Integritets- policy

Denna översättning tillhandahålls som en service. Vid avvikelser gäller den engelska versionen.

Altovar S.r.l. (P.IVA IT03086750993) ("Altovar", "vi" eller "oss") är personuppgiftsansvarig för behandlingen av personuppgifter som samlas in via våra webbplatser, mjukvaruprodukter, API:er och tjänster (gemensamt "Tjänsterna").

Säte: Italien (Europeiska unionen)
Integritetsfrågor: [email protected]
Allmän kontakt: [email protected]

Som ett bolag som är bildat och verksamt inom EU omfattas vi fullt ut av förordning (EU) 2016/679 (dataskyddsförordningen, GDPR). Vår tillsynsmyndighet är Garante per la protezione dei dati personali (Italien).

Altovar har utsett ett dataskyddsombud (DSO), i enlighet med kraven i artikel 37 GDPR, med hänsyn till arten och omfattningen av vår personuppgiftsbehandling.

Kontakt med dataskyddsombudet: [email protected]

Dataskyddsombudet agerar självständigt och ansvarar för att:
— Övervaka efterlevnaden av GDPR och tillämplig nationell dataskyddslagstiftning
— Ge råd om konsekvensbedömningar avseende dataskydd (DPIA) enligt artikel 35
— Fungera som kontaktpunkt gentemot tillsynsmyndigheten
— Hantera förfrågningar från registrerade och begäranden om utövande av rättigheter

Dataskyddsombudet kan kontaktas direkt i alla frågor som rör behandlingen av personuppgifter. All kommunikation behandlas konfidentiellt och besvaras inom 30 kalenderdagar.

Endast personuppgifter som är nödvändiga för de ändamål som beskrivs i denna policy samlas in (principen om uppgiftsminimering, Art. 5(1)(c) GDPR).

Konto- och identitetsuppgifter: Namn, e-postadress, användarnamn, organisationsnamn, befattning, moms-/skatteregistreringsnummer för fakturering samt eventuell information som frivilligt läggs till i profilen.

Användnings- och interaktionsdata: Använda funktioner, besökta sidor, klick, sessionslängd, sökfrågor i produkten och felhändelser. Denna data samlas in i aggregerad form där det är möjligt och pseudonymiseras vid insamlingen.

Tekniska data och enhetsdata: IP-adress (trunkerad till /24-prefix och anonymiserad inom 24 timmar), webbläsartyp och version, operativsystem, enhetstyp, skärmupplösning, hänvisande webbadress samt sessionsidentifierare som tilldelas av vår infrastruktur.

Kommunikationsdata: Innehåll i meddelanden som skickas till oss via e-post, kontaktformulär eller supportärenden; metadata om denna kommunikation (tidsstämplar, ämnesrader).

Betalnings- och faktureringsdata: Faktureringsnamn, adress och moms-/skatteregistreringsnummer. Kortnummer och betalningsuppgifter behandlas uteslutande av vår PCI-DSS Level 1-certifierade betalningsleverantör (Stripe, EU-hostad) och lagras eller behandlas aldrig av Altovars system.

Avtals- och tjänstedata: Abonnemangsnivå, tjänstekonfiguration, användningskvoter, API-nycklar (hashade) samt all data som laddas upp eller skapas vid användning av Tjänsterna.

Data samlas inte in från tredjeparts dataleverantörer (data brokers), sociala medieplattformar eller annonsnätverk. Inga annonsprofiler byggs upp.

Tjänsterna är inte utformade för att samla in eller behandla särskilda kategorier av personuppgifter enligt artikel 9.1 GDPR — inklusive uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska uppgifter, biometriska uppgifter för unik identifiering, hälsouppgifter eller uppgifter om en persons sexualliv eller sexuella läggning.

Vi avråder starkt från att ladda upp eller behandla särskilda kategorier av uppgifter via Tjänsterna, om inte lämpliga skyddsåtgärder har vidtagits och en giltig rättslig grund enligt artikel 9.2 GDPR föreligger.

Om särskilda kategorier av uppgifter oavsiktligt tas emot (till exempel via ett supportärende) raderas de säkert och avsändaren underrättas. Vid behov av att behandla särskilda kategorier av uppgifter inom ramen för ett specifikt företagsavtal, kontakta [email protected] för att diskutera lämpliga avtalsmässiga och tekniska skyddsåtgärder.

Personuppgifter behandlas endast när en giltig rättslig grund föreligger enligt artikel 6 GDPR. Tillämplig grund beror på den specifika behandlingsaktiviteten:

Fullgörande av avtal (Art. 6(1)(b)): Tillhandahållande av de Tjänster som tecknats, hantering av konto, betalningsbehandling, utfärdande av fakturor och fullgörande av samtliga avtalsförpliktelser. Detta är den huvudsakliga grunden för merparten av behandlingen som rör aktiva konton.

Rättslig förpliktelse (Art. 6(1)(c)): Efterlevnad av tillämplig lagstiftning — inklusive skatte- och bokföringsskyldigheter enligt italiensk rätt (D.P.R. 633/1972, D.P.R. 600/1973), krav mot penningtvätt samt svar på lagenliga begäranden från behöriga myndigheter (domstolar, tillsynsmyndigheter).

Berättigat intresse (Art. 6(1)(f)): Säkerhetsövervakning, förebyggande av missbruk, bedrägeribekämpning, analys för produktförbättring samt direktmarknadsföring till befintliga kunder avseende väsentligen liknande tjänster. En intresseavvägning (Legitimate Interests Assessment, LIA) har genomförts för vart och ett av dessa ändamål, och det har fastställts att våra intressen inte åsidosätter den registrerades grundläggande rättigheter och friheter.

Samtycke (Art. 6(1)(a)): Frivilliga analys- och prestandacookies, marknadsföringskommunikation till icke-kunder samt varje behandlingsaktivitet för vilken uttryckligt förhandssamtycke har inhämtats. Samtycke kan återkallas när som helst — återkallande påverkar inte lagligheten av behandling som utförts innan återkallandet. Se avsnitt 9 om hur samtycke återkallas.

Personuppgifter lagras endast så länge det är nödvändigt för det angivna ändamålet och i enlighet med tillämpliga rättsliga skyldigheter (principen om lagringsminimering).


Vid utgången av tillämplig lagringsperiod raderas uppgifterna säkert eller anonymiseras oåterkalleligen enligt branschstandardmetoder, så att de inte längre kan hänföras till en identifierad eller identifierbar fysisk person.

Betrodda tredjepartsleverantörer ("underbiträden") anlitas enligt bindande personuppgiftsbiträdesavtal som uppfyller kraven i artikel 28 GDPR. Altovar ansvarar för att underbiträdena efterlever GDPR och genomför regelbunden due diligence.


Personuppgifter säljs inte, hyrs inte ut och byts inte bort till tredje part. Data delas inte med annonsnätverk eller dataleverantörer (data brokers). Data kan delas med myndigheter endast när det krävs enligt lag eller giltig rättslig process, och berörda användare underrättas där det är lagligen tillåtet.

En uppdaterad förteckning över underbiträden finns tillgänglig på begäran hos [email protected]. Meddelande om nya underbiträden lämnas 30 dagar i förväg.

Åtagande om datalagring inom EU: All primär datalagring och -behandling sker på infrastruktur belägen inom Europeiska ekonomiska samarbetsområdet (EES). Altovar överför inte personuppgifter till tredjeland som standardpraxis.

I de begränsade fall där ett underbiträde driver infrastruktur eller supportfunktioner utanför EES (till exempel globala CDN-noder eller supportpersonal) säkerställs att lämpliga skyddsåtgärder enligt kapitel V GDPR finns på plats innan någon överföring sker:

— Beslut om adekvat skyddsnivå (Art. 45): När Europeiska kommissionen har fastställt att mottagarlandet säkerställer en adekvat skyddsnivå (t.ex. UK IDTA, det schweiziska adekvansbeslutet).
— Standardavtalsklausuler (Art. 46(2)(c)): 2021 års EU-standardavtalsklausuler, godkända genom kommissionens genomförandebeslut (EU) 2021/914, ingår i samtliga relevanta avtal med underbiträden.
— Tekniska skyddsåtgärder: Totalsträckskryptering (end-to-end) tillämpas på data under överföring, vilket säkerställer att underbiträdets infrastrukturpersonal inte får någon meningsfull åtkomst till personuppgifterna.

Beslut från Europeiska dataskyddsstyrelsen (EDPB) och den italienska Garanten bevakas löpande, och överföringsmekanismerna uppdateras vid behov. En överföringskonsekvensbedömning (Transfer Impact Assessment, TIA) har genomförts för varje överföring till tredjeland.

Som registrerad finns följande rättigheter enligt GDPR, vilka kan utövas kostnadsfritt och utan otillbörlig begränsning:

Rätt till tillgång/registerutdrag (Art. 15): Få bekräftelse på huruvida personuppgifter behandlas samt en kopia av dessa tillsammans med kompletterande information (ändamål, kategorier, mottagare, lagringsperioder, skyddsåtgärder vid eventuella överföringar till tredjeland).

Rätt till rättelse (Art. 16): Begära rättelse av felaktiga personuppgifter och komplettering av ofullständiga uppgifter, utan onödigt dröjsmål.

Rätt till radering ("rätten att bli glömd") (Art. 17): Begära radering av personuppgifter när de inte längre är nödvändiga för det ursprungliga ändamålet, när samtycke återkallas, vid invändning mot behandlingen, när behandlingen är olaglig, eller när radering krävs enligt unionsrätten eller medlemsstaternas nationella rätt — med förbehåll för berättigade övervägande skäl (t.ex. rättsliga lagringsskyldigheter).

Rätt till begränsning av behandling (Art. 18): Begära att behandlingen begränsas till enbart lagring i väntan på att en tvist om uppgifternas korrekthet, lagligheten av behandlingen eller en invändning grundad på berättigat intresse avgörs.

Rätt till dataportabilitet (Art. 20): När behandlingen grundas på samtycke eller avtal och sker automatiserat, få ut uppgifterna i ett strukturerat, allmänt använt och maskinläsbart format (JSON eller CSV) samt överföra dem till en annan personuppgiftsansvarig.

Rätt att göra invändningar (Art. 21): Invända när som helst mot behandling som grundas på berättigat intresse (Art. 6(1)(f)), inklusive profilering, av skäl som hänför sig till den registrerades specifika situation. Invända ovillkorligen mot behandling för direktmarknadsföring — sådan behandling upphör då omedelbart.

Rättigheter avseende automatiserat beslutsfattande (Art. 22): Inga beslut fattas enbart grundat på automatiserad behandling som har rättsliga följder eller på liknande sätt i betydande grad påverkar den registrerade. Eventuell automatiserad riskbedömning eller filtrering som används i Tjänsterna granskas av mänskliga handläggare innan beslut med konsekvenser fattas.

Rätt att återkalla samtycke (Art. 7(3)): När behandlingen grundas på samtycke kan detta återkallas när som helst. Se avsnitt 10 för hur samtycke återkallas.

Hur en begäran lämnas in: Skicka e-post till [email protected] med ämnesraden "Data Subject Request — [typ av rättighet]" (t.ex. "Data Subject Request — Access"). Begäran kan även lämnas via kontoinställningarna på plattformen där självbetjäningsalternativ finns tillgängliga.

Identitetsverifiering: För att skydda uppgifterna kommer identiteten att behöva verifieras innan begäran behandlas. Verifiering sker via den registrerade e-postadressen eller, vid behov, via ytterligare styrkande handlingar.

Svarstider: Samtliga begäranden besvaras inom 30 kalenderdagar från mottagandet. Vid komplexa eller flera begäranden kan denna period förlängas med ytterligare 2 månader — underrättelse om en sådan förlängning, tillsammans med skälen för den, lämnas inom de första 30 dagarna.

Återkallande av samtycke: För att återkalla samtycke till analyscookies, använd cookieinställningarna som nås via sidfoten. För att återkalla samtycke till marknadsföringskommunikation, klicka på "Avregistrera" i valfritt marknadsföringsmejl eller skicka e-post till [email protected].

Ingen kostnad: Samtliga begäranden från registrerade hanteras kostnadsfritt. Om en begäran är uppenbart ogrundad, orimlig eller återkommande kan en rimlig administrativ avgift tas ut, eller så kan begäran avvisas — skälen för detta kommer i så fall att förklaras.

Rätt att lämna klagomål: Om Altovar anses ha åsidosatt rättigheter enligt GDPR finns rätt att lämna klagomål till den behöriga tillsynsmyndigheten:

— Garante per la protezione dei dati personali (Italien) — garanteprivacy.it
— Tillsynsmyndigheten i den EU-medlemsstat där den registrerade har sin hemvist eller sin arbetsplats
— Tillsynsmyndigheten i den medlemsstat där den påstådda överträdelsen ägde rum

Cookies och liknande tekniker (webblagring, pixeltaggar) används för att driva webbplatserna och förbättra användarupplevelsen. Användningen av cookies regleras av e-integritetsdirektivet (2002/58/EG, i ändrad lydelse), genomfört i Italien genom D.lgs. 69/2012, samt Garantens riktlinjer från juli 2021.

Nödvändiga cookies är strikt nödvändiga för säkerhet, autentisering och drift av tjänsten. De används utan samtycke med stöd av artikel 5.3 i e-integritetsdirektivet, eftersom de är tekniskt nödvändiga för en tjänst som uttryckligen har begärts. Dessa cookies kan inte väljas bort utan att tjänstens funktionalitet försämras.

Analyscookies från tredjepartsverktyg sätts endast efter föregående, frivilligt, specifikt, informerat och otvetydigt samtycke. Google Analytics används inte.

Vår egen webbanalys (Plausible Analytics, självhostad på våra servrar i Tyskland) sätter inga cookies och varken läser eller lagrar något på enheten. Den registrerar sidvisningar, hänvisande webbplatser, webbläsare, operativsystem, enhetstyp och land i aggregerad form; IP-adressen används endast tillfälligt för att härleda en anonym identifierare som ändras varje dag och lagras aldrig. Eftersom inget läses från eller skrivs till enheten sker denna mätning oberoende av cookiebannern, med stöd av vårt berättigade intresse av att förstå hur webbplatserna används (Art. 6(1)(f) GDPR). Invändning kan när som helst göras genom att skriva till [email protected].

Mätning som inte drivs av oss. Leveransnätverket framför våra webbplatser injicerar ett eget mätskript i varje HTML-sida det levererar. Det laddas innan något val görs i cookiebannern och oberoende av detta val, och det sätter inga cookies på enheten; det är inte vårt, och det styrs inte härifrån. Leverantören anges i tabellen över underbiträden ovan.

Marknadsföringscookies sätts för närvarande inte på vår marknadsföringswebbplats. Om detta ändras kommer separat, detaljerat samtycke att begäras.

För en fullständig förteckning över de cookies som används, deras namn, syften, varaktighet och leverantörer, samt för att hantera dina cookieinställningar, se vår Cookiepolicy →

Lämpliga tekniska och organisatoriska åtgärder (TOM) tillämpas för att säkerställa en säkerhetsnivå som är anpassad till risken, i enlighet med artikel 32 GDPR. Säkerhetsprogrammet omfattar bland annat:

— Kryptering: All data under överföring krypteras med TLS 1.2 eller högre. Data i vila krypteras med AES-256. Databassäkerhetskopior krypteras totalsträcka (end-to-end).
— Åtkomstkontroller: Rollbaserad åtkomstkontroll (RBAC), principen om minsta möjliga behörighet, multifaktorautentisering (MFA) för samtliga interna system samt hantering av priviligierad åtkomst (PAM) för infrastrukturåtkomst.
— Nätverkssäkerhet: Nätverkssegmentering, brandvägg för webbapplikationer (WAF), skydd mot DDoS samt system för intrångsdetektering/-förebyggande (IDS/IPS).
— Sårbarhetshantering: Regelbunden penetrationstestning, automatiserad SAST/DAST-skanning, övervakning av sårbarheter i beroenden samt ett program för ansvarsfull rapportering av sårbarheter.
— Konsekvensbedömningar avseende dataskydd (DPIA): DPIA genomförs för nya behandlingsaktiviteter som sannolikt leder till en hög risk för enskilda, i enlighet med kraven i artikel 35 GDPR.
— Personalutbildning: All personal med åtkomst till personuppgifter genomgår obligatorisk utbildning i GDPR och informationssäkerhet vid introduktion och därefter årligen.

Personuppgiftsincidenter: Vid en incident som sannolikt leder till en risk för den registrerades rättigheter och friheter underrättas Garanten inom 72 timmar efter att incidenten upptäckts (Art. 33). Om incidenten sannolikt leder till en hög risk underrättas den registrerade direkt utan onödigt dröjsmål (Art. 34), inklusive information om incidentens art, sannolika konsekvenser samt vidtagna eller föreslagna åtgärder.

Tjänsterna är professionella och företagsinriktade och riktar sig inte till, och är inte avsedda att användas av, personer under 16 år (eller den högre digitala samtyckesåldern som gäller i vissa EU-medlemsstater, exempelvis 13 år i Finland eller 16 år i Nederländerna och Irland).

Personuppgifter samlas inte medvetet in från minderåriga. Vid kontoregistrering krävs att användaren bekräftar att kravet på ålder är uppfyllt. Om det upptäcks att personuppgifter oavsiktligt har samlats in från en minderårig kommer dessa uppgifter att raderas omedelbart och det tillhörande kontot att stängas.

Om det finns anledning att tro att en minderårig har skapat ett konto eller lämnat personuppgifter, kontakta [email protected] med uppgifter om detta. En utredning genomförs och åtgärder vidtas inom 5 arbetsdagar.

Denna integritetspolicy kan komma att uppdateras löpande för att återspegla ändringar i personuppgiftsbehandlingen, ändringar i tillämplig lagstiftning eller introduktion av nya produkter och tjänster. Samtliga uppdateringar granskas av dataskyddsombudet innan publicering.

Väsentliga ändringar — sådana som på ett betydande sätt påverkar rättigheterna eller hur uppgifterna används — meddelas genom:
— E-postmeddelande till den registrerade adressen (för kontoinnehavare), med minst 30 dagars varsel innan ändringen träder i kraft
— Ett väl synligt meddelande på webbplatsen under samma 30-dagarsperiod
— Meddelande i produkten för ändringar som påverkar plattformen

Mindre ändringar (rättelser, formatering, förtydliganden som inte förändrar innebörden) kan göras utan förvarning. Datumet "Senast uppdaterad" högst upp i denna policy återspeglar alltid datumet för den senaste revideringen.

Fortsatt användning av Tjänsterna efter att väsentliga ändringar har trätt i kraft utgör godkännande av den reviderade policyn. Om den reviderade policyn inte godkänns måste användningen av de berörda Tjänsterna upphöra, och radering av uppgifterna kan begäras enligt avsnitt 09.