Den här informationen beskriver hur WIVRA AB, org.nr 559298‑7480 (”Wivra”, ”vi” eller ”oss”), behandlar dina personuppgifter när du använder Wivras applikation och informationstjänst (”Tjänsten”).

Wivra tillhandahåller en informationstjänst mellan organisationer som lämnar information i Tjänsten (”informationslämnare”) och privatpersoner som använder Tjänsten (”användare”). När du installerar Tjänsten, registrerar ett konto eller använder Tjänstens funktioner behandlas personuppgifter om dig.

Wivra har olika dataskyddsrättsliga roller beroende på vilken behandling det gäller:

  • Wivra är personuppgiftsansvarig för den behandling som Wivra själv bestämmer ändamål och medel för, exempelvis registrering och hantering av ditt användarkonto samt vissa behandlingar för drift, support, säkerhet och dokumentation.
  • Informationslämnaren är personuppgiftsansvarig för den information som informationslämnaren tillhandahåller genom Tjänsten och för den behandling som sker för informationslämnarens räkning. I dessa delar behandlar Wivra personuppgifterna som personuppgiftsbiträde enligt informationslämnarens instruktioner.

När Wivra är personuppgiftsansvarig

Skapa och administrera ditt konto

När du laddar ned och installerar applikationen skapas ett slumpmässigt och unikt installations-ID. När du registrerar ett konto skapas även ett användar-ID som kopplas till installations-ID. Dessa identifierare används för att skilja din installation och ditt konto från andra användares utan att ditt namn behöver användas i den tekniska kommunikationen.

Vid registreringen behandlar Wivra det telefonnummer som du anger. Telefonnumret kontrolleras automatiskt för att säkerställa att det är utformat som ett giltigt internationellt telefonnummer. Ett SMS med en aktiveringslänk eller verifieringskod skickas därefter till numret för att verifiera registreringen och aktivera kontot.

För att skapa och administrera ditt konto behandlar Wivra följande uppgifter:

  • namn,
  • telefonnummer,
  • användar-ID, och
  • installations-ID.

De direkt identifierande uppgifter som du själv behöver ange för att registrera kontot är namn och telefonnummer.

Drift, felsökning och support

För att kunna tillhandahålla en fungerande och säker tjänst samt hantera supportärenden behandlar Wivra tekniska uppgifter som användar-ID, installations-ID, enhets-ID och uppgifter om vilken enhet eller installation Tjänsten har använts från.

Uppgifterna används för att hantera inloggning och tekniska sessioner, identifiera och avhjälpa fel, kontrollera att Tjänsten fungerar med den aktuella enheten, förebygga obehörig användning och bistå dig när du kontaktar supporten.

Wivra registrerar även vissa användningshändelser, ibland kallade events eller loggar. Det kan exempelvis vara uppgifter om vilka funktioner eller sidor som har öppnats, när en teknisk händelse inträffade och om ett visst steg i Tjänsten kunde genomföras. Uppgifterna används för felsökning, support och säkerhetsuppföljning.

När du ansöker om åtkomst hos en informationslämnare

När du själv ansöker om åtkomst till information från en informationslämnare överför Wivra de uppgifter som behövs för att informationslämnaren ska kunna identifiera dig och pröva om du är behörig att få åtkomst.

De uppgifter som lämnas till informationslämnaren är:

  • namn,
  • telefonnummer, och
  • användar-ID.

Informationslämnaren ansvarar för sin kontroll av din identitet och behörighet samt för sin fortsatta behandling av de mottagna uppgifterna.

Teknisk kvalitet och användbarhet

Wivra kan behandla användningshändelser och teknisk information för att följa upp och förbättra Tjänstens funktion och användbarhet. Behandlingen kan exempelvis användas för att upptäcka tekniska fel, återkommande avbrott eller delar av Tjänsten där användare har svårt att genomföra ett moment eller orientera sig.

Uppföljningen görs så långt som möjligt med slumpmässiga identifierare och på en övergripande nivå. Resultat kan sammanställas i aggregerad eller anonymiserad form när det är tillräckligt för ändamålet.

Inloggningssessioner och inaktivitet

För att hantera din inloggning använder Wivra en slumpmässigt skapad teknisk token som är kopplad till din session. En sådan token gör det möjligt att kontrollera att sessionen är giltig utan att ditt namn behöver användas i varje tekniskt anrop.

En inloggningssession upphör efter 90 dagar, varefter du behöver logga in på nytt. Om kontot inte har använts under 180 dagar betraktas det som inaktivt och de uppgifter som Wivra behandlar för kontot tas bort eller anonymiseras, om uppgifterna inte behöver bevaras för något av de särskilda ändamål som anges under rubriken ”Hur länge sparar Wivra personuppgifterna?”.

Administratörer i Tjänsten

Vissa användare kan utses till administratörer av en informationslämnare eller ges särskilda administrativa behörigheter i Tjänsten. För dessa användare behandlas, utöver vanliga kontouppgifter, uppgift om administratörsroll, tilldelade behörigheter och den organisation som rollen avser.

Wivra kan även registrera administrativa åtgärder och relevanta säkerhetshändelser. Behandlingen görs för att styra åtkomsten till administrativa funktioner, förhindra obehörig användning, ge teknisk support och i efterhand kunna följa upp hur behörighetsstyrda funktioner har använts.

När informationslämnaren bestämmer vem som ska vara administratör och hur rollen ska användas behandlar Wivra dessa uppgifter som personuppgiftsbiträde åt informationslämnaren. Wivra är dock personuppgiftsansvarig för den behandling som Wivra själv behöver utföra för Tjänstens övergripande tekniska säkerhet.

Dokumentation av villkor och viktiga händelser

När du godkänner Tjänstens användarvillkor behandlar Wivra uppgifter för att kunna dokumentera att villkoren har presenterats och godkänts. Dokumentationen kan omfatta:

  • användar-ID,
  • vilken version av villkoren som presenterades,
  • datum och tid för godkännandet, och
  • den tekniska händelse som visar att godkännandet registrerades.

Wivra kan även bevara begränsade användningsloggar för att kunna visa att viss information har gjorts tillgänglig eller visats i Tjänsten. En sådan teknisk logg visar inte nödvändigtvis att informationen faktiskt har lästs eller förståtts.

Uppgifterna används för att administrera avtalsförhållandet, hantera frågor om villkoren och fastställa, göra gällande eller försvara rättsliga anspråk.

När Wivra är personuppgiftsbiträde

Information från informationslämnare

Informationslämnaren är personuppgiftsansvarig för det innehåll som informationslämnaren skapar, publicerar eller på annat sätt gör tillgängligt genom Tjänsten. Wivra behandlar sådana personuppgifter för informationslämnarens räkning och enligt dennes instruktioner.

Det kan exempelvis avse personuppgifter i:

  • texter, bilder och annan publicerad information,
  • meddelanden och aviseringar,
  • behörighets- och mottagaruppgifter,
  • gilla-markeringar eller andra användarinteraktioner, och
  • pushnotiser och tillhörande tekniska leveransuppgifter.

Informationslämnaren bestämmer ändamål, rättslig grund och lagringstid för dessa behandlingar. Kontakta den aktuella informationslämnaren om du vill veta mer om hur uppgifterna behandlas eller utöva en rättighet som avser informationslämnarens innehåll.

Rättsliga grunder för Wivras behandling

Wivras behandling som personuppgiftsansvarig stödjer sig på olika rättsliga grunder beroende på ändamålet.

Fullgörande av avtal

Behandling av namn, telefonnummer och tekniska identifierare för att registrera, tillhandahålla och administrera ditt konto samt ge dig de centrala funktioner som du själv begär är normalt nödvändig för att fullgöra avtalet om Tjänsten eller för att vidta åtgärder på din begäran innan avtalet ingås.

Om du inte lämnar de uppgifter som behövs för registreringen kan Wivra inte skapa och verifiera ditt konto.

Berättigat intresse

Wivra stödjer viss behandling på ett berättigat intresse. Det gäller framför allt behandling som behövs för att:

  • upprätthålla Tjänstens tekniska säkerhet,
  • förebygga obehörig användning och missbruk,
  • felsöka och ge teknisk support,
  • följa upp funktion och användbarhet,
  • administrera behörigheter, och
  • fastställa, göra gällande eller försvara rättsliga anspråk.

Wivras berättigade intresse är att kunna tillhandahålla, skydda och utveckla en tillförlitlig tjänst samt tillvarata sina rättsliga intressen. Vid användning av denna rättsliga grund ska behandlingen begränsas till vad som är nödvändigt, och Wivra ska beakta användarens intresse av skydd för sina personuppgifter.

Rättslig förpliktelse

Wivra kan behandla eller lämna ut personuppgifter när det är nödvändigt för att fullgöra en rättslig förpliktelse, exempelvis om en behörig svensk myndighet med stöd av lag kräver att uppgifter lämnas ut.

Samtycke

Om en behandling grundas på ditt samtycke ska du få information om detta när samtycket begärs. Du kan när som helst återkalla samtycket. Ett återkallande påverkar inte lagligheten av den behandling som redan har skett innan samtycket återkallades.

Om pushnotiser aktiveras efter ett frivilligt val kan samtycke, när det är tillämpligt, användas som rättslig grund för den behandling som behövs för att skicka notiserna. Tjänstens övriga funktioner ska kunna användas även om du inte aktiverar pushnotiser.

Behandling för informationslämnarens räkning

När Wivra är personuppgiftsbiträde är det informationslämnaren, inte Wivra, som bestämmer vilken rättslig grund behandlingen stödjer sig på. Wivra behandlar då personuppgifterna enligt ett personuppgiftsbiträdesavtal och informationslämnarens dokumenterade instruktioner.

Hur länge sparar Wivra personuppgifterna?

Wivra sparar personuppgifter så länge de behövs för det ändamål som de samlades in för. Uppgifter som krävs för ditt konto behandlas som utgångspunkt så länge kontot är aktivt.

När kontot avslutas eller tas bort raderas eller anonymiseras de personuppgifter som Wivra inte längre behöver. Vissa uppgifter kan dock behöva bevaras under en begränsad tid:

Uppgifter som Wivra behandlar för en informationslämnares räkning

Om informationslämnaren enligt tillämplig lag eller sina dokumenterade bevarande- och gallringsregler måste spara viss information fortsätter Wivra att lagra uppgifterna enligt informationslämnarens instruktioner. För en offentlig informationslämnare kan det bland annat gälla uppgifter som utgör allmänna handlingar och omfattas av regler om bevarande, gallring, arkivering, offentlighet eller sekretess.

Uppgifter som behövs för rättsliga anspråk

Wivra kan efter att kontot har avslutats spara begränsade uppgifter om att kontot har funnits, godkända villkor och relevanta användningshändelser, om uppgifterna behövs för att fastställa, göra gällande eller försvara ett rättsligt anspråk. Uppgifterna sparas då i upp till 6 månader efter att kontot avslutades, om de inte behöver bevaras längre med anledning av ett pågående anspråk eller en rättslig skyldighet.

Uppgifter i säkerhetskopior kan finnas kvar under en begränsad tid innan de skrivs över enligt Wivras ordinarie rutiner. Sådana uppgifter används inte för andra ändamål än återställning, kontinuitet och säkerhet.

Vem får ta del av dina personuppgifter?

Wivra lämnar endast ut eller ger tillgång till personuppgifter när det behövs för de ändamål som beskrivs i denna information. Leverantörer som behandlar personuppgifter för Wivras räkning får endast behandla uppgifterna enligt avtal och Wivras dokumenterade instruktioner.

Informationslämnare som du begär åtkomst hos

När du själv ansöker om åtkomst hos en informationslämnare lämnar Wivra namn, telefonnummer och användar-ID till den valda informationslämnaren. Informationslämnaren blir personuppgiftsansvarig för sin behandling av de mottagna uppgifterna.

Leverantör av SMS-tjänst

Wivra använder Telia Sverige AB, org.nr 556430‑0142, för att skicka det SMS som behövs för att verifiera och aktivera ditt konto. Tjänsten tillhandahålls genom den SMS-lösning som Wivra använder via Sergel/Telia. Endast telefonnumret och de uppgifter som tekniskt behövs för att leverera meddelandet överförs för detta ändamål.

Leverantör för teknisk drift

Wivra använder Connect Stockholm AB, org.nr 556699‑4421, som leverantör för teknisk drift av Tjänsten. Det innebär att leverantören tillhandahåller eller förvaltar delar av den tekniska miljö där Tjänsten körs och därför kan behandla de konto-, användnings- och tekniska uppgifter som behövs för driften. Leverantören behandlar uppgifterna för Wivras räkning och får inte använda dem för egna ändamål.

Firebase och Google för pushnotiser

Om pushnotiser aktiveras använder Wivra Firebase Cloud Messaging. Firebase är en tjänst som tillhandahålls av Google. Google och de underleverantörer som Google anlitar kan därför behandla de tekniska uppgifter som behövs för att skicka notisen till rätt installation.

Uppgifterna omfattar ett slumpmässigt Firebase-installations-ID eller motsvarande enhetstoken samt tekniska anslutningsuppgifter som uppkommer vid kommunikationen, exempelvis IP-adress. Beroende på hur notisen utformas kan även själva notisinnehållet behandlas av tjänsten. Wivra rekommenderar därför att informationslämnare utformar pushnotiser så att känsligt eller integritetskänsligt innehåll inte framgår direkt av notisen.

Pushnotiser är frivilliga. Om du inte aktiverar dem kan du fortfarande använda Tjänsten, men du behöver själv öppna applikationen för att se om ny information finns.

När Wivra behandlar uppgifterna för en informationslämnares räkning anlitas Google som underbiträde inom ramen för informationslämnarens instruktioner och tillämpligt personuppgiftsbiträdesavtal.

Myndigheter och andra mottagare med lagstöd

Wivra kan lämna ut personuppgifter till en svensk myndighet eller annan behörig mottagare om Wivra är skyldigt att göra det enligt lag eller ett rättsligt bindande beslut. En begäran prövas innan uppgifter lämnas ut.

Överföring av personuppgifter utanför EU och EES

Användning av Firebase och Googles infrastruktur kan innebära att personuppgifter görs tillgängliga för eller behandlas av Googlebolag och underleverantörer utanför EU och EES, bland annat i USA.

En sådan överföring får endast ske när det finns stöd enligt dataskyddsförordningens regler om tredjelandsöverföring. Överföringen kan, beroende på mottagare och omständigheter, stödjas på:

  • EU-kommissionens beslut om adekvat skyddsnivå enligt EU–U.S. Data Privacy Framework, om den amerikanska mottagaren omfattas av ramverket,
  • EU-kommissionens standardavtalsklausuler i förening med de kompletterande skyddsåtgärder som bedöms nödvändiga, eller
  • någon annan tillämplig överföringsmekanism enligt dataskyddsförordningen.

Ett eventuellt samtycke till att ta emot pushnotiser är ett val om funktionen. Det ersätter inte kravet på att det även ska finnas ett giltigt stöd för eventuell överföring av personuppgifter utanför EU och EES.

Hur skyddar Wivra personuppgifterna?

Wivra vidtar tekniska och organisatoriska säkerhetsåtgärder som är anpassade till behandlingens art, omfattning och risker. Säkerhetsarbetet bygger på flera skyddsnivåer och omfattar bland annat:

  • behörighetsstyrning och begränsning av åtkomst efter arbetsuppgift och behov,
  • autentisering och kontroll av administrativa behörigheter,
  • loggning och uppföljning av relevanta säkerhetshändelser,
  • skydd av information vid överföring,
  • säkerhetskopiering och rutiner för återställning och kontinuitet,
  • säkerhetsuppdateringar och hantering av identifierade sårbarheter,
  • rutiner för att upptäcka, bedöma och hantera personuppgiftsincidenter,
  • sekretessåtaganden och instruktioner för personal med åtkomst till personuppgifter, och
  • avtal och uppföljning av leverantörer som behandlar personuppgifter.

Åtkomsten till personuppgifter begränsas till de personer som behöver uppgifterna för sina arbetsuppgifter. Säkerhetsåtgärderna ses över och anpassas när Tjänsten, riskbilden eller de rättsliga kraven förändras.

Dina rättigheter

Vilka rättigheter som gäller beror på omständigheterna, vilken personuppgift det gäller och vilken rättslig grund behandlingen stödjer sig på. Rättigheterna är inte absoluta och en begäran kan i vissa fall helt eller delvis avslås om det finns stöd för det i dataskyddsförordningen eller annan lag.

Du kan ha rätt att:

  • få information om hur dina personuppgifter behandlas,
  • begära tillgång till dina personuppgifter och få ett registerutdrag,
  • begära att felaktiga eller ofullständiga uppgifter rättas,
  • begära att uppgifter raderas,
  • begära att behandlingen begränsas,
  • invända mot behandling som grundas på ett berättigat intresse,
  • återkalla ett samtycke när behandlingen grundas på samtycke, och
  • få ut personuppgifter som du själv har lämnat i ett strukturerat, allmänt använt och maskinläsbart format när förutsättningarna för dataportabilitet är uppfyllda.

När Wivra är personuppgiftsansvarig

Om din begäran avser en behandling där Wivra är personuppgiftsansvarig prövar Wivra begäran och återkommer inom den tid som gäller enligt dataskyddsförordningen. Wivra kan behöva begära kompletterande information för att säkerställa din identitet innan begäran hanteras.

När informationslämnaren är personuppgiftsansvarig

Om din begäran avser information som Wivra behandlar som personuppgiftsbiträde är det informationslämnaren som ska pröva begäran. Wivra hänvisar dig då till rätt informationslämnare eller vidarebefordrar begäran i enlighet med de instruktioner som gäller. Wivra bistår därefter informationslämnaren i den utsträckning som följer av personuppgiftsbiträdesavtalet.

Klagomål till Integritetsskyddsmyndigheten

Om du anser att dina personuppgifter behandlas i strid med dataskyddsförordningen har du rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY).

Mer information finns på IMY:s webbplats.

Kontakta Wivra

Personuppgiftsansvarig:
Wivra AB
Org.nr: 559298‑7480
Adress: Övre Frejagatan 29 b, 831 37 Östersund
E-post: info@wivra.se
Telefon: 0771‑10 30 70

Ändringar i denna information

Wivra kan uppdatera denna information om Tjänsten, behandlingen av personuppgifter eller tillämpliga regler förändras. Den senaste versionen publiceras i Tjänsten eller på Wivras webbplats. Om en ändring har väsentlig betydelse för användarna lämnas information på ett lämpligt sätt.