Privatlivspolitik

1. Dataansvarlig

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

E-mail: info@batteriepass-online.eu

Vi er ikke forpligtet til at udpege en databeskyttelsesrådgiver i henhold til artikel 37 i GDPR. Send venligst henvendelser om databeskyttelse til e-mailadressen ovenfor.

1a. Repræsentant i EU (artikel 27 i GDPR)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

E-mail: info@batteriepass-online.eu

Registrerede og tilsynsmyndigheder i EU kan henvende sig til repræsentanten i alle spørgsmål vedrørende behandlingen; repræsentanten handler på vegne af den dataansvarlige.

2. Vores rolle: dataansvarlig eller databehandler

For kundekonti, fakturering, sikkerhed og drift af webstedet er vi dataansvarlig. Denne politik beskriver den behandling.

Indholdet af batteripas, uploadede dokumenter, leverandørkontakter og anmodninger om adgang indtastes i softwaren af vores kunder (de erhvervsdrivende). For disse data er den respektive kunde dataansvarlig, og vi er kundens databehandler i henhold til artikel 28 i GDPR på grundlag af vores databehandleraftale (/avv). Registrerede bør for disse data henvende sig til den erhvervsdrivende, der er angivet i passet; vi videresender henvendelser.

3. Besøg på webstedet

Når du åbner vores sider, behandler vores server din IP-adresse, den anmodede adresse og browserens identifikation (user agent) for at levere siden og afværge angreb (artikel 6, stk. 1, litra f), i GDPR). Vores forudgående webserver logger IP-adresse, tidspunkt, anmodet adresse, statuskode og user agent for at opdage angreb og misbrug; denne serverlog slettes automatisk efter syv dage. Derudover behandles IP-adressen kun i tællerne for hastighedsbegrænsning (punkt 5) og – afkortet og hashet – i adgangsloggen for beskyttet pasindhold (punkt 7).

Vi bruger ingen analysetrackere, ingen plugins til sociale medier og ingen eksterne skrifttyper. Vi bruger kun Google Ads til at måle effekten af vores annoncer med dit samtykke (punkt 4).

4. Cookies

Teknisk nødvendige cookies og lagringsposter, som ikke kræver samtykke (§ 25, stk. 2, nr. 2, i TDDDG):

• bpo_session: login til kundeområdet; levetid 30 dage, slettes ved logout.
• bpo_access: husker en adgangstilladelse til ikke-offentligt pasindhold (legitim interesse eller myndighed); levetid i henhold til tilladelsen.
• bpo_consent (browserens lokale lager): gemmer dit cookievalg; levetid 12 måneder.
• Google Ads (kun med samtykke): Hvis du giver samtykke i cookiebanneret, indlejrer vi Google Ads-konverteringssporing (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Google sætter i den forbindelse cookies (f.eks. _gcl_au, levetid op til 90 dage) og modtager din IP-adresse, besøgte sider, tidspunkt og browserdata for at måle, om et klik på vores annonce har ført til en tilmelding eller et køb. Retsgrundlaget er dit samtykke (artikel 6, stk. 1, litra a), i GDPR, § 25, stk. 1, i TDDDG). Overførsler til Google LLC i USA er omfattet af EU-US Data Privacy Framework. Uden samtykke indlæses ingen Google-kode. Du kan til enhver tid tilbagekalde dit samtykke med virkning for fremtiden via »Cookieindstillinger« i sidefoden. Googles privatlivspolitik: https://policies.google.com/privacy

5. Kundekonto og organisation

Ved registrering behandler vi navn, e-mailadresse, virksomhed og en adgangskode, som vi kun gemmer som hash (scrypt). For organisationen gemmer vi juridisk navn, adresse, land, momsregistreringsnummer, EORI-nummer og yderligere virksomhedsidentifikatorer (f.eks. handelsregister- eller LEI-nummer), som kunden angiver til pas og EU-registreringen, samt plan og kvoter. Vi logger desuden tidspunktet for det seneste login og sprogindstillingen.

Formålet er at stille kundeområdet til rådighed, at henføre pas til den erhvervsdrivende og at fakturere. Retsgrundlaget er opfyldelse af aftalen (artikel 6, stk. 1, litra b), i GDPR).

E-mailbekræftelser, login- og nulstillingslinks til adgangskoder sendes via e-mailtjenesten hos STRATO GmbH (Tyskland). Vi logger sendte e-mails med modtager, emne, indhold og leveringsstatus for at kunne spore leveringsproblemer; loggen slettes efter tolv måneder.

For at beskytte mod misbrug begrænser vi loginforsøg, registreringer og nulstillinger af adgangskoder pr. IP-adresse og konto. Til dette gemmer vi tællere med IP-adressen i højst 24 timer (artikel 6, stk. 1, litra f), i GDPR). Vi logger loginforsøg (vellykkede og mislykkede) med tidspunkt, e-mailadresse, resultat, fuld IP-adresse og user agent i 90 dage for at opdage angreb på konti og skelne dem fra, at en kunde taster sin egen adgangskode forkert. Denne log ses kun af operatøren i det interne operatør-dashboard, hvor den som standard er skjult bag en visningsknap.

6. Betaling og fakturering

Betalingspligtige planer afvikles via Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland. Stripe modtager navn, e-mailadresse, virksomhedsadresse, momsnummer og betalingsoplysningerne; kort- og kontodata indsamles udelukkende af Stripe og når aldrig vores servere. Vi gemmer Stripe-kunde-id’et, abonnementsstatus og fakturadata.

Stripe er selvstændig dataansvarlig for betalingsbehandlingen; Stripes privatlivspolitik finder anvendelse (https://stripe.com/privacy). Overførsler til Stripe Inc. i USA er omfattet af EU-US Data Privacy Framework og standardkontraktbestemmelser.

Retsgrundlagene er opfyldelse af aftalen (artikel 6, stk. 1, litra b), i GDPR) og vores lovbestemte opbevaringspligter (artikel 6, stk. 1, litra c), i GDPR). Vi opbevarer fakturadata i ti år.

7. Offentlige batteripas

Offentliggjorte batteripas kan tilgås verden over via deres adresse (QR-kode). Hvilke data der er offentlige, kun synlige for personer med legitim interesse eller kun for myndigheder, er fastsat i bilag XIII til forordning (EU) 2023/1542; softwaren gennemfører disse niveauer teknisk. Til de offentlige data hører den erhvervsdrivendes navn og kontaktoplysninger; hvis der er tale om en fysisk person, er den erhvervsdrivende ansvarlig herfor.

Vi logger adgang til ikke-offentligt pasindhold for kunden med tidspunkt, adgangsniveau, afkortet hashet IP-adresse og user agent. Denne adgangslog slettes efter 90 dage.

Den, der som myndighed eller som person med legitim interesse anmoder om adgang til beskyttet indhold, angiver e-mailadresse, organisation, rolle, formål og eventuelt dokumentation. Kunden, der træffer afgørelse om tilladelsen, ser disse oplysninger; vi behandler dem på kundens vegne.

8. Leverandørformularer, API og webhooks

Kunder kan anmode leverandører om produktdata via et e-maillink. Til dette gemmer vi på kundens vegne den leverandør-e-mailadresse, som kunden har indtastet, behandlingsstatus og de indsendte værdier.

Til API’en gemmer vi API-nøgler kun som hash sammen med tidspunktet for seneste brug. Webhook-adresser og -hemmeligheder angives af kunden; hemmeligheder gemmes krypteret. Vi logger leveringsforsøg med tidspunkt, statuskode og et uddrag af svaret i 30 dage.

9. Hosting og modtagere

Vi bruger følgende tjenesteudbydere, som behandler data på vores vegne (artikel 28 i GDPR):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Tyskland: servere til applikation, database og dokumentlager i datacentrene i Falkenstein og Nürnberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Tyskland: afsendelse af systemmails.
• Stripe Payments Europe Ltd., Dublin, Irland: betalingsbehandling (som selvstændig dataansvarlig, se punkt 6).

10. Overførsler til tredjelande

Vi er etableret i Schweiz. Europa-Kommissionen har anerkendt, at Schweiz har et tilstrækkeligt databeskyttelsesniveau (afgørelse om tilstrækkeligheden af beskyttelsesniveauet 2000/518/EF, bekræftet i 2024), og adgang fra Schweiz til de data, der er lagret i Tyskland, er derfor tilladt. Bortset fra betalingsbehandlingen via Stripe (punkt 6) sker der ingen overførsler til andre tredjelande.

11. Opbevaringsperioder

• Data om kundekonto og organisation: indtil kontoen slettes, derefter en spærringsperiode på 30 dage; fakturadata ti år.
• Login-sessioner: 30 dage; login- og nulstillingslinks: op til 24 timer.
• Webserverlog: syv dage. Tællere for hastighedsbegrænsning: 24 timer. Loginlog: 90 dage. Adgangslogge for beskyttet pasindhold: 90 dage. E-maillog: tolv måneder. Log over webhook-leveringer: 30 dage.
• Batteripas og dokumenter: i den lovbestemte opbevaringsperiode i henhold til artikel 77, stk. 8, i forordning (EU) 2023/1542. Efter aftalens ophør forbliver pas i skrivebeskyttet tilstand i mindst 15 år og derudover, indtil genanvendelse er meddelt; sletning i henhold til vores forretningsbetingelser (punkt 8).
• Ændringslog (auditlog) for kundeområdet: i aftalens løbetid for at kunne dokumentere passenes verifikationskæde.

12. Sikkerhed

Alle forbindelser er krypteret med TLS. Adgangskoder gemmes som scrypt-hashes, hemmeligheder krypteret. Adgang er rollebaseret, loginforsøg er begrænset, og ændringer af pas registreres i en hashkæde. Databasen kan kun nås fra det private netværk. Der tages daglige sikkerhedskopier, som opbevares i 30 dage.

13. Dine rettigheder

Du har ret til indsigt (artikel 15 i GDPR), berigtigelse (artikel 16), sletning (artikel 17), begrænsning af behandling (artikel 18), dataportabilitet (artikel 20) og indsigelse mod behandling baseret på legitime interesser (artikel 21). Kontakt venligst info@batteriepass-online.eu. Vi svarer inden for en måned.

Du kan indgive en klage til en tilsynsmyndighed for databeskyttelse, i Schweiz til Den Føderale Databeskyttelses- og Informationskommissær (EDÖB), i EU til myndigheden på dit bopæls- eller arbejdssted.

Vi træffer ingen automatiske individuelle afgørelser og bruger ikke dine data til reklame uden dit forudgående samtykke.

14. Ændringer

Vi opdaterer denne politik, når vores behandling eller retstilstanden ændrer sig. Den aktuelle version er altid tilgængelig under /datenschutz; vi informerer kunder om væsentlige ændringer pr. e-mail.