Integritetspolicy

Senast uppdaterad

Scandinavian Concessions Management Aktiebolag (org.nr 556240-9853) är personuppgiftsansvarig för behandlingen av dina personuppgifter i den här webshopen. Här beskriver vi vilka uppgifter vi behandlar, varför, hur länge vi sparar dem och vilka rättigheter du har.

Butiken du handlar i drivs under artistens eller arrangörens namn, men det är alltid SCM AB som är säljare och personuppgiftsansvarig. Artisten är inte personuppgiftsansvarig och får aldrig ut dina kunduppgifter.

Personuppgifter som behandlas

  • Kontaktuppgifter: förnamn, efternamn, e-postadress och telefonnummer.
  • Leveransuppgifter: gatuadress, postnummer, ort och land.
  • Orderuppgifter: beställda varor och varianter, ordernummer, belopp, moms, betalstatus, leveranssätt och leveransstatus.
  • Betalning med Swish: bankens referens för betalningen, som vi behöver för att kunna betala tillbaka. Det mobilnummer du betalar från sparar vi inte.
  • Kunduppgifter: när ett köp genomförts sparas kontakt- och leveransuppgifterna även i butikens kundregister, så att vi kan se dina samlade köp vid en retur eller ett reklamationsärende.
  • Hämtningskod, om du valt att hämta din order i butik, och den dag och tid du valt för upphämtningen när hämtstället har bestämda tider.
  • Kundgrupper och riktade rabattkoder: butiken kan för hand lägga dig i en namngiven kundgrupp i kundregistret, eller ge dig en rabattkod som bara gäller för dig, för kunder i registret eller för en kundgrupp. Löser du in en sådan kod kontrollerar kassan din e-postadress mot kundregistret.
  • Ärenden om ånger, retur och reklamation, inklusive vad du skrivit till oss.
  • Meddelanden du skickar via kontaktformuläret.
  • Nyhetsbrev, om du prenumererar: din e-postadress, tidpunkten för ditt samtycke och den text du samtyckte till. Via vår e-postleverantör registreras också om ett utskick öppnats och om en länk i det klickats, samt om utskicket studsat eller anmälts som skräppost.
  • Besöksstatistik i pseudonymiserad form: ett hashat sessions-id, vilka sidor och produkter som visats (sidadressen inklusive dess sökparametrar), varifrån du kom till oss, ungefärlig plats på land- och landskapsnivå samt typ av enhet. Har du sagt ja till besöksmätning dessutom ett hashat värde av mätcookien, samt tidpunkten för ditt svar och versionen av texten du fick se.
  • Mätning av sidornas laddningstid, i samma pseudonymiserade form.
  • Ett hashat värde av den uppkoppling du besöker oss från, som spärr mot massutskick i kontaktformuläret och mot upprepade gissningar av andras ordrar.
  • Din IP-adress, vilken sida förfrågan gällde och när den kom in — när vårt skydd mot överbelastning och robotar reagerar på en förfrågan.
  • Driftloggar över anrop till webshopen, för felsökning.
  • Uppgifter du fyllt i kassan sparas tillfälligt i din egen webbläsare, så att ingenting försvinner om du går tillbaka ett steg. De rensas när ordern är genomförd, och senast när du stänger fliken.

Vi samlar aldrig in personnummer, och vi lagrar inga kortuppgifter och inga bankuppgifter — dem hanterar våra betalleverantörer direkt. Vi lagrar inte din IP-adress i besöksstatistiken; sessionen identifieras av ett hashat värde där butikens namn ingår i hashen, så att du inte går att följa mellan våra butiker eller till någon annan webbplats. Din IP-adress behandlas däremot på tre andra ställen: i våra spärrar mot missbruk sparar vi ett hashat värde av uppkopplingen och rensar poster äldre än sju dygn; reagerar vårt skydd mot överbelastning och robotar på en förfrågan — oavsett om den stoppas eller bara flaggas för granskning — sparar vi förfrågans IP-adress, vilken sida den gällde och när den kom in, i 30 dagar; och din IP-adress skickas till Cloudflare när robotkontrollen i kontaktformuläret visas.

Ändamål och rättslig grund

  • Ta emot, hantera och leverera din beställning, ta betalt och kontakta dig om ordern (fullgörande av avtal, art. 6.1 b).
  • Hantera ånger, returer, byten och reklamationer (rättslig förpliktelse enligt distansavtalslagen och konsumentköplagen, art. 6.1 c, samt fullgörande av avtal).
  • Bokföra köpet och spara underlaget (rättslig förpliktelse enligt bokföringslagen, art. 6.1 c).
  • Hantera hämtning i butik med en hämtningskod (fullgörande av avtal).
  • Föra ett kundregister så att en kunds samlade köp går att se vid ett ärende (berättigat intresse, art. 6.1 f).
  • Låta dig själv slå upp din order under Min order med ordernummer och e-postadress — status, spårningslänk, kvitto, upphämtningskod och ångerärendets läge — och skicka orderbekräftelsen igen när du ber om det (fullgörande av avtal).
  • Ge kunder i butikens kundregister eller i en kundgrupp ett riktat erbjudande, och kontrollera vid inlösen att rabattkoden gäller för dig (berättigat intresse, art. 6.1 f). Erbjudanden mejlas bara till dig om du prenumererar på nyhetsbrevet.
  • Besvara meddelanden du skickar till kundservice (berättigat intresse).
  • Mäta hur webshopen används och hur snabbt sidorna laddar (berättigat intresse, art. 6.1 f, för grundmätningen som inte lagrar något i din enhet — och ditt samtycke, art. 6.1 a, för cookien som känner igen din enhet mellan besök. Se Så mäter vi besök nedan).
  • Skydda kontaktformuläret och orderuppslaget mot robotar och upprepade försök (berättigat intresse).
  • Skydda butiken mot överbelastning och automatiserade angrepp, och kunna utreda missbruk i efterhand (berättigat intresse). För det ändamålet behandlas din IP-adress.
  • Logga drift och fel så att avbrott går att felsöka i efterhand (berättigat intresse).
  • Skicka nyhetsbrev och erbjudanden om du valt att prenumerera, och mäta hur de tas emot (samtycke, art. 6.1 a — kan återkallas när som helst).
  • Sluta skicka till adresser som studsar eller anmält oss som skräppost (berättigat intresse).
  • Lämna uppgifter till myndighet när lagen kräver det (rättslig förpliktelse).

Våra berättigade intressen

När vi stödjer oss på berättigat intresse har vi vägt vårt intresse mot din rätt till integritet. Så här ser intresset ut i varje enskilt fall:

  • Kundservice: att kunna svara på din fråga och koppla den till rätt order. Utan namn och kontaktuppgift går ärendet inte att besvara.
  • Kundregistret: att se en kunds samlade köp när en retur, en reklamation eller ett ångerärende ska hanteras, i stället för att leta order för order.
  • Riktade erbjudanden: att kunna ge befintliga kunder eller en utvald grupp ett erbjudande som andra inte kan lösa in, och hindra att en personlig kod används av någon annan. Grupperna sätts ihop för hand av butiken, inte automatiskt utifrån ditt beteende.
  • Besöksmätning: att veta vilka sidor och produkter som faktiskt används, så att sortiment och sidflöde bygger på mätning i stället för gissningar.
  • Laddningstider: att upptäcka när sidor blir långsamma för riktiga besökare på riktiga uppkopplingar, inte bara i våra egna tester.
  • Skydd mot robotar och upprepade försök: att hindra att kontaktformuläret används för massutskick och att någon gissar sig till andras ordrar. I spärrarna sparar vi ett hashat värde av uppkopplingen.
  • Skydd mot överbelastning och angrepp: att butiken ska vara tillgänglig för riktiga kunder och att beställningar inte störs av automatiserad trafik. Här sparas förfrågans IP-adress i klartext i vår säkerhetslogg, så att angrepp går att utreda och felaktiga spärrar går att rätta.
  • Driftloggar: att kunna felsöka ett avbrott i efterhand och visa att betalningar och utskick gått rätt.
  • Studsar och skräppostanmälningar: att sluta skicka till adresser som inte vill ha eller inte kan ta emot våra utskick.

Du har alltid rätt att invända mot behandling som stödjer sig på berättigat intresse. Vill du göra det, hör av dig via butikens kontaktsida (länken Kontakt i sidfoten) och välj Mina personuppgifter under Gäller, så prövar vi invändningen.

Så mäter vi besök

Vi mäter hur webshopen används, för att veta vilka sidor och produkter som faktiskt efterfrågas och hur snabbt sidorna laddar. Mätningen är pseudonym: vi vet att ett besök skett och vad som visats, men inte vem du är. Den sker i två nivåer, och skillnaden mellan dem är om något lagras i din webbläsare.

Grundmätningen gäller alla besök och lagrar ingenting i din enhet. När du kommer till butiken skapas ett slumpat sessions-id som bara finns i sidans minne så länge fliken är öppen — det sparas varken i en cookie eller i webbläsarens lagring, och det försvinner så fort du laddar om eller stänger fliken. Innan besöket sparas hos oss hashas sessions-id:t på vår server tillsammans med butikens namn; det råa värdet lagras aldrig hos oss. Eftersom butiken ingår i hashen går samma besökare inte att följa från en av våra butiker till en annan, och värdet kan inte användas för att känna igen dig på någon annan webbplats. Rättslig grund för grundmätningen är vårt berättigade intresse (art. 6.1 f) — intresset står under Våra berättigade intressen ovan.

Vill vi kunna se om ett besök är ditt första eller ditt femte behöver något ligga kvar i din webbläsare, och då frågar vi först. Säger du ja i rutan om besöksmätning sätter vår server cookien __Host-scm_visitor_<butik>. Den innehåller ett slumpmässigt nummer och ingenting annat, gäller i 12 månader och bara för den butiken, och förlängs aldrig automatiskt. Rättslig grund är ditt samtycke (art. 6.1 a). För att kunna visa att samtycket lämnats (art. 7.1) sparar vi tidpunkten för ditt svar och versionen av texten du fick se — den posten innehåller inte ditt namn, din e-post eller något annat som pekar ut dig, och den kopplas aldrig till ett köp. Säger du nej skapas ingen identitet alls, och butiken fungerar likadant.

Det vi sparar om besöket är vilka sidor och produkter som visats, varifrån du kom till oss, ungefärlig plats på land- och landskapsnivå samt typ av enhet. Din IP-adress sparas inte i statistiken. Mätningen används inte för marknadsföring, inte för att profilera dig och inte för att sätta priser eller erbjudanden.

Du kan ändra dig när som helst via länken Kakor och statistik längst ned på varje sida. Där kan du ta tillbaka ett ja — då raderas cookien och de besöksuppgifter som hör till den, direkt och utan att du behöver kontakta oss. Du har också rätt att invända mot grundmätningen: har du slagit på Global Privacy Control (Sec-GPC) eller Do Not Track i din webbläsare registrerar vi ingenting om besöket i besöksstatistiken, utan att du behöver göra något mer. Har du svarat ja i rutan gäller ditt svar före signalen, tills du tar tillbaka det. Vill du invända på annat sätt, hör av dig via butikens kontaktsida (länken Kontakt i sidfoten) och välj Mina personuppgifter under Gäller.

Nyhetsbrev

Nyhetsbrevet är helt frivilligt och bygger på ditt samtycke. Vi sparar din e-postadress, tidpunkten då du samtyckte och den text du samtyckte till, så att vi kan visa vad du faktiskt sagt ja till.

I våra nyhetsbrev mäter vi om utskicket öppnats och vilka länkar som klickats. Det görs med en liten bild i mejlet, och genom att varje länk i brevet skrivs om så att den går via vår e-postleverantörs mätadress (links.news.officialmerch.se) innan du kommer fram till sidan. Mätningen visar oss vilka utskick som läses — vi använder den inte för att bygga en profil av dig, och den påverkar inte vilka priser eller erbjudanden du ser. Mätningen gäller bara nyhetsbrev och kampanjer: orderbekräftelser, kvitton och svar från kundservice mäts inte.

Varje utskick innehåller en avregistreringslänk, och de flesta e-postprogram har dessutom en avregistreringsknapp överst i mejlet. Ett klick räcker, och då upphör även mätningen. När du avregistrerat dig behåller vi din adress på en spärrlista, just för att utskicken faktiskt ska upphöra — vi använder den inte till något annat.

Hur länge vi sparar uppgifterna

  • Orderns kontakt- och leveransuppgifter: 2 år, räknat från att ordern skickats, betalats eller annullerats. Därefter anonymiseras ordern automatiskt, och kvar blir bara ordernummer, produkter, belopp och datum. En betald order som fortfarande är på väg till dig anonymiseras aldrig — leveransen måste vara avslutad först. Begär du radering själv anonymiseras ordern direkt, med samma undantag för en leverans som pågår.
  • Bokföringsunderlag: till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Det följer av bokföringslagen och kan vi inte förkorta.
  • Om en butik läggs ned: butikens orderuppgifter anonymiseras senast 90 dagar efter nedläggningen, utom det som bokföringslagen kräver att vi behåller.
  • Kundregistret: namn, telefonnummer och adress rensas i samma stund som butikens sista order kopplad till din e-postadress anonymiseras. E-postadressen blir kvar som nyckel, så att en avregistrering från nyhetsbrevet fortsätter att gälla.
  • Uppgifter i en påbörjad men inte slutförd kassa: raderas automatiskt ur vår snabblagring efter 90 dagar.
  • Säkerhetsloggen över förfrågningar som vårt skydd mot överbelastning och robotar reagerat på, med IP-adress: 1 månad.
  • Driftloggar: 14 dagar, som längst 3 månader när vi felsöker.
  • Spärrar mot massutskick och upprepade försök, som innehåller ett hashat värde av uppkopplingen: poster äldre än 7 dygn rensas.
  • Meddelanden till kundservice: 12 månader efter att ärendet avslutats, räknat från det sista meddelandet. Ett ärende som fortfarande pågår sparas tills det är avslutat.
  • Ärenden om ånger, retur och reklamation: din e-postadress och ditt meddelande i ärendet tas bort 12 månader efter beslutet, och alltid när ordern anonymiseras. Ärendets utfall bevaras tillsammans med ordern som bokföringsunderlag.
  • Besöksstatistik: 12 månader, i pseudonymiserad form. Mätning av laddningstider: 3 månader.
  • Registreringen av ditt val i samtyckesrutan: 2 år, så att vi kan visa vad du valde och när.
  • Uppgifter om att ett utskick studsat eller anmälts som skräppost: 12 månader, för att vi inte ska fortsätta skicka till adressen.
  • Nyhetsbrevsprenumeration: tills du avregistrerar dig. Därefter behåller vi adressen på en spärrlista tills vidare, just för att utskicken ska upphöra.
  • Medlemskap i en kundgrupp: tills butiken tar bort dig ur gruppen eller tar bort gruppen, eller tills du begär att dina uppgifter raderas.

Vilka vi delar uppgifter med

Vi säljer aldrig dina personuppgifter vidare. För att kunna driva webshopen anlitar vi leverantörer som behandlar uppgifter för vår räkning och på våra instruktioner. De får bara del av det som krävs för sin uppgift:

  • Drift av webbplatsen och lagring av filer: Vercel.
  • Databas: Supabase, som driftar databasen inom EU/EES.
  • Snabblagring: Upstash. Där ligger våra spärrar mot överbelastning, säkerhetsloggen med IP-adresser och uppgifterna från en påbörjad kassa — alltså namn, kontaktuppgifter och leveransadress — i upp till 90 dagar.
  • E-post: Postmark, dels för orderbekräftelser, kvitton och svar från kundservice, dels — på en separat avsändare och en separat ström — för nyhetsbrev och kampanjer.
  • Lagerhantering: Ongoing Warehouse, för de butiker vars lager hanteras där. De får ditt namn, din leveransadress och din e-postadress för att kunna plocka, packa och avisera din order. Order du hämtar i butik skickas aldrig dit.
  • Skydd mot robotar i kontaktformuläret: Cloudflare Turnstile, som tar emot din IP-adress för att avgöra om du är en människa.

Vissa mottagare bestämmer själva hur de behandlar uppgifterna och är då personuppgiftsansvariga för sin egen del. Vi kan inte instruera dem, och för deras behandling gäller deras egen integritetspolicy:

  • SumUp, vår betalleverantör. Kortuppgifterna lämnar du direkt till SumUp i deras eget betalfält, som laddas in i din webbläsare — de passerar aldrig våra servrar. SumUp behandlar sedan betalningen och är enligt lag skyldig att göra kundkännedomskontroller och spara underlaget.
  • Swish (Getswish AB) och bankerna — vår bank Danske Bank och din egen bank — när du betalar med Swish. Vi skickar beloppet, vår orderreferens och ett kort meddelande om ordern till Swish, och betalningen godkänner du själv i Swish-appen. Tillbaka får vi betalningens status och bankens referens för betalningen. Swish skickar också med det mobilnummer du betalade från, men det sparar vi inte.
  • PostNord, som utför transporten. De får ditt namn och din leveransadress, och i förekommande fall e-post och telefon för avisering. PostNord har egna skyldigheter som postoperatör, bland annat tystnadsplikt.
  • Myndigheter, när lagen kräver det — till exempel Skatteverket, Allmänna reklamationsnämnden, Kronofogdemyndigheten eller Polismyndigheten.

Innehåller en butikssida en inbäddad video, spellista eller karta hämtas det innehållet direkt från den plattform det ligger på — till exempel YouTube, Spotify eller Instagram. Din webbläsare kontaktar då den plattformen, som tar emot din IP-adress och kan spara information i din webbläsare enligt sina egna villkor.

Överföring utanför EU/EES

Webbplatsen körs på servrar i Stockholm och databasen med dina order- och kunduppgifter ligger inom EU/EES. Några av de leverantörer vi anlitar är etablerade utanför EU/EES eller har delar av sin verksamhet där, och då överförs uppgifter dit. Vill du veta var en viss leverantör behandlar uppgifter, och vilken skyddsåtgärd som gäller för den överföringen, hör av dig via butikens kontaktsida (länken Kontakt i sidfoten) och välj Mina personuppgifter under Gäller, så lämnar vi besked och skickar en kopia av handlingen.

Måste du lämna uppgifterna?

Uppgifterna i kassan är ett villkor för att avtalet ska kunna ingås. Utan förnamn, efternamn, e-postadress och telefonnummer — och vid leverans även gatuadress, postnummer och ort — kan vi inte ta emot beställningen, ta betalt eller skicka varan, och köpet går inte att slutföra. Telefonnumret behöver transportören för att kunna avisera leveransen. Väljer du att hämta ordern i butik behöver vi ingen leveransadress.

När köpet väl är genomfört är vi enligt bokföringslagen skyldiga att spara underlaget, och den skyldigheten kan du inte begära bort. I kontaktformuläret behöver vi ditt namn, din e-postadress och ditt meddelande för att kunna svara; telefonnumret är frivilligt. Nyhetsbrevet är helt frivilligt, och att avstå påverkar varken ditt köp eller din service.

Automatiserat beslutsfattande och profilering

Vi fattar inga beslut om dig som enbart bygger på automatiserad behandling, och vi profilerar dig inte. Vi sätter inte priser eller villkor utifrån ditt beteende, och ingen automatik väljer ut vem som får ett erbjudande. Däremot kan butiken för hand lägga dig i en kundgrupp som får ett riktat erbjudande — se Ändamål och rättslig grund. Automatiska kontroller förekommer — robotkontrollen i kontaktformuläret samt spärrar mot upprepade försök och mot överbelastning — men de stoppar bara en förfrågan för stunden och har inga rättsliga följder för dig. Blir du felaktigt stoppad, hör av dig så hjälper vi dig manuellt.

Dina rättigheter

  • Begära utdrag av de personuppgifter vi har om dig.
  • Begära rättelse av felaktiga eller ofullständiga uppgifter.
  • Begära radering av uppgifter som inte längre behövs.
  • Begära att behandlingen begränsas medan en invändning eller en rättelse utreds.
  • Få ut de uppgifter du lämnat i ett maskinläsbart format och flytta dem (dataportabilitet).
  • Invända mot behandling som stödjer sig på berättigat intresse.
  • Återkalla ett samtycke du lämnat, utan att det påverkar behandling som redan skett.

En sak vill vi vara tydliga med: en genomförd order kan vi inte radera helt, eftersom bokföringslagen kräver att underlaget finns kvar. Vad vi gör i stället är att anonymisera ordern — ditt namn, din adress, din e-post och ditt telefonnummer tas bort, och kvar blir bara ordernummer, produkter, belopp och datum, som inte längre går att knyta till dig.

Vill du använda en rättighet, hör av dig via butikens kontaktsida (länken Kontakt i sidfoten) och välj Mina personuppgifter under Gäller. Ange gärna ditt ordernummer, så hittar vi rätt uppgifter snabbare. Vi svarar utan onödigt dröjsmål och senast inom en månad. Är begäran omfattande kan vi förlänga tiden med upp till två månader, och då hör vi av oss inom den första månaden och berättar varför.

Dataskyddsombud

Vi har inte utsett något dataskyddsombud. Vår kärnverksamhet är försäljning av merchandise, inte regelbunden och systematisk övervakning i stor omfattning, och vi behandlar inga känsliga personuppgifter. Kraven i dataskyddsförordningens artikel 37 är därför inte uppfyllda. Har du frågor om personuppgifter, hör av dig via butikens kontaktsida (länken Kontakt i sidfoten) och välj Mina personuppgifter under Gäller, så svarar vi.

Kontakt

Har du frågor om hur vi behandlar personuppgifter — eller vill lämna ett klagomål — är du välkommen att kontakta personuppgiftsansvarig:
Scandinavian Concessions Management Aktiebolag
Org.nr 556240-9853
Rörstrandsgatan 31
113 41 Stockholm
Sverige
E-post: webshop@officialmerch.se
Telefon: 08-31 11 02

Du har också rätt att klaga på vår personuppgiftsbehandling till Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy.se.