Integritetspolicy

1. Personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen av dina personuppgifter är Skånerot AB (org.nr 556625-5849, momsreg.nr SE556625584901), som bedriver auktions- och secondhandverksamheten under bifirman CCAuktioner.

Kontakt:
Skånerot AB (bifirma CCAuktioner), org.nr 556625-5849
Länsmansgatan 17, 282 72 Sösdala
E-post: info@ccauktioner.se
Webbplats: ccauktioner.se

2. Vilka uppgifter vi samlar in

Köpare (budgivare) — när du skapar ett konto och/eller lägger ditt första bud samlar vi in:

• Namn
• E-postadress
• Telefonnummer
• Postadress (gatuadress, postnummer, ort) — samlas in vid ditt första bud (krävs för fakturering)
• Budhistorik, inklusive automatiska maxbud (proxy-bud) — vilka objekt du budat på, aktuellt bud och ditt angivna maxbelopp
• Bevakade objekt (bokmärken/watchlist) — vilka objekt du sparat för att följa
• Fakturauppgifter — fakturor med vinsthistorik, priser och eventuella leveransval genereras som PDF och skickas till din registrerade e-post

Vi samlar inte in kort- eller bankkontouppgifter. Betalning sker via Swish eller bankgiro direkt från dig, och vi lagrar endast referensen för att kunna stämma av betalningen.

Säljare — när du registreras som säljare och lämnar in objekt samlar vi dessutom in:

• Födelsedatum (för att säkerställa att du är minst 18 år)
• Personnummer eller organisationsnummer
• Bankkontonummer eller bankgiro (för utbetalning)
• Uppgift om skattemässig hemvist (land)
• Transaktionshistorik (inlämnade objekt, hammarslag, provisioner, utbetalningar)
• Information om inlämnade objekts skick, ursprung och värde

Behandling av personnummer. Vi behandlar säljarens personnummer bara för att uppfylla krav i lag: att identifiera dig som motpart i bokföringen (bokföringslagen 1999:1078), att rapportera till Skatteverket enligt DAC7 (lag 2022:1681 jämte 22 c kap. skatteförfarandelagen 2011:1244), och att göra de kontroller som krävs vid handel med begagnade varor (lag 1999:271). Behandlingen är därmed klart motiverad av vikten av en säker identifiering, vilket är vad 3 kap. 10 § dataskyddslagen (2018:218) kräver. Det är ett lagstadgat krav att lämna personnummer/organisationsnummer och uppgift om skattemässig hemvist: gör du inte det kan vi enligt lag (2022:1681) vara skyldiga att hålla inne utbetalningar eller stänga av dig från fortsatt försäljning till dess uppgifterna lämnats.

Säljare som är ett bolag. Om säljaren är en juridisk person (t.ex. ett aktiebolag) skrivs avtalet under av en fysisk person som företräder bolaget — en firmatecknare eller ett behörigt ombud. När den personen legitimerar sig och signerar med BankID behandlar vi företrädarens namn och personnummer. Grunden är vårt berättigade intresse av att bara ingå avtal med en behörig företrädare och att i efterhand kunna visa vem som band bolaget (art. 6.1 f dataskyddsförordningen); personnumret behövs för en säker identifiering av den som skrev under (3 kap. 10 § dataskyddslagen (2018:218)) och hämtas ur BankID-signaturen. Företrädaren blir inte själv säljare hos oss.

Hur länge vi sparar företrädarens uppgifter. Den signerade avtalshandlingen är underlag till vår bokföring, och företrädarens namn och personnummer är en del av den handlingen — de kan inte tas bort ur den utan att handlingen förlorar sitt värde som underlag. Vi sparar den därför till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades (7 kap. 2 § bokföringslagen (1999:1078); art. 6.1 c). Har företrädarens uppgifter dessutom antecknats när vi tagit emot en vara som omfattas av lagen (1999:271) om handel med begagnade varor — det gäller den som fysiskt lämnar över varorna för bolagets räkning — sparas de i stället i tio år räknat från utgången av det kalenderår då anteckningen gjordes. Anteckningen får enligt samma bestämmelse inte utplånas eller göras oläslig dessförinnan (12 § förordningen (1999:272)). Gäller båda reglerna samtidigt tillämpar vi den längre tiden. Skulle handlingen undantagsvis inte omfattas av någon av reglerna behåller vi den så länge ett krav kan göras gällande med anledning av undertecknandet, dock längst tio år från undertecknandet (2 § preskriptionslagen (1981:130)). Personnumret lagras krypterat. Du har rätt att invända mot behandlingen enligt avsnittet om dina rättigheter nedan.

3. Varför vi behandlar dina uppgifter

4. Hur länge vi sparar uppgifterna

Köpare: Kontouppgifter sparas så länge ditt konto är aktivt. Konton som inte använts på 36 månader kan raderas efter förhandsmeddelande via e-post. Budhistorik sparas i 36 månader efter auktionens avslut för att hantera eventuella tvister. Du kan begära radering av ditt konto — se dina rättigheter nedan.

Push-prenumerationer: Om du aktiverar push-notiser sparas endpoint-URL och krypteringsnycklar tills du stänger av funktionen eller din webbläsare återkallar prenumerationen (t.ex. vid avinstallation av appen/webbläsaren). Inaktiva prenumerationer raderas automatiskt när leveransen misslyckas.

Säljare (auktion): Uppgifter om inlämnade objekt, transaktioner och utbetalningar sparas till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades (7 kap. 2 § bokföringslagen 1999:1078), oavsett om säljarens konto avslutas. Personnummer/organisationsnummer sparas för samma tid för att kunna fullgöra DAC7-rapporteringen. Bankuppgifter sparas under samma period och raderas därefter.

Säljare (secondhand/konsignation): Uppgifter om inlämnade och sålda varor sparas enligt bokföringslagens bevarandetid (se ovan under Säljare, auktion). För varor i reglerade kategorier (elektronik, cyklar, telefoner m.fl.) sparas registreringsuppgifter inklusive serienummer i upp till 10 år i enlighet med förordning (1999:272) om handel med begagnade varor. De identitetsuppgifter vi enligt lagen om handel med begagnade varor antecknar vid inlämning av reglerade varor (typ av ID-handling, dokumentnummer samt namn och adress) bevaras i 10 år från utgången av det kalenderår då anteckningen gjordes (12 § förordning 1999:272). En eventuell bildkopia av ID-handlingen lagras krypterat med stöd av berättigat intresse (GDPR art. 6.1 f — att styrka identitetskontrollen och förebygga bedrägeri) och raderas senast cirka 3 månader efter genomförd identitetskontroll — själva ID-bilden behålls alltså betydligt kortare tid än de antecknade uppgifterna (som vilar på rättslig förpliktelse, art. 6.1 c). Uppgifter om returer och reklamationer sparas i 3 år eller, om ett ärende då ännu inte är slutligt avgjort, till dess ärendet har avslutats (GDPR art. 17.3 e).

Företrädare för säljande bolag: Namn och personnummer för den som skrivit under säljaravtalet för ett bolags räkning sparas som en del av den signerade avtalshandlingen till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades (7 kap. 2 § bokföringslagen). Har uppgifterna antecknats vid mottagandet av en vara som omfattas av lagen om handel med begagnade varor sparas de i stället i tio år från utgången av det kalenderår då anteckningen gjordes (12 § förordningen 1999:272) — anteckningen får inte utplånas dessförinnan. Gäller båda tillämpar vi den längre tiden.

Ångerrättsärenden: Uppgifter om ångerrättsbegäran enligt distansavtalslagen (status, motivering, returmetod, datummärken, administratörsanteckningar) sparas i 3 år för uppföljning och eventuella ARN-prövningar. Pågår vid fristens utgång ett tviste- eller prövningsärende bevaras uppgifterna till dess ärendet slutligt avgjorts (GDPR art. 17.3 e).

Tekniska säkerhetsloggar: Loggade inloggningsförsök (skydd mot brute-force) raderas automatiskt efter 30 dagar. Kortlivade frekvensbegränsningsposter (rate-limit) raderas inom några dygn.

Kontoradering (köpare). När du begär radering tas kontouppgifterna bort — namn, e-post, telefon, adress, lösenord och eventuella OAuth-identifierare. Räkenskapsinformation (t.ex. fakturor från vunna auktioner) bevaras ändå enligt bokföringslagen (1999:1078) till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades, liksom uppgifter som behövs för att fastställa, göra gällande eller försvara rättsliga anspråk (GDPR art. 17.3 b och e). Bud på avslutade auktioner behålls i historiken men görs anonyma — kopplingen till ditt konto tas bort, budsumma och tid finns kvar — för att bevara auktionens historik för övriga budgivare och uppfylla bokföringslagen (GDPR art. 6.1 c och f).

5. Delning av uppgifter

Vi delar inte dina personuppgifter med tredje part för marknadsföring, utöver den samtyckesgrundade delningen med Meta som beskrivs i § 10 (endast om du valt "Acceptera alla"). Uppgifter kan delas med:

• Säljaren av den vara du köpt (gäller köpare). Vinner du en auktion får säljaren av just den varan veta ditt namn — inte din adress, e-post eller ditt telefonnummer. Vi säljer i eget namn för säljarens räkning, och 4 § kommissionslagen (2009:865) ger säljaren rätt att få veta att avtal ingåtts och med vem. Namnet lämnas i meddelandet om försäljningen och på säljarens avräkningsnota. Rättslig grund: berättigat intresse (GDPR art. 6.1.f) — namnger vi inte köparen svarar vi enligt 7 § samma lag för att köparen fullgör affären — samt fullgörande av kommissionsavtalet med säljaren (art. 6.1.b). Du kan invända enligt § 9 nedan; eftersom namngivningen skyddar oss mot ett lagstadgat betalningsansvar gör vi då en individuell prövning av om tvingande berättigade skäl väger över.
• Webbhotell (Loopia AB, Sverige) — tjänsten driftas hos Loopia. Personuppgifterna i våra egna system lagras på servrar inom EU/EES. Loopia är personuppgiftsbiträde och behandlar uppgifterna enbart enligt vår instruktion och inom ramen för ett biträdesavtal (GDPR art. 28).
• 46elks AB (Sverige) — telefoni/växel. Vår telefonitjänst (växelnummer, röstbrevlåda och eventuell samtalsinspelning) förmedlas av 46elks. Uppringarens telefonnummer, samtalsmetadata och — när inspelning är aktiverad — ljudet behandlas av 46elks för att koppla samtalet; inspelningar laddas ned och lagras krypterat hos oss (Loopia, Sverige). 46elks är personuppgiftsbiträde inom EU (Sverige) och behandlar uppgifterna enligt biträdesvillkoren i kundavtalet (GDPR art. 28). Mer information finns i § 7. Ingen tredjelandsöverföring.
• Anthropic, PBC (USA) — AI-analys av objekt (alternativ leverantör). När vår personal lägger in ett objekt i systemet kan bilderna skickas till Anthropics AI-modell Claude för automatisk kategorisering, titelförslag och taggförslag; i normalfallet används i första hand Googles modell Gemini (nästa punkt) och Claude när Gemini inte ger resultat. Funktionen används enbart internt i administrationen och aktiveras manuellt per objekt. Bilderna används inte av Anthropic för att träna sina modeller. Anthropic lagrar API-data under en begränsad tid (i normalfallet cirka 30 dagar) för drift- och missbruksskydd och raderar dem därefter. Överföringen sker till USA med stöd av EU-kommissionens standardavtalsklausuler (SCC, 2021/914). Rättslig grund: berättigat intresse (effektiv katalogisering); du kan invända mot behandlingen per § 9 nedan.
• Google LLC (USA) — AI-kategorisering och objektidentifiering. När vår personal lägger in eller värderar ett föremål skickas fotot av föremålet i första hand till Googles modell Gemini för kategorisering, titelförslag och taggförslag, och — när vår egen prisreferens ger en osäker matchning — tillsammans med en webbsökning för att hjälpa oss att identifiera vad föremålet är. Funktionen används enbart internt i administrationen, aktiveras manuellt per objekt och webbsöknings-delen är begränsad till ett visst antal bilder per dygn. Fotona är avsedda att visa enbart föremålet — vår personal är instruerad att inte ha ansikten eller händer i bild. Vi skickar inga säljar- eller köparuppgifter tillsammans med bilden. Bilderna används inte för att träna Googles modeller. Överföringen till USA sker med stöd av EU-kommissionens standardavtalsklausuler (SCC, 2021/914). Rättslig grund: berättigat intresse (korrekt värdering och katalogisering); du kan invända mot behandlingen per § 9 nedan.
• Brevo SAS (Frankrike/EU) — e-postleverans och nyhetsbrev. Transaktionell e-post (fakturor, vinnare-notiser, ångerrätt, lösenordsåterställning, säljarkommunikation) samt — om du anmält dig — vårt nyhetsbrev/lanseringsutskick skickas via Brevo. Om du anmäler dig till nyhetsbrevet behandlas din e-postadress (samt teknisk metadata, t.ex. IP-adress vid anmälan) för att leverera utskicken; anmälan kräver att du aktivt kryssar i en samtyckesruta och bekräftar via en länk i ett bekräftelsemail. Inga uppgifter delas med Brevo utöver vad som krävs för leveransen. Brevo är etablerat inom EU (Frankrike) och behandlar uppgifterna huvudsakligen inom EU. I den mån Brevo anlitar underbiträden i tredjeland skyddas överföringen av EU-kommissionens standardavtalsklausuler (SCC). Rättslig grund: avtal / rättslig förpliktelse; för nyhetsbrevet samtycke (GDPR art. 6.1.a) — du kan när som helst avregistrera dig via länken i varje utskick eller genom att kontakta oss.
• Shipmondo ApS (Danmark/EU) — fraktberäkning. Vid köp med leveransalternativ kan fraktpriset beräknas via Shipmondo, som i sin tur anropar transportörer (t.ex. DHL, UPS). Leveransadress och kollivikt/mått delas med Shipmondo för prisberäkning och eventuell bokning. Shipmondo är etablerat inom EU (Danmark) — ingen tredjelandsöverföring. Rättslig grund: avtal (fullgörande av köpeavtal).
• Skatteverket — säljaruppgifter (namn, personnummer/org.nr, transaktionsbelopp) rapporteras till Skatteverket enligt lag (2022:1681) jämte 22 c kap. skatteförfarandelagen (2011:1244) (DAC7, EU-direktiv 2021/514/EU). Skatteverket kan därefter vidarebefordra uppgifterna till skattemyndigheter i andra EU-länder enligt lag (2022:1682) om automatiskt utbyte av upplysningar.
• Zettle by PayPal (Secondhand) — vid användning av vår secondhand-kassa delas endast produktinformation (varunummer, pris, beskrivning) med Zettle/PayPal för att möjliggöra kortbetalning i butik. Personuppgifter om säljare delas inte med Zettle, och vi tar aldrig emot dina kortuppgifter. För kort- och betalningsdata är PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) en självständig personuppgiftsansvarig — Zettle/PayPal bestämmer själv ändamål och medel för den behandlingen och informerar dig direkt via sin egen integritetspolicy: zettle.com/se/villkor/sekretesspolicy.
• BUS (Bildupphovsrätt i Sverige) — vid försäljning av originalkonstverk kan följerättsersättning (lag 1960:729, 2 a kap. 26 n–q §§) överföras till BUS tillsammans med uppgifter om verket och transaktionen.
• Google Maps (USA) — extern länk. Butikssidan har en länk som öppnar vår adress i Google Maps i en ny flik. Vi bäddar inte in kartan, överför inga uppgifter till Google och sätter inga Google-cookies. Följer du länken är du besökare hos Google, och Googles egen integritetspolicy gäller för det besöket.
• Push-leverantörer — om du aktiverar push-notiser levereras notisen via din webbläsares pushtjänst: Google Firebase Cloud Messaging (Chrome/Edge/Android), Apple Push Notification Service (Safari/iOS) eller Mozilla autopush (Firefox). Själva innehållet i notisen är end-to-end-krypterat med VAPID innan det lämnar vår server, så pushleverantören ser inte notisens text. En unik endpoint-URL och teknisk metadata behandlas dock hos leverantören för att leverera notisen. Du kan när som helst stänga av push-notiser i dina kontoinställningar — då raderas prenumerationen.
• Myndigheter — om vi enligt lag är skyldiga att lämna ut uppgifter. Polismyndigheten har som tillsynsmyndighet för handeln med begagnade varor rätt att ta del av de anteckningar och identitetsuppgifter vi för enligt lag (1999:271).

Dina personuppgifter lagras och behandlas primärt inom EU/EES. Undantag: om du aktiverar push-notiser kan endpoint-URL och teknisk metadata behandlas av Google (FCM, USA) eller Apple (APNs, USA) för att kunna leverera notisen till din enhet. Innehållet är krypterat med VAPID (RFC 8291) och kan inte läsas av pushleverantören. Överföringen sker med stöd av EU-U.S. Data Privacy Framework eller standardiserade avtalsklausuler (SCC). Därutöver kan objektbilder vid AI-assisterad katalogisering och värdering behandlas i USA av Anthropic respektive Google med stöd av SCC (se ovan).

6. Kamerabevakning i butiken

Vår fysiska secondhand-butik med entréer, den tillhörande innergården och byggnadens fasad är kamerabevakade dygnet runt. Kamerorna är riktade mot våra egna ytor och aldrig mot allmän plats utanför lokalen. Skyltar vid butikens entréer och vid tillträdet till innergården informerar om bevakningen i enlighet med 15 § kamerabevakningslagen (2018:1200) och artikel 13 i GDPR.

Ändamål. Bevakningen sker för att förebygga, avskräcka från och utreda brott (stöld, skadegörelse, hot) samt för att skydda egendom och personer i butiken.

Rättslig grund och intresseavvägning. Behandlingen grundas på berättigat intresse (GDPR art. 6.1 f). Vi har bedömt att vårt intresse av att skydda egendom samt förebygga och utreda brott väger tyngre än det begränsade intrång i den personliga integriteten som bevakningen innebär. Kamerorna täcker butikens insida, dess entréer, den tillhörande innergården och byggnadens fasad med fönster. Bevakningen är riktad mot våra egna ytor för att upptäcka bland annat inbrott och skadegörelse — aldrig mot allmän plats, gata eller trottoar utanför, och inte in mot grannfastighetens fönster eller utrymmen. Kamerorna är vinklade, och vid behov integritetsmaskade, så att områden utanför våra egna ytor inte bevakas. Bilden lagras kort tid och med begränsad åtkomst, vilket minimerar intrånget.

Kategorier av registrerade. Besökare och kunder som vistas i butikslokalen.

Kategorier av uppgifter. Stillbild och rörlig bild (videoinspelning). Inget ljud spelas in.

Lagringstid. Inspelat material sparas i 14 dygn och raderas därefter automatiskt, om det inte behöver bevaras längre för att utreda en konkret incident eller på begäran av Polismyndigheten.

Mottagare. Materialet hanteras internt med begränsad åtkomst. Vid misstanke om brott kan relevant material lämnas ut till Polismyndigheten. Inga uppgifter överförs till tredjeland.

Personuppgiftsansvarig. Skånerot AB (org.nr 556625-5849), bifirma CCAuktioner. Du har de rättigheter som beskrivs i § 9 nedan, och du kan lämna klagomål till Integritetsskyddsmyndigheten (IMY) — se § 11.

7. Inspelning av telefonsamtal och röstbrevlåda

CCAuktioner använder en egen telefonitjänst. Inkommande samtal till vårt växelnummer kan spelas in, och den som lämnar ett meddelande i vår röstbrevlåda spelas in. Detta avsnitt gäller telefoni och är skilt från kamerabevakningen i § 6 — uppgiften där om att "inget ljud spelas in" avser endast butikens övervakningskameror, inte telefonsamtal.

Vad vi spelar in. Vid inkommande samtal kan hela samtalet spelas in (båda parters tal) efter att en inledande röstad notis har upplyst om det. I röstbrevlådan spelas det meddelande du väljer att tala in. Vi sparar även samtalsmetadata: ditt telefonnummer, tidpunkt, samtalslängd och vilken åtgärd samtalet ledde till. Utgående samtal från oss spelas som utgångspunkt inte in; om vi i ett enskilt fall spelar in ett utgående samtal upplyser vi dig om det innan inspelningen börjar och du kan då avböja.

Ändamål. Att säkra kvaliteten i vår kundkontakt, dokumentera muntliga överenskommelser om inlämning, budgivning, värdering och utbetalning, samt att kunna utreda och styrka uppgifter vid reklamationer och tvister.

Rättslig grund. Berättigat intresse (GDPR art. 6.1 f). Vi har vägt vårt intresse av kvalitetssäkring, dokumentation och bevissäkring mot integritetsintrånget och bedömer att vårt intresse väger tyngre: du upplyses om inspelningen och kan be oss stänga av den, materialet lagras krypterat i Sverige med begränsad åtkomst och gallras automatiskt inom kort tid, och vi varken profilerar dig eller delar inspelningen för andra ändamål. Rör samtalet känsliga uppgifter (art. 9) inhämtar vi i stället ditt uttryckliga samtycke innan inspelning sker.

Lagringstid. Samtalsinspelningar raderas automatiskt efter 90 dagar. Röstmeddelanden raderas automatiskt efter 30 dagar. Samtalsmetadata (nummer, tid, längd) kan sparas något längre för statistik och felsökning, dock längst i 12 månader. Om en inspelning behövs för att utreda eller försvara ett konkret rättsligt anspråk kan den bevaras tills ärendet är avslutat.

Din invändningsrätt (GDPR art. 21). Eftersom behandlingen grundas på berättigat intresse har du rätt att när som helst invända mot inspelning. Du kan göra det redan under samtalet — säg bara till så stänger vi av inspelningen — eller i efterhand genom att kontakta info@ccauktioner.se, varvid vi raderar inspelningen om inte tvingande berättigade skäl för fortsatt behandling föreligger eller den behövs för att fastställa, göra gällande eller försvara ett rättsligt anspråk.

Mottagare och biträden. Telefonitrafiken förmedlas av vår teleoperatör 46elks AB (Sverige), som är personuppgiftsbiträde. Inspelningar laddas ned från 46elks och lagras krypterat hos vårt webbhotell Loopia AB (Sverige) inom EU/EES. Båda är personuppgiftsbiträden och behandlar uppgifterna enbart enligt vår instruktion och inom ramen för biträdesavtal (GDPR art. 28). Vid misstanke om brott kan en inspelning lämnas ut till Polismyndigheten. Inga uppgifter överförs till tredjeland.

Personuppgiftsansvarig. Skånerot AB (org.nr 556625-5849), bifirma CCAuktioner. Du har de rättigheter som beskrivs i avsnittet "Dina rättigheter" nedan, och du kan klaga till Integritetsskyddsmyndigheten (IMY).

8. Publikt prisarkiv (sålda lotter)

På ccauktioner.se/priser/ publicerar vi ett arkiv över slutpriser för sålda lotter. Arkivet visar typiskt titel, kategori, foto, beskrivning, försäljningsdatum och det slutliga klubbade priset (hammarslag). Inga uppgifter om säljaren publiceras — varken namn, initialer, ort, säljar-ID eller annan identifierande information.

Ändamål. Marknadstransparens, prishistorisk dokumentation, oberoende värderingsreferens för köpare, säljare och tredje parter, samt köparskydd. Publicering av slutpriser är vidare branschpraxis hos jämförbara aktörer.

Rättslig grund. Berättigat intresse (GDPR art. 6.1 f). Vi har gjort en intresseavvägning (LIA) och bedömt att intresset av prishistorisk transparens väger tyngre än det begränsade integritetsintrång publiceringen innebär — särskilt med beaktande av att (i) ingen säljardata publiceras, (ii) auktionspriser redan är publika under själva auktionen och arkivet utgör en förlängning av denna offentlighet, och (iii) säljaren har en rimlig förväntan om att försäljningspriset blir bestående marknadsinformation.

Kategorier av uppgifter. Objekt-data: titel, kategori, fotografi(er), beskrivning, försäljningsdatum, slutpris. Inga säljaridentifierande uppgifter.

Lagringstid. Poster i prisarkivet sparas tills vidare som en historisk prisreferens, dock med möjlighet till individuell prövning vid invändning enligt nedan.

Opt-out före försäljning. Säljaren kan välja att ett enskilt objekt inte ska ingå i arkivet genom att kryssa i opt-out-rutan vid inlämning eller ändra inställningen i säljarportalen senast vid auktionens startdatum. För objekt där opt-out aktiverats innan auktionen startar publiceras varken bild eller slutpris i arkivet.

Invändningsrätt efter försäljning (GDPR art. 21). Även efter att en lott sålts har säljaren rätt att invända mot fortsatt publicering genom att kontakta info@ccauktioner.se. CCAuktioner gör då en individuell prövning av om tvingande berättigade skäl för fortsatt publicering föreligger som överväger säljarens intressen, rättigheter och friheter, eller om publiceringen sker för fastställande, utövande eller försvar av rättsliga anspråk. Besked lämnas utan onödigt dröjsmål och senast inom en månad; vid komplicerade ärenden får tiden förlängas med ytterligare två månader (GDPR art. 12.3). Vid bifall avlägsnas objektets post (inklusive bild) skyndsamt från arkivet.

Köpare. Köparens identitet publiceras aldrig i prisarkivet.

9. Dina rättigheter

Enligt GDPR har du rätt att:

• Tillgång — begära ett utdrag av de uppgifter vi har om dig.
• Rättelse — rätta felaktiga uppgifter (kan göras direkt under Inställningar).
• Radering — begära att ditt konto och dina uppgifter tas bort ("rätten att bli glömd"), i den mån uppgifterna inte måste bevaras enligt lag (t.ex. bokföringslagen) eller behövs för rättsliga anspråk (GDPR art. 17.3).
• Begränsning — begära att vi begränsar behandlingen av dina uppgifter.
• Dataportabilitet — begära dina uppgifter i ett strukturerat, maskinläsbart format.
• Invändning — invända mot behandling som grundar sig på berättigat intresse.

För att utöva dina rättigheter, kontakta oss på info@ccauktioner.se. Vi kan behöva be dig styrka din identitet innan vi lämnar ut uppgifter eller vidtar åtgärder (GDPR art. 12.6). Vi svarar utan onödigt dröjsmål och senast inom en månad; vid komplicerade eller omfattande förfrågningar får svarstiden förlängas med ytterligare två månader (art. 12.3), och i så fall meddelar vi dig inom den första månaden. Vid uppenbart ogrundade eller orimliga förfrågningar, särskilt vid upprepade sådana, får vi ta ut en rimlig avgift eller avstå från att tillmötesgå begäran (art. 12.5).

10. Cookies

Vi använder nödvändiga cookies som krävs för att webbplatsen ska fungera — dessa kräver inte ditt samtycke. Med ditt uttryckliga samtycke (valet "Acceptera alla" i cookie-meddelandet) använder vi dessutom verktyg för marknadsföring och mätning (Meta-pixeln och Metas serverbaserade Conversions API). Väljer du "Endast nödvändiga" sätts inga marknadsföringscookies och ingen data delas med Meta. Du kan när som helst ändra ditt val via länken Cookieinställningar i sidfoten, eller genom att rensa webbplatsens cookies.

Lokal lagring (localStorage)

Övrig lokal lagring

• Service worker-cache (cc-shell-v<n>) — när du installerar eller använder CCAuktioner som progressiv webbapp (PWA) sparas vyer som hemsida, sökning och offline-sidan lokalt av webbläsarens service worker för att fungera utan internet. Inga personuppgifter cachas. Raderas när du avinstallerar appen, rensar webbplatsdata eller när en ny version publiceras.
• Web Push-prenumeration — om du aktiverar push-notiser sparar webbläsaren själv en prenumerationspost (endpoint-URL och krypteringsnycklar) i sin egen interna lagring. CCAuktioner lagrar motsvarande post på servern för att kunna skicka notiserna. Raderas när du stänger av push i kontoinställningarna eller webbläsaren.

Marknadsföringscookies (sätts endast med ditt samtycke)

Meta-pixeln och Conversions API

Om du samtycker till marknadsföring används Meta-pixeln (i din webbläsare) och Metas Conversions API (CAPI, server-till-server från vår egen server) för att visa och mäta annonser på Facebook och Instagram. Uppgifter om ditt besök och vissa händelser (t.ex. sidvisning, värderingsförfrågan, kontoskapande) delas då med Meta Platforms Ireland Ltd. För insamlingen och överföringen av dessa händelser är CCAuktioner och Meta gemensamt personuppgiftsansvariga (art. 26 GDPR); Meta ansvarar därefter självständigt för sin egen vidare behandling. E-postadress och telefonnummer skickas alltid hashade (oläsbara). Behandlingen sker med stöd av ditt samtycke (art. 6.1 a). Meta kan överföra uppgifter till USA; det sker med stöd av EU-kommissionens standardavtalsklausuler (SCC, 2021/914), med EU–US Data Privacy Framework som kompletterande grund. Återkallar du samtycket (rensa webbplatsens cookies eller välj "Endast nödvändiga") stängs både pixeln och Conversions API av omedelbart och inga fler uppgifter delas. Läs mer i Metas integritetspolicy.

Utöver detta använder vi inga andra spårnings- eller analyscookies. Alla teckensnitt laddas från vår egen server — inga externa fontleverantörer används.

Om du väljer att logga in via Google sköts autentiseringen av Google (Google LLC), som är självständigt personuppgiftsansvarig för den behandlingen enligt sin egen integritetspolicy; vi är personuppgiftsansvariga för de uppgifter vi tar emot från Google (ditt namn och din e-postadress). Loggar du in via Apple (Apple Inc., USA) eller Facebook (Meta Platforms, Inc., USA) i vår app sköts autentiseringen på motsvarande sätt av respektive leverantör som självständigt personuppgiftsansvarig; vi tar emot ditt namn och din e-postadress (vid Apple kan du välja att dölja e-postadressen via Apples vidarebefordringstjänst). Överföringen till USA sker med stöd av EU-U.S. Data Privacy Framework och/eller EU-kommissionens standardavtalsklausuler (SCC, 2021/914). Vi lagrar aldrig lösenord från tredjepartstjänster.

11. Klagomål

Om du anser att vi behandlar dina personuppgifter felaktigt har du rätt att lämna in ett klagomål till Integritetsskyddsmyndigheten (IMY):

Integritetsskyddsmyndigheten
Box 8114, 104 20 Stockholm
www.imy.se

12. Säkerhet

Vi vidtar lämpliga tekniska och organisatoriska säkerhetsåtgärder: krypterade anslutningar (HTTPS), hashade lösenord (bcrypt), CSRF-skydd, spärr mot upprepade inloggningsförsök (brute-force) och återkommande säkerhetsgranskningar.

13. Om du skänker varor till oss (gåvogivare)

CCAuktioner är ett vinstdrivande företag — inte en insamlingsorganisation eller välgörenhet. Om du ändå skänker varor till oss, i stället för att lämna in dem på kommission, blir vi ägare av det du skänker och säljer det som vår egen vara. Det skiljer sig från hur vi behandlar en säljares uppgifter (se § 2 och § 3 ovan): en gåvogivare får ingen betalning, inget säljarkonto och ingår inte i vår provisionsredovisning, utbetalningar eller DAC7-rapportering.

Uppgifter vi samlar in. Namn och adress, en frivillig kontaktuppgift (telefon eller e-post), antal kollin och en beskrivning av det du lämnar (behållarna, inte innehållet), datum och klockslag för mottagandet, samt — om gåvan lämnas för ett dödsbo — att detta anges tillsammans med den avlidnes namn och den kontroll vår personal gör av dödsboets behörighet att skänka bort. Vi sparar också din signatur på gåvobeviset, tekniska uppgifter om signeringstillfället (IP-adress och webbläsartyp), vilken personal som tog emot gåvan, samt — eftersom vi inte går igenom lådorna och därför inte kan veta om något anteckningspliktigt finns i dem — ditt personnummer och vilken typ av ID-handling du visade. Personnummret lagras krypterat. Grunden är dels rättslig förpliktelse — 9 § förordningen (1999:272) om handel med begagnade varor kräver de uppgifterna när vi tar emot något som kan vara anteckningspliktigt — dels vårt berättigade intresse av att kunna styrka vem som skänkt sakerna och hålla dig till försäkran i punkt 3 på gåvobeviset: vi blir ägare permanent, utan att ha betalat, av saker vi inte kunnat gå igenom. 3 kap. 10 § dataskyddslagen är uppfylld genom vikten av en säker identifiering. Du kan invända mot behandlingen enligt avsnittet om dina rättigheter nedan.

Ändamål och rättslig grund. Uppgifterna dokumenterar att äganderätten till det skänkta godset har övergått till oss vederlagsfritt och utan förbehåll (avtal, GDPR art. 6.1 b) och utgör den uppgift om motparten som bokföringslagen kräver av en verifikation (5 kap. 7 § bokföringslagen 1999:1078; rättslig förpliktelse, GDPR art. 6.1 c). Vi använder aldrig samtycke som grund för denna behandling — ett återkallat samtycke skulle annars kunna radera vårt enda bevis för hur varorna kom till oss. De tekniska uppgifterna om signeringstillfället (IP-adress och webbläsartyp) vilar däremot på vårt berättigade intresse (GDPR art. 6.1 f) av att kunna styrka omständigheterna kring undertecknandet — de behövs varken för att fullgöra själva gåvoavtalet eller av bokföringslagen.

Lagringstid. Namn, adress, kontaktuppgift och beskrivningen av det du lämnat sparas i sju år efter utgången av det år vi tog emot gåvan, i enlighet med bokföringslagen — precis som blanketten du skriver under anger. Signaturbilden sparas lika länge; den är själva beviset för gåvan. Bär gåvobeviset en anteckning enligt lagen om handel med begagnade varor — alltså om något du lämnat är ett anteckningspliktigt föremål — sparas uppgifterna i stället tio år från utgången av det år anteckningen gjordes (12 § förordningen 1999:272). Tekniska uppgifter om signeringstillfället (IP-adress, webbläsartyp) sparas kortare tid, normalt 24 månader, eftersom de bara behövs för att styrka omständigheterna kring undertecknandet inom rimlig tid efter mottagandet.

Mottagare. Uppgifterna lagras hos vårt webbhotell Loopia AB (Sverige) inom EU/EES, på samma villkor som övrig data (se § 5). Inga uppgifter delas med Skatteverket, Polismyndigheten eller andra mottagare enbart för att en gåva mottagits — såvida inte det skänkta godset i sig omfattas av en annan lagstadgad plikt (till exempel reglerade varor enligt lag 1999:271, se § 3 och § 4 ovan).

Du har samma rättigheter som beskrivs i § 9 ovan — bland annat rätt till tillgång, rättelse och att invända — i den mån uppgifterna inte måste bevaras enligt lag.