Integritetspolicy

Den här policyn beskriver hur Parti AB (org.nr 559439-2317) behandlar personuppgifter i bokningsplattformen Bastu. Kontakta oss på hej@parti.design om du har frågor.

Personuppgiftsansvarig och personuppgiftsbiträde

Bastu är en tjänst som föreningar och badhus använder för att ta emot bokningar. För uppgifter om deras medlemmar och gäster är föreningen personuppgiftsansvarig och Parti AB personuppgiftsbiträde — vi behandlar uppgifterna för föreningens räkning och enligt deras instruktioner.

För uppgifter om föreningens egna administratörer, och för vår webbplats, är Parti AB själv personuppgiftsansvarig.

Vilka uppgifter vi behandlar

Kategori	Exempel	Varför
Bokning	Namn, e-post, telefon, antal platser, tid, eventuella noteringar	Genomföra och bekräfta bokningen
Konto	E-post, lösenordshash, roll, språk	Inloggning och behörighet
Betalning	Belopp, valuta, kvittouppgifter, Stripe-referens	Ta betalt och uppfylla bokföringskrav
Medlemskap	Plan, period, förmåner	Rabatter och behörigheter
Teknisk	IP-adress, tidsstämpel, felrapporter	Säkerhet, drift och felsökning

Vi begär aldrig kort- eller kontouppgifter. Betalningar hanteras i sin helhet av Stripe; vi lagrar bara en referens och beloppet.

Rättslig grund

• Avtal — för att kunna leverera bokningen eller medlemskapet.
• Rättslig förpliktelse — bokföringslagen kräver att underlag sparas i sju år.
• Berättigat intresse — drift, säkerhet och att förhindra missbruk.
• Samtycke — nyhetsbrev och liknande utskick, som alltid kan avanmälas.

Google Kalender-integrationen

En föreningsadministratör kan välja att koppla ett Google-konto så att bokningar speglas till en kalender. Det är frivilligt och avstängt tills någon aktiverar det.

• Vi begär enbart behörigheten calendar.app.created, som ger åtkomst till kalendrar som Bastu själv har skapat. Vi kan varken läsa, ändra eller se övriga kalendrar i kontot.
• Vi skriver bokningens tid, resurs, gästens namn och antal platser till kalendern. Fritextfältet för noteringar skickas aldrig dit.
• Vi lagrar en åtkomsttoken, krypterad. Den används bara för att hålla kalendern uppdaterad.
• Vi säljer inte Google-data, använder den inte för annonser och delar den inte vidare. Användningen följer Googles API Services User Data Policy, inklusive kraven på Limited Use.
• Kopplingen kan när som helst tas bort i Bastu, eller återkallas under Google-kontots behörigheter. Kalendern och dess innehåll ligger kvar i kontot; den slutar bara uppdateras.

Underbiträden

Vi anlitar följande leverantörer. Samtliga behandlar uppgifter inom EU/EES där det är möjligt.

Leverantör	Ändamål
Hetzner	Servrar och databas (Tyskland/Finland)
Stripe	Betalningar och utbetalningar
Postmark / Resend	Transaktionsmejl
Cloudflare	DNS och skydd mot överbelastning
Google	Kalendersynk, enbart om föreningen aktiverat det
Sentry / GlitchTip	Felrapportering (egen drift)

Hur länge vi sparar uppgifter

• Bokningar: så länge föreningen är kund, därefter enligt överenskommelse.
• Betalningsunderlag: sju år, enligt bokföringslagen.
• Konton: tills de raderas, eller efter längre tids inaktivitet.
• Felrapporter och loggar: högst 90 dagar.

Dina rättigheter

Du har rätt att få veta vilka uppgifter vi har om dig, att få dem rättade eller raderade, att begränsa eller invända mot behandlingen, och att få ut dem i ett maskinläsbart format. Hör av dig till hej@parti.design — gäller det en bokning hos en viss förening hänvisar vi dig till dem, eftersom de är ansvariga.

Om du tycker att vi hanterar dina uppgifter fel kan du klaga hos Integritetsskyddsmyndigheten (IMY).

Säkerhet

All trafik går över TLS. Lösenord lagras hashade med scrypt och åtkomsttokens krypteras i vila. Åtkomst till produktionsmiljön är begränsad och loggas. Databasen säkerhetskopieras dagligen till en separat plats.

Ändringar

Vi uppdaterar policyn när tjänsten förändras. Väsentliga ändringar meddelas de föreningar som använder Bastu. Datumet högst upp visar när texten senast ändrades.

Kontakt

Parti AB
Stöcke 410, 905 81 Umeå
hej@parti.design