Integritetspolicy

1. Personuppgiftsansvarig och kontakt

Mouve AB är personuppgiftsansvarig för den behandling som Mouve bestämmer ändamål och medel för, exempelvis konton, drift av Plattformen, betalningar, support, säkerhet och marknadsföring.

En fastighetsmäklare och dennes mäklarföretag är normalt självständigt personuppgiftsansvariga för behandling inom förmedlingsuppdraget. Det gäller exempelvis kundkännedom, objektskontroll, spekulantregister, budförteckning, journal och avtalsdokumentation. Frågor om sådan behandling ska i första hand ställas till den ansvariga mäklaren eller mäklarföretaget.

2. Personuppgifter vi behandlar

Vilka uppgifter vi behandlar beror på hur du använder tjänsten:

• Konto och identitet: namn, e-postadress, telefonnummer, användar-ID, roll, inloggningsuppgifter, e-postverifiering och externa inloggningsidentifierare från Google eller Apple.
• Personnummer: när det behövs för att generera ett avtalsdokument som PDF eller inleda elektronisk signering. Personnumret skickas genom det aktuella API-anropet, behandlas tillfälligt i arbetsminnet och sparas inte i Mouves databas eller loggar. Uppgiften kan ingå i PDF-filen och lämnas till signeringsleverantören när signering väljs.
• Mäklaruppgifter: registreringsstatus, arbetsområde, presentation, profilbild, utbildning, externa länkar, firmatillhörighet, organisationsnummer samt resultatet av registreringskontrollen.
• Objektsuppgifter: adress, geografisk position, bostadstyp, pris, storlek, beskrivning, föreningsuppgifter, bilder, planritningar, publiceringsstatus och försäljningsuppgifter.
• Förmedlingsprocessen: uppdragsförslag, arvodesuppgifter, motbud, status, visningar, deltagare, spekulanter, bud, budtidpunkter, aktivitetsloggar, favoriter, aviseringar och recensioner.
• Avtal och signering: avtalsinnehåll, parter, kontaktuppgifter, ägarandel, signeringsstatus, tidsstämplar, externa avtals-ID:n och signeringsbevis. Personnummer ingår inte i den avtalsinformation som sparas av Mouve utan behandlas endast på det tillfälliga sätt som beskrivs ovan. Signeringsleverantören kan lagra själva dokumentet och ytterligare signerings- och bevisdata.
• Kommunikation: chattmeddelanden, e-post, supportärenden och annan kommunikation med Mouve eller andra användare.
• Betalning: beställning, belopp, valuta, betalningsstatus, betalnings- och checkout-ID, återbetalning samt fakturerings- och transaktionsuppgifter. Fullständiga kortuppgifter hanteras av Stripe och lagras normalt inte av Mouve.
• Samtycke och val: vilka frivilliga val du gjort, tidpunkt, återkallelse, policyversion, källa och IP-adress.
• Tekniska uppgifter: IP-adress, user agent, cookie- och sessionsuppgifter, inloggningsmetod, säkerhets- och revisionsloggar, enhets- och webbläsarinformation samt aggregerad användnings- och prestandadata.

3. Varifrån kommer uppgifterna?

• från dig när du registrerar dig eller använder Plattformen,
• från andra användare, exempelvis när en säljare, mäklare, avtalspart eller budgivare lämnar uppgifter om dig,
• från Google eller Apple när du väljer extern inloggning,
• från betalnings-, signerings-, identitets-, kart- och kommunikationsleverantörer när du använder deras funktioner, och
• från offentliga register eller behörig myndighet när det behövs för att kontrollera en mäklares registrering eller följa lag.

Om du lämnar personuppgifter om någon annan ansvarar du för att ha rätt att göra det och för att personen får nödvändig information.

4. Ändamål och rättsliga grunder

Att godkänna användarvillkoren är inte samma sak som att lämna samtycke enligt GDPR. Behandling som är nödvändig för kontot och tjänsten grundas normalt på avtal, inte samtycke. Frivilliga samtycken kan återkallas utan att det påverkar lagligheten före återkallelsen.

Personnummer behandlas restriktivt och endast när det är klart motiverat av ändamålet, vikten av säker identifiering eller annat beaktansvärt skäl enligt 3 kap. 10 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Mouve använder inte personnummer som användarnamn, kontouppgift eller söknyckel.

5. Vilka uppgifter blir synliga för andra?

Publicerade objektuppgifter, bilder och viss säljar- eller mäklarinformation visas för den krets du eller Plattformens funktion anger. Objekt kan vara synliga endast för registrerade mäklare eller även för allmänheten. Mäklarprofiler och recensioner kan vara offentliga. Kontakt-, ansöknings-, bud-, visnings-, chatt- och avtalsuppgifter visas bara för behöriga mottagare och roller.

Publicera inte personnummer, fullständiga avtal eller andra skyddsvärda uppgifter i fria annonsfält, bilder, recensioner eller offentliga profiler.

6. Mottagare och leverantörer

Vi lämnar bara ut uppgifter när det behövs för ett beskrivet ändamål, när du begär det eller när lag kräver det. Följande kategorier och tjänster används eller kan aktiveras i Plattformen:

• Supabase/PostgreSQL för databas och hantering av vissa systemhemligheter,
• Cloudflare R2 för objektbilder, planritningar och avatarer,
• Vercel för webbhosting, cookiefri Analytics och Speed Insights,
• Microsoft Azure SignalR för realtidschatt och aviseringar när tjänsten är aktiverad,
• Stripe för betalningar, betalningskontroll och återbetalningar,
• Zigned för elektronisk signering, dokumentlagring, signatärsuppgifter, påminnelser och signeringsbevis. När signering väljs kan Zigned få personnummer, namn, kontaktuppgifter och den PDF som ska signeras,
• Google för kartor, adress- och platsfunktioner samt Google-inloggning,
• Apple för Apple-inloggning,
• Brevo för transaktionsmeddelanden och, efter giltigt stöd, marknadsföringsutskick, och
• BankID eller annan identitetsleverantör när identifiering eller signering med sådan tjänst används.

Uppgifter kan också lämnas till andra behöriga användare, mäklarföretag, rådgivare, försäkringsgivare, domstol eller myndighet. Leverantörer som behandlar uppgifter enbart för Mouves räkning ska omfattas av personuppgiftsbiträdesavtal. Vissa leverantörer är självständigt personuppgiftsansvariga för delar av sin behandling, exempelvis betalnings- eller inloggningstjänster.

Mouve säljer inte personuppgifter.

7. Överföring utanför EU/EES

Vissa globala leverantörer kan ge upphov till behandling eller åtkomst utanför EU/EES. Innan sådan överföring sker ska Mouve säkerställa en giltig överföringsmekanism, exempelvis EU-kommissionens beslut om adekvat skyddsnivå eller standardavtalsklausuler, kompletterande skyddsåtgärder och en bedömning av mottagarlandet. Du kan kontakta oss för information om relevant mekanism och en kopia av tillämpliga skyddsåtgärder.

8. Hur länge sparas uppgifterna?

Vi sparar inte personuppgifter längre än vad som behövs för respektive ändamål. Följande utgångspunkter gäller:

• personnummer har ingen lagringstid i Mouves databas eller loggar utan behandlas endast under det aktuella anropet för PDF-generering eller signering; en PDF som användaren laddar ner hanteras därefter av användaren, och ett dokument som skickas för signering kan lagras av Zigned enligt de villkor och lagringstider som gäller för signeringstjänsten,
• konto-, profil- och löpande tjänstedata sparas medan kontot är aktivt och raderas eller anonymiseras vid kontoradering, om inte uppgifterna måste bevaras av nedanstående skäl,
• utkast, favoriter, aviseringar och profilbilder tas bort när du raderar dem eller kontot och de inte ingår i en bevarandepliktig process,
• chattmeddelanden anonymiseras vid kontoradering; meddelanden och uppgifter som den andra parten behöver kan annars finnas kvar i konversationen,
• avtals-, signerings-, bud-, förmedlings- och aktivitetshistorik kan bevaras så länge det behövs för bevisning, rättsliga anspråk eller mäklarens dokumentationsskyldigheter, normalt högst tio år efter att den aktuella processen avslutats; detta gäller Mouves lagrade avtalsmetadata och omfattar inte personnummer som angetts tillfälligt för PDF-generering eller signering,
• räkenskapsinformation och betalningsunderlag bevaras till och med det sjunde året efter utgången av det kalenderår då aktuellt räkenskapsår avslutades,
• säkerhets-, sessions- och revisionsloggar sparas så länge de behövs för att upptäcka missbruk, utreda incidenter och försvara rättsliga anspråk, varefter de raderas eller anonymiseras, och
• bevis om samtycke och återkallelse sparas så länge det behövs för att visa att behandlingen varit laglig.

Uppgifter kan behöva sparas längre vid en pågående tvist, myndighetsutredning, rättslig spärr eller annan lagstadgad skyldighet. Säkerhetskopior skrivs över enligt Mouves säkerhetskopieringscykel och används inte för andra ändamål.

9. Cookies och lokal lagring

Mouve använder nödvändiga cookies och webbläsarlagring för inloggning, säkerhet och gränssnittsinställningar. De används inte för reklamspårning.

Vercel Analytics och Speed Insights är konfigurerade för cookiefri analys och prestandamätning men kan behandla tekniska mätvärden. När du öppnar Stripe Checkout, en karta, extern inloggning eller signering kan leverantören använda egna cookies eller liknande teknik enligt sin policy. Om Mouve inför icke-nödvändig lagring inhämtas samtycke innan den aktiveras.

10. Profilering och automatiserade beslut

Om du frivilligt samtycker till personalisering får Mouve använda profil-, sök- och aktivitetsuppgifter för att anpassa innehåll eller rekommendationer. Du kan återkalla samtycket när som helst. Mouve fattar för närvarande inte beslut som har rättsliga eller liknande betydande följder för dig enbart genom automatiserad behandling.

11. När uppgifter måste lämnas

Uppgifter markerade som obligatoriska behövs för att skapa konto, genomföra en beställning eller använda vald funktion. Om de inte lämnas kan vi inte tillhandahålla den delen av tjänsten. Frivilliga marknadsförings-, personaliserings- eller partnerdelningsval är inte ett villkor för att skapa konto eller använda kärntjänsten.

12. Dina rättigheter

Beroende på omständigheterna har du rätt att:

• få information och tillgång till dina personuppgifter,
• få felaktiga eller ofullständiga uppgifter rättade,
• begära radering eller begränsning av behandlingen,
• invända mot behandling som grundas på berättigat intresse och alltid invända mot direktmarknadsföring,
• få ut uppgifter i ett strukturerat, allmänt använt och maskinläsbart format när reglerna om dataportabilitet gäller,
• återkalla ett samtycke, och
• lämna klagomål till Integritetsskyddsmyndigheten (IMY).

Du kan uppdatera vissa profiluppgifter och radera kontot genom Plattformen. För registerutdrag, dataportabilitet, invändning, begränsning eller annan begäran kontaktar du support@mouve.se. Vi kan behöva kontrollera din identitet och svarar normalt inom en månad. En begäran kan begränsas när fortsatt behandling krävs enligt lag eller för rättsliga anspråk.

IMY nås via imy.se.

13. Säkerhet och personuppgiftsincidenter

Mouve använder riskanpassade tekniska och organisatoriska säkerhetsåtgärder, bland annat krypterad överföring, behörighetsstyrning, HttpOnly-sessionscookies, roterande sessionsuppgifter, hastighetsbegränsning, signerade webhookar och revisionsloggning. Personnummer behandlas endast tillfälligt när ett dokument skapas eller skickas för signering och skrivs inte till Mouves databas eller loggar. Ingen behandling kan dock garanteras vara helt riskfri.

Misstänker du obehörig åtkomst eller annan incident ska du omedelbart kontakta support@mouve.se. Mouve dokumenterar och riskbedömer incidenter samt underrättar IMY och berörda personer när GDPR kräver det.

14. Barn

Plattformen riktar sig inte till personer under 18 år. Kontakta oss om du tror att ett barn har skapat konto eller att vi annars behandlar ett barns uppgifter utan giltigt stöd.

15. Ändringar i policyn

Policyn uppdateras när behandlingen, leverantörerna eller lagen ändras. Den aktuella versionen och uppdateringsdatumet publiceras här. Vid en väsentlig ändring informerar vi på lämpligt sätt innan ändringen börjar gälla och inhämtar nytt samtycke när det krävs.

16. Relaterad information

Läs även Mouves användarvillkor. Villkoren reglerar användningen av Plattformen medan denna policy förklarar personuppgiftsbehandlingen.

Rättslig ram

Behandlingen omfattas framför allt av EU:s dataskyddsförordning 2016/679 och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. För vissa uppgifter gäller även bland annat fastighetsmäklarlagen och bokföringslagen.