Integritetspolicy för HIIIT

1. Inledning

Univise AB (”vi”, ”oss”) värnar om skyddet av personuppgifter och behandlar dem i enlighet med EU:s allmänna dataskyddsförordning (GDPR) och tillämplig dataskyddslagstiftning.

Vi har styrnings-, säkerhets- och riskhanteringsprocesser på plats för att säkerställa konfidentialitet, integritet och tillgänglighet för personuppgifter som behandlas via HIIIT-plattformen.

Denna integritetspolicy beskriver hur vi samlar in, använder, lagrar och skyddar personuppgifter i samband med:

• Användning av hiiit.org
• Användning av HIIIT-plattformen
• Kundrelationer
• Organisationsutvärderingar som genomförs via HIIIT

2. Roller och ansvar

Beroende på sammanhang agerar HIIIT som:

• Personuppgiftsansvarig – for website visitors, customer contacts, and marketing communication
• Personuppgiftsbiträde – när personuppgifter behandlas för kundorganisationers räkning inom HIIIT-plattformen

När vi agerar som personuppgiftsbiträde regleras behandlingen av ett personuppgiftsbiträdesavtal (PUB) i enlighet med artikel 28 GDPR.

3. Kategorier av personuppgifter

3.1 Konto- och identitetsuppgifter

• Namn
• E-postadress
• Organisationstillhörighet
• Roll eller titel

3.2 Plattformdata

• Svarsdata från utvärderingar
• Organisatoriska mått
• Strategiska indata
• Uppladdad dokumentation

3.3 Teknisk och säkerhetsrelaterad data

• IP-adress
• Enhetsidentifierare
• Åtkomstloggar
• Metadata om systemanvändning

4. Rättslig grund för behandling

Vi behandlar personuppgifter på följande rättsliga grunder:

• Avtalsenlig nödvändighet (Art. 6.1 b)
• Berättigade intressen (Art. 6.1 f)
• Rättslig förpliktelse (Art. 6.1 c)
• Samtycke (Art. 6.1 a), när tillämpligt

Berättigade intressen kan till exempel omfatta att upprätthålla plattformens säkerhet, förebygga bedrägerier och förbättra tjänstens prestanda.

5. Syfte med behandlingen

Personuppgifter behandlas för att:

• Leverera och driva HIIIT-plattformen
• Generera AI-baserade insikter
• Erbjuda kundsupport
• Bibehålla säkerhet och systemintegritet
• Förbättra plattformens prestanda
• Uppfylla rättsliga förpliktelser

6. AI-baserad behandling och transparens

HIIIT använder AI-baserade analytiska modeller för att generera strukturerade insikter och prioriteringsrekommendationer.

AI-funktionalitet:

• Stödjer analys på organisationsnivå
• Utför inte automatiserat beslutsfattande med rättsliga eller liknande betydande effekter för enskilda
• Ersätter inte mänskliga bedömningar i ledning eller styrning
• Används inte för att fatta beslut om anställning eller avtal

AI-resultat är rådgivande och bör alltid tolkas av människor.

7. Informationssäkerhet

HIIIT tillämpar tekniska och organisatoriska säkerhetsåtgärder i linje med etablerade informationssäkerhetsprinciper, inklusive principer som kommer till uttryck i ISO/IEC 27001 och artikel 32 i GDPR.

7.1 Organisatoriska åtgärder

• Tydligt definierade policyer för åtkomstkontroll
• Rollbaserad behörighetsstyrning
• Sekretessavtal
• Intern styrning av informationssäkerhet
• Rutiner för hantering av leverantörsrisker

7.2 Tekniska åtgärder

• Kryptering vid överföring (TLS)
• Säker molninfrastruktur inom EU (Google Cloud Platform)
• Logisk separering av kundmiljöer
• Åtkomstloggning och övervakning
• Regelbundna säkerhetskopieringar
• Sårbarhetshantering
• privacyPolicy.security.technical.list.6

7.3 Säker utvecklingspraxis

• Kontrollerade kodändringar vid driftsättning
• Tydlig åtskillnad mellan utvecklings-, test- och produktionsmiljöer
• Begränsad åtkomst till produktionssystem
• Säkerhetsövervakning

8. Hosting och datalagring

All kunddata i plattformen lagras inom Europeiska unionen i Google Cloud Platforms (GCP) infrastruktur, i datacenter inom EU.

Personuppgifter överförs inte avsiktligt utanför EU/EES, om det inte finns lämpliga skyddsåtgärder på plats.

9. Underbiträden

HIIIT anlitar noggrant utvalda underbiträden för infrastruktur och tjänsteleverans, inklusive:

• Google Cloud Platform (EU-infrastruktur)
• Leverantörer av infrastruktur- och säkerhetstjänster
• Analysleverantörer, där det är tillämpligt

Alla underbiträden omfattas av avtalade krav på dataskydd och sekretess. HIIIT ansvarar för uppföljning av underbiträdenas efterlevnad.

10. Lagringstid

Personuppgifter lagras:

• Så länge prenumerationen är aktiv
• I 30 dagar efter uppsägning för att möjliggöra export av data
• I säkerhetskopior i upp till 90 dias
• Under längre tid om det krävs enligt lag

När lagringstiden har löpt ut raderas eller anonymiseras uppgifterna på ett säkert sätt.

11. Incidenthantering och rapportering av personuppgiftsincidenter

HIIIT har interna rutiner för att upptäcka, hantera och begränsa incidenter.

Vid en personuppgiftsincident som påverkar kunddata:

• Kunder informeras utan onödigt dröjsmål
• Information lämnas i enlighet med artikel 33 och 34 i GDPR
• Lämpliga åtgärder vidtas

12. Internationella överföringar

Om personuppgifter överförs utanför EU/EES säkerställer vi lämpliga skyddsåtgärder, inklusive:

• EU-kommissionens standardavtalsklausuler
• Adekvansbeslut
• Likvärdiga rättsliga överföringsmekanismer

13. Registrerades rättigheter

Enskilda har rätt att:

• Få tillgång till sina personuppgifter
• Begära rättelse av felaktigheter
• Begära radering
• Begära begränsning av behandlingen
• Få ut sina uppgifter för dataportabilitet
• Invända mot behandling

Förfrågningar kan skickas till privacy@hiiit.org. Enskilda har också rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY).

14. Cookies

HIIIT använder cookies och liknande tekniker. Mer information finns i vår cookiepolicy.

15. Uppdateringar av denna policy

Vi kan uppdatera denna integritetspolicy för att återspegla förändringar i lagliga, tekniska eller operativa krav.

Den senaste versionen finnas alltid tillgänglig på hiiit.org.