Integritets­policy

1Vilka vi är

Boio (boio.se) samlar tjänster för när du bor och flyttar: hyresbostäder, bostadskö (Boio Kö), jämförelser av elavtal, bredband, mobilabonnemang och hemförsäkring, bolåneräntor och flyttplanering. Boio drivs som enskild firma av Aron Larsson, Staffanstorpsvägen 10, Malmö, som är personuppgiftsansvarig. Kontakt: kontakt@boio.se.

2Vilka uppgifter vi samlar in och laglig grund

Vi behandlar följande personuppgifter med angiven laglig grund enligt GDPR art. 6:

E-postadress för bevakningar

Samtycke (art. 6.1 a)

Kontouppgifter (namn, e-post, lösenords-hash)

Avtal (art. 6.1 b)

Betalningsinformation vid köp

Avtal (art. 6.1 b); hanteras av Stripe Inc.

Sökhistorik och sparade objekt

Berättigat intresse (art. 6.1 f) för att förbättra produkten

Ansökningshistorik i Mina ansökningar

Avtal (art. 6.1 b). När du öppnar en hyresvärds ansökan via Boio sparar vi på ditt konto vilken bostad det gäller, när du öppnade ansökan och den status du själv anger (ansökt, visning, fick kontraktet, fick nej). Uppgifterna används bara för att visa Mina ansökningar för dig och lämnas inte till hyresvärden.

Teknisk data (IP, webbläsare, enhet)

Berättigat intresse (art. 6.1 f) för säkerhet och cookiefri produktanalys via PostHog (EU) och Vercel Analytics

Besöksmätning efter samtycke

Slumpat visitor-id och sessions-id efter analyssamtycke (art. 6.1 a). Servern lagrar endast en pseudonymiserad HMAC av visitor-id:t, aldrig rå-ID:t.

Partner- och kampanjattribution

Kampanjkälla, slumpat klick-ID och tidpunkt. En signerad förstapartskaka sparas endast efter marknadsföringssamtycke och kopplas vid köp till pseudonyma Stripe-referenser för provisionsberäkning.

Mätning av Boios egna annonser

Samtycke (art. 6.1 a), kategorin Marknadsföring. Annonsens klick-id och kampanjparametrar sparas och kopplas till ett köp för att se vilken annons som ledde till köpet. För Google, se punkt 8; för TikTok, se punkt 10.

3Lagringstid

Bevakningar och sökhistorik

Tills du raderar dem, eller 24 månader efter senaste aktivitet

Användarkonton

Tills du raderar kontot, max 36 månader efter inaktivitet

Ansökningshistorik i Mina ansökningar

Tills du tar bort raden där eller raderar kontot

Betalningsdata

7 år enligt Bokföringslagen 1999:1078

Serverloggar

Max 30 dagar

Partnerattributionskakan

90 dagar efter samtycke; provisionsunderlag och betalningsreferenser sparas enligt tillämpliga bokföringskrav

Cookiefri produktanalys (PostHog, Vercel)

Aggregerad, ej kopplad till individ

Samtyckesbaserat visitor-id

Finns i din webbläsare tills du återkallar analyssamtycket eller rensar webbläsardata; det raderas direkt lokalt när samtycket återkallas

Mäthändelser efter samtycke på servern, inklusive pseudonymiserad visitor-HMAC

Max 14 månader; äldre händelser raderas dagligen

Kampanjparametrar och klick-id i webbläsaren

Innan du har gjort ett cookieval bara i flikens sessionStorage i högst 24 timmar (raderas direkt om du nekar marknadsföring); efter marknadsföringssamtycke i högst 90 dagar. Vid ett köp sparas de som referens på köpet hos Stripe, som betalningsdata ovan.

4Partnerförfrågan för Boio Hyra

Uppgifter. När du skickar partnerformuläret behandlar vi namn, arbetsmejl, organisation, eventuell roll och telefon, bestånds- och vakansintervall, orter eller regioner, befintligt arbetssätt eller system samt det du frivilligt skriver om behovet. Teknisk förfrågningsdata, till exempel IP-adress, behandlas separat för att begränsa missbruk och skydda tjänsten.

Ändamål och laglig grund. Uppgifterna används för att ta emot, bedöma, besvara och följa upp den inkommande affärsförfrågan samt avgöra om en avgränsad partnerpilot passar. Behandlingen grundas på Boios berättigade intresse (art. 6.1 f) av att hantera en förväntad B2B-förfrågan, utvärdera ett möjligt samarbete och skydda formuläret. Vi begränsar uppgifterna till det underlag som behövs för den bedömningen och använder dem inte för fristående marknadsföring.

Partnerförfrågan grundas inte på samtycke. Kryssrutan i formuläret bekräftar att du har tagit del av informationen; den är inte ett samtycke som behöver återkallas. Du kan i stället invända mot behandlingen enligt art. 21.

Åtkomst och mottagare. Innehållet är endast åtkomligt för behöriga personer hos Boio som bedömer och följer upp partnerförfrågningar. Supabase behandlar leaduppgifterna som databasleverantör. Vercel hostar API-funktionen som tar emot formuläret, och hela formulärinnehållet passerar därför Vercels driftmiljö innan det skrivs till Supabase, och Vercel kan behandla både det inskickade innehållet och teknisk förfrågningsdata för drift och säkerhet. Förfrågan lämnas inte till andra hyresvärdar eller marknadsföringspartners och säljs inte.

Lagring och fysisk gallring. Den inskickade partnerförfrågan raderas fysiskt ur leadtabellen automatiskt senast 180 dagar efter insamlingen. Om kontakten leder till ett avtal kan de uppgifter som behövs för avtalet behandlas separat enligt avtalets ändamål och tillämpliga lagkrav; den ursprungliga leadposten får ändå inte ligga kvar efter sin gallringsfrist.

Dina rättigheter. Du kan begära tillgång, rättelse, radering eller begränsning när förutsättningarna i GDPR är uppfyllda, invända mot behandlingen och lämna klagomål till IMY. Kontakta kontakt@boio.se.

Integritetsinformationens version för partnerformuläret: 2026-08-28-v2.

5Kontakt med hyresvärd och minimerat fakturaunderlag

Informationsversion: 2026-09-01-v1.

Uppgifter och mottagare. När du skickar en intresseanmälan behandlar Boio namn, e-postadress, eventuellt telefonnummer och meddelande samt annons- och kontoreferenser. Formulärets innehåll levereras till annonsens hyresvärd. Det publiceras inte öppet och lämnas inte till andra hyresvärdar för deras egna ändamål.

Ändamål och rättslig grund. Överföringen behövs för att utföra din uttryckliga begäran och tillhandahålla den kontobaserade kontakttjänsten (avtal eller åtgärder på din begäran, art. 6.1 b GDPR). För en skriftligen avtalad partnerperiod behandlar Boio ett minimerat underlag för att förebygga dubbeldebitering, tillämpa avtalade tak, hantera tvister och granska manuell fakturering. Boios bedömning är att denna kontroll grundas på berättigat intresse (art. 6.1 f); bokföringsunderlag som faktiskt uppkommer behandlas även för rättslig förpliktelse (art. 6.1 c).

Pseudonymisering och dubblettkontroll. Endast en verifierad e-postadress som också levereras i intresseanmälan får skapa fakturaunderlag. Servern beräknar en HMAC med en separat hemlighet; rå e-post, namn, telefonnummer och meddelande kopieras aldrig till fakturaunderlaget. Det pseudonyma beviset används för samma person och bostad inom 90 dagar samt högst tre debiterbara kontakter till samma juridiska kund under rullande 30 dagar. Behörig administratör kan dokumenterat länka två verifierade e-postbevis när de avser samma person.

Lagring. Rå kontaktdata sparas normalt högst 180 dagar och raderas tidigare vid en giltig kontoradering när inget annat lagkrav hindrar det. Ogranskade kandidater gallras senast efter 30 dagar. Permanenta 0-kronorsbeslut och deras pseudonyma kontrollbevis sparas högst 180 dagar. Debiterbara rader, fakturareferenser, godkända krediter, tvistbeslut och nödvändigt revisionsspår sparas i upp till sju år när det krävs som bokföringsunderlag. Operativa auditposter för köläggning till granskning, dokumenterad aliaslänkning, märkning av interna konton och testkonton samt gallringskörning sparas högst 24 månader. Efter kontoradering tas kontolänkar och personuppgifter i klartext bort; endast det minsta pseudonyma bevis som behövs under respektive frist behålls.

Partnerkunden kan få historik och export i 30 dagar efter avtalets slut enligt det skriftliga avtalet. Därefter stängs åtkomsten; Boios lagstadgade, privata bokföringsarkiv påverkas inte av exportfönstret.

6Annonser

Boio visar annonser via Google AdSense (Google Ireland Ltd). Google och dess annonspartners kan använda cookies och liknande tekniker för att visa annonser baserade på tidigare besök på boio.se och andra webbplatser. Du kan när som helst välja bort personanpassade annonser via Googles annonsinställningar.

Tredjepartsleverantörer, inklusive Google, använder cookies för att visa annonser baserade på en användares tidigare besök på webbplatsen. Googles användning av annonscookies gör det möjligt för Google och dess partner att visa annonser baserat på besök på boio.se och/eller andra webbplatser på internet.

Du kan också välja bort cookies från tredjepartsleverantörer för personanpassade annonser via www.aboutads.info.

På sidor som kan visa annonser är Googles samtyckesruta (en certifierad CMP från Google) den första och enda rutan du möter när du inte har gjort något val. Ditt svar där gäller också Boios egna cookies: godkänner du räknas det som samtycke till marknadsföring och statistik hos Boio, och nekar du används bara nödvändiga cookies. Visar Google ingen ruta inom några sekunder, eller befinner du dig utanför EES, visar Boio sin egen cookieruta i stället. Annonskoden laddas bara efter samtycke till marknadsföring. Boio Kö (boio.se/ko), kassan, kontosidorna och de juridiska sidorna visar Boios egen cookieruta och inga annonser.

7Partnerlänkar och ersättning

På Boio El, Boio Bredband, Boio Mobil och Boio Försäkring är länkar till bolag som Boio kan få ersättning från märkta Annons. De går via affiliatenätverken Adtraction och Addrevenue, eller direkt till bolagets eget partnerprogram. Nätverket och bolaget kan använda cookies eller liknande teknik för att koppla ett senare köp till Boio och beräkna ersättningen. Ordningen i jämförelserna styrs aldrig av vem som betalar.

Om partnerlänkar visas i Boio Hyras avsnitt ”Inför flytten” kan Boio få ersättning när du tecknar en tjänst via en sådan länk. Länkarna blir tillgängliga först när du har samtyckt till marknadsföring i cookieinställningarna. Du kan återkalla samtycket där när som helst; då blir partnerlänkarna inaktiva på Boio igen.

Partnerlänkar till Hedvig går via Addrevenue. Länkar till Tibber går via Adtraction. Nätverket och företaget kan använda cookies eller liknande teknik för att koppla ett senare köp till Boio och beräkna ersättning. Boio lägger inte till din söktext, bostadens adress, annons-ID, kontouppgifter eller Boios cookie-ID:n i partnerlänken och skickar inte objektsidans adress som hänvisningsadress.

Addrevenue uppger i sin integritetspolicy att dess spårning inte lagrar personuppgifter eller IP-adresser och att servrarna finns i Sverige. Enligt Adtractions integritetspolicy behandlar Adtraction bland annat IP-adress och webbläsaruppgifter vid annonsinteraktioner, använder cookies och kan lagra uppgifter i upp till 12 månader. Dessa uppgifter gäller respektive nätverk; företaget du besöker beskriver sin egen behandling i sin integritetsinformation.

Hur länge ett köp kan kopplas till länken bestäms av varje program, till exempel 45 dagar för Hedvig och 30 dagar för Tibber. Perioderna anger hur köp tillskrivs Boio och är inte en generell lagringstid för alla uppgifter.

Partnerblocket laddar inga spårningsskript och skickar inga uppgifter till affiliatenätverket före ditt klick. Mottagarens behandling och lagring beskrivs i dess egen integritets- och cookieinformation. Att återkalla samtycket på Boio påverkar framtida användning här; det raderar inte automatiskt cookies eller uppgifter som redan finns hos mottagaren. Sådana cookies kan du hantera i webbläsaren eller hos mottagaren.

8Mätning av Boios Google-annonser

När Boio annonserar på Google lägger Google till ett klick-id i länken (gclid, eller gbraid/wbraid från vissa appar och iPhone). Har du godkänt marknadsföring sparar Boio klick-id:t, kampanjparametrarna (utm_*) och gad_source, och följer de med till kassan. Klick-id:t sparas då tillsammans med ditt köp hos Stripe. Utan marknadsföringssamtycke kopplas inget av detta till ditt köp och inget skickas till Google Ads. Innan du har gjort ett cookieval finns det bara kvar i fliken i högst 24 timmar (se punkt 3).

Google Ads hämtar högst en gång per dygn en lista från Boio över köp som kom från ett Google-klick. Varje rad innehåller klick-id:t, vilken händelse det gäller (provstart, första betalning eller köp som debiteras direkt), tidpunkten, ett uppskattat värde i kronor och ett slumpat ordernummer. Listan innehåller aldrig namn, e-post, telefonnummer, personnummer eller adress. Bara köp från de senaste 90 dagarna finns med, och bara om ditt marknadsföringssamtycke fortfarande gäller när listan hämtas. Återkallar du samtycket kommer köpet inte med i någon senare hämtning. Det som Google redan har hämtat behandlas enligt Googles villkor.

Har du godkänt både analys och marknadsföring kan Boios server också skicka köpet som en händelse till Google Analytics 4. Den händelsen kan innehålla ditt Boio-konto-id, klick-id:t, kampanjparametrarna, landningssidans adress (utan parametrar) och SHA-256-hashar av e-postadress och telefonnummer (aldrig i klartext). Med analys men utan marknadsföring skickas händelsen med konto-id men utan klick-id, kampanjparametrar, landningssida och hashar.

Har du godkänt både analys och marknadsföring får Google-taggen också spara Googles klickkakor (_gcl_*) i din webbläsare, och klick-id:t följer då med i Google Analytics sidvisning så att besöket kan kopplas till annonsklicket. Köpen som Boios server skickar till Google markeras som ej tillåtna för personanpassade annonser. Du återkallar samtycket med cookieknappen i sidfoten.

9Cookies och liknande tekniker

Boio kategoriserar cookies i fyra grupper. Du styr dem i cookie-bannern (klicka "Anpassa val"). Bara nödvändiga sätts utan ditt aktiva samtycke.

Nödvändiga (alltid på)

boio_consent (localStorage)

Sparar dina cookie-val tills du ändrar dem eller rensar webbläsardata

Supabase auth-cookies (sb-*-auth-token)

Håller dig inloggad

__stripe_mid

Sätts bara vid aktivt checkoutflöde

Cookiefri teknisk mätning

Dessa verktyg används för aggregerad produkt- och prestandamätning utan att spara analyscookies på din enhet. Du kan när som helst invända mot behandling baserad på berättigat intresse (se punkt 12).

PostHog

Produktanalys (vilka steg besökare tar på väg mot ett köp). Körs cookiefritt (memory-läge, sätter varken cookies eller localStorage), EU-region (Frankfurt). Inga session recordings utan personalization-samtycke.

Vercel Analytics + Speed Insights

Cookiefri prestanda- och trafikmätning

Analys (kräver samtycke)

Boios besöksmätning (boio_fvid_v1 i localStorage och boio_fsid i sessionStorage)

Slumpade pseudonyma ID:n för att skilja visitors från sessions i den valda rapportperioden. Skapas först efter analyssamtycke. Visitor-ID:t raderas om analyssamtycket återkallas; servern tar bara emot det för samtyckta event och lagrar en HMAC, aldrig rå-ID:t.

Google Analytics 4 (_ga, _ga_*)

Sidvisningar, trafikkällor, conversions. Anonymiserad IP. Lagring 14 månader.

Microsoft Clarity (_clck, _clsk, MUID)

Heatmaps och session recordings för UX-förbättringar. Laddas först efter analyssamtycke. Om samtycket återkallas raderas Clarity-cookies och den cookiebaserade sessionen avslutas; begränsad cookiefri mätning kan fortsätta utan en cookie som länkar sidvisningarna. Clarity-data delas inte med Microsoft Ads. Microsoft maskerar känsliga fält automatiskt.

Marknadsföring (kräver samtycke)

Google AdSense

Annonscookies som kan spåra besök på boio.se och andra webbplatser

Googles klickkakor (_gcl_*) och Boios kampanjattribution (boio-marketing-attribution i localStorage)

Kopplar ett köp till annonsen det kom från (Google, TikTok eller Meta), se punkt 8. Googles klickkakor sätts bara om du även godkänt analys. Kampanjattributionen sparas i högst 90 dagar.

Meta Pixel (_fbp, _fbc)

Endast aktiv om Boio kör Facebook/Instagram-annonser

LinkedIn Insight Tag (li_sugr, bcookie, lidc)

Laddas inte i dagsläget; skulle bara aktiveras om Boio börjar köra LinkedIn-annonser

TikTok Pixel (_ttp, _tt_enable_cookie)

Endast aktiv om Boio kör TikTok-annonser

Boio partnerattribution (boio_partner_attribution)

Signerad förstapartskaka med slumpat klick-ID och TikTok/Instagram/Facebook som källa. Sätts efter marknadsföringssamtycke och sparas i 90 dagar för att koppla ett senare köp till rätt kampanj och provisionsunderlag.

Personalisering (kräver samtycke)

PostHog session recordings

Inspelning av din session (klick, scroll) för UX-analys. Av som standard; aktiveras bara med ditt personalization-samtycke.

Du kan när som helst ändra eller återkalla dina val med cookieknappen i sidfoten eller radera cookies via din webbläsares inställningar.

10Databehandlare och delning

Vi säljer aldrig personuppgifter. Vi använder följande leverantörer för de tjänster som anges nedan. Boio följer upp och dokumenterar nödvändiga personuppgiftsbiträdesavtal (DPA), underbiträden och faktisk behandling för respektive aktiverad tjänst. Listan innebär inte att varje leverantörsavtal redan är slutligt verifierat eller arkiverat.

En behörig marknadsföringspartner kan få tillgång till kampanjklick, kanal, pseudonyma Stripe-/checkout-referenser och provisionsbelopp. E-post, namn, personnummer, betalningsuppgifter och köprofil visas inte i partnerdashboarden.

Supabase (Supabase Inc., USA, men EU-region används)

Databas, auth

Vercel (Vercel Inc., USA)

Hosting, API-/serverfunktioner, CDN, Vercel Analytics, Speed Insights

Stripe (Stripe Inc., USA)

Betalningshantering

Google Ireland Ltd (Irland/EU)

Google AdSense, Google Analytics 4 och Google Ads. Vid marknadsföringssamtycke får Google Ads klick-id, händelse, tidpunkt, uppskattat värde och ett slumpat ordernummer för köp som kom från en Google-annons (punkt 8). Utan samtycke skickas ingenting till Google Ads.

Microsoft Ireland (Irland/EU)

Microsoft Clarity (heatmaps + session recordings)

PostHog Inc. (USA, EU-region för data)

Produktanalys och A/B-tester

Meta Platforms Ireland (Irland/EU)

Meta Pixel (endast om annonser körs)

LinkedIn Ireland (Irland/EU)

LinkedIn Insight Tag (endast om annonser körs)

TikTok Technology Ltd (Irland/EU)

TikTok Pixel och TikTok Events API. Vid marknadsföringssamtycke delas pseudonymiserade matchningsnycklar för att mäta annonsresultat: e-post, telefonnummer och konto-id skickas enbart som SHA-256-hashar (aldrig i klartext), tillsammans med IP-adress och webbläsarens user agent. Utan samtycke skickas ingenting.

Plausible (Plausible Insights OÜ, Estland/EU)

Cookiefri analys

11Internationella överföringar

Vissa leverantörer, däribland Supabase och Vercel, har bolag, personal eller underbiträden utanför EU/EES även när en vald lagringsregion ligger i EU. Internationell åtkomst eller vidareöverföring kan därför förekomma för exempelvis drift, support eller säkerhet. När en sådan överföring sker ska Boio säkerställa en tillämplig överföringsmekanism och nödvändiga kompletterande skydd. EU:s standardavtalsklausuler (SCC) kan vara en sådan mekanism, men deras förekomst i en leverantörs standardvillkor är inte i sig bevis för att Boios hela uppföljning är klar. Boio följer upp och dokumenterar leverantörsavtal, faktisk behandlingsplats, överföringsmekanism och nödvändiga transferbedömningar.

12Dina rättigheter enligt GDPR

Du har rätt att:

• Begära tillgång till dina personuppgifter (art. 15)
• Rätta felaktiga uppgifter (art. 16)
• Begära radering / "bli glömd" (art. 17)
• Begära begränsning av behandling (art. 18)
• Dataportabilitet: få ut dina data i maskinläsbart format (art. 20)
• Invända mot behandling baserat på berättigat intresse (art. 21)
• Återkalla samtycke när som helst när en behandling grundas på samtycke (art. 7.3); partnerförfrågan ovan grundas i stället på berättigat intresse

Kontakta oss på kontakt@boio.se för att utöva någon av dessa rättigheter. Vi svarar inom 30 dagar.

13Klagomål till tillsynsmyndighet

Om du anser att Boios behandling av dina personuppgifter strider mot GDPR har du rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY).

14För dig som lägger upp en hyresannons

När du publicerar en hyresannons behandlar vi de uppgifter du själv anger: namn, kontaktuppgifter (e-post och/eller telefon), annonsens innehåll och bilder. Namnet och annonsinnehållet visas offentligt i annonsen. Dina kontaktuppgifter visas aldrig öppet. De visas bara för inloggade användare: normalt krävs en aktiv Boio Hyra-plan, men om du aktiverar Fri kontakt eller Pro för annonsen kan även inloggade bostadssökande utan egen betalplan se dem och skicka en intresseanmälan. Uppgifterna behandlas för att tillhandahålla annonstjänsten (avtal, art. 6.1 b GDPR) och sparas tills du tar bort annonsen eller ditt konto. Du kan när som helst redigera eller arkivera annonsen under Mina annonser.

15Kontakt

Frågor om integritet? Kontakta oss på kontakt@boio.se.

Personuppgiftsansvarig: Aron Larsson (enskild firma Boio), Staffanstorpsvägen 10, Malmö.