Integritetspolicy
1. Introduktion och tillämpningsområde
Välkommen till EquiDuty. Vi värnar om din integritet och är engagerade i att skydda dina personuppgifter. Denna integritetspolicy förklarar hur vi samlar in, använder, lagrar och skyddar dina personuppgifter när du använder vår SaaS-plattform för stallhantering.
Denna policy gäller för alla användare av EquiDuty:s webbplats, webbapplikation (PWA), iOS-app, Android-app och relaterade tjänster.
Genom att använda EquiDuty godkänner du villkoren i denna integritetspolicy. Om du inte samtycker till dessa villkor, vänligen använd inte våra tjänster.
2. Personuppgiftsansvarig
Personuppgiftsansvarig för behandling av dina personuppgifter är:
- Personuppgiftsansvarig: Max Ahston, privatperson, som driver tjänsten EquiDuty
- Adress: Stockholm, Sverige
- E-post för dataskyddsfrågor: info@equiduty.se
Om du har frågor om hur vi behandlar dina personuppgifter eller vill utöva dina rättigheter enligt GDPR, kontakta oss på adressen ovan.
3. Vilka personuppgifter samlar vi in
3.1 Kontaktinformation
- E-postadress
- Förnamn och efternamn
- Telefonnummer (valfritt)
- Organisationsnamn och adress
- Stallinformation (namn, adress, kontaktuppgifter)
3.2 Konto- och autentiseringsdata
- Firebase Authentication UID (unikt användar-ID)
- E-postverifieringsstatus
- JWT-tokens för sessionshantering
- OAuth-leverantörsdata (vid Google-inloggning)
- Användarpreferenser (notifikationsinställningar, mörkt läge, tidszon)
- Enhets-ID (UUID lagrad lokalt för sessionshantering)
3.3 Hästdata och användargenererat innehåll
- Hästinformation (namn, ras, färg, kön, mikro chip, pass-ID)
- Hälsojournaler för hästar (veterinär-, hovslagar-, tandvård, medicinering)
- Foton och media (profilbilder, hälsojournalbilagor för hästar)
- Scheman och pass-data
- Dagliga anteckningar och aktivitetshistorik för hästar
- Uppgiftsinformation (rutiner, scheman, tilldelningar)
3.4 Finansiell information
- Stripe kund- och prenumerations-ID
- Betalningshistorik och fakturaposter
- Prenumerationsnivå och faktureringsintervall
- Observera: Vi lagrar INTE kreditkortsuppgifter. All betalningsinformation hanteras säkert av Stripe (PCI-DSS-kompatibel).
3.5 Användningsdata
- Flödesanalys (rutinregistreringar, genomförandegrad)
- Rättvisealgoritm-spårning (poäng, skiftgenomförande)
- Aktivitetsstämplar (inloggningar, åtgärder)
- IP-adresser (endast i revisionsloggar för säkerhet)
3.6 Enhets- och tekniska data
- Firebase Cloud Messaging (FCM) tokens för push-notiser
- Enhetstyp och operativsystem (för appkompatibilitet)
- Webbläsartyp och version
- Aggregerade CTA-klick på webbplatsen (knapp, sida och destination) utan analyscookies
3.7 Revision och efterlevnad
- Revisionsloggar (användaråtgärder, IP-adresser, tidsstämplar)
- GDPR-export och raderingsförfrågningar
3.8 Vad vi INTE samlar in
Vi samlar INTE in följande:
- GPS-platsdata eller geografisk spårning
- Beteendespårning, sessionsinspelning eller annonsprofilering via tredjepartsverktyg
- Biometrisk data
- Fullständiga kreditkortsuppgifter (hanteras av Stripe)
4. Varför samlar vi in personuppgifter
Vi använder dina personuppgifter för följande ändamål:
4.1 Tillhandahållande av tjänsten
- Skapa och hantera ditt användarkonto
- Autentisera din identitet och säkra din session
- Lagra och hantera hästinformation, scheman och pass
- Beräkna rättvis arbetsfördelning via viktbaserad algoritm
- Skicka notifikationer om kommande pass och uppdateringar
4.2 Betalning och prenumerationshantering
- Behandla betalningar via Stripe
- Hantera prenumerationer och fakturering
- Skicka fakturor och betalningsbekräftelser
- Hantera kontouppgraderingar och nedgraderingar
4.3 Kundtjänst och support
- Svara på dina frågor och supportärenden
- Felsöka tekniska problem
- Tillhandahålla användarguider och dokumentation
- AI-assisterad texthjälp (Vertex AI Gemini) — valfritt, används när du väljer att förbättra text i supportärenden eller stallanslagstavlan
4.4 Säkerhet och efterlevnad
- Förhindra bedrägeri och obehörig åtkomst
- Upptäcka och förhindra säkerhetsincidenter
- Uppfylla juridiska skyldigheter (t.ex. svensk bokföringslag kräver 7 års lagring av finansiella poster)
- Genomdriva våra användarvillkor
4.5 Tjänsteförbättringar
- Analysera användningsmönster för att förbättra användarupplevelsen
- Utveckla nya funktioner baserat på användarbehov
- Optimera prestanda och tillförlitlighet
5. Laglig grund för behandling (GDPR)
Enligt GDPR Artikel 6 behandlar vi dina personuppgifter baserat på följande lagliga grunder:
5.1 Fullgörande av avtal (Artikel 6.1.b)
Behandling av konto-, hästdata, schema- och prenumerationsinformation är nödvändig för att tillhandahålla EquiDuty-tjänsten som du har registrerat dig för.
5.2 Samtycke (Artikel 6.1.a)
- Marknadsförings-e-post och kommunikation (du kan när som helst återkalla samtycke)
- Valfria notifikationer (SMS, Telegram)
- Foton och media som du laddar upp
5.3 Berättigat intresse (Artikel 6.1.f)
- Säkerhet och bedrägeriskydd
- Tjänsteförbättringar och produktutveckling
- Aggregerad, cookiefri mätning av webbplatsens CTA-klick (PostHog EU) — se avsnitt 11.2
5.4 Juridisk skyldighet (Artikel 6.1.c)
- Finansiella poster (svensk bokföringslag kräver 7 års lagring)
- Revisionsloggar (säkerhets- och efterlevnadskrav)
6. Tredjepartstjänster och datadelning
Vi delar dina personuppgifter med följande tredjepartstjänster som är nödvändiga för att driva EquiDuty. Alla leverantörer uppfyller GDPR-krav och har dataskyddsavtal på plats.
Personuppgiftsbiträdesavtal (DPA): B2B-kunder kan begära ett personuppgiftsbiträdesavtal genom att e-postainfo@equiduty.se — mall tillgänglig på/legal/dpa-sv.pdf.
6.1 Google Cloud Platform (GCP)
- Syfte: Molninfrastruktur, databas, lagring, autentisering
- Data som delas: ALL applikationsdata (användarkonton, hästdata, scheman, foton)
- Plats: Europa (europe-west1 region)
- Integritetspolicy: https://cloud.google.com/terms/cloud-privacy-notice
- Tjänster: Firebase Authentication, Firestore, Cloud Storage, Cloud Run, Cloud Functions
6.2 Stripe
- Syfte: Betalningsbehandling och prenumerationshantering
- Data som delas: E-post, namn, betalningsmetoder, faktureringshistorik
- Plats: USA (med EU Standard Contractual Clauses)
- Integritetspolicy: https://stripe.com/privacy
- Notera: Stripe är PCI-DSS-certifierad. Vi lagrar INTE kreditkortsuppgifter själva.
6.3 send.one.com (SMTP)
- Syfte: E-postleverans (organisationsinbjudningar, aviseringar)
- Data som delas: E-postadresser, organisationsnamn
- Plats: Danmark/EU
- Integritetspolicy: https://www.one.com/en/about/privacy
6.4 Telegram Bot API
- Syfte: Notifikationer via Telegram
- Data som delas: Telegram chatt-ID, meddelandeinnehåll
- Plats: Globalt
- Integritetspolicy: https://telegram.org/privacy
- Notera: Valfritt, endast om du väljer att aktivera Telegram-notifikationer
6.5 Firebase Cloud Messaging (FCM)
- Syfte: Push-notifikationer till iOS/Android-appar
- Data som delas: FCM-tokens, meddelandeinnehåll
- Plats: Globalt (Google-servrar)
- Integritetspolicy: https://firebase.google.com/support/privacy
6.6 Vertex AI (Google Gemini)
- Syfte: Valfri AI-texthjälp när du väljer att förbättra text i supportärenden eller inlägg på stallanslagstavlan
- Data som delas: Enbart text du uttryckligen skickar för AI-förbättring
- Plats: Europa (europe-west1)
- Integritetspolicy: Täcks av GCP-integritetspolicy
6.7 Twilio (valfritt, ej fullt implementerat)
- Syfte: SMS-notifikationer
- Data som delas: Telefonnummer, SMS-innehåll
- Integritetspolicy: https://www.twilio.com/legal/privacy
- Notera: För närvarande inte fullt aktiverad
6.8 PostHog (endast webbplatsen)
- Syfte: Aggregerad, cookiefri mätning av CTA-klick på marknadsföringswebbplatsen (se avsnitt 11.2)
- Data som delas: Knappetikett, sidsökväg, sidtitel, språk och klickets destination. Inga cookies, ingen automatisk klickinsamling, ingen sidvisningsspårning, ingen sessionsinspelning och ingen IP-baserad platsbestämning
- Plats: EU (eu.i.posthog.com)
- Integritetspolicy: https://posthog.com/privacy
- Notera: Används endast på den publika webbplatsen, inte i appen. Respekterar webbläsarens Do Not Track-inställning
7. Lagringstid
Vi lagrar dina personuppgifter endast så länge som nödvändigt för de ändamål som beskrivs i denna policy:
| Datakategori | Lagringstid | Motivering |
|---|---|---|
| Användarkonton | Prenumerationens varaktighet + 30 dagar | Tillåter kontoåterställning |
| Hästdata och innehåll | Prenumerationens varaktighet + 30 dagar | Tjänstetillhandahållande |
| Finansiella poster | 7 år | Svensk bokföringslag |
| Revisionsloggar | 2 år | Säkerhets- och efterlevnadskrav |
| Marknadsföringssamtycke | Tills det återkallas | Användarens samtycke |
| Supportärenden | 3 år | Kundsupporthistorik |
Efter att lagringsperioden har löpt ut raderas personuppgifterna säkert från våra system. Du kan när som helst begära tidigare radering genom att kontakta oss på info@equiduty.se.
8. Dina rättigheter enligt GDPR
Enligt Allmänna dataskyddsförordningen (GDPR) har du följande rättigheter avseende dina personuppgifter:
8.1 Rätt till tillgång (Artikel 15)
Du har rätt att få en kopia av alla personuppgifter vi har om dig. Kontakta info@equiduty.se för att begära ett datauttag.
8.2 Rätt till rättelse (Artikel 16)
Du har rätt att korrigera felaktiga eller ofullständiga personuppgifter. Du kan uppdatera din profilinformation direkt i appen eller kontakta oss för hjälp.
8.3 Rätt till radering - "Rätten att bli glömd" (Artikel 17)
Du har rätt att begära att vi raderar dina personuppgifter. Logga in i appen och väljInställningar → Konto → Radera konto, eller följ instruktionerna på/delete-account om du inte kan logga in. Observera att vissa data kan behöva lagras för juridiska skyldigheter (t.ex. finansiella poster i 7 år).
8.4 Rätt till dataportabilitet (Artikel 20)
Du har rätt att få dina personuppgifter i ett strukturerat, maskinläsbart format (JSON) och överföra dem till en annan tjänsteleverantör. Kontakta info@equiduty.se för att begära ett datauttag.
8.5 Rätt att invända (Artikel 21)
Du har rätt att invända mot behandling av dina personuppgifter baserat på berättigat intresse. Kontakta info@equiduty.se med ditt ärende.
8.6 Rätt att återkalla samtycke
Om behandlingen baseras på samtycke kan du när som helst återkalla ditt samtycke. Detta påverkar inte lagligheten av behandling baserad på samtycke innan återkallelsen.
8.7 Rätt att lämna klagomål
Du har rätt att lämna klagomål till den svenska dataskyddsmyndigheten (Integritetsskyddsmyndigheten - IMY):
- Webbplats: https://www.imy.se
- E-post: imy@imy.se
- Telefon: 08-657 61 00
- Adress: Integritetsskyddsmyndigheten, Box 8114, 104 20 Stockholm
9. Datasäkerhet
Vi vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda dina personuppgifter mot obehörig åtkomst, förlust, förstörelse eller ändring:
9.1 Tekniska säkerhetsåtgärder
- Kryptering: All data krypteras under överföring (TLS/SSL) och i vila (AES-256)
- Autentisering: Firebase Authentication med JWT-tokens och säkra sessionshantering
- Åtkomstkontroll: Rollbaserad åtkomstkontroll (RBAC) med fältnivåbehörigheter
- Brandväggar och säkerhet: GCP-brandväggar, DDoS-skydd, säkerhetsregler
- Säkerhetskopiering: Regelbundna automatiska säkerhetskopieringar med point-in-time-återställning
9.2 Organisatoriska säkerhetsåtgärder
- Åtkomst till data begränsad till auktoriserad personal med behov av åtkomst
- Rutiner för hantering av säkerhetsincidenter och databrott
9.3 Dataintrång
I händelse av ett dataintrång kommer vi att meddela berörda användare och Integritetsskyddsmyndigheten inom 72 timmar enligt GDPR-kraven.
10. Internationella dataöverföringar
Dina personuppgifter lagras huvudsakligen inom EU (GCP europe-west1 region i Belgien), men vissa tredjepartstjänster kan innebära dataöverföringar utanför EU/EES:
10.1 USA-baserade tjänster
- Stripe: USA (EU Standard Contractual Clauses)
10.2 Skyddsåtgärder
För alla internationella dataöverföringar utanför EU/EES säkerställer vi lämpliga skyddsåtgärder:
- EU Standard Contractual Clauses (SCCs): Juridiskt bindande avtal som kräver samma dataskyddsnivå som GDPR
- Dataskyddsavtal: Alla tredjepartstjänster har dataskyddsavtal på plats
- Kryptering: All data krypteras under överföring och i vila
12. Barns integritet
EquiDuty är inte avsett för barn under 16 år. Vi samlar inte medvetet in personuppgifter från barn under 16 år utan föräldrarnas samtycke.
Om du är förälder eller vårdnadshavare och upptäcker att ditt barn har tillhandahållit oss personuppgifter utan ditt samtycke, vänligen kontakta oss på info@equiduty.se. Vi kommer att radera sådan information från våra system.
13. Ändringar av integritetspolicyn
Vi kan uppdatera denna integritetspolicy från tid till annan för att återspegla ändringar i våra metoder eller av juridiska skäl. Vi kommer att meddela dig om väsentliga ändringar via:
- Meddelande i appen
- Uppdatering av "Senast uppdaterad"-datumet högst upp på denna sida
Vi uppmuntrar dig att regelbundet granska denna integritetspolicy. Fortsatt användning av EquiDuty efter ändringar innebär att du accepterar den uppdaterade policyn.
14. Kontaktinformation
Om du har frågor, funderingar eller begäranden om denna integritetspolicy eller våra dataskyddsmetoder, vänligen kontakta oss:
- E-post: info@equiduty.se
- Adress: Stockholm, Sverige
- GDPR-kontaktperson: Max Ahston, info@equiduty.se
- Support: https://equiduty.se/support
Vi strävar efter att svara på alla förfrågningar inom 30 dagar enligt GDPR-kraven.
Privacy Policy
1. Introduction and Scope
Welcome to EquiDuty. We value your privacy and are committed to protecting your personal data. This privacy policy explains how we collect, use, store, and protect your personal information when you use our SaaS platform for stable management.
This policy applies to all users of EquiDuty's website, web application (PWA), iOS app, Android app, and related services.
By using EquiDuty, you agree to the terms of this privacy policy. If you do not agree with these terms, please do not use our services.
2. Data Controller
The data controller responsible for processing your personal data is:
- Data Controller: Max Ahston, a private individual, operating the EquiDuty service
- Address: Stockholm, Sweden
- Email for data protection inquiries: info@equiduty.se
If you have questions about how we process your personal data or wish to exercise your rights under GDPR, contact us at the address above.
3. Personal Data We Collect
3.1 Contact Information
- Email address
- First name and last name
- Phone number (optional)
- Organization name and address
- Stable information (name, address, contact details)
3.2 Account and Authentication Data
- Firebase Authentication UID (unique user ID)
- Email verification status
- JWT tokens for session management
- OAuth provider data (Google login)
- User preferences (notification settings, dark mode, timezone)
- Device ID (UUID stored locally for session management)
3.3 Horse Data and User-Generated Content
- Horse information (name, breed, color, gender, microchip, passport ID)
- Health records for horses (veterinary, farrier, dental, medications)
- Photos and media (profile pictures, horse health record attachments)
- Schedule and shift data
- Daily notes and horse activity history
- Task information (routines, schedules, assignments)
3.4 Financial Information
- Stripe customer and subscription IDs
- Payment history and invoice records
- Subscription tier and billing interval
- Note: We do NOT store credit card details. All payment information is securely handled by Stripe (PCI-DSS compliant).
3.5 Usage Data
- Feed analytics (routine completions, completion rates)
- Fairness algorithm tracking (points, shift completion)
- Activity timestamps (logins, actions)
- IP addresses (audit logs for security only)
3.6 Device and Technical Data
- Firebase Cloud Messaging (FCM) tokens for push notifications
- Device type and operating system (app compatibility)
- Browser type and version
- Aggregated website CTA clicks (button, page, and destination) without analytics cookies
3.7 Audit and Compliance
- Audit logs (user actions, IP addresses, timestamps)
- GDPR export and deletion requests
3.8 What We DO NOT Collect
We do NOT collect the following:
- GPS location data or geographic tracking
- Behavioral tracking, session recording, or advertising profiling via third-party tools
- Biometric data
- Full credit card details (handled by Stripe)
4. Why We Collect Personal Data
We use your personal data for the following purposes:
4.1 Service Provision
- Create and manage your user account
- Authenticate your identity and secure your session
- Store and manage horse information, schedules, and shifts
- Calculate fair work distribution via weight-based algorithm
- Send notifications about upcoming shifts and updates
4.2 Payment and Subscription Management
- Process payments via Stripe
- Manage subscriptions and billing
- Send invoices and payment confirmations
- Handle account upgrades and downgrades
4.3 Customer Support
- Respond to your questions and support tickets
- Troubleshoot technical issues
- Provide user guides and documentation
- AI-assisted writing help (Vertex AI Gemini) — optional, used when you choose to improve text in support tickets or stable bulletin board posts
4.4 Security and Compliance
- Prevent fraud and unauthorized access
- Detect and prevent security incidents
- Comply with legal obligations (e.g., Swedish accounting law requires 7-year retention of financial records)
- Enforce our Terms of Service
4.5 Service Improvements
- Analyze usage patterns to improve user experience
- Develop new features based on user needs
- Optimize performance and reliability
5. Legal Basis for Processing (GDPR)
Under GDPR Article 6, we process your personal data based on the following legal bases:
5.1 Contract Performance (Article 6.1.b)
Processing of account, horse data, schedule, and subscription information is necessary to provide the EquiDuty service you have signed up for.
5.2 Consent (Article 6.1.a)
- Marketing emails and communications (you can withdraw consent at any time)
- Optional notifications (SMS, Telegram)
- Photos and media you upload
5.3 Legitimate Interest (Article 6.1.f)
- Security and fraud prevention
- Service improvements and product development
- Aggregated, cookieless website CTA-click measurement (PostHog EU) — see section 11.2
5.4 Legal Obligation (Article 6.1.c)
- Financial records (Swedish accounting law requires 7-year retention)
- Audit logs (security and compliance requirements)
6. Third-Party Services and Data Sharing
We share your personal data with the following third-party services necessary to operate EquiDuty. All vendors comply with GDPR requirements and have data processing agreements in place.
Data Processing Agreement (DPA): B2B customers may request a Data Processing Agreement by emailinginfo@equiduty.se — template available at/legal/dpa-en.pdf.
6.1 Google Cloud Platform (GCP)
- Purpose: Cloud infrastructure, database, storage, authentication
- Data shared: ALL application data (user accounts, horse data, schedules, photos)
- Location: Europe (europe-west1 region)
- Privacy Policy: https://cloud.google.com/terms/cloud-privacy-notice
- Services: Firebase Authentication, Firestore, Cloud Storage, Cloud Run, Cloud Functions
6.2 Stripe
- Purpose: Payment processing and subscription management
- Data shared: Email, name, payment methods, billing history
- Location: USA (with EU Standard Contractual Clauses)
- Privacy Policy: https://stripe.com/privacy
- Note: Stripe is PCI-DSS certified. We do NOT store credit card details ourselves.
6.3 send.one.com (SMTP)
- Purpose: Email delivery (organization invitations, notifications)
- Data shared: Email addresses, organization names
- Location: Denmark/EU
- Privacy Policy: https://www.one.com/en/about/privacy
6.4 Telegram Bot API
- Purpose: Notifications via Telegram
- Data shared: Telegram chat IDs, message content
- Location: Global
- Privacy Policy: https://telegram.org/privacy
- Note: Optional, only if you choose to enable Telegram notifications
6.5 Firebase Cloud Messaging (FCM)
- Purpose: Push notifications to iOS/Android apps
- Data shared: FCM tokens, message content
- Location: Global (Google servers)
- Privacy Policy: https://firebase.google.com/support/privacy
6.6 Vertex AI (Google Gemini)
- Purpose: Optional AI writing assistance when you choose to improve text in support tickets or stable bulletin board posts
- Data shared: Only the text you explicitly submit for AI improvement
- Location: Europe (europe-west1)
- Privacy Policy: Covered by GCP privacy policy
6.7 Twilio (optional, not fully implemented)
- Purpose: SMS notifications
- Data shared: Phone numbers, SMS content
- Privacy Policy: https://www.twilio.com/legal/privacy
- Note: Currently not fully activated
6.8 PostHog (website only)
- Purpose: Aggregated, cookieless measurement of CTA clicks on the marketing website (see section 11.2)
- Data shared: Button label, page path, page title, language, and click destination. No cookies, no automatic click collection, no pageview tracking, no session recording, and no IP-based geolocation
- Location: EU (eu.i.posthog.com)
- Privacy Policy: https://posthog.com/privacy
- Note: Used only on the public website, not in the app. Honors the browser Do Not Track setting
7. Data Retention
We retain your personal data only as long as necessary for the purposes described in this policy:
| Data Category | Retention Period | Justification |
|---|---|---|
| User accounts | Subscription duration + 30 days | Allows account recovery |
| Horse data and content | Subscription duration + 30 days | Service provision |
| Financial records | 7 years | Swedish accounting law |
| Audit logs | 2 years | Security and compliance requirements |
| Marketing consent | Until withdrawn | User consent |
| Support tickets | 3 years | Customer support history |
After the retention period expires, personal data is securely deleted from our systems. You can request earlier deletion at any time by contacting info@equiduty.se.
8. Your Rights Under GDPR
Under the General Data Protection Regulation (GDPR), you have the following rights regarding your personal data:
8.1 Right to Access (Article 15)
You have the right to obtain a copy of all personal data we hold about you. Contact info@equiduty.se to request a data export.
8.2 Right to Rectification (Article 16)
You have the right to correct inaccurate or incomplete personal data. You can update your profile information directly in the app or contact us for assistance.
8.3 Right to Erasure - "Right to be Forgotten" (Article 17)
You have the right to request that we delete your personal data. Sign in to the app and choose Settings → Account → Delete account, or follow the instructions at /en/delete-account if you can no longer sign in. Note that some data may need to be retained for legal obligations (e.g., financial records for 7 years).
8.4 Right to Data Portability (Article 20)
You have the right to receive your personal data in a structured, machine-readable format (JSON) and transfer it to another service provider. Contact info@equiduty.se to request a data export.
8.5 Right to Object (Article 21)
You have the right to object to processing of your personal data based on legitimate interest. Contact info@equiduty.se with your case.
8.6 Right to Withdraw Consent
If processing is based on consent, you can withdraw your consent at any time. This does not affect the lawfulness of processing based on consent before withdrawal.
8.7 Right to Lodge a Complaint
You have the right to lodge a complaint with the Swedish Data Protection Authority (Integritetsskyddsmyndigheten - IMY):
- Website: https://www.imy.se
- Email: imy@imy.se
- Phone: 08-657 61 00
- Address: Integritetsskyddsmyndigheten, Box 8114, 104 20 Stockholm, Sweden
9. Data Security
We implement appropriate technical and organizational measures to protect your personal data against unauthorized access, loss, destruction, or alteration:
9.1 Technical Security Measures
- Encryption: All data encrypted in transit (TLS/SSL) and at rest (AES-256)
- Authentication: Firebase Authentication with JWT tokens and secure session management
- Access Control: Role-based access control (RBAC) with field-level permissions
- Firewalls and Security: GCP firewalls, DDoS protection, security rules
- Backups: Regular automated backups with point-in-time recovery
9.2 Organizational Security Measures
- Access to data limited to authorized personnel on a need-to-know basis
- Procedures for handling security incidents and data breaches
9.3 Data Breaches
In the event of a data breach, we will notify affected users and the Swedish Data Protection Authority within 72 hours as required by GDPR.
10. International Data Transfers
Your personal data is primarily stored within the EU (GCP europe-west1 region in Belgium), but some third-party services may involve data transfers outside the EU/EEA:
10.1 US-Based Services
- Stripe: USA (EU Standard Contractual Clauses)
10.2 Safeguards
For all international data transfers outside the EU/EEA, we ensure appropriate safeguards:
- EU Standard Contractual Clauses (SCCs): Legally binding agreements requiring the same level of data protection as GDPR
- Data Processing Agreements: All third-party services have data processing agreements in place
- Encryption: All data encrypted in transit and at rest
12. Children's Privacy
EquiDuty is not intended for children under 16 years of age. We do not knowingly collect personal data from children under 16 without parental consent.
If you are a parent or guardian and discover that your child has provided us with personal data without your consent, please contact us at info@equiduty.se. We will delete such information from our systems.
13. Changes to Privacy Policy
We may update this privacy policy from time to time to reflect changes in our practices or for legal reasons. We will notify you of material changes via:
- In-app notification
- Updating the "Last Updated" date at the top of this page
We encourage you to review this privacy policy regularly. Continued use of EquiDuty after changes constitutes acceptance of the updated policy.
14. Contact Information
If you have questions, concerns, or requests about this privacy policy or our data protection practices, please contact us:
- Email: info@equiduty.se
- Address: Stockholm, Sweden
- GDPR Contact Person: Max Ahston, info@equiduty.se
- Support: https://equiduty.se/support
We strive to respond to all requests within 30 days as required by GDPR.