Integritetspolicy

Översikt

Den har utformats för att uppfylla artiklarna 13 och 14 i EU:s dataskyddsförordning (förordning (EU) 2016/679, "GDPR") samt Republiken Litauens lag om rättsligt skydd av personuppgifter. Nästa avsnitt anger personuppgiftsansvarig; resten av sidan behandlar varje ämne i tur och ordning.

Vem är personuppgiftsansvarig

Tjänsten drivs av MB Libranet, ett litet handelsbolag baserat i Vilnius, Lithuania, och är den enda personuppgiftsansvarige enligt GDPR artikel 4(7). För frågor om integritet, skriv till [email protected]. Fullständiga uppgifter om den juridiska personen, inklusive registrerings- och momsnummer, finns på sidan med företagsinformation.

Vi har inte utsett något dataskyddsombud eftersom vår behandling inte uppfyller tröskelvärdena i artikel 37. Den person som ansvarar för dataskyddet nås på e-postadressen ovan.

Vilka uppgifter vi behandlar

Vi behandlar följande begränsade kategorier av personuppgifter, på de rättsliga grunder som anges:

• Kontouppgifter. Ditt namn, din e-postadress och ett bcrypt-hashat lösenord (eller en publik nyckel för nyckelpar). Rättslig grund: Fullgörande av avtal – art. 6.1 b GDPR.
• Faktura- och kunduppgifter som du skapar. Endast de uppgifter du väljer att ange: kundnamn, adresser, momsnummer, radposter, totalsummor, betalningsstatus. Rättslig grund: Fullgörande av avtal – art. 6.1 b GDPR.
• Received invoices (Inbox). E-invoices you receive into your Inbox, either by uploading a file or by directing them to your personal inbox address. We parse the supplier, totals and tax breakdown into readable fields and keep the original file for audit. We operate a mail receiver only for that dedicated subdomain; it is processed automatically and not read by us. Rättslig grund: Performance of contract - Art. 6(1)(b) GDPR.
• Sessions- och säkerhetskakor. En signerad sessionskaka och en CSRF-tokenkaka som används för att hålla dig inloggad och för att blockera förfalskade förfrågningar. Rättslig grund: Strikt nödvändigt – art. 6.1 f, berättigat intresse.
• Serverloggar. IP-adress, användaragent och metadata för förfrågningar, som sparas kortvarigt för att förhindra missbruk och för felsökning. Rättslig grund: Berättigat intresse – art. 6.1 f GDPR.
• VIES-revisionslogg. När du validerar ett EU-köpares momsnummer lagrar vi förfrågningsidentifieraren, det efterfrågade landet och numret samt svaret, som bevisning enligt rådsförordning (EU) 904/2010 artikel 31. Rättslig grund: Rättslig förpliktelse – art. 6.1 c GDPR.

En del av dessa uppgifter tillhör inte dig utan dina fakturakunder (art. 14 GDPR). Källan är du – vi tar emot dem enbart för att du anger dem i dina fakturor. Vi behandlar dem med stöd av vårt avtal med dig och ditt berättigade intresse som affärsoperatör att föra ett skattemässigt korrekt fakturaregister.

Personuppgiftsbiträden

Vi anlitar ett avsiktligt litet antal personuppgiftsbiträden. Inga av dem är annons- eller analysnätverk. Vart och ett är bundet av ett avtal om personuppgiftsbehandling och behandlar endast de minimiuppgifter som krävs för dess funktion.

SMTP2GO (transaktionell e-post)

När du skickar en faktura via e-post eller tar emot ett systemmeddelande, skickas meddelandet via SMTP2GO:s EU-region (mail-eu.smtp2go.com). Uppgifter som delas: avsändare, mottagaradress, ämne, brödtext och eventuell bifogad PDF. SMTP2GO Inc. är etablerat i Nya Zeeland med EU-infrastruktur; överföringar täcks av standardavtalsklausuler.

Cloudflare Turnstile (botskydd)

Formulären /login och /register visar en Cloudflare Turnstile-utmaning för att blockera automatiserat missbruk. Widgeten laddas från challenges.cloudflare.com och utbyter en kortlivad token med Cloudflares siteverify-endpoint. Uppgifter som delas: din IP-adress, användaragent och en engångschallengetoken. Turnstile sätter inga spårningskakor och används inte för reklam. Cloudflare, Inc. är USA-baserat; överföringar täcks av EU-US Data Privacy Framework och standardavtalsklausuler.

bunny.net (teckensnitts-CDN)

Webbplatsen laddar två webbteckensnitt från fonts.bunny.net, ett integritetsvänligt teckensnitts-CDN som drivs av BunnyWay d.o.o. (Slovenien, EU). Uppgifter som delas: din IP-adress och användaragent under teckensnittsförfrågans varaktighet. Se deras integritetspolicy.

Europeiska kommissionens VIES (momsvalidering)

När du validerar ett köpares momsnummer skickas landskoden och momsnumret du angett till Europeiska kommissionens system för utbyte av momsinformation (VIES) på ec.europa.eu. Mottagaren är en EU-institution; behandlingen regleras av förordning (EU) 2018/1725.

Värdtjänst och PDF-rendering (intern)

Applikationen körs på dedikerad infrastruktur inom Europeiska unionen. Faktura-PDF:er renderas internt med mPDF på våra egna servrar. Ingen tredjepartstjänst för PDF-generering eller hostingåterförsäljare är inblandad.

Inga Google-tjänster. Inga Meta- eller Facebook-pixlar. Inga analys-SDK:er. Inga tredjepartsfeltjänster.

Kakor

Vi sätter endast strikt nödvändiga kakor. Enligt artikel 5.3 i ePrivacy-direktivet (2002/58/EG) kräver strikt nödvändiga kakor inget samtycke, varför du inte kommer att se en kakbanner.

Inga analyskakor. Inga reklamkakor. Inga tredjepartskakor sätts av oss. Cloudflare Turnstile-utmaningen som beskrivs i avsnitt 04 kan sätta sin egen kortlivade kaka begränsad till challenges.cloudflare.com; den kakan är strikt nödvändig för botskyddsutmaningen och används inte för spårning.

Lagringstid

Konto- och fakturauppgifter lagras så länge ditt konto är aktivt. Vid kontoborttagning tas alla sedvanliga personuppgifter bort inom 30 dagar, utom när litauisk bokföringslag (som föreskriver en lagringstid på 10 år för fakturahandlingar) kräver att vi bevarar specifika dokument längre – i så fall överförs dessa handlingar till ett arkiv med begränsad åtkomst och lagras endast så länge lagen kräver.

Serverloggar lagras i upp till 30 dagar om de inte behövs längre för en pågående säkerhetsutredning. Rader i VIES-revisionsloggen lagras i minst 10 år för att uppfylla beviskraven i rådsförordning (EU) 904/2010.

Dina rättigheter enligt GDPR

Enligt GDPR har du rätt till tillgång (art. 15), rättelse (art. 16), radering (art. 17), begränsning av behandling (art. 18), dataportabilitet (art. 20) och invändning (art. 21). Om behandlingen grundar sig på samtycke kan du när som helst återkalla det (art. 7.3).

Du har också rätt enligt artikel 77 GDPR att lämna in ett klagomål till en tillsynsmyndighet – i regel den i det EU/EES-land där du bor, arbetar eller där den påstådda överträdelsen ägde rum. Eftersom operatören är etablerad i Litauen är den ansvariga myndigheten Datainspektionen (State Data Protection Inspectorate of Lithuania, VDAI).

En steg-för-steg-guide om hur du utövar varje rättighet, inklusive tidsramar och vad du ska ange i en begäran, finns på den dedikerade sidan om GDPR-rättigheter.

Automatiserat beslutsfattande

FreeBillGen använder inte automatiserat beslutsfattande eller profilering i den mening som avses i artikel 22 GDPR. Inget beslut som ger upphov till rättsliga eller liknande betydande effekter för dig fattas enbart med automatiserade medel. Vi poängsätter, rangordnar eller profilerar inte användare för reklam, kredit, bedrägerisyften eller något annat ändamål.

Säkerhet

Tekniska och organisatoriska åtgärder (art. 32 GDPR):

• Lösenord lagras som bcrypt-hashvärden; nyckelpar (WebAuthn) stöds.
• Valfri tidsbaserad tvåfaktorsautentisering via valfri TOTP-kompatibel autentiseringsapp.
• CSRF-tokens vid varje tillståndsändrande förfrågan.
• Parametriserade frågor genomgående – ingen strängkonkatenerad SQL.
• HTTPS/TLS vid överföring; HTTP Strict Transport Security aktiverat.
• Content Security Policy och övriga härdningsheaders.
• Revisionslogg på applikationsnivå för säkerhetskänsliga åtgärder.
• Krypterade databassäkerhetskopior med begränsad åtkomst.

Internationella överföringar

Personuppgifter behandlas som standard inom Europeiska unionen. Två av de personuppgiftsbiträden som anges i avsnitt 04 kan innebära en överföring till ett tredjeland:

• Cloudflare Turnstile – överföringar till USA, täcks av EU-US Data Privacy Framework och Europeiska kommissionens standardavtalsklausuler.
• SMTP2GO – det driftsbolag är etablerat i Nya Zeeland (ett land med ett beslut om adekvat skyddsnivå från Europeiska kommissionen) och använder EU-regionens infrastruktur för leverans. Där överföringar förekommer täcks de av standardavtalsklausuler.

Inga andra överföringar till tredjeländer äger rum. Om detta förändras kommer vi att stödja oss på lämplig överföringsmekanism enligt kapitel V GDPR och uppdatera denna policy innan den nya överföringen påbörjas.

Barn

FreeBillGen är ett affärsverktyg och riktar sig inte till barn under 16 år. Vi samlar inte medvetet in personuppgifter från barn.

Ändringar i policyn

Om vi gör väsentliga ändringar kommer vi att publicera den uppdaterade texten på denna sida med ett nytt datum för "senast uppdaterad" och meddela aktiva konton via e-post. Den aktuella versionen identifieras av datumet högst upp på sidan.

Kontakt

Frågor om integritet och begäranden om rättigheter: [email protected]. Postadress och fullständiga uppgifter om den juridiska personen finns på sidan med företagsinformation.