarupplevelse samt för att uppfylla rättsliga skyldigheter, till exempel bokföringskrav eller hantering av rättsliga anspråk.

Om bolaget i framtiden inför nyhetsbrev eller marknadskommunikation kommer policyn uppdateras och separat samtycke inhämtas innan sådan behandling påbörjas.

6.Laglig grund för behandlingen

Yemaya Labs (Care of Agency AB) behandlar personuppgifter med stöd av flera olika lagliga grunder enligt GDPR, beroende på vilken behandling det gäller. För att administrera medlemskapet i panelen, möjliggöra inloggning, bjuda in till undersökningar, registrera poäng och hantera presentkortsutbetalningar är den huvudsakliga lagliga grunden att behandlingen är nödvändig för att fullgöra avtalet med panelmedlemmen eller för att vidta åtgärder på den registrerades begäran innan ett avtal ingås.

För att genomföra undersökningar, skapa analyser, segmentera målgrupper och leverera rapporter i anonymiserad eller aggregerad form kan behandlingen i många fall stödjas på berättigat intresse, eftersom verksamheten bygger på att samla in och analysera svar på ett etiskt och säkert sätt. När undersökningen eller profilfrågorna rör särskilt känsliga eller mer integritetskänsliga uppgifter används samtycke som laglig grund, särskilt när detta krävs för att uppfylla artikel 9 i GDPR.

För bokföring, incidenthantering, hantering av rättsliga krav och andra författningsstyrda skyldigheter används rättslig förpliktelse som laglig grund.

7.Särskilda kategorier av personuppgifter (artikel 9 GDPR)

Vissa undersökningar eller profilfrågor kan röra uppgifter som enligt GDPR utgör särskilda kategorier av personuppgifter, till exempel uppgifter om etniskt ursprung, religion, hälsa, sexuell läggning, politiska åsikter eller liknande känsliga förhållanden. Sådana uppgifter behandlas endast när det finns en tydlig och laglig grund för behandlingen, normalt uttryckligt samtycke från den registrerade, och när behandlingen är nödvändig för ett legitimt undersöknings- eller analysändamål.

När sådana uppgifter behandlas ska frågorna vara proportionerliga, relevanta och tydligt kommunicerade. Resultat från undersökningar som innehåller känsliga uppgifter används som huvudregel endast i aggregerad, anonymiserad eller starkt pseudonymiserad form. Namn, e-postadress eller andra direkta identifierare lämnas inte vidare till kunder tillsammans med sådana uppgifter utan ett separat och uttryckligt samtycke från den registrerade.

Den registrerade kan när som helst återkalla sitt samtycke för behandling av särskilda kategorier av personuppgifter via inställningarna i panelportalen. När samtycket återkallas anonymiseras tidigare svar inom dessa kategorier i systemet, och kan på den registrerades begäran raderas helt.

8.Hur enkätdata hanteras

Enkätsvar behandlas i kontrollerade system med begränsad åtkomst. Resultat rapporteras normalt på gruppnivå, till exempel efter ålder, region eller annan segmentering, och inte på individnivå. Bolaget lämnar som huvudregel inte vidare namn, e-postadress eller andra direkta kontaktuppgifter till kunder i samband med insikts- eller kampanjuppdrag, om inte den registrerade uttryckligen har samtyckt till detta i ett separat steg.

Poänghistorik, uppgifter om genomförda undersökningar och ersättningshistorik sparas separat från enkätsvaren i den utsträckning det behövs för att administrera panelen, hantera supportärenden och förebygga fusk eller missbruk.

9.Mottagare och kategorier av mottagare

Yemaya Labs (Care of Agency AB) delar personuppgifter endast med mottagare som behöver uppgifterna för att bolaget ska kunna driva panelplattformen och fullgöra sina åtaganden. Följande leverantörer behandlar personuppgifter som personuppgiftsbiträden eller mottagare:

• Supabase (autentisering, databas, fillagring) — region eu-west-1 (Irland), inom EU
• Vercel (hosting av webbapplikationen) — global edge, primärt EU
• GoGift (distribution av digitala presentkort) — egen personuppgiftsansvarig för leveransdelen, behandlar e-postadress och belopp i samband med uttag

När resultaten levereras till kunder erhåller dessa endast anonymiserade, aggregerade eller pseudonymiserade undersökningsresultat, aldrig direkta personidentifierare som namn eller e-postadress, om inte separat samtycke har inhämtats från den registrerade.

10.Tredjelandsöverföringar

Yemaya Labs (Care of Agency AB) eftersträvar att lagra och behandla personuppgifter inom EU eller EES. Vercel är ett USA-baserat bolag, men primär bearbetning och hosting för panelplattformen sker via dess infrastruktur i EU.

Om personuppgifter ändå överförs till ett land utanför EU eller EES tillämpas EU-kommissionens standardavtalsklausuler (SCC) som överföringsmekanism enligt GDPR artikel 46, alternativt annan giltig överföringsmekanism såsom ett adekvansbeslut från EU-kommissionen.

11.Lagringstid

Personuppgifter sparas så länge det är nödvändigt för de ändamål som anges i denna policy. Profil- och paneluppgifter kan normalt sparas så länge personen är aktiv medlem i panelen och under en begränsad tid därefter, till exempel 24 till 36 månader efter senaste aktivitet, om inte den registrerade begär radering tidigare eller annan laglig grund kräver fortsatt lagring.

Poänghistorik, ersättningsdata och viss transaktionsinformation kan behöva sparas längre om det krävs för bokföring, revision, bedrägeribekämpning eller för att hantera rättsliga anspråk. Enkätdata kan sparas så länge det behövs för forsknings- och analysändamål, men då i en form där den registrerade inte längre direkt kan identifieras.

Samtyckeshistorik (när samtycke gavs eller återkallades) sparas så länge medlemskapet är aktivt och i upp till 36 månader därefter, eftersom det utgör juridiskt underlag för behandlingen.

När uppgifter inte längre behövs raderas de eller anonymiseras på ett säkert sätt.

12.Den registrerades rättigheter

Den registrerade har enligt GDPR rätt att få information om hur personuppgifter behandlas och rätt att begära tillgång till de personuppgifter som behandlas. Den registrerade har även rätt att begära rättelse av felaktiga eller ofullständiga uppgifter, rätt att begära radering i vissa situationer, rätt att begära begränsning av behandlingen och rätt att invända mot viss behandling, särskilt behandling som grundas på berättigat intresse eller direktmarknadsföring.

Den registrerade kan också ha rätt till dataportabilitet för uppgifter som behandlas automatiserat med stöd av samtycke eller avtal. När behandlingen grundar sig på samtycke har den registrerade rätt att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandling som redan skett innan samtycket återkallades. För att utöva sina rättigheter behöver den registrerade kontakta Yemaya Labs (Care of Agency AB) via de kontaktuppgifter som anges i policyn. Bolaget kan behöva verifiera identiteten innan en begäran behandlas.

13.Klagomål till tillsynsmyndighet

Den registrerade har rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY) om personen anser att behandlingen av personuppgifter strider mot GDPR. Mer information finns på IMY:s webbplats www.imy.se.

14.Säkerhet

Yemaya Labs (Care of Agency AB) arbetar löpande med tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter mot obehörig åtkomst, förlust, ändring eller missbruk. Bland de åtgärder som vidtagits ingår:

• Krypterade anslutningar (HTTPS/TLS) för all kommunikation mellan användare och plattform
• Kryptering av data i vila i Supabase-databasen
• Säkerhetsheaders (Content Security Policy, X-Frame-Options m.fl.) för skydd mot vanliga webbattacker
• Lösenordsfri inloggning via engångskod (One-Time Password) för att eliminera lösenordsrelaterade risker
• Tvåfaktorsautentisering (2FA) för administrativa konton
• Row Level Security (RLS) i databasen så att användare endast kan se sina egna uppgifter
• Loggning av säkerhetsrelevanta händelser
• Begränsad åtkomst till känsliga uppgifter enligt principen om minsta privilegium

Vid en personuppgiftsincident följer bolaget interna rutiner och underrättar berörda registrerade och tillsynsmyndigheten (IMY) inom de tidsfrister som anges i GDPR (72 timmar för anmälan till tillsynsmyndighet).

15.Cookies och spårning

Om webbplatsen eller panelportalen använder cookies eller liknande tekniker ska användaren få tydlig information om detta. Nödvändiga cookies kan användas för att webbplatsen och panelportalen ska fungera korrekt, till exempel för inloggning, säkerhet, sessionshantering och grundläggande funktionalitet.

Om analyscookies, statistikverktyg eller annan icke-nödvändig spårning används framöver kommer detta beskrivas separat tillsammans med syfte, leverantör, laglig grund och hur samtycke kan lämnas eller återkallas.

16.Poäng, nivåer och presentkort

Som medlem i panelen kan användaren samla poäng genom att delta i undersökningar eller andra aktiviteter som bolaget erbjuder. Poängen registreras i panel- och poängsystemet och kopplas till användarens panelkonto. Poänghistorik lagras separat från enkätsvaren, och enkätsvaren används inte tillsammans med namn eller kontaktuppgifter i kundleveranser.

Poäng kan lösas in mot digitala presentkort enligt de nivåer som anges i panelportalen. När användaren begär uttag registreras en uttagsbegäran i systemet och nödvändig information delas med GoGift för att kunna leverera presentkortet. Poäng kan inte överlåtas till annan person, kan normalt inte bytas mot kontanter och kan förfalla om medlemskapet avslutas eller om kontot stängs vid misstanke om fusk, dubbla konton eller annat missbruk. Eventuella ändringar i poängnivåer eller presentkortsvärden kommuniceras i panelportalen innan de börjar gälla.

17.Ändringar av policyn

Yemaya Labs (Care of Agency AB) kan komma att uppdatera denna integritetspolicy när verksamheten, lagstiftningen eller de tekniska lösningarna förändras. Den senaste versionen ska alltid finnas tillgänglig på webbplatsen eller i panelportalen. Vid väsentliga förändringar informeras användarna på ett tydligt sätt, till exempel via e-post, i panelportalen eller genom annan framträdande kommunikation innan ändringarna börjar gälla.