Integritetspolicy

1. Inledning

Denna integritetspolicy beskriver hur HR Cluster AS, som driver SRVY-plattformen, behandlar personuppgifter. Vi är angelägna om att värna integriteten för dem vars uppgifter behandlas genom SRVY, och om att agera i enlighet med EU:s dataskyddsförordning (GDPR) och den norska personuppgiftslagen.

SRVY betjänar två grupper av personer: arbetsytans användare, som loggar in för att bygga undersökningar och läsa analyser, och respondenter, som tar emot inbjudningar och besvarar undersökningar. Denna policy omfattar båda, och påpekar hänsyn som är särskilda för respondenter där de skiljer sig åt.

2. Roller och ansvar

SRVY används av kundorganisationer för att genomföra sina egna undersökningar. I de flesta fall:

• Kundorganisationen är personuppgiftsansvarig. Den bestämmer vilka undersökningar som ska genomföras, vilka som ska bjudas in och varför, och fastställer därmed ändamålen med och medlen för behandlingen av respondentdata.
• HR Cluster AS är personuppgiftsbiträde. Företaget behandlar dessa data för kundens räkning för att leverera plattformen.

Villkoren för denna behandling fastställs i vårt personuppgiftsbiträdesavtal. Där HR Cluster AS självt bestämmer ändamålen och medlen (däribland kontoadministration, fakturering, plattformssäkerhet och åtkomstloggning för arbetsytans användare) agerar företaget som personuppgiftsansvarig, och denna integritetspolicy gäller direkt.

3. Uppgifter vi behandlar om arbetsytans användare

För de personer som loggar in för att administrera en kundorganisation behandlar vi:

• Identitets- och kontaktuppgifter: namn, jobbmejl och den organisation de tillhör.
• Konto- och åtkomstdata: lösenordshashar, roll, behörigheter och föredraget språk.
• Användnings- och tekniska data: inloggningshändelser, IP-adress, webbläsar- och enhetstyp, och tidsstämplar i revisionsloggen för administrativa åtgärder.

4. Uppgifter vi behandlar om respondenter

Vad vi behandlar om en respondent beror på hur kundorganisationen konfigurerar sin undersökning:

• Kontaktuppgifter. Där en undersökning distribueras med hanterad e-post behandlar vi respondentens e-postadress, och eventuellt namn eller egenskaper som organisationen har lagt till, för att skicka inbjudan och eventuella påminnelser.
• Svarsdata. De svar en respondent lämnar, tillsammans med den undersöknings- och sidstruktur som behövs för att tolka dem.
• Prenumerations- och samtyckesdata. Prenumerationsstatus för en pool eller lista, och en logg över anmälningar eller avregistreringar, inklusive tidsstämpel och IP-adress som dokumentation på samtycke.
• Tekniska data. Våra servrar behandlar standardmetadata för begäran, inklusive en IP-adress, tillfälligt av hänsyn till säkerhet och förebyggande av missbruk. Detta lagras inte tillsammans med ett undersökningssvar.

E-postadresser som används för inbjudningar, tokeniserade länkar och undertryckning lagras också som en nyckelbaserad hash (HMAC-SHA256), så att avregistreringar och undertryckning efter studsar kan upprätthållas utan att adressen behålls i klartext där det inte är nödvändigt.

5. Anonyma svar

SRVY är byggt så att undersökningssvar inte kan kopplas till de personer som lämnar dem. Vi lagrar varken namn, e-postadresser eller inbjudningsidentifierare tillsammans med ett undersökningssvar, och det finns ingen lagrad koppling från ett svar till en inbjudan, en mottagare eller en e-postprenumerant. När en inbjuden mottagare slutför en undersökning registrerar vi det endast på inbjudningssidan, med dagsupplösning, utan referens tillbaka till svaret. Plattformen ger inget sätt att fastställa vilket svar som tillhör vilken person. Att besvara en undersökning är dessutom sessionsfritt, och ingen identifierande inloggningscookie sätts på respondenter.

Detta är icke-kopplingsbarhet genom design, inte ett löfte om absolut anonymitet. Det har gränser:

• En undersökningsfråga utformad av kundorganisationen kan be om identifierande uppgifter, och fritextsvar kan innehålla personuppgifter som en respondent väljer att dela.
• För en liten inbjuden grupp är mängden möjliga avsändare motsvarande liten. SRVY upprätthåller ingen minsta gruppstorlek.
• Ett svar som samlas in via en företagsspecifik länk, som används när en undersökning distribueras per deltagande företag, tillskrivs det företaget och inte en namngiven person. Ett svar från en extern panel kan bära en ogenomskinlig leverantörsreferens som SRVY självt inte kan knyta till en person.
• Om en respondent anmäler sig till e-post efter en undersökning lagrar vi den prenumerationen separat, knuten till e-postadressen och med undersökningen endast som ursprung. Den registrerar respondentens egen IP-adress och datumet som dokumentation på samtycke, och kopplas inte till svaret.

6. Hur uppgifterna används

Personuppgifter som behandlas genom SRVY används för att:

• Leverera och driva plattformen
• Administrera arbetsytor, arbetsytans användare, roller och behörigheter
• Distribuera undersökningsinbjudningar och påminnelser, och hantera prenumerationer
• Samla in och lagra svar och ta fram analyser för kundorganisationen
• Upprätthålla säkerhet, förebygga missbruk och föra revisions- och leveransloggar
• Ge stöd och förbättra plattformens stabilitet

Vi säljer inte personuppgifter, och vi använder inte respondentdata eller undersökningssvar för reklam eller profilering.

7. Rättslig grund

Där HR Cluster AS behandlar personuppgifter som personuppgiftsansvarig stödjer vi oss på följande grunder enligt GDPR artikel 6:

• Avtal (art. 6.1 b), för att leverera plattformen till kunden och dess arbetsytans användare.
• Berättigat intresse (art. 6.1 f), för att hålla plattformen säker, förebygga missbruk, föra revisionsloggar och förbättra tjänsten, avvägt mot rättigheterna för de berörda.
• Rättslig förpliktelse (art. 6.1 c), för att uppfylla tillämplig redovisnings-, skatte- och informationssäkerhetslagstiftning.
• Samtycke (art. 6.1 a), för valfria analyscookies, och för e-postprenumerationer där samtycke är vald grund.

Där HR Cluster AS agerar som personuppgiftsbiträde ansvarar kunden för att fastställa den rättsliga grunden för den underliggande behandlingen av respondentdata.

8. Underbiträden

För att driva SRVY använder vi ett litet antal underbiträden, var och en bunden av ett skriftligt personuppgiftsbiträdesavtal. Den aktuella listan, med datakategorier, platser och garantier för var och en, är publicerad i bilagan till vårt personuppgiftsbiträdesavtal. Kort sammanfattat:

• Hetzner Online GmbH, för drift, databehandling, lagring och säkerhetskopior.
• Postmark (ActiveCampaign, LLC), i USA, för leverans av transaktions- och undersökningsmejl, inklusive inbjudningar, påminnelser och prenumerationsmeddelanden.
• Google Analytics (Google Ireland Ltd.), för integritetsvänlig, samtyckesstyrd användningsanalys på våra offentliga sidor.

Inom kundorganisationen kan respondentdata också vara synliga för de arbetsytans användare som organisationen har behörigat, i enlighet med de roller den har konfigurerat.

9. Drift

SRVY körs på dedikerad infrastruktur som tillhandahålls av Hetzner Online GmbH. Den nuvarande driftsplatsen är dokumenterad operationellt. Applikationsservrar, databasen, uppladdade filer och säkerhetskopior drivs i denna miljö. Vissa tilläggstjänster, särskilt leverans av transaktionsmejl och analys, tillhandahålls av underbiträden som behandlar personuppgifter i USA, under de garantier som beskrivs nedan.

10. Överföring till tredjeland

Vissa underbiträden behandlar personuppgifter utanför EES, däribland vår e-post- och analysleverantör i USA. Dessa överföringar sker under EU-kommissionens standardavtalsklausuler och, där det är relevant, EU–US Data Privacy Framework. Vi överför endast de data som är nödvändiga för den aktuella tjänsten, till exempel en mottagares e-postadress för att leverera en undersökningsinbjudan.

11. Lagringstid

Vi lagrar personuppgifter så länge det är nödvändigt för att leverera plattformen, uppfylla rättsliga förpliktelser, lösa tvister och upprätthålla avtal, eller enligt instruktion från kundorganisationen. Som en vägledande huvudregel:

• Kontodata för arbetsytan lagras så länge tjänsteavtalet varar.
• Svar och undersökningsdata lagras för kundorganisationen och raderas eller returneras vid avtalets upphörande, eller tidigare enligt organisationens instruktion.
• Prenumerations- och undertryckningsloggar lagras så länge det är nödvändigt för att respektera respondentens val. En undertryckningslogg behålls så att en avregistrering förblir verksam.
• Säkerhets-, revisions- och leveransloggar lagras under en begränsad period av hänsyn till spårbarhet.
• Säkerhetskopior lagras enligt ett rullande schema innan de skrivs över.

12. Dina rättigheter

Enligt GDPR har du rätt att begära tillgång till dina uppgifter, rättelse av oriktiga uppgifter, radering, begränsning av behandlingen, att invända mot behandling grundad på berättigat intresse, och dataportabilitet för uppgifter du har lämnat. Där behandlingen bygger på samtycke kan du återkalla det när som helst. Dessa rättigheter är underkastade villkoren och undantagen i lagen.

Eftersom kundorganisationen normalt är personuppgiftsansvarig för respondentdata bör förfrågningar om undersökningssvar eller prenumerationer i de flesta fall riktas till den organisation som genomförde undersökningen. HR Cluster AS bistår organisationen med att svara. Varje undersökningsmejl innehåller dessutom en avregistreringslänk som en respondent kan använda direkt.

13. Säkerhet

HR Cluster AS vidtar tekniska och organisatoriska åtgärder anpassade till risken. Dessa omfattar kryptering under överföring, hashade inloggningsuppgifter, dataisolering per organisation och dagliga säkerhetskopior utanför platsen, och beskrivs i sin helhet på vår säkerhetssida. Vi informerar berörda kunder utan onödigt dröjsmål vid varje personuppgiftsincident som sannolikt medför en risk för enskilda, i enlighet med GDPR artikel 33 och 34.

14. Cookies

SRVY använder cookies och liknande tekniker så som beskrivs i vår cookiepolicy.

15. Kontakt och tillsynsmyndighet

För frågor om denna integritetspolicy eller vår behandling av uppgifter, kontakta:

HR Cluster AS
E-post: privacy@srvy.app

Är du i Norge eller EES och anser att dina personuppgiftsrättigheter har kränkts kan du klaga till Datatilsynet på datatilsynet.no, eller till tillsynsmyndigheten i det land där du bor.