Integritetspolicy & Dataskydd

1. Allmän information & personuppgiftsansvarig

DOX Visumpartner AB ("vi", "oss" eller "DOX") är personuppgiftsansvarig för den behandling av personuppgifter som beskrivs i denna policy. Denna integritetspolicy förklarar hur vi samlar in, använder, lagrar och skyddar dina personuppgifter enligt Dataskyddsförordningen (GDPR) och svensk lagstiftning.

2. Vilka uppgifter samlar vi in

Vi behandlar följande kategorier av personuppgifter:

• Identitets- och kontaktuppgifter: namn, e-postadress, telefonnummer, adress, eventuellt företagsnamn och organisationsnummer.
• Beställningsuppgifter: typ av dokument, destinationsland, leveransadress, ordernummer, faktureringsreferens.
• Dokumentinnehåll: de handlingar du laddar upp eller skickar in för legalisering eller översättning (kan innehålla personnummer, examensbevis, vigselbevis m.m.).
• Betalningsuppgifter: belopp, valuta, betalningsmetod, transaktions-ID. Vi lagrar aldrig fullständiga kortnummer, CVV-koder eller utgångsdatum — dessa hanteras direkt av Worldline (se avsnitt 7).
• Kommunikationsuppgifter: meddelanden via kontaktformulär, e-post, telefon eller chat.
• Teknisk information: IP-adress, webbläsartyp, enhetsinformation, klickdata och cookie-ID:n (automatiskt insamlat — se cookiepolicyn).

3. Ändamål & rättslig grund

4. Dataskyddspolicy

DOX följer de sju grundprinciperna för dataskydd enligt GDPR (Art. 5):

• Laglighet, korrekthet och öppenhet — du får alltid veta varför vi behandlar dina uppgifter.
• Ändamålsbegränsning — uppgifter används bara för det ändamål de samlats in för.
• Uppgiftsminimering — vi efterfrågar bara det som är nödvändigt.
• Korrekthet — du har rätt att begära rättelse av felaktiga uppgifter.
• Lagringsminimering — uppgifter sparas inte längre än nödvändigt (se avsnitt 6).
• Integritet och konfidentialitet — tekniska och organisatoriska säkerhetsåtgärder enligt avsnitt 5.
• Ansvarsskyldighet — vi kan dokumentera och redogöra för all behandling.

Vi behandlar inga särskilda kategorier av personuppgifter (känsliga uppgifter enligt GDPR Art. 9) annat än vad som framgår av de dokument du frivilligt lämnar in för legalisering eller översättning. Vi behandlar inte barns personuppgifter aktivt; om ett dokument rör ett barn behandlar vi det enbart för att slutföra beställningen som barnets vårdnadshavare har beställt.

5. Datasäkerhetspolicy

Vi har tekniska och organisatoriska säkerhetsåtgärder för att skydda dina personuppgifter mot obehörig åtkomst, förlust, ändring eller röjande:

• Kryptering under överföring: HTTPS/TLS 1.3 på hela webbplatsen och alla API-anrop.
• Kryptering vid lagring: AES-256 på Firebase Firestore och Firebase Storage (vår underleverantör Google Cloud).
• Åtkomstkontroll: rollbaserad behörighet i adminpanelen; bara handläggare med affärsbehov har åtkomst.
• Autentisering: starka lösenord (bcrypt-hash) och möjlighet till tvåfaktorsautentisering (2FA) för alla administratörer.
• Loggning: alla admin-åtgärder på en order loggas i en oföränderlig revisionslogg.
• Backup: daglig replikering via Firebase till multipla geografiska regioner inom EU.
• Kortdata: hanteras helt av Worldline (PCI-DSS Level 1-certifierad). DOX är inte direkt PCI-DSS-certifierad eftersom kortdata aldrig passerar våra servrar.
• 3D-Secure 2 (SCA): alla kortbetalningar säkras med stark kundautentisering enligt PSD2-direktivet.
• Incidentrapportering: vid en personuppgiftsincident rapporterar vi till Integritetsskyddsmyndigheten (IMY) inom 72 timmar och informerar berörda registrerade utan onödigt dröjsmål, i enlighet med GDPR Art. 33–34.

Vid misstanke om säkerhetsincident — kontakta oss omedelbart på info@doxvl.se.

6. Datalagringspolicy

Vi sparar personuppgifter endast så länge det är nödvändigt för det ändamål de samlades in för, eller så länge gällande lagstiftning kräver det:

Efter att lagringstiden löpt ut raderar eller anonymiserar vi uppgifterna. För bokföringsdata gäller alltid den lagstadgade 7-årsperioden — kortbetalningsdata (transaktions-ID, belopp) sparas hela denna tid även om du ber om radering.

7. Delning av uppgifter, personuppgiftsbiträden & kortbetalningar

Vi delar dina uppgifter med tredje part endast när det är nödvändigt för att leverera tjänsten, fullgöra rättsliga skyldigheter eller skydda våra intressen. Vi säljer aldrig dina uppgifter.

7.1 Kortbetalningar — Worldline

7.2 Övriga personuppgiftsbiträden

• Google Cloud / Firebase — hosting, databas och fillagring (EU-region; behandling sker inom EU/EES).
• PostNord, DHL Express, FedEx — leverans av dokument; vi delar mottagaradress, namn och telefonnummer.
• SendGrid / Resend — utskick av transaktionella e-postmeddelanden (orderbekräftelser, statusuppdateringar).
• Fortnox — bokföring och fakturering.
• Google Workspace — vår e-post och dokumenthantering.

Vi har personuppgiftsbiträdesavtal med samtliga ovan. Eventuella tredjelandsöverföringar sker enbart till länder med adekvansbeslut från EU-kommissionen eller med standardavtalsklausuler (SCC).

7.3 Mottagare för legaliseringsändamål

För att slutföra en beställning lämnar vi dokument och nödvändig kontaktinformation till relevanta myndigheter — t.ex. Notarius Publicus, Utrikesdepartementet, Handelskammaren, ambassader i Stockholm samt utländska myndigheter (UAE MOFA m.fl.).

8. Dina rättigheter enligt GDPR

Du har följande rättigheter rörande dina personuppgifter:

• Tillgång (Art. 15): få en kopia av de uppgifter vi behandlar om dig.
• Rättelse (Art. 16): få felaktiga eller ofullständiga uppgifter rättade.
• Radering (Art. 17): få uppgifter raderade ("rätten att bli bortglömd"), med undantag för uppgifter som måste sparas enligt bokföringslagen.
• Begränsning (Art. 18): begära att behandlingen begränsas medan vi utreder en invändning.
• Dataportabilitet (Art. 20): få ut dina uppgifter i ett strukturerat, vanligt förekommande och maskinläsbart format.
• Invändning (Art. 21): invända mot behandling som grundar sig på berättigat intresse eller direktmarknadsföring.
• Återkalla samtycke: om vi behandlar uppgifter baserat på samtycke kan du när som helst återkalla det.
• Klagomål till tillsynsmyndighet: du har rätt att lämna in klagomål till Integritetsskyddsmyndigheten (IMY).

För att utöva någon av rättigheterna — kontakta oss på info@doxvl.se. Vi svarar inom 30 dagar enligt GDPR.

9. Cookies

Vi använder cookies för att webbplatsen ska fungera och för att förbättra användarupplevelsen. Detaljerad information finns i vår cookiepolicy.

10. Kontakt & klagomål

Frågor om denna policy eller dina rättigheter? Kontakta oss:

Om du inte är nöjd med vårt svar kan du lämna in klagomål till tillsynsmyndigheten: Integritetsskyddsmyndigheten (IMY).

11. Ändringar av policyn

Vi kan komma att uppdatera denna policy. Den senaste versionen finns alltid på denna sida med uppdaterat datum högst upp. Vid väsentliga ändringar meddelar vi befintliga kunder via e-post.