Integritetspolicy

1. Vem ansvarar för dina uppgifter?

Personalvyn är en tjänst som tillhandahålls av Personalvyn AB, organisationsnummer 559608-6792. För våra egna kundkontakter, förfrågningar, avtal, fakturering och administration av tjänsten är bolaget personuppgiftsansvarigt. Kontakta oss på info@personalvyn.se.

När en arbetsgivare använder Personalvyn för sin personal är arbetsgivaren normalt personuppgiftsansvarig för personal-, schema- och arbetstidsuppgifter. Personalvyn behandlar då uppgifterna på arbetsgivarens dokumenterade instruktioner som personuppgiftsbiträde. Arbetsgivaren ska lämna egen information om sin behandling till personalen. Roller och ansvar ska regleras i ett personuppgiftsbiträdesavtal.

Den här policyn ersätter inte arbetsgivarens integritetsinformation eller ett bindande personuppgiftsbiträdesavtal.

2. Vilka uppgifter behandlas?

• Kontakt och registrering: namn, e-postadress, företagsnamn, organisationsnummer, telefonnummer om det lämnas och innehållet i din förfrågan.
• Konto och säkerhet: kontoidentitet, företagskopplingar, behörigheter, inloggnings- och sessionsuppgifter samt tekniska uppgifter som kan förekomma i säkerhets- och felloggar.
• Personaluppgifter som arbetsgivaren lägger in: kontakt- och adressuppgifter, personnummer, anställningsuppgifter, kompetenser, anhöriguppgifter och, där funktionen används, löne- och bankuppgifter.
• Arbetsplanering: scheman, arbetspass, önskemål, tillgänglighet, frånvarouppgifter där de registreras, stämplingar, raster, arbetsplatser och attestering.
• Kommunikation och dokument: meddelanden, notiser, dokument, bilder, utbildningsbevis, avtal, ritade underskrifter och signeringshändelser. En ritad underskrift är juridiskt bindande enligt svensk avtalsrätt.
• Aktiverade integrationer: kund- och fakturauppgifter, löneunderlag där sådant överförs, adresser för kartfunktioner samt enhetens pushidentifierare och notisuppgifter.

3. Ändamål och rättslig grund

Kontaktförfrågningar och kontakt med företagsrepresentanter hanteras med stöd av berättigat intresse enligt artikel 6.1 f GDPR: att besvara frågor och administrera en affärsrelation. När du själv är avtalspart kan nödvändiga åtgärder inför och för att fullgöra avtalet i stället stödjas på artikel 6.1 b.

Administration, säkerhet och felsökning bygger på vårt berättigade intresse av att tillhandahålla och skydda tjänsten. Bokföringsuppgifter behandlas för att uppfylla rättsliga förpliktelser enligt artikel 6.1 c. Intresseavvägningar behöver dokumenteras och du har rätt att invända mot behandling grundad på berättigat intresse.

För behandling på arbetsgivarens uppdrag bestämmer arbetsgivaren ändamål och rättslig grund. Ett biträdesavtal är inte i sig en rättslig grund för arbetsgivarens behandling. Arbetsgivaren ansvarar även för förutsättningarna för personnummer och eventuella känsliga personuppgifter enligt bland annat artikel 9.

Namn, e-post och de övriga obligatoriska uppgifterna behövs för att hantera respektive formulär. Om de saknas kan förfrågan eller registreringen inte genomföras. Valfria uppgifter behöver inte lämnas. Lämna inte känsliga personuppgifter i kontaktformuläret.

4. Vem får tillgång till uppgifter?

Uppgifter kan vara tillgängliga för behöriga användare hos din arbetsgivare och för behöriga personer som behöver dem för drift, support, kundadministration eller rättsliga skyldigheter. Plattformens ägare har administrativ åtkomst för att hantera kundföretag och support. Åtkomst ska begränsas till vad uppgiften kräver.

Tjänsten använder en molnleverantör för databas, inloggning och filhantering, en mejlleverantör för utskick samt en leverantör av pushnotiser när du aktiverar dem. Google Maps och geokodning används när kart- och adressfunktioner öppnas. Fortnox används när en behörig administratör ansluter och använder integrationen eller när leverantören fakturerar kunden.

Vilken roll varje leverantör har, vilka underleverantörer som används och vilka uppgifter som skickas ska framgå av de avtal och funktioner som är aktuella. Uppgifter kan även lämnas ut till myndigheter om lag kräver det.

5. Lagringsländer och överföringar

Personalvyns egen databas, inloggning och fillagring ligger inom EU/EES, i molnleverantörens region i Irland. Det framgår av tjänstens aktuella driftkonfiguration och gäller de uppgifter som lagras i appen.

Kartor, typsnitt, pushnotiser och mejl tillhandahålls av externa tjänster som kan behandla uppgifter utanför EU/EES. Före behandling av riktiga personaluppgifter ska kunden få uppgifter om aktuella underbiträden och behandlingsländer i biträdesavtalet. Om en tredjelandsöverföring sker måste en tillämplig rättslig mekanism och vid behov kompletterande skyddsåtgärder finnas, exempelvis ett tillämpligt beslut om adekvat skyddsnivå eller EU-kommissionens standardavtalsklausuler. Kontakta oss för avtalsunderlaget och information om skyddsåtgärderna.

6. Hur länge sparas uppgifterna?

Utgångspunkten är att uppgifter inte ska sparas längre än vad ändamålet kräver. Kontaktärenden bedöms utifrån om ärendet fortfarande är aktuellt, om en kundrelation pågår och om uppgifter behövs för rättsliga anspråk. De praktiska gallringsrutinerna och lagringstiderna per uppgiftskategori behöver fortfarande fastställas och dokumenteras; denna sida utlovar inte en automatisk radering vid en viss tidpunkt.

Räkenskapsinformation som omfattas av svensk bokföringslag ska normalt bevaras till och med det sjunde året efter utgången av det kalenderår då räkenskapsåret avslutades. Detta innebär inte att alla kontakt-, personal- eller dokumentuppgifter ska sparas lika länge.

För arbetsgivarens uppgifter styr dokumenterade instruktioner och biträdesavtalet återlämning och radering. Avslutad anställning eller utgången provperiod betyder inte att alla uppgifter raderas automatiskt. Samma konto kan finnas hos flera arbetsgivare. Säkerhetskopior, tekniska loggar och leverantörers kopior måste omfattas av särskilda, verifierade gallringsrutiner.

7. Dina rättigheter

Beroende på behandling och rättslig grund kan du begära tillgång till dina uppgifter, rättelse, radering, begränsning och dataportabilitet. Du kan invända mot behandling som grundas på berättigat intresse. Om en behandling grundas på samtycke kan du återkalla det utan att det påverkar lagligheten före återkallelsen. Radering är inte en ovillkorlig rätt, exempelvis när uppgifter måste sparas enligt lag.

För uppgifter som vi ansvarar för kontaktar du info@personalvyn.se. Vi kan behöva verifiera din identitet på ett proportionerligt sätt. Skicka inte en kopia av en identitetshandling eller känsliga uppgifter i ditt första mejl. Begäran ska normalt besvaras inom en månad; GDPR medger förlängning i vissa fall, då ska du informeras.

För uppgifter som din arbetsgivare ansvarar för kontaktar du i första hand arbetsgivaren. Om du kontaktar oss hjälper vi till att hänvisa ärendet till rätt ansvarig och bistår enligt biträdesavtalet. Du har rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY).

8. Säkerhet och incidenter

Personalvyn använder företagsavgränsade behörigheter och privata filutrymmen. Det ersätter inte kundens ansvar att välja rätt behörigheter, skydda inloggningsuppgifter och endast registrera nödvändiga uppgifter. Ingen tjänst kan garantera fullständig säkerhet.

Misstänkta personuppgiftsincidenter ska rapporteras till oss utan dröjsmål. Ett biträde ska underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått vetskap om en incident. Den ansvarige bedömer om anmälan till IMY krävs, normalt inom 72 timmar från vetskap där GDPR:s förutsättningar är uppfyllda.

9. Automatiserade beslut och ändringar

Tjänsten har funktioner för planering, kontroll av kompetenser och hantering av arbetspass. De innebär inte i sig att Personalvyn fattar sådana helt automatiserade beslut med rättsliga eller liknande betydande följder som avses i artikel 22 GDPR. Arbetsgivaren ansvarar för hur funktionerna används och för information om eventuell egen automatiserad behandling.

Policyn uppdateras när behandling eller verifierade leverantörsuppgifter ändras. Väsentliga förändringar ska kommuniceras på ett lämpligt sätt. Det publicerade versionsdatumet visar när texten senast ändrades.

10. Känsliga uppgifter, personnummer och barn

Personalvyn är byggt för planering av arbete, inte för hälso- eller medicinska uppgifter. Arbetsgivaren bör inte registrera orsak till sjukfrånvaro, diagnoser eller andra känsliga personuppgifter i fritext, meddelanden eller dokument om det inte är nödvändigt och tillåtet.

Personnummer används för att säkert identifiera anställda, till exempel vid stämpling i den gemensamma stämpelklockan, och ska bara användas när det är klart motiverat med hänsyn till ändamålet och vikten av säker identifiering.

Tjänsten riktar sig till företag och deras anställda. Om en arbetsgivare registrerar anställda under 18 år ansvarar arbetsgivaren för att behandlingen är anpassad efter det.

11. Mejl, notiser och marknadsföring

Vi skickar mejl som behövs för tjänsten, till exempel bekräftelse av konto, återställning av kod, påminnelse om att provperioden snart går ut och svar på förfrågningar. Pushnotiser skickas bara om du själv har aktiverat dem på din telefon och kan stängas av i appens inställningar eller telefonens inställningar.

Vi skickar inte nyhetsbrev eller reklam till anställda som använder appen. Om vi skickar information om Personalvyn till kontaktpersoner hos kundföretag kan du när som helst tacka nej genom att svara på mejlet eller skriva till info@personalvyn.se.

12. Klagomål till tillsynsmyndighet

Om du anser att dina personuppgifter behandlas felaktigt vill vi gärna att du kontaktar oss först så att vi kan rätta till det. Du har alltid rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy@imy.se, www.imy.se.

13. Antal besökare online och idag på hemsidan

På den publika hemsidan används en tillfällig slumpidentifierare i sidans arbetsminne för att uppskatta antalet aktiva besök. Ingen cookie, localStorage eller annan bestående webbläsarlagring används av denna räknare. Identifieraren kopplas inte till namn, konto, företag eller besökta sidors adresser. Flera öppna flikar eller en omladdning kan därför räknas som flera besök; antalet är inte ett exakt antal personer.

Sidan skickar en livssignal var 30:e sekund så länge den är synlig. Besök räknas som aktiva i 90 sekunder efter senaste signalen. Dagens besök räknas en gång per tillfällig identifierare och kalenderdag i svensk tid (Europe/Stockholm), även om besöket lämnar hemsidan. Endast plattformsägaren kan läsa totalsiffrorna. För att begränsa missbruk används också en kortlivad hash av den anslutande IP-adressen; själva IP-adressen sparas inte av räknaren. Aktiva besöksposter och begränsningsnycklar gallras av tjänstens timvisa städning när de är äldre än fem minuter. För dagens antal sparas bara en hash av slumpidentifieraren, miljö och datum; dessa poster gallras vid nästa timvisa städning efter dygnets slut. Driftleverantörens vanliga tekniska loggar har separata lagringsrutiner.

Ändamålet är en begränsad överblick över pågående besök och dagens besöksantal, utan bestående besökarhistorik. Avsedd rättslig grund är berättigat intresse enligt artikel 6.1 f GDPR. Intresseavvägning och behov av ytterligare samtycke behöver granskas innan policyn betraktas som fullständig. Du kan invända genom att kontakta info@personalvyn.se.