shield_lock Dataskydd

Integritetspolicy

Senast uppdaterad: november 2026 | Personuppgiftsansvarig: Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Principer

Vi behandlar personuppgifter i enlighet med GDPR (EU) 2016/679. Skyddet av dina uppgifter är av central betydelse för oss. qr3.app har utvecklats enligt principen om Privacy by Design: IP-adresser lagras aldrig — de pseudonymiseras omedelbart vid nätverkets ytterkant (Cloudflare Workers) med HMAC-SHA-256, en långlivad hemlighet, syfte och UTC-dag innan data sparas permanent.

2. Behandlade uppgifter

2.1 API-användning (registrerade användare)

  • Kontouppgifter: E-postadress, namn (via Clerk.com-autentisering)
  • Faktureringsuppgifter: Stripe-kund-ID, prenumerationsstatus (inga kreditkortsuppgifter — Stripe behandlar dessa direkt)
  • Användningsdata: Skapade QR-koder, workspace-konfigurationer
  • Rättslig grund: artikel 6.1 b GDPR (fullgörande av avtal)

2.2 Skanningsanalys (slutanvändare som skannar QR-koder)

  • IP-pseudonym: HMAC-SHA-256 med långlivad hemlighet, syfte och UTC-dag — pseudonymiserade personuppgifter; kan inte återställas direkt från hashvärdet, men hemlighetens innehavare kan beräkna om en känd IP-kandidat för den dagen
  • Enhetsuppgifter: Enhetstyp, operativsystem, webbläsare (från User-Agent, anonymiserad)
  • Geografiska data: Land, stad (från Cloudflare CF-IPCountry-header — ingen IP-adress lagras)
  • Rättslig grund: artikel 6.1 f GDPR (berättigat intresse för QR-kodens ägare att ta del av statistik)
  • Lagringstid: 90 dagar, därefter automatisk radering

2.3 Webbplatsbesök (qr3.app)

  • Inga spårningskakor
  • Serverloggar: Cloudflare behandlar anslutningsdata i enlighet med sin integritetspolicy

För att räkna sidvisningar per språkversion använder qr3.app Cloudflare Web Analytics. Tjänsten använder inte kakor (cookies) eller någon annan lagringsmekanism på klientsidan, lagrar inte IP-adresser och skapar inga användarprofiler. Insamlade data, i aggregerad form: sökväg, hänvisare (referrer), webbläsare och enhetstyp samt land. Leverantör: Cloudflare, Inc., i egenskap av personuppgiftsbiträde (Personuppgiftsbiträdesavtal). Rättslig grund: artikel 6.1 f GDPR — berättigat intresse av räckvidd per språk. Ingen cookie för opt-out krävs, eftersom inga data lagras på din enhet.

2.4 Användningsstatistik och webhook-loggar (registrerade användare)

  • Användningsstatistik: Dashboard-aktivitet per dag (vilka UTC-dagar en användare öppnade dashboarden för ett workspace) och API-användningsräknare per operation och dag (antal anrop från en API-nyckel per operation och utfall). För dashboard-aktiviteten lagras identifierarna för användare, organisation och workspace, UTC-dagen och tidpunkten för det första besöket den dagen; för API-räknarna identifierarna för organisation, workspace och API-nyckel, UTC-dagen, operation, utfall, antal samt tidpunkten för dagens första och sista anrop — ingen IP-adress och ingen User-Agent.
  • Webhook-leveransloggar: Per leveransförsök: händelsetyp, tidpunkt, status, HTTP-statuskod och svarstid, de skickade händelsedata samt det första kilobyte (1 KB) av mottagarens svar eller ett felmeddelande. Vid skanningshändelser innehåller händelsedata besökarens land, enhetstyp, operativsystem, webbläsare och språk, vid kodhändelser hela koden inklusive måladress och anteckningar. Besökarnas IP-adress och User-Agent lagras inte, men händelsedata och mottagarens svar kan innehålla personuppgifter.
  • Ändamål: Drift, felsökning och produktförbättring
  • Rättslig grund: artikel 6.1 f GDPR (berättigat intresse av säker drift, felsökning och vidareutveckling av tjänsten)
  • Lagringstid: 90 dagar (den aktuella UTC-dagen och de 89 föregående dagarna), därefter automatisk radering; vid DELETE /v1/account omedelbart

2.5 Revisionslogg (registrerade användare)

  • Innehåll: För varje ändring i en arbetsyta (till exempel av koder, API-nycklar, medlemmar eller webhooks): tidpunkt, åtgärd, berörd resurs, de ändrade värdena och vem som agerade (användar-ID eller API-nyckelns ID). Vid anrop direkt till API:et dessutom IP-pseudonymet (HMAC-SHA-256 per UTC-dag, eget ändamål) och user agent. Ingen IP-adress, inga hemligheter (secrets) och inga API-nycklar lagras.
  • Ändamål: Spårbarhet av ändringar för arbetsytans team och tjänstens säkerhet
  • Rättslig grund: artikel 6.1 f GDPR (berättigat intresse av spårbara ändringar och av tjänstens säkerhet)
  • Lagringstid: IP-pseudonym och user agent 90 dagar, posten 365 dagar (varje gång den aktuella UTC-dagen och de föregående dagarna), därefter automatisk radering; vid DELETE /v1/account raderas posterna för egna organisationer omedelbart, och i andra team tas IP-pseudonym och user agent bort

3. Överföring till tredje part

Vi överför endast uppgifter till följande tjänsteleverantörer. Om inget annat anges behandlar de uppgifterna för vår räkning (artikel 28 GDPR). Om uppgifter därvid hamnar i USA grundar sig detta på ramen för dataskydd mellan EU och USA (EU-US Data Privacy Framework), enligt vilken dessa leverantörers amerikanska bolag är certifierade (beslut om adekvat skyddsnivå, artikel 45 GDPR), och i andra hand på Europeiska kommissionens standardavtalsklausuler i deras personuppgiftsbiträdesavtal (artikel 46.2 c GDPR).

  • Cloudflare, Inc. (USA) — infrastruktur, CDN, Workers: drift av webbplats, dashboard och API, databas, fillagring och köer, utskick av systemmejl (Cloudflare Email Service) och Web Analytics (avsnitt 2.3)
  • Clerk, Inc. (USA) — autentisering: e-postadress, namn, inloggnings- och sessionsuppgifter (bland annat IP-adress, plats som härleds från den och webbläsare) och bekräftelsemejl. Vid registreringen bäddar Clerk in ett skydd mot automatiserade registreringar (Cloudflare Turnstile). Om du loggar in med ett Google-konto får Clerk ditt namn och din e-postadress från det kontot.
  • Stripe Payments Europe, Ltd. (Irland) — betalningsförmedling och fakturor. Stripe samlar in betalningsuppgifter direkt; vi får inga kortuppgifter. För bedrägeriförebyggande, sina egna rättsliga skyldigheter och utvecklingen av sina produkter ansvarar Stripe självt.
  • Functional Software, Inc. (Sentry) (USA, lagring inom EU) — felanalys för API:t, omdirigeringar och dashboarden: felmeddelanden och stickprov av anrop (metod, sökväg utan parametrar, statuskod, varaktighet, interna identifierare). IP-adresser, headers, cookies och parametrar tar vi bort före sändning; e-postadresser och nycklar i text maskeras. Rättslig grund: artikel 6.1 f GDPR (berättigat intresse av felfri och säker drift)
  • Google Cloud EMEA Ltd. (Irland; Google Cloud Web Risk) — kontroll av måladresser mot nätfiske och skadlig kod: när en kod skapas eller ändras, vid en kontroll via API:t och vid den nattliga omkontrollen, kodens måladress eller länkarna på dess landningssida. Endast adressen skickas, inga konto- eller besöksuppgifter; innehåller adressen själv personuppgifter (till exempel i en parameter) skickas de med. Rättslig grund: artikel 6.1 f GDPR (skydd för besökare mot bedrägliga mål och tjänstens säkerhet)
  • Microsoft (Microsoft 365) — brevlådan office@qr3.app: mejl till oss, även svar på systemmejl, och våra svar. Rättslig grund: artikel 6.1 b GDPR (frågor om avtalet) eller f (övriga frågor)

Ingen överföring sker för marknadsföringsändamål.

4. Dina rättigheter (GDPR art. 15–22)

  • Registerutdrag (art. 15): GET /v1/account/privacy eller e-post till office@qr3.app
  • Dataportabilitet (art. 20): GET /v1/account/export — JSON-export av alla data
  • Radering (art. 17): DELETE /v1/account eller e-post. Ditt konto raderas omedelbart: organisationer som du äger, med alla workspaces, koder, produktpass, filer och statistik (har en sådan organisation en annan organisationsadministratör tar hen över den med data och prenumeration), dina medlemskap i andra organisationer, din inloggning hos Clerk och din kundpost hos Stripe. En pågående prenumeration upphör omedelbart, utan proportionell återbetalning. För mycket stora konton är raderingen klar inom några timmar. I databasens säkerhetskopior (Cloudflare D1 Time Travel) går raderade data att återställa i upp till 30 dagar, därefter är de slutgiltigt borta. Undantagna är fakturor, som vi förvarar hos Stripe under den lagstadgade lagringstiden på sju år (§ 132 BAO), samt tredje parters anmälningar om missbrukade koder (förebyggande av missbruk).
  • Begränsning (art. 18): E-post till office@qr3.app
  • Invändning (art. 21): När som helst mot behandling som stöder sig på berättigade intressen

5. Kakor (cookies)

qr3.app använder uteslutande tekniskt nödvändiga sessionskakor (autentisering via Clerk). Inga marknadsförings- eller spårningskakor används. Samtycke enligt cookie-direktivet krävs därför inte. Cloudflare Web Analytics (se avsnitt 2.3) använder inte heller kakor (cookies).

6. Datasäkerhet

Alla data överförs krypterat (TLS 1.3). Databaskryptering i vila (at-rest) sker via Cloudflare D1. API-nycklar lagras hashade. Webhook-signaturer sker via HMAC-SHA256.

7. Rätt att inge klagomål

Du har rätt att inge klagomål till den österrikiska dataskyddsmyndigheten:
Datenschutzbehörde (dsb.gv.at), Barichgasse 40-42, 1030 Wien

8. Kontakt för dataskyddsfrågor

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app