Integritetspolicy

1. Vem ansvarar för dina personuppgifter?

CaterFlow ("vi") tillhandahåller en beställningsplattform där cateringleverantörer tar emot beställningar från sina företagskunder. Kontakta oss på support@caterflow.se i alla frågor som rör personuppgifter.

Rollerna beror på sammanhanget: för uppgifter om leverantörernas konton och kontaktpersoner är CaterFlow personuppgiftsansvarig. För de uppgifter som en leverantör hanterar om sina egna kunder i plattformen (kontaktpersoner, beställningar, offerter) är leverantören personuppgiftsansvarig och CaterFlow personuppgiftsbiträde som behandlar uppgifterna på leverantörens uppdrag.

2. Vilka uppgifter behandlar vi?

• Kontouppgifter – e-postadress och lösenord (lagras alltid kryptografiskt hashat).
• Företags- och kontaktuppgifter – företagsnamn, organisationsnummer, kontaktperson, telefon, e-post, leverans- och fakturaadress.
• Beställnings- och offertuppgifter – beställda produkter, leveransuppgifter, kontaktperson och telefonnummer för leveransen samt eventuella fritextmeddelanden.
• Ansökningar om företagskonto – de uppgifter du fyller i när du ansöker om att bli kund hos en leverantör.
• Teknisk information – IP-adress används kortvarigt (minuter) för att skydda inloggning och formulär mot missbruk, samt felinformation vid tekniska fel.

3. Varför och med vilken rättslig grund?

• Fullgöra avtal – hantera konton, beställningar, offerter och leveranser.
• Berättigat intresse – drift, säkerhet, felsökning och skydd mot missbruk av tjänsten.
• Samtycke – e-postutskick med erbjudanden skickas endast om du aktivt tackat ja, och du kan när som helst ändra ditt val under Inställningar.
• Rättslig förpliktelse – bokföringslagen kräver att affärshändelser (t.ex. fakturerade beställningar) bevaras i sju år.

4. Vilka tar del av uppgifterna?

Vi säljer aldrig personuppgifter. Uppgifter delas endast med de underleverantörer som krävs för att driva tjänsten:

• Vercel – drift och hosting av applikationen
• MongoDB Atlas – databas
• Amazon Web Services S3 (Stockholm, eu-north-1) – bildlagring
• Sentry (EU-region) – felrapportering vid tekniska fel
• E-postleverantör – utskick av ordersbekräftelser och andra transaktionsmail
• Stripe Payments Europe Ltd (Irland) – betalningshantering för leverantörernas abonnemang på CaterFlow. Berör endast faktureringsuppgifter för våra leverantörskunder, aldrig slutkunders beställningsdata. Kortuppgifter hanteras helt av Stripe och når aldrig våra system.

Din leverantör (den cateringfirma du beställer av) tar del av de uppgifter som behövs för att hantera dina beställningar.

Uppgifterna lagras primärt inom EU/EES. När en underleverantör eller dess moderbolag är etablerad utanför EU/EES sker överföringen med stöd av EU-kommissionens beslut om adekvat skyddsnivå (EU-US Data Privacy Framework) eller EU-kommissionens standardavtalsklausuler.

5. Hur länge sparas uppgifterna?

• Kontouppgifter – så länge kontot är aktivt, därefter tills radering begärs.
• Beställningar med fakturaunderlag – sju år enligt bokföringslagen. Vid radering avlägsnas personuppgifter (kontaktperson, telefon, meddelanden) medan affärsuppgifterna bevaras.
• Tekniska felloggar – 90 dagar.
• IP-adresser för missbruksskydd – några minuter.
• Besöksstatistik – pseudonymiserade besöksposter i 2 dagar, aggregerad statistik i cirka 13 månader (se avsnitt 6).

6. Besöksstatistik

Leverantörernas beställningsportaler och vår egen webbplats caterflow.se använder en egen, cookiefri besöksstatistik. Den fungerar utan spårnings-id och utan tredjepartstjänster: när en sida visas räknas besöket upp i en aggregerad dagssammanställning (antal sidvisningar, vilken sida, varifrån besökaren kom, typ av enhet och webbläsare). Ingen profil skapas om dig.

För att kunna räkna unika besökare per dag skapas en engångskod (hash) av din IP-adress och webbläsarinformation tillsammans med ett hemligt värde som byts varje dygn. Din IP-adress lagras aldrig, koden kan inte räknas tillbaka till dig, och eftersom det hemliga värdet byts dagligen kan besök inte kopplas ihop mellan olika dagar. Besöksposterna raderas efter 2 dagar och endast den aggregerade statistiken sparas, i cirka 13 månader.

I leverantörernas portaler kan du tacka nej till besöksstatistiken genom att välja "Neka" i portalens cookie-banner. Då skickas ingen statistik från din webbläsare. På caterflow.se visas ingen banner eftersom statistiken varken använder cookies eller lagrar något i din webbläsare.

7. Dina rättigheter

Du har rätt att begära tillgång till, rättelse av eller radering av dina personuppgifter, att begränsa eller invända mot behandling, samt att få ut dina uppgifter (dataportabilitet). Kontakta support@caterflow.se – gäller din begäran uppgifter hos en specifik leverantör hjälper vi dig vidare till rätt mottagare. Du kan också lämna klagomål till Integritetsskyddsmyndigheten (IMY).

8. Cookies

Plattformen använder endast nödvändiga cookies för inloggning och säkerhet (sessionscookies från vår inloggningslösning, giltiga i upp till 30 dagar, samt CSRF-skydd). Vi använder inga analys-, statistik- eller marknadsföringscookies och ingen tredjepartsspårning. Besöksstatistiken i avsnitt 6 är cookiefri.

På leverantörernas beställningsportaler visas en cookie-banner där du kan välja "Acceptera" eller "Neka". Ditt val sparas lokalt i din webbläsare (localStorage, per portal) och skickas inte till oss. Väljer du "Neka" stängs besöksstatistiken av; de nödvändiga cookies som krävs för inloggning och säkerhet används oavsett val.

9. Ändringar

Vi kan uppdatera denna policy vid behov. Väsentliga ändringar meddelas i plattformen. Datumet överst visar när policyn senast ändrades.