Integritetspolicy
Senast uppdaterad: 19 oktober 2026
1. Personuppgiftsansvarig
Ourroots AB är personuppgiftsansvarig för behandlingen av dina personuppgifter.
2. Vilka uppgifter vi samlar in
Vi samlar in följande kategorier av personuppgifter:
- Kontaktuppgifter — namn, e-postadress, telefonnummer och leveransadress vid köp eller kontaktformulär.
- Beställningsuppgifter — ordernummer, produkter, belopp och betalningsreferens.
- Kontouppgifter — e-post och lösenord (hashat) för klubb- och säljarportalen.
- Håranalys — e-postadress, uppladdade bilder och svar på frågeformulär. Bilderna lagras enbart under analysens gång och raderas automatiskt efteråt.
- Teknisk data — IP-adress, webbläsartyp och sidvisningar. Besöksstatistik via Google Analytics samlas bara in om du har godkänt analyscookies.
3. Ändamål och laglig grund
- Fullgöra avtal — behandla beställningar, leveranser och kundservice (Art. 6.1 b GDPR).
- Berättigat intresse — förbättra våra tjänster, analysera aggregerad användningsstatistik och förhindra missbruk (Art. 6.1 f GDPR).
- Samtycke — skicka nyhetsbrev och marknadsföring samt mäta besöksstatistik med Google Analytics om du har godkänt analyscookies. Du kan när som helst återkalla ditt samtycke (Art. 6.1 a GDPR).
- Rättslig förpliktelse — bokföring och skattelagstiftning kräver att vi sparar vissa uppgifter (Art. 6.1 c GDPR).
4. Hur länge vi sparar uppgifter
- Beställningsdata — 7 år (bokföringslagen).
- Kontouppgifter — tills kontot raderas.
- Håranalysbilder — raderas direkt efter analys.
- Nyhetsbrevsprenumeration — tills du avregistrerar dig.
- Besöksstatistik i Google Analytics — 14 månader, sedan raderas den automatiskt.
5. Mottagare av uppgifter
Vi delar personuppgifter med följande kategorier av mottagare, alltid med lämpliga skyddsåtgärder:
- Betalningsleverantör — för att hantera transaktioner.
- Fraktbolag — för leverans av fysiska produkter.
- Fortnox — bokföring och fakturering.
- OpenAI — håranalys samt AI-chatt (både publik chatt-widget och portal-assistent). Data skickas krypterat och lagras inte av OpenAI för träning enligt vår enterprise-konfig.
- Google (Google Ireland Ltd) — Google Analytics 4 för besöksstatistik, bara om du har godkänt analyscookies. Googles annonsfunktioner används inte.
- Hosting-leverantör (Railway) — infrastruktur inom EU/EES.
6. Överföring utanför EU/EES
Vi strävar efter att hålla all data inom EU/EES. Vid överföring till tredje land (t.ex. OpenAI:s och Googles servrar i USA) säkerställer vi att det finns adekvata skyddsåtgärder, såsom EU-kommissionens standardavtalsklausuler (SCC) eller beslut om adekvat skyddsnivå.
7. Dina rättigheter
Enligt GDPR har du rätt att:
- Få tillgång till dina personuppgifter (registerutdrag).
- Rätta felaktiga uppgifter.
- Radera uppgifter ("rätten att bli glömd").
- Begränsa behandlingen.
- Invända mot behandling baserad på berättigat intresse.
- Dataportabilitet — få ut dina uppgifter i maskinläsbart format.
- Återkalla samtycke för nyhetsbrev och marknadsföring.
Du kan utöva dina rättigheter på två sätt. Snabbast är att maila hej@roots.nu från den e-postadress vi har registrerad på dig. För formella förfrågningar — t.ex. fullmakt eller om du vill att svaret ska postas — skicka brev till Ourroots AB, märk kuvertet "Dataskydd".
Vi besvarar förfrågningar inom 30 dagar enligt GDPR Art. 12.3.
9. Säkerhet
Vi vidtar tekniska och organisatoriska åtgärder för att skydda dina uppgifter, inklusive kryptering (TLS), hashade lösenord (Argon2id), åtkomstkontroll och regelbunden säkerhetsöversyn.
10. Klagomål
Om du anser att vi hanterar dina personuppgifter felaktigt har du rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), www.imy.se.
11. Ändringar
Vi kan uppdatera denna policy. Väsentliga ändringar meddelas via e-post eller på webbplatsen. Datumet längst upp visar senaste versionen.