Stockholms Dagblad - INTEGRITETSPOLICY

INTEGRITETSPOLICY

Integritetspolicy för ”STOCKHOLMS DAGBLAD”
Version: 1 Januari 2026

Personuppgiftsansvarig
SCANDIC TRUST GROUP LLC
”STOCKHOLMS DAGBLAD”
IQ Business Centre
Bolsunovska Street 13–15
01014 Kyiv / Ukraina
E-post: [email protected]
Webbplats: www.StockholmsDagblad.se

SCANDIC TRUST GROUP LLC är personuppgiftsansvarig för den behandling av personuppgifter där bolaget bestämmer ändamålen och medlen för behandlingen.

Teknisk support och drift
SCANDIC ASSETS FZCO
Dubai Silicon Oasis DDP
Byggnad A1/A2
Dubai — 342001
Förenade Arabemiraten
Telefon: +971 54 221 5217

SCANDIC ASSETS FZCO tillhandahåller tekniska tjänster för webbplatsen. När bolaget behandlar personuppgifter för SCANDIC TRUST GROUP LLC:s räkning och enligt dess instruktioner gäller kraven på personuppgiftsbiträden i artikel 28 i EU:s allmänna dataskyddsförordning, GDPR. Ansvarsfördelningen bestäms av respektive företags faktiska roll i behandlingen. Frågor om personuppgifter och begäranden om att utöva dina rättigheter kan skickas till [email protected] eller till SCANDIC TRUST GROUP LLC:s postadress ovan.

Inledning och tillämpningsområde
Denna integritetspolicy beskriver hur personuppgifter behandlas när du använder webbplatser, applikationer och tjänster som tillhandahålls av ”STOCKHOLMS DAGBLAD”. Den förklarar vilka uppgifter som behandlas, varför behandlingen sker, hur länge uppgifterna sparas och vilka rättigheter du har. Information om ytterligare funktioner, exempelvis användarkonton, beställningar, nyhetsbrev, bokningar och evenemang, gäller när den aktuella funktionen erbjuds och du använder den. GDPR gäller för behandling som omfattas av förordningens tillämpningsområde. Enligt artikel 3.2 kan förordningen även omfatta en personuppgiftsansvarig utanför EU när behandlingen har samband med erbjudande av varor eller tjänster till personer i unionen eller övervakning av deras beteende där. Tillämpliga svenska bestämmelser kompletterar GDPR, särskilt lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, lagen (2022:482) om elektronisk kommunikation och marknadsföringslagen (2008:486). Dina lagstadgade rättigheter gäller oberoende av om du godkänner denna policy. Integritetspolicyn utgör inte i sig ett samtycke till behandling av personuppgifter.

A) Allmän information om behandling av personuppgifter
Personuppgifter är information som direkt eller indirekt kan knytas till en identifierad eller identifierbar fysisk person. Det kan exempelvis vara namn, adress, e-postadress, telefonnummer, IP-adress, användaridentifierare och uppgifter om hur en tjänst används. Pseudonymiserade uppgifter är fortfarande personuppgifter om de kan kopplas till en person med hjälp av kompletterande information. Uppgifter är anonyma endast när en person inte längre kan identifieras med medel som rimligen kan komma att användas. Vi behandlar personuppgifter för bestämda ändamål och begränsar behandlingen till vad som behövs för dessa ändamål. Dataskydd ska ingå i tjänsternas utformning och standardinställningar.

Ändamål och rättsliga grunder enligt GDPR

- Avtal och åtgärder inför avtal: behandling som är nödvändig för att tillhandahålla en avtalad tjänst eller genomföra åtgärder på din begäran innan ett avtal ingås — artikel 6.1 b i GDPR.

- Rättsliga förpliktelser: behandling som behövs för att uppfylla tillämpliga rättsliga skyldigheter, exempelvis vissa skyldigheter att bevara handlingar eller lämna information — artikel 6.1 c tillsammans med artikel 6.3 i GDPR.

- Berättigade intressen: behandling som behövs för webbplatsens säkerhet, fungerande drift, skydd mot missbruk, hantering av allmän korrespondens eller fastställande, utövande och försvar av rättsliga anspråk — artikel 6.1 f i GDPR, förutsatt att dina intressen eller grundläggande rättigheter och friheter inte väger tyngre.

- Samtycke: behandling för frivilliga ändamål, exempelvis samtyckesbaserad användningsanalys, marknadsföring och personalisering — artikel 6.1 a i GDPR. Den rättsliga grunden bestäms utifrån den aktuella behandlingen. Ett återkallat samtycke eller en giltig invändning får inte kringgås genom att samma behandling godtyckligt flyttas över till en annan rättslig grund.

Kompletterande svenska bestämmelser
Dataskyddslagen (2018:218) innehåller svenska kompletteringar till GDPR. Lagring av information i användarens utrustning och åtkomst till sådan information regleras särskilt i 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation. Elektronisk direktmarknadsföring omfattas även av 19 och 20 §§ marknadsföringslagen (2008:486). Närmare information om kakor, elektronisk kommunikation och marknadsföring finns i avsnitten F och M.

Behandling inom redaktionell och journalistisk verksamhet
Personuppgifter kan behandlas för att förbereda, framställa, publicera och arkivera journalistiskt material. Uppgifterna kan exempelvis komma från offentliga källor, intervjuer, publicerat material och personer som kontaktar redaktionen. För journalistisk behandling gäller artikel 85 i GDPR och, när svensk rätt är tillämplig, 1 kap. 7 § dataskyddslagen. Den svenska bestämmelsen innehåller undantag för journalistiska ändamål från artiklarna 5–30 och 35–50 i GDPR samt från 2–5 kap. dataskyddslagen. Bestämmelserna ska tillämpas med beaktande av unionsrätten och avvägningen mellan dataskydd och yttrande- och informationsfrihet. Reglerna om samarbete med tillsynsmyndigheten och säkerhet i artiklarna 31–34 omfattas inte av detta journalistiska undantag. www.riksdagen.se

Grundlagsskydd enligt tryckfrihetsförordningen eller yttrandefrihetsgrundlagen förutsätter att respektive grundlags tillämpningsvillkor är uppfyllda. Regler om källskydd och tystnadsplikt gäller inom sina rättsliga tillämpningsområden. Att uppgifter är offentligt tillgängliga eller avser en offentlig person innebär inte att all vidare behandling är tillåten. Journalistiska undantag omfattar inte automatiskt annonsering, kundadministration, prenumerationer, användarkonton eller teknisk besöksanalys.

Externa plattformar och deras integritetspolicyer
När du använder innehåll på externa plattformar kan plattformarnas operatörer behandla personuppgifter för egna ändamål. En vanlig länk och ett inbäddat element fungerar olika: en länk leder normalt till den externa tjänsten när du aktiverar den, medan en inbäddad bild, spelare eller annan resurs kan överföra uppgifter redan när den laddas. Att du är inloggad på en extern plattform innebär inte att du därmed har lämnat ett generellt samtycke till att ”STOCKHOLMS DAGBLAD” överför uppgifter till plattformen. Cloudflare Web Analytics, cdnjs, Google Fonts och YouTube beskrivs närmare i avsnitten E, F, G och M. Följande länkar ger även tillgång till andra plattformars integritetsinformation. Förteckningen innebär inte att samtliga tjänster används på webbplatsen.

- Cloudflare: Cloudflares integritetspolicy.

- X: X:s integritetspolicy.

- Instagram: Instagrams integritetspolicy.

- Amazon Alexa: Amazons integritetsinformation.

- Google Play, Android TV och andra Google-tjänster: Googles integritetspolicy.

- Facebook: Facebooks integritetspolicy.

- YouTube: Googles integritetspolicy för bland annat YouTube.

- Telegram: Telegrams integritetspolicy.

- Apple News och Apple Watch: Apples integritetspolicy.

- Amazon Fire TV och Fire Tablet: Amazons integritetsinformation.

- Roku: Rokus integritetspolicy.

- Telekom Magenta: Telekoms dataskyddsinformation.

- Huawei: Huaweis integritetsinformation.

- Spotify: Spotifys integritetspolicy.

- Audio Now och poddar via RTL+: RTL+:s dataskyddsinformation.

- TikTok: TikToks integritetspolicy för EES.

Tekniska uppgifter och röstassistenter
När innehåll hämtas från våra servrar kan tekniska uppgifter registreras. Beroende på tjänsten och anslutningen kan dessa omfatta följande:

- Adressen till den begärda sidan eller filen samt datum och tid för åtkomsten.

- Överförd datamängd och resultatet av begäran, inklusive HTTP-statuskod.

- IP-adress och information om webbläsare, webbläsarversion och operativsystem.

- Information om internetleverantören, när sådan information finns tillgänglig.

- Hänvisningsadress, om den skickas av webbläsaren eller plattformen.

Användning av uppgifter för besöksstatistik beskrivs i avsnitt F. Säkerhetsloggar får inte utan en separat och lämplig rättslig grund användas för att skapa reklamprofiler. Leverantörer av röstassistenter kan behandla ljudinspelningar, transkriptioner och uppgifter om frågor eller kommandon. Vilka uppgifter ”STOCKHOLMS DAGBLAD” får tillgång till beror på den aktuella tjänsten. Användning av en röstassistent innebär inte automatiskt att fullständiga ljudinspelningar överförs till oss.

Ytterligare tjänster och särskilda kategorier av personuppgifter
Om vi erbjuder bokningar, beställningar, tävlingar, evenemang eller åtkomstkontroller behandlar vi de uppgifter som behövs för den aktuella tjänsten. Det kan vara deltagaruppgifter, kontaktuppgifter, avtalsuppgifter och betalningsinformation. Födelsedatum och identitetshandlingar får efterfrågas endast när det finns ett motiverat ändamål och en lämplig rättslig grund. En fullständig kopia av en identitetshandling krävs inte rutinmässigt. För svenska personnummer och samordningsnummer gäller dessutom de särskilda förutsättningarna i 3 kap. 10 § dataskyddslagen. Vid kamerabevakning, fotografering eller filmning i samband med evenemang ska information om behandlingen lämnas där uppgifterna samlas in eller före deltagandet. Behandling av hälsouppgifter och andra känsliga personuppgifter förutsätter, när GDPR:s ordinarie regler gäller, både en rättslig grund enligt artikel 6 och ett tillämpligt undantag enligt artikel 9.2. Uppgifter om lagöverträdelser omfattas av artikel 10 och tillämpliga kompletterande bestämmelser. För journalistisk behandling gäller de särskilda regler som beskrivs ovan.

B) Kontakt med oss
När du kontaktar oss via e-post, telefon eller kontaktformulär behandlar vi de uppgifter du lämnar, exempelvis namn, kontaktuppgifter och meddelandets innehåll, för att hantera ditt ärende och svara dig. Om kontakten gäller ett avtal eller åtgärder inför ett avtal som du har begärt används artikel 6.1 b i GDPR. Annan korrespondens kan behandlas enligt artikel 6.1 f med stöd av vårt berättigade intresse av att hantera inkommande frågor. När behandlingen behövs för en rättslig förpliktelse tillämpas artikel 6.1 c. Lämna endast de uppgifter som behövs för ärendet. Om nödvändiga kontaktuppgifter eller sakuppgifter saknas kan det vara omöjligt att besvara frågan. Kontakt med oss innebär inte samtycke till reklam. Korrespondens sparas under handläggningen och därefter i högst 12 månader, om inte en rättslig skyldighet eller ett konkret rättsligt anspråk motiverar längre lagring.

C) Bokningar, beställningar och användarkonton
När sådana tjänster erbjuds behandlar vi nödvändiga identitets-, kontakt-, beställnings-, avtals- och betalningsuppgifter. För användarkonton kan även inloggningsuppgifter, inställningar och uppgifter om kontots administration behandlas. Behandling som behövs för att ingå eller fullgöra ett avtal grundas på artikel 6.1 b i GDPR. Nödvändig säkerhetsbehandling kan grundas på artikel 6.1 f. Obligatoriska uppgifter anges vid insamlingen. Om du inte lämnar dem kan tjänsten eller avtalet inte alltid tillhandahållas. Frivilliga uppgifter och samtycken för ytterligare ändamål ska hållas åtskilda från sådant som är nödvändigt för tjänsten. Om betalnings-, boknings- eller leveransföretag medverkar lämnas information om deras identitet, roll och behandling i anslutning till tjänsten. Att en betalningsleverantör används innebär inte att ”STOCKHOLMS DAGBLAD” får tillgång till samtliga kort- eller bankuppgifter som du lämnar till leverantören. Uppgifterna sparas så länge de behövs för ett aktivt konto eller ett pågående avtalsförhållande. Efter avslut sparas kvarvarande uppgifter i högst 12 månader, om inte reglerna om bokföring, andra rättsliga skyldigheter eller konkreta rättsliga anspråk kräver längre lagring.

D) Bokföring och lagstadgade skyldigheter att bevara handlingar
Räkenskapsinformation och andra handlingar som omfattas av lagstadgade bevarandekrav sparas under den tid som följer av den lagstiftning som gäller för det aktuella företaget och den aktuella transaktionen. När svensk bokföringslag (1999:1078) är tillämplig ska räkenskapsinformation enligt 7 kap. 2 § bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Den ordinarie tolvmånadersfristen ersätter inte denna skyldighet. Artikel 6.1 c i GDPR kan användas när förpliktelsen grundas på unionsrätt eller medlemsstatsrätt och uppfyller artikel 6.3. En skyldighet som uteslutande följer av ett tredjelands lag utgör inte ensam en rättslig grund enligt dessa bestämmelser. Under en obligatorisk bevarandetid begränsas användningen till de ändamål som motiverar lagringen. Därefter raderas uppgifterna, om fortsatt behandling inte är nödvändig och har en annan giltig rättslig grund. www.riksdagen.se

E) Webbplatsens tekniska tillhandahållande och driftsäkerhet
Tekniska uppgifter behandlas för att leverera efterfrågat innehåll, upprätthålla webbplatsens funktion, avhjälpa fel och skydda systemen mot angrepp och missbruk. Behandlingen grundas normalt på artikel 6.1 f i GDPR och vårt berättigade intresse av säker och fungerande drift. Artikel 6.1 b används när en viss behandling är nödvändig för att fullgöra ett avtal med dig. Dessa grunder ersätter inte ett samtycke som krävs för lagring i eller åtkomst till din utrustning. SCANDIC ASSETS FZCO tillhandahåller tekniska tjänster. Åtkomst för tekniska leverantörer begränsas till vad som behövs för respektive uppdrag. Egna tekniska loggar sparas endast så länge de behövs och normalt högst 12 månader från registreringen. Uppgifter som inte längre behövs raderas tidigare. Uppgifter om ett konkret säkerhetsärende kan sparas längre när det är nödvändigt för en rättslig skyldighet eller för att fastställa, göra gällande eller försvara rättsliga anspråk.

Cloudflare och cdnjs
Webbplatsen hämtar vissa tekniska programbibliotek via cdnjs, som distribueras av Cloudflare, Inc., USA. Vid hämtningen kan Cloudflare få tillgång till IP-adress, begärd resurs, tidpunkt och tekniska uppgifter som webbläsaren skickar. Syftet är att leverera resurser som används för webbplatsens funktion och presentation. Cloudflare anger att cdnjs-resurser får mellanlagras i upp till ett år. Detta avser lagring av tekniska filer i cache och är inte ett besked om hur länge personuppgifter i leverantörens serverloggar sparas. Cloudflare beskriver även användning av nätverksfelrapportering för att mäta tjänstens prestanda och stabilitet. Information om Cloudflares egen behandling finns i Cloudflares integritetspolicy. Internationella överföringar behandlas i avsnitt G. cdnjs.cloudflare.com

Google Fonts
Webbplatsen använder externt inlästa teckensnitt från Google Fonts. När teckensnitten hämtas kan Google ta emot IP-adress, den begärda resursens adress och HTTP-information, exempelvis webbläsartyp och hänvisningsadress. Google uppger att Google Fonts API inte sätter eller registrerar kakor och att information från tjänsten inte används för att skapa användarprofiler eller riktad reklam. En anslutning till Google kan ändå ske när en sida med externa teckensnitt laddas. Ytterligare information finns i Google Fonts frågor och svar. Extern teckensnittsladdning omfattas av GDPR när personuppgifter behandlas. Ett berättigat intresse kan användas endast om behandlingen är nödvändig och intresseavvägningen tillåter den. När samtycke krävs måste det inhämtas före behandlingen. En viss grafisk utformning gör inte i sig all överföring av personuppgifter nödvändig. Google anger inte i denna tjänsteinformation någon enhetlig, preciserad lagringstid för samtliga tekniska uppgifter från Google Fonts. Vår tolvmånadersfrist ska därför inte förstås som en utfästelse om Googles självständiga behandling.

F) Kakor, åtkomst till utrustning och spårningsteknik
Kakor, även kallade cookies, och liknande tekniker kan lagra information i din utrustning eller läsa information som redan finns där. Det gäller även exempelvis lokal webbläsarlagring, spårningspixlar och vissa tekniker för att känna igen enheter. Vilka regler som gäller beror på teknikens faktiska funktion. Benämningar som ”utan kakor”, ”statistik” eller ”optimering” innebär inte automatiskt att samtycke saknar betydelse.

Svenska regler om åtkomst till terminalutrustning
Enligt 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation kräver lagring eller åtkomst som huvudregel information om ändamålet och användarens samtycke. Undantag gäller när åtgärden behövs för överföring av ett elektroniskt meddelande eller är nödvändig för en tjänst som användaren uttryckligen har begärt. Skyddet omfattar även information som inte är personuppgifter. När samtycke krävs ska det uppfylla GDPR:s krav på frivillighet, specificering, information och en otvetydig viljeyttring. data.riksdagen.se

Personuppgifter och frivilliga val
Ett samtycke till lagring i utrustningen ersätter inte kravet på rättslig grund för efterföljande behandling av personuppgifter. Samtyckeskrävande funktioner får aktiveras först efter ett giltigt samtycke. Förkryssade rutor, tystnad, fortsatt surfning eller ett allmänt godkännande av användarvillkor utgör inte ett sådant samtycke. Du ska kunna avstå från frivilliga funktioner och välja mellan olika ändamål. Möjligheten att neka till icke nödvändiga kakor ska vara lika lättillgänglig som möjligheten att godkänna dem. Samtycke ska kunna återkallas lika enkelt som det lämnas. pts.se

Egna kakor och lagring av dina val

- laravel_cookie_consent: används för att komma ihåg ditt val beträffande frivilliga funktioner. Den fastställda lagringstiden är högst 12 månader från ditt senaste aktiva val. Ett nytt besök innebär inte i sig ett nytt samtycke. Funktionen används för att respektera ditt val och ska inte i sig användas som reklamidentifierare.

- language: används för att komma ihåg ett språkval. Den är utformad som en sessionskaka utan uttryckligt angiven beständig giltighetstid. Sessionskakor upphör normalt när webbläsarsessionen avslutas, men webbläsarens funktion för sessionsåterställning kan påverka detta. Lagring som är nödvändig för att komma ihåg och respektera ett uttryckligt val kan omfattas av undantaget från samtyckeskravet. Om nya ändamål eller väsentligt ändrade behandlingar tillkommer krävs ny information och, när det är nödvändigt, ett nytt samtycke.

- Cloudflare Web Analytics
Webbplatsen använder Cloudflare Web Analytics från Cloudflare, Inc., USA, för statistik om användning och teknisk prestanda. Tjänsten kan behandla uppgifter om sidvisningar, laddningstider, hänvisningar samt webbläsar- och enhetsegenskaper. Cloudflare uppger att tjänsten inte använder kakor eller lokal webbläsarlagring för användningsmätningen och inte skapar individuella fingeravtryck med hjälp av IP-adress eller webbläsarinformation. Detta innebär inte att ingen teknisk kommunikation med Cloudflare sker. Webbplatsens inläsning av analysfunktionen är kopplad till ett godkännande av frivilliga funktioner. Den rättsliga grunden för vår samtyckesbaserade analys är artikel 6.1 a i GDPR. www.cloudflare.com

Cloudflare anger följande tider för Web Analytics:

- Fullständiga mätdata före urval och aggregering: 7 dagar.

- Historiska uppgifter tillgängliga i rapporteringen: de föregående 6 månaderna.

Dessa uppgifter beskriver Cloudflares analysprodukt. De innebär inte att samtliga tekniska eller säkerhetsrelaterade uppgifter hos Cloudflare raderas efter samma tid. Närmare information finns i Cloudflares dokumentation om Web Analytics. developers.cloudflare.com

Möjliga ändamål som omfattas av separata val
När motsvarande funktioner erbjuds kan separata val avse följande ändamål:

- Användning av begränsade uppgifter för att välja annonser.

- Skapande av profiler för personanpassad reklam.

- Användning av profiler för att välja personanpassade annonser.

- Skapande av profiler för personanpassat innehåll.

- Användning av profiler för att välja personanpassat innehåll.

- Mätning av annonsers effektivitet.

- Mätning av innehållets användning och effektivitet.

- Målgruppsanalys med hjälp av statistik eller uppgifter från olika källor.

- Utveckling och förbättring av tjänster.

- Användning av begränsade uppgifter för att välja innehåll.

Förteckningen beskriver möjliga ändamål och innebär inte att alla dessa behandlingar pågår. Den ger inte heller ett generellt tillstånd att behandla uppgifter. Före samtycke ska information lämnas om de berörda leverantörerna, ändamålen, uppgifterna, mottagarna, lagringstiderna och eventuella internationella överföringar. Branschstandarder och system från exempelvis IAB ersätter inte lagens krav.

Inställningar och återkallande av samtycke
I webbplatsens val för kakor innebär alternativet ”Essential only” att frivilliga funktioner avvisas. Ett godkännande gäller endast de ändamål som omfattas av informationen vid valet. Du kan när som helst återkalla ett lämnat samtycke. Du kan även meddela oss detta via [email protected]. Återkallandet påverkar inte lagligheten av den behandling som redan har skett med stöd av samtycket. Webbläsarens inställningar kan användas för att blockera eller radera kakor. Sådana åtgärder kan begränsa teknisk åtkomst, men innebär inte alltid att ett återkallande har meddelats samtliga berörda leverantörer. Efter återkallandet ska den behandling som grundas på samtycket upphöra. Uppgifter raderas när det inte längre finns en giltig grund för att behålla dem. Ett begränsat underlag kan behöva sparas för att dokumentera samtycket, återkallandet eller en invändning.

G) Mottagare och internationella överföringar
Personuppgifter lämnas till mottagare endast när det finns ett lagligt ändamål och en lämplig rättslig grund. Mottagare kan vara tekniska leverantörer, företag som medverkar i en beställd tjänst, rådgivare med tystnadsplikt samt behöriga myndigheter och domstolar. Personuppgiftsbiträden ska behandla uppgifter inom ramen för sitt uppdrag och enligt lagliga instruktioner. Vid gemensamt personuppgiftsansvar gäller artikel 26 i GDPR. De registrerade ska få tillgång till det väsentliga innehållet i ansvarsfördelningen och kan utöva sina rättigheter gentemot respektive gemensamt ansvarig. De leverantörer som beskrivs i denna policy omfattar följande:

- SCANDIC ASSETS FZCO, Förenade Arabemiraten: tekniska tjänster och den åtkomst som behövs för dessa uppdrag.

- Cloudflare, Inc., USA: Cloudflare Web Analytics och distribution av tekniska resurser via cdnjs.

- Google: externa teckensnitt och YouTube-innehåll. Google anger normalt Google Ireland Limited, Irland, som personuppgiftsansvarig för användare av dess tjänster inom EES, om inte tjänstespecifik information anger annat. Behandling kan även beröra Google LLC i USA och andra mottagare inom Googles tjänster. policies.google.com

Ukraina och Förenade Arabemiraten
SCANDIC TRUST GROUP LLC finns i Ukraina och SCANDIC ASSETS FZCO i Förenade Arabemiraten. Dessa länder omfattas inte av något beslut från Europeiska kommissionen om adekvat skyddsnivå. När uppgifter görs tillgängliga för ett separat företag i ett tredjeland kan detta utgöra en internationell överföring, även vid fjärråtkomst. Att en server finns inom EES utesluter därför inte att reglerna i kapitel V i GDPR blir tillämpliga. commission.europa.eu

Överföringar enligt GDPR
En överföring kan grundas på ett tillämpligt beslut om adekvat skyddsnivå enligt artikel 45. När ett sådant beslut saknas krävs normalt lämpliga skyddsåtgärder enligt artikel 46, exempelvis tillämpliga standardavtalsklausuler och, när det behövs, kompletterande skyddsåtgärder. Skyddet måste fungera i praktiken med hänsyn till mottagarlandets lagstiftning och förhållanden. Standardavtalsklausuler måste vara tillämpliga på överföringen och bindande för de berörda parterna. Undantagen i artikel 49 är inte en generell grund för regelbundna överföringar. Uttryckligt samtycke enligt artikel 49.1 a kräver information om riskerna med överföring utan adekvansbeslut och lämpliga skyddsåtgärder.

Skyddsåtgärder som beskrivs av Cloudflare och Google
Cloudflare uppger att bolaget omfattas av EU–US Data Privacy Framework. I bolagets publicerade personuppgiftsbiträdesvillkor beskrivs även användning av EU:s standardavtalsklausuler för överföringar där sådana behövs. Se Cloudflares villkor för personuppgiftsbehandling. Google uppger att Google LLC och omfattade amerikanska dotterbolag är certifierade enligt EU–US Data Privacy Framework. Google beskriver också användning av standardavtalsklausuler när det krävs för överföringar som inte omfattas av ett adekvansbeslut. Se Googles information om internationella dataöverföringar. www.cloudflare.com
Data Privacy Framework gäller endast när mottagaren och den aktuella överföringen omfattas av ramverket. Det utgör inte en generell överföringsgrund för Ukraina, Förenade Arabemiraten eller alla mottagare i USA. Leverantörernas allmänna information ersätter inte de krav som gäller för varje konkret överföring. Information om tillämpliga skyddsåtgärder och hur en kopia kan erhållas kan begäras via [email protected], med beaktande av andra personers rättigheter och skyddsvärda uppgifter.

H) Lagringstid och radering av personuppgifter
Den ordinarie lagringstiden för våra egna personuppgifter är högst 12 månader, räknat från de tidpunkter som anges nedan. Uppgifter raderas tidigare om de inte längre behövs. Längre lagring gäller endast när det behövs för en pågående tjänst eller ett avtalsförhållande, en tillämplig rättslig skyldighet, ett konkret rättsligt anspråk eller berättigade journalistiska ändamål. Uppgifter får inte sparas enbart därför att den längsta angivna tiden ännu inte har löpt ut.

- Förfrågningar och korrespondens: under ärendets handläggning och därefter högst 12 månader från avslutandet, om inte en särskild skyldighet eller ett konkret rättsligt anspråk kräver längre tid.

- Användarkonton och avtal: så länge kontot eller avtalet är aktivt och uppgifterna behövs för tjänsten. Efter avslut sparas nödvändiga kvarvarande uppgifter i högst 12 månader, med undantag för lagstadgat bevarande och konkreta rättsliga anspråk.

- Tekniska loggar och egna användningsuppgifter: högst 12 månader från registreringen, med tidigare radering när uppgifterna inte längre behövs. Uppgifter som behövs för ett konkret säkerhetsärende kan bevaras separat under den tid som är nödvändig för ärendet eller tillhörande rättsliga anspråk.

- Egna uppgifter om val av kakor: högst 12 månader från det senaste aktiva valet. Ett återkallat samtycke ska respekteras omedelbart och får inte fortsätta användas därför att lagringstiden ännu inte har löpt ut.

- Dokumentation av samtycke, återkallande och invändning: normalt högst 12 månader efter att samtycket upphört eller ärendet avslutats. Ett begränsat underlag kan bevaras längre om det behövs för en rättslig skyldighet, ett konkret anspråk eller för att även fortsättningsvis respektera en invändning mot marknadsföring.

- Bokföringsmaterial: enligt tillämpliga lagstadgade bevarandekrav, såsom den svenska frist som beskrivs i avsnitt D.

- Journalistiskt material och arkiv: så länge lagringen är motiverad av journalistiska ändamål och skyddet för yttrande- och informationsfriheten. Detta är inte en grund för obegränsad lagring av vanliga användar- eller reklamuppgifter.

- Uppgifter hos externa leverantörer: de särskilda tider som anges i avsnitten E, F och M gäller för respektive tjänst. Vår tolvmånadersfrist innebär inte att kortare leverantörsfrister förlängs eller att en självständigt ansvarig leverantör har åtagit sig samma lagringstid. Radering omfattar aktiva system och ska även få genomslag i säkerhetskopior. Uppgifter som tillfälligt finns kvar i säkerhetskopior ska hållas avskilda från vanlig användning och tas bort genom säkerhetskopiornas ersättningscykel inom den tillämpliga lagringstiden. Vid återställning ska tidigare beslut om radering och begränsning fortsatt respekteras.

I) Dina rättigheter
När GDPR:s bestämmelser är tillämpliga och förutsättningarna är uppfyllda har du följande rättigheter:

- Rätt till tillgång — artikel 15: att få veta om dina personuppgifter behandlas, få tillgång till uppgifterna och den information som lagen föreskriver samt få en kopia av personuppgifterna.

- Rätt till rättelse — artikel 16: att få felaktiga uppgifter rättade och ofullständiga uppgifter kompletterade.

- Rätt till radering — artikel 17: att få uppgifter raderade när lagens förutsättningar är uppfyllda. Undantag kan exempelvis gälla rättsliga skyldigheter, rättsliga anspråk och yttrande- och informationsfrihet.

- Rätt till begränsning — artikel 18: att få behandlingen begränsad i de situationer som anges i förordningen.

- Rätt till dataportabilitet — artikel 20: att få uppgifter som du har tillhandahållit i ett strukturerat, allmänt använt och maskinläsbart format och, när det är tekniskt möjligt, överförda till en annan personuppgiftsansvarig. Rätten gäller under angivna förutsättningar för automatiserad behandling som grundas på samtycke eller avtal.

- Rätt att göra invändningar — artikel 21: att invända mot viss behandling enligt reglerna nedan.

- Rätt att återkalla samtycke — artikel 7.3: att när som helst återkalla ett samtycke utan att detta påverkar lagligheten av tidigare behandling som grundades på samtycket.

- Rättigheter vid automatiserade beslut — artikel 22: att under förordningens förutsättningar inte bli föremål för beslut som enbart grundas på automatiserad behandling och har rättsliga eller liknande betydande följder för dig. När artikel 19 kräver det underrättas mottagare om rättelse, radering eller begränsning, om detta inte är omöjligt eller innebär en oproportionerlig ansträngning. Du kan begära information om dessa mottagare. För journalistisk behandling gäller de särskilda bestämmelser som beskrivs i avsnitt A.

Rätt att göra invändningar
Du får när som helst, av skäl som hänför sig till din specifika situation, invända mot behandling som grundas på artikel 6.1 e eller f i GDPR, inklusive tillhörande profilering. Behandlingen ska då upphöra, om det inte finns tvingande berättigade skäl som väger tyngre än dina intressen, rättigheter och friheter eller om behandlingen behövs för rättsliga anspråk. Du får alltid invända mot behandling för direktmarknadsföring utan att ange särskilda skäl. Detta gäller även profilering som hör samman med direktmarknadsföringen. Efter en sådan invändning får uppgifterna inte längre behandlas för dessa ändamål.

Så utövar du dina rättigheter och så lång är svarstiden
Skicka din begäran till [email protected] eller till personuppgiftsansvarigs postadress i början av denna policy. Det är normalt kostnadsfritt att utöva rättigheterna. Avgift eller vägran att tillmötesgå en begäran får endast förekomma när lagens förutsättningar är uppfyllda, exempelvis enligt artikel 12.5 i GDPR. Om det finns rimliga tvivel om din identitet kan vi begära kompletterande uppgifter som behövs för att bekräfta den. Detta innebär inte något rutinmässigt krav på en fullständig kopia av en identitetshandling. Information om åtgärder med anledning av din begäran lämnas utan onödigt dröjsmål och normalt inom en månad från mottagandet. Fristen får vid behov förlängas med ytterligare två månader med hänsyn till begärans komplexitet och antalet begäranden. Du ska då informeras om förlängningen och skälen inom den första månaden. Om en begäran inte tillmötesgås ska du få information om skälen och om möjligheten att klaga till en tillsynsmyndighet och begära rättslig prövning. Tillämpliga begränsningar, andra personers rättigheter och särskilda regler för journalistik ska beaktas.

Klagomål och tillsynsmyndigheter
Enligt artikel 77 i GDPR får du lämna klagomål till en behörig tillsynsmyndighet, särskilt i det medlemsland där du normalt bor, arbetar eller där den påstådda överträdelsen har skett. Du kan kontakta oss för att få hjälp, men detta ersätter inte din rätt att vända dig till en tillsynsmyndighet.

- Integritetsskyddsmyndigheten, IMY: svensk tillsynsmyndighet för dataskydd. Information om rättigheter, kontaktvägar och klagomål finns på www.imy.se.

- Post- och telestyrelsen, PTS: utövar tillsyn över reglerna om lagring och åtkomst i terminalutrustning enligt lagen om elektronisk kommunikation. Information finns på PTS:s sida om kakor. Vid journalistisk behandling påverkas rättigheternas och tillsynens omfattning av de särskilda bestämmelserna i avsnitt A.

J) Informationssäkerhet
Vi ska skydda personuppgifter med tekniska och organisatoriska åtgärder som är lämpliga med hänsyn till riskerna enligt artikel 32 i GDPR. Skyddet ska beakta behandlingens art, omfattning, sammanhang och ändamål samt riskerna för enskildas rättigheter och friheter. Åtgärderna omfattar, när det är relevant, skydd mot obehörig åtkomst, förlust, förstöring, ändring och obehörigt utlämnande. Ingen överföring eller teknisk miljö kan garanteras vara helt fri från risk. En personuppgiftsincident som ska anmälas enligt artikel 33 rapporteras till behörig tillsynsmyndighet utan onödigt dröjsmål och om möjligt inom 72 timmar från att vi fått vetskap om den. Om incidenten sannolikt leder till en hög risk för berörda personer ska de informeras utan onödigt dröjsmål enligt artikel 34, om inget tillämpligt undantag gäller.

K) Tvister och klagomål om personuppgiftsskydd
Denna policy begränsar inte din rätt att lämna klagomål till en behörig tillsynsmyndighet, få saken prövad av domstol eller begära ersättning enligt artikel 82 i GDPR när förutsättningarna är uppfyllda. Rättigheterna är inte beroende av att du deltar i ett utomrättsligt förfarande för konsumenttvister. För eventuell alternativ lösning av konsumenttvister gäller tillämpliga bestämmelser och den information som lämnas i webbplatsens företagsuppgifter eller villkoren för den aktuella tjänsten.

L) Tillämpliga rättsregler
Följande rättsakter och avgöranden är särskilt relevanta inom sina respektive tillämpningsområden.

Europeiska unionen:

- Förordning (EU) 2016/679 — GDPR: regler om personuppgiftsbehandling, information, rättigheter, säkerhet, internationella överföringar och förhållandet till yttrande- och informationsfriheten.

- Direktiv 2002/58/EG, med senare ändringar: regler om integritet i elektronisk kommunikation, terminalutrustning och obeställda elektroniska meddelanden. Reglerna har genomförts i svensk lagstiftning, bland annat genom lagen om elektronisk kommunikation och marknadsföringslagen.

- EU-domstolens dom i mål C‑673/17, Planet49: klargör att samtycke till samtyckeskrävande kakor kräver en aktiv handling och att informationen ska omfatta kakornas giltighetstid och tredje parters åtkomst. curia.europa.eu

- EU-domstolens dom i mål C‑311/18, Schrems II: behandlar skyddet vid internationella överföringar och kraven på effektivt skydd när standardavtalsklausuler används. Det tidigare Privacy Shield ogiltigförklarades genom domen. EU–US Data Privacy Framework bygger på ett senare, separat adekvansbeslut. curia.europa.eu

Sverige:

- Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning: kompletterar GDPR. Särskilt relevanta är 1 kap. 7 § om tryck- och yttrandefrihet samt journalistiska ändamål, 2 kap. 4 § om barns samtycke och 3 kap. 10 § om personnummer och samordningsnummer.

- Lagen (2022:482) om elektronisk kommunikation: särskilt 9 kap. 28 § om lagring av och åtkomst till information i användarens utrustning.

- Marknadsföringslagen (2008:486): särskilt 19 och 20 §§ om elektronisk direktmarknadsföring, förhandssamtycke, det begränsade undantaget för befintliga kunder och möjligheten att begära att utskick upphör.

- Tryckfrihetsförordningen (1949:105) och yttrandefrihetsgrundlagen (1991:1469): regler om grundlagsskyddad publicering, ansvar och källskydd när respektive grundlags villkor är uppfyllda.

- Högsta domstolens avgöranden den 25 februari 2025 i målen Ä 3457‑24 och Ä 3169‑24: visar att GDPR kan påverka utlämnande av stora mängder personuppgifter ur brottmålsdomar även när mottagarens verksamhet omfattas av grundlagsskydd. Avgörandena gäller utlämnande med förbehåll och ger inte någon generell rätt till obegränsad vidareanvändning. www.domstol.se

- Bokföringslagen (1999:1078): regler om bevarande av räkenskapsinformation när svensk bokföringsskyldighet föreligger.

M) Ytterligare information om enskilda tjänster

Nyhetsbrev och reklammeddelanden
När ett nyhetsbrev erbjuds lämnas information före registreringen om innehållet, uppgifternas användning och eventuell leverantör som hanterar utskicken. Samtyckesbaserade utskick grundas på artikel 6.1 a i GDPR. En beställning, ett användarkonto eller en e-postadress som har lämnats för ett annat ärende innebär inte automatiskt samtycke till reklam. Enligt 19 § marknadsföringslagen kräver elektronisk marknadsföring till fysiska personer som huvudregel förhandssamtycke. Ett begränsat undantag kan gälla när adressen erhållits vid försäljning, marknadsföringen avser företagets egna likartade produkter och mottagaren har fått en tydlig, kostnadsfri och enkel möjlighet att avstå både vid insamlingen och i varje senare meddelande. Elektronisk marknadsföring ska innehålla en giltig adress för begäran om att utskicken upphör. En prenumeration innebär inte automatiskt samtycke till individuell mätning av öppnade meddelanden eller aktiverade länkar. Sådan mätning kräver särskild information och en lämplig rättslig grund, inklusive samtycke när det krävs. Du kan avsluta prenumerationen genom avregistreringslänken i meddelandet eller genom att kontakta [email protected]. Prenumerationsuppgifter sparas så länge den begärda prenumerationen är aktiv. Efter avregistrering gäller den ordinarie fristen på högst 12 månader för nödvändiga kvarvarande uppgifter, med de begränsade undantag som beskrivs i avsnitt H. www.riksdagen.se

Inbäddat innehåll, sociala medier och affiliatelänkar
Inbäddade video- och ljudspelare, sociala funktioner och andra externa komponenter kan medföra överföring av personuppgifter till leverantören. Uppgifterna kan omfatta IP-adress, enhetsinformation, uppgifter om den besökta sidan och användarens interaktioner. Överföring kan ske även om användaren saknar konto hos leverantören. Om användaren är inloggad kan leverantören ha möjlighet att koppla aktiviteten till kontot. Samtyckeskrävande funktioner får aktiveras först efter ett giltigt samtycke. En länk till leverantörens integritetspolicy ersätter inte den information och det samtycke som ”STOCKHOLMS DAGBLAD” ansvarar för. Ersättning genom affiliatelänkar utgör inte i sig någon rättslig grund för att spåra användaren.

YouTube
Webbplatsen använder YouTube för videoinnehåll. Inbäddningen kan omfatta en videospelare och förhandsvisningsbilder som hämtas från Googles eller YouTubes servrar. Spelarens aktivering är kopplad till godkännande av externa funktioner. Förhandsvisningsbilder kan däremot hämtas redan när videosidan visas. En överföring av exempelvis IP-adress och teknisk information kan därför ske innan själva videon startas. När spelaren aktiveras kan Google behandla ytterligare uppgifter om uppspelningen och använda kakor eller liknande teknik. Behandlingen beror bland annat på dina val och om du är inloggad på ett Google-konto. För vår samtyckesbaserade aktivering av spelaren gäller artikel 6.1 a i GDPR samt, när lagring eller åtkomst i utrustningen sker, 9 kap. 28 § lagen om elektronisk kommunikation.

Kakor och giltighetstider som Google beskriver för sina tjänster
Google anger bland annat följande exempel. Vilka kakor som faktiskt används beror på tjänsten, regionen, inloggningen och dina inställningar.

- YSC: sessionskaka som används för säkerhetsändamål och normalt gäller under webbläsarsessionen.

- Secure-YNID: används bland annat för funktioner och hantering av problem i YouTube och anges ha en giltighetstid på 6 månader. Google beskriver den som ersättare för VISITOR_INFO1_LIVE.

- PREF: används för bland annat uppspelnings- och presentationsinställningar och anges löpa ut 8 månader efter den senaste användningen.

- SOCS: används av Google för att komma ihåg val beträffande kakor och anges ha en giltighetstid på 13 månader.

Tiderna avser Googles egna uppgifter om kakornas giltighet. De är inte en förteckning över kakor som alltid sätts på vår webbplats och innebär inte att uppgifter i Googles konton eller serverloggar raderas samtidigt. Se Googles information om kakor. policies.google.com

Profilering och automatiserat beslutsfattande
Personalisering kan innebära automatiserad analys av identifierare, visat innehåll eller interaktioner för att bedöma intressen och preferenser. Detta kan utgöra profilering. Rättslig grund, samtyckeskrav och rätt att invända beror på behandlingens ändamål och utformning. All profilering är inte ett sådant automatiserat beslut som omfattas av artikel 22 i GDPR. Om beslut fattas som omfattas av artikel 22 ska du få den information som krävs om den bakomliggande logiken, behandlingens betydelse och dess förutsedda följder. Sådana beslut får fattas endast när förordningens villkor är uppfyllda. När bestämmelsen föreskriver det har du rätt till mänskligt ingripande, att framföra din ståndpunkt och att bestrida beslutet.

Barn och ungdomar
Barns personuppgifter kräver särskilt skydd och information som är begriplig för dem. När en av informationssamhällets tjänster erbjuds direkt till ett barn som bor i Sverige och behandlingen grundas på samtycke gäller artikel 8 i GDPR och 2 kap. 4 § dataskyddslagen. Barnet kan lämna eget samtycke från 13 års ålder. För yngre barn krävs att samtycket lämnas eller godkänns av den som har föräldraansvar. Regeln gäller den behandling som omfattas av artikel 8. Den ersätter inte bestämmelserna om minderårigas rätt att ingå avtal och innebär inte någon allmän minimiålder för att läsa fritt tillgängliga nyhetsartiklar. www.riksdagen.se

Ändringar av denna integritetspolicy
Policyn kan uppdateras när tjänster, behandlingar eller rättsliga krav förändras. Innan personuppgifter används för ett nytt ändamål lämnas den information som lagen kräver. Nytt samtycke ska inhämtas när det behövs. Tystnad eller fortsatt användning av webbplatsen innebär inte samtycke till nya behandlingar. Du kan när som helst återkalla ett samtycke. Frågor om denna policy och behandlingen av personuppgifter kan skickas till [email protected].