Integritetspolicy

Senast uppdaterad: 13 augusti 2026

Denna policy beskriver hur Zewinu AB (org.nr 559395-8266), nedan kallat "Zewinu", behandlar personuppgifter. Zewinu är personuppgiftsansvarig för den behandling som beskrivs här.

Zewinu tillhandahåller teknisk plattform, betalningsförmedling och identitetsverifiering till tredjepartstjänster ("Leverantören"). Policyn omfattar de tjänsterna. Leverantörens egen verksamhet — community, konton, chatt och support — beskrivs i Leverantörens egen integritetspolicy.

1. Vad denna policy täcker

Policyn gäller Zewinus egen behandling:

• Besök på zewinu.se
• Betalningsförmedling via Swish
• Frivillig BankID-verifiering som Zewinu tillhandahåller som tjänst till en Leverantör

Den gäller inte Leverantörens egen behandling av medlemskap, ärenden, chatt, bottar eller speldata.

2. Besök på zewinu.se

Webbplatsen använder inga analysverktyg, annonspixlar eller marknadsföringscookies. Serverloggar kan tillfälligt innehålla IP-adress och user-agent för drift och säkerhet och rensas löpande.

3. Betalningsförmedling

När du betalar via Zewinus plattform behandlar vi de uppgifter som behövs för att genomföra och dokumentera köpet:

• IP-adress och webbläsarinformation (för att kunna visa att samtycke lämnats)
• Betalningsreferenser (Swish-transaktions-ID)
• Tidpunkt och version av lämnat samtycke
• Belopp och vilken Leverantör köpet avser

Rättslig grund är att avtalet ska kunna fullgöras (artikel 6.1 b i GDPR) samt rättslig förpliktelse enligt bokföringslagen (artikel 6.1 c). Köpvillkoren finns på zewinu.se/kopvillkor.

Zewinu ansvarar för betalningsförmedlingen. Den digitala varan eller tjänsten tillhandahålls av Leverantören.

4. BankID-verifiering

Zewinu tillhandahåller frivillig BankID-verifiering som en tjänst till Leverantören. Syftet är att bekräfta att ett konto tillhör en verklig, myndig fysisk person (eller en omyndig person med vårdnadshavares samtycke). Detta används för att:

• Låta Leverantören ge kontot verifierad status och tillhörande åtkomst
• Motverka att samma person verifierar flera konton hos samma Leverantör
• Upprätthålla spärrar mot avstängda personer
• Notifiera Leverantören om att kontot är verifierat (utan personnummer)

5. Vilka uppgifter som behandlas vid BankID-verifiering

• Personnummer (hämtas från BankID vid signering)
• Namn (hämtas från BankID)
• Konto-ID hos Leverantören (till exempel ett Discord-ID från den inloggade sessionen)
• Typ av verifiering (eget BankID eller signering som vårdnadshavare) samt tidpunkt

6. Hur BankID-uppgifterna skyddas

Zewinu har byggt behandlingen för att minimera exponering av ditt personnummer:

• Ditt personnummer omvandlas till en enkelriktad kryptografisk hash (SHA-256 med hemlig salt). Hashen används enbart för att upptäcka dubbletter — den kan inte räknas tillbaka till ditt personnummer.
• Personnummer och namn lagras krypterade med AES-256-GCM. Klartext lagras aldrig.
• Personnumret i klartext finns endast flyktigt i minnet under själva verifieringsögonblicket och kasseras direkt efter kryptering och hashning.
• I den löpande driften dekrypteras uppgifterna aldrig. Dekryptering kan endast ske i ett särskilt, spärrat utlämningsförfarande som kräver en separat hemlighet, och sker bara vid rättslig skyldighet eller en styrkt begäran från den registrerade.

7. Rättslig grund för BankID-verifiering

Behandlingen grundar sig på ditt uttryckliga samtycke (artikel 6.1 a i GDPR), som du lämnar aktivt via en kryssruta innan verifieringen påbörjas, samt på berättigat intresse (artikel 6.1 f) av att kunna upprätthålla en trygg tjänst fri från fusk och kringgångna avstängningar. Behandling av personnummer sker med stöd av 3 kap. 10 § dataskyddslagen (2018:218), då det är motiverat med hänsyn till ändamålet med säker identifiering.

8. Vårdnadshavare och omyndiga

En omyndig person kan verifieras genom att en vårdnadshavare signerar med sitt eget BankID och intygar sitt samtycke. Vårdnadshavarens personnummer behandlas då på samma skyddade sätt som beskrivs ovan, uteslutande för att koppla verifieringen till den omyndiges konto.

9. Mottagare och personuppgiftsbiträden

• Getswish / Swish — betalningen genomförs i Swish Handel
• Criipto — leverantör av BankID-inloggningen (identifieringen sker hos Criipto och det svenska BankID-systemet)
• Discord — om Leverantören använder Discord för att sätta eller dra roller kopplade till verifieringen
• Leverantören — tar emot en notis om att kontot är verifierat eller att en betalning är genomförd (inte personnummer)

Inga personnummer lämnas ut till Leverantören eller till tredje part i marknadsföringssyfte. Uppgifter säljs aldrig vidare.

10. Lagringstid

Betalnings- och samtyckesuppgifter lagras så länge det krävs enligt bokföringslagen och för att fullgöra rättsliga förpliktelser.

De krypterade BankID-uppgifterna och dedup-hashen lagras så länge kontot är verifierat. Du kan när som helst begära att verifieringen tas bort via den tjänst där du verifierade dig; efter godkänd borttagning raderas posten och tillhörande roller och åtkomst dras. En spärr (mot avstängd person) kan bevaras så länge det är nödvändigt för att spärren inte ska kunna kringgås.

11. Dina rättigheter

Du har enligt GDPR rätt att:

• Begära tillgång till de uppgifter som behandlas om dig
• Begära rättelse av felaktiga uppgifter
• Begära radering ("rätten att bli bortglömd") och att återkalla ditt samtycke
• Invända mot behandling som grundas på berättigat intresse
• Lämna klagomål till tillsynsmyndigheten Integritetsskyddsmyndigheten (IMY)

Begäran görs till [email protected]. Zewinu kan komma att begära skälig dokumentation för att styrka din identitet innan en begäran verkställs.

12. Tillämplig lag

Behandlingen lyder under svensk lag och EU:s dataskyddsförordning (GDPR). Tillsynsmyndighet är Integritetsskyddsmyndigheten (IMY).

13. Kontakt

Zewinu AB
Org.nr 559395-8266
Box 2541, 116 74 Stockholm
E-post: [email protected]

---