Det korta svaret

Papyr är byggt för att behöva så lite av din data som möjligt. Vår läsarstatistik är kakfri — vi sätter inga spårningskakor och behöver därför ingen cookiebanner för Papyrs egna funktioner. En samtyckesbanner visas bara på publikationer där utgivaren själv valt att koppla Google Analytics, och då laddas Google först efter att du klickat Acceptera.

Kakor vi använder (endast nödvändiga)

Dessa kakor krävs för funktioner du själv begär och är undantagna samtyckeskravet (ePrivacy/GDPR):

• flip_session — håller dig inloggad på ditt konto (httpOnly, raderas vid utloggning).
• unlock_… — kommer ihåg att du angett rätt lösenord för en skyddad publikation (per publikation, giltig ett år).
• lead_… — kommer ihåg att du passerat en e-postgrind så du slipper ange adressen igen (per publikation, giltig ett år).
• oauth_state — tillfälligt CSRF-skydd under inloggning med Google (raderas direkt efter).

Webbläsarens localStorage används för dina egna preferenser (språk, senast använda hanteringslänkar, cookie-val) — inget av det lämnar din enhet.

Läsarstatistik utan kakor

När du läser en publikation räknar vi visningar och läsning per sida via ett anonymt fingeravtryck (en enkelriktad hash av IP-adress och webbläsartyp, trunkerad). Ingen kaka sätts, IP-adressen sparas aldrig i klartext och hashen kan inte vändas tillbaka till dig. Rättslig grund: berättigat intresse (utgivarens behov av besöksstatistik).

Öppnar du en personlig mottagarlänk (t.ex. i ett utskick riktat till dig) ser utgivaren att just den länken använts — det är länkens syfte och framgår av att den är personlig.

Google Analytics — bara efter ditt samtycke

En utgivare kan koppla sitt eget Google Analytics till sin publikation. Då visas en banner där du väljer Acceptera eller Avvisa — likvärdiga knappar, inget förifyllt. Googles skript laddas först efter Acceptera; väljer du Avvisa sätts inga Google-kakor alls. Du kan ändra ditt val när som helst via 🍪-knappen i hörnet, och vid återkallat samtycke tas Googles kakor bort.

Uppgifter du själv lämnar

• Konto — e-postadress och lösenord (lösenordet lagras hashat med scrypt och kan inte läsas av oss). Används enbart för inloggning och drift.
• E-postgrind — anger du din e-postadress för att läsa en publikation delas den med publikationens utgivare, som är personuppgiftsansvarig för sin leadlista.
• Uppladdade publikationer — utgivaren ansvarar för innehållet i det som laddas upp.

Underleverantörer (personuppgiftsbiträden)

• Vercel — hosting och fillagring (USA-företag; överföring enligt EU:s standardavtalsklausuler/DPF).
• Neon — databas (regionen väljs inom EU-infrastruktur; SCC/DPF).
• Postmark — transaktionsmejl (lösenordsåterställning, notiser) när e-postfunktionerna är aktiverade.

Vi säljer aldrig data och visar aldrig annonser på publikationer.

Dina rättigheter

Du har rätt till tillgång, rättelse, radering, begränsning och dataportabilitet enligt GDPR, samt rätt att klaga hos Integritetsskyddsmyndigheten (IMY). Kontakta oss på kontakt@papyr.page så hjälper vi dig — konton och publikationer kan du dessutom radera själv direkt i tjänsten (radering är permanent och omedelbar).