Integritetspolicy

Personuppgiftsansvarig är ToCar Oy (FO-nummer 3636957-1), Uutistie 7, 01770 Vanda.

Förfrågningar och frågor om dataskydd kan skickas till support@tocar.fi.

ToCar Oy är personuppgiftsansvarig för personuppgifterna i grupperna A–F som beskrivs i avsnitten 3–8 nedan. Till dessa hör till exempel uppgifter om verkstadens kontoinnehavare, verkstadens anställda användare, personer som skickar en demoförfrågan och webbplatsens besökare.

Med verkstad avser vi i denna policy ett företag som har registrerat sig som kund i tjänsten. För de uppgifter som verkstaden lagrar i tjänsten om sina egna kunder, fordon och arbetsorder är verkstaden personuppgiftsansvarig och ToCar Oy personuppgiftsbiträde. Den behandlingen regleras av personuppgiftsbiträdesavtalet (/data-processing-agreement).

Om en verkstad behandlar dina uppgifter, kontakta den verkstaden. En förfrågan som av misstag skickats till oss vidarebefordrar vi till rätt verkstad, och vi meddelar dig att den har vidarebefordrats.

Till denna grupp hör de personer som registrerar en verkstad i tjänsten eller administrerar verkstadens konto, samt verkstadens faktureringskontakter.

Ändamål	Uppgifter	Rättslig grund	Lagringstid
Skapande och administration av användarkontot samt tillhandahållande av tjänsten till verkstaden	Namn, e-postadress, telefonnummer, användarroll, språkval, verkstadens namn, FO-nummer och adress	Artikel 6.1 b (avtal)	Avtalsperioden + 90 dagar
Bevis på godkännande av avtalet	Versionerna av de godkända villkoren, tidpunkten för godkännandet, IP-adress och webbläsarinformation	Artikel 6.1 b (avtal)	Avtalsperioden + 90 dagar
Fakturering och hantering av betalningar	Faktureringse-post, faktureringsadress, fakturor, betalningstransaktionens identifierare, belopp och status	Artikel 6.1 b (avtal)	Avtalsperioden + 90 dagar; bokföringsmaterial under den tid som anges nedan
Kortbetalningar	Betalningens identifierare, belopp och status; kortbetalningen genomförs av Mollie B.V. som självständig personuppgiftsansvarig	Artikel 6.1 b (avtal)	Avtalsperioden + 90 dagar
Bokföring	Fakturor och betalningsverifikationer	Artikel 6.1 c (rättslig förpliktelse); bokföringslagen (1336/1997) 2 kap. 10 §	Bokföringsmaterial i tio år och verifikationer i sex år från räkenskapsperiodens utgång
Anslutning av verkstadens egen e-posttjänst (valfritt)	E-posttjänstens inloggningsuppgifter eller auktoriseringstoken, krypterade	Artikel 6.1 b (avtal)	Avtalsperioden + 90 dagar
Säkerhet och utredning av missbruk	Inloggnings- och händelseloggar, sessionsuppgifter, IP-adress, webbläsarinformation, felrapporter	Artikel 6.1 f (berättigat intresse: skydd av tjänsten och uppgifterna)	Händelseloggar 90 dagar; avslutade sessioner 30 dagar; applikationsloggar högst 14 dagar; felrapporter 30 dagar

Avtalsperioden + 90 dagar innebär att vi raderar kontot och verkstadens uppgifter 90 dagar efter att avtalet upphört. Bokföringsmaterial bevarar vi därefter under den tid som bokföringslagen 2 kap. 10 § kräver.

De uppgifter som begärs vid registreringen och för faktureringen är en förutsättning för att ingå avtalet. Utan dem kan användarkontot inte skapas och tjänsten inte faktureras. Att lämna andra uppgifter är frivilligt.

Till denna grupp hör de personer som verkstaden har bjudit in som användare av tjänsten, till exempel mekaniker och arbetsledare. Avtalet om tjänsten är verkstadens och inte den anställdas, och därför behandlar vi den anställda användarens uppgifter med stöd av berättigat intresse. Det berättigade intresset är att tillhandahålla tjänsten till verkstaden, som själv har valt sina användare.

Ändamål	Uppgifter	Rättslig grund	Lagringstid
Skapande av användarkontot och tillhandahållande av tjänsten till verkstaden	Namn, e-postadress, telefonnummer, användarroll, språkval	Artikel 6.1 f (berättigat intresse: tillhandahållande av tjänsten till verkstaden)	Avtalsperioden + 90 dagar
Säkerhet och utredning av missbruk	Inloggnings- och händelseloggar, sessionsuppgifter, IP-adress, webbläsarinformation, felrapporter	Artikel 6.1 f (berättigat intresse: skydd av tjänsten och uppgifterna)	Händelseloggar 90 dagar; avslutade sessioner 30 dagar; applikationsloggar högst 14 dagar; felrapporter 30 dagar

En anställd användare kan invända mot behandling som grundar sig på berättigat intresse på det sätt som beskrivs i avsnitt 12. Användarkontot raderas av verkstaden eller av ToCar på verkstadens begäran. En anställd användare kan också skicka en begäran om radering eller invändning direkt till oss, och vi bedömer den enligt dataskyddsförordningen. Uppgifterna om en anställd användare får vi från den verkstad som bjuder in användaren.

När du bokar en demo på vår webbplats behandlar vi de uppgifter du lämnar: namn, verkstadens namn, e-postadress, telefonnummer, uppgift om ditt nuvarande system samt formulärets fritextfält. Vi registrerar dessutom tidpunkten för inlämningen, språkvalet, IP-adressen och webbläsarinformationen samt identifierarna för den marknadsföringskampanj du kom via.

Syftet är att svara på din förfrågan och att förbereda ett eventuellt avtal. De rättsliga grunderna är åtgärder före ingående av avtal och berättigat intresse. Uppgifter om demoförfrågningar bevaras i 24 månader från den senaste kontakten, varefter de raderas automatiskt.

Om du ger separat samtycke till marknadsföring behandlar vi också dina kontaktuppgifter för detta ändamål med stöd av samtycke. Marknadsföring till fysiska personer skickar vi endast med samtycke. Vi registrerar tidpunkten för samtycket, versionen av den godkända texten, IP-adressen och webbläsarinformationen för att kunna visa samtycket.

Du kan när som helst återkalla samtycket. Som registrerad användare återkallar du samtycket med inställningen "Marknadsföring per e-post" på din profilsida, och i alla fall kan du återkalla det per e-post till support@tocar.fi. Återkallandet påverkar inte lagligheten av den behandling som utförts före återkallandet.

Ändamål	Uppgifter	Rättslig grund	Lagringstid
Svar på demoförfrågan och förberedelse av avtal	Namn, verkstadens namn, e-postadress, telefonnummer, nuvarande system, meddelande, tidpunkt för inlämning, språkval, IP-adress, webbläsarinformation, kampanjidentifierare	Artikel 6.1 b (åtgärder före ingående av avtal) och 6.1 f (berättigat intresse: svar på förfrågan)	24 månader från den senaste kontakten
Marknadsföring till fysiska personer	Namn, e-postadress, tidpunkt för samtycket, version av den godkända texten, IP-adress, webbläsarinformation	Artikel 6.1 a (samtycke) och 200 § i lagen om tjänster inom elektronisk kommunikation (917/2014)	Tills samtycket återkallas; uppgiften om samtycket och dess återkallande under användarkontots lagringstid

Till denna grupp hör de personer som kontaktar oss per e-post eller på annat sätt, till exempel med en supportförfrågan eller en förfrågan om dataskydd. Våra e-postlådor finns hos Infomaniak Network SA (Schweiz), som behandlar meddelandena för vår räkning som personuppgiftsbiträde.

Ändamål	Uppgifter	Rättslig grund	Lagringstid
Svar på supportförfrågningar, förfrågningar om dataskydd och andra kontakter	Namn, e-postadress, verkstad, meddelandets innehåll och bilagor, tidpunkter för meddelandena	Artikel 6.1 b (avtal) när kontakten gäller verkstadens avtal; annars 6.1 f (berättigat intresse: svar på kontakter)	24 månader från att ärendet avslutats

Till denna grupp hör besökarna på våra offentliga sidor, såsom startsidan, registreringssidan och denna policy. På de offentliga sidorna använder vi en sessionskaka och den skyddskaka (CSRF) som behövs för att säkra formulär. Vi använder också Plausible Analytics för besöksstatistik; tjänsten placerar inga analyskakor. Vi använder inga andra kakor på de offentliga sidorna.

Ändamål	Uppgifter	Rättslig grund	Lagringstid
Webbplatsens drift och säkerhet	Serverloggar: IP-adress, webbläsarinformation, begärd sida och tidpunkt	Artikel 6.1 f (berättigat intresse: skydd av webbplatsen och felsökning)	Högst 14 dagar
Formulärens funktion	Sessionskaka och skyddskaka (CSRF)	Artikel 6.1 f (berättigat intresse: webbplatsens drift)	Under sessionen
Besöksstatistik	Sidans sökväg, hänvisande webbplats, kampanjparametrar, typ av webbläsare och enhet, land, dagsbunden besökaridentifierare samt uppgifter om sidvisningar och sessioner	Artikel 6.1 f (berättigat intresse: utveckling av tjänsten)	Enligt lagringsgränsen för den valda Plausible-prenumerationen: högst 3 år med Starter och Growth eller högst 5 år med Business.

För att mäta besökartrafiken på vår webbplats använder vi Plausible Analytics (Plausible Insights OÜ, Estland). Tjänsten lagrar uppgifter om sidvisningar och sessioner och visar statistiken i sammanställd form. Den lagrar inte råa IP-adresser eller fullständiga User-Agent-strängar från webbläsare, men härleder bland annat land, typ av webbläsare och enhet samt en dagsbunden besökaridentifierare från dem. Den rättsliga grunden är vårt berättigade intresse av att utveckla tjänsten. Plausible behandlar webbplatsens besöksdata för ToCars räkning som personuppgiftsbiträde inom Europeiska unionen. Analysen gäller inte uppgifter som våra kunder lagrar i Tjänsten, och Plausible finns därför inte i vår kundinriktade förteckning över underbiträden.

Vi hämtar uppgifter från två externa källor. Vardera källan är självständig personuppgiftsansvarig för sin egen behandling.

Ändamål	Uppgifter	Rättslig grund	Lagringstid
Komplettering av verkstadens företagsuppgifter vid registreringen	Företagets namn och adress som hämtas med FO-numret från Patent- och registerstyrelsens (PRS) öppna datatjänst	Artikel 6.1 b (avtal)	Avtalsperioden + 90 dagar
Sökning av fordonsuppgifter på verkstadens begäran	Det registreringsnummer som verkstaden anger skickas till tjänsten Biluppgifter (Sverige), som returnerar fordonets uppgifter	Behandling för verkstadens räkning som personuppgiftsbiträde enligt personuppgiftsbiträdesavtalet	Som uppgifter lagrade av verkstaden, enligt personuppgiftsbiträdesavtalet

En fordonssökning startas alltid av verkstaden. Biluppgifter får vid sökningen endast registreringsnumret och behandlar det som självständig personuppgiftsansvarig.

Vi säljer inte personuppgifter. För att tillhandahålla tjänsten använder vi tjänsteleverantörer som behandlar personuppgifter för vår räkning som personuppgiftsbiträden. Tjänsteleverantörer som behandlar verkstädernas uppgifter är våra underbiträden för dessa uppgifter, och den aktuella underbiträdesförteckningen finns på /subprocessors. Plausible Analytics behandlar webbplatsens besöksdata för vår räkning och är inte underbiträde för verkstädernas uppgifter.

Följande mottagare är självständiga personuppgiftsansvariga som ansvarar för sin egen behandling:

• Mollie B.V. (Nederländerna): ToCar Oy:s egen kortfakturering samt de betalningslänkar som verkstäderna skickar till sina kunder;
• Biluppgifter (Sverige): sökning av fordonsuppgifter med registreringsnummer på verkstadens begäran;
• Patent- och registerstyrelsen (PRS): sökning av företagsuppgifter vid registreringen; samt
• myndigheter: vi lämnar ut uppgifter när lagen förpliktar oss till det, till exempel på en myndighets lagenliga begäran.

En verkstad kan ansluta sin egen e-posttjänst till tjänsten. Då är den tjänsteleverantören verkstadens eget personuppgiftsbiträde, och ToCar Oy lagrar anslutningens inloggningsuppgifter krypterade.

Tjänstens uppgifter finns i Finland. Följande personuppgiftsbiträden är etablerade utanför Europeiska ekonomiska samarbetsområdet (EES) eller kan behandla uppgifter utanför det:

• Laravel Forge (Laravel Holdings, Inc., Förenta staterna), serveradministration: överföringsgrunden är dataskyddsramen mellan EU och Förenta staterna (EU-U.S. Data Privacy Framework), som företaget är certifierat enligt, och i andra hand Europeiska kommissionens standardavtalsklausuler (beslut (EU) 2021/914);
• Sentry (Functional Software, Inc., Förenta staterna), felrapportering: uppgifterna lagras i en dataregion inom EU, och det amerikanska företaget omfattas av dataskyddsramen och i andra hand av standardavtalsklausulerna; samt
• Infomaniak Network SA (Schweiz), e-postlådor: Schweiz omfattas av Europeiska kommissionens beslut om adekvat skyddsnivå.

Du får en kopia av överföringsgrunden genom att begära den från support@tocar.fi.

Vi skyddar personuppgifter med tekniska och organisatoriska åtgärder, såsom åtkomstkontroll, loggning och säkerhetskopiering. För verkstadskunder beskrivs åtgärderna i personuppgiftsbiträdesavtalet (/data-processing-agreement). Vi anmäler personuppgiftsincidenter enligt artiklarna 33 och 34 i dataskyddsförordningen.

Enligt dataskyddsförordningen har du rätt att:

• få tillgång till de personuppgifter som gäller dig;
• begära rättelse av felaktiga uppgifter;
• begära radering av uppgifter;
• begära begränsning av behandlingen;
• invända mot behandling som grundar sig på berättigat intresse;
• få de uppgifter du lämnat i ett överförbart format när behandlingen grundar sig på avtal eller samtycke; samt
• när som helst återkalla ditt samtycke, vilket inte påverkar lagligheten av den behandling som utförts före återkallandet.

Skicka din begäran till support@tocar.fi. Vi bekräftar din identitet innan begäran verkställs, till exempel genom att svara till den e-postadress som är kopplad till ditt konto eller genom att be om ytterligare uppgifter. Vi svarar på begäran senast inom en månad från att vi tagit emot den.

Om du anser att vi behandlar dina uppgifter lagstridigt kan du lämna in ett klagomål till tillsynsmyndigheten. I Finland är tillsynsmyndigheten Dataombudsmannens byrå (Tietosuojavaltuutetun toimisto), vars anvisningar finns på tietosuoja.fi.

Vi fattar inga beslut som enbart grundar sig på automatiserad behandling och som har rättsliga följder för dig eller på liknande sätt i betydande grad påverkar dig i den mening som avses i artikel 22 i dataskyddsförordningen.

Tjänsten är avsedd för företagsbruk och riktar sig inte till barn. Vi samlar inte medvetet in barns personuppgifter för våra egna ändamål.

Vi kan uppdatera denna policy när behandlingen, lagstiftningen eller tjänsten ändras. Policyns version är det datum som visas i början av policyn. Vid registreringen registrerar vi den version som användaren har tagit del av.

Väsentliga ändringar meddelar vi till verkstadens faktureringse-post 30 dagar innan ändringen träder i kraft.

Varje publicerad version finns tillgänglig oförändrad i arkivet på /legal-archive/privacy/{version}, där {version} är policyns datum i formen ÅÅÅÅ-MM-DD, till exempel /legal-archive/privacy/2026-04-04.

Om språkversionerna strider mot varandra gäller den finska versionen.