Integritetspolicy

1. Vilka vi är

Boio (boio.se) är en bostadsplattform som samlar bostäder till salu, hyra och nyproduktion i Sverige. Personuppgiftsansvarig under bolagets bildande är Aron Larsson, Stockholm, Sverige (org.nr uppdateras vid registrering hos Bolagsverket). Kontakt: hej@boio.se.

2. Vilka uppgifter vi samlar in och laglig grund

Vi behandlar följande personuppgifter med angiven laglig grund enligt GDPR art. 6:

• E-postadress för bevakningar — samtycke (art. 6.1 a)
• Kontouppgifter (namn, e-post, lösenords-hash) — avtal (art. 6.1 b)
• Betalningsinformation vid köp — avtal (art. 6.1 b); hanteras av Stripe Inc.
• Sökhistorik och sparade objekt — berättigat intresse (art. 6.1 f) för att förbättra produkten
• Teknisk data (IP, webbläsare, enhet) — berättigat intresse (art. 6.1 f) för säkerhet och cookiefri produktanalys via PostHog (EU) och Vercel Analytics
• Partner- och kampanjattribution — kampanjkälla, slumpat klick-ID och tidpunkt. En signerad förstapartskaka sparas endast efter marknadsföringssamtycke och kopplas vid köp till pseudonyma Stripe-referenser för provisionsberäkning.

3. Lagringstid (retention)

• Bevakningar och sökhistorik — tills du raderar dem, eller 24 månader efter senaste aktivitet
• Användarkonton — tills du raderar kontot, max 36 månader efter inaktivitet
• Betalningsdata — 7 år enligt Bokföringslagen 1999:1078
• Serverloggar — max 30 dagar
• Partnerattributionskakan — 90 dagar efter samtycke; provisionsunderlag och betalningsreferenser sparas enligt tillämpliga bokföringskrav
• Analytics via Plausible — aggregerad, ej kopplad till individ

4. Annonser

Boio visar annonser via Google AdSense (Google Ireland Ltd). Google och dess annonspartners kan använda cookies och liknande tekniker för att visa annonser baserade på tidigare besök på boio.se och andra webbplatser. Du kan när som helst välja bort personanpassade annonser via Googles annonsinställningar.

Tredjepartsleverantörer, inklusive Google, använder cookies för att visa annonser baserade på en användares tidigare besök på webbplatsen. Googles användning av annonscookies gör det möjligt för Google och dess partner att visa annonser baserat på besök på boio.se och/eller andra webbplatser på internet.

Du kan också välja bort cookies från tredjepartsleverantörer för personanpassade annonser via www.aboutads.info.

5. Cookies och liknande tekniker

Boio kategoriserar cookies i fyra grupper. Du styr dem i cookie-bannern (klicka "Anpassa val") — bara nödvändiga sätts utan ditt aktiva samtycke.

Nödvändiga (alltid på)

• boio_consent (localStorage) — sparar dina cookie-val tills du ändrar dem eller rensar webbläsardata
• Supabase auth-cookies (sb-*-auth-token) — håller dig inloggad
• __stripe_mid — sätts bara vid aktivt checkoutflöde

Cookiefri teknisk mätning

Dessa verktyg används för aggregerad produkt- och prestandamätning utan att spara analyscookies på din enhet. Du kan när som helst invända mot behandling baserad på berättigat intresse (se punkt 8).

• PostHog — produktanalys och funnels (vilka steg besökare tar på väg mot ett köp). Körs cookiefritt (memory-läge, sätter varken cookies eller localStorage), EU-region (Frankfurt). Inga session recordings utan personalization-samtycke.
• Vercel Analytics + Speed Insights — cookiefri prestanda- och trafikmätning

Analys (kräver samtycke)

• Google Analytics 4 (_ga, _ga_*) — sidvisningar, trafikkällor, conversions. Anonymiserad IP. Lagring 14 månader.
• Microsoft Clarity (_clck, _clsk, MUID) — heatmaps och session recordings för UX-förbättringar. Laddas först efter analyssamtycke. Om samtycket återkallas raderas Clarity-cookies och den cookiebaserade sessionen avslutas; begränsad cookiefri mätning kan fortsätta utan en cookie som länkar sidvisningarna. Clarity-data delas inte med Microsoft Ads. Microsoft maskerar känsliga fält automatiskt.
• Plausible Analytics — cookiefri statistik (om aktiverad; räknas ändå som analys)

Marknadsföring (kräver samtycke)

• Google AdSense — annonscookies som kan spåra besök på boio.se och andra webbplatser
• Meta Pixel (_fbp, _fbc) — endast aktiv om Boio kör Facebook/Instagram-annonser
• LinkedIn Insight Tag (li_sugr, bcookie, lidc) — endast aktiv om Boio kör LinkedIn-annonser
• TikTok Pixel (_ttp, _tt_enable_cookie) — endast aktiv om Boio kör TikTok-annonser
• Boio partnerattribution (boio_partner_attribution) — signerad förstapartskaka med slumpat klick-ID och TikTok/Instagram/Facebook som källa. Sätts efter marknadsföringssamtycke och sparas i 90 dagar för att koppla ett senare köp till rätt kampanj och provisionsunderlag.

Personalisering (kräver samtycke)

• PostHog session recordings — inspelning av din session (klick, scroll) för UX-analys. Av som standard; aktiveras bara med ditt personalization-samtycke.

Du kan när som helst ändra eller återkalla dina val via Kakinställningar i sidfoten eller radera cookies via din webbläsares inställningar.

6. Databehandlare och delning

Vi säljer aldrig personuppgifter. Vi delar data med följande databehandlare (alla har signerade personuppgiftsbiträdesavtal / DPA):

En behörig marknadsföringspartner kan få tillgång till kampanjklick, kanal, pseudonyma Stripe-/checkout-referenser och provisionsbelopp. E-post, namn, personnummer, betalningsuppgifter och köprofil visas inte i partnerdashboarden.

• Supabase (Supabase Inc., USA — men EU-region används) — databas, auth
• Vercel (Vercel Inc., USA) — hosting, CDN, Vercel Analytics, Speed Insights
• Stripe (Stripe Inc., USA) — betalningshantering
• Google Ireland Ltd (Irland/EU) — Google AdSense, Google Analytics 4
• Microsoft Ireland (Irland/EU) — Microsoft Clarity (heatmaps + session recordings)
• PostHog Inc. (USA, EU-region för data) — produktanalys, funnels, A/B-tester
• Meta Platforms Ireland (Irland/EU) — Meta Pixel (endast om annonser körs)
• LinkedIn Ireland (Irland/EU) — LinkedIn Insight Tag (endast om annonser körs)
• TikTok Technology Ltd (Irland/EU) — TikTok Pixel och TikTok Events API. Vid marknadsföringssamtycke delas pseudonymiserade matchningsnycklar för att mäta annonsresultat: e-post, telefonnummer och konto-id skickas enbart som SHA-256-hashar (aldrig i klartext), tillsammans med IP-adress och webbläsarens user agent. Utan samtycke skickas ingenting.
• Plausible (Plausible Insights OÜ, Estland/EU) — cookiefri analys

7. Internationella överföringar

Överföringar till USA (Stripe, Vercel) sker baserat på EU:s standardavtalsklausuler (SCC 2021) enligt GDPR art. 46. Stripe är certifierade under EU-U.S. Data Privacy Framework. Vi har genomfört en Transfer Impact Assessment (TIA) för att bedöma skydd i mottagarlandet.

8. Dina rättigheter enligt GDPR

Du har rätt att:

• Begära tillgång till dina personuppgifter (art. 15)
• Rätta felaktiga uppgifter (art. 16)
• Begära radering / "bli glömd" (art. 17)
• Begära begränsning av behandling (art. 18)
• Dataportabilitet — få ut dina data i maskinläsbart format (art. 20)
• Invända mot behandling baserat på berättigat intresse (art. 21)
• Återkalla samtycke när som helst (art. 7.3)

Kontakta oss på hej@boio.se för att utöva någon av dessa rättigheter. Vi svarar inom 30 dagar.

9. Klagomål till tillsynsmyndighet

Om du anser att Boios behandling av dina personuppgifter strider mot GDPR har du rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY).

9b. För dig som lägger upp en hyresannons

När du publicerar en hyresannons behandlar vi de uppgifter du själv anger: namn, kontaktuppgifter (e-post och/eller telefon), annonsens innehåll och bilder. Namnet och annonsinnehållet visas offentligt i annonsen. Dina kontaktuppgifter visas däremot bara för inloggade användare med en aktiv Boio Hyra-plan — aldrig öppet. Uppgifterna behandlas för att tillhandahålla annonstjänsten (avtal, art. 6.1 b GDPR) och sparas tills du tar bort annonsen eller ditt konto. Du kan när som helst redigera eller radera annonsen under Mina annonser.

10. Kontakt

Frågor om integritet? Kontakta oss på hej@boio.se.

Personuppgiftsansvarig: Boio. Aktuella bolagsuppgifter lämnas på begäran via hej@boio.se.