Integritetspolicy — Grönportalen

1. Om denna policy

Grönportalen Sverige AB, organisationsnummer 559XXX-XXXX, med säte i Stockholm ("Grönportalen", "vi", "oss") är personuppgiftsansvarig för behandlingen av de personuppgifter som samlas in via vår webbplats och tjänst på gronportalen.se. Denna policy beskriver vilka uppgifter vi samlar in, hur vi använder dem och vilka rättigheter du har som registrerad.

Vi behandlar personuppgifter i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR) och tillämplig svensk kompletteringslagstiftning.

2. Vilka uppgifter vi samlar in

2.1 Uppgifter som du lämnar

Namn, e-postadress och telefonnummer vid registrering
Organisationsnummer och företagsuppgifter för leverantörer och köpare
BankID-personnummer (sub-claim) för identifiering — vi lagrar inte hela personnumret
Profilbeskrivning, tjänstekategorier och kapacitetsinformation (leverantörer)
Dokument som ansvarsförsäkringsbevis och certifikat (leverantörer)
Offertunderlag och paketkrav (köpare)
Meddelanden som skickas via kontaktformuläret

2.2 Uppgifter vi samlar in automatiskt

IP-adress och ungefärlig geografisk plats
Webbläsare, enhet och operativsystem
Sidor du besöker och hur länge du befinner dig på dem
Felloggar och prestandadata för driftövervakning

2.3 Uppgifter från tredje part

F-skattstatus från Skatteverkets API (automatisk kvartalskontroll)
Företagsuppgifter (namn, adress, SNI-kod) från Bolagsverket/SCB vid registrering
Identifieringsdata från BankID (Nets eID Gateway)

3. Hur vi använder uppgifterna

Ändamål	Rättslig grund	Lagringst.
Tillhandahålla och förbättra tjänsten	Fullgörande av avtal (art. 6.1b)	Kontots livstid + 12 mån
F-skattkontroll och compliance-verifiering	Rättslig förpliktelse (art. 6.1c)	7 år (bokföringslag)
Hantering av offertprocessen	Fullgörande av avtal (art. 6.1b)	5 år efter avslutat kontrakt
Säkerhet och bedrägeriförebyggande	Berättigat intresse (art. 6.1f)	90 dagar (loggar)
Marknadsföring och nyhetsbrev	Samtycke (art. 6.1a)	Till återkallat samtycke
Kundtjänst och supportärenden	Berättigat intresse (art. 6.1f)	24 månader

4. Delning med tredje part

Vi säljer aldrig dina personuppgifter. Vi kan dela dem med:

Skatteverket — vid automatisk F-skattkontroll (utgående förfrågan, inga uppgifter lämnas till Skatteverket)
Nets (BankID) — för stark identifiering vid inloggning och signering
AWS (Amazon Web Services) — molninfrastruktur och lagring, EU-region (Frankfurt)
Sentry — felövervakning och prestandaövervakning, behandlingsavtal upprättat
Rättsliga myndigheter — om vi är skyldiga enligt lag eller domstolsbeslut

Alla tredjepartsleverantörer är bundna av personuppgiftsbiträdesavtal (PUB-avtal) och behandlar uppgifterna enbart på våra instruktioner.

5. Dina rättigheter

Enligt GDPR har du följande rättigheter:

Rätt till tillgång (art. 15)

Du har rätt att få bekräftelse på om vi behandlar dina uppgifter och begära en kopia.

Rätt till rättelse (art. 16)

Du kan begära att felaktiga uppgifter om dig korrigeras utan onödigt dröjsmål.

Rätt till radering ("rätten att bli glömd", art. 17)

Du kan begära att vi raderar dina uppgifter under vissa förutsättningar, t.ex. om uppgifterna inte längre behövs för det ändamål de samlades in för.

Rätt till begränsning (art. 18)

Du kan begära att behandlingen begränsas, t.ex. under en period då du bestrider uppgifternas riktighet.

Rätt till dataportabilitet (art. 20)

Du har rätt att få ut dina uppgifter i ett maskinläsbart format (JSON/CSV) och överföra dem till en annan tjänst.

Rätt att invända (art. 21)

Du kan invända mot behandling som baseras på berättigat intresse, inklusive direktmarknadsföring.

Rätt att återkalla samtycke

Om behandling baseras på samtycke kan du när som helst återkalla det utan att det påverkar lagligheten av behandling som skett dessförinnan.

Skicka en begäran om utövande av dina rättigheter till gdpr@gronportalen.se. Vi svarar inom 30 dagar. Vi kan behöva verifiera din identitet via BankID.

6. Lagring och säkerhet

Alla personuppgifter lagras krypterade i vila (AES-256) och i transit (TLS 1.3). Åtkomst till produktionsdatabaser är begränsad till behörig personal via VPN och kräver multifaktorautentisering. Vi genomför regelbundna säkerhetgranskningar och penetrationstester.

Vi lagrar inte uppgifter längre än nödvändigt. Se tabellen i avsnitt 3 för specifika lagringstider per ändamål. Data som raderas sätts i en karantänperiod på 30 dagar innan permanent radering sker, för att möjliggöra felåterställning.

7. Cookies och spårning

Vi använder nödvändiga cookies för autentisering (JWT i httpOnly-cookie) och sessionshantering. Vi använder inte tredjepartscookies för annonsering. Analys sker via anonymiserad loggning — inga externa analysverktyg med cookies används utan ditt uttryckliga samtycke.

8. Dataskyddsombud (DPO)

Vårt dataskyddsombud nås på:

Grönportalen Sverige AB — Dataskyddsombud

E-post: gdpr@gronportalen.se

Adress: Kungsgatan 30, 111 35 Stockholm

9. Klagomål

Om du anser att vi behandlar dina personuppgifter felaktigt har du rätt att inge klagomål till Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm. Webbplats: imy.se.

10. Ändringar i policyn

Vi kan komma att uppdatera denna integritetspolicy. Vid väsentliga ändringar informerar vi via e-post till registrerade användare minst 30 dagar innan ändringen träder i kraft. Fortsatt användning av tjänsten efter att ändringarna trätt i kraft innebär att du accepterar den uppdaterade policyn.

Frågor om denna policy? Kontakta oss eller e-posta gdpr@gronportalen.se.