Integritetsmeddelande

Detta integritetsmeddelande förklarar hur Montandor Andorra S.L.U. ("Montandor", "vi") samlar in, använder, lagrar och skyddar dina personuppgifter när du besöker securitshop.com, gör en beställning eller interagerar med din särskilda landsansvarige (country-manager) via butikens chatt. Det är upprättat i enlighet med den andorranska dataskyddslagstiftningen (Llei Qualificada de Protecció de Dades, LQPD), EU:s dataskyddsförordning (EU 2016/679) när besökaren befinner sig inom Europeiska unionen, samt tillämpliga nationella dataskyddsregler i Europa där de är tillämpliga.

1. Personuppgiftsansvarig

Montandor Andorra S.L.U., med säte på Av. de les Nacions Unides 40, Edifici Monday – Oficina 211, AD700 Escaldes-Engordany, Furstendömet Andorra. För frågor om integritet eller för att utöva dina rättigheter, skicka e-post till [email protected] eller använd butikens chatt och välj kategorin "Privacy". Vi svarar inom de tidsfrister som fastställs i tillämplig lag och under alla omständigheter inom trettio (30) dagar.

2. Uppgifter vi samlar in

Vi samlar in fyra kategorier av uppgifter, strikt begränsade till vad som är nödvändigt för att fullgöra din beställning och hantera affärsrelationen:

• Konto- och beställningsuppgifter: fullständigt namn, företagsnamn (i förekommande fall), faktura- och leveransadresser, e-post, telefon, beställningsnummer, köphistorik. Dessa uppgifter är nödvändiga för att ingå och fullgöra köpeavtalet.
• Betalningsuppgifter: vi lagrar aldrig fullständiga kortnummer. Betalning behandlas av vår leverantör som är certifierad enligt PCI-DSS Level 1. Vi behåller endast transaktionstoken, kortets fyra sista siffror, kortnätverket (Visa, Mastercard, Amex), utgångsdatum och betalningsstatus, för bokförings- och bedrägeribekämpningsändamål.
• Leveransuppgifter: leveransadress, portkod, leveransinstruktioner, transportörens spårningsnummer (Chronopost, DHL Express). Delas endast med vår transportör och vår 3PL-logistikleverantör för att genomföra leveransen.
• Tekniska anslutningsuppgifter: IP-adress, användaragent, ungefärligt land, besökt sida, tidsstämpel. Matar våra åtkomstloggar för säkerhet, bedrägeriförebyggande och teknisk diagnostik.

Vi samlar inte in några känsliga uppgifter i den mening som avses i artikel 9 i GDPR (etniskt ursprung, politiska åsikter, religion, hälsa, sexuell läggning, medlemskap i fackförening, biometriska eller genetiska uppgifter).

3. Ändamål och rättslig grund

4. Lagringsperioder

• Beställnings- och faktureringsuppgifter: affärsrelationens varaktighet plus tio (10) år, i enlighet med andorranska och franska bokföringsskyldigheter.
• Betalningsuppgifter: tretton (13) månader för transaktionstoken och element för bedrägeribekämpning, i enlighet med CNIL:s vägledning och PCI-DSS-kraven.
• Inaktivt kundkonto: tre (3) år efter senaste inloggning, därefter radering eller anonymisering (med förbehåll för kvarstående bokföringsskyldigheter).
• Tekniska åtkomstloggar: tolv (12) månader, därefter automatisk radering.
• Aggregerad besökarmätning: tretton (13) rullande månader.
• Nyhetsbrev: tills du avregistrerar dig, omedelbart via länken i varje meddelande.

5. Mottagare och personuppgiftsbiträden

Insamlade uppgifter behandlas av vårt interna team och av ett begränsat antal tekniska personuppgiftsbiträden som är strikt nödvändiga för att genomföra din beställning:

• Infrastrukturvärd: Microsoft Azure, regionen West Europe. Uppgifter lagras inom EU.
• Betalning: kortbetalningar behandlas via Redsys (Redsys Servicios de Procesamiento, S.L., Spanien – EU), vår betalningsgateway certifierad enligt PCI-DSS Level 1, som hanterar insamling av kortuppgifter, auktorisering, 3-D Secure (PSD2 SCA) och bedrägerikontroll. Inlösande bank är Creand (Creand Crèdit Andorrà, S.A., Andorra), varvid Andorra omfattas av Europeiska kommissionens beslut om adekvat skyddsnivå (2010/625/EU). Vi tar aldrig emot eller lagrar fullständiga kortnummer.
• Logistik och frakt: 3PL-logistikleverantör i Frankrike (lagret i Grisolles, 82170) och transportörer (Chronopost, DHL Express) för sista milen-leverans.
• Transaktionell e-post: Mailgun (EU), för att leverera bekräftelser, fakturor och leveransaviseringar.
• Microsoft 365-tjänster: intern professionell e-post, kalendrar, dokumentation. Montandor-tenant.
• Fraktpriser från flera transportörer: Upela (Upela SAS, Frankrike), en transportöraggregator som avfrågar Chronopost, Colissimo, DPD, MondialRelay, UPS, FedEx och DHL. Endast uppgifter som är strikt nödvändiga för offerten skickas: destinationspostnummer, ort, paketvikt och mått. Inga personuppgifter skickas i detta skede.
• Adressautomatkomplettering: Google Maps Platform — Maps JavaScript API och Places API (Google Ireland Limited). Google-skriptet laddas först efter din första interaktion med fältet "leveransadress". Se policies.google.com/privacy.
• Fransk företagssökning (SIRET / SIREN): det franska statliga företagsregistret via recherche-entreprises.api.gouv.fr (DataGouv, Direction interministérielle du numérique). Offentliga INSEE/Sirene-uppgifter återanvända under Licence Ouverte 2.0. För B2B-köp i Frankrike kompletteras detta med API:et från societe.com (Société.com SAS, Frankrike).
• Validering av EU-momsnummer: Europeiska kommissionens system VIES (DG TAXUD), enligt rådets förordning (EU) nr 904/2010. Endast det momsnummer du anger skickas.

Varje personuppgiftsbiträde är bundet av ett personuppgiftsbiträdesavtal (DPA) som omfattar de erforderliga avtalsrättsliga, organisatoriska och tekniska skyddsåtgärderna, med undantag för offentliga tjänster som återanvänds under öppen licens (DataGouv, VIES) och som inte grundar sig på ett bilateralt DPA. Den aktuella förteckningen finns tillgänglig på begäran via [email protected].

6. Internationella överföringar

Insamlade uppgifter lagras och behandlas inom Europeiska ekonomiska samarbetsområdet (Microsoft Azure West Europe, franskt logistiklager). En överföring till Furstendömet Andorra kan äga rum för interna administrativa åtgärder — Andorra omfattas av ett beslut om adekvat skyddsnivå från Europeiska kommissionen (2010/625/EU), vilket garanterar en skyddsnivå som anses likvärdig. Ingen överföring till ett tredjeland utan beslut om adekvat skyddsnivå sker utan standardavtalsklausuler eller likvärdiga skyddsåtgärder.

7. Säkerhet

Vi vidtar rimliga tekniska och organisatoriska åtgärder för att skydda dina uppgifter: end-to-end-kryptering med TLS 1.3, tokeniserad betalning (PCI-DSS Level 1), strikt åtkomstkontroll till interna system, åtkomstloggning, flerfaktorsautentisering för administratörskonton, dagliga krypterade säkerhetskopior, åtskillnad mellan produktions- och testmiljöer samt regelbundna säkerhetsgranskningar. I händelse av en incident som sannolikt medför en risk för dina rättigheter och friheter underrättar vi den behöriga tillsynsmyndigheten inom 72 timmar och, om risken är hög, informerar vi dig direkt.

8. Automatiserade beslut och profilering

Inget beslut som har rättsliga följder eller på ett betydande sätt påverkar besökare fattas genom helt automatiserad behandling. Vi tillämpar automatiserade regler för bedrägeribekämpning på betalningstransaktioner (adressverifiering, upptäckt av misstänkt beteende); varje beslut om blockering eller annullering kan bestridas genom att skicka e-post till [email protected] och utlöser en mänsklig granskning av en medlem i vårt team.

9. Dina rättigheter

Enligt GDPR och den andorranska LQPD har du följande rättigheter avseende de uppgifter som rör dig:

• Rätt till tillgång till dina uppgifter.
• Rätt till rättelse av oriktiga uppgifter.
• Rätt till radering ("rätten att bli bortglömd") på de villkor som fastställs i lag.
• Rätt till begränsning av behandlingen.
• Rätt till dataportabilitet av dina uppgifter till en annan personuppgiftsansvarig.
• Rätt att invända mot behandling som grundar sig på berättigat intresse.
• Rätt att återkalla samtycke när som helst för behandling som grundar sig på samtycke (t.ex. nyhetsbrev).
• Rätt att fastställa anvisningar för tiden efter dödsfall.
• Rätt att lämna in ett klagomål till den andorranska dataskyddsmyndigheten (APDA), franska CNIL eller din lokala tillsynsmyndighet inom EU.

För att utöva dina rättigheter, skicka e-post till [email protected] eller använd butikens chatt och välj "Privacy". Rimligt bevis på identitet kan begäras för att förhindra identitetsintrång.

10. Ändringar av detta meddelande

Detta meddelande kan komma att ändras. Datumet för senaste uppdatering visas överst på sidan. Väsentliga ändringar (byte av personuppgiftsansvarig, ändring av ändamål, tillägg av ett nytt större personuppgiftsbiträde) kommer att framhävas via en särskild informationsbanner under trettio (30) dagar.