Integritet och personuppgifter

Vem ansvarar för uppgifterna

Den organisation som använder tjänsten — till exempel en kommunal socialtjänst eller en konsulentstödd verksamhet — är personuppgiftsansvarig för uppgifterna om barn, familjehem och personal. Organisationen bestämmer ändamål och medel för behandlingen och ansvarar för lagstöd, gallring och registrerades rättigheter.

Tjänsteleverantören (se Kontakt nedan) är personuppgiftsbiträde och behandlar uppgifterna enbart enligt organisationens dokumenterade instruktioner. Ett personuppgiftsbiträdesavtal enligt artikel 28 GDPR ska tecknas innan tjänsten används med verkliga personuppgifter.

För uppgifter om ditt eget konto (e-postadress, namn, inloggning, säkerhetsloggar) och för fakturering av abonnemanget är tjänsteleverantören personuppgiftsansvarig.

Vilka uppgifter behandlas

• Kontouppgifter: e-postadress, visningsnamn, roll och organisationstillhörighet.
• Uppgifter om barnet: namn eller initialer, födelseår, placeringsinformation, styrkor, rutiner, observationer, stödplaner och kontakter i nätverket.
• Vardagsdokumentation: tidslinje, kontaktloggar, uppgifter, umgänge och möten.
• Stödärenden och meddelanden mellan familjehem och organisationens personal.
• Loggar över känsliga åtgärder, till exempel delning och moderatorsuppslagning.

Delar av innehållet kan utgöra känsliga personuppgifter (artikel 9 GDPR), till exempel uppgifter om hälsa. Skriv därför aldrig in mer uppgifter i fritext än vad ändamålet kräver.

Rättslig grund

Den rättsliga grunden fastställs av den personuppgiftsansvariga organisationen. För socialtjänst och verksamhet enligt socialtjänstlagen är grunden normalt myndighets­utövning eller uppgift av allmänt intresse (artikel 6.1 c och 6.1 e GDPR), med undantag för känsliga uppgifter enligt artikel 9.2 b, 9.2 g eller 9.2 h, kompletterat av dataskyddslagen (2018:218) och lagen (2001:454) om behandling av personuppgifter inom socialtjänsten. Samtycke används inte som grund för dokumentation om barn i tjänsten. För tjänsteleverantörens egna kontouppgifter och fakturering är grunden avtal och rättslig förpliktelse (artikel 6.1 b och 6.1 c).

Vem kan se vad

• Åtkomst styrs i databasen, inte bara i gränssnittet.
• Ett familjehem ser bara barn som är placerade hos familjehemmet.
• En organisation ser bara sin egen verksamhet. Ingen åtkomst över organisationsgränser.
• Privata reflektioner delas aldrig automatiskt. Delning sker bara när du aktivt skapar ett delningspaket och väljer innehåll.
• Inlägg i community lagras utan att författaren kan läsas ut av andra användare. Endast en moderator kan slå upp författare, och uppslagningen loggas.

Uppgifter i tjänsten kan omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och av tystnadsplikt enligt socialtjänstlagen. Åtkomsten i tjänsten ersätter inte organisationens egen behörighetsstyrning och sekretessprövning.

AI-stöd och automatiserat beslutsfattande

Tjänsten använder en språkmodell som stöd i vissa flöden, till exempel Stöd nu och sammanfattningar. Texten du skickar in behandlas hos AI-leverantören för att generera svaret. AI:n ställer aldrig diagnos, ger aldrig läkemedelsråd och ersätter aldrig professionell bedömning. Vid akuta risksignaler hänvisar systemet till 112 och 1177. Undvik att skriva in fler personuppgifter än nödvändigt i fritextfält.

Tjänsten fattar inga automatiserade beslut med rättsliga följder eller motsvarande betydande påverkan enligt artikel 22 GDPR. AI-svar är förslag och underlag — beslut fattas alltid av människa. Tjänsten profilerar inte användare och används inte för marknadsföring eller för att bedöma en enskild persons egenskaper.

Mottagare och underbiträden

För drift, lagring, AI-stöd och betalning anlitas underbiträden. Vilka de är, vad de gör och var behandlingen sker framgår av förteckningen över underbiträden. Uppgifter lämnas inte ut till andra mottagare utan instruktion från den personuppgiftsansvariga organisationen eller stöd i lag.

Överföring till tredjeland

Om behandling sker utanför EU/EES krävs en giltig överföringsgrund, till exempel EU:s standardavtalsklausuler kompletterade med en bedömning av mottagarlandets skyddsnivå. Tjänsteleverantörens verksamhet är etablerad i Thailand, vilket innebär att support- och administrationsåtkomst kan ske från tredjeland. Faktiska lagringsregioner, aktuella överföringsgrunder och eventuella begränsningar (till exempel krav på lagring inom EU) regleras i personuppgiftsbiträdesavtalet med din organisation. Kontakta din organisations dataskyddsombud om du behöver dokumentationen.

Kakor och lagring i din enhet

Tjänsten använder endast lagring som är nödvändig för att du ska kunna logga in och använda funktioner du begärt: inloggningssession, val av barn och gränssnittsinställningar. Sådan lagring är undantagen från kravet på samtycke enligt 6 kap. 18 § lagen (2022:482) om elektronisk kommunikation. Tjänsten använder inga kakor för analys, spårning eller annonsering, och därför visas ingen samtyckesruta.

Lagring och gallring

Uppgifter lagras så länge placeringen och avtalet med organisationen kräver det. Gallringstider bestäms av den personuppgiftsansvariga organisationen utifrån socialtjänstlagen, arkivlagen (1990:782) och organisationens dokumenthanteringsplan. Vid avtalets slut raderas eller återlämnas uppgifterna enligt biträdesavtalet. Kontouppgifter och säkerhetsloggar hos tjänsteleverantören lagras så länge kontot är aktivt och därefter så länge det behövs för säkerhet och för bokföringsskyldighet enligt bokföringslagen (1999:1078), sju år för underlag som rör fakturering.

Säkerhet och personuppgiftsincidenter

Åtkomst styrs per organisation, familjehem och roll direkt i databasen. Trafiken är krypterad i transport och känsliga åtgärder loggas. Vid en konstaterad personuppgiftsincident underrättar tjänsteleverantören den personuppgiftsansvariga organisationen utan onödigt dröjsmål, så att organisationen kan anmäla till Integritetsskyddsmyndigheten inom 72 timmar enligt artikel 33 GDPR. Misstänkt brist kan rapporteras till kontaktadressen nedan.

Dina rättigheter

• Rätt till information och tillgång (registerutdrag).
• Rätt till rättelse av felaktiga uppgifter.
• Rätt till radering och begränsning, i den mån lag och arkivkrav tillåter det.
• Rätt att invända mot behandling.
• Rätt till dataportabilitet när behandlingen bygger på avtal eller samtycke.

Begäran riktas till den personuppgiftsansvariga organisationen — normalt din organisations administratör eller dataskyddsombud. Tjänsteleverantören hjälper organisationen att verkställa begäran. Radering hanteras manuellt så att dokumentation som en socialtjänst är skyldig att bevara inte försvinner av misstag.

Du har rätt att klaga till Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy@imy.se.

Kontakt

Frågor om dina egna uppgifter i en pågående placering besvaras snabbast av din organisations administratör eller dataskyddsombud.