Integritetspolicy

Gäller från den 20 oktober 2026

De flesta integritetspolicyer beskriver vad som händer när du gör något — när du begär ett utdrag, avregistrerar dig, ändrar en inställning.

Den mer användbara frågan är vad som händer när du inte gör någonting, eftersom det är vad nästan alla gör. Det är standardläget som avgör hur länge uppgifter finns kvar och vad som körs i bakgrunden.

Vår tidigare version hade ett tydligt svar för beställningar: vi sparar dina uppgifter tills du ber oss radera dem. Det är fel standardläge. Uppgifter ska försvinna av sig själva när skälet att ha dem tar slut — inte när någon kommer ihåg att be om det.

Den här sidan är därför en lista över standardlägen. Vad som händer om du aldrig hör av dig.

Personuppgiftsansvarig är Sundlunda. Besluten nedan är våra, och ansvaret också — även för det våra leverantörer gör på vårt uppdrag.

Standardläget, allt på ett ställe

Uppgift Om du inte gör någonting Försvinner
Namn, adresser, e-post, telefon, vad du köpt, belopp sparas, för att vi är skyldiga att göra det 7 år efter utgången av det kalenderår räkenskapsåret avslutades
Betalningsbekräftelse, fyra sista siffrorna, korttyp samma sak 7 år, med ordern
Konto, sparade adresser, orderhistorik ligger kvar så länge kontot finns när du tar bort kontot, plus 30 dagar för säkerhetskopior
Mejl till kundservice sparas så att vi kan se vad vi sagt 24 månader, eller 3 år vid reklamation eller tvist
Nyhetsbrev ingenting skickas om du inte aktivt tackat ja —
SMS ingenting skickas om du inte aktivt tackat ja —
Cookies utöver de nödvändiga körs inte förrän du sagt ja enligt listan i samtyckesbannern
Serverloggar samlas in automatiskt 90 dagar
Bedrägerikontroll vid beställning sparas med ordern 12 månader, eller 7 år om en betalningstvist uppstått
Statistik om besöket samlas inte in utan ditt ja 14 månader

Resten av sidan är de raderna, förklarade.

Beställningen: sju år, och sedan automatiskt borta

Det här är den post som den gamla formuleringen gjorde evig. Så ser det inte ut.

Vi är skyldiga att bevara räkenskapsinformation i sju år efter utgången av det kalenderår då räkenskapsåret avslutades (7 kap. 2 § bokföringslagen). Under den tiden kan vi inte radera uppgifterna ens om du ber om det — och efter den tiden försvinner de utan att någon behöver be om något.

Rättslig grund: fullgörande av avtalet fram till leverans (art. 6.1 b), därefter rättslig förpliktelse (art. 6.1 c).

Vad du kan få raderat tidigare: kontot, korrespondensen och marknadsföringsuppgifterna. Ber du om radering tar vi bort allt vi inte är skyldiga att behålla, och säger vilken del som blir kvar och varför i stället för att avslå hela begäran.

Kontot: det enda som verkligen kräver att du gör något

Ett konto ligger kvar tills du tar bort det. Det är avsiktligt — det är hela poängen med ett konto.

Du behöver inget. Köp som gäst ger samma rättigheter, samma pris och samma leveranstid. Väljer du konto lagras lösenordet krypterat; vi kan varken läsa det eller tala om vad det är.

Efter radering är kontot borta inom 30 dagar, vilket är den tid det tar för säkerhetskopior att rulla bort. Kvar blir bara orderposten ovan, på den rättsliga grund som beskrivs där.

Nyhetsbrev och SMS: ingenting händer av sig självt

Standardläget är tystnad. Vi skickar ingen marknadsföring om du inte aktivt har tackat ja.

Rättslig grund: samtycke (art. 6.1 a), och dessutom 19 § marknadsföringslagen, som kräver samtycke i förväg för marknadsföring via e-post och SMS. Har du handlat hos oss tillåter samma paragraf att vi skickar liknande erbjudanden på grundval av kundförhållandet — förutsatt att du fick möjlighet att tacka nej när vi fick adressen, och i varje meddelande därefter. Den möjligheten ger vi.

Vi sparar själva samtycket — datum, klockslag och den text du godkände — eftersom den som skickar marknadsföring måste kunna visa att det fanns ett ja. Det bevisar lika gärna motsatsen, vilket är bra för dig.

Avregistrering: länken längst ned i varje utskick, ett svar med STOPP på ett SMS, eller ett mejl till oss. Invändning mot direktmarknadsföring är ovillkorlig — ingen avvägning, vi slutar.

Och en sak som sällan skrivs ut: efter avregistrering ligger din adress kvar på en spärrlista utan slutdatum. Det enda sättet att aldrig mer skriva till någon är att komma ihåg att man inte ska. Listan kontrolleras före varje utskick och läggs aldrig till i en kampanj.

En rättelse till vår tidigare version: där stod att "vanliga meddelande- och datakostnader kan tillkomma" för SMS. Det är hämtat från amerikanska villkor. I Sverige betalar mottagaren ingenting för ett SMS från oss.

Ett köp hos oss är aldrig beroende av samtycke till marknadsföring.

Cookies: ingenting utöver det nödvändiga körs utan ditt ja

Den fullständiga och aktuella listan — varje cookie, vem som sätter den, vad den gör och hur länge den varar — finns i samtyckesbannern under "Inställningar". Den genereras av det som faktiskt körs, och är därför den lista som gäller.

Nödvändiga cookies. Varukorgen, kassan, inloggningen, säkerhetstoken och själva lagringen av ditt val i bannern. Vi frågar inte om samtycke till dessa, eftersom butiken inte fungerar utan dem.

Allt annat — funktion, statistik, marknadsföring — körs först efter att du sagt ja (9 kap. 28 § lagen om elektronisk kommunikation). Du kan ändra eller återkalla valet när som helst i samma banner; att återkalla ska vara lika lätt som att ge, och är det.

Webbläsarinställningar är inte samtycke hos oss. Du kan använda dem för att blockera eller radera cookies — det är ditt verktyg och fungerar oberoende av oss — men en inställning i webbläsaren räknas aldrig som ett ja.

Två rättelser till vår tidigare version. Den hänvisade till en extern sida om hur man stänger av cookies i webbläsaren, som om det vore lösningen; det är det inte, eftersom det inte är så samtycke lämnas. Och den innehöll en "Do Not Track"-paragraf som sade att vi inte ändrar något när webbläsaren skickar en sådan signal. Den punkten är hämtad från amerikanska mallar och saknar betydelse här, eftersom ingenting spårande startar innan du sagt ja.

Loggar och bedrägerikontroll: försvinner oavsett vad du gör

Serverloggar — IP-adress, webbläsare, operativsystem, vilken sida som hämtades och tidpunkt. Rättslig grund: berättigat intresse (art. 6.1 f) av att hålla butiken uppe och hitta orsaken när något går sönder. Raderas efter 90 dagar.

Bedrägerikontroll — IP-adressen beställningen kom från, om fakturerings- och leveransadress stämmer överens, resultatet av kortkontrollen. Rättslig grund: berättigat intresse, och intresset ska namnges: en beställning betald med stulet kort belastar butiken, och en vara skickad till en bedragare kostar den riktiga kortinnehavaren en eftermiddag i banken. Vi har vägt det mot dina intressen utifrån att en nekad beställning är avsevärt mindre besvärlig för dig än en beställning du inte gjort.

Ett system kan markera en beställning. Det kan inte annullera den. Vid en markering tittar en människa på den, och nekar vi kan du fråga varför, framföra din syn och få den prövad igen. Det håller behandlingen utanför artikel 22 om helautomatiserat beslutsfattande.

Mot båda dessa kan du invända (art. 21). Då måste vi visa tvingande berättigade skäl som väger tyngre än dina intressen — och bevisbördan för det är vår.

Vem som får uppgifterna

Två kategorier, och skillnaden spelar större roll än den ser ut att göra.

Personuppgiftsbiträden — agerar bara på våra instruktioner. Shopify (plattform, kassa, lagring av ordern), transportören (namn, leveransadress och en aviseringskontakt — inte vad du köpt och inte vad det kostade), och vår e-postleverantör. Med var och en finns ett skriftligt biträdesavtal enligt artikel 28: de behandlar bara det vi säger åt dem att behandla, får inte använda uppgifterna för egna ändamål, och ska radera eller återlämna dem på vår begäran.

Självständigt personuppgiftsansvariga — har egna skyldigheter och egna skäl. Betaltjänstleverantören, på grund av regelverken om betaltjänster och penningtvätt. Google, för sina egna annons- och analysprodukter. Deras egna policyer gäller vid sidan av vår i den delen.

Myndigheter, när lagen kräver det. Vi lämnar inte ut kunduppgifter på en artig förfrågan. Vi kontrollerar att den som frågar har rätt att fråga, lämnar det minsta den rätten omfattar, och berättar för dig där vi får göra det.

Vi säljer inte personuppgifter och delar dem inte med datamäklare, listbyggare eller någon som bygger en profil av dig för vidareförsäljning.

Var uppgifterna ligger

En del av våra leverantörer behandlar uppgifter utanför EES. Det är tillåtet bara på någon av grunderna i kapitel V i dataskyddsförordningen, och våra är dessa:

Vem Vad Var Grund
Shopify konto-, order- och användningsuppgifter Kanada och USA Beslut om adekvat skyddsnivå för Kanada; för USA EU–US Data Privacy Framework för certifierade mottagare, annars standardavtalsklausuler
Google statistik- och annonsuppgifter USA EU–US Data Privacy Framework eller standardavtalsklausuler
Betaltjänstleverantör betalnings- och transaktionsuppgifter EES och USA adekvansbeslut eller standardavtalsklausuler
Transportör namn, adress, aviseringskontakt Sverige ingen överföring ut ur EES

Fråga, så säger vi vilken grund en viss mottagare vilar på. Det är en fråga med ett svar, och du har rätt till det enligt artikel 13.1 f.

Dina rättigheter

Alla är kostnadsfria.

  • Tillgång — ett utdrag, med sammanhanget: varför vi har uppgifterna, vem som fått dem, hur länge vi sparar dem.
  • Rättelse av felaktiga och komplettering av ofullständiga uppgifter.
  • Radering, där vi inte längre har en grund. Sjuårsregeln ovan är undantaget, och vi säger vilken del den gäller.
  • Begränsning av behandlingen medan en fråga om riktighet eller grund utreds.
  • Invändning mot allt som vilar på berättigat intresse — och ovillkorligt mot direktmarknadsföring.
  • Dataportabilitet — de uppgifter du lämnat, i ett maskinläsbart format.
  • Återkalla samtycke, när som helst och lika lätt som du gav det. Det påverkar inte lagligheten av det vi gjort dessförinnan.
  • Att inte bli föremål för ett helautomatiserat beslut med rättslig verkan eller motsvarande betydelse.

Så gör du: mejla kundservice@sundlunda.com med "Integritet" i ämnesraden. Du behöver inte hänvisa till någon artikel — "skicka allt ni har om mig" är en fullgod begäran.

Vi svarar inom en månad. Är begäran särskilt komplicerad, eller kommer många samtidigt, kan vi förlänga med upp till två månader till — och då säger vi det inom den första månaden, med skälet.

Identitet. Vi kan be dig bekräfta vem du är, eftersom att lämna ut dina uppgifter till fel person vore det värre felet. Vi ber om det minsta som avgör saken — oftast ett svar från e-postadressen på beställningen. Vi kräver inte en kopia av legitimation för att besvara ett mejl.

Klagomål

Hör gärna av dig till oss först. Oavsett det kan du lämna klagomål till tillsynsmyndigheten, utan vår medverkan och utan att först gå via oss:

Integritetsskyddsmyndigheten (IMY) Box 8114, 104 20 Stockholm imy.se

Du kan också gå till domstol och begära skadestånd för skada — även icke-ekonomisk skada — till följd av överträdelser av dataskyddsreglerna.

Tre saker som brukar utelämnas

Om det sker en personuppgiftsincident

Går uppgifter förlorade, blir stulna eller kommer på avvägar utreder vi det omedelbart och anmäler till IMY inom 72 timmar när incidenten sannolikt medför en risk för fysiska personers rättigheter och friheter (art. 33). Är risken för dig hög underrättar vi dig också, utan onödigt dröjsmål och på vanlig svenska: vad som hänt, vilka uppgifter det gäller, vad vi gjort och vad du bör göra (art. 34).

Vi kallar det inte "en teknisk händelse" i ett mejl skrivet för att inte läsas klart.

Barn

Butiken vänder sig till vuxna. I Sverige får ett barn själv samtycka till informationssamhällets tjänster från 13 års ålder (2 kap. 4 § dataskyddslagen). Vi samlar inte medvetet in uppgifter om någon yngre. Tror du att ett barn lämnat uppgifter till oss — hör av dig, så raderar vi dem.

Säkerhet, ärligt

Krypterad anslutning på hela webbplatsen. Kortuppgifter når inte våra system — kortfälten i kassan tillhandahålls av betaltjänstleverantören. Lösenord lagras krypterade. Åtkomst till orderuppgifter är begränsad till dem som behöver den i arbetet och tas bort när de inte gör det. Leverantörer väljs bland annat utifrån säkerhet och binds av biträdesavtal.

Det vi inte kommer att skriva är att dina uppgifter är helt säkra, för det kan ingen garantera och meningen är värdelös. De kan vara väl skyddade, och ovanstående är vad vi gör. Brister det gäller stycket ovanför.

Ändringar

Ändrar vi något ändras datumet överst. Påverkar en ändring väsentligt vad vi gör med uppgifter vi redan har, säger vi det direkt — per mejl där vi har din adress — i stället för att låta det ligga här och upptäckas. Vi ber dig inte bevaka sidan. Tidigare versioner får du på begäran.

Kontakt
Butiksnamn Sundlunda
Företagsnamn Sundlunda
Adress Helga Görlins gata 1, 673 32 Charlottenberg, Sverige
E-post kundservice@sundlunda.com
Kundservicetider Mån–Fre: 09:00–17:00
Lör–Sön Stängt
Svarstid Inom 2 arbetsdagar