Integritetspolicy

Senast granskad: 2026-10-14

1. Introduktion

Denna integritetspolicy förklarar hur TO BRIEF Ι.Κ.Ε. ("TO BRIEF", "vi", "oss") samlar in, använder och skyddar personuppgifter i samband med webbplatserna tobrief.gr och tobrief.eu, mobilapparna To Brief för iOS och Android, samt relaterade tjänster (tillsammans, "Tjänsten"). TO BRIEF är personuppgiftsansvarig för personuppgifter som behandlas genom Tjänsten, förutom där en annan personuppgiftsansvarig uttryckligen anges nedan.

Uppgifter om personuppgiftsansvarig

• Juridiskt namn: TO BRIEF Ι.Κ.Ε. (Ιδιωτική Κεφαλαιουχική Εταιρεία)
• Registrerad adress: Troon 26, 118 51, Aten, Attika, Grekland
• GEMI: 188116103000
• AFM: 803045387
• E-post: [email protected]
• Kontakt för dataskydd: [email protected]

Vi har för närvarande inget lagstadgat dataskyddsombud; alla förfrågningar rörande dataskydd hanteras dock via den dedikerade kontakten ovan och behandlas enligt en dokumenterad process som uppfyller de standarder som förväntas av en dataskyddsombudsfunktion enligt GDPR art. 37–39 där så är tillämpligt.

2. Vilka uppgifter vi samlar in

Vi samlar endast in den minsta mängd data som krävs för att driva Tjänsten och uppfylla våra juridiska förpliktelser.

2.1 Kontouppgifter

När du registrerar ett konto lagrar vi: din e-postadress, ett säkert hashat lösenord, ditt valda visningsnamn (valfritt), datum för kontoskapande, den utgåva du registrerade dig via (GR eller EU) samt prenumerationsstatus. Rättslig grund: fullgörande av avtal (GDPR art. 6(1)(b)).

2.2 Webbplatsanvändning och analysdata

Om – och endast om – du ger valfritt samtycke till mätning via vår cookie-banner, samlar vi in aggregerade användningssignaler via Google Analytics 4, UX-analys/sessionssignaler via Contentsquare/Hotjar, konverteringssignaler via X-pixeln och konverteringssignaler via Meta-pixeln (Facebook/Instagram): visade sidor, enhets-/webbläsarklass, ungefärlig geografi (land/region från IP, aldrig rå-IP), hänvisare, sessionslängd, interaktionshändelser, signaler om användarupplevelsefriktion, registreringar och prenumerationskonverteringar. Rättslig grund: samtycke (GDPR art. 6(1)(a) och ePrivacy-direktivet art. 5(3)). Med samma samtycke informerar vår server också OpenAI när du skapar ett konto på vår webbplats eller när din första prenumerationsbetalning där har verifierats, så att vi kan mäta och förbättra To Briefs annonser i ChatGPT. OpenAI får din e-postadress i hashad form, en hashad slumpmässig kundidentifierare, klickreferensen från en annons i ChatGPT om du kom via en sådan annons, tidpunkten och, för en prenumeration, belopp och valuta. OpenAI sätter ingen cookie och laddar inget skript i din webbläsare. Rättslig grund: samtycke (artikel 6.1 a i GDPR).

2.3 Betalningsuppgifter

Prenumerationsbetalningar behandlas av Stripe Payments Europe, Limited ("Stripe"). Kortinmatning hanteras av Stripe; kortnummer och CVV-koder skickas inte till våra applikationsservrar genom vår kassa. Stripes integritetsmeddelande finns på https://stripe.com/privacy. Vi tar emot de uppgifter som behövs för att administrera prenumerationer och verifiera betalningar: identifierare för kund, prenumeration, faktura och återbetalning; betalnings-/återbetalningsbelopp och valutor; datum och status; faktureringsuppgifter och fakturapost. Vi kopplar dessa uppgifter till ditt To Brief-konto. Rättslig grund: fullgörande av avtal och rättslig förpliktelse för fakturering och bokföring. Valfri användning av en verifierad betalning i reklamsyfte följer de separata reglerna i §2.7.

2.4 Klagomål och rapportdata

När du använder /report eller skickar ett klagomål via e-post lagrar vi: din e-post, klagomålstexten, bilagor du tillhandahåller, en saltad hash av din IP-adress (inte rå-IP), det ärendenummer vi tilldelar samt resultatet av utredningen. Rättslig grund: berättigat intresse (att driva en ansvarsfull nyhetstjänst och försvara rättsliga anspråk) och rättslig förpliktelse (EMFA art. 20, DSA art. 16).

2.5 Enhets- och webbläsardata

Våra servrar tar emot standardiserad HTTP-förfrågningsmetadata – user-agent, Accept-Language, hänvisare, trunkerad IP – som sparas i åtkomstloggar. Rättslig grund: berättigat intresse (säkerhet, bedrägeribekämpning, diagnostik).

2.6 Känsliga kategorier

Vi samlar inte medvetet in särskilda kategorier av personuppgifter (GDPR art. 9) såsom uppgifter om hälsa, religion, politiska åsikter eller sexuell läggning. Vänligen skicka inte in sådana uppgifter via fritextfält.

2.7 Mätning i mobilapp

Vi använder AppsFlyer för att förstå vilka kampanjer som leder till appinstallationer och betalande prenumeranter, samt för att förbättra To Brief-reklam på Meta (Facebook/Instagram), X och Reddit. Denna reklamutvärdering är valfri och baseras på samtycke. Kontotillgång, prenumerationsadministration och de säkerhetsuppgifter som krävs för att respektera dina val förblir separata tjänstefunktioner.

Endast nya användare i denna version. Valfri mätning via AppsFlyer börjar först när vi har verifierat ett nytt konto och en förstagångsinstallation som gjorts efter utrullningens start, och du har gett tillstånd. Befintliga konton, uppdateringar, ominstallationer och installationer med osäkert ursprung är undantagna. Vi kontrollerar villkoren innan vi ber om spårningstillstånd eller laddar AppsFlyer. Befintliga läsares mätningsval ändras inte.

När appmätning är aktiverad och tillåten tar AppsFlyer emot sin installationsidentifierare, en tillgänglig reklamidentifierare, appstarter samt teknisk app-/enhetsinformation som används för attribution, analys och bedrägeribekämpning. Detta kan inkludera operativsystem- och appversioner, språk, startdiagnostik och nätverksinformation. Dess servrar tar emot anslutningens IP-adress och kan härleda ungefärlig geografi. Vi begär inte exakt plats eller GPS-åtkomst för denna mätning. Vår backend behåller installationskopplingen, tillståndsstatus och revideringar, app-/plattformsinformation, tidpunkt för ursprunglig installation samt en begränsad kampanjobservation där sådan finns tillgänglig.

Efter en godkänd första kontoinloggning kopplar vi installationen till det kontot med en separat slumpmässig kundidentifierare. Vi registrerar registrering, en första kvalificerande användning av appen, påbörjad kassa och verifierade prenumerationshändelser. Om du betalar på vår webbplats med samma To Brief-konto kan vi koppla den betalningen till en godkänd appinstallation. Tillåtna händelser som skickas via AppsFlyer kan inkludera registrering och prenumerationsbetalningar, förnyelser eller återbetalningar, med en händelseidentifierare, belopp, valuta och tidpunkt. Varje partner tar emot de händelser som konfigurerats för dess integration; inte varje händelse skickas till varje partner. Med samma behörighet i appen skickar vår server också upp till tre händelser direkt till OpenAI, så att vi kan mäta och förbättra To Briefs annonser i ChatGPT: registrering, den första verifierade prenumerationsbetalningen och en ny installation av appen. De skickas endast för kvalificerade nya installationer och endast för händelser efter att du gett din tillåtelse, aldrig för befintliga installationer, appuppdateringar eller ominstallationer. Varje händelse innehåller din e-postadress i hashad form, en hashad slumpmässig kundidentifierare, klickreferensen från en annons i ChatGPT om den registrerades när du skapade kontot, tidpunkten och, för en prenumeration, belopp och valuta. Förnyelser och återbetalningar skickas inte till OpenAI.

Vi inkluderar inte din e-post, ditt namn, telefonnummer, kommentarstext, artikeltitlar, läsämnen, sökfrågor, politiska intressen, kortuppgifter eller fakturadokument i dessa reklamevenemangspayloads. Delning med partner kan inkludera godkända nya användare från organiska och andra kampanjkällor, inte bara användare som tillskrivits den partnern. Det enda undantaget är händelserna till OpenAI som beskrivs i §2.2 och i detta avsnitt, som endast innehåller din e-postadress i hashad form, aldrig i klartext.

Ditt val. På iOS är Apples standardprompt för App Tracking Transparency (ATT) den enda prompten för spårningstillstånd. Du kan ändra detta senare i iPhone-inställningarna. På Android, använd appens val för mätning och dess inställningspost. Du kan använda appen efter att ha tackat nej. Ett cookie-val på webbplatsen kan inte åsidosätta ett nej till appspårning. Appen kontrollerar plattformsvalet på nytt när den återgår till förgrunden; vår backend kontrollerar det aktuella registrerade tillståndet och kontokopplingen innan köade händelser skickas. Återkallelse stoppar SDK:n på enheten och uppdaterar vår backend; om enheten är offline görs ett nytt försök med serveruppdateringen när anslutningen återupprättas.

Apples separata mekanism för aggregerad attribution kan förbli aktiv efter ett nej till ATT. Den rapporterar begränsade konverteringsvärden utan våra konto- eller AppsFlyer-identifierare. Återkallelse stoppar framtida mätning av personlig reklam; det är inte en automatisk radering av data som redan tagits emot av en leverantör. Kontoradering påbörjar den tillämpliga raderingsprocessen, tar bort lokala kampanjobservationer och bryter reklamkopplingar från sparade faktureringsuppgifter. Leverantörslagrade uppgifter hanteras genom raderingsprocessen snarare än att antas raderas omedelbart. Du kan också begära radering via [email protected]. Lagringsbegränsningarna i §4 gäller.

3. Varför vi använder dina uppgifter

Syfte	Datakategorier	Rättslig grund
Tillhandahålla läsupplevelsen	Konto, enhet	Avtal, berättigat intresse
Fakturering, bedrägeribekämpning, skatteefterlevnad	Betalning, konto	Avtal, rättslig förpliktelse
Mäta engagemang och förbättra produkten	Mätning	Samtycke
UX-analys via Contentsquare/Hotjar	Mätning	Samtycke
Konverteringsmätning via X-pixel	Mätning	Samtycke
Konverteringsmätning via Meta-pixel	Mätning	Samtycke
Konverteringsmätning för OpenAI-annonser (från servern)	Mätning	Samtycke
Valfri mätning av appförvärv och prenumeration	Installation, tillstånd, konto- och betalningshändelser	Samtycke
Hantering av klagomål och rättelser	Klagomål, konto	Berättigat intresse, rättslig förpliktelse
Säkerhet, missbruksdetektering, incidenthantering	Enhet, konto	Berättigat intresse
Efterlevnad av lagliga förfrågningar	Alla kategorier, vid behov	Rättslig förpliktelse

Vi använder inte personuppgifter för automatiserat beslutsfattande som ger rättsliga följder eller på liknande sätt i betydande grad påverkar dig (GDPR art. 22).

4. Hur länge vi sparar dina uppgifter

• Lokala kampanjobservationer i app: upphör att gälla 89 dagar efter det tidigaste av antingen registrering av första backend-installation eller mottagande av kampanjobservation, och rensas tidigare vid återkallelse eller kontoradering. Upprepade kampanjåteranrop förlänger inte perioden.
• Direkta kopplingar mellan händelse och installation: exkluderas från mätrapportering efter 89 dagar från händelsen och tas bort genom schemalagd rensning. Gamla konverteringsanspråk från webbläsare tas också bort efter 89 dagar. Finansiella identiteter, belopp och de minsta händelseuppgifter som krävs för att förhindra dubbla betalnings-/konverteringsposter är separata från dessa reklamkopplingar.
• Poster för tillstånd och radering: installationsuppgifter som krävs för att genomdriva val, förhindra kontoomtilldelning och uppfylla raderingsförfrågningar sparas separat från kampanjobservationer. En leverantörsidentifierare som krävs för en utestående raderingsförfrågan kvarstår tills bekräftelse på slutförande erhållits. En begränsad undertryckningspost sparas för att förhindra att den avslutade identiteten återanvänds för reklam. Dessa poster är inte anonyma och används inte som kampanjmålgruppsdata. Leverantörsspecifik lagring och en individuell raderingsförfrågan är separata från vår lokala kampanjutgång.
• Kontouppgifter: så länge kontot är aktivt och upp till två (2) år efter avslut, för att hantera tvister och återkrav efter avslut.
• Analysdata: fjorton (14) månader för GA4; Contentsquare/Hotjar-cookies för mätning sparas enligt sitt syfte och generellt upp till tretton (13) månader för UX-analyscookies på besökarnivå.
• Betalnings-/faktureringsuppgifter: sju (7) år, för att uppfylla grekiska krav på skattearkivering (Κ.Φ.Α.Σ. / Lag 4174/2013).
• Klagomålsdata: tre (3) år från slutgiltigt svar, i linje med den femåriga preskriptionstiden för avtalsrättsliga anspråk men förkortad där så är möjligt.
• Åtkomstloggar: nittio (90) dagar.
• Säkerhetskopior: krypterade säkerhetskopior raderas inom 35 dagar.

Efter dessa perioder raderar eller anonymiserar vi uppgifterna oåterkalleligt.

5. Vilka vi delar uppgifter med

Vi delar endast personuppgifter med de mottagare och för de syften som anges här. Vi säljer inte personuppgifter till någon tredje part.

• Stripe (betalningar, som självständig personuppgiftsansvarig).
• Google Ireland Limited (GA4) — endast om du samtycker till analys.
• Contentsquare/Hotjar — endast om du samtycker till valfri UX-analysmätning.
• X — valfri konverteringsmätning på webbplats och tillåten delning av apphändelser via AppsFlyer.
• Meta (Facebook/Instagram) — valfri konverteringsmätning på webbplats och tillåten delning av apphändelser via AppsFlyer.
• AppsFlyer — vår tjänsteleverantör för mobil attribution och mätning, inklusive den tillåtna kopplingen mellan konto och prenumeration samt raderingshantering som beskrivs i §2.7.
• Reddit — tillåten delning av apphändelser via AppsFlyer för att mäta och förbättra To Brief-kampanjer.
• OpenAI (OpenAI Ireland Limited): valfri konverteringsmätning för To Briefs annonser i ChatGPT, som skickas av vår server enligt beskrivningen i §2.2 och §2.7.
• Leverantörer av hosting och infrastruktur (t.ex. Vercel, AWS, Cloudflare) som agerar strikt som personuppgiftsbiträden enligt avtal enligt art. 28.
• Professionella rådgivare (advokater, revisorer, granskare) där det är juridiskt nödvändigt och under sekretess.
• Behöriga myndigheter, där vi är tvingade genom en laglig, specifik och proportionerlig förfrågan (domstolsbeslut, dataskyddsmyndighet, skattemyndighet).

En aktuell, granskningsbar lista över underbiträden upprätthålls internt och kan tillhandahållas på begäran.

6. Internationella dataöverföringar

Vissa av våra biträden är etablerade i USA eller verkar globalt. När personuppgifter överförs utanför EES förlitar vi oss på:

• Europeiska kommissionens standardavtalsklausuler (beslut 2021/914), eller
• ett beslut om adekvat skyddsnivå (t.ex. EU-U.S. Data Privacy Framework, för Stripe, Google och andra certifierade importörer), eller
• ditt uttryckliga samtycke för begränsade, riktade överföringar.

Kompletterande åtgärder såsom kryptering under transport (TLS 1.2+), kryptering vid lagring och åtkomstkontroller tillämpas utöver den juridiska överföringsmekanismen.

7. Dina GDPR-rättigheter

Du har följande rättigheter enligt GDPR art. 15–22:

• Tillgång — bekräftelse på att vi behandlar dina uppgifter och en kopia av dem.
• Rättelse — korrigering av felaktiga eller ofullständiga uppgifter.
• Radering ("rätten att bli bortglömd") — radering där grund finns.
• Begränsning — begränsning av hur vi behandlar dina uppgifter i väntan på verifiering.
• Dataportabilitet — en maskinläsbar kopia av uppgifter du tillhandahållit enligt avtal eller samtycke.
• Invändning — mot behandling baserad på berättigade intressen, inklusive profilering.
• Återkalla samtycke — när som helst, utan att påverka behandling som utförts före återkallelsen.
• Klagomål till tillsynsmyndighet — särskilt den grekiska dataskyddsmyndigheten (se §12).

För att utöva någon rättighet, skicka e-post till [email protected] från den adress som finns registrerad eller tillhandahåll ett annat rimligt sätt för identitetsverifiering. Vi svarar inom en (1) månad, förlängningsbart en gång med två (2) ytterligare månader för komplexa förfrågningar; vi kommer att förklara eventuell förlängning.

8. Cookies

Vi använder cookies och liknande tekniker. Kategorier, syften och varaktighet för varje cookie beskrivs i Cookiepolicyn. Du kan konfigurera dina inställningar och återkalla samtycke när som helst via /cookie-preferences.

9. Barn

Tjänsten riktar sig inte till barn under femton (15) år, vilket är åldern för digitalt samtycke i Grekland enligt lag 4624/2019 art. 21. Vi samlar inte medvetet in uppgifter från yngre barn. Om du tror att ett barn har registrerat sig, vänligen kontakta [email protected] så raderar vi kontot.

10. Säkerhet

Vi tillämpar kommersiellt rimliga tekniska och organisatoriska åtgärder — inklusive TLS, hashade lösenord (Argon2-familjen), isolerade miljöer, principen om minsta möjliga behörighet, loggning, säkerhetskopior och procedurer för incidenthantering — men inget system är helt säkert. I händelse av en personuppgiftsincident som sannolikt leder till en risk för dina rättigheter kommer vi att meddela den grekiska dataskyddsmyndigheten inom 72 timmar enligt krav i GDPR art. 33 och, där risken är hög, kommer vi även att meddela dig direkt.

11. Ändringar i denna policy

Vi kommer att publicera en reviderad version på denna URL och, vid väsentliga ändringar, ge meddelande minst trettio (30) dagar i förväg via Tjänsten eller via e-post. Datumet "Senast granskad" högst upp återspeglar alltid den senaste uppdateringen. Historiska versioner av detta dokument bevaras i ändringsloggen för juridiska sidor.

12. Kontakt och tillsynsmyndighet

• Förfrågningar om dataskydd: [email protected]
• Postadress: Troon 26, 118 51, Aten, Attika, Grekland

Du har rätt att lämna in ett klagomål till den grekiska dataskyddsmyndigheten (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα):

• Webbplats: https://www.dpa.gr
• Postadress: Kifissias 1-3, 115 23 Aten, Grekland

EU-invånare utanför Grekland kan även kontakta tillsynsmyndigheten i sitt medlemsland för hemvist.