Integritetspolicy

1. Vem ansvarar för vad

Flinky har två olika roller, och vilken som gäller avgör vem du ska vända dig till.

För ditt användarkonto är Flinky AB personuppgiftsansvarig. Det gäller namn, kontaktuppgifter, inloggning, legitimering och den support du får av oss.

För de uppgifter en organisation lägger in i Flinky — medlemsregistret, ärenden, bokföringen, meddelandena — är organisationen personuppgiftsansvarig och Flinky personuppgiftsbiträde. Vi behandlar de uppgifterna på organisationens instruktion och inte för våra egna syften. Det regleras i ett personuppgiftsbiträdesavtal mellan oss och organisationen.

Det betyder i praktiken: handlar din fråga om ditt konto, hör av dig till oss. Handlar den om vad som står om dig i din förenings register, vänd dig till föreningen — vi hjälper föreningen att genomföra det den beslutar.

2. Vilka uppgifter vi behandlar

• Kontouppgifter: namn, e-postadress, telefonnummer, lösenord i hashad form, och den profilbild du eventuellt laddar upp.
• Personnummer, när du lämnar det själv eller när du legitimerar dig med BankID. Numret lagras krypterat — se avsnittet om säkerhet.
• Legitimeringsuppgifter: att du har legitimerat dig, när, och de folkbokföringsuppgifter som hämtas vid legitimeringen (namn och adress) samt uppgift om styrelseuppdrag, för att kunna koppla dig till rätt organisation.
• Din koppling till en organisation: roller, behörigheter, bostad eller hushåll, och om du är medlem, boende, anställd eller styrelseledamot.
• Det du skriver och laddar upp i tjänsten: meddelanden, kommentarer, ärenden, dokument, bilder och bokföringsunderlag.
• Uppgifter om användningen: inloggningar, åtgärder som sparas i ändringslogg, och felhändelser som uppstår när något går sönder.
• IP-adress, i de flöden där den har betydelse — vid en elektronisk underskrift, där den är en del av underskriftsbeviset, och vid ett samtycke som behöver kunna styrkas i efterhand.
• Uppgifter om barn, i en förskoleverksamhet: barnets namn, födelsedatum, närvaro och vårdnadshavarens kontaktuppgifter. Uppgifterna läggs in av organisationen, som också är ansvarig för dem.

3. Ändamål och rättslig grund

Vi behandlar inte dina uppgifter för marknadsföring, vi profilerar dig inte, och vi fattar inga automatiska beslut om dig med rättslig verkan. Det vi gör är det här:

• Att ge dig tillgång till tjänsten och till din organisations uppgifter — grunden är avtalet med dig eller med organisationen.
• Att legitimera dig med BankID innan du får en roll som ger åtkomst till andras personuppgifter — grunden är avtalet, och vårt och organisationens berättigade intresse av att inte dela ut åtkomst till någon vi inte vet vem det är.
• Att hålla tjänsten säker: loggning, spärrar mot överbelastning, felsökning och uppföljning av incidenter — grunden är vårt berättigade intresse.
• Att ge support när du ber om det — grunden är avtalet.
• Att bevara bokföringsmaterial och annat som lag kräver — grunden är en rättslig förpliktelse.
• För organisationens egen behandling gäller organisationens grund. En förening är till exempel skyldig enligt lag att föra medlemsförteckning, och behöver medlemmarnas uppgifter för att kunna ta ut avgifter och kalla till stämma.

4. Personnummer

Ett personnummer behövs på två ställen: för att legitimera dig med BankID, och för att kunna knyta en person i ett medlemsregister till rätt människa — två hushåll kan ha samma namn.

Numret lagras krypterat, med en nyckel som ligger i en nyckelhanteringstjänst inom EU och som inte följer med en databaskopia. Ett uppslag sker mot ett krypterat index, så att numret inte behöver läsas i klartext för att hittas, och i gränssnittet visas det maskerat. Att hela numret syns kräver en behörighet som bara styrelsen och motsvarande roller har.

Vi delar aldrig ett personnummer med en annan medlem, och personnummer ingår inte i de uppgifter som kan speglas till en extern dokumenttjänst.

5. Vilka som får se uppgifterna

Inom tjänsten ser du det din roll i organisationen ger dig rätt att se. En boende ser sitt eget hushåll och föreningens gemensamma information. Styrelsen ser medlemsregistret. Ett utlånat föremål visas med låntagarens adress, aldrig med namnet.

Utanför tjänsten anlitar vi ett antal leverantörer — underbiträden — som behandlar uppgifter för vår räkning. Förteckningen nedan gäller den funktionsyta som är påslagen vid lansering. Den aktuella förteckningen för en enskild förening hör till föreningens personuppgiftsbiträdesavtal.

6. Myndigheter och andra mottagare

Vissa funktioner skickar uppgifter till en myndighet på organisationens uppdrag: Bolagsverket när en organisation eller ett styrelseuppdrag slås upp, Skatteverket när en arbetsgivardeklaration eller en momsdeklaration lämnas. Myndigheten är då egen personuppgiftsansvarig för det den tar emot.

Vi lämnar i övrigt inte ut uppgifter till någon annan, om vi inte är skyldiga enligt lag eller myndighetsbeslut. Vi säljer inga uppgifter.

7. Överföring utanför EU/EES

Uppgifterna lagras i Sverige. Två undantag finns, och vi skriver ut dem i stället för att formulera oss runt dem.

Inloggningen hanteras av Firebase Authentication och utgående e-post skickas via Google. Google kan behandla de uppgifterna utanför EU/EES. Överföringen vilar på Europeiska kommissionens standardavtalsklausuler i Googles villkor.

Bildgenerering med AI finns inte i någon EU-region. Funktionen är avstängd som standard, och slås den på lämnar den bild och text som skickas in EU. Vi slår inte på den utan att organisationen ber om det.

8. Hur länge vi sparar uppgifterna

• Ditt konto: till dess att du raderar det, eller till dess att din sista koppling till en organisation har upphört och kontot inte längre används.
• Bokföringsmaterial: i sju år efter det kalenderår då räkenskapsåret avslutades, enligt bokföringslagen. Materialet kan inte raderas tidigare, inte heller på begäran.
• Medlemsregistret: så länge medlemskapet består och därefter den tid föreningen behöver för att kunna visa vad som gällt. Föreningen bestämmer gallringen.
• Elektroniska underskrifter och underskriftsbevis: så länge den underskrivna handlingen har rättslig betydelse. Ett styrelseprotokoll ska arkiveras.
• Logg- och felhändelser: 90 dagar. Felloggen och kvotloggen gallras automatiskt varje natt, och det som är äldre än 90 dagar finns inte kvar — varken för oss eller för en utredning.

9. Dina rättigheter

Du har rätt att få veta vilka uppgifter vi behandlar om dig, att få felaktiga uppgifter rättade, att få uppgifter raderade, att begära att behandlingen begränsas, att invända mot behandling som vilar på ett berättigat intresse, och att få ut dina uppgifter i ett maskinläsbart format. Har du lämnat ett samtycke kan du ta tillbaka det.

Två av dem kan du använda direkt i tjänsten: under Kontoinställningar kan du ladda ner en komplett kopia av dina kontouppgifter som JSON, och du kan radera ditt konto.

Rätten att få något raderat är inte obegränsad. Bokföringsmaterial och handlingar som ska arkiveras måste vi behålla, och en uppgift som behövs för att visa vad som beslutats i en förening kan föreningen ha rätt att behålla.

Vill du använda en rättighet som rör ditt konto, skriv till info@flinky.se. Rör frågan vad som står om dig i en förenings register är det föreningen som beslutar — vänd dig dit.

10. Säkerhet

• All trafik till och från tjänsten går krypterad över TLS.
• Personnummer och andra känsliga identifierare lagras krypterade, med nyckeln i en separat nyckelhanteringstjänst inom EU.
• Behörighetsstyrning per organisation och roll: en inloggning ger åtkomst till de organisationer du är kopplad till, och till det din roll där omfattar.
• Databasen säkerhetskopieras automatiskt och kan återställas till en tidpunkt.
• Åtkomsten till driftmiljön är begränsad till den som utvecklar och driver tjänsten.

11. Om något går fel

Upptäcker vi att personuppgifter har kommit i orätta händer, ändrats eller försvunnit anmäler vi det till Integritetsskyddsmyndigheten inom 72 timmar när det krävs, och underrättar den berörda organisationen utan onödigt dröjsmål. Berör incidenten dig direkt och innebär en hög risk hör vi av oss till dig.

Ser du själv något som ser fel ut — en uppgift du inte borde komma åt, ett utskick till fel mottagare — skriv till info@flinky.se. Det är en rapport vi vill ha, inte en vi tar illa upp av.

12. Kakor och lagring i webbläsaren

Flinky använder inga kakor för statistik, analys eller marknadsföring. Vi har ingen besöksmätning och inga annonsskript, och därför ingen samtyckesruta att klicka bort.

Det som lagras i din webbläsare är nödvändigt för att tjänsten ska fungera: din inloggningsnyckel, och dina egna inställningar — valt tema, vald förening, vilka paneler du fällt in. Uppgifterna stannar i din webbläsare och går att rensa därifrån.

13. Kontakt och klagomål

Alla frågor går till info@flinky.se, dataskyddsfrågor och begäranden inräknade.

Vi har inget dataskyddsombud. Verksamheten är inte av det slag eller den omfattning som kräver ett, och en adress som ingen läser är sämre än den som läses varje dag.

Är du inte nöjd med hur vi behandlar dina personuppgifter kan du klaga till Integritetsskyddsmyndigheten, imy.se.