Bonfium drivs av MB "Department 03", ett privat aktiebolag registrerat i Litauen.
Vi är personuppgiftsansvarig för de personuppgifter som beskrivs nedan. Vi har inte utsett ett dataskyddsombud, eftersom det inte krävs enligt artikel 37 GDPR; frågor om integritet skickas till adressen ovan.
Vi samlar bara in det som tjänsten behöver för att fungera. Varje punkt nedan har en rättslig grund enligt artikel 6 GDPR.
| Uppgifter | Varför | Rättslig grund | Lagringstid |
|---|---|---|---|
| Namn och e-postadress | För att skapa ditt konto, logga in dig och visa motparten i en affär vem de har att göra med | Fullgörande av avtal (art. 6.1 b) | Så länge ditt konto är öppet, sedan 12 månader |
| Snabbaffärens namn, e-post, hash för privat länk, bekräftelse- och åtkomsttidsstämplar | För att skapa lösenordsfri åtkomst begränsad till en affär, bekräfta kontroll över e-postadressen, meddela båda parter, förhindra dubbel accept och återställa åtkomst | Fullgörande av avtal (art. 6.1 b); berättigat intresse av åtkomstsäkerhet och bedrägeriförebyggande (art. 6.1 f) | Deltagarpost sparas tillsammans med affären; hash för privata länkar raderas när de går ut. Själva länkarna lagras aldrig |
| Lösenord | För att skydda ditt konto. Lagras som en envägs lösenordshash, aldrig som läsbar klartext. Ett starkt, unikt lösenord är fortfarande viktigt eftersom stulna hashar kan attackeras offline | Fullgörande av avtal | Så länge ditt konto är öppet |
| Hemlighet för tvåfaktorsautentisering och reservkoder | För att skydda ditt konto och pengarna på det. Krypterat i vila; reservkoder är hashade | Berättigat intresse av kontosäkerhet (art. 6.1 f) | Så länge tvåfaktorsautentisering är aktiverad |
| Affärsposter: varubeskrivning, pris, kategori, motpart, status, tidsstämplar | För att driva det förhandslanserade affärsflödet och, när en licensierad betalningsleverantör anslutits, administrera affärer, betalningar och tvister | Fullgörande av avtal; rättslig förpliktelse för bokföring (art. 6.1 c) | 10 år från affären, enligt vad litauisk bokföringslag kräver |
| Resultat av identitetsverifiering (verifierad / avvisad, samt datum) | För att bekräfta att båda sidor i en affär är verkliga personer, och för att uppfylla skyldigheter mot penningtvätt | Rättslig förpliktelse; fullgörande av avtal | 5 år efter att kontot stängs, enligt vad penningtvättslagen kräver |
| Kurirens spårningsnummer och leveransskanningar | För att veta när ett paket anlände och hantera affärens tidslinje. Automatisk betalningsfrisläppning är inte aktiv före lanseringen | Fullgörande av avtal | Tillsammans med affärsposten |
| Tvistbevis du skickar in (text, foton, video) | För att avgöra tvisten. Båda sidor ser samma fil – det finns inga hemliga inlämningar | Fullgörande av avtal | 3 år efter att tvisten avslutats |
| Misslyckade inloggningsförsök | För att bromsa angripare som gissar lösenord | Berättigat intresse av säkerhet | 15 minuter |
| Sidvisningar (sida, hänvisande webbplats, datum) | För att förstå vilka sidor människor använder. Inga kakor, ingen spårning mellan webbplatser, ingen reklam | Berättigat intresse av att förbättra tjänsten | 13 månader, aggregerat |
| Administrativ åtkomstlogg | För att registrera vilken administratör som visade eller ändrade personuppgifter, och när – så att åtkomst är spårbar | Rättslig förpliktelse (art. 5.2 – ansvarsskyldighet) | 12 månader |
Vi använder två kakor, båda strikt nödvändiga, så ingen samtyckesbanner krävs:
Vi delar data endast med personuppgiftsbiträden som hjälper till att driva tjänsten, var och en enligt ett skriftligt personuppgiftsbiträdesavtal, och endast det som var och en behöver:
| Personuppgiftsbiträde | Vad de hanterar | Var |
|---|---|---|
| Hostinger | Hosting och databas | EU |
| TrackingMore | Paketspårningsnummer och leveransskanningar | Utanför EU, enligt standardavtalsklausuler |
| Betalningsinstitut | Hålla och flytta medel, samt identitetsverifiering för större utbetalningar. Namnges här när den utsetts | EU |
| Anthropic (Claude) | När en tvist öppnas: en rollbaserad redogörelse för vad som hände ("köpare" / "säljare", aldrig ditt namn), affärsuppgifterna och eventuella foton som endera sidan lämnar in som bevis – används endast för att utarbeta en rådgivande sammanfattning till vår granskare. Ännu inte aktivt | USA, enligt standardavtalsklausuler och EU–USA:s dataskyddsramverk |
Vi lämnar även ut data där lagen kräver det – till exempel till skattemyndigheter enligt EU:s plattformsrapporteringsregler (DAC7), eller till brottsbekämpande myndigheter som agerar på giltig rättslig grund.
När du öppnar eller accepterar en kontoaffär ser din motpart ditt namn, om din identitet är verifierad, ditt antal genomförda affärer och din handlarrang. I Snabbaffär ser motparten namnet du angav, att din e-post bekräftades, och att din identitet inte verifierades. De ser inte din e-postadress, din adress, privat åtkomstlänk, eller några andra affärer.
Enligt GDPR kan du be oss att:
Skriv till bonfium@gmail.com. Vi svarar inom en månad, enligt vad artikel 12 kräver. Det är kostnadsfritt.
Om du tycker att vi har hanterat dina uppgifter dåligt, säg till oss först – vi vill hellre rätta till det. Du har också rätt att klaga hos den litauiska tillsynsmyndigheten:
HTTPS-trafik krypteras under överföring. Lösenord hashas, nyligen aktiverade tvåfaktorshemligheter kräver autentiserad kryptering, och inloggningsförsök är hastighetsbegränsade. Administrativ åtkomst till personuppgifter loggas. Om en säkerhetsincident någonsin skulle utsätta dina rättigheter för risk kommer vi att meddela tillsynsmyndigheten inom 72 timmar och informera dig direkt där lagen kräver det.
Den förhandslanserade webbplatsen kan uppdatera arbetsflödesfrister automatiskt, men den kan inte ta emot, frisläppa eller återbetala riktiga pengar. Dessa åtgärder förblir inaktiverade tills en licensierad betalningsleverantör implementeras. Framtida automatiserade affärsåtgärder kommer att följa de publicerade fristerna på vår affärsregler sida. Tvister är avsedda att avgöras av en person, inte en algoritm.
När en tvist öppnas eller besvaras kan vårt system be en AI-modell (Claude, tillverkad av Anthropic) läsa affärsposten, vad varje sida skrev, och eventuella bevisfoton, och producera en skriftlig sammanfattning med ett rekommenderat utfall. Detta är ett underlag för vår granskare, inte ett beslut: AI:n kan inte frisläppa, hålla inne eller flytta några pengar, och vår granskare förblir fri att hålla med, inte hålla med, eller agera annorlunda, enligt vad artikel 22 GDPR kräver. Namn ersätts med "köpare" eller "säljare" innan något skickas. Denna funktion är byggd men ännu inte aktiv; den kommer endast att aktiveras när denna policy anger den som aktiv nedan.
Bonfium är inte till för någon under 18 år. Konton som misslyckas med åldersidentitetsverifiering stängs. Snabbaffär-användare måste deklarera att de är 18 år eller äldre, och verifiering kan fortfarande krävas före betalning eller utbetalning.
Om vi ändrar denna policy på ett sätt som spelar roll kommer vi att skicka e-post till registrerade användare innan det träder i kraft. Datumet högst upp visar alltid den aktuella versionen.
Denna policy beskriver tjänsten som den är byggd. Vissa funktioner som nämns här – betalningar, automatiserad identitetsverifiering och den Anthropic-drivna tvistassistenten – är ännu inte live; denna policy kommer att uppdateras och detta meddelande tas bort innan var och en aktiveras.