Integritetspolicy

1. Personuppgiftsansvarig

Tengwe AB, organisationsnummer 559580-8337, Färnebogatan 62, 123 42 Farsta är personuppgiftsansvarig för den behandling som beskrivs i denna policy, om inte annat anges i ett separat avtal.

Du når oss på hej@foveoapp.com.

När Foveo tillhandahålls direkt till en privatperson eller familj är Foveo personuppgiftsansvarig. När en organisation, till exempel en assistansanordnare, skola eller omsorgsverksamhet, bjuder in användare och bestämmer ändamålet med behandlingen i sin verksamhet är organisationen personuppgiftsansvarig och Foveo är personuppgiftsbiträde åt organisationen enligt artikel 28 GDPR. Sådan behandling regleras i ett separat personuppgiftsbiträdesavtal.

2. Vilka personer policyn gäller

Policyn gäller dig som använder Foveo som kontoägare, administratör, assistent, familjemedlem, supportkontakt eller besökare på webbplatsen.

Den gäller också personuppgifter om den brukare eller det barn som vardagsstödet avser, när sådana uppgifter läggs in i tjänsten av en behörig användare.

3. Vilka personuppgifter vi behandlar

Vilka uppgifter som behandlas beror på hur tjänsten används. Foveo är byggt för att hålla uppgifterna praktiska och begränsade, men vissa uppgifter kan ändå vara integritetskänsliga.

• Kontouppgifter: namn, e-postadress, språk, inloggningsuppgifter, autentiserings-id och tekniska uppgifter kopplade till sessionen. Lösenord hanteras av vår autentiseringsleverantör och lagras inte i klartext hos Foveo.
• Organisations- och rolluppgifter: organisation, medlemmar, inbjudningar, behörigheter, administratörsroll, assistentroll och vilka brukare en användare har tillgång till.
• Brukaruppgifter: namn, eventuell kort anteckning, aktiv eller arkiverad status och koppling till organisation.
• Rutiner och avbockningar: rutinrubriker, beskrivningar, tider, upprepning, kategori, påminnelseinställningar, vem som bockat av, tidpunkt, datum och eventuell kort kommentar.
• Pass och närvaro: planerade assistanspass, ändringar av pass, incheckning, utcheckning och automatisk stängning av pass.
• Överlämningar: stämningsmarkering, korta fält, praktiska observationer inför nästa pass och tidpunkt för överlämning.
• Checklistor: checklistor, listpunkter, delningsstatus och vilka punkter en användare markerat som klara.
• Instruktioner: korta hanteringsguider som administratörer skrivit per brukare, samt tidpunkt för senaste ändring.
• Lager: artikelnamn, kategori, enhet, antal, miniminivå, beräknad förbrukning, beställningsmarginal, justeringar och eventuella korta anteckningar. Artiklar kan exempelvis avse hygienprodukter, sondmat eller medicin som användaren själv väljer att registrera.
• Support: ärenden, meddelanden, kategori, prioritet, status, appversion, plattform, operativsystem, språk, senaste vy, samt frivillig koppling till organisation eller brukare.
• Väntelista och webbplats: e-postadress, språk, källa och tekniska uppgifter som behövs för att skydda formulär mot missbruk.
• Pushnotiser: enhetens push-token, plattform och tekniska leveransuppgifter, samt innehållet i själva notisen (till exempel en rutinrubrik eller ett artikelnamn) för påminnelser och lagerlarm. Notisens innehåll vidarebefordras via våra push-leverantörer (se punkt 10).
• Drifts- och leveransloggar: tekniska loggar om till exempel om en pushnotis kunde skickas och eventuella fel, samt enkel statistik om hur tjänsten används internt. Loggarna kan innehålla användar-id och enhetsidentifierare och används för drift, säkerhet och felsökning.
• Kakor på webbplatsen: vi använder för närvarande endast nödvändiga kakor för inloggning, språkval och grundläggande drift. Vi använder inte spårnings- eller marknadsföringskakor.
• Lokala uppgifter på din enhet: appen kan spara session, inställningar, tillfälliga formulärutkast och offline-cache på din enhet så att Foveo fungerar bättre även vid svag uppkoppling.

4. Särskilt om känsliga uppgifter

Foveo är byggt för kort och praktisk vardagsinformation. Skriv bara det som behövs för att dagens stöd ska fungera och för att nästa person ska förstå vad som ska göras.

Uppgifter om hälsa kan vara känsliga personuppgifter enligt GDPR. Eftersom Foveo används kring personlig assistans kan känsliga uppgifter ändå förekomma, till exempel om en användare skriver in medicinpåminnelser, sondmat, hygienrutiner eller hälsorelaterade observationer.

När känsliga uppgifter behandlas görs det endast för att tillhandahålla den funktion som användaren valt att använda och för att ge behöriga användare åtkomst inom rätt organisation och brukarvy. Kontoägare och administratörer ansvarar för att bara lägga in uppgifter som är nödvändiga och att de har rätt att dela dem med de personer de bjuder in.

5. Varifrån uppgifterna kommer

• Från dig när du skapar konto, loggar in, använder appen, kontaktar support eller skriver upp dig på väntelistan.
• Från kontoägare eller administratörer som bjuder in användare, skapar brukarprofiler, lägger upp rutiner eller ger behörigheter.
• Från assistenter och andra behöriga användare som bockar av rutiner, lämnar över, justerar lager eller skriver supportärenden.
• Från din enhet och våra tekniska system när appen behöver hantera inloggning, offline-läge, pushnotiser, säkerhet och felsökning.

6. Varför vi behandlar personuppgifter

• För att skapa och hantera konton, inloggning och behörigheter.
• För att tillhandahålla Foveos kärnfunktioner: rutiner, pass, avbockningar, överlämningar, checklistor, lager och påminnelser.
• För att synka information mellan behöriga användare i samma organisation eller brukarvy.
• För att skicka pushnotiser om rutiner och lager när användaren har aktiverat notiser. Detta kräver både att enheten lämnar tillstånd via operativsystemet (iOS, Android) och att användaren registrerar sig för notiser i appen.
• För att ge support, felsöka problem och hantera säkerhetsincidenter.
• För att kontakta personer som skrivit upp sig på väntelistan eller bett om information om Foveo.
• För att skydda tjänsten mot missbruk, obehörig åtkomst och tekniska fel.
• För att uppfylla rättsliga skyldigheter, till exempel bokföring eller hantering av rättsliga anspråk om sådana uppstår.

7. Rättsliga grunder

Vi använder olika rättsliga grunder enligt artikel 6 GDPR beroende på behandlingens syfte.

Foveo behandlar inte avsiktligt känsliga personuppgifter enligt artikel 9 GDPR och uppmuntrar användare att inte lägga in sådan information. Om en användare ändå väljer att registrera känsliga uppgifter, till exempel hälsorelaterade observationer, sker behandlingen utifrån användarens aktiva val att lägga in informationen och begränsas till den valda funktionen.

• Avtal: när behandlingen behövs för att skapa konto, ge åtkomst till tjänsten, hantera support eller leverera funktioner som användaren begär.
• Berättigat intresse: när vi behöver skydda tjänsten, felsöka, förbättra grundläggande drift, hantera säkerhet, svara på supportfrågor eller kommunicera med användare på ett rimligt och väntat sätt.
• Samtycke: när vi ber om ett frivilligt godkännande, till exempel för pushnotiser eller väntelista.
• Rättslig förpliktelse: när vi måste spara eller lämna ut uppgifter enligt lag, myndighetsbeslut eller bokföringsregler.

8. Barn och personer som behöver stöd

Foveo är byggt för vuxna kontoägare, vårdnadshavare, gode män, administratörer och assistenter. Barn ska inte själva skapa konto eller administrera tjänsten utan ansvarig vuxen.

Den som lägger in uppgifter om ett barn eller en annan person ansvarar för att ha rätt att göra det och för att informationen är nödvändig, korrekt och lämplig för de personer som får åtkomst.

Information som riktas direkt till barn ska vara klar och begriplig. Foveos nuvarande app är i första hand riktad till vuxna användare runt barnet eller brukaren.

9. Vem som kan se uppgifter i Foveo

Åtkomst styrs av organisation, brukarvy och roll. En administratör kan bjuda in användare och ge behörighet. Assistenter ser de uppgifter de behöver för de brukare de har tillgång till.

Foveos personal kan behöva se supportärenden och begränsade tekniska uppgifter för att hjälpa användare och driva tjänsten. Vi ska inte läsa innehåll i en organisation mer än vad som behövs för support, säkerhet eller drift.

10. Leverantörer och överföringar

Vi använder ett fåtal leverantörer som behandlar personuppgifter åt oss. Behandlingen omfattas av respektive leverantörs personuppgiftsbiträdesavtal.

• Supabase: databas och inloggning. Konfigureras att hostas i en EU-region.
• Amazon Web Services (S3): lagrar säkerhetskopior av databasen. Hostas i EU-region (Stockholm).
• Vercel: webbhosting och innehållsleverans (CDN) för webbappen. Behandlar teknisk request-metadata, till exempel IP-adress och URL, i driftloggar via ett globalt nät, vilket kan innebära behandling utanför EU/EES.
• Expo: förmedlar pushnotiser, inklusive notisens innehåll, till iOS, Android och webb. Behandlas i USA.
• Resend: skickar e-post till väntelistan och liknande utskick. Behandlas i USA.
• Apple och Google: tar emot pushnotiser, inklusive notisens innehåll, via sina notistjänster (APNs respektive Firebase Cloud Messaging) och distribuerar appen i App Store och Google Play. Behandling kan ske utanför EU/EES.

11. Var uppgifter lagras

Vår produktdatabas är konfigurerad att hostas hos Supabase i en EU-region. Säkerhetskopior av databasen lagras hos AWS S3 i Stockholm (eu-north-1). Pushnotiser (inklusive notisens innehåll), e-post och webbhostingens driftloggar kan behandlas utanför EU/EES av våra push-, e-post- respektive hostingleverantörer.

För överföringar utanför EU/EES förlitar vi oss på EU-kommissionens standardavtalsklausuler (SCC) tillsammans med leverantörens egna skyddsåtgärder. Hör av dig om du vill veta mer om en specifik överföring.

12. Hur länge uppgifter sparas

Vi sparar personuppgifter bara så länge de behövs för de syften som beskrivs i denna policy, om inte längre lagring krävs enligt lag eller för att hantera ett rättsligt anspråk.

• Konton, organisationer, brukaruppgifter, rutiner, pass, överlämningar, checklistor och lager sparas så länge kontot eller organisationen är aktiv och uppgifterna inte raderas av behörig användare.
• Arkiverade brukare kan ligga kvar för att organisationen ska kunna behålla nödvändig historik. Vi strävar efter att inte spara arkiverade uppgifter längre än vad som behövs och tar gärna emot begäran om radering.
• Supportärenden sparas så länge de behövs för support, uppföljning och säkerhet, och raderas på begäran.
• Väntelisteuppgifter sparas tills du begär radering eller tills de inte längre behövs för beta- och lanseringskommunikation.
• Push-tokens uppdateras eller tas bort när de inte längre kan leverera notiser, samt på begäran.
• Säkerhetskopior och tekniska loggar skrivs över löpande enligt våra leverantörers ordinarie rutiner.

13. Säkerhet

Vi skyddar personuppgifter med tekniska och organisatoriska åtgärder som är anpassade efter uppgifternas känslighet.

• Inloggning krävs för appens privata delar.
• Databasen använder radnivåskontroll för att begränsa åtkomst mellan organisationer, brukare och roller.
• Behörigheter styr vem som får se och ändra uppgifter.
• Kommunikation med våra servrar sker över krypterade anslutningar.
• Vi försöker begränsa fritext och uppmuntrar användare att bara skriva praktisk information.
• Enhetens lokala cache kan innehålla uppgifter från appen. Skydda därför din telefon, surfplatta eller dator med låskod och dela inte inloggning.

14. Personuppgiftsincidenter

Vid en personuppgiftsincident som innebär en risk för dina rättigheter och friheter anmäler vi incidenten till Integritetsskyddsmyndigheten (IMY) inom 72 timmar enligt artikel 33 GDPR. När incidenten innebär en hög risk informerar vi också berörda registrerade enligt artikel 34 GDPR.

15. Dina rättigheter

Du har rättigheter enligt GDPR. Vilka rättigheter som gäller i det enskilda fallet beror på behandlingen och den rättsliga grunden.

• Du kan begära information om vilka personuppgifter vi behandlar om dig.
• Du kan begära rättelse av felaktiga uppgifter.
• Du kan begära radering när uppgifterna inte längre behövs eller när annan rättslig grund saknas.
• Du kan begära begränsning av behandling.
• Du kan invända mot behandling som sker med stöd av berättigat intresse.
• Du kan begära dataportabilitet för uppgifter som behandlas med stöd av avtal eller samtycke och som du själv lämnat.
• Du kan återkalla samtycke för framtida behandling när behandlingen bygger på samtycke.

16. Automatiserat beslutsfattande

Foveo använder inte automatiserat beslutsfattande, inklusive profilering, som har rättsliga eller på liknande sätt betydande verkningar för dig enligt artikel 22 GDPR. Påminnelser och notiser är schemalagda av användarna själva.

17. Klagomål

Kontakta oss gärna först på hej@foveoapp.com om du har frågor eller vill använda dina rättigheter.

Du har också rätt att lämna klagomål till Integritetsskyddsmyndigheten, IMY, om du anser att personuppgifter behandlas felaktigt.

18. Ändringar

Vi kan uppdatera denna policy när Foveo utvecklas, när leverantörer ändras eller när lagen kräver det. Vid viktiga ändringar informerar vi på ett rimligt sätt i appen, via e-post eller på webbplatsen.