Integritetspolicy

Blåljushörnan värnar om den personliga integriteten för de personer som använder våra webbplatser, system, ansökningsfunktioner, medlemstjänster och övriga digitala tjänster.

Denna integritetspolicy beskriver vilka personuppgifter Blåljushörnan behandlar, varför uppgifterna behandlas, hur länge de sparas, vilka de kan delas med samt vilka rättigheter den registrerade har.

Behandlingen sker i enlighet med Europaparlamentets och rådets förordning (EU) 2016/679, allmänna dataskyddsförordningen, GDPR, samt annan tillämplig svensk dataskyddslagstiftning.

Policyn gäller Blåljushörnans webbplatser, ansökningssystem, medlemssystem, administrativa system och andra tjänster som hänvisar till denna integritetspolicy.

1. Personuppgiftsansvarig

Personuppgiftsansvarig för den behandling som beskrivs i denna policy är:

Blåljushörnan
E-post för integritetsfrågor: [email protected]

Den personuppgiftsansvarige bestämmer för vilka ändamål personuppgifter behandlas och hur behandlingen genomförs.

Tjänster från externa leverantörer, exempelvis Discord, kan innebära att den externa leverantören är självständigt personuppgiftsansvarig för den behandling som sker inom leverantörens egen tjänst.

2. Vad är en personuppgift?

En personuppgift är information som direkt eller indirekt kan kopplas till en identifierad eller identifierbar fysisk person.

Det kan exempelvis vara:

• namn,
• användarnamn,
• Discord-ID,
• e-postadress,
• IP-adress,
• profilbild,
• tekniska identifierare,
• uppgifter i en medlemsansökan,
• uppgifter om aktivitet eller medlemskap,
• kommunikation med Blåljushörnan.

Ett påhittat namn, registreringsnummer, personnummer eller annan uppgift som endast avser en fiktiv rollspelskaraktär är normalt inte en personuppgift om uppgiften inte kan knytas till en verklig fysisk person.

Om uppgifter från rollspel kombineras med exempelvis ett användarkonto, Discord-ID eller annan information på ett sätt som gör en verklig person identifierbar kan uppgifterna däremot omfattas av GDPR.

3. Vilka personuppgifter behandlar vi?

Vilka uppgifter som behandlas beror på hur Blåljushörnans tjänster används.

3.1 Konto- och medlemsuppgifter

När ett konto skapas eller används kan vi behandla exempelvis:

• användarnamn,
• visningsnamn,
• internt användar-ID,
• Discord-ID,
• profilbild eller avatar,
• e-postadress, om sådan tillhandahålls,
• medlemsstatus,
• roller och behörigheter,
• sektion eller organisatorisk tillhörighet,
• datum för registrering,
• datum för senaste aktivitet,
• kontostatus,
• uppgifter som behövs för behörighetskontroll.
  

3.2 Uppgifter från Discord

Blåljushörnan kan använda Discord för autentisering, identifiering, kommunikation och behörighetskontroll.

När en användare loggar in eller kopplar sitt konto genom Discord kan Blåljushörnan, beroende på vilka behörigheter som begärs, få tillgång till exempelvis:

• Discord-användar-ID,
• Discord-användarnamn,
• visningsnamn,
• avatar,
• uppgift om medlemskap i en viss Discord-server,
• roller eller andra uppgifter som är nödvändiga för behörighetskontroll.

Blåljushörnan ska endast begära de Discord-behörigheter som behövs för den aktuella funktionen.

Blåljushörnan får inte tillgång till användarens Discord-lösenord genom normal OAuth2-inloggning.

Discord behandlar samtidigt personuppgifter inom sin egen tjänst enligt Discords egna villkor och integritetspolicy.

4. Ansökningar till Blåljushörnan

När en person ansöker om medlemskap, befattning, sektion, utbildning eller annan behörighet kan Blåljushörnan behandla information som den sökande lämnar i ansökan.

Det kan bland annat omfatta:

• namn eller användarnamn,
• Discord-ID,
• ålder eller födelseår, när detta är relevant,
• kontaktuppgifter,
• tidigare erfarenhet,
• tidigare rollspelserfarenhet,
• svar på ansökningsfrågor,
• motiveringar,
• tillgänglighet,
• önskad sektion eller befattning,
• resultat från intervju eller kunskapsbedömning,
• administrativa anteckningar om ansökan,
• beslut om godkännande eller avslag.

Uppgifterna används för att administrera och bedöma ansökningar och för att säkerställa att Blåljushörnans medlems- och behörighetskrav är uppfyllda.

Bedömningen kan innefatta manuella anteckningar från de personer som hanterar ansökan.

Blåljushörnan ska inte efterfråga fler personuppgifter än vad som är relevant för bedömningen.

5. Medlemsadministration

Under ett medlemskap kan Blåljushörnan behandla uppgifter som behövs för att administrera verksamheten.

Det kan exempelvis vara:

• medlemsstatus,
• befattning,
• rang eller roll,
• sektionstillhörighet,
• behörigheter,
• genomförda utbildningar,
• utbildningsresultat,
• närvaro eller aktivitet,
• datum för befordran eller förändrad befattning,
• administrativa beslut,
• uppgifter om tilldelade interna behörigheter.

Syftet är att kunna bedriva, administrera och organisera Blåljushörnans verksamhet.

6. Ordnings-, säkerhets- och modereringsärenden

För att upprätthålla säkerheten och Blåljushörnans regler kan uppgifter behandlas i samband med exempelvis:

• rapporterade regelöverträdelser,
• klagomål,
• modereringsärenden,
• varningar,
• avstängningar,
• behörighetsindragningar,
• interna utredningar,
• överklaganden eller omprövningar,
• misstänkt missbruk av Blåljushörnans system.

Sådan dokumentation ska begränsas till vad som är relevant för ärendet.

Tillgång till uppgifterna ska begränsas till personer som behöver informationen för sina arbetsuppgifter inom Blåljushörnan.

7. Tekniska uppgifter och loggar

När Blåljushörnans webbplatser och system används kan vissa uppgifter registreras automatiskt.

Det kan exempelvis vara:

• IP-adress,
• datum och tidpunkt,
• webbläsare,
• operativsystem,
• teknisk information om enheten,
• inloggningshändelser,
• sessionsinformation,
• felmeddelanden,
• säkerhetshändelser,
• begäranden till Blåljushörnans servrar,
• information om misstänkta obehöriga åtkomstförsök.

Dessa uppgifter används bland annat för:

• drift och felsökning,
• informationssäkerhet,
• förebyggande av obehörig åtkomst,
• upptäckt av missbruk,
• incidenthantering,
• skydd av användarkonton och system.
  

8. Kommunikation och support

När en person kontaktar Blåljushörnan via exempelvis e-post, formulär, Discord eller ett supportsystem kan vi behandla:

• användarnamn eller namn,
• kontaktuppgifter,
• innehållet i meddelandet,
• bilagor,
• tidpunkt för kontakten,
• information som behövs för att hantera ärendet.

Personen bör undvika att lämna känsliga personuppgifter eller andra uppgifter som inte behövs för ärendet.

9. Ändamål och rättslig grund

Blåljushörnan behandlar endast personuppgifter när det finns ett bestämt ändamål och en tillämplig rättslig grund.

Tillhandahållande av konto och tjänster

Personuppgifter kan behandlas för att skapa och administrera användarkonton, hantera inloggning och tillhandahålla funktioner som användaren begär.

Behandlingen grundas, beroende på omständigheterna, på att den är nödvändig för att tillhandahålla den tjänst som användaren begärt eller på Blåljushörnans berättigade intresse av att kunna tillhandahålla och administrera verksamheten.

Ansökningar

Uppgifter behandlas för att ta emot, granska och besluta om ansökningar.

Behandlingen grundas huvudsakligen på Blåljushörnans berättigade intresse av att administrera medlemskap och bedöma vilka personer som ska ges tillgång till verksamheten.

Medlemsadministration

Uppgifter behandlas för att organisera verksamheten, hantera behörigheter, utbildningar, roller och medlemsstatus.
Behandlingen grundas på Blåljushörnans berättigade intresse av att bedriva och administrera verksamheten.

Informationssäkerhet och loggning

Tekniska uppgifter och säkerhetsloggar behandlas för att skydda konton, system och information mot intrång, missbruk och andra säkerhetsincidenter.

Behandlingen grundas på Blåljushörnans berättigade intresse av att upprätthålla en säker IT-miljö.

Moderering och regelärenden

Uppgifter kan behandlas för att utreda överträdelser av regler, administrera varningar och avstängningar samt skydda verksamheten och dess medlemmar.

Behandlingen grundas på Blåljushörnans berättigade intresse av att upprätthålla regler och en säker och fungerande verksamhet.

Rättsliga skyldigheter och rättsliga anspråk

Personuppgifter kan behandlas när detta krävs enligt lag eller när det är nödvändigt för att fastställa, göra gällande eller försvara rättsliga anspråk.

Samtycke

När en behandling uttryckligen grundas på samtycke ska användaren informeras om detta innan behandlingen påbörjas.
Ett lämnat samtycke kan återkallas.
Att ett samtycke återkallas påverkar inte lagligheten av den behandling som redan skett innan samtycket återkallades.

10. Intresseavvägning

När Blåljushörnan använder berättigat intresse som rättslig grund ska det finnas ett faktiskt och legitimt behov av behandlingen.

Blåljushörnan ska väga detta behov mot den registrerades intressen, rättigheter och friheter.

Personuppgifter ska inte behandlas med stöd av berättigat intresse om den registrerades intresse av skydd för sina personuppgifter väger tyngre.

11. Känsliga personuppgifter

Blåljushörnan efterfrågar som utgångspunkt inte känsliga personuppgifter.

Känsliga personuppgifter kan exempelvis avse:

• hälsa,
• etniskt ursprung,
• religiös eller filosofisk övertygelse,
• politiska åsikter,
• medlemskap i fackförening,
• genetiska eller biometriska uppgifter för identifiering,
• sexualliv eller sexuell läggning.

Användare ska inte lämna sådana uppgifter i ansökningar, supportärenden eller andra fritextfält om det inte uttryckligen är nödvändigt och har efterfrågats av ett legitimt skäl.

Om känsliga personuppgifter lämnas utan att de behövs kan de raderas.

Om Blåljushörnan i något särskilt fall behöver behandla känsliga personuppgifter ska behandlingen ha stöd både i en rättslig grund enligt artikel 6 och ett tillämpligt undantag enligt artikel 9 GDPR.

12. Uppgifter om verkliga lagöverträdelser

Rollspelsinformation om fiktiva brott, ingripanden, påföljder eller brottsregister ska hållas åtskild från uppgifter om verkliga personer.

Blåljushörnan efterfrågar normalt inte information om verkliga brott, brottsmisstankar, domar eller andra lagöverträdelser.

Sådana uppgifter omfattas av särskilda regler och ska inte lämnas i ansökningar eller andra fritextfält om Blåljushörnan inte uttryckligen har ett lagligt och dokumenterat stöd för behandlingen.

13. Uppgifter om minderåriga

Personuppgifter om barn och ungdomar ska behandlas med särskild försiktighet.

Blåljushörnan ska inte samla in fler personuppgifter om minderåriga än vad som är nödvändigt för verksamheten och ska särskilt beakta den registrerades ålder vid bedömningen av hur information lämnas och hur personuppgifterna används.

Om särskilda ålderskrav gäller för medlemskap eller vissa delar av verksamheten anges dessa i Blåljushörnans medlems- eller ansökningsvillkor.

14. Varifrån kommer personuppgifterna?

Personuppgifter kan komma från:

1. den registrerade själv,
2. Discord när användaren väljer att autentisera sig genom Discord,
3. Blåljushörnans egna system genom exempelvis loggning av inloggningar och aktiviteter,
4. administratörer eller andra behöriga funktionärer inom Blåljushörnan,
5. andra användare när ett klagomål, en rapport eller ett modereringsärende lämnas in.

Om personuppgifter hämtas från någon annan källa än den registrerade ska Blåljushörnan, när GDPR kräver det, informera den registrerade om behandlingen.

15. Automatiserade kontroller och beslut

Blåljushörnans system kan utföra automatiserade tekniska kontroller.

Det kan exempelvis handla om att kontrollera:

• om ett Discord-ID redan är kopplat till ett konto,
• om en användare har rätt medlemsstatus,
• om ett konto har rätt behörighet,
• om en användare är medlem i en viss Discord-server,
• om ett konto är aktivt eller avstängt.

Sådana kontroller används för teknisk behörighetsstyrning.

Blåljushörnan använder inte automatiserat beslutsfattande som ensamt fattar beslut som har rättsliga följder eller på motsvarande sätt i betydande grad påverkar en person, om inte särskild information om sådan behandling lämnas.

16. Vem får tillgång till personuppgifterna?

Personuppgifter ska endast vara tillgängliga för de personer inom Blåljushörnan som behöver dem för sina arbetsuppgifter.

Behörigheter ska så långt möjligt följa principen om minsta nödvändiga åtkomst.

Det innebär exempelvis att en person som administrerar tekniska system inte automatiskt behöver ha tillgång till innehållet i medlemsansökningar och att en person som granskar medlemsansökningar inte automatiskt behöver tillgång till server- eller säkerhetsloggar.

17. Personuppgiftsbiträden och externa leverantörer

Blåljushörnan kan använda externa leverantörer för att tillhandahålla verksamheten.

Det kan exempelvis röra sig om leverantörer av:

• webbhotell och servrar,
• databaser,
• e-post,
• säkerhets- och infrastrukturtjänster,
• autentisering,
• säkerhetskopiering,
• teknisk support.

När en leverantör behandlar personuppgifter för Blåljushörnans räkning ska behandlingen regleras på lämpligt sätt, exempelvis genom personuppgiftsbiträdesavtal när GDPR kräver det.

Leverantören ska endast ges tillgång till de personuppgifter som krävs för den tjänst som leverantören tillhandahåller.

18. Discord

Blåljushörnan använder eller kan använda Discord som en del av verksamheten.

Discord kan bland annat användas för:

• kommunikation,
• medlemsadministration,
• autentisering,
• kontokoppling,
• behörighetskontroll.

När användaren använder Discord behandlas information även av Discord enligt Discords egna villkor och integritetspolicy.
Blåljushörnan ansvarar för den behandling som Blåljushörnan själv utför med uppgifter som hämtas från eller används tillsammans med Discord.

Discord ansvarar för den behandling som Discord utför som självständig leverantör av sin plattform.

19. Överföring utanför EU och EES

Blåljushörnan eftersträvar att personuppgifter behandlas inom EU/EES när detta är praktiskt möjligt.

Vissa externa tjänster kan emellertid innebära att personuppgifter överförs till eller behandlas i länder utanför EU/EES.
Exempelvis uppger Discord att personuppgifter kan behandlas i USA och andra länder.

När Blåljushörnan ansvarar för en överföring av personuppgifter utanför EU/EES ska överföringen endast ske när det finns en giltig mekanism enligt GDPR, exempelvis:

• beslut från Europeiska kommissionen om adekvat skyddsnivå,
• Europeiska kommissionens standardavtalsklausuler,
• annan tillåten överföringsmekanism enligt GDPR.

När en extern tjänsteleverantör självständigt ansvarar för behandlingen gäller även leverantörens egna regler och skyddsåtgärder för internationella överföringar.

20. Hur länge sparas personuppgifterna?

Personuppgifter sparas inte längre än vad som är nödvändigt för det ändamål som uppgifterna samlades in för.
Blåljushörnan använder följande huvudsakliga gallringsprinciper.

Aktiva medlemskonton

Grundläggande konto- och medlemsuppgifter sparas under den tid personen är medlem eller har ett aktivt konto.
När medlemskapet eller kontot avslutas raderas eller anonymiseras uppgifter som inte längre behövs normalt inom 12 månader.

Avslagna eller återkallade ansökningar

Ansökningshandlingar för personer som inte blir medlemmar sparas normalt i högst 6 månader efter avslutad ansökningsprocess.
Uppgifter kan sparas längre om det finns ett konkret behov, exempelvis ett pågående klagomål eller en tvist.

Godkända ansökningar

När en ansökan godkänns kan de uppgifter som behövs för det fortsatta medlemskapet överföras till medlemsadministrationen.
Övriga uppgifter i ansökan ska därefter gallras när de inte längre behövs.

Support och allmän kommunikation

Supportärenden och liknande kommunikation sparas normalt i högst 12 månader efter att ärendet avslutats, om det inte finns anledning att bevara informationen längre.

Tekniska loggar

Normala server-, inloggnings- och säkerhetsloggar sparas normalt i högst 90 dagar.

Loggar som behövs för att utreda en konkret säkerhetsincident kan sparas under längre tid tills incidenten är färdigutredd och uppgifterna inte längre behövs.

Modererings- och disciplinärenden

Uppgifter om avslutade modererings- eller disciplinärenden sparas normalt i högst 24 månader, om det inte finns ett dokumenterat behov av längre lagring.

Avstängningar

Om en person har stängts av permanent kan ett begränsat antal uppgifter, exempelvis Discord-ID, internt användar-ID, datum och skälskategori för avstängningen, sparas så länge detta är nödvändigt för att verkställa avstängningen och förhindra att den kringgås.

Sådan lagring ska begränsas till minsta möjliga informationsmängd och behovet ska regelbundet omprövas.

Rättsliga krav

Uppgifter kan sparas längre när det krävs enligt lag eller när det är nödvändigt för att fastställa, göra gällande eller försvara rättsliga anspråk.

När lagringsbehovet upphör ska uppgifterna raderas eller anonymiseras.

21. Säkerhet

Blåljushörnan ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter mot bland annat:

• obehörig åtkomst,
• otillåten förändring,
• oavsiktlig förlust,
• förstöring,
• obehörigt röjande,
• missbruk.

Beroende på system och typ av personuppgifter kan sådana åtgärder bland annat bestå av:

• krypterad kommunikation,
• individuella användarkonton,
• säker autentisering,
• behörighetsstyrning,
• loggning,
• säkerhetskopiering,
• uppdatering och säkerhetsunderhåll,
• begränsad administrativ åtkomst,
• interna rutiner för hantering av personuppgifter.

Ingen internetbaserad tjänst kan garantera absolut säkerhet, men Blåljushörnan arbetar för att säkerhetsnivån ska vara proportionerlig mot de risker behandlingen innebär.

22. Personuppgiftsincidenter

En personuppgiftsincident är en säkerhetsincident som exempelvis leder till att personuppgifter förstörs, förloras, förändras, röjs obehörigen eller blir tillgängliga för personer som inte ska ha tillgång till dem.

Blåljushörnan ska ha rutiner för att:

1. upptäcka incidenter,
2. begränsa konsekvenserna,
3. dokumentera vad som inträffat,
4. bedöma riskerna för de registrerade,
5. vid behov anmäla incidenten till Integritetsskyddsmyndigheten,
6. vid hög risk informera berörda registrerade i enlighet med GDPR.

23. Cookies och lokal lagring

Blåljushörnans webbplatser kan använda cookies och liknande tekniker.

Cookies är små informationsfiler eller identifierare som lagras eller läses av i användarens enhet.

Nödvändiga cookies

Nödvändiga cookies kan användas utan att användaren aktivt väljer dem när de krävs för webbplatsens grundläggande funktion.

Det kan exempelvis vara cookies som används för:

• inloggning,
• sessionshantering,
• säkerhet,
• skydd mot förfalskade webbrequests,
• lagring av användarens cookieinställningar.

Om dessa cookies blockeras kan vissa delar av tjänsten sluta fungera.

Icke-nödvändiga cookies

Cookies för exempelvis:

• statistik,
• analys,
• marknadsföring,
• spårning,
• personalisering som inte är nödvändig,

ska inte aktiveras innan användaren har lämnat ett giltigt samtycke när sådant samtycke krävs.
Användaren ska kunna neka sådana cookies och kunna återkalla ett tidigare lämnat samtycke.

Mer detaljerad information kan vid behov lämnas i en separat cookiepolicy eller i Blåljushörnans cookieinställningar.

24. Länkar och externa tjänster

Blåljushörnans webbplatser kan innehålla länkar till externa webbplatser eller tjänster.
Blåljushörnan ansvarar inte för hur en extern aktör behandlar personuppgifter inom sin egen tjänst.
Användaren bör därför läsa den externa tjänstens integritetspolicy innan personuppgifter lämnas där.

25. Dina rättigheter

Den som får sina personuppgifter behandlade av Blåljushörnan har, när förutsättningarna i GDPR är uppfyllda, ett antal rättigheter.

Rätt till information

Du har rätt att få information om hur dina personuppgifter behandlas.

Rätt till tillgång

Du har rätt att begära information om huruvida Blåljushörnan behandlar personuppgifter om dig och, när så är fallet, få tillgång till uppgifterna och annan information om behandlingen.

Rätt till rättelse

Du har rätt att begära att felaktiga personuppgifter rättas och att ofullständiga uppgifter kompletteras när detta är relevant.

Rätt till radering

Du kan i vissa situationer begära att personuppgifter om dig raderas.

Rätten till radering är inte absolut. Blåljushörnan kan exempelvis behöva behålla vissa uppgifter om det finns en rättslig skyldighet eller ett annat lagligt och övervägande skäl för fortsatt behandling.

Rätt till begränsning

Du kan under vissa förutsättningar begära att behandlingen av dina personuppgifter begränsas.

Rätt att invända

När behandlingen grundas på berättigat intresse har du rätt att invända mot behandlingen.

Blåljushörnan ska då bedöma om det finns tvingande berättigade skäl för fortsatt behandling som väger tyngre än dina intressen, rättigheter och friheter.

Rätt till dataportabilitet

När förutsättningarna i GDPR är uppfyllda kan du ha rätt att få personuppgifter som du själv lämnat ut i ett strukturerat, allmänt använt och maskinläsbart format.

Rätt att återkalla samtycke

Om en behandling grundas på samtycke har du rätt att när som helst återkalla samtycket.

Återkallelsen påverkar inte lagligheten av den behandling som genomfördes innan samtycket återkallades.

26. Så utövar du dina rättigheter

Begäran om att utöva rättigheter enligt GDPR skickas till:

[email protected]

Ange tillräcklig information för att Blåljushörnan ska kunna identifiera vilka uppgifter och vilket konto begäran gäller.

Blåljushörnan kan behöva kontrollera identiteten på den person som lämnar en begäran för att säkerställa att personuppgifter inte lämnas ut till fel person.
Begäran ska behandlas utan onödigt dröjsmål och inom de tidsfrister som följer av GDPR.
Utövandet av rättigheterna är som huvudregel kostnadsfritt. Vid uppenbart ogrundade eller orimliga begäranden får de möjligheter som GDPR ger tillämpas.

27. Klagomål till Integritetsskyddsmyndigheten

Om du anser att Blåljushörnan behandlar dina personuppgifter i strid med dataskyddsreglerna får du kontakta Blåljushörnan så att frågan kan undersökas.

Du har även rätt att lämna klagomål till den behöriga tillsynsmyndigheten.

I Sverige är tillsynsmyndigheten:

Integritetsskyddsmyndigheten, IMY

28. Ändringar av integritetspolicyn

Blåljushörnan kan ändra denna integritetspolicy när verksamheten, systemen eller de rättsliga kraven förändras.

Den aktuella versionen ska finnas tillgänglig på Blåljushörnans webbplats.
Datumet högst upp i policyn visar när den senast uppdaterades.
Om en förändring innebär en väsentlig ändring av hur personuppgifter behandlas ska användarna informeras på ett lämpligt sätt när detta krävs.

29. Kontakt

Frågor om denna integritetspolicy eller Blåljushörnans behandling av personuppgifter kan skickas till:

Blåljushörnan
E-post: [email protected]

För vanliga medlems-, support- eller verksamhetsfrågor bör Blåljushörnans ordinarie kontaktvägar användas.

Frågor om personuppgifter hanteras av Blåljushörnans administration.