Integritetspolicy

• E-postadress — för inloggning (passwordless auth via magisk länk / engångskod)
• Visningsnamn — valfritt, visas på önskelistor
• Bidragsgivarens namn och e-post — valfritt, anges vid bidrag
• Stripe-kontouppgifter — anslutet Stripe Connect-konto-ID och onboarding-status för utbetalningar
• Betalningsmetadata — belopp, tidpunkt, status, Stripe PaymentIntent-ID
• Bilder — uppladdade bilder på önskningar, lagrade i Supabase Storage
• Teknisk data — IP-adress, webbläsartyp, enhetsinformation (via serverloggar)

• Avtal — behandling som krävs för att tillhandahålla tjänsten (kontoskapande, betalningshantering, utbetalningar)
• Samtycke — för analys- och marknadsföringskakor (se avsnitt 10) samt eventuell framtida direktmarknadsföring
• Berättigat intresse — bedrägeriförebyggande, säkerhet och förbättring av tjänsten
• Rättslig förpliktelse — bokföringslagen kräver att ekonomiska transaktioner sparas

Vi delar personuppgifter med följande tjänsteleverantörer:

Stripe är både underbiträde till Whishly och självständigt personuppgiftsansvarig för korthantering, bedrägeridetektering och rapportering till kortnätverken. Se Stripes integritetspolicy för mer information om deras behandling av kortdata.

Utöver underbiträden ovan delas personuppgifter mellan användare på följande sätt:

• Önskelisteägare ser bidragsgivarens namn och e-post om bidraget inte är anonymt
• Bidragsgivare ser ägarens visningsnamn och innehållet i önskelistan
• Vid anonyma bidrag sparas varken namn eller e-post för bidragsgivaren i databasen — dessa fält sätts till null vid insättning

Vid betalning kan transaktioner automatiskt nekas av Stripes bedrägeridetekteringssystem (Stripe Radar). Detta kan utgöra automatiserat beslutsfattande enligt GDPR Art. 22. Om en transaktion nekas och du anser att beslutet är felaktigt kan du kontakta oss på support@whishly.se.

Stripe och Resend har verksamhet i USA. Överföringar till USA sker med stöd av EU-kommissionens standardavtalsklausuler (Standard Contractual Clauses, SCC) och, där tillämpligt, EU-US Data Privacy Framework (DPF) i enlighet med GDPR kapitel V.

• All trafik till och från Whishly skyddas med TLS (HTTPS)
• Personuppgifter lagras krypterade i vila hos Supabase och Stripe
• Åtkomst till produktionsdata är begränsad till behöriga personer
• Databasen använder Row Level Security (RLS) så att användare endast kommer åt sina egna uppgifter

Enligt GDPR har du rätt att:

• Tillgång — begära en kopia av dina personuppgifter
• Rättelse — korrigera felaktiga uppgifter
• Radering — begära att dina uppgifter raderas
• Dataportabilitet — få ut dina uppgifter i maskinläsbart format
• Begränsning — begränsa behandlingen i vissa fall
• Invändning — invända mot behandling baserad på berättigat intresse

Kontakta oss på privacy@whishly.se för att utöva dina rättigheter.

Du har också rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), imy.se.

Whishly använder kakor och liknande tekniker (t.ex. localStorage) i tre kategorier. När du besöker webbplatsen första gången visas en samtyckesbanner där du väljer vilka kategorier du tillåter. Nödvändiga kakor kräver inte samtycke enligt ePrivacy-direktivet och lagen om elektronisk kommunikation (LEK); övriga kategorier används endast med ditt samtycke (GDPR Art. 6.1.a).

Nödvändiga — används alltid

Krävs för att tjänsten ska fungera: inloggning, säkerhet och betalningar.

• sb-*-auth-token — Supabase session-kaka som innehåller din inloggningstoken. Kan delas upp i numrerade delar (sb-*-auth-token.0, .1, etc.) för stora tokens.
• whishly-consent — sparar ditt samtyckesval så att bannern inte visas igen. Giltig i 12 månader.
• __stripe_mid, __stripe_sid — sätts av Stripe på betalningssidor för bedrägeriförebyggande.

Analys — endast med samtycke

Vi använder PostHog (EU-servrar) för att förstå hur tjänsten används och för att kunna förbättra den. Utan samtycke sker mätningen anonymt och utan att något lagras på din enhet — vi kan då inte känna igen dig mellan besök. Med samtycke:

• ph_* — PostHog-kakor och localStorage som ger dig ett igenkännbart besökar-ID mellan besök. Giltig i upp till 12 månader.
• Sessionsinspelningar kan förekomma — anonymiserade återuppspelningar av hur gränssnittet används, där text du skriver maskeras.
• Vi använder även Trackmatic för att övervaka att vår analys fungerar korrekt. Trackmatic tar endast emot namnen på de händelser som utlöses (t.ex. att en önskelista skapades) — aldrig innehåll, värden eller uppgifter om dig. Ingen data skickas utan ditt samtycke.

Marknadsföring — endast med samtycke

Används för att mäta effekten av våra annonser. Uppgifter delas då med Google respektive Meta, som kan koppla dem till ditt konto hos dem.

• _gcl_au m.fl. — Google Ads konverteringsmätning. Se Googles integritetspolicy.
• _fbp — Meta-pixel för annonsmätning och målgruppsanpassning. Se Metas integritetspolicy.

Ändra ditt val

Du kan när som helst ändra eller återkalla ditt samtycke via länken "Hantera kakor" längst ned på sidan. Att återkalla samtycke påverkar inte lagligheten av behandling som skett innan återkallelsen. Ditt val gäller per webbplats — om du besöker någon av våra systersajter (t.ex. dopgåva.se) får du göra ett eget val där.

Whishly är inte avsett för personer under 18 år. Genom att skapa ett konto eller bidra till en önskelista bekräftar du att du är minst 18 år gammal.

Vi kan komma att uppdatera denna integritetspolicy. Vid väsentliga ändringar meddelar vi dig via e-post och uppdaterar datumet längst upp på sidan. Mindre språkliga eller redaktionella ändringar görs utan separat meddelande.

Personuppgiftsansvarig:
Brogramming Sweden AB, org.nr 556975-5050
Ängskornsvägen 7, 178 35 Ekerö
E-post: privacy@whishly.se