Integritetspolicy

1. Personuppgiftsansvarig

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

E-post: info@batteriepass-online.eu

Vi är inte skyldiga att utse ett dataskyddsombud enligt artikel 37 GDPR. Skicka frågor om dataskydd till e-postadressen ovan.

1a. Företrädare i EU (artikel 27 GDPR)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

E-post: info@batteriepass-online.eu

Registrerade och tillsynsmyndigheter i EU kan vända sig till företrädaren i alla frågor som rör behandlingen; företrädaren agerar för den personuppgiftsansvariges räkning.

2. Vår roll: personuppgiftsansvarig eller personuppgiftsbiträde

För kundkonton, fakturering, säkerhet och driften av webbplatsen är vi personuppgiftsansvariga. Denna policy beskriver den behandlingen.

Innehållet i batteripass, uppladdade dokument, leverantörskontakter och åtkomstbegäranden matas in i programvaran av våra kunder (de ekonomiska aktörerna). För dessa uppgifter är respektive kund personuppgiftsansvarig och vi är dess personuppgiftsbiträde enligt artikel 28 GDPR, på grundval av vårt personuppgiftsbiträdesavtal (/avv). Registrerade bör för dessa uppgifter vända sig till den ekonomiska aktör som anges i passet; vi vidarebefordrar förfrågningar.

3. Besök på webbplatsen

När du öppnar våra sidor behandlar vår server din IP-adress, den begärda adressen och webbläsarens identifierare (user agent) för att leverera sidan och avvärja angrepp (artikel 6.1 f GDPR). Vår framförliggande webbserver loggar IP-adress, tidpunkt, begärd adress, statuskod och user agent för att upptäcka angrepp och missbruk; denna serverlogg raderas automatiskt efter sju dagar. Utöver detta behandlas IP-adressen endast i räknarna för hastighetsbegränsning (avsnitt 5) och, förkortad och hashad, i åtkomstloggen för skyddat passinnehåll (avsnitt 7).

Vi använder inga analysspårare, inga plugin-program för sociala medier och inga externa typsnitt. Google Ads använder vi för att mäta våra annonsers resultat endast med ditt samtycke (avsnitt 4).

4. Cookies

Tekniskt nödvändiga cookies och lagringsposter, för vilka inget samtycke krävs (25 § andra stycket nr 2 TDDDG):

• bpo_session: inloggning i kundområdet; livslängd 30 dagar, raderas vid utloggning.
• bpo_access: kommer ihåg ett åtkomstbeviljande för icke-offentligt passinnehåll (berättigat intresse eller myndighet); livslängd enligt beviljandet.
• bpo_consent (webbläsarens lokala lagring): sparar ditt cookieval; livslängd 12 månader.
• Google Ads (endast med samtycke): om du samtycker i cookiebannern bäddar vi in konverteringsspårning från Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Google sätter då cookies (till exempel _gcl_au, livslängd upp till 90 dagar) och tar emot din IP-adress, besökta sidor, tidpunkt och webbläsaruppgifter för att mäta om ett klick på vår annons ledde till en registrering eller ett köp. Den rättsliga grunden är ditt samtycke (artikel 6.1 a GDPR, 25 § första stycket TDDDG). Överföringar till Google LLC i USA omfattas av ramverket för dataskydd mellan EU och USA. Utan samtycke laddas ingen kod från Google. Du kan när som helst återkalla ditt samtycke med verkan för framtiden via ”Cookieinställningar” i sidfoten. Googles integritetspolicy: https://policies.google.com/privacy

5. Kundkonto och organisation

Vid registreringen behandlar vi namn, e-postadress, företag och ett lösenord, som vi endast lagrar som hash (scrypt). För organisationen lagrar vi juridiskt namn, adress, land, momsregistreringsnummer, EORI-nummer och ytterligare företagsidentifierare (till exempel organisationsnummer i handelsregistret eller LEI-nummer) som kunden anger för pass och EU-registreringen, samt abonnemang och kvoter. Dessutom loggar vi tidpunkten för den senaste inloggningen och språkinställningen.

Ändamålet är att tillhandahålla kundområdet, koppla pass till den ekonomiska aktören och fakturera. Den rättsliga grunden är fullgörande av avtal (artikel 6.1 b GDPR).

Bekräftelser per e-post samt länkar för inloggning och återställning av lösenord skickas via e-posttjänsten hos STRATO GmbH (Tyskland). Vi loggar skickade e-postmeddelanden med mottagare, ämne, innehåll och leveransstatus för att kunna spåra leveransproblem; loggen raderas efter tolv månader.

För att skydda mot missbruk begränsar vi inloggningsförsök, registreringar och lösenordsåterställningar per IP-adress och konto. För detta lagrar vi räknare med IP-adressen i högst 24 timmar (artikel 6.1 f GDPR). Vi loggar inloggningsförsök (lyckade och misslyckade) med tidpunkt, e-postadress, resultat, fullständig IP-adress och user agent i 90 dagar för att upptäcka angrepp mot konton och skilja dem från att en kund skriver fel på sitt eget lösenord. Denna logg ses endast av operatören i den interna operatörspanelen, där den som standard är dold bakom en visningskontroll.

6. Betalning och fakturering

Avgiftsbelagda abonnemang hanteras via Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland. Stripe tar emot namn, e-postadress, företagsadress, momsregistreringsnummer och betalningsuppgifterna; kort- och kontouppgifter samlas in uteslutande av Stripe och når aldrig våra servrar. Vi lagrar Stripes kund-ID, prenumerationsstatus och fakturauppgifter.

Stripe är självständigt personuppgiftsansvarig för betalningshanteringen; Stripes integritetspolicy gäller (https://stripe.com/privacy). Överföringar till Stripe Inc. i USA omfattas av ramverket för dataskydd mellan EU och USA och av standardavtalsklausuler.

De rättsliga grunderna är fullgörande av avtal (artikel 6.1 b GDPR) och våra lagstadgade lagringsskyldigheter (artikel 6.1 c GDPR). Vi sparar fakturauppgifter i tio år.

7. Offentliga batteripass

Publicerade batteripass kan nås över hela världen via sin adress (QR-kod). Vilka uppgifter som är offentliga, endast synliga för personer med berättigat intresse eller endast för myndigheter föreskrivs i bilaga XIII till förordning (EU) 2023/1542; programvaran genomför dessa nivåer tekniskt. De offentliga uppgifterna omfattar den ekonomiska aktörens namn och kontaktuppgifter; om det rör sig om en fysisk person ansvarar den ekonomiska aktören för detta.

Vi loggar åtkomst till icke-offentligt passinnehåll för kundens räkning med tidpunkt, åtkomstnivå, förkortad hashad IP-adress och user agent. Denna åtkomstlogg raderas efter 90 dagar.

Den som begär åtkomst till skyddat innehåll som myndighet eller som person med berättigat intresse anger e-postadress, organisation, roll, ändamål och i förekommande fall styrkande handlingar. Dessa uppgifter ses av kunden, som beslutar om beviljandet; vi behandlar dem för kundens räkning.

8. Leverantörsformulär, API och webhooks

Kunder kan via en länk i ett e-postmeddelande begära produktuppgifter från leverantörer. För detta lagrar vi för kundens räkning den leverantörs-e-postadress som kunden har angett, behandlingsstatus och de inskickade värdena.

För API:et lagrar vi API-nycklar endast som hash tillsammans med tidpunkten för senaste användning. Webhook-adresser och hemligheter anges av kunden; hemligheterna lagras krypterade. Vi loggar leveransförsök med tidpunkt, statuskod och ett utdrag ur svaret i 30 dagar.

9. Hosting och mottagare

Vi använder följande tjänsteleverantörer, som behandlar uppgifter för vår räkning (artikel 28 GDPR):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Tyskland: servrar för applikationen, databasen och dokumentlagringen i datacentren i Falkenstein och Nürnberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Tyskland: utskick av systemmeddelanden per e-post.
• Stripe Payments Europe Ltd., Dublin, Irland: betalningshantering (som självständigt personuppgiftsansvarig, se avsnitt 6).

10. Överföringar till tredjeländer

Vi är etablerade i Schweiz. Europeiska kommissionen har fastställt att Schweiz säkerställer en adekvat skyddsnivå för personuppgifter (beslut om adekvat skyddsnivå 2000/518/EG, bekräftat 2024), varför åtkomst från Schweiz till de uppgifter som lagras i Tyskland är tillåten. Utöver betalningshanteringen via Stripe (avsnitt 6) sker inga överföringar till andra tredjeländer.

11. Lagringstider

• Uppgifter om kundkonto och organisation: tills kontot raderas, därefter en spärrperiod på 30 dagar; fakturauppgifter i tio år.
• Inloggningssessioner: 30 dagar; inloggnings- och återställningslänkar: upp till 24 timmar.
• Webbserverlogg: sju dagar. Räknare för hastighetsbegränsning: 24 timmar. Inloggningslogg: 90 dagar. Åtkomstloggar för skyddat passinnehåll: 90 dagar. E-postlogg: tolv månader. Leveranslogg för webhooks: 30 dagar.
• Batteripass och dokument: under den lagstadgade lagringstiden enligt artikel 77.8 i förordning (EU) 2023/1542. Efter avtalets upphörande förblir passen i läsläge i minst 15 år och därutöver tills återvinning har anmälts; radering enligt våra allmänna villkor (avsnitt 8).
• Ändringslogg (granskningslogg) för kundområdet: under avtalstiden, för att kunna styrka passens verifieringskedja.

12. Säkerhet

Alla anslutningar är krypterade med TLS. Lösenord lagras som scrypt-hashar, hemligheter krypterade. Åtkomst är rollbaserad, inloggningsförsök är begränsade och ändringar av pass registreras i en hashkedja. Databasen kan endast nås från det privata nätverket. Säkerhetskopior skapas dagligen och sparas i 30 dagar.

13. Dina rättigheter

Du har rätt till tillgång (artikel 15 GDPR), rättelse (artikel 16), radering (artikel 17), begränsning av behandling (artikel 18), dataportabilitet (artikel 20) och att invända mot behandling som grundar sig på berättigade intressen (artikel 21). Kontakta info@batteriepass-online.eu. Vi svarar inom en månad.

Du kan lämna in ett klagomål till en tillsynsmyndighet för dataskydd, i Schweiz till Federala data- och informationsskyddsombudsmannen (FDPIC), i EU till myndigheten på din bostads- eller arbetsort.

Vi fattar inga automatiserade individuella beslut och använder inte dina uppgifter för reklam utan ditt föregående samtycke.

14. Ändringar

Vi uppdaterar denna policy när vår behandling eller rättsläget ändras. Den aktuella versionen finns alltid på /datenschutz; vi informerar kunder om väsentliga ändringar per e-post.