Integritetspolicy

Lyriot (”vi”, ”oss”) är fast beslutet att skydda din integritet. Denna policy förklarar hur vi samlar in, använder, delar och skyddar dina personuppgifter, i enlighet med dataskyddsförordningen (GDPR) och tillämplig fransk lagstiftning.

Vi samlar in följande kategorier av uppgifter:

• Registreringsuppgifter: fullständigt namn, e-postadress, krypterat lösenord (bcrypt), stad, land, kön, födelsedatum, telefonnummer (frivilligt).
• Profiluppgifter: profilbild (lagrad hos Cloudflare R2), presentation, intressen.
• Aktivitetsuppgifter: evenemang du skapat och deltagit i, anmälningar till väntelista, publicerade kommentarer, reaktioner, incheckningar med QR-kod, utväxlade meddelanden (innehåll och tidpunkt), vänskaper, lässtatus för meddelanden (läskvitton), upplåsta utmärkelser, aktivitetsserier, inbjudningskod och lista över värvade personer.
• Spelifieringsuppgifter: insamlade poäng per källa, aktuell rang, topplistehistorik, aktiva boostar och när de går ut, saldo och historik för poängplånboken.
• Betalningsuppgifter: transaktionshistorik (prenumerationer, betalda evenemang, boostar), aktiv prenumeration och förnyelsedatum. Bank- och kortuppgifter hanteras uteslutande av Stripe – vi lagrar dem aldrig.
• Arrangörsuppgifter (Stripe Connect): för arrangörer som tar emot betalningar samlar Stripe in uppgifterna för identitetskontroll direkt: identitet (namn, födelsedatum, inskannad identitetshandling), fullständig postadress, bankuppgifter (IBAN eller kontonummer) och i förekommande fall företagsuppgifter (firmanamn, skatteregistreringsnummer). För dessa uppgifter gäller Stripes integritetspolicy.
• Platsuppgifter: GPS-koordinater (latitud/longitud) som anges när ett evenemang skapas, för att visa kartan och möjliggöra sökning efter närhet. Vi samlar aldrig in din position fortlöpande. Om du redan har tillåtit platsåtkomst på din enhet används din position, avrundad till cirka tio kilometer, även för att sortera stadsförslag; den sparas inte på ditt konto.
• Ansökningsuppgifter: CV, personligt brev och LinkedIn-adress som skickas via /careers/apply och lagras hos Cloudflare R2 (bucket ”resumes”). De bevaras i högst 2 år.
• Kontaktuppgifter: namn, e-postadress och innehållet i meddelanden som skickas via formuläret /contact.
• Tekniska uppgifter: IP-adress, webbläsartyp, besökta sidor, datum och tid för anslutning, sessionsidentifierare (NextAuth), tokens för pushnotiser (Firebase).

Dina uppgifter används för att:

• Tillhandahålla, driva och förbättra våra tjänster
• Autentisera dig och skydda ditt konto (inloggning med e-post och lösenord eller via Google OAuth)
• Visa dig de evenemang, profiler och topplistor som är relevanta för dig
• Hantera betalningar (prenumerationer, betalda evenemang, boostar) via Stripe
• Betala ut medel till arrangörer av betalda evenemang via Stripe Connect
• Skicka aviseringar (e-post med Resend, push med Firebase)
• Tilldela poäng automatiskt var 15:e minut via schemalagda jobb (cron)
• Beräkna och uppdatera användarnas ranger automatiskt
• Skapa upprepningarna av återkommande evenemang (veckovis, månadsvis och så vidare)
• Dra betalningar för evenemang och överföra dem till arrangörerna
• Regelbundet nollställa vecko-, månads- och årstopplistorna
• Kontrollera villkoren i värvningsprogrammet (förebyggande av missbruk)
• Visa din onlinestatus och din senaste aktivitet för dina vänner
• Möjliggöra moderering av innehåll och hantering av anmälningar
• Förebygga bedrägerier, missbruk och flerfaldiga konton
• Uppfylla våra rättsliga och bokföringsmässiga skyldigheter

Vi behandlar dina uppgifter med stöd av följande rättsliga grunder:

• Fullgörande av avtal: för att tillhandahålla de Lyriot-tjänster du har anslutit dig till (konto, evenemang, betalningar, meddelanden)
• Berättigat intresse: för att förbättra plattformen, förebygga bedrägerier, upprätthålla säkerheten, visa onlinestatus och sköta topplistorna
• Samtycke: för pushnotiser (kan återkallas när som helst i inställningarna) och för frivilliga marknadsföringsutskick
• Rättslig förpliktelse: för att följa tillämplig lagstiftning, särskilt bokföringsskyldigheter (bevarande i 5 år) och förelägganden från rättsvårdande myndigheter

Vi säljer aldrig dina personuppgifter. Vi delar dem endast med våra tekniska leverantörer, och bara i den utsträckning som krävs för att kunna leverera tjänsten:

• Stripe: hantering av betalningar (prenumerationer, betalda evenemang, boostar) och utbetalningar till arrangörer via Stripe Connect — Stripes policy
• OVH: drift av PostgreSQL-databasen (VPS, Frankrike); Cloudflare R2: lagring av filer (profilbilder, CV:n)
• Resend: utskick av transaktionsmejl (registreringsbekräftelse, återställning av lösenord, evenemangsaviseringar)
• Mapbox: visning av de interaktiva kartorna för evenemangens plats och sökning efter närhet
• Photon (komoot) och Nominatim (OpenStreetMap Foundation, data i Storbritannien och Nederländerna): stadsförslag medan du skriver; Nominatim används bara om Photon inte svarar. Våra servrar skickar endast den inskrivna texten och, till Photon, en ungefärlig position: mitten av ditt land eller, om du redan har tillåtit platsåtkomst, din position avrundad till cirka tio kilometer. Ditt namn, din IP-adress och ditt konto skickas aldrig till dem.
• Firebase (Google): utskick av pushnotiser till dina enheter (om du har aktiverat dem)
• Google OAuth: om du väljer att logga in med Google överförs ditt namn, din e-postadress och din Google-profilbild till Lyriot
• Behöriga myndigheter: när lag, ett domstolsbeslut eller försvaret av våra berättigade rättigheter kräver det

Vissa leverantörer är etablerade utanför Europeiska unionen (Firebase/Google, Stripe, i Förenta staterna). Dessa överföringar skyddas av:

• Standardavtalsklausulerna som antagits av Europeiska kommissionen
• Kommissionens beslut om adekvat skyddsnivå (till exempel EU–US Data Privacy Framework för Stripe och Google)
• De lämpliga skyddsåtgärder som avses i artikel 46 i GDPR

Vi bevarar dina uppgifter så länge ditt konto är aktivt. Om du raderar det tas de bort inom 30 dagar, om inte lag kräver annat:

• Transaktionsuppgifter: 5 år (fransk bokföringsskyldighet)
• Ansökningsuppgifter (CV, brev): högst 2 år
• Tekniska loggar: 12 månader
• Modererings- och sanktionshistorik: utan tidsgräns (säkerhet och förebyggande av missbruk)
• Raderade privata meddelanden: metadata (datum, deltagare) kan bevaras även efter att innehållet raderats

Enligt GDPR har du följande rättigheter:

• Rätt till tillgång: ta del av de uppgifter vi har om dig
• Rätt till rättelse: korrigera felaktiga uppgifter (direkt i Inställningar eller genom att kontakta oss)
• Rätt till radering: radera ditt konto via Inställningar → Känslig zon (behandlas inom 30 dagar)
• Rätt till dataportabilitet: få en kopia av dina uppgifter i ett strukturerat format
• Rätt att invända: invända mot viss behandling (till exempel marknadsföringsutskick eller onlinestatus)
• Rätt till begränsning: begära att behandlingen pausas i vissa fall
• Rättigheter vid automatiserat beslutsfattande: få information om automatiserad behandling (poängtilldelning, rangberäkning, kontroll av värvningar) och bestrida dess resultat

För att utöva dessa rättigheter: kontaktformulär. Du kan även lämna in ett klagomål till CNIL.

Tekniska och organisatoriska åtgärder som vidtagits:

• Kryptering av all kommunikation under överföring (HTTPS/TLS)
• Lösenord krypterade med bcrypt (lagras aldrig i klartext)
• Åtkomst till uppgifter begränsad enligt principen om lägsta behörighet
• Säker lagring av filer hos Cloudflare R2 (åtkomst via tillfälligt signerad URL)
• CSRF-skydd i alla formulär (NextAuth-token)
• Loggning av administrativa åtgärder
• Regelbundna säkerhetskopior av databasen
• Vid en personuppgiftsincident informeras de berörda inom 72 timmar, i enlighet med GDPR

Vi använder tekniska kakor som är nödvändiga för att plattformen ska fungera (användarsession, CSRF-skydd). Vi använder också din webbläsares lokala lagring för att komma ihåg dina inställningar (ljust eller mörkt tema, visningsvaluta, språk): dessa uppgifter lämnar aldrig din enhet. Läs mer i vår kakpolicy.

Lyriot är öppet för personer som fyllt 15 år, i enlighet med artikel 7-1 i den franska dataskyddslagen. I länder vars lagstiftning anger en annan ålder (till exempel 13 år i Förenta staterna enligt COPPA, eller 16 år i vissa EU-medlemsstater) gäller den mest skyddande åldern. Vi samlar inte medvetet in uppgifter om minderåriga som inte uppnått den ålder som krävs. Om du tror att en sådan minderårig har skapat ett konto, kontakta oss omedelbart.

Utöver den europeiska dataskyddsförordningen följer Lyriot följande dataskyddsregler beroende på ditt bosättningsland:

• Kalifornien (CCPA/CPRA): om du bor i Kalifornien har du ytterligare rättigheter enligt California Consumer Privacy Act och California Privacy Rights Act: rätt att få veta vilka personuppgifter som samlas in, rätt till radering, rätt att motsätta dig försäljning av uppgifter (vi säljer inte dina uppgifter) och rätt att inte missgynnas för att du utövar dem. Skriv till oss på contact@lyriot.com för att göra dem gällande.
• Storbritannien (UK GDPR): vi följer den brittiska dataskyddsförordningen efter brexit. Tillsynsmyndighet är ICO (Information Commissioner's Office). Dina rättigheter motsvarar dem i den europeiska förordningen.
• Brasilien (LGPD): enligt Lei Geral de Proteção de Dados Pessoais har du rätt till tillgång, rättelse, radering, dataportabilitet och invändning. Behörig myndighet är ANPD (Autoridade Nacional de Proteção de Dados).
• Kanada (PIPEDA + lag 25): vi följer lagen om skydd av personuppgifter och elektroniska handlingar (PIPEDA) och, i Québec, lag 25 (lagen om modernisering av bestämmelserna om skydd av personuppgifter). Myndigheter: OPC (federalt) och CAI (Québec).
• Australien (Privacy Act 1988): vi följer den australiska integritetslagen och Australian Privacy Principles. Behörig myndighet är OAIC (Office of the Australian Information Commissioner).
• Japan (APPI): enligt lagen om skydd av personuppgifter (個人情報の保護に関する法律) uppfyller vi APPI:s skyldigheter. Behörig myndighet är PPC (Personal Information Protection Commission / 個人情報保護委員会).
• Kina (PIPL): enligt lagen om skydd av personuppgifter (个人信息保护法) behandlar vi dina uppgifter enligt principerna om laglighet, legitimitet och nödvändighet. Behörig myndighet är CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Sydkorea (PIPA): enligt lagen om skydd av personuppgifter (개인정보 보호법) har du rätt till tillgång, rättelse, radering och invändning. Behörig myndighet är PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• Indien (DPDP Act 2023): enligt Digital Personal Data Protection Act 2023 har du rätt till information, rättelse och radering av dina digitala personuppgifter. Behörigt organ är Data Protection Board of India (under inrättande av MeitY).
• Turkiet (KVKK): enligt lag nr 6698 om skydd av personuppgifter (Kişisel Verilerin Korunması Kanunu) har du rätt till tillgång, rättelse och radering. Behörig myndighet är KVKK (Kişisel Verileri Koruma Kurumu).
• Indonesien (UU PDP): enligt lag nr 27/2022 om skydd av personuppgifter (Undang-Undang Perlindungan Data Pribadi) omfattar dina rättigheter tillgång, rättelse och radering. Behörigt organ är Kementerian Komunikasi dan Informatika.
• Thailand (PDPA): enligt Personal Data Protection Act B.E. 2562 (2019) har du rätt till tillgång, dataportabilitet, radering och invändning. Behörigt organ är PDPC (Personal Data Protection Committee).
• Saudiarabien (PDPL): enligt Personal Data Protection Law (نظام حماية البيانات الشخصية) har du rätt till tillgång och rättelse. Behörig myndighet är SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Tillsynsmyndigheter per land :

Vi kan uppdatera denna policy när som helst. Vid väsentliga ändringar informerar vi dig via e-post eller genom en avisering på plattformen. Om du fortsätter att använda Lyriot efter en sådan avisering innebär det att du godtar ändringarna.

Denna policy är upprättad på franska. Versioner på andra språk är översättningar som endast tillhandahålls i informationssyfte; vid avvikelser är endast den franska versionen juridiskt bindande.

Personuppgiftsansvarig: Lyriot, Frankrike.

För frågor om dina personuppgifter, för att utöva dina rättigheter enligt GDPR (tillgång, rättelse, radering, dataportabilitet, invändning, begränsning) eller för klagomål på behandlingen av dina uppgifter: kontaktformulär eller direkt till contact@lyriot.com.

Du kan även lämna in ett klagomål till behörig tillsynsmyndighet: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Paris.