Vi värnar om din integritet och behandlar dina personuppgifter med största försiktighet enligt EU:s allmänna dataskyddsförordning (GDPR) och svensk dataskyddslagstiftning.
Denna policy förklarar vilka personuppgifter vi samlar in, varför vi gör det, hur länge vi sparar dem och vilka rättigheter du har.
1. Personuppgiftsansvarig
Baders Productions AB, org.nr 559745-9543
E-post: info@koreo.se
Vi är personuppgiftsansvariga för de uppgifter du som administratör/ägare registrerar för att skapa och använda ditt konto på Koreo.
För personuppgifter om elever, vårdnadshavare och övriga kunder som registreras i din dansskolas konto är du som dansskola personuppgiftsansvarig, medan vi är personuppgiftsbiträde. Detta regleras i ett separat personuppgiftsbiträdesavtal (PUB-avtal).
2. Vilka uppgifter vi samlar in
När du skapar konto: dansskolans namn, URL, ditt förnamn, efternamn, e-postadress, krypterad lösenord-hash.
När du använder Tjänsten:
- Kontaktuppgifter (telefon, adress, postnummer, stad) om du anger dem
- Inloggningsuppgifter och sessionsdata (cookies för att hålla dig inloggad)
- Användningsdata: när du loggar in, vilka sidor du besöker, IP-adress
- Eventuella avatar-bilder du laddar upp
- Betalningsuppgifter – hanteras direkt av Stripe, vi lagrar aldrig kortuppgifter
3. Varför vi behandlar dina uppgifter
Vi behandlar dina personuppgifter för att:
- Tillhandahålla Tjänsten (rättslig grund: fullgöra avtal med dig)
- Skicka tjänsterelaterad e-post (t.ex. bekräftelser, lösenordsåterställning, viktiga meddelanden om ditt konto)
- Fakturera och hantera betalningar (rättslig grund: avtal + bokföringslag)
- Säkerhet och felsökning (loggar för att upptäcka missbruk; rättslig grund: berättigat intresse)
- Förbättra Tjänsten (aggregerad, anonymiserad analys; rättslig grund: berättigat intresse)
4. Hur länge vi sparar uppgifterna
- Kontouppgifter: så länge ditt konto är aktivt + 90 dagar därefter
- Inloggningsloggar: 12 månader
- Betalnings- och faktureringsdata: 7 år (bokföringslag)
- Marknadsföringssamtycken: tills du återkallar
- Support-ärenden: 24 månader efter att ärendet stängts
5. Mottagare av personuppgifter
Vi använder följande databehandlare som behandlar personuppgifter för vår räkning:
- Vercel Inc. – hosting (EU-region)
- Neon Inc. – databas (EU-region)
- Stripe Payments Europe Ltd. – betalningar
- Resend Inc. – e-postutskick
- Anthropic PBC – AI-funktioner (bara om tenant aktiverar)
Vi lämnar aldrig ut personuppgifter till tredje part för marknadsföringssyften.
6. Överföring utanför EU/EES
Några av våra leverantörer (t.ex. Stripe, Anthropic) är baserade i USA. Vid sådan överföring säkerställer vi att den sker enligt EU-kommissionens standardklausuler (SCC) och med tekniska säkerhetsåtgärder (kryptering i transit och vila).
7. Dina rättigheter
Du har rätt att:
- Få ut dina uppgifter i läsbart format (rätt till tillgång och dataportabilitet)
- Begära rättelse om något är felaktigt
- Begära raderingav dina uppgifter ("rätt att bli glömd"), med undantag för uppgifter vi måste spara enligt lag
- Begränsa behandlingen i specifika fall
- Invända mot behandling som sker med stöd av berättigat intresse
- Återkalla samtycke när som helst (gäller samtyckesbaserad behandling, t.ex. nyhetsbrev)
- Klaga till Integritetsskyddsmyndigheten (IMY) om du anser att vi behandlat dina uppgifter felaktigt
För att utöva dina rättigheter, kontakta info@koreo.se. Vi besvarar din begäran inom en månad.
8. Cookies
Vi använder bara nödvändiga cookies för att hålla dig inloggad och säkerställa funktionalitet. Vi använder inga tredjeparts-cookies för spårning eller marknadsföring.
9. Säkerhet
Vi vidtar tekniska och organisatoriska åtgärder för att skydda dina personuppgifter, bland annat:
- All trafik krypteras med TLS (HTTPS)
- Lösenord lagras endast som bcrypt-hashvärden
- Databasen krypteras vid vila
- API-nycklar krypteras med AES-256-GCM innan lagring
- Åtkomst till produktionssystem är begränsad och loggas
- Krypterade säkerhetskopior varje natt, lagrade inom EU och raderade efter 35 dagar
10. Facebook och Instagram
En dansskola kan koppla sin Facebook-sida och sitt Instagram-konto till Koreo för att publicera inlägg, svara på direktmeddelanden och kommentarer. Koreo får då en åtkomsttoken för sidan (lagras krypterad) samt de meddelanden och kommentarer som skickas till skolans konto. Uppgifterna används bara för att visa dem i skolans inkorg och svara på dem, och behandlas för dansskolans räkning.
Radera uppgifter: skolan kopplar bort kontot under Sociala medier → Inställningar i Koreo — då tas åtkomsttoken bort direkt och Koreo slutar ta emot meddelanden. Du som skrivit till en skola via Facebook eller Instagram kan be skolan, eller oss på info@koreo.se, radera dina meddelanden i Koreo. Vi raderar inom 30 dagar och bekräftar via e-post. Du kan också ta bort appen under Inställningar → Appar och webbplatser på Facebook.
11. Ändringar av denna policy
Vi kan komma att uppdatera denna integritetspolicy. Större ändringar aviseras via e-post och in-app. Du hittar alltid senaste versionen på /integritet.
12. Kontakt
Frågor om denna policy eller om hur vi hanterar dina personuppgifter ställs till info@koreo.se.