Integritetspolicy — Step Swap

Version: 2.4 · Gäller från: 2026-11-02

Step Swap hjälper personer vars fötter har olika skostorlek att hitta en matchning och byta skor. Den här policyn förklarar vilka personuppgifter vi behandlar och vilka rättigheter du har när det gäller dem.

Personuppgiftsansvarig: Vitalii Bartashchuk (enskild näringsidkare, živnostník), registrerat verksamhetsställe Za vodou 161/2, 032 03 Liptovský Ján, Republiken Slovakien, IČO 54225337 (näringsregistret: Živnostenský register Okresného úradu Liptovský Mikuláš, nr 540-24297). Kontakt: info@vaet.sk, telefon: +421 952 681 072. Vi har inte utsett något dataskyddsombud; kontakta info@vaet.sk i alla frågor om dina personuppgifter.

1. Uppgifter vi samlar in

Vi säljer inte dina personuppgifter.

Dina skostorlekar behövs för att du ska kunna matchas, och din adress och ditt telefonnummer behövs för att skicka ett byte. Utan dem kan du använda appen men inte slutföra ett byte.

2. Hur vi använder dem

• Skapa ditt konto och autentisera dig (inloggning med Google eller Apple, eller en engångslänk eller kod som vi skickar till din e-postadress).
• Matcha dig med andra medlemmar efter skostorlek (stil är en rankningssignal).
• Möjliggöra chatt och flödet för skobyten.
• Skapa fraktsedlar för ett byte (adress och telefonnummer delas med vår fraktpartner bara för det byte du startar).
• Ta betalt för fraktavgiften per byte när den gäller (kortuppgifter anges i Stripes kassa, som Stripe driver, och når aldrig våra servrar; vi sparar bara betalningsstatus, belopp och Stripes id-nummer).
• Felsöka krascher (adress, telefonnummer, namn och meddelandetext tas bort ur rapporterna).
• Hålla webbplatsen säker: automatiska säkerhetsrapporter från din webbläsare, reducerade enligt §10, vidarebefordras till Sentry så att vi kan hitta och åtgärda det som vår säkerhetspolicy blockerar.
• Hantera supportärenden, tvister och granskningar av förtroende och säkerhet. För det kan våra administratörer för förtroende och säkerhet slå upp ditt konto i en skrivskyddad vy (se §6).
• Förstå den sammanlagda användningen för att förbättra appen.
• Innan du loggar in: låta dig titta runt på startsidan, söka på skostorlek och se anonymiserade antal matchningar och exempel, och se de offentliga fraktavgifterna. Storlekssökningar skickas till våra servrar bara för att räkna fram förhandsvisningarna och sparas inte förrän du loggar in; fram till dess kan väntande storlekar sparas i webbläsarens sessionStorage. Exemplen innehåller aldrig namn, foton, e-post, adress eller telefonnummer.
• Om du går med i väntelistan för storlekar: skicka dig ett e-postmeddelande en gång när en medlem med matchande storlek registrerar sig. Vi skickar inget annat till den adressen, varken nyhetsbrev eller reklam, och varje meddelande har en länk för att avregistrera dig.
• Om vi bjuder in dig till prisfrågan om blandade par: fråga om du skulle vilja få ett blandat par ihopsatt åt dig och till vilken serviceavgift, så att vi kan bedöma efterfrågan innan vi bygger eller erbjuder en sådan tjänst. Inget säljs, beställs eller debiteras via frågan. För att välja vilka vi bjuder in använder vi uppgifter som redan finns i din profil: dina skostorlekar och vilken fot de gäller, de modeller du har markerat som ägda eller önskade samt våra kontroller av blockeringar, bedrägerier (sybil) och länkade konton, så att vi bara bjuder in två medlemmar vars storlekar speglar varandra. Dina svar visas aldrig för andra medlemmar.
• Visa ett riktvärde för en typisk bytesavgift utifrån din webbläsares språkregion. Vi använder inte GPS eller exakt plats för det.
• Vi använder inte automatiserat beslutsfattande som har rättsliga följder för dig eller på liknande sätt påverkar dig i betydande grad. En matchning efter storlek är ett förslag som inte binder dig, och du väljer själv om du vill gå vidare med det.

3. Rättsliga grunder (GDPR)

Vi använder olika rättsliga grunder för olika ändamål (artikel 6 GDPR):

• Fullgörande av avtal (artikel 6.1 b): ditt konto, inloggning (med Google, Apple eller en engångslänk eller kod som skickas till din e-postadress), matchning, chatt, bytesflödet, fraktsedlar och avgiften per byte. Inloggningen är det sätt på vilket vi tillhandahåller tjänsten, så den vilar på avtal, inte på samtycke.
• Samtycke (artikel 6.1 a): valfri krasch- och feldiagnostik, all analys eller lagring som inte är nödvändig (se §10) och e-postmeddelandet från väntelistan för storlekar som du anmäler dig till (när du avregistrerar dig återkallar du samtycket). Du kan när som helst återkalla ditt samtycke.
• Uttryckligt samtycke för särskilda kategorier av uppgifter (art. 9.2 a) — Om du har sko på bara en fot använder vi det för matchning först efter ett uttryckligt samtycke i appen. Vi bjuder bara in dig till prisfrågan om blandade par om du först i Profil → Inställningar har samtyckt till att vi får använda skillnaden mellan din vänstra och högra skostorlek för det; ditt svar (och dina storlekar med det) lagrar vi bara med det samtycket. Du kan vägra eller när som helst återkalla vilket samtycke som helst i Profil → Inställningar: då slutar vi använda det och raderar vid prisfrågan din rad inklusive lagrade storlekar.
• Berättigat intresse (artikel 6.1 f): att hålla tjänsten säker, förhindra missbruk och bedrägerier samt felsöka, avvägt mot dina rättigheter. Det omfattar även de reducerade säkerhetsrapporter som beskrivs i §10. Det omfattar också att våra administratörer för förtroende och säkerhet slår upp en medlems konto i en skrivskyddad vy för att hantera supportärenden, tvister och granskningar av förtroende och säkerhet, och den logg vi för över de uppslagen (se §5 och §6). Det omfattar också prisfrågan om blandade par (§2): vårt intresse av att ta reda på om medlemmar vill få ett blandat par ihopsatt, och till vilken serviceavgift, innan vi bygger eller erbjuder den tjänsten. Det är frivilligt att svara, och du kan ignorera eller dölja frågan. Du kan när som helst invända i appen („Fråga mig inte igen”) eller genom att skicka e-post till info@vaet.sk, och då raderar vi dina svar.
• Rättslig förpliktelse (artikel 6.1 c): att spara betalnings- och fraktuppgifter för skatt och bokföring (se §5).

4. Vilka vi delar dem med

Personuppgiftsbiträden som agerar enligt våra instruktioner: Supabase (autentisering, databas, fillagring för profilbilder, drift), Sightengine (automatisk granskning av valfria uppladdade profilbilder efter explicit eller stötande innehåll innan de sparas; bilderna skickas till Sightengine för analys och sparas enligt deras policy inte längre än själva API-anropet), Google (inloggning), Apple (Sign in with Apple (OAuth). Om du använder Hide My Email driver Apple den privata vidarebefordran som skickar vår e-post vidare till din riktiga adress, så Apple ser att vi har skickat e-post till dig. Se Apples integritetspolicy), Sentry (fel- och kraschdiagnostik rensad från personuppgifter; bara i webbversionen spelas maskerade sessionsinspelningar in för sessioner där ett fel uppstod, och all text, alla inmatningar och all media maskeras; den installerade appen spelar inte in några sessioner; på webben även reducerade rapporter från säkerhetspolicyn, som inte kräver samtycke (se §10)), den pakettransportör som trafikerar din rutt (för närvarande Packeta/Zásielkovňa för Slovakien/Central- och Östeuropa; Sendcloud med dess transportör, t.ex. Österreichische Post, för Österrike/Västeuropa; Packlink för paket som skickas från Tyskland, Posti från Finland, Hrvatska pošta från Kroatien och Econt från Bulgarien) (mottagarens namn, adress, telefonnummer och, vid hemleverans, e-post, för att skapa fraktsedeln och leverera paketet), Resend (e-postleverans av inloggningslänkar och koder, aviseringar om byten, e-postmeddelanden om matchning från väntelistan för storlekar, bekräftelser när du utövar ångerrätten och driftvarningar till vårt eget team; Resend behandlar mottagarens e-postadress och innehållet i varje meddelande, och lagrar meddelandena och leveransloggarna i USA) och Vercel (webbhotell och integritetsvänlig analys).

Självständigt personuppgiftsansvariga. Stripe behandlar fraktavgiften per byte och hanterar dina kortuppgifter som självständigt personuppgiftsansvarig enligt sin egen integritetspolicy. Vi ser aldrig ditt kortnummer och får bara betalningsstatus, belopp och transaktions-id. För den betalningen är det Stripe, inte Step Swap, som bestämmer hur dina kortuppgifter används.

Andra medlemmar ser bara ditt visningsnamn, din profilbild, dina storlekar och stilar. Din postadress och ditt telefonnummer visas inte för andra medlemmar. De används bara för att skapa fraktsedeln och delas med transportören för att leverera paketet.

5. Lagringstid

• Token för återkallelse av Apple-inloggning: om du loggade in med Apple sparar vi den token som Apple utfärdar för din session enbart för att vi, när du raderar ditt konto, ska kunna be Apple återkalla Step Swaps åtkomst till ditt Apple-konto (Apple kräver det av appar som erbjuder Sign in with Apple). Den används aldrig för att läsa något från Apple, kan inte läsas av andra medlemmar eller av appen själv och raderas tillsammans med ditt konto.
• Profil och allmänna kontouppgifter: din profil (namn, profilbild, skostorlekar, stil), kontaktuppgifter och push-token, och all chatt som inte ingick i ett byte som nådde betalnings- eller fraktsedelssteget. Uppgifterna sparas så länge ditt konto är aktivt och tas bort snabbt när du raderar ditt konto (se §7), bortsett från den begränsade identitetskoppling vi behåller tillsammans med uppgifterna nedan.
• Betalnings-, frakt- och bytesuppgifter: vi måste spara fakturerings- och transaktionsuppgifter enligt slovakisk skatte- och bokföringslagstiftning, i regel i upp till 10 år, även efter att du har raderat ditt konto. En sådan post måste visa vem den gäller, och en betalning måste kunna kopplas till den som gjorde den för bokföring, återkrav av kortbetalningar och bedrägeribekämpning. Därför sparar vi uppgifterna med en begränsad koppling till din identitet under den tiden; åtkomsten är begränsad till de ändamålen. Rättsliga grunder: rättslig förpliktelse (artikel 6.1 c) och vårt berättigade intresse av en säker tjänst utan bedrägerier (artikel 6.1 f).
• Chatt för betalda/skickade byten: för ett byte som nådde betalnings- eller fraktsteget sparar vi också chattmeddelandena som skickades om bytet, med den begränsade identitetskopplingen, i upp till 3 år (den allmänna preskriptionstiden enligt slovakisk rätt) efter att kontot har raderats. Längre än så sparas de bara så länge en specifik tvist, ett rättsligt anspråk eller en begäran från en myndighet pågår, och därefter raderas de. De hålls med begränsad åtkomst och används bara för att hantera anmälningar, tvister, bedrägerier och rättsliga anspråk. Rättslig grund: vårt berättigade intresse av en trygg tjänst utan bedrägerier och av att kunna fastställa, göra gällande eller försvara rättsliga anspråk (artikel 6.1 f GDPR). Artikel 17.3 e GDPR är inte en rättslig grund för behandling; det är det undantag som låter oss behålla uppgifterna trots en begäran om radering, för samma anspråk.
• Logg över supportmeddelanden: när någon i vårt supportteam skickar ett meddelande i en chatt för att hjälpa till att lösa ett problem sparar vi en uppgift om vilken medarbetare som gjorde det och när. Det är en ansvarslogg för supportåtgärder (den tillför inga nya personuppgifter om dig utöver själva chatten). Uppgiften sparas i upp till 3 år och kan inte läsas av medlemmar. Eftersom den loggar en åtgärd av personalen behålls den även om medarbetaren senare slutar. Rättslig grund: vårt berättigade intresse av en tjänst där åtgärder kan granskas i efterhand och som står emot missbruk (artikel 6.1 f GDPR).
• Logg över personalens åtkomst: när någon av våra administratörer för förtroende och säkerhet söker efter medlemmar eller öppnar en medlems konto (se §6) loggar vi vilken administratör som gjorde det, när, vilket konto, vilken del av kontot som visades, skälet som administratören angav och de söktermer som användes. Loggen sparas i upp till 3 år, kan inte läsas av medlemmar och behålls även om administratören senare slutar. Om du begär en kopia av dina uppgifter (artikel 15 GDPR) tar vi med loggposterna om ditt konto. Rättslig grund: vårt berättigade intresse av en tjänst som kan visa vem som har tittat på medlemmars uppgifter och varför (artikel 6.1 f GDPR).
• Diagnostik: felrapporter sparas under en begränsad tid (normalt upp till 90 dagar) och innehåller ingen adress, inget telefonnummer, inga namn och ingen meddelandetext.
• Väntelista för storlekar: uppgifterna raderas inom ett dygn efter att du har avregistrerat dig, 30 dagar efter att en matchning har hittats och skickats till dig via e-post, och senast 12 månader efter att du gick med.
• Prisfråga om blandade par: dina svar raderas, tillsammans med modellen, storlekarna och avgifterna du visades, 12 månader efter att frågan stängdes (den stängs 14 dagar efter att vi skickade den), oavsett om du svarade eller inte, eller tidigare om du raderar ditt konto. Rättslig grund: vårt berättigade intresse (artikel 6.1 f GDPR, se §3).
• Räknare mot missbruk: för att begränsa spam och missbruk räknar vi hur ofta vissa åtgärder (till exempel meddelanden, anmälningar, sökningar eller registreringar på väntelistan) utförs inom ett kort tidsfönster, och nekar fler försök när en gräns har nåtts. En räknare innehåller åtgärden, antalet och när fönstret började, tillsammans med ditt konto-id. Om du inte är inloggad innehåller den i stället en hash av din IP-adress, inte själva adressen (för ångerblanketten på webben: ditt konto-id eller den e-postadress du angav). Varje räknare raderas automatiskt senast 3 dagar efter att dess fönster började. Rättslig grund: vårt berättigade intresse av en säker tjänst utan missbruk (artikel 6.1 f GDPR).

6. Säkerhet

Uppgifterna krypteras både under överföring och i lagrat skick. Åtkomsten till databasen begränsas med säkerhet på radnivå, så att en medlem bara kan läsa sina egna uppgifter och uppgifter om de personer som medlemmen har en chatt med, och åtkomsten till våra system är begränsad till det som behövs för att driva tjänsten. Om en personuppgiftsincident sannolikt medför en risk för dina rättigheter underrättar vi dig och den slovakiska dataskyddsmyndigheten (Úrad na ochranu osobných údajov SR) enligt GDPR.

Personalens åtkomst till medlemskonton är begränsad till våra administratörer för förtroende och säkerhet. För att öppna en medlems konto måste en administratör logga in med en andra faktor (en kod från en autentiseringsapp) och ange ett skäl. Vyn är skrivskyddad: den låter dem inte logga in som du, agera för din räkning eller ändra dina uppgifter. Den visar din profil (inklusive din adress, ditt telefonnummer och din e-postadress), när du registrerade dig och senast loggade in, dina skostorlekar, de överblivna skor du har lagt upp, de skor du har markerat i katalogen (till exempel din önskelista), dina byten och deras status samt en lista över dina chattar utan meddelandeinnehållet. Varje sökning och varje visning loggas (se §5), och varje administratör kan bara göra ett begränsat antal uppslag per timme.

För prisfrågan om blandade par kan en administratör som har loggat in med en andra faktor också se de svar som varje inbjuden medlem gav, listade efter medlems-id med de storlekar och avgifter som medlemmen visades, utan namn eller kontaktuppgifter. Listan ingår inte i kontovyn och registreras därför inte i loggen över personalens åtkomst.

7. Dina rättigheter och radering av konto

Du kan se och rätta dina uppgifter i appen och när som helst radera ditt konto. Då raderar vi snabbt de uppgifter som hör till det, bortsett från de begränsade uppgifter som vi måste eller får behålla enligt §5 (skatte- och bokföringsuppgifter samt uppgifter som behövs för säkerhet, bedrägeribekämpning eller rättsliga anspråk). Du raderar kontot i appen under Profil → Inställningar → Radera konto, eller på begäran, se radering av konto. Beroende på var du bor kan du också ha rätt till dataportabilitet, rätt att invända mot eller begränsa behandlingen, rätt att återkalla ditt samtycke och rätt att lämna in ett klagomål till din dataskyddsmyndighet. Vår ledande tillsynsmyndighet enligt GDPR:s mekanism för en enda kontaktpunkt är den slovakiska Úrad na ochranu osobných údajov SR (dataprotection.gov.sk). Om du bor i Sverige kan du också vända dig till Integritetsskyddsmyndigheten, IMY (imy.se). Om du bor i Finland kan du vända dig till Dataombudsmannens byrå (tietosuoja.fi). Om du bor någon annanstans i EU eller EES kan du klaga hos din egen nationella myndighet. Europeiska dataskyddsstyrelsen har en förteckning över alla dessa myndigheter (edpb.europa.eu).

8. Internationella överföringar

Vissa av leverantörerna ovan (t.ex. Google, Stripe, Sentry, Vercel, Resend) kan behandla uppgifter utanför EES, bland annat i USA. Resend lagrar de e-postmeddelanden som tjänsten levererar åt oss, och leveransloggarna för dem, i USA. Sådana överföringar vilar på lämpliga skyddsåtgärder: EU:s standardavtalsklausuler och/eller ramverket för dataskydd mellan EU och USA (EU-US Data Privacy Framework) när leverantören är certifierad. Du kan begära information genom att skicka e-post till info@vaet.sk.

9. Barn

Step Swap riktar sig inte till barn under 18 år och vi samlar inte medvetet in deras uppgifter.

10. Cookies och lokal lagring

Vi håller cookies och lokal lagring till ett minimum:

• Strikt nödvändiga: Supabase använder lagring och cookies för att hålla dig inloggad och för att skydda appen. De krävs för att tjänsten ska fungera och kräver inget samtycke.
• Säkerhetsrapporter (strikt nödvändiga): när din webbläsare på webbplatsen hittar innehåll som vår säkerhetspolicy inte tillåter skickar den en automatisk rapport till vår server. Vi behåller bara regeln som utlöstes, ursprunget för det blockerade innehållet (till exempel https://example.com, utan resten av adressen) och sökvägen till vår sida utan frågesträng eller fragment. Din IP-adress, uppgifter om webbläsaren, cookies och den hänvisande sidan kastar vi, och den reducerade posten vidarebefordras till Sentry så att vi kan rätta till webbplatsen; Sentry sparar den lika begränsad tid som felrapporter (§5). Inget sparas på eller läses från din enhet, så inget samtycke behövs.
• Gästläge (bekvämlighet): om du söker på storlekar innan du loggar in kan väntande storlekar sparas i webbläsarens sessionStorage tills du loggar in eller stänger fliken; ditt språkval kan sparas i localStorage. Inget konto skapas förrän du loggar in med Google, Apple eller en engångslänk eller kod som vi skickar till din e-postadress.
• Kortet med prisfrågan (bekvämlighet): om du döljer prisfrågan om blandade par kommer appen ihåg det på din enhet i localStorage (stepswap-price-question-dismissed, id för de frågor du har dolt) och skickar inget till oss. Det håller bara kortet dolt, så det kräver inget samtycke.
• Diagnostik och analys (samtycke): krasch- och felrapportering (Sentry) och produktanalys (Vercel Analytics) används bara med ditt samtycke, i enlighet med den slovakiska lagen om elektronisk kommunikation (lag nr 452/2021 Coll.). Där det krävs frågar vi innan någon lagring som inte är nödvändig sker, och du kan när som helst ändra eller återkalla ditt val: under "Användningsstatistik och diagnostik" i sidfoten på startsidan, eller under Profil → Inställningar när du är inloggad. Vi använder inte cookies för reklam eller spårning mellan webbplatser.

11. Ändringar

Vi kan uppdatera den här policyn. Aktuellt versionsnummer och datum för ikraftträdande står högst upp, och tidigare versioner finns tillgängliga på begäran. Väsentliga ändringar meddelar vi i appen eller på vår webbplats innan de träder i kraft. Om du fortsätter att använda tjänsten efter dagen för ikraftträdandet godkänner du den uppdaterade policyn.

12. Kontakt

Frågor eller önskemål: info@vaet.sk.