Integritetspolicy.

SpamKollen tillhandahålls av Marketmaker Norden AB (org.nr 556622-2401), Karlavägen 72, 114 59 Stockholm. Marketmaker Norden AB är personuppgiftsansvarig för behandlingen som beskrivs i den här policyn.

Frågor om dataskydd skickas till dataskydd@spamkollen.com.

Vi försöker behandla så lite personuppgifter som möjligt. I praktiken innebär det följande kategorier:

• Slagningar: det nummer eller den e-postadress du slår upp. Detta lagras anonymt och kopplas inte till dig som person.
• IP-adress: används för att räkna gratis kollar per dygn och för att blockera missbruk. Raderas efter 24 timmar.
• E-postadress: lagras om du prenumererar på Veckodigesten eller köper ett klippkort.
• Betalningsuppgifter: hanteras uteslutande av Stripe. Vi ser aldrig ditt kortnummer.
• Användningsdata (analys): om du gett ditt samtycke i cookie-rutan skickas pseudonymiserade händelser (sidvisningar, slagningstyp, köp) till PostHog i EU-regionen och till Google Analytics (Google LLC, USA). Inga slagna värden — alltså inga telefonnummer eller e-postadresser — skickas dit. Vi spelar också in en avidentifierad session-replay (klick, scroll, sidbyten) i PostHog där alla inputfält och känsliga element är maskerade.

All behandling har ett tydligt syfte och en rättslig grund enligt GDPR art. 6.

• Tjänsteleverans (art. 6.1 b) — utan slagningsdata kan vi inte ge dig ett svar.
• Bedrägeriskydd (art. 6.1 f) — IP-räknaren hindrar automatiserat missbruk. För telefonuppslag kan vi även spara ett tidsbegränsat tekniskt snapshot av numret, motorns dåvarande signaler och svarstider för att kunna upptäcka fel och testa riskregler. Snapshotet kopplas inte till vem som gjorde uppslaget och skickas inte till analystjänster.
• Marknadsföring (art. 6.1 a) — digest-prenumerationen kräver ditt aktiva samtycke och kan när som helst återkallas.
• Produktanalys (art. 6.1 a) — händelsedata till PostHog kräver ditt samtycke i cookie-rutan. Köp-händelser från Stripe loggas som aggregat under fullgörande av avtal (art. 6.1 b) utan att passera din webbläsare.
• Trafikmätning (art. 6.1 f) — vi mäter aggregerat hur besökare hittar hit (källa/hänvisare) utan cookies, utan att lagra din IP-adress i klartext och utan att dela något med tredje part. Eftersom ingen cookie sätts krävs inget samtycke för denna mätning. Du kan ändå välja bort den genom att slå på Do-Not-Track eller Global Privacy Control i din webbläsare — då mäter vi inget.
• Bokföring (art. 6.1 c) — vi sparar kvitton i 7 år enligt bokföringslagen.

• IP-adresser: 24 timmar.
• Anonyma slagningar: högst 12 månader. Detaljerade tekniska motorsnapshots för telefonuppslag raderas efter 180 dagar.
• Din slagningshistorik som inloggad: 24 månader, eller tills du raderar kontot.
• Aggregerad trafikmätning (källa/hänvisare): 90 dagar.
• E-postadresser från digest: tills du avregistrerar dig.
• E-postadresser från köp: 7 år (bokföringslagen).

Vi använder ett fåtal underbiträden och registerkällor för att driva tjänsten. Underbiträden har DPA med oss; SCB är en självständig myndighet och registerkälla, inte vårt biträde.

• Vercel — hosting (EU-regionen).
• Supabase — databas (EU-regionen, Frankfurt).
• Stripe — betalningar (kort).
• Swish (via Handelsbanken) — betalningar via Swish. Tar emot ditt Swish-nummer och belopp för att genomföra köpet. Aktiveras när Swish-betalning lanseras.
• IPQualityScore — risksignaler. Vi skickar bara det uppslagna värdet, inte din IP eller identitet.
• SCB:s företagsregister — företagsidentitet för svenska telefonnummer. Vid en mänsklig sökning där vi saknar ett färskt cachat svar skickar vår server det sökta telefonnumret till SCB. Din IP-adress, användaridentitet och webbläsardata skickas inte med. Resultat cachas tidsbegränsat och används aldrig som risk- eller säkerhetsomdöme.
• Resend — utskick av digest och kvitton.
• Sentry (USA) — felövervakning. Tar emot tekniska feldata så att vi kan åtgärda buggar. Automatisk insamling av personuppgifter är avstängd; den amerikanska överföringen regleras i vårt personuppgiftsbiträdesavtal.
• PostHog — produkt­analys i EU-regionen (Frankfurt). Aktiveras bara om du gett samtycke. Trafiken går via vår egen domän — ingen cross-site request från din webbläsare.
• Google Analytics (Google LLC, USA) — webb­analys. Aktiveras bara om du gett samtycke. Innebär överföring av aggregerad besöksdata till USA. Google omfattas av EU-US Data Privacy Framework (Kommissionens beslut C(2023) 4745). Vi har deaktiverat Google Signals och satt datalagringen till 2 månader.
• Cloudflare Turnstile — bot-skydd. Vi använder Cloudflares Turnstile-tjänst för att skydda formulär (rapporter och omdömen) mot automatiserade angrepp. Turnstile körs i osynligt läge och kräver ingen interaktion. Cloudflare kan behandla teknisk information (IP-adress, webbläsardata) för att avgöra om besökaren är en människa. Se Cloudflares Turnstile Privacy Addendum.

Enligt GDPR har du rätt att:

• Begära registerutdrag (art. 15).
• Begära rättelse eller radering (art. 16–17).
• Invända mot behandling (art. 21).
• Portera dina uppgifter (art. 20).
• Klaga till Integritetsskyddsmyndigheten ( imy.se).

Begäran skickas till dataskydd@spamkollen.com. Vi svarar inom 30 dagar.