Integritetspolicy

RIUS Legacy AB behandlar personuppgifter för att driva webbplatsen, genomföra köp och leveranser, administrera gruppförsäljningar, hantera konton, betalningar, kundservice, marknadsföring och lagstadgade skyldigheter.

Vi använder bara personuppgifter som behövs för tydliga och angivna ändamål. Vi säljer inte personuppgifter.

Statistikcookies, marknadsföringscookies och överföring av uppgifter till Google eller Meta sker endast efter ett frivilligt samtycke. Ett köp, ett nödvändigt konto eller deltagande i en gruppförsäljning görs inte beroende av ett sådant samtycke.

Försäljningsdeltagare kan vara barn. En säljare visas på gruppens sida och på sin personliga säljsida med sitt visningsnamn, eller med sitt namn om inget visningsnamn har angetts. Gruppadministratören ansvarar för att säljaren, eller säljarens vårdnadshavare, har godkänt det. Kontaktuppgifter, adress och ålder visas inte offentligt.

Du kan kontakta oss på info@riuslegacy.com om du har frågor eller vill använda dina rättigheter.

Personuppgiftsansvarig för de behandlingar där RIUS bestämmer ändamål och medel är:

RIUS Legacy AB Organisationsnummer: 559595-2002 Hermelinsvägen 21 132 46 Saltsjö-Boo E-post: info@riuslegacy.com

Policyn gäller bland annat för:

• riuslegacy.com och tillhörande webbsidor,
• webbutiken och kassan,
• grupp-, säljar- och organisationssidor,
• kund-, säljar-, gruppadministratörs- och organisationskonton,
• ansökningar om att starta en försäljning,
• leveranser, betalningar och ekonomisk avräkning,
• returer, byten, reklamationer och ångerrätt,
• kundservice, produktbevakningar och marknadsföring.

Det ska alltid framgå före köpet vem som är säljare och avtalspart.

3.1 Köp där RIUS är säljare

När betalningen görs till RIUS, exempelvis genom RIUS webbkassa och Stripe, är RIUS säljare och personuppgiftsansvarig för behandlingen som behövs för köpet.

Det gäller även om köpet har kopplats till en viss grupp eller säljarprofil för att gruppen ska få del av försäljningsresultatet.

Vid hemleverans genom RIUS eller ett transportföretag får gruppen eller den som hanterar säljarprofilen endast se försäljningsresultat, nödvändig koppling till rätt säljare och den orderstatus som behövs för gruppens uppföljning. Kundens namn, kontaktuppgifter och leveransadress lämnas normalt inte ut till gruppen.

3.2 Leverans genom gruppen eller säljaren

När RIUS skickar periodens beställningar samlat till gruppen och gruppen eller säljaren sedan levererar varorna till kunderna, får behöriga gruppadministratörer och den tilldelade säljaren tillgång till de uppgifter som behövs för att kontakta kunden och leverera rätt varor. Det omfattar normalt namn, e-postadress, telefonnummer, leveransadress, ordernummer, orderinnehåll och relevant leveransstatus.

Uppgifterna får endast användas för att administrera, kontakta, leverera och följa upp den aktuella beställningen. Andra säljare får inte tillgång till kunduppgifterna. En organisationsadministratör ser bara aggregerad information om gruppernas försäljning. Säljer organisationen själv ser dess huvudadministratör kunduppgifterna för den egna försäljningen.

3.3 Köp där gruppen är säljare

När en grupp själv tar emot betalning, exempelvis genom Swish, eller när en behörig vuxen registrerar en manuell kundorder, kan gruppen vara säljare och självständigt personuppgiftsansvarig för sin kundrelation.

RIUS är då personuppgiftsansvarig för de behandlingar som RIUS bestämmer över, exempelvis:

• drift och säkerhet i plattformen,
• orderadministration och varuleverans,
• ekonomisk avräkning med gruppen,
• dokumentation av transaktioner,
• rättsliga skyldigheter och hantering av rättsliga anspråk.

Gruppen ansvarar för sin egen behandling av kunduppgifter, betalningsuppgifter och information som gruppen hanterar utanför RIUS plattform. Om RIUS och gruppen gemensamt bestämmer ändamål och medel för en viss behandling är parterna gemensamt personuppgiftsansvariga för just den behandlingen. Ansvarsfördelningen regleras då mellan parterna. Du kan alltid kontakta RIUS för hjälp med att utöva dina rättigheter.

RIUS och gruppen får inte använda uppgifterna för egna, oförenliga ändamål.

3.4 Organisationer

En organisation kan administrera grupper och följa försäljningen på aggregerad nivå. Organisationens administratörer får inte tillgång till gruppernas enskilda kunders namn, kontaktuppgifter eller adresser och inte heller till fler uppgifter om minderåriga deltagare än vad som behövs för organisationens uppdrag. Säljer organisationen själv får huvudadministratören samma uppgifter om de egna kunderna som en gruppadministratör.

Organisationen är personuppgiftsansvarig för sina egna administratörers och kontaktpersoners uppgifter. RIUS ansvarar för behandlingen som behövs för att tillhandahålla organisationsportalen.

När behandlingen grundas på berättigat intresse gör RIUS en dokumenterad intresseavvägning. Vi behandlar då endast uppgifter som är nödvändiga och väger vårt intresse mot den registrerades rättigheter, med särskild försiktighet när barn berörs.

Vi kan få uppgifter:

• direkt från dig,
• från en vårdnadshavare,
• från en behörig vuxen eller gruppadministratör som registrerar en beställning,
• från en organisation som bjuder in en administratör,
• från offentligt tillgängliga och relevanta källor, exempelvis en skolas, förenings, organisations eller ett lags webbplats, offentliga organisationsregister eller en relevant branschplattform,
• automatiskt från din webbläsare eller enhet,
• från Stripe eller en annan betalningsleverantör,
• från ett kreditupplysningsföretag och de offentliga register som företaget använder när RIUS genomför en tillåten kreditkontroll,
• från transportföretag,
• från våra drift-, support- och kommunikationsleverantörer.

Om en gruppadministratör eller annan behörig person registrerar en beställning åt dig har RIUS inte fått uppgifterna direkt från dig. Information om behandlingen lämnas då senast i den första orderbekräftelsen eller annan första kontakt med dig.

När RIUS hämtar uppgifter om en vuxen administratör eller potentiell administratör från en offentlig källa används bara de uppgifter som behövs för att verifiera personens identitet och anknytning, förebygga bedrägerier eller ta en relevant första kontakt om gruppförsäljning. RIUS samlar inte in uppgifter om barn för prospektering. Personen får information om RIUS behandling, uppgifternas källa och rätten att invända senast vid den första kontakten eller annars inom en månad.

Fält som behövs för att genomföra ett köp, skapa ett konto eller hantera en leverans markeras som obligatoriska. Om dessa uppgifter inte lämnas kan vi normalt inte tillhandahålla den aktuella tjänsten.

Samtycke till statistik eller marknadsföring är alltid frivilligt. Ett sådant samtycke är inte ett villkor för att handla, skapa ett nödvändigt konto eller delta i en försäljning.

7.1 Betalningar

Betalningar på webbplatsen hanteras av Stripe eller den betalningsmetod som tydligt anges vid köpet.

RIUS lagrar inte fullständiga kortnummer eller kortets säkerhetskod. Betalningsleverantören behandlar betalningsuppgifter enligt sina egna villkor. RIUS får normalt information om belopp, betalningsstatus, tidpunkt och transaktionsreferens.

Vid gruppförsäljning där gruppen tar emot betalningen genom exempelvis Swish ansvarar gruppen för sin betalningshantering. RIUS får bara de betalnings- och avräkningsuppgifter som behövs för att administrera beställningen och gruppens ekonomiska redovisning.

7.2 Manuell kreditkontroll

När en vuxen försäljningsadministratör får ett personligt betalningsansvar eller när RIUS annars tar en verklig kreditrisk kan RIUS, om det behövs, manuellt inhämta en kredit- eller identitetsupplysning från ett kreditupplysningsföretag med tillstånd. Kontrollen görs inför godkännande eller kreditgivning och omfattar aldrig minderåriga säljare.

RIUS dokumenterar varför kontrollen behövs samt datum, leverantör och beslut. RIUS sparar inte hela kreditupplysningen eller personnumret längre än vad som behövs för kontrollen. Kreditupplysningsföretaget skickar den upplysningskopia som krävs enligt kreditupplysningslagen direkt till den kontrollerade personen.

8.1 Direktmarknadsföring till vuxna

RIUS kan marknadsföra relevanta produkter, tjänster, erbjudanden och framtida försäljningsperioder till vuxna kunder, gruppadministratörer, organisationsrepresentanter, potentiella gruppadministratörer och vuxna vårdnadshavare eller familjemedlemmar som själva har lämnat eller bekräftat sina kontaktuppgifter. Marknadsföringen kan ske genom e-post, sms, telefon, post, sociala medier och riktad annonsering. Minderåriga säljare får inte direktmarknadsföring från RIUS.

RIUS använder samtycke när det krävs. I andra fall kan behandlingen grundas på RIUS berättigade intresse av att marknadsföra relevanta produkter och tjänster till vuxna som har eller rimligen kan förväntas ha en relevant relation till RIUS eller en gruppförsäljning. Innan berättigat intresse används gör RIUS en dokumenterad intresseavvägning.

Marknadsföring genom e-post eller sms till en fysisk person skickas endast efter ett förhandssamtycke eller när villkoren för det lagstadgade undantaget för egna, likartade produkter i en befintlig kundrelation är uppfyllda. Varje elektroniskt marknadsföringsmeddelande innehåller en enkel och kostnadsfri möjlighet att avregistrera sig. Om en person invänder mot direktmarknadsföring upphör RIUS att använda personens uppgifter för det ändamålet.

Nyhetsbrev som personen själv väljer att prenumerera på skickas efter ett aktivt samtycke. Samtycket dokumenteras och kan återkallas när som helst genom avregistreringslänken i meddelandet eller genom kontakt med RIUS.

Uppgifter för nyhetsbrev sparas tills samtycket återkallas eller inte längre kan anses aktuellt. RIUS kontrollerar samtyckets aktualitet med lämpliga mellanrum. Adresser som är permanent obrukbara tas bort. Vid avregistrering behålls endast den begränsade spärrinformation som behövs för att förhindra fortsatta utskick.

Orderbekräftelser, leveransinformation, säkerhetsmeddelanden och svar från kundservice är servicemeddelanden och skickas när de behövs för avtalet eller tjänsten.

RIUS registrerar inte om en mottagare öppnar ett marknadsföringsmejl eller klickar på en länk i det.

RIUS använder inte säljaraktivitet för att skapa marknadsföringsprofiler om barn.

8.2 Statistik

Google Analytics får endast laddas efter samtycke till statistik. Om du accepterar statistik men inte marknadsföring är Googles annonslagring, annonspersonalisering och annonsrelaterade användardata avstängda.

RIUS skickar inte namn, e-postadresser, telefonnummer, ordernummer eller grupp- och säljarnamn till Google Analytics.

8.3 Meta Pixel och Conversions API

Meta Pixel och Meta Conversions API används endast efter samtycke till marknadsföring.

Vid samtycke kan RIUS överföra:

• sidvisningar och andra tillåtna händelser på offentliga delar av webbplatsen,
• Metas cookie- eller klickidentifierare,
• att ett köp genomförts, köpets värde, valuta och antal varor,
• e-postadress och telefonnummer i hashad form för matchning.

Hashning innebär inte att uppgifterna blir anonyma. Syftet med hashningen är att Meta ska kunna jämföra uppgifterna med uppgifter om sina användare.

RIUS skickar inte namn, hemadress, födelsedatum eller orderns produktdetaljer till Meta. Meta Pixel körs inte på konto-, admin-, kassa-, grupp- eller säljarsidor där adresser, säkerhetstoken eller uppgifter om barn kan förekomma.

RIUS och Meta är gemensamt personuppgiftsansvariga för den inledande insamlingen och överföringen genom Metas företagsverktyg. Meta ansvarar därefter för sin egen behandling enligt sina villkor.

8.4 Automatiserade beslut

RIUS fattar inte beslut som enbart grundas på automatiserad behandling och som medför rättsliga eller på liknande sätt betydande konsekvenser för en person.

Automatiska säkerhets- och bedrägeriregler hos RIUS eller en betalningsleverantör kan tillfälligt stoppa misstänkta anrop, inloggningsförsök eller betalningar. Ett sådant beslut kan begäras granskat genom att kontakta RIUS.

RIUS tjänst kan användas i gruppförsäljningar där vissa försäljningsdeltagare är barn.

Följande gäller:

• Gruppadministratören lägger in säljare, eller så anmäler sig säljaren själv med gruppens kod.
• Gruppadministratören ansvarar enligt gruppavtalet för att säljaren, eller vårdnadshavaren om säljaren är barn, känner till och har godkänt deltagandet och att säljarens namn eller visningsnamn visas.
• Säljarens visningsnamn visas på gruppens sida och på säljarens personliga säljsida; finns inget visningsnamn visas namnet. Visningsnamnet kan till exempel vara ett förnamn eller ett smeknamn, och det fullständiga namnet syns då bara i den inloggade administrationsvyn.
• Vill en säljare eller vårdnadshavare ändra eller ta bort namnet eller visningsnamnet kontaktar hen gruppadministratören eller RIUS på info@riuslegacy.com.
• RIUS frågar inte efter säljarens ålder. Den e-postadress som anges för ett säljarkonto kan vara säljarens egen eller en vårdnadshavares.
• Den personliga säljsidan indexeras inte av sökmotorer.
• Gruppadministratören får i den inloggade administrationsvyn se säljarens namn, försäljningsresultat och de övriga uppgifter som behövs för att administrera försäljningen och fördela gruppens intäkter. Organisationsadministratörer får bara se de uppgifter de behöver för sitt uppdrag.
• Barns uppgifter används inte för beteendebaserad direktmarknadsföring.

En säljare är inte juridisk säljare eller avtalspart enbart på grund av sitt säljarkonto. Den juridiska säljaren anges separat i samband med kundens köp.

RIUS lämnar endast ut uppgifter när det behövs för ett angivet ändamål.

Åtkomsten är tidsbegränsad. Behörig gruppadministratör och tilldelad säljare kan se uppgifterna under den pågående försäljningen och i tre månader efter att den avslutats.

Leverantörer som behandlar uppgifter för RIUS räkning omfattas av personuppgiftsbiträdesavtal när detta krävs enligt GDPR art. 28. De får inte använda uppgifterna för egna ändamål om de inte också är självständigt eller gemensamt personuppgiftsansvariga för en tydligt angiven behandling.

RIUS säljer inte personuppgifter.

Flera tekniska leverantörer är internationella företag. Uppgifter kan därför göras tillgängliga från ett land utanför EU/EES.

När en sådan överföring sker använder RIUS, beroende på mottagare:

• EU-kommissionens beslut om adekvat skyddsnivå, inklusive EU–U.S. Data Privacy Framework för en certifierad amerikansk mottagare,
• EU-kommissionens standardavtalsklausuler,
• kompletterande tekniska och organisatoriska skyddsåtgärder.

Du kan kontakta RIUS för information om vilken skyddsmekanism som används för en viss leverantör och hur du kan få del av relevanta villkor.

RIUS sparar inte uppgifter längre än vad som behövs för respektive ändamål.

Uppgifter i ett aktivt konto sparas så länge kontot, kundrelationen eller en pågående gruppförsäljning är aktiv och uppgifterna behövs för tjänsten. Tidsfristen för inaktiva konton börjar först när relationen och samtliga aktiva försäljningsperioder har avslutats.

Radering innebär att uppgifterna tas bort eller anonymiseras på ett sätt som gör att de inte längre kan hänföras till en person.

RIUS raderar inte information som måste behållas oförändrad enligt bokföringslagstiftningen. Sådan information spärras från andra användningar och begränsas till det lagstadgade ändamålet.

RIUS använder tekniska och organisatoriska säkerhetsåtgärder anpassade till behandlingens risker. Åtgärderna omfattar bland annat:

• krypterad överföring,
• behörighetsstyrning och principen om minsta åtkomst,
• separering mellan grupper och organisationer,
• förstärkt autentisering för privilegierade administratörer,
• loggning av säkerhetsrelevanta händelser,
• säkerhetskopiering och återställningsrutiner,
• begränsning av personuppgifter i felrapporter,
• rutiner för incidenter och personuppgiftsincidenter,
• regelbunden granskning av leverantörer och behörigheter.

Om en personuppgiftsincident sannolikt innebär en risk för enskildas rättigheter anmäler RIUS den till Integritetsskyddsmyndigheten när lagen kräver det. Berörda personer informeras när incidenten sannolikt innebär en hög risk.

Beroende på omständigheterna har du rätt att:

• få veta om RIUS behandlar uppgifter om dig,
• få en kopia av dina personuppgifter,
• få felaktiga eller ofullständiga uppgifter rättade,
• begära radering,
• begära att behandlingen begränsas,
• invända mot behandling som grundas på berättigat intresse,
• invända mot direktmarknadsföring,
• få ut vissa uppgifter i ett strukturerat och maskinläsbart format när behandlingen är automatiserad och grundas på avtal eller samtycke,
• återkalla ett samtycke när som helst,
• lämna klagomål till Integritetsskyddsmyndigheten.

En återkallelse påverkar inte lagligheten av behandling som redan har skett.

Rätten till radering är inte absolut. RIUS kan behöva behålla uppgifter för exempelvis bokföring, pågående avtal, reklamationer eller rättsliga anspråk. Uppgifterna får då inte användas för oförenliga ändamål.

Invänder du mot direktmarknadsföring upphör den utan någon intresseavvägning.

Begäran skickas till info@riuslegacy.com. Vi kan behöva kontrollera identiteten på ett proportionerligt sätt innan uppgifter lämnas ut eller ändras.

RIUS svarar utan onödigt dröjsmål och normalt inom en månad. Tiden kan förlängas med ytterligare två månader när en begäran är komplicerad eller flera begäranden har inkommit. Du informeras i så fall om förlängningen och orsaken.

Klagomål kan lämnas till Integritetsskyddsmyndigheten på imy.se.

RIUS kan uppdatera denna policy när behandlingen, tjänsten eller lagstiftningen förändras.

Den aktuella versionen ska alltid finnas på webbplatsen tillsammans med versionsnummer och datum. Vid en väsentlig förändring informerar RIUS berörda personer på ett tydligt sätt, exempelvis via webbplatsen, kontot eller e-post.

En ny policy används inte för att i efterhand utvidga ett tidigare samtycke. Om ett nytt ändamål kräver samtycke hämtas ett nytt samtycke in innan behandlingen börjar.

Frågor om integritet eller registrerades rättigheter skickas till:

RIUS Legacy AB Hermelinsvägen 21 132 46 Saltsjö-Boo E-post: info@riuslegacy.com