CR80 – integritetspolicy
Version 1.1 · 19 september 2026
1. Ansvarig och kontakt
CR80 på cr80.se drivs av Premex AB, organisationsnummer 559253-4134, Jerikovägen 12, 141 32 Huddinge, Sverige. Vår dataskyddskontakt är contact@premex.se. Du kan kontakta oss digitalt för frågor, reklamationer och begäranden om dina personuppgifter; du behöver inte ringa eller ha ett CR80-konto.
Premex är personuppgiftsansvarig när vi bestämmer varför och hur uppgifter behandlas för vår egen verksamhet, exempelvis för konton, kundrelationer, beställningar, fakturering och skydd av tjänsten. För kortuppgifter som vi behandlar på en organisations uppdrag är vi i stället personuppgiftsbiträde enligt avsnitt 2.
2. Kortuppgifter, organisationer och privatbeställningar
En arbetsgivare, förening eller annan organisation bestämmer normalt vilka personer som ska få kort och vilka uppgifter korten ska innehålla. Organisationen är då personuppgiftsansvarig för kortuppgifterna. Den ansvarar för rättslig grund, information till kortinnehavarna, riktighet och att inte lägga in fler uppgifter än nödvändigt. Premex behandlar uppgifterna enligt organisationens instruktioner och ansvarar samtidigt för sina egna skyldigheter som biträde, bland annat säkerhet och lagenlig hantering.
Organisationsanvändning som innebär att kortuppgifter behandlas på CR80:s server förutsätter ett personuppgiftsbiträdesavtal. Organisationens behöriga företrädare godkänner avtalet i CR80. Det gäller även när organisationen använder egna skrivare, inte bara när den beställer tryckta kort. Ett tryckeri som använder CR80 för sin kunds räkning kan självt vara biträde och Premex dess underbiträde.
I direktkassan skiljer vi mellan organisationsuppdrag och beställningar för helt privat bruk eller det egna hushållet. Privatvalet får inte användas för exempelvis arbetsgivarens eller föreningens kort. Bekräftelsen att du har läst denna information är inte ett generellt samtycke från alla personer på korten. Att din egen privata hantering kan omfattas av hushållsundantaget innebär inte att Premex behandling undantas från GDPR.
CR80 och anslutna tryckerier har separata konton och behörigheter. Samma e-postadress ger inte ett gemensamt konto eller automatisk åtkomst mellan produkterna. Tryckkort är en verksamhet inom Premex AB. Produktion där sker alltså inom samma juridiska person, även om systemen och varumärkena är separata. Om du själv beställer direkt av ett annat tryckeriföretag ansvarar det företaget för sin egen behandling och ska lämna information om den.
3. Vilka uppgifter behandlar vi?
Behandlingen beror på vilka funktioner du använder:
| Uppgifter | Exempel och källa |
|---|---|
| Konto och organisation | Namn, e-post, kontoidentifierare, organisationsuppgifter, medlemskap, roller samt uppgifter för inloggning och verifiering. Lämnas av dig eller organisationens administratör och uppkommer när kontot används. |
| Kortunderlag och designer | Text, foton, andra bilder, signaturer, personlistor, personal- eller medlemsidentifierare och innehåll i QR-koder, chip eller magnetremsor. Lämnas av dig, din organisation eller dess behöriga integration. |
| Köp och leverans | Beställarens och mottagarens kontaktuppgifter, leverans- och fakturaadress, eventuell leveranstelefon, specifikation, antal, pris, orderreferens, status och fakturauppgifter. Lämnas vid beställning eller rapporteras av produktionen. |
| Avtals- och behörighetsbevis | Organisationens juridiska namn, organisationsnummer och land, företrädarens namn, e-post och roll, bekräftad behörighet samt tidpunkt och exakt dokumentversion som godkänts. Även direktkassans uppgivna användningsändamål, integritetsinformation och produktionsval dokumenteras. |
| Egna skrivare | Stationens och skrivarens identifierare, programversion, inställningar, material-, förbruknings- och felstatus samt utskriftsjobb och kvittenser. Rapporteras av den anslutna stationen. |
| Support och reklamation | Kontaktuppgifter, meddelanden och det underlag du väljer att skicka till oss. |
| Teknisk användning och säkerhet | IP-adress, webbläsarinformation, sessioner och tekniska fel när en webbläsare, station eller integration kommunicerar med tjänsten. |
Lägg inte in känsliga personuppgifter, uppgifter om lagöverträdelser eller underlag för biometrisk identifiering i standardtjänsten. Sådan behandling kräver en separat överenskommelse och bedömning innan uppgifterna lämnas. Ett vanligt porträtt är inte i sig biometrisk identifiering. Personnummer, skyddade personuppgifter och uppgifter om barn kräver särskild försiktighet och får bara användas när det är motiverat och tillåtet för ändamålet.
4. Ändamål och rättsliga grunder
När Premex är personuppgiftsansvarig gäller följande:
| Ändamål | Rättslig grund |
|---|---|
| Skapa och tillhandahålla ditt konto, avtalade funktioner och ett köp som du själv gör | Avtal med dig, artikel 6.1 b GDPR. |
| Administrera en organisations kundrelation, behöriga kontaktpersoner och uppdrag | Berättigat intresse, artikel 6.1 f: vårt och organisationens intresse av att kunna använda och administrera tjänsten. Detta är inte en egen grund för återanvändning av organisationens kortunderlag. |
| Hantera en privatbeställnings nödvändiga uppgifter om exempelvis en annan kortinnehavare eller leveransmottagare som inte själv är avtalspart | Berättigat intresse, artikel 6.1 f: att genomföra beställarens avgränsade kort- och leveransuppdrag. Behandlingen begränsas till vad uppdraget kräver och måste vägas mot den berörda personens rättigheter. |
| Sköta fakturering och bevara faktisk räkenskapsinformation | Avtal för fakturering och rättslig förpliktelse, artikel 6.1 c, för bokföringskraven. |
| Hantera support, reklamationer och rättsliga anspråk | Avtal eller tillämplig rättslig skyldighet. Där dessa grunder inte gäller: berättigat intresse av att utreda fel och fastställa, göra gällande eller försvara anspråk. |
| Förhindra obehörig åtkomst och missbruk, felsöka och upprätthålla tjänstens säkerhet | Berättigat intresse, artikel 6.1 f, av att skydda användare, uppgifter och tjänstens tillgänglighet. |
När vi är biträde följer vi i stället kundorganisationens dokumenterade instruktioner och biträdesavtalet. Organisationen bestämmer den rättsliga grunden för sin behandling. Vi säljer inte kortuppgifter och använder inte kundernas kortinnehåll för annonsering eller träning av generella AI-modeller.
Uppgifter som behövs för ett konto eller en beställning måste lämnas för att vi ska kunna utföra den funktionen. Exempelvis kan vi inte skicka ett kort utan leveransuppgifter eller skicka en kontolänk utan e-postadress. Övrigt kortinnehåll bestämmer beställaren utifrån det faktiska behovet; alla kategorier i avsnitt 3 krävs inte för varje kort.
4.1 Frivilliga mejltips och kundaktivering
Du kan aktivt välja en kort kom igång-serie via e-post från CR80. Rutan är inte förkryssad och ditt konto eller köp kräver inte samtycke till marknadsföring. Även tips om att fortsätta med en sparad design eller göra en första beställning är marknadsföring. Rättslig grund för denna behandling är ditt samtycke enligt artikel 6.1 a GDPR; vi inhämtar också förhandssamtycke till e-postmarknadsföringen. Valet gäller endast CR80, inte andra Premex-tjänster.
För utskicken använder vi din bekräftade kontoadress, ditt mejlval, samtyckets tidpunkt och vilken information som visades. Vi anpassar nästa tips efter om kontot har en sparad design och om du har beställt eller använt produktionen. Det är enkel automatiserad anpassning av marknadsföringen. Vi analyserar inte kortens text, porträtt, personrader eller andra kortinnehåll för detta och fattar inte beslut med rättsliga eller motsvarande betydande följder för dig. Behöriga administratörer kan se kontostatus, antal sparade designer, beställningsstatus, mejlval och teknisk utskicksstatus för att administrera kundrelationen och utskicken. Konto- och beställningsöversikten behövs även utan marknadsföringssamtycke, med den grund för kundadministration som anges ovan.
Serien omfattar högst två mejl inom 14 dagar från ditt val. Det första kan skickas tidigast efter 24 timmar och ett andra tidigast tre dagar efter det första. Vi kontrollerar verifiering, mejlval och aktuellt kundsteg före sändning. Serien stoppas när du återkallar valet eller har beställt eller påbörjat produktion. Ett mejl som redan lämnats till mejlleverantören kan inte tas tillbaka. Vi skickar inte marknadsföring till befintliga konton enbart därför att ett konto eller en design finns. Ett nytt aktivt val krävs.
Du kan kostnadsfritt avsluta tipsen via länken i varje mejl, via mejlval på kontot eller genom att skriva till contact@premex.se. Du behöver inte logga in för mejlets avregistreringslänk. Avregistreringen gäller marknadsföringen; nödvändig kontoverifiering, lösenordsåterställning, orderbekräftelser och säkerhets- eller leveransbesked är separata servicemejl. De används inte för att kringgå ett marknadsföringsval. Återkallelse påverkar inte tidigare laglig behandling.
Twilio SendGrid förmedlar också de marknadsföringsmejl som du valt. Mottagare och överföringsskydd beskrivs i avsnitt 6–7. Öppnings- och klickspårning är avstängd även för dessa mejl. Vi använder inte spårningspixlar för att bedöma om du läser tipsen.
Mejlvalet och en begränsad avregistreringsuppgift sparas med kontot för att respektera ditt val. Teknisk aktiveringshistorik gallras efter 400 dagar och dokumentation om givna eller återkallade samtycken efter tre år från respektive händelse. Bevisen omfattar kontokoppling, tidpunkt, val, informationsversion och hur valet lämnades; inte kortinnehåll. Den begränsade bevislagringen grundas på vårt berättigade intresse av att kunna visa och hantera samtycken och invändningar. Dessa tider ger inte rätt till nya marknadsföringsutskick efter seriens slut. Vid kontoradering tas de kontokopplade aktiveringsuppgifterna bort från den aktiva databasen. Säkerhetskopior och redan levererade mejl hanteras enligt avsnitt 8.
5. Webbläsaren, cookies och externa resurser
Editorn kan lagra pågående arbete och inställningar lokalt i din webbläsare. CR80 använder även lagring för inloggning samt cookies för bland annat sessioner och språkval. Läs också vår cookieinformation. CR80 använder inte Google Analytics eller Sentry och mejlens öppnings- och klickspårning är avstängd.
När du sparar till kontot, använder en serverbaserad prisförfrågan, delar ett underlag, beställer kort eller skickar ett utskriftsjobb kan det relevanta underlaget överföras till CR80. En lokal kopia betyder alltså inte att underlaget bara finns på din dator. Att tömma webbläsaren raderar inte en separat serverkopia, order eller utskriftskö.
Automatisk ansiktsbeskärning sker i webbläsaren och används för att hitta bildens beskärningsområde, inte för att identifiera en person. Beskärningens program- och modellfiler tillhandahålls från CR80:s egen webbplats. Den isolerade beskärningsfunktionen blockerar externa telemetrianrop; fotot skickas inte till en extern modellleverantör av denna funktion. Bilden kan senare ingå i ett underlag som du väljer att spara eller skicka.
Editorns inbyggda valbara typsnitt tillhandahålls från CR80:s egen webbplats. Din webbläsare behöver inte kontakta Google Fonts för att använda dem. Typsnitt som du själv laddar upp kan bäddas in i ditt designunderlag och följer då med när underlaget sparas eller skickas.
CR80:s serverbaserade AI-designfunktion är inte aktiverad. Om du själv använder en extern AI-tjänst eller annan klient för att arbeta med CR80 gäller även den tjänstens information för det du lämnar där. Dela endast den åtkomst och det innehåll som du har rätt att lämna vidare.
6. Mottagare och behandlingsplatser
CR80:s applikation och databaser finns på Premex egna servrar i Sverige. Administrativ åtkomst till denna drift är begränsad till Premex personal efter behov. Det innebär inte att externa tjänster som e-post också enbart behandlar uppgifter i Sverige.
Beroende på ditt uppdrag kan uppgifter lämnas till:
- Behöriga användare i din organisation och de mottagare du väljer att dela med. Den som har en giltig delningslänk kan få tillgång till dess underlag; lämna bara länken till avsedda mottagare.
- Den produktion som anges inför beställningen. För CR80:s direktbeställningar är den godkända utföraren Premex AB under varumärket Tryckkort i Sverige. Design, valda kortuppgifter och leveransuppgifter går till denna produktion. Ett annat bolag får inte ersätta utföraren utan ny information och nytt produktionsval. Framtida externa produktionsföretag omfattas inte av något blankt tillstånd genom denna policy.
- Transportörer som behöver mottagar- och leveransuppgifter för att leverera beställningen. De får inte hela personlistan eller kortoriginalet enbart för transporten.
- Twilio SendGrid, som förmedlar konto-, service- och ordermejl samt de marknadsföringstips som du valt. Det omfattar mottagaradress, meddelandets innehåll, eventuella bilagor och leveransuppgifter. Den ordinarie avtalsparten för en svensk kund enligt Twilios standardvillkor är Twilio Ireland Limited. Uppgifter kan behandlas av Twilio Inc. i USA och leverantörer i dess förmedlingskedja. CR80 använder SendGrids globala API, inte en EU-avgränsad e-posttjänst.
- Mottagare av nödvändigt redovisningsunderlag, rådgivare och myndigheter när ett konkret ärende eller en rättslig skyldighet motiverar det.
Meddelanden som skickas till dig behandlas också av den e-posttjänst du eller din organisation använder. Lokal radering hos CR80 raderar inte automatiskt ett redan levererat meddelande hos mottagaren.
7. Överföringar utanför EU/EES
SendGrids globala leverans kan innebära behandling i USA och andra länder i den publicerade leverantörskedjan. Twilios dataskyddstillägg anger EU–USA:s Data Privacy Framework för täckta överföringar till Twilio Inc. och EU:s standardavtalsklausuler där de behövs. Twilios bindande företagsbestämmelser, BCR, omfattar inte SendGrid.
Överföringsskydden ersätter inte kraven på rättslig grund, begränsade uppgifter och säkerhet. Du kan kontakta contact@premex.se för information om de skydd som gäller för en viss behandling och hur du får tillgång till relevanta klausuler. Att godkänna ett köp eller läsa denna policy är inte ett allmänt samtycke till obegränsad behandling utanför EU/EES.
8. Lagring och radering
Vi skiljer mellan sparade designer, tillfälliga kopior, pågående uppdrag och bevis som måste sparas för andra ändamål. Följande gäller för CR80:s egen lagring:
| Kategori | Tid eller kriterium |
|---|---|
| Konto och organisation | Under den aktiva kundrelationen och tills ett avslut har hanterats. Därefter får bara uppgifter som fortfarande behövs för exempelvis ett pågående uppdrag, en rättslig skyldighet eller ett konkret anspråk bevaras för det ändamålet. |
| Dina sparade designer | Sparas för din fortsatta användning tills du raderar dem eller ger oss en vidare instruktion vid avslut. De raderas inte automatiskt enbart på grund av inaktivitet. |
| Separata delningskopior | Tas med i gallringen när mer än 24 timmar gått efter länkens utgång eller återkallelse. Utgångna länkar kan inte längre användas för att hämta underlaget. |
| Övergivna prisförfrågningar i direktkassan | Gallras när mer än 30 dagar gått efter prisförslagets giltighetstid och förfrågan inte har blivit en order. Accepterade förfrågningar omfattas av orderns dokumentation. |
| Tillfälliga nedladdningspaket för utskriftsstationer | Kan tas bort efter ett kvitterat avslut. Övergivna paket gallras när mer än 24 timmar gått efter paketets utgång, om inget olöst jobb kräver paketet. En aktiv, misslyckad eller okvitterad utskrift kan kräva fortsatt begränsad lagring för att fastställa utfallet och undvika felaktig återutskrift. |
| Utgångna inloggningssessioner, verifieringar och enhetskoder | Tas med i gallringen när mer än 24 timmar gått efter utgångstiden. Detta är inte samma sak som att användarkontot raderas. |
| Förfrågningar om skrivarstöd | 180 dagar från förfrågan. |
| Lyckade tekniska mejlsändningsloggar | Gallras när mer än 30 dagar gått sedan loggen skapades. Osäkra eller misslyckade försök behålls för utredning och för att undvika dubbla utskick. Fakturor och bindande orderbekräftelser är separata uppgifter. |
| Produktionsunderlag, personlistor, orderhändelser och utskriftskvittenser | Behövs för det aktuella uppdraget, kvittering och utredning av fel eller osäkra utfall. Efter avslut ska fortsatt lagring av personinnehåll begränsas till kundens dokumenterade behov eller ett konkret nödvändigt rättsligt ändamål. Radering eller minimering av dessa kopior hanteras särskilt; kontots designknapp raderar dem inte. |
| Fakturor och annan faktisk räkenskapsinformation | Bevaras enligt bokföringslagen, normalt till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Detta omfattar inte automatiskt alla foton och personlistor i ett kortuppdrag. |
| Övrig support, reklamation och avtalade behörigheter | Så länge ärendet eller uppdraget pågår och därefter endast så långt uppgifterna behövs för en tillämplig skyldighet eller för att fastställa, göra gällande eller försvara anspråk. |
| Bevis om ingångna avtal och raderingar | Begränsade bevis om dokumentversion, företrädare och tidpunkt bevaras för att kunna visa vilka instruktioner som gällt. Raderingsjournalen behåller resursidentifierare och tidpunkter, inte det raderade kortinnehållet, för att hantera återställning utan att återinföra raderade uppgifter. |
Gallringen körs återkommande i begränsade omgångar. Tiderna ovan anger när en uppgift ska tas med i gallringen, inte att alla fysiska kopior försvinner vid en exakt sekund. Fel eller kvarstående uppdrag ska utredas; de ger inte ett generellt tillstånd att spara allt innehåll utan tidsgräns.
Anonyma händelser i skrivarregistret gallras efter 400 dagar. Detta är avgränsad funktionsstatistik, inte spårning av personers användning mellan webbplatser.
På kontot kan du exportera profil- och medlemskapsuppgifter samt varje sparad design och radera en egen sparad design med dess länkade delningskopior. Funktionerna är begränsade hjälpmedel: de är inte en fullständig registerutlämning eller automatisk radering av hela kontot, orderhistoriken och alla lokala kopior. För en bredare begäran kontaktar du oss enligt avsnitt 10.
Säkerhetskopior och andra kopior
Databassäkerhetskopior är krypterade och lagras på Premex server med begränsad administrativ åtkomst. Säkerhetskopiering och isolerad provåterläsning är schemalagda varje timme. Den normala gallringstiden är 14 dagar för verifierade kopior. Den senast fungerande kopian skyddas om nyare säkerhetskopiering misslyckas; en sådan avvikelse kräver särskild uppföljning och kan innebära längre lagring. Detta är därför inte en garanti att varje äldre uppgift är borta efter 14 dagar. Kopior på samma server utgör inte ett oberoende skydd mot att hela servern går förlorad.
Raderade uppgifter får inte tas tillbaka i vanlig användning bara för att en äldre säkerhetskopia återställs. Återställning ska hållas avskild tills tillämpliga raderingsinstruktioner har stämts av och verkställts på nytt. Uppgifter i en skyddad säkerhetskopia används inte för vanliga kund- eller produktionsärenden i väntan på gallring.
SendGrid har egna lagringstider som skiljer sig från CR80:s loggar. Leverantören anger bland annat upp till 37 dagar för vanlig e-postaktivitet och vissa återidentifierbara säkerhetshändelser upp till ett år. Radering hos leverantören behöver hanteras separat. Läs Twilios information om lagring och radering eller kontakta oss för hjälp med en konkret begäran.
Kopior du laddar ned, uppgifter på egna utskriftsstationer, färdiga kort och material hos mottagare som du själv har valt står inte automatiskt under CR80:s kontroll.
9. Säkerhet och incidenter
CR80 begränsar åtkomst genom konton, organisationsroller och behörigheter för integrationer och utskriftsstationer. Webbtrafiken till CR80 skyddas med HTTPS. Databassäkerhetskopior krypteras; detta är inte ett löfte om att alla aktiva databasfält eller kunders lokala enheter är krypterade.
Vi ska anpassa säkerheten till riskerna, begränsa tillgången till vad arbetsuppgiften kräver och hantera upptäckta säkerhetsbrister. Vid en personuppgiftsincident vidtar vi åtgärder enligt vår roll: skyddar berörda uppgifter, utreder och dokumenterar, underrättar berörd kundorganisation utan onödigt dröjsmål när vi är biträde och bedömer eventuell anmälan till IMY eller information till berörda personer när vi är ansvariga.
10. Dina rättigheter
Du kan, när lagens förutsättningar är uppfyllda, begära tillgång, rättelse, radering, begränsning och dataportabilitet. Du kan invända mot behandling som grundas på berättigat intresse. Där en viss behandling grundas på samtycke kan du återkalla det; återkallelsen påverkar inte behandling som redan skett lagligt.
Skriv till contact@premex.se och beskriv vad begäran gäller. Vi kan behöva kontrollera din identitet i den omfattning som behövs för att skydda uppgifterna, men begär inte mer underlag än motiverat. En begäran ska normalt besvaras inom en månad. Om lagens förutsättningar för förlängning är uppfyllda informerar vi dig och förklarar varför inom den första månaden.
Om uppgifterna hanteras på en organisations uppdrag hjälper vi till att föra begäran till rätt personuppgiftsansvarig. Du kan också vända dig direkt till den arbetsgivare, förening eller annan organisation som beställt kortet. Rätten till radering är inte obegränsad; exempelvis kan faktisk räkenskapsinformation behöva bevaras trots en begäran. Vi ska förklara ett eventuellt undantag och begränsa fortsatt behandling till dess ändamål.
Du får lämna klagomål till Integritetsskyddsmyndigheten, IMY. Du behöver inte först kontakta oss för att få göra det.
11. Automatisk hantering och ändringar
Tekniska krav, pris och kvalitet kan användas för automatisk matchning av ett kortuppdrag. Matchningen bedömer beställningen, inte en persons egenskaper, och ger inte tillstånd att lämna kortuppgifter till en ny mottagare. Ansiktsbeskärningen identifierar inte personen. CR80 använder inte dessa funktioner för sådana enbart automatiserade individuella beslut som har rättsliga eller motsvarande betydande följder för personen enligt artikel 22 GDPR.
Vi uppdaterar policyn när behandlingen ändras. Väsentliga förändringar ska meddelas berörda användare på ett lämpligt sätt. Publicering av en ny policy ersätter inte ett biträdesavtal, ett nödvändigt mottagargodkännande eller annan rättslig åtgärd.
Dataskyddskontakt: contact@premex.se. Postadress: Premex AB, Jerikovägen 12, 141 32 Huddinge, Sverige.