Integritetspolicy

1. Vem ansvarar för dina uppgifter

Din arbetsgivare (bemannings- eller bevakningsbolaget som använder Vaktbas) är personuppgiftsansvarig. De bestämmer vilka uppgifter som samlas in och varför.

Mediab utvecklar och driftar Vaktbas som personuppgiftsbiträde och behandlar uppgifterna enbart på arbetsgivarens dokumenterade instruktioner, enligt ett personuppgiftsbiträdesavtal.

Mediab är en enskild näringsverksamhet som drivs av Qendrim Berisha, Aromavägen 40D, 269 37 Båstad. En enskild näringsverksamhet är inte en juridisk person och tilldelas därför inget organisationsnummer. Verksamheten identifieras i stället med innehavarens personliga identitetsbeteckning, som inte publiceras här. Behöver du den för bokföring eller avstämning lämnas den på begäran, och den framgår av varje faktura.

Frågor om dataskydd: dataskydd@mediab.se eller info@mediab.se. Du kan också vända dig till Integritetsskyddsmyndigheten.

2. Vilka uppgifter appen behandlar

• Kontouppgifter: namn, e-post, telefonnummer, adress, profilbild, roll och anställningsform.
• Personnummer, bara om din arbetsgivare har aktiverat det: du anger det själv när du skapar ditt konto eller i din profil. Det lagras krypterat, och bara du och din arbetsgivares administratör kan se det. Administratören ser det dolt och måste själv välja att visa hela numret, och varje sådan visning loggas. Ledare och kollegor ser det aldrig.
• Behörighet: ditt förordnande eller din legitimation och giltighetstid, för att visa att du får utföra uppdraget. Om din arbetsgivare har aktiverat det kan du också ladda upp ett foto av ditt förordnande. Fotot ser bara du och administratören.
• Schema och tid: dina pass, tillgänglighet, in- och utstämplingar och frånvaro.
• Plats: din position registreras bara i det ögonblick du själv gör något: när du stämplar in eller ut, kvitterar en rondpunkt eller skickar en incidentrapport. Det är ett närvarobevis. Ingen spårning sker mellan de tillfällena, och inget registreras utan att du trycker. Som standard sparas avståndet till objektet, inte dina koordinater. Bara om ditt företag valt att spara koordinater lagras position vid stämpling, rondkvittering och incidentrapport.
• Incidentrapporter: text och foton du själv lämnar in. Dessa kan innehålla känsliga uppgifter och rapportens text lagras krypterad i databasen.
• Meddelanden: text- och röstmeddelanden du skickar i appens chatt.
• Teknik: en enhetsidentifierare (push-token) för att kunna skicka notiser till din telefon.

Vaktbas begär åtkomst till kamera (för att skanna rondpunkternas koder, ta foton till rapporter och fotografera ditt förordnande), plats (vid stämpling, rondkvittering och incidentrapport), bilder (profilbild, foto av ditt förordnande och foton du bifogar) och mikrofon (röstmeddelanden). Åtkomsten används bara för de funktionerna och du styr den i telefonens inställningar.

Frånvaro och hälsa

När du registrerar frånvaro anger du en kategori (till exempel sjuk, vård av barn, arbetsskada eller semester). Sjukfrånvaro och arbetsskada rör din hälsa, och vård av barn rör ett barns hälsa. Det är känsliga uppgifter (särskild kategori enligt artikel 9 i GDPR). Behandlingen sker med stöd av artikel 9.2 b, det vill säga skyldigheter och rättigheter inom arbetsrätten och den sociala tryggheten, förankrat i svensk lag. Appen frågar aldrig efter diagnos eller detaljer, bara kategorin. Uppgiften ser bara du själv och behörig arbetsledare eller administratör för din personal.

Personer som inte är appanvändare

I vissa fall behandlas uppgifter om personer som inte själva använder appen:

• Avstängda (portade) personer: namn, ett foto och en notering om avstängningen, så att personalen kan känna igen personen. En sådan notering kan röra ordningsstörning eller liknande.
• Inhyrd personal utan konto: namn och telefonnummer för bemanning.
• Kundens kontaktpersoner: namn och e-post.

Ansvaret för att informera dessa personer (artikel 14) ligger hos den personuppgiftsansvarige arbetsgivaren, till exempel genom sin egen information eller skyltning på plats.

3. Varför uppgifterna behandlas

För att sköta bemanning och schema, registrera arbetad tid, möjliggöra kommunikation mellan personal och ledning, hantera incidenter samt ta fram underlag för lön och fakturering. Den lagliga grunden bestäms av din arbetsgivare, vanligtvis fullgörande av anställningsavtal, rättslig förpliktelse eller berättigat intresse, och för hälsouppgifter artikel 9.2 b enligt avsnitt 2.

Har din arbetsgivare aktiverat personnummer och foto av förordnandet är ändamålet att säkert identifiera dig och visa att ditt förordnande gäller. Personnummer får bara behandlas när det är klart motiverat (3 kap. 10 § dataskyddslagen), och den bedömningen gör din arbetsgivare innan uppgifterna samlas in.

4. Var uppgifterna lagras

Kärndata (konton, schema, tid, meddelanden, filer) lagras hos Mediabs databasleverantör inom EU. Åtkomsten är rollstyrd: du ser dina egna uppgifter, ledare ser sin personal, och incidentrapportens text är krypterad även i databasen, liksom ditt personnummer om det samlas in. Överföring sker krypterat (TLS). Ett fåtal tekniska mottagare finns utanför EU, se avsnitt 5.

5. Mottagare och underbiträden

Dina uppgifter säljs aldrig och delas inte för marknadsföring. För att appen ska fungera anlitar Mediab ett fåtal leverantörer som behandlar data på Mediabs dokumenterade instruktioner:

• Databas och lagring (Supabase), inom EU: konton, schema, meddelanden och filer, i Stockholm. Där ligger också kontokatalogen för inloggningen: din e-post, ditt lösenord (hashat), ditt mobilnummer och vilka företag du hör till. Aldrig ditt personnummer.
• Webbversionen (HostUp i Sverige och Cloudflare): när du öppnar Vaktbas i en webbläsare hämtas appens filer från HostUp, och trafiken passerar Cloudflare, som skyddar sajten. De ser din IP-adress och vilken fil som hämtas, inte dina uppgifter i appen.
• Push-notiser (Expo), utanför EU: för att leverera aviseringar tar tjänsten emot din push-token och notistexten, och lämnar den vidare till Apple respektive Google för leverans till din telefon. Överföringen sker med lagliga skyddsåtgärder (dataskyddsramverket EU-USA eller standardavtalsklausuler).
• Supportmejl (Resend), utanför EU: endast om du skickar ett supportärende, med samma skyddsåtgärder som ovan.
• E-postutskick: inbjudan och lösenordsåterställning skickas som e-post till din inkorg.
• Väderprognos (Open-Meteo): hemskärmen visar vädret vid ditt nästa pass. För att hämta prognosen skickar appen objektets ort eller koordinater till väderleverantören, som samtidigt ser din enhets IP-adress. Inga kontouppgifter, inga namn och ingen av dina egna positioner skickas dit.
• Kalendertjänsten du själv väljer: väljer du att prenumerera på ditt schema i din kalender hämtar den tjänsten (till exempel Apple, Google eller Microsoft) dina pass med tid och objekt. Prenumerationen startar bara om du lägger till länken, och du kan ta bort den när du vill. Appen läser eller ändrar aldrig i telefonens kalender.
• Bokföringsprogram: endast om din arbetsgivare aktiverar löne- eller fakturaexport, och endast de uppgifter som exporten kräver. Det sker mot arbetsgivarens eget program. Ditt personnummer ingår inte i exporten.

En uppgift lämnar appen redan på din inloggning:

• Företagsuppslag vid inloggning: när du loggar in slås din e-postadress upp för att visa vilket eller vilka företag du tillhör.

6. Hur länge uppgifterna sparas

Uppgifterna sparas så länge du är aktiv i tjänsten och därefter enligt din arbetsgivares gallringsregler och gällande lag (till exempel bokförings- och arbetsrättsliga krav). Vissa detaljer rensas automatiskt tidigare:

• Exakta positioner vid stämpling, om ditt företag valt att spara koordinater: efter 90 dagar (bara närvaron finns kvar).
• Platsuppgift på incidenter: efter 12 månader.
• Systemets säkerhetslogg: efter 18 månader.
• Notiser i appen: efter 30 respektive 180 dagar.
• Avstängda personer: när avstängningstiden gått ut.
• Foto av förordnandet: ett foto som du ersätter med ett nytt raderas automatiskt.
• Incidentrapporter och frånvaro: efter den tid din arbetsgivare valt, som standard 2 år.
• Namn och telefon på inlånad personal: 12 månader efter passet.
• Loggen över inloggningar, om din arbetsgivare för en: efter 12 månader.

Chatt och röstmeddelanden gallras automatiskt efter 24 månader. Avslutade supportärenden gallras 12 månader efter att de avslutats. Arbetade tider och rondskanningar gallras inte automatiskt utan bevaras tills din arbetsgivare raderar dem eller anställningen avslutas. Vid radering på begäran avidentifieras din profil, dina supportärenden raderas och säkerhetsloggen skrubbas. Har du lämnat personnummer eller foto av förordnandet raderas de också. Kontakta din arbetsgivare för att få även övriga uppgifter raderade.

7. Inga automatiska beslut eller spårning

Vaktbas fattar inga automatiserade beslut om dig och gör ingen profilering (artikel 22 i GDPR). Bemanning, godkännanden och avstängningar beslutas alltid av en människa. Appen innehåller inga tredjepartsverktyg för reklam eller beteendeanalys. Den tekniska felrapportering som används för att hålla appen stabil sker inom EU och utan personuppgifter.

8. Dina rättigheter

Du har rätt att begära tillgång till dina uppgifter, rättelse, radering, begränsning och dataportabilitet, samt att invända mot viss behandling. Eftersom din arbetsgivare är personuppgiftsansvarig vänder du dig i första hand till dem. De kan ta ut ett registerutdrag med allt Vaktbas har om dig direkt i appen. Du kan alltid höra av dig till Mediab på dataskydd@mediab.se, så hjälper jag till.

Är du missnöjd med hur dina uppgifter behandlas har du rätt att klaga hos Integritetsskyddsmyndigheten (IMY).

9. Barn

Vaktbas är ett arbetsverktyg och riktar sig inte till barn. Appen samlar inte medvetet in uppgifter om personer under 16 år.

10. Ändringar

Policyn kan uppdateras när tjänsten utvecklas eller lagen ändras. Den senaste versionen finns alltid på den här sidan, med datum högst upp.

11. Kontakt

Frågor om personuppgifter eller den här policyn: dataskydd@mediab.se. Övriga frågor om appen tas på supportsidan.