Integritetspolicy & Dataskydd

1. Allmän information & personuppgiftsansvarig

DOX Visumpartner AB ("vi", "oss" eller "DOX") är personuppgiftsansvarig för den behandling av personuppgifter som beskrivs i denna policy. Denna integritetspolicy förklarar hur vi samlar in, använder, lagrar och skyddar dina personuppgifter enligt Dataskyddsförordningen (GDPR) och svensk lagstiftning.

2. Vilka uppgifter samlar vi in

Vi behandlar följande kategorier av personuppgifter:

• Identitets- och kontaktuppgifter: namn, e-postadress, telefonnummer, adress, eventuellt företagsnamn och organisationsnummer.
• Beställningsuppgifter: typ av dokument, destinationsland, leveransadress, ordernummer, faktureringsreferens.
• Dokumentinnehåll: de handlingar du laddar upp eller skickar in för legalisering eller översättning (kan innehålla personnummer, examensbevis, vigselbevis m.m.).
• Betalningsuppgifter: belopp, valuta, betalningsmetod, transaktions-ID. Vi lagrar aldrig fullständiga kortnummer, CVV-koder eller utgångsdatum — dessa hanteras direkt av Stripe (se avsnitt 7).
• Kommunikationsuppgifter: meddelanden via kontaktformulär, e-post, telefon eller chat.
• Teknisk information: IP-adress, webbläsartyp, enhetsinformation, klickdata och cookie-ID:n (automatiskt insamlat — se cookiepolicyn).

3. Ändamål & rättslig grund

4. Dataskyddspolicy

DOX följer de sju grundprinciperna för dataskydd enligt GDPR (Art. 5):

• Laglighet, korrekthet och öppenhet — du får alltid veta varför vi behandlar dina uppgifter.
• Ändamålsbegränsning — uppgifter används bara för det ändamål de samlats in för.
• Uppgiftsminimering — vi efterfrågar bara det som är nödvändigt.
• Korrekthet — du har rätt att begära rättelse av felaktiga uppgifter.
• Lagringsminimering — uppgifter sparas inte längre än nödvändigt (se avsnitt 6).
• Integritet och konfidentialitet — tekniska och organisatoriska säkerhetsåtgärder enligt avsnitt 5.
• Ansvarsskyldighet — vi kan dokumentera och redogöra för all behandling.

Vissa handlingar du lämnar in för legalisering, översättning eller visum kan innehålla känsliga personuppgifter (GDPR art. 9), t.ex. uppgift om hälsa, samt uppgifter om lagöverträdelser (art. 10), t.ex. utdrag ur belastningsregistret. Vi behandlar dessa uppgifter enbart för att kunna utföra det uppdrag du beställt, med stöd av ditt uttryckliga samtycke (art. 9.2 a) och/eller för att fastställa, göra gällande eller försvara rättsliga anspråk (art. 9.2 f). Uppgifter om lagöverträdelser behandlas endast i den utsträckning som är nödvändig för uppdraget och tillåten enligt dataskyddslagen (2018:218) 3 kap. Vi minimerar behandlingen, raderar handlingarna enligt avsnitt 6 och delar dem endast med de mottagare som krävs för att fullgöra uppdraget.

Vi behandlar inte barns personuppgifter aktivt; om ett dokument rör ett barn behandlar vi det enbart för att slutföra beställningen som barnets vårdnadshavare har beställt.

5. Datasäkerhetspolicy

Vi har tekniska och organisatoriska säkerhetsåtgärder för att skydda dina personuppgifter mot obehörig åtkomst, förlust, ändring eller röjande:

• Kryptering under överföring: HTTPS/TLS 1.3 på hela webbplatsen och alla API-anrop.
• Kryptering vid lagring: AES-256 på Firebase Firestore och Firebase Storage (vår underleverantör Google Cloud).
• Åtkomstkontroll: rollbaserad behörighet i adminpanelen; bara handläggare med affärsbehov har åtkomst.
• Autentisering: starka lösenord (bcrypt-hash) och möjlighet till tvåfaktorsautentisering (2FA) för alla administratörer.
• Loggning: alla admin-åtgärder på en order loggas i en oföränderlig revisionslogg.
• Backup: daglig replikering via Firebase till multipla geografiska regioner inom EU.
• Kortdata: hanteras helt av Stripe (PCI-DSS Level 1-certifierad). DOX är inte direkt PCI-DSS-certifierad eftersom kortdata aldrig passerar våra servrar.
• 3D-Secure 2 (SCA): alla kortbetalningar säkras med stark kundautentisering enligt PSD2-direktivet.
• Incidentrapportering: vid en personuppgiftsincident rapporterar vi till Integritetsskyddsmyndigheten (IMY) inom 72 timmar och informerar berörda registrerade utan onödigt dröjsmål, i enlighet med GDPR Art. 33–34.

Vid misstanke om säkerhetsincident — kontakta oss omedelbart på info@doxvl.se.

6. Datalagringspolicy

Vi sparar personuppgifter endast så länge det är nödvändigt för det ändamål de samlades in för, eller så länge gällande lagstiftning kräver det:

Efter att lagringstiden löpt ut raderar eller anonymiserar vi uppgifterna. För bokföringsdata gäller alltid den lagstadgade 7-årsperioden — kortbetalningsdata (transaktions-ID, belopp) sparas hela denna tid även om du ber om radering.

7. Delning av uppgifter, personuppgiftsbiträden & kortbetalningar

Vi delar dina uppgifter med tredje part endast när det är nödvändigt för att leverera tjänsten, fullgöra rättsliga skyldigheter eller skydda våra intressen. Vi säljer aldrig dina uppgifter.

7.1 Kortbetalningar — Stripe

7.2 Övriga personuppgiftsbiträden

• Stripe Payments Europe, Ltd. — kortbetalningar och återbetalningar (se avsnitt 7.1).
• Google Cloud / Firebase — hosting, databas och fillagring (EU-region; behandling sker inom EU/EES).
• PostNord, DHL Express, FedEx — leverans av dokument; vi delar mottagaradress, namn och telefonnummer.
• SendGrid / Resend — utskick av transaktionella e-postmeddelanden (orderbekräftelser, statusuppdateringar).
• Fortnox — bokföring och fakturering.
• Google Workspace — vår e-post och dokumenthantering.
• Auktoriserade översättare — vid översättningsuppdrag delar vi de dokument som ska översättas med den auktoriserade översättare som utför uppdraget. Vid leverans av fysiskt original direkt till dig delas även ditt namn och din adress. Översättarna är bundna av sekretess och personuppgiftsbiträdesavtal.

Vi har personuppgiftsbiträdesavtal med samtliga leverantörer ovan som behandlar uppgifter för vår räkning.

7.3 Mottagare för legaliserings-, visum- och översättningsändamål

För att slutföra en beställning lämnar vi dokument och nödvändig kontaktinformation till relevanta myndigheter — t.ex. Notarius Publicus, Utrikesdepartementet, Handelskammaren, ambassader och konsulat i Stockholm samt utländska myndigheter (UAE MOFA m.fl.). Dessa mottagare är självständigt personuppgiftsansvariga för sin egen behandling.

När din beställning kräver att dokument lämnas till en ambassad, ett konsulat eller en utländsk myndighet i ett land utanför EU/EES (tredjeland) sker denna överföring med stöd av GDPR art. 49.1 b — överföringen är nödvändig för att fullgöra det avtal du ingått med oss (att få din handling legaliserad eller ditt visum handlagt). Sådana mottagare omfattas inte av EU:s dataskyddsnivå; vi kan inte garantera samma skyddsnivå som inom EU/EES och kan inte teckna standardavtalsklausuler med utländska myndigheter. Du bör vara medveten om att dessa länder kan sakna ett dataskydd motsvarande EU:s. Genom att beställa en tjänst mot ett specifikt land instruerar och begär du att vi genomför denna överföring. Överföringar till våra kommersiella personuppgiftsbiträden i USA (t.ex. betal-, e-post- och fraktleverantörer) sker separat med stöd av EU–US Data Privacy Framework (för certifierade mottagare) eller EU-kommissionens standardavtalsklausuler. Kontakta oss på info@doxvl.se för mer information om en specifik överföring.

8. Dina rättigheter enligt GDPR

Du har följande rättigheter rörande dina personuppgifter:

• Tillgång (Art. 15): få en kopia av de uppgifter vi behandlar om dig.
• Rättelse (Art. 16): få felaktiga eller ofullständiga uppgifter rättade.
• Radering (Art. 17): få uppgifter raderade ("rätten att bli bortglömd"), med undantag för uppgifter som måste sparas enligt bokföringslagen.
• Begränsning (Art. 18): begära att behandlingen begränsas medan vi utreder en invändning.
• Dataportabilitet (Art. 20): få ut dina uppgifter i ett strukturerat, vanligt förekommande och maskinläsbart format.
• Invändning (Art. 21): invända mot behandling som grundar sig på berättigat intresse eller direktmarknadsföring.
• Återkalla samtycke: om vi behandlar uppgifter baserat på samtycke kan du när som helst återkalla det.
• Klagomål till tillsynsmyndighet: du har rätt att lämna in klagomål till Integritetsskyddsmyndigheten (IMY).

För att utöva någon av rättigheterna — kontakta oss på info@doxvl.se. Vi svarar inom 30 dagar enligt GDPR.

9. Cookies

Vi använder cookies för att webbplatsen ska fungera och för att förbättra användarupplevelsen. Detaljerad information finns i vår cookiepolicy.

10. Kontakt & klagomål

Frågor om denna policy eller dina rättigheter? Kontakta oss:

Om du inte är nöjd med vårt svar kan du lämna in klagomål till tillsynsmyndigheten: Integritetsskyddsmyndigheten (IMY).

11. Ändringar av policyn

Vi kan komma att uppdatera denna policy. Den senaste versionen finns alltid på denna sida med uppdaterat datum högst upp. Vid väsentliga ändringar meddelar vi befintliga kunder via e-post.