Integritetspolicy

Badal Umrah är en renodlad onlinetjänst som drivs från Stockholm i Sverige. Vi ordnar så att en Umrah — eller, om det bokats, en Hajj Badal — utförs i Mekka på uppdrag av en person som du namnger, och vi levererar beviset på genomförandet digitalt till dig. Vi är personuppgiftsansvariga för de uppgifter som beskrivs i denna policy, vilket innebär att vi bestämmer varför och hur de behandlas.

Vi har inte utsett något dataskyddsombud eftersom vi inte är skyldiga att göra det. Integritetsfrågor hanteras direkt av de personer som driver tjänsten, och du når dem via e-post eller post på uppgifterna nedan.

Policyn omfattar de personuppgifter vi behandlar via vår webbplats, vårt boknings- och kassaflöde, kundkonton, vår e-post- och meddelandekorrespondens, vårt formulär för partneransökningar samt leveransen av foton, videor och intyg om genomförande. Den gäller oavsett var du bor. Om du befinner dig i EU, EES, Storbritannien eller Schweiz gäller de avsnitt som hänvisar till GDPR för dig. Om du befinner dig i USA bör du också läsa det särskilda avsnittet om amerikanska integritetsrättigheter längre ned.

Vi samlar bara in det vi behöver för att kunna ta emot din bokning, utföra tjänsten, styrka att den utförts och uppfylla våra rättsliga skyldigheter. Beroende på hur du använder webbplatsen kan det handla om:

• Kunduppgifter — ditt namn, din e-postadress och, om du väljer att lämna det, ditt telefon- eller WhatsApp-nummer, tillsammans med de meddelanden du skickar till oss.
• Uppgifter om mottagaren — namnet på den person som Umrah eller Hajj utförs för, personens status (till exempel avliden, äldre eller allvarligt sjuk), din relation till personen, den du'a-text eller de särskilda önskemål du skriver, ett valfritt fotografi samt eventuellt datum du vill att vi tar hänsyn till.
• Kontouppgifter — din e-postadress och ett lösenord som endast lagras som en saltad kryptografisk hash, aldrig i läsbar form, samt de bokningar som är kopplade till ditt konto.
• Order- och betalningsuppgifter — det paket och de tillval du väljer, din visningsvaluta, det debiterade beloppet, bokningsreferensen och betalningsstatusen. Kortnummer, giltighetstid och säkerhetskoder anges direkt hos Stripe och når aldrig våra servrar.
• Levererat material — de foton, videoklipp och det intyg som tas fram för din bokning, tillsammans med den privata leveranslänk som låter dig se och ladda ned dem.
• Uppgifter i partneransökningar — om du ansöker om att utföra tjänsten för vår räkning: de identitets-, uppehålls- och kvalifikationsdokument du laddar upp samt uppgifterna i ditt ansökningsformulär.
• Nödvändiga kakor och teknisk information — en sessionskaka medan du är inloggad, ditt språkval, ditt val av visningsvaluta samt vanliga serverloggar (IP-adress, webbläsartyp, tidpunkt) som sparas för säkerhet och felsökning.
• Korrespondens och supporthistorik — de e-postmeddelanden, kontaktformulär och chattmeddelanden du utbyter med oss, så att vi kan följa upp ditt ärende ordentligt.

En Badal-bokning handlar till sin natur om någon annan än dig. När du lämnar en mottagares namn, status, relation, fotografi eller du'a lämnar du personuppgifter om en tredje part. Du bekräftar att du har rätt att dela den informationen med oss för detta ändamål och att mottagaren, om personen lever och kan förstå innebörden, känner till bokningen och samtycker till den.

Enligt GDPR utgör uppgifter om en avliden person inte den personens personuppgifter. Vi behandlar dem ändå med samma sekretess och samma säkerhetsåtgärder, av respekt för familjen och eftersom de normalt är kopplade till dig som levande person. Uppgifter om att en namngiven levande mottagare är sjuk eller skröplig kan utgöra hälsouppgifter. I sådana fall stödjer vi oss på ditt uttryckliga samtycke, som lämnas när du skickar in bokningen, och vi använder uppgifterna endast för att ordna och utföra den tjänst du beställt.

Skicka inte mer information om en mottagare än vad bokningsformuläret frågar efter. Skicka i synnerhet inte journaler, identitetshandlingar eller ekonomiska dokument som rör mottagaren — vi behöver dem inte och raderar sådant som når oss.

När GDPR är tillämplig stödjer vi oss på följande rättsliga grunder:

• Fullgörande av avtal, artikel 6.1 b — för att ta emot och bekräfta din bokning, ta betalt, ordna och utföra Umrah eller Hajj, leverera foton, videor och intyg samt hantera avbokningar och återbetalningar.
• Rättslig förpliktelse, artikel 6.1 c — för att spara bokföringsunderlag enligt bokföringslagen och uppfylla krav inom skatt, konsumenträtt och bedrägeribekämpning.
• Berättigat intresse, artikel 6.1 f — för att hålla webbplatsen och konton säkra, förhindra bedrägeri och missbruk, besvara supportfrågor, bedöma partneransökningar och bevara dokumentation över vad vi levererat vid en eventuell tvist eller chargeback. Vi väger dessa intressen mot dina rättigheter och går bara vidare när dina inte väger tyngre.
• Samtycke, artikel 6.1 a — och artikel 9.2 a för uppgifter som rör hälsa — för ett valfritt foto av mottagaren, för uppgift om att en levande mottagare är sjuk, för all offentlig användning av material kopplat till din bokning samt för vårt nyhetsbrev. Du kan när som helst återkalla ditt samtycke; det påverkar inte behandling som skett dessförinnan.
• Vi stödjer oss inte på grunderna grundläggande intressen eller uppgift av allmänt intresse, och vi utför inget automatiserat beslutsfattande eller profilering med rättsliga eller liknande betydande följder för dig.

Vi använder dina personuppgifter för följande ändamål och inga andra:

• Ta emot, bekräfta och administrera din bokning, inklusive bekräftelser och statusuppdateringar.
• Ta betalt och utfärda kvitton, återbetalningar och, i förekommande fall, fakturor.
• Instruera utföraren i Mekka så att handlingen utförs för rätt mottagare, med rätt avsikt och med din du'a.
• Ta fram och leverera dina foton, videor och ditt intyg om genomförande.
• Besvara dina frågor och hantera klagomål, avbokningar och återbetalningar.
• Sköta vår bokföring, uppfylla våra rättsliga skyldigheter och skydda tjänsten mot bedrägeri och missbruk.

Vi använder inte dina personuppgifter för beteendebaserad annonsering, vi bygger inga marknadsföringsprofiler om dig och vi säljer eller hyr aldrig ut dina uppgifter.

Betalningar hanteras av Stripe. När du betalar samlas dina kort- eller plånboksuppgifter in i ett fält eller en kassasida som Stripe tillhandahåller och överförs direkt till Stripe. Vi ser, lagrar eller behandlar aldrig ditt fullständiga kortnummer, giltighetstid eller säkerhetskod. Stripe är certifierat enligt PCI-DSS nivå 1, den högsta säkerhetsnivån för kortbetalningar.

Stripe återrapporterar bara det vi behöver för att sköta bokningen: om betalningen lyckades, belopp och valuta, kortets utgivare och fyra sista siffror samt en betalningsreferens. Stripe behandlar också vissa uppgifter som självständigt personuppgiftsansvarig för sina egna ändamål inom bedrägeribekämpning och regelefterlevnad, enligt sin egen integritetspolicy som vi rekommenderar att du läser.

Det material vi tar fram för din bokning lagras i vår hostinginfrastruktur och görs tillgängligt för dig via en privat leveranslänk med en lång, omöjlig att gissa nyckel. Alla som har länken kan se filerna, så dela den bara med personer du vill ska se dem.

Vi publicerar aldrig material som är kopplat till en identifierbar bokning — till exempel i vårt galleri eller på sociala medier — utan att du har lämnat ett separat och specifikt samtycke till just den användningen. Du kan när som helst återkalla samtycket, och vi tar då bort materialet från våra egna kanaler så snart det rimligen är möjligt.

Om du ansöker om att bli utförare hos oss behandlar vi ditt ansökningsformulär och de dokument du laddar upp för att kunna kontrollera din identitet, din uppehållsstatus i Saudiarabien och din religiösa behörighet att utföra Badal. Åtkomsten till dessa dokument är begränsad till de personer som bedömer ansökningar. Vi sparar ansökningar som inte lett till samarbete i upp till tolv månader, så att vi kan ompröva dem om förutsättningarna ändras, och raderar dem därefter. Du kan när som helst be oss radera din ansökan tidigare.

Vi använder endast kakor som är strikt nödvändiga för att webbplatsen ska fungera. Vi använder inga kakor för annonsering, retargeting eller spårning mellan webbplatser, och vi bäddar inte in tredjepartsanalys som profilerar dig över olika webbplatser.

• En sessionskaka som sätts först när du loggar in och håller dig inloggad på ditt konto.
• En kaka för språkval, så att webbplatsen öppnas på det språk du valt.
• En kaka för visningsvaluta, så att priser visas i den valuta du valt.

Eftersom dessa kakor är strikt nödvändiga för att leverera en tjänst du begärt krävs inget samtycke enligt EU:s e-integritetsregler, och vi visar därför ingen kakbanner. Du kan ändå blockera eller radera kakor i webbläsarens inställningar, men då kan webbplatsen inte hålla dig inloggad eller komma ihåg ditt språk och din valuta.

Vi delar personuppgifter endast med de leverantörer vi behöver för att driva tjänsten. Var och en av dem är personuppgiftsbiträde åt oss enligt ett skriftligt biträdesavtal, får bara använda uppgifterna enligt våra dokumenterade instruktioner och får inte använda dem för egna ändamål:

• Stripe — betalningshantering, bedrägeriskydd, återbetalningar och chargebacks.
• Vår e-post- och SMTP-leverantör — utskick av bokningsbekräftelser, statusuppdateringar och leveranslänkar.
• Vår hosting- och lagringsleverantör — drift av webbplatsen, databasen och mediefilerna.
• Våra utförare och koordinatorer i Mekka — de får mottagarens namn och status, din relation till personen samt din du'a eller dina särskilda önskemål, och inget mer, så att handlingen kan utföras korrekt för rätt person.
• Våra rådgivare — revisorer och, om det någon gång behövs, jurister, samtliga med tystnadsplikt.

Vi kan även lämna ut uppgifter när lag, domstol eller behörig myndighet kräver det, eller när det är nödvändigt för att fastställa, göra gällande eller försvara rättsliga anspråk. Om verksamheten någon gång överlåts till en ny ägare kan personuppgifter följa med; vi skulle informera dig innan det sker och den nya ägaren skulle vara bunden av denna policy.

Vi säljer inte personuppgifter, vi hyr inte ut dem och vi delar dem inte för beteendebaserad annonsering över olika sammanhang.

Vi finns i Sverige och håller våra huvudsakliga register inom EES. Två överföringar utanför EES är inbyggda i tjänsten. För det första överförs de uppgifter om mottagaren som krävs för att utföra handlingen till våra utförare och koordinatorer i Konungariket Saudiarabien, ett land som EU-kommissionen inte har bedömt ha en adekvat skyddsnivå. För det andra kan vissa av våra leverantörer, däribland Stripe, behandla uppgifter i USA.

För dessa överföringar stödjer vi oss på EU-kommissionens standardavtalsklausuler, kompletterade där det är lämpligt med ytterligare tekniska och organisatoriska åtgärder såsom strikt uppgiftsminimering, kryptering under överföring, åtkomstkontroller och sekretessåtaganden. När en överföring till Saudiarabien är absolut nödvändig för att fullgöra det avtal du bett oss utföra kan vi dessutom stödja oss på artikel 49.1 b i GDPR. Du kan begära en kopia av de skyddsåtgärder vi använder genom att skriva till adressen sist i denna policy.

Vi sparar personuppgifter bara så länge vi behöver dem och raderar eller anonymiserar dem sedan oåterkalleligt:

• Boknings- och betalningsunderlag — sju år från utgången av det räkenskapsår då bokningen gjordes, enligt svensk bokföringslag.
• Uppgifter om mottagaren och du'a-text — sparas med bokningen medan tjänsten ordnas och levereras, och begränsas därefter till det som bokföringsunderlaget kräver.
• Levererade foton, videor och intyg — sparas och är tillgängliga via din leveranslänk i tjugofyra månader, om du inte ber oss radera dem tidigare eller spara dem längre.
• Kontouppgifter — så länge ditt konto är öppet. Om du avslutar det raderar vi kontot och behåller endast det som bokföringsunderlaget kräver.
• Supportkorrespondens — upp till tjugofyra månader efter att ärendet avslutats. Partneransökningar som inte lett till samarbete — upp till tolv månader. Säkerhetsloggar — upp till tolv månader.

Vi krypterar all trafik till och från webbplatsen (HTTPS), lagrar lösenord endast som saltade hashvärden, begränsar åtkomsten till boknings- och mediedata till de personer som verkligen behöver den, skyddar leveranslänkar med långa slumpmässiga nycklar och håller våra system uppdaterade. Ingen onlinetjänst kan lova perfekt säkerhet, men om en personuppgiftsincident inträffar som sannolikt medför en risk för dina rättigheter och friheter anmäler vi den till Integritetsskyddsmyndigheten inom 72 timmar och informerar dig direkt utan onödigt dröjsmål när lagen kräver det.

Om GDPR gäller för dig har du följande rättigheter över dina personuppgifter:

• Tillgång — att få veta om vi behandlar uppgifter om dig och att få en kopia av dem tillsammans med information om hur och varför vi använder dem.
• Rättelse — att få felaktiga uppgifter rättade och ofullständiga uppgifter kompletterade.
• Radering — att få dina uppgifter raderade när vi inte längre har någon laglig grund att spara dem. Detta omfattar inte underlag vi är skyldiga att bevara, till exempel bokföringsunderlag.
• Begränsning — att få behandlingen pausad medan en invändning prövas eller medan en fråga om riktighet utreds.
• Dataportabilitet — att få de uppgifter du lämnat till oss i ett strukturerat, allmänt använt och maskinläsbart format och att få dem överförda till en annan personuppgiftsansvarig när det är tekniskt möjligt.
• Invändning — att när som helst invända mot behandling som grundas på våra berättigade intressen, och att invända ovillkorligt mot direktmarknadsföring.
• Återkallelse av samtycke — att när som helst återkalla ett samtycke du lämnat, utan att det påverkar lagligheten av behandling som skett dessförinnan.

För att utöva någon av dessa rättigheter, skriv till oss på:

Vi svarar inom en månad från det att vi tagit emot din begäran. Vi kan behöva be dig om uppgifter som gör att vi kan bekräfta din identitet innan vi agerar, så att vi inte lämnar ut dina uppgifter till någon annan. Att utöva dina rättigheter är kostnadsfritt, om inte en begäran är uppenbart ogrundad eller orimlig.

Om du anser att vi har hanterat dina uppgifter olagligt kan du lämna in ett klagomål till Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy@imy.se — eller till tillsynsmyndigheten i det EU- eller EES-land där du bor, arbetar eller där den påstådda överträdelsen skedde.

Detta avsnitt gäller utöver resten av policyn om du är bosatt i USA. Det är skrivet utifrån California Consumer Privacy Act i dess lydelse enligt California Privacy Rights Act (CCPA/CPRA), och vi utsträcker frivilligt samma rättigheter till invånare i samtliga delstater, oavsett om delstaten har antagit en egen heltäckande integritetslag.

• Rätt att veta — du kan be oss uppge vilka kategorier och specifika uppgifter vi samlat in om dig, varifrån vi hämtat dem, i vilket affärssyfte vi samlat in dem och till vilka kategorier av tredje parter vi lämnat ut dem.
• Rätt till radering — du kan be oss radera de personuppgifter vi samlat in från dig, med de undantag lagen medger, till exempel uppgifter vi måste behålla för att slutföra en transaktion du begärt eller för att uppfylla en rättslig skyldighet.
• Rätt till rättelse — du kan be oss rätta felaktiga personuppgifter om dig.
• Rätt att välja bort försäljning eller delning — du kan begära att ett företag inte säljer dina personuppgifter och inte delar dem för beteendebaserad annonsering över olika sammanhang.
• Rätt att begränsa användningen av känsliga personuppgifter — du kan begära att ett företag begränsar sin användning och sitt utlämnande av känsliga personuppgifter till vad som är nödvändigt för att leverera den tjänst du begärt.
• Rätt att inte diskrimineras — vi kommer aldrig att neka dig tjänsten, ta ett annat pris eller ge dig sämre kvalitet för att du utövat en integritetsrättighet.

Vi säljer inte personuppgifter och har inte sålt personuppgifter under de senaste tolv månaderna. Vi delar inte personuppgifter för beteendebaserad annonsering över olika sammanhang. Vi använder eller lämnar inte ut känsliga personuppgifter för något annat ändamål än att leverera den tjänst du beställt. Av dessa skäl visar vi ingen länk med texten ”Do Not Sell or Share My Personal Information” — det finns inget att välja bort.

För att göra en begäran, mejla oss på adressen sist i denna policy med ämnesraden ”US privacy request”. Vi bekräftar mottagandet inom tio arbetsdagar och svarar inom fyrtiofem kalenderdagar, med möjlighet till ytterligare fyrtiofem dagar när det rimligen behövs och då vi meddelar dig om det. Du får använda ett befullmäktigat ombud; vi ber då om bevis på fullmakten och kan be dig bekräfta din identitet direkt hos oss.

Vi samlar inte medvetet in, säljer eller delar personuppgifter om barn under sexton år. Tjänsten riktar sig till vuxna. Om du tror att ett barn har lämnat personuppgifter till oss, kontakta oss så raderar vi dem omgående.

Information vid insamling: kategorierna av personuppgifter vi samlar in framgår av avsnittet om personuppgifter vi samlar in ovan; ändamålen framgår av avsnittet om hur vi använder dem; kategorierna av mottagare framgår av avsnittet om delning; och våra lagringstider framgår av avsnittet om hur länge vi sparar uppgifter. Vi samlar in uppgifterna direkt från dig när du använder webbplatsen, bokar en tjänst eller kontaktar oss.

Vi kan uppdatera policyn när vår tjänst, våra leverantörer eller lagstiftningen ändras. Den aktuella versionen publiceras alltid på den här sidan med datum för senaste uppdatering överst. Om en ändring väsentligt påverkar hur vi använder dina personuppgifter meddelar vi dig via e-post eller genom ett tydligt meddelande på webbplatsen innan den träder i kraft.

Om du har en fråga om policyn, vill utöva en rättighet eller är missnöjd med hur vi hanterat dina uppgifter — kontakta oss först. Vi vill gärna ha chansen att rätta till det.