Dataskyddsbeskrivning

Så här behandlar vi personuppgifter och respekterar dina rättigheter.

Vid avvikelser gäller den finska versionen.

I den här dataskyddsbeskrivningen berättar vi hur Sotto Pizzeria behandlar personuppgifter och hur du kan utöva dina rättigheter som registrerad. Vi följer EU:s allmänna dataskyddsförordning (GDPR) och den finländska dataskyddslagen.

Personuppgiftsansvarig

Sotto Pizzeria Oy

FO-nummer: 3158814-2

Hemort: Helsingfors

E-post för begäranden som gäller personuppgifter: info@sotto.fi (skriv ”Dataskyddsbegäran” som ämnesrad).

Vilka uppgifter vi samlar in

Vi samlar in personuppgifter när du kontaktar oss, använder webbplatsen eller skickar en offertförfrågan:

Kontaktuppgifter: namn, e-postadress, telefonnummer
Uppgifter i offertförfrågningar: gruppens storlek, tidpunkt, restaurang, valda paket, allergier, eventuell leveransadress
Uppgifter i arbetsansökningar: namn, kontaktuppgifter, CV, motivation, erfarenhet
Uppgifter om företagskunder (franchiseförfrågningar): företag, önskat läge, tidigare erfarenhet
Tekniska uppgifter: IP-adress, uppgifter om webbläsare och enhet samt uppgifter om hur webbplatsen används, som samlas in med kakor, webbläsarens lagringsutrymme och mätning utan kakor (mer i vår kakpolicy)
Uppgifter för mätning av annonsering, endast med samtycke till marknadsföring: annonsidentifierare från Meta, TikTok och Google samt, när du skickar ett formulär eller prenumererar på nyhetsbrevet, kontaktuppgifter i hashad form (SHA-256): din e-postadress, ditt telefonnummer och ditt namn, som vi förmedlar till Meta, och din e-postadress, ditt telefonnummer och din adress, som Googles tagg kan förmedla till Google
Uppgifter om prenumeration på nyhetsbrevet: e-postadress, språk, eventuellt förnamn, prenumerationens källa, tidpunkt för samtycket och IP-adress vid prenumerationstillfället
Uppgifter om köp av presentkort: köparens e-postadress; vid köp som gåva köparens och mottagarens namn, mottagarens e-postadress och hälsning; belopp och betalningsstatus
Uppgifter om inskickade formulär: landningssida, kampanjtaggar (UTM), enhetstyp och den sida som formuläret skickades från; vid köp av presentkort dessutom Google Analytics-identifieraren, om du har tillåtit analyskakor
Uppgifter i Giuseppo-chatten, om du använder chatten (AI-assistenten i sidans nedre högra hörn): dina meddelanden och chattens svar i sin helhet, en slumpmässig identifierare för konversationen, språk och tidpunkter, adressen till den sida där du började konversationen (även eventuella kampanj- och annonsklicksidentifierare i adressen), enhetstyp samt ett hashvärde som beräknas per dag utifrån din IP-adress. Du behöver inte uppge kontaktuppgifter i chatten; om du skriver dem i ett meddelande sparas de med meddelandet.
Uppgifter om förfrågningar om respons efter pizzapaket: uppgifter om den beställning som förfrågan gäller (beställningens identifierare och hur beställningen gjordes, restaurang, tidpunkt för tillställningen, leveranssätt och antal pizzor samt beställarens företag, e-postadress, språk och, vid beställningar via formuläret, förnamn), uppgifter om utskicket av förfrågan och, om du svarar, betyget (1–5) och önskan om att bli kontaktad med ändringar och tidpunkter, en eventuell kommentar, uppgift om huruvida responsen förmedlades till vår kundtjänst samt tidpunkten för det första klicket på länken till Google-recensionen

Ändamålen med behandlingen och de rättsliga grunderna

Vi behandlar dina personuppgifter för följande ändamål:

Kundtjänst och svar på kontakter — berättigat intresse (art. 6.1 f i GDPR)
Giuseppo-chatten: med hjälp av AI svarar vi på dina frågor om menyn, restaurangerna och gruppbeställningar. Vi sparar konversationerna och går igenom dem för att utveckla chatten och våra vanliga frågor. Konversationerna kopieras dagligen till en SharePoint-lista i vår Microsoft 365-miljö, och en daglig sammanfattning med början av det första meddelandet i varje konversation skickas till vår e-post — berättigat intresse (art. 6.1 f)
Hantering av offertförfrågningar och avtal — åtgärder före ingående av avtal/fullgörande av avtal (art. 6.1 b)
Förfrågningar om respons efter pizzapaket: att be om respons på en genomförd beställning, följa upp och utveckla kvaliteten på vår tjänst och kontakta dig om något gick fel — berättigat intresse (art. 6.1 f)
Försäljning, betalning och leverans av presentkort — fullgörande av avtal (art. 6.1 b)
Hantering av arbetsansökningar — avtalsförhandlingar och berättigat intresse
Webbplatsens funktion och utveckling samt besöksanalys — berättigat intresse (nödvändiga kakor och mätning utan kakor, art. 6.1 f) eller samtycke (analys- och marknadsföringskakor, art. 6.1 a)
Uppföljning av antalet besökare, webbplatsens prestanda och marknadsföringens resultat utan kakor: Vercel Web Analytics och Speed Insights samt Googles signaler utan kakor när du inte har tillåtit Googles kakor (Consent Mode) — berättigat intresse (art. 6.1 f)
Utveckling av kakrutan: en räknare utan kakor som endast sparar antalet visningar av rutan och val per dag, enligt enhetstyp och sidans språk, utan kakor, IP-adress och identifierare — berättigat intresse (art. 6.1 f)
Informationssäkerhet och felrättning: skydd mot skräppost och bottar i formulär (Cloudflare Turnstile) och felrapporter från webbplatsen (Sentry) — berättigat intresse (art. 6.1 f)
Mätning av presentkortsköp: köpet registreras i Google Analytics 4 från vår server med samma analysidentifierare — samtycke (art. 6.1 a), endast om du har tillåtit analyskakor
Marknadskommunikation och annonsering: nyhetsbrev, riktad annonsering och mätning av annonsernas resultat, även från vår server via Metas Conversions API — samtycke (art. 6.1 a)
Fullgörande av lagstadgade skyldigheter, såsom bokföring — rättslig förpliktelse (art. 6.1 c)

Nyhetsbrev och samtycke till marknadsföring

Du kan prenumerera på vårt nyhetsbrev via prenumerationsformuläret på webbplatsen eller genom att kryssa i rutan för nyhetsbrevet i gruppbeställningsformuläret. Krysset är frivilligt och påverkar inte hur din beställning behandlas. Nyhetsbrevet kommer ut ungefär en gång i månaden.

Prenumerationen börjar först när du bekräftar den via bekräftelsemeddelandet som skickas till din e-post (double opt-in). Prenumerationen och uppgifterna om samtycket – e-postadress, språk, eventuellt förnamn, prenumerationens källa, tidpunkt för bekräftelsen och IP-adress vid prenumerationstillfället – sparas i tjänsten Mailchimp. För samtycke som ges i gruppbeställningsformuläret sparar vi dessutom tidpunkten för samtycket, källan och versionen av den godkända samtyckestexten i beställningsuppgifterna, så att vi kan visa att samtycke har getts.

Du kan avsluta prenumerationen när som helst via länken i slutet av varje nyhetsbrev eller genom att skicka ett meddelande till info@sotto.fi. Återkallandet av samtycket påverkar inte lagligheten av den behandling som skett före återkallandet.

Förfrågningar om respons efter pizzapaket

Efter ett genomfört pizzapaket (en gruppbeställning) skickar vi vanligtvis nästa vardag efter tillställningen en enda förfrågan om respons till beställningens e-postadress från asiakaspalvelu@sotto.fi. Meddelandet innehåller ingen reklam och inga erbjudanden. Vi skickar det inte om du har avslutat förfrågningarna om respons eller om en förfrågan har skickats till samma adress under de senaste 60 dagarna. Vi berättar om förfrågan också i gruppbeställningsformuläret. Det är frivilligt att ge respons. Den rättsliga grunden är berättigat intresse (art. 6.1 f): vi vill följa upp och förbättra kvaliteten på vår tjänst och rätta till det som har gått fel.

Betygsknapparna i meddelandet öppnar en privat responssida. Ditt betyg (1–5), en eventuell kommentar och en eventuell önskan om att bli kontaktad sparas först när du skickar formuläret, och du kan ändra dem så länge länken är giltig (30 dagar). Vi sparar dem tillsammans med uppgifterna om beställningen. Responsen behandlas av vår kundtjänst, och vi publicerar den inte. Om betyget är 1–2, om du vill bli kontaktad eller om kommentaren nämner till exempel en allergi eller att någon har insjuknat, förmedlas din respons och beställningens kontaktuppgifter (e-postadress, företag och, vid beställningar via formuläret, namn och telefonnummer) till vår kundtjänsts uppgiftslista (SharePoint) och interna Teams-kanal i vår Microsoft 365-miljö, så att vi kan kontakta dig. Responsen förmedlas inte automatiskt till restaurangerna. Hälsouppgifter behandlar vi endast för att utreda ärendet. Om du svarar på förfrågan per e-post behandlas ditt svar som andra e-postmeddelanden till vår kundtjänst, även med hjälp av en AI-assistent (se Anthropic under Mottagare av uppgifterna och personuppgiftsbiträden).

När du har skickat din respons visar tacksidan samma länk för alla som har svarat, oberoende av betyget. Via länken kan du, om du vill, recensera den restaurang som levererade pizzapaketet på Google. En recension är frivillig, och vi erbjuder inga förmåner för att du svarar på förfrågan eller skriver en recension. Länken går via vår server: vi registrerar tidpunkten för det första klicket på länken i din respons, så att vi kan följa hur länken används, och vår server skickar endast uppgiften om klicket och restaurangen till Google Analytics, utan kakor och utan identifierare som gäller dig. Din respons, dina kontaktuppgifter och din responslänk förmedlas inte till Google. Länken leder till Googles tjänst, där Google behandlar dina uppgifter, till exempel den offentliga recension som du skriver, som självständigt personuppgiftsansvarig enligt sina egna villkor.

Du kan avsluta förfrågningarna om respons via länken i varje meddelande, även efter att responslänkens giltighetstid på 30 dagar har gått ut, eller genom att skicka ett meddelande till info@sotto.fi, även i förväg. Då sparar vi endast ett hashvärde (SHA-256) av din e-postadress och tidpunkten för avslutandet, så att vi inte skickar fler förfrågningar till dig. Avslutandet påverkar inte orderbekräftelser eller andra meddelanden om dina beställningar.

Lagringstider

Vi sparar uppgifter endast så länge som det behövs:

Kontakter och respons: 24 månader
Konversationer i Giuseppo-chatten: 12 månader från att konversationen började, därefter raderas konversationen automatiskt ur vårt innehållshanteringssystem och vår Microsoft 365-miljö, även ur de dagliga sammanfattningsmeddelandena.
Offertförfrågningar och bekräftade beställningar: 24 månader (bokföringsverifikat 6 år i enlighet med lagens krav)
Respons på pizzapaket: 24 månader från förfrågan om respons. Om du avslutar förfrågningarna sparar vi ett hashvärde av din e-postadress och tidpunkten för avslutandet så länge vi skickar förfrågningar om respons, så att ditt val fortsätter att gälla.
Presentkortsköp: försäljningsuppgifter som bokföringsmaterial under den tid som lagen kräver (6 år); uppgifter om inskickade formulär och Google Analytics-identifieraren 24 månader
Arbetsansökningar: 6 månader från att ansökan kom in, om de inte sparas längre med sökandens samtycke
Franchiseförfrågningar: 24 månader
Uppgifter om prenumeration på nyhetsbrevet: tills du avslutar prenumerationen; en anteckning om samtycke som getts i samband med en gruppbeställning sparas med beställningsuppgifterna (24 månader)
Analysdata: Google Analytics 4 sparar uppgifter på händelse- och användarnivå i 14 månader; tiden för uppgifter på användarnivå börjar om när du återvänder till webbplatsen. Microsoft Clarity sparar sessionsinspelningar i 30 dagar (separat märkta i högst 13 månader) och värmekartor i 13 månader.
Uppgifter för mätning av annonsering: Google, Meta och TikTok sparar de uppgifter de tar emot enligt sina egna principer. Kakornas giltighetstider finns i vår kakpolicy.
Val om kakor: sparas i din webbläsare och gäller i 12 månader från valet, därefter frågar vi på nytt. Om du återkallar ditt samtycke raderar webbplatsen kakorna och de lagrade uppgifterna i den återkallade kategorin från domänen sotto.fi; endast TikToks kaka ttclid finns kvar tills den upphör att gälla (se vår kakpolicy).
Dagliga antal i räknaren för val i kakrutan: 400 dagar
Vercel Web Analytics: hashvärdet som används för att skilja besökare åt raderas inom 24 timmar

Samma lagringstider gäller uppgifter som har kopierats till SharePoint-listor i vår Microsoft 365-miljö. Raderade uppgifter försvinner slutgiltigt ur papperskorgarna och säkerhetskopiorna i Microsoft 365 och ur versionshistoriken i vårt innehållshanteringssystem senast fyra månader efter raderingen.

Mottagare av uppgifterna och personuppgiftsbiträden

Vi anlitar pålitliga tjänsteleverantörer (personuppgiftsbiträden). Överföringarna av uppgifter grundar sig på personuppgiftsbiträdesavtal (DPA) och vid behov på EU:s standardavtalsklausuler (SCC) eller på ramen för dataskydd mellan EU och USA (Data Privacy Framework, DPF):

Wolt Oy (FO-nummer 2646674-9) — hantering av beställningar i webbutiken, betalningsrörelse och leverans. Wolt är självständigt personuppgiftsansvarig för sina egna beställningsuppgifter.
Stripe Payments Europe, Limited — onlinebetalningar för presentkort och gruppbeställningar (Stripe behandlar kortuppgifterna, vi ser dem inte)
Microsoft Corporation (M365) — e-postkommunikation och lagring av korrespondens (servrar inom EU)
Mailchimp / The Rocket Science Group LLC (Intuit) — utskick av nyhetsbrevet, belägen i USA (DPF-certifierad)
Sanity.io — innehållshantering och lagring av innehåll (servrar inom EU)
Vercel Inc. — hosting av webbplatsen samt mätning av besök och prestanda utan kakor (Web Analytics och Speed Insights), belägen i USA (DPF-certifierad)
Upstash, Inc. — ett hjälpminne för vår server, med vilket vi begränsar antalet förfrågningar till formulär, chatten och andra funktioner för att förhindra missbruk. Din IP-adress sparas i räknaren och raderas senast efter 20 minuter. I hjälpminnet sparas dessutom i högst två dygn de uppgifter som behövs för att förhindra dubbla gruppbeställningar och begränsa hur många gånger beställningar ändras och respons skickas. Belägen i USA; överföringen grundar sig på ramen för dataskydd mellan EU och USA (DPF) och vid behov på standardavtalsklausuler.
Cloudflare, Inc. — skydd mot skräppost och bottar i formulär (Turnstile): IP-adress och tekniska uppgifter om webbläsaren. Cloudflare använder uppgifterna också för att utveckla sin bottigenkänning som självständigt personuppgiftsansvarig. Belägen i USA (DPF-certifierad).
Functional Software, Inc. (Sentry) — felrapporter från webbplatsen: uppgifter om felet, sidans adress, uppgifter om webbläsaren och de händelser på sidan som föregick felet, utan IP-adress, kakor eller formulärinnehåll. Uppgifterna lagras inom EU.
Google Ireland Limited — Google Analytics 4 och Google Tag Manager (analys) samt Google Ads och Google Floodlight, en del av Campaign Manager 360 (annonsering och mätning av dess resultat). Googles kakor används endast med ditt samtycke; utan samtycke skickar Googles taggar endast signaler utan kakor (Consent Mode). Med samtycke till marknadsföring kan Googles tagg förmedla den e-postadress, det telefonnummer och den adress som du skrev i ett formulär till Google i hashad form (förbättrade konverteringar). Presentkortsköp registreras från vår server endast med samtycke till analys.
Google (Google Maps Platform) — adressökning och kontroll av leveransområdet i gruppbeställningsformuläret. När du skriver en leveransadress skickar vår server den text som du har skrivit (minst 3 tecken) till Google för adressförslag, och identifieraren för det förslag som du väljer. När leveransområdet kontrolleras, när du skickar formuläret och när du ändrar din beställning skickar vår server hela adressen till Google för att fastställa dess läge och adressens koordinater för att beräkna körsträckan till våra restauranger. Förfrågningarna görs från vår server, så Google får inte din IP-adress eller uppgifter om din webbläsare i dem. Google är självständigt personuppgiftsansvarig för dessa uppgifter. Webbplatsens kartbilder hämtas från Google via vår server, så när du tittar på dem skickas inga uppgifter om dig till Google.
Microsoft Corporation — användaranalys med Clarity (värmekartor och sessionsinspelningar, endast med samtycke till analys; text som skrivs i formulär och i chatten maskeras), belägen i USA (DPF-certifierad). Clarity får inte tillstånd till lagring för annonsering, så den sätter inga annonskakor från Microsoft.
Anthropic Ireland, Limited — AI-modellen (Claude) som vi använder i Giuseppo-chatten och för att ta fram svar på e-postmeddelanden som gäller kundtjänst och gruppbeställningar samt på Google-recensioner. Vår server skickar till Anthropic meddelandena i en chattkonversation och, för e-post, avsändarens namn och adress, meddelandets innehåll och bildbilagor samt de uppgifter som behövs för att hantera ärendet, till exempel tidigare meddelanden i samma tråd, uppgifter om beställningar och det telefonnummer som uppgetts i dem samt tidigare gottgörelser, men inte din IP-adress eller chattkonversationens identifierare. För Google-recensioner skickar vi recensentens namn, stjärnbetyget och recensionens text. Anthropic raderar uppgifterna som standard inom 30 dagar, om de inte behöver sparas längre för att upprätthålla Anthropics användningspolicy eller på grund av lag, och använder dem inte för att träna sina modeller. Uppgifterna kan behandlas utanför EU, och överföringen grundar sig på EU:s standardavtalsklausuler.
Meta Platforms Ireland Limited — Meta Pixel och Conversions API (Facebook och Instagram): riktad annonsering och mätning av dess resultat, endast med samtycke till marknadsföring. När du skickar ett formulär eller prenumererar på nyhetsbrevet skickar vår server dina hashade kontaktuppgifter (e-postadress samt telefonnummer och namn om du har uppgett dem), IP-adress, uppgifter om webbläsaren, sidans adress och Metas identifierare till Meta. En del av webbläsarens händelser går via en Conversions API Gateway-server i USA. Meta är självständigt personuppgiftsansvarig för de uppgifter som Meta tar emot, och för insamlingen av uppgifterna och överföringen till Meta ansvarar vi gemensamt med Meta. Det väsentliga innehållet i det gemensamma ansvaret finns i Metas tillägg för personuppgiftsansvariga (Controller Addendum): vi informerar om behandlingen, och Meta ansvarar för att tillgodose dina rättigheter när det gäller den gemensamma behandlingen. Du kan ändå utöva dina rättigheter även gentemot oss.
TikTok Technology Limited — TikTok Pixel: riktad annonsering och mätning av dess resultat, endast med samtycke till marknadsföring

Överföring av uppgifter till länder utanför EU

En del av våra tjänsteleverantörer finns utanför EU/EES, främst i USA. Överföringarna skyddas genom certifiering enligt ramen för dataskydd mellan EU och USA (Data Privacy Framework) eller genom EU:s standardavtalsklausuler (Standard Contractual Clauses) samt lämpliga skyddsåtgärder.

Automatiserat beslutsfattande och profilering

Vi fattar inga automatiserade beslut om dig som har betydande följder för dig. Vi ägnar oss inte åt profilering, med undantag för riktad annonsering, som vi ber om ett separat samtycke till i kakrutan (Marknadsföring).

Dina rättigheter

Som registrerad har du följande rättigheter:

Begära tillgång till uppgifter som gäller dig (art. 15 i GDPR)
Begära rättelse eller komplettering av felaktiga uppgifter
Begära radering av uppgifter (”rätten att bli bortglömd”)
Begränsa behandlingen i vissa situationer
Invända mot behandling som grundar sig på berättigat intresse
Få dina uppgifter överförda från ett system till ett annat (rätt till dataportabilitet)
Återkalla ett samtycke som du har gett när som helst (påverkar endast behandlingen efter återkallandet)

Du kan utöva dina rättigheter genom att skicka ett meddelande till info@sotto.fi med ämnesraden ”Dataskyddsbegäran”. Vi strävar efter att svara inom en månad.

Rätt att lämna in klagomål till tillsynsmyndigheten

Om du anser att vi behandlar dina personuppgifter i strid med dataskyddslagstiftningen har du rätt att lämna in ett klagomål till dataombudsmannens byrå (tietosuoja.fi).

Ändringar i den här beskrivningen

Vi kan uppdatera den här beskrivningen vid behov. Den uppdaterade versionen publiceras på den här sidan.

Beskrivningen senast uppdaterad: 23.10.2026