Integritetspolicy

1. Personuppgiftsansvarig

CCAuktioner ansvarar för behandlingen av dina personuppgifter.

Kontakt:
CCAuktioner, org.nr 5566255849
Länsmansgatan 17, 282 72 Sösdala
E-post: info@ccauktioner.se
Webbplats: ccauktioner.se

2. Vilka uppgifter vi samlar in

Köpare (budgivare) — när du skapar ett konto eller lägger bud samlar vi in:

• Namn
• E-postadress
• Telefonnummer
• Postadress (gatuadress, postnummer, ort)
• Budhistorik, inklusive automatiska maxbud (proxy-bud) — vilka objekt du budat på, aktuellt bud och ditt angivna maxbelopp
• Bevakade objekt (bokmärken/watchlist) — vilka objekt du sparat för att följa
• Fakturauppgifter — fakturor med vinsthistorik, priser och eventuella leveransval genereras som PDF och skickas till din registrerade e-post

Vi samlar inte in kort- eller bankkontouppgifter. Betalning sker via Swish eller bankgiro direkt från dig, och vi lagrar endast referensen för att kunna stämma av betalningen.

Säljare (konsignanter) — när du registreras som säljare och lämnar in objekt samlar vi dessutom in:

• Födelsedatum (för att säkerställa att du är minst 18 år)
• Personnummer eller organisationsnummer
• Bankkontonummer eller bankgiro (för utbetalning)
• Uppgift om skattemässig hemvist (land)
• Transaktionshistorik (inlämnade objekt, hammarslag, provisioner, utbetalningar)
• Information om inlämnade objekts skick, ursprung och värde

Behandling av personnummer. Enligt 3 kap. 10 § dataskyddslagen (2018:218) får personnummer behandlas endast när det är klart motiverat med hänsyn till ändamålet, vikten av en säker identifiering eller något annat beaktansvärt skäl. CCAuktioner behandlar säljarens personnummer för att (i) uppfylla bokföringslagens krav på identifierbara motparter (1999:1078 kap. 7), (ii) fullgöra rapporteringsskyldigheten enligt DAC7 (lag 2022:1682) till Skatteverket, (iii) kunna redovisa följerättsersättning via BUS (lag 1960:729), samt (iv) möjliggöra kontroll enligt lagen (1999:271) om handel med begagnade varor. Personnumret lämnas aldrig ut för marknadsföring och behandlas inte för ändamål utanför dessa rättsliga förpliktelser.

3. Varför vi behandlar dina uppgifter

4. Hur länge vi sparar uppgifterna

Köpare: Kontouppgifter sparas så länge ditt konto är aktivt. Konton som inte använts på 36 månader kan raderas efter förhandsmeddelande via e-post. Budhistorik sparas i 36 månader efter auktionens avslut för att hantera eventuella tvister. Du kan begära radering av ditt konto — se dina rättigheter nedan.

Push-prenumerationer: Om du aktiverar push-notiser sparas endpoint-URL och krypteringsnycklar tills du stänger av funktionen eller din webbläsare återkallar prenumerationen (t.ex. vid avinstallation av appen/webbläsaren). Inaktiva prenumerationer raderas automatiskt när leveransen misslyckas.

Säljare (auktion): Uppgifter om inlämnade objekt, transaktioner och utbetalningar sparas i 7 år i enlighet med bokföringslagen (2:7 § bokföringslagen), oavsett om säljarens konto avslutas. Personnummer/organisationsnummer sparas för samma tid för att kunna fullgöra DAC7-rapporteringen. Bankuppgifter sparas under samma period och raderas därefter.

Säljare (secondhand/konsignation): Uppgifter om inlämnade och sålda varor sparas i 7 år enligt bokföringslagen. För varor i reglerade kategorier (elektronik, cyklar, telefoner m.fl.) sparas registreringsuppgifter inklusive serienummer i upp till 10 år i enlighet med förordning (1999:272) om handel med begagnade varor. Identitetshandlingar (kopia) för ID-verifierade säljare sparas i 5 år. Uppgifter om returer och reklamationer sparas i 3 år.

Ångerrättsärenden: Uppgifter om ångerrättsbegäran enligt distansavtalslagen (status, motivering, returmetod, datummärken, administratörsanteckningar) sparas i 3 år för uppföljning och eventuella ARN-prövningar.

Kontoradering (köpare). När du begär att ditt köparkonto raderas tas alla personuppgifter bort — namn, e-post, telefon, adress, lösenord och eventuella OAuth-identifierare. Bud som du har lagt på genomförda auktioner bevaras dock i auktionshistoriken anonymt: kopplingen till ditt konto tas bort, medan budsumma och tidsstämpel behålls. Syftet är att säkerställa auktionens historiska integritet gentemot övriga budgivare och att uppfylla bokföringslagens krav. Behandlingen grundas på berättigat intresse (GDPR art. 6.1 f) och rättslig förpliktelse (bokföringslagen 1999:1078).

5. Delning av uppgifter

Vi delar inte dina personuppgifter med tredje part för marknadsföring. Uppgifter kan delas med:

• Webbhotell (Loopia AB, Sverige) — tjänsten driftas hos Loopia. Alla personuppgifter lagras på servrar inom EU/EES. Loopia är personuppgiftsbiträde och behandlar uppgifterna enbart enligt vår instruktion och inom ramen för ett biträdesavtal (GDPR art. 28).
• 46elks AB (Sverige) — telefoni/växel. Vår telefonitjänst (växelnummer, röstbrevlåda och eventuell samtalsinspelning) förmedlas av 46elks. Uppringarens telefonnummer, samtalsmetadata och — när inspelning är aktiverad — ljudet behandlas av 46elks för att koppla samtalet; inspelningar laddas ned och lagras krypterat hos oss (Loopia, Sverige). 46elks är personuppgiftsbiträde inom EU (Sverige) och behandlar uppgifterna enligt biträdesvillkoren i kundavtalet (GDPR art. 28). Mer information finns i § 7. Ingen tredjelandsöverföring.
• Anthropic, PBC (USA) — AI-kategorisering av objekt. När vår personal lägger in ett objekt i systemet kan bilderna skickas till Anthropics modell Claude (Haiku) för automatisk kategorisering, titelförslag och taggförslag. Funktionen används enbart internt i administrationen och aktiveras manuellt per objekt. Bilderna används inte av Anthropic för att träna modeller (avtal om zero-retention/no-training). Överföringen sker till USA med stöd av EU-kommissionens standardavtalsklausuler (SCC, 2021/914). Anthropic är inte certifierat enligt EU-U.S. Data Privacy Framework (DPF). Rättslig grund: berättigat intresse (effektiv katalogisering); du kan invända mot behandlingen per § 9 nedan.
• Brevo SAS (Frankrike/EU) — e-postleverans. Transaktionell e-post (fakturor, vinnare-notiser, ångerrätt, lösenordsåterställning, säljarkommunikation) skickas via Brevo. Brevo behandlar mottagarens e-postadress och meddelandeinnehållet uteslutande för att leverera e-posten. Inga uppgifter delas med Brevo utöver vad som krävs för leveransen. Brevo är etablerat inom EU (Frankrike) — ingen tredjelandsöverföring. Rättslig grund: avtal / rättslig förpliktelse.
• Shipmondo ApS (Danmark/EU) — fraktberäkning. Vid köp med leveransalternativ kan fraktpriset beräknas via Shipmondo, som i sin tur anropar transportörer (t.ex. DHL, UPS). Leveransadress och kollivikt/mått delas med Shipmondo för prisberäkning och eventuell bokning. Shipmondo är etablerat inom EU (Danmark) — ingen tredjelandsöverföring. Rättslig grund: avtal (fullgörande av köpeavtal).
• Skatteverket — säljaruppgifter (namn, personnummer/org.nr, transaktionsbelopp) rapporteras automatiskt i enlighet med lag (2022:1682) om automatiskt utbyte av upplysningar (DAC7, EU-direktiv 2021/514/EU). Uppgifterna kan vidarebefordras till skattemyndigheter i andra EU-länder.
• Zettle by PayPal (Secondhand) — vid användning av vår secondhand-kassa delas produktinformation (varunummer, pris, beskrivning) med Zettle/PayPal för att möjliggöra kortbetalning i butik. Personuppgifter om säljare delas inte med Zettle; köparinformation hanteras av Zettle enligt deras integritetspolicy.
• BUS (Bildupphovsrätt i Sverige) — vid försäljning av originalkonstverk kan följerättsersättning (lag 1960:729, 3 kap. 26 n–o §§) överföras till BUS tillsammans med uppgifter om verket och transaktionen.
• Google Maps (USA) — opt-in-karta på startsidan. Vår startsida innehåller en knapp "Visa karta". Inga uppgifter skickas till Google förrän du klickar på knappen. Vid klick laddas en inbäddad karta från Google, och din IP-adress, User-Agent och Referer behandlas av Google enligt deras integritetspolicy. Ditt klick lagras lokalt i din webbläsare så att kartan automatiskt visas vid återbesök; rensa webbläsardata för att återkalla. Överföring till USA sker med stöd av EU-U.S. Data Privacy Framework. Rättslig grund: samtycke (GDPR art. 6.1.a).
• Mailchimp (Intuit Inc., USA) — nyhetsbrev och lanseringsutskick. Om du anmäler dig till vårt nyhetsbrev/lanseringslista på startsidan behandlas din e-postadress (samt teknisk metadata, t.ex. IP-adress vid anmälan) av Mailchimp för att leverera utskicken. Anmälan kräver att du aktivt kryssar i en samtyckesruta. Överföringen till USA sker med stöd av EU-U.S. Data Privacy Framework och/eller EU-kommissionens standardavtalsklausuler (SCC, 2021/914). Rättslig grund: samtycke (GDPR art. 6.1.a) — du kan när som helst avregistrera dig via länken i varje utskick eller genom att kontakta oss.
• Push-leverantörer — om du aktiverar push-notiser levereras notisen via din webbläsares pushtjänst: Google Firebase Cloud Messaging (Chrome/Edge/Android), Apple Push Notification Service (Safari/iOS) eller Mozilla autopush (Firefox). Själva innehållet i notisen är end-to-end-krypterat med VAPID innan det lämnar vår server, så pushleverantören ser inte notisens text. En unik endpoint-URL och teknisk metadata behandlas dock hos leverantören för att leverera notisen. Du kan när som helst stänga av push-notiser i dina kontoinställningar — då raderas prenumerationen.
• Myndigheter — om vi enligt lag är skyldiga att lämna ut uppgifter.

Dina personuppgifter lagras och behandlas primärt inom EU/EES. Undantag: om du aktiverar push-notiser kan endpoint-URL och teknisk metadata behandlas av Google (FCM, USA) eller Apple (APNs, USA) för att kunna leverera notisen till din enhet. Innehållet är krypterat med VAPID (RFC 8291) och kan inte läsas av pushleverantören. Överföringen sker med stöd av EU-U.S. Data Privacy Framework eller standardiserade avtalsklausuler (SCC). Om du anmäler dig till vårt nyhetsbrev behandlas din e-postadress dessutom av Mailchimp (Intuit Inc., USA) med stöd av EU-U.S. Data Privacy Framework och/eller SCC.

6. Kamerabevakning i butiken

Vår fysiska secondhand-butik och dess entréer är kamerabevakade dygnet runt. Skyltar vid entréerna informerar om bevakningen i enlighet med 15 § kamerabevakningslagen (2018:1200) och artikel 13 i GDPR.

Ändamål. Bevakningen sker för att förebygga, avskräcka från och utreda brott (stöld, skadegörelse, hot) samt för att skydda egendom och personer i butiken.

Rättslig grund och intresseavvägning. Behandlingen grundas på berättigat intresse (GDPR art. 6.1 f). Vi har bedömt att vårt intresse av att skydda egendom samt förebygga och utreda brott väger tyngre än det begränsade intrång i den personliga integriteten som bevakningen innebär. Kamerorna täcker enbart butikens insida och entréer — aldrig allmän plats utanför lokalen — och bilden lagras kort tid och med begränsad åtkomst, vilket minimerar intrånget.

Kategorier av registrerade. Besökare och kunder som vistas i butikslokalen.

Kategorier av uppgifter. Stillbild och rörlig bild (videoinspelning). Inget ljud spelas in.

Lagringstid. Inspelat material sparas i 14 dygn och raderas därefter automatiskt, om det inte behöver bevaras längre för att utreda en konkret incident eller på begäran av Polismyndigheten.

Mottagare. Materialet hanteras internt med begränsad åtkomst. Vid misstanke om brott kan relevant material lämnas ut till Polismyndigheten. Inga uppgifter överförs till tredjeland.

Personuppgiftsansvarig. Skånerot AB (org.nr 556625-5849), bifirma CCAuktioner. Du har de rättigheter som beskrivs i § 9 nedan, och du kan lämna klagomål till Integritetsskyddsmyndigheten (IMY) — se § 11.

7. Inspelning av telefonsamtal och röstbrevlåda

CCAuktioner använder en egen telefonitjänst. Inkommande samtal till vårt växelnummer kan spelas in, och den som lämnar ett meddelande i vår röstbrevlåda spelas in. Detta avsnitt gäller telefoni och är skilt från kamerabevakningen i § 6 — uppgiften där om att "inget ljud spelas in" avser endast butikens övervakningskameror, inte telefonsamtal.

Vad vi spelar in. Vid inkommande samtal kan hela samtalet spelas in (båda parters tal) efter att en inledande röstad notis har upplyst om det. I röstbrevlådan spelas det meddelande du väljer att tala in. Vi sparar även samtalsmetadata: ditt telefonnummer, tidpunkt, samtalslängd och vilken åtgärd samtalet ledde till. Utgående samtal från oss spelas som utgångspunkt inte in; om vi i ett enskilt fall spelar in ett utgående samtal upplyser vi dig om det innan inspelningen börjar och du kan då avböja.

Ändamål. Att säkra kvaliteten i vår kundkontakt, dokumentera muntliga överenskommelser om inlämning, budgivning, värdering och utbetalning, samt att kunna utreda och styrka uppgifter vid reklamationer och tvister.

Rättslig grund. Berättigat intresse (GDPR art. 6.1 f). Vi har gjort en intresseavvägning och bedömt att vårt intresse av kvalitetssäkring, dokumentation och bevissäkring väger tyngre än det begränsade integritetsintrång inspelningen innebär — särskilt eftersom (i) du upplyses om inspelningen i början av samtalet och kan be oss stänga av den, (ii) inspelningen lagras krypterat på server i Sverige med begränsad åtkomst, (iii) materialet gallras automatiskt efter kort tid, och (iv) vi varken profilerar dig eller delar inspelningen för andra ändamål. Rör samtalet känsliga uppgifter (art. 9) inhämtar vi i stället ditt uttryckliga samtycke innan inspelning sker.

Lagringstid. Samtalsinspelningar raderas automatiskt efter 90 dagar. Röstmeddelanden raderas automatiskt efter 30 dagar. Samtalsmetadata (nummer, tid, längd) kan sparas något längre för statistik och felsökning, dock längst i 12 månader. Om en inspelning behövs för att utreda eller försvara ett konkret rättsligt anspråk kan den bevaras tills ärendet är avslutat.

Din invändningsrätt (GDPR art. 21). Eftersom behandlingen grundas på berättigat intresse har du rätt att när som helst invända mot inspelning. Du kan göra det redan under samtalet — säg bara till så stänger vi av inspelningen — eller i efterhand genom att kontakta info@ccauktioner.se, varvid vi raderar inspelningen om inte tvingande berättigade skäl för fortsatt behandling föreligger eller den behövs för att fastställa, göra gällande eller försvara ett rättsligt anspråk.

Mottagare och biträden. Telefonitrafiken förmedlas av vår teleoperatör 46elks AB (Sverige), som är personuppgiftsbiträde. Inspelningar laddas ned från 46elks och lagras krypterat hos vårt webbhotell Loopia AB (Sverige) inom EU/EES. Båda är personuppgiftsbiträden och behandlar uppgifterna enbart enligt vår instruktion och inom ramen för biträdesavtal (GDPR art. 28). Vid misstanke om brott kan en inspelning lämnas ut till Polismyndigheten. Inga uppgifter överförs till tredjeland.

Personuppgiftsansvarig. Skånerot AB (org.nr 556625-5849), bifirma CCAuktioner. Du har de rättigheter som beskrivs i avsnittet "Dina rättigheter" nedan, och du kan klaga till Integritetsskyddsmyndigheten (IMY).

8. Publikt prisarkiv (sålda lotter)

På ccauktioner.se/priser/ publicerar vi ett arkiv över slutpriser för sålda lotter. Arkivet visar typiskt titel, kategori, foto, beskrivning, försäljningsdatum och det slutliga klubbade priset (hammarslag). Inga uppgifter om säljaren publiceras — varken namn, initialer, ort, säljar-ID eller annan identifierande information.

Ändamål. Marknadstransparens, prishistorisk dokumentation, oberoende värderingsreferens för köpare, säljare och tredje parter, samt köparskydd. Publicering av slutpriser är vidare branschpraxis hos jämförbara aktörer.

Rättslig grund. Berättigat intresse (GDPR art. 6.1 f). Vi har gjort en intresseavvägning (LIA) och bedömt att intresset av prishistorisk transparens väger tyngre än det begränsade integritetsintrång publiceringen innebär — särskilt med beaktande av att (i) ingen säljardata publiceras, (ii) auktionspriser redan är publika under själva auktionen och arkivet utgör en förlängning av denna offentlighet, och (iii) säljaren har en rimlig förväntan om att försäljningspriset blir bestående marknadsinformation.

Kategorier av uppgifter. Objekt-data: titel, kategori, fotografi(er), beskrivning, försäljningsdatum, slutpris. Inga säljaridentifierande uppgifter.

Lagringstid. Poster i prisarkivet sparas tills vidare som en historisk prisreferens, dock med möjlighet till individuell prövning vid invändning enligt nedan.

Opt-out före försäljning. Säljaren kan välja att ett enskilt objekt inte ska ingå i arkivet genom att kryssa i opt-out-rutan vid inlämning eller ändra inställningen i säljarportalen senast vid auktionens startdatum. För objekt där opt-out aktiverats innan auktionen startar publiceras varken bild eller slutpris i arkivet.

Invändningsrätt efter försäljning (GDPR art. 21). Även efter att en lott sålts har säljaren rätt att invända mot fortsatt publicering genom att kontakta info@ccauktioner.se. CCAuktioner gör då en individuell prövning av om tvingande berättigade skäl för fortsatt publicering föreligger som överväger säljarens intressen, rättigheter och friheter, eller om publiceringen sker för fastställande, utövande eller försvar av rättsliga anspråk. Besked lämnas inom 30 dagar. Vid bifall avlägsnas objektets post (inklusive bild) skyndsamt från arkivet.

Köpare. Köparens identitet publiceras aldrig i prisarkivet.

9. Dina rättigheter

Enligt GDPR har du rätt att:

• Tillgång — begära ett utdrag av de uppgifter vi har om dig.
• Rättelse — rätta felaktiga uppgifter (kan göras direkt under Inställningar).
• Radering — begära att ditt konto och dina uppgifter tas bort ("rätten att bli glömd").
• Begränsning — begära att vi begränsar behandlingen av dina uppgifter.
• Dataportabilitet — begära dina uppgifter i ett strukturerat, maskinläsbart format.
• Invändning — invända mot behandling som grundar sig på berättigat intresse.

För att utöva dina rättigheter, kontakta oss på info@ccauktioner.se. Vi svarar inom 30 dagar.

10. Cookies

Vi använder enbart en teknisk sessions-cookie som är nödvändig för att webbplatsen ska fungera. Du behöver inte ge ditt samtycke till denna cookie.

Lokal lagring (localStorage)

Övrig lokal lagring

• Service worker-cache (cc-shell-v<n>) — när du installerar eller använder CCAuktioner som progressiv webbapp (PWA) sparas vyer som hemsida, sökning och offline-sidan lokalt av webbläsarens service worker för att fungera utan internet. Inga personuppgifter cachas. Raderas när du avinstallerar appen, rensar webbplatsdata eller när en ny version publiceras.
• Web Push-prenumeration — om du aktiverar push-notiser sparar webbläsaren själv en prenumerationspost (endpoint-URL och krypteringsnycklar) i sin egen interna lagring. CCAuktioner lagrar motsvarande post på servern för att kunna skicka notiserna. Raderas när du stänger av push i kontoinställningarna eller webbläsaren.

Vi använder inga spårnings-, analys- eller marknadsföringscookies. Alla teckensnitt laddas från vår egen server — inga externa fontleverantörer används.

Om du väljer att logga in via Google eller Facebook hanteras autentiseringen av respektive tjänst enligt deras egna integritetspolicyer. Vi lagrar aldrig lösenord från tredjepartstjänster — endast ditt namn och din e-postadress.

11. Klagomål

Om du anser att vi behandlar dina personuppgifter felaktigt har du rätt att lämna in ett klagomål till Integritetsskyddsmyndigheten (IMY):

Integritetsskyddsmyndigheten
Box 8114, 104 20 Stockholm
www.imy.se