Integritetspolicy

1.1 När någon annan är ansvarig

• Företagskunder. När ett företag tar emot en kreatörs profil, ansökan eller kampanjinnehåll blir företaget självständigt personuppgiftsansvarigt för det som det tar emot och för hur det används inom sin egen verksamhet. Företaget är bundet av våra användarvillkor och av sina egna skyldigheter enligt GDPR.
• Collabify som personuppgiftsbiträde. För uppgifter som vi behandlar enbart på en företagskunds instruktion — till exempel ansökningar och kampanjunderlag inom företagets egen arbetsyta — agerar vi personuppgiftsbiträde under ett personuppgiftsbiträdesavtal.
• Kopplade plattformar. TikTok, Shopify, WooCommerce och andra tjänster du väljer att koppla är självständigt personuppgiftsansvariga för dina konton hos dem och behandlar dina uppgifter enligt sina egna integritetspolicyer.
• Handlarens kunder. Om du har handlat i en webbutik som använder Collabify är butiken (handlaren) personuppgiftsansvarig för ditt köp; se avsnittet om Shopify nedan.

2.1 Uppgifter du lämnar till oss

• Kontouppgifter — namn, e-postadress, lösenord (som hanteras av vår inloggningsleverantör och aldrig lagras i klartext hos oss), tvåfaktorsinställningar och din roll (företag eller kreatör).
• Företagsuppgifter — företagsnamn, organisationsnummer, kontakt- och faktureringsuppgifter, varumärken, logotyper, produktkatalog, kampanjbriefer och budgetar samt vilka personer som får företräda företaget.
• Kreatörsprofil — visningsnamn, profilbild, biografi, nischer, ort, länkar till dina sociala konton och det TikTok-användarnamn du anger.
• Kampanjinnehåll — videor, bildtexter, hashtaggar och annat material du laddar upp, företagets granskningsbeslut samt meddelanden som utväxlas inom en kampanj.
• Leveransuppgifter — namn och leveransadress när en kampanj innebär att du får en fysisk produkt hemskickad.
• Identitets- och signeringsuppgifter — se avsnittet om BankID och personnummer nedan.
• Betalnings- och utbetalningsuppgifter — fakturor, betalningshistorik och kundreferenser hos vår betalleverantör (företag), respektive utbetalningsposter och skatteuppgifter hos vår utbetalningspartner (kreatörer). Kort- och bankkontouppgifter anges direkt hos betal- respektive utbetalningsleverantören och lagras inte i sin helhet hos oss.
• Support- och samtyckesuppgifter — supportärenden, ditt godkännande av villkoren och integritetspolicyn, dina cookieval, dina val för utskick och varje publiceringsgodkännande du ger.

2.2 Uppgifter från tjänster du kopplar

När du kopplar ett konto hos en annan tjänst (TikTok för kreatörer, Shopify eller WooCommerce för företag) tar vi emot de uppgifter som beskrivs i avsnitten om TikTok respektive övriga kopplingar. En koppling upprättas aldrig automatiskt — den startar alltid genom att du själv godkänner den på tjänstens egen dialogruta.

2.3 Uppgifter som samlas in automatiskt

• Användningsdata — vilka vyer och funktioner som används och när, registrerat i våra egna system för att driva, felsöka och förbättra Tjänsten.
• Teknisk data — IP-adress, enhets- och webbläsartyp, operativsystem, appversion samt krasch- och felrapporter. Personuppgifter maskeras vid systemgränsen innan felrapporter lämnar våra system.
• Prestanda- och besöksmått på webben — vilken sida eller rutt som besöks samt anonyma prestandamått, via vår hostingleverantörs inbyggda mätning.
• Push-token — om du slår på pushnotiser i appen lagrar vi enhetens push-token så att notisen kan levereras. En token som inte synts till på cirka sex månader rensas som en död enhet.
• Cookies — webbplatsen sätter i dag bara strikt nödvändiga cookies; det finns inga analys- eller marknadsföringscookies att samtycka till. Appen använder inga cookies eller annons-id:n. Se Cookiepolicyn.

Vi använder inga tredjeparts-SDK:er för annonsering eller spårning i appen, och vi bygger inga profiler för annonsändamål.

3.1 Automatiserat beslutsfattande och AI

Collabify rangordnar och föreslår kreatörer för en kampanj med en poängmodell som väger nisch, publikstorlek och tidigare resultat, och kan föreslå en publiceringstidpunkt. Förslagen visas för en människa som fattar beslutet. Vi fattar inga beslut som har rättsliga följder för dig eller på liknande sätt i betydande grad påverkar dig enbart genom automatiserad behandling i den mening som avses i artikel 22.

Företag kan ta AI-hjälp för att skriva kampanjbriefer, och en inlämnad kampanjvideo kan granskas av en AI-modell mot kampanjens brief som en rådgivande checklista för granskaren. I de fallen skickas briefen, utkastet eller videon till den AI-leverantör som anges i underbiträdesregistret, under avtal som förbjuder att innehållet används för modellträning. Det är alltid företagets granskare — inte modellen — som godkänner eller avvisar innehåll.

5.1 Vad vi får åtkomst till, och varför

När du kopplar kontot visar TikTok vilka behörigheter ("scopes") vi begär, och du fattar beslutet på TikToks egen skärm. Vi begär dessa 5 behörigheter och inga andra:

Om en kampanj ska publiceras via TikToks inkorg — vilket är det enda sättet att fästa ett kommersiellt ljudspår i TikToks egen redigerare — begär vi dessutom behörigheten video.upload vid just den kopplingen. Den ingår inte i standarduppsättningen ovan och begärs aldrig i onödan.

Vi tar också emot en åtkomsttoken och en uppdateringstoken som låter våra servrar anropa TikTok för din räkning. Token lagras krypterad, används bara av våra servrar och visas aldrig för företag eller andra användare.

5.2 Hur publicering för din räkning går till

Collabify publicerar aldrig något på TikTok automatiskt. Publicering följer alltid samma steg:

• Du laddar upp din kampanjvideo i Collabify-appen och företaget godkänner den.
• Du öppnar publiceringsvyn i appen. Den hämtar din aktuella TikTok-kontoinformation direkt från TikTok och visar vilket konto (smeknamn och användarnamn) videon publiceras på, en förhandsvisning av videon, den slutliga bildtexten (som du kan redigera bortsett från märkningen av betalt samarbete och kampanjens obligatoriska hashtaggar), vem som får se videon (du måste välja — inget alternativ är förvalt), märkningen av kommersiellt innehåll (varje Collabify-inlägg märks som betalt samarbete), om kommentarer, duetter och stitch tillåts (allt avstängt om du inte slår på det), om videon är AI-genererad, samt exakt datum och tid för publicering.
• Du bekräftar genom att trycka på "Publicera". I samma steg godkänner du TikToks Branded Content Policy och Music Usage Confirmation, som länkas på den skärmen. Vi sparar ditt godkännande tillsammans med ett fingeravtryck av den video, den bildtext och de inställningar du godkände.
• Vid den tidpunkt du valt kontrollerar våra servrar din TikTok-kontoinformation igen. Om något du godkänt inte längre är tillåtet enligt TikTok (till exempel en synlighetsinställning eller en interaktion du slagit på) publiceras ingenting, och du får granska inlägget på nytt. I annat fall skickar vi exakt den godkända videon, bildtexten och inställningarna till TikToks Content Posting API.
• Du kan avbryta eller ändra ett schemalagt inlägg i appen när som helst innan det publiceras. Efter publicering ligger inlägget på ditt TikTok-konto och du styr över det som över vilket annat inlägg som helst.

Vi lägger inte till vattenstämplar, logotyper eller reklamtext i din video och vi ändrar inte videon innan den skickas till TikTok.

5.3 Vad vi delar med TikTok och var TikTok-uppgifterna visas

Vid publicering skickar vi videofilen, bildtexten och de inställningar du godkänt till TikTok. När vi läser din profil eller din videostatistik skickar vi din åtkomsttoken och id:na för de aktuella videorna. TikTok behandlar detta som självständigt personuppgiftsansvarig enligt sin egen integritetspolicy och sina användarvillkor. TikToks europeiska verksamhet är etablerad i Storbritannien och Irland — se avsnittet om tredjelandsöverföringar.

• Ditt TikTok-visningsnamn, användarnamn, profilbild, följarantal och biografi visas på din Collabify-kreatörsprofil, som företag kan se när de rekryterar till kampanjer.
• Din TikTok-statistik (följare, gillanden, antal videor samt genomsnittliga visningar och engagemang över dina tio senaste publika videor) och de tio videorna visas på din egen profil i appen och, som en ögonblicksbild tagen när du ansöker, för företaget som granskar just den ansökan. Vi uppdaterar dem när du kopplar kontot, när du ansöker, dagligen så länge kontot är kopplat och när du trycker på "Uppdatera statistik". Collabify visar aldrig självrapporterade siffror för företag: en kreatör är antingen verifierad genom TikTok eller markerad som overifierad.
• Resultatet för en kampanjvideo (visningar, gillanden, kommentarer, delningar) visas för dig och för företaget som driver kampanjen och används för att beräkna kampanjresultat, andelar av prispotten och utbetalningar. Vi sparar återkommande ögonblicksbilder av siffrorna under kampanjen och dess avräkning.
• Vi delar inte dina TikTok-uppgifter med någon annan och vi säljer dem aldrig.

5.4 Koppla från och radera TikTok-uppgifter

Du kan koppla från TikTok när som helst i appen (Profil → TikTok → Koppla från). När du gör det återkallar vi vår behörighet hos TikTok och raderar därefter din TikTok-koppling hos oss, inklusive åtkomst- och uppdateringstoken. Du kan också ta bort Collabify från ditt TikTok-konto under Hantera appbehörigheter i TikToks inställningar; vi upptäcker återkallelsen och behandlar kontot som frånkopplat.

Frånkoppling raderar inte videor som redan publicerats på ditt TikTok-konto — de är dina och du hanterar dem på TikTok. Uppgifter om en kampanj du deltagit i (vilket inlägg som publicerades, när, med vilken bildtext och vilka inställningar, och hur det gick) sparas så länge avsnittet om lagringstider anger, eftersom de dokumenterar ett betalt samarbete och en utbetalning. Om du raderar ditt Collabify-konto kopplas TikTok från automatiskt.

6.1 Shopify och WooCommerce

När ett företag kopplar en Shopify- eller WooCommerce-butik behandlar vi butikens domän, butiksnamn och butiksadministratörens e-postadress för att länka butiken till företagets Collabify-konto och autentisera API-anrop, samt en spegling av produkttitlar, bilder, priser och varianter så att kampanjer kan hänvisa till riktiga produkter.

För rabattkoder som skapats för en kampanj behandlar vi koden, antalet inlösen och tidpunkterna, så att både företaget och kreatören kan följa kodens resultat. För ordrar som tillskrivs en kampanjkod behandlar vi order-id, ordersummor, valuta och den inlösta koden för provisionsavräkning och bedrägerikontroll. Vi tar emot dessa uppgifter via Shopifys orders/*-webhooks — vi frågar aldrig Shopifys kund-API efter dem. Köparens e-postadress lagras krypterad (AES-256-GCM med en nyckelhashad uppslagning) och maskeras automatiskt av ett veckovis jobb efter 18 månader; orderposten i sig sparas som bokföringsunderlag.

Produktprover i kampanjer med fysiska produkter. När en kreatör accepterar ett erbjudande om en fysisk produkt skapar vi en order på 0 kronor i företagets egen Shopify-butik, med kreatörens namn och leveransadress, så att företaget kan skicka provexemplaret. Så snart den ordern finns i butiken är företaget självständigt personuppgiftsansvarigt för den, precis som för vilken annan order som helst i butiken, och kreatörens adressuppgifter omfattas då även av butikens egen integritetspolicy.

Avinstallation. När en butik avinstallerar appen raderas åtkomsttoken omedelbart och själva kopplingen raderas 48 timmar senare, via Shopifys obligatoriska shop/redact-webhook. Fönstret på 48 timmar täcker en oavsiktlig avinstallation utan att en oanvänd token ligger kvar längre än nödvändigt.

Om du är kund hos en handlare som använder Collabify utövar du dina rättigheter genom handlarens och Shopifys egen process, eftersom handlaren — inte Collabify — är personuppgiftsansvarig för ditt köp. Shopify vidarebefordrar begäran till varje app som är installerad i butiken, inklusive Collabify, genom de obligatoriska webhookarna customers/data_request och customers/redact. Vi agerar på dem automatiskt, utan att du behöver kontakta Collabify direkt.

6.2 Andra sociala plattformar

Collabify publicerar i dag bara till TikTok. Om vi öppnar en koppling mot ytterligare en plattform uppdaterar vi den här policyn och underbiträdesregistret innan kopplingen kan användas, och du får själv godkänna behörigheterna på plattformens egen dialogruta.

9.1 Undantag från rätten till radering

Artikel 17.3 b i GDPR gör undantag från rätten till radering när behandlingen är nödvändig för att uppfylla en rättslig förpliktelse. I Sverige är det framför allt Bokföringslagen och skattelagstiftningen. När du begär radering går vi därför igenom varje datakategori och gör ett av följande:

• Raderar posten när ingen rättslig förpliktelse hindrar det.
• Behåller posten men minimerar personuppgifterna i den när den utgör bokförings- eller skatteunderlag: beloppen, datumen och verifikationskedjan finns kvar, medan identifierande fält nollställs eller pseudonymiseras. När den lagstadgade tiden löpt ut raderas posten helt.
• Behåller posten som bevis när posten i sig är beviset för en efterlevnadshändelse — till exempel ett lämnat eller återkallat samtycke, eller själva raderingsbegäran. Att radera den skulle omintetgöra dess enda syfte.
• Prövar posten individuellt när en radering skulle träffa någon annans uppgifter, till exempel i en konversation mellan två parter.

Du får alltid besked om vilka kategorier som behållits och på vilken grund. Ett fåtal tabeller har ännu inte fått ett slutligt lagringsbeslut; för dem tillämpar vi individuell prövning i stället för automatisk radering eller obegränsad lagring, och beslutet dokumenteras i lagringsschemat när det är fattat.

10.1 Så gör du i praktiken

• Radera kontot. I appen finns "Radera konto" under Inställningar. En begäran ligger kvar i 14 dagar och kan ångras under tiden; därefter körs raderingen automatiskt, dina kopplingar till TikTok och andra tjänster återkallas och dina uppgifter raderas eller minimeras enligt undantagen ovan. Om appen visar att självbetjäning ännu inte är påslagen för ditt konto genomför vi raderingen på begäran till privacy@collabify.se inom samma tidsram. Vissa pågående åtaganden — en aktiv kampanj eller en obetald utbetalning — måste avslutas först, och appen talar då om exakt vad som blockerar och var du löser det.
• Registerutdrag och dataportabilitet. Ett självbetjäningsverktyg för dataexport finns i plattformen (/api/dsar/export) men rullas ut stegvis. Tills det är påslaget för ditt konto begär du utdraget genom att skriva till privacy@collabify.se, så levererar vi det i ett maskinläsbart format.
• Övriga rättigheter. Skriv till privacy@collabify.se. Ange gärna vilken rättighet du vill utöva, så slipper vi ställa följdfrågor.
• Klagomål. Du kan vända dig till IMY utan att först ha kontaktat oss.

Vi bekräftar din begäran inom 72 timmar och besvarar den inom en månad från att den kom in. Om begäran är komplicerad kan tiden förlängas med två månader, och då talar vi om det inom den första månaden (art. 12.3). Vi kan behöva verifiera din identitet innan vi lämnar ut uppgifter — vi begär då inte mer information än vad som krävs för det.