GDPR-efterlevnad

Inledning

Livappy OÜ (Lõkke 12, 10122 Tallinn, Estland) har åtagit sig att fullt ut följa Europeiska unionens allmänna dataskyddsförordning (GDPR) i hela sin verksamhet. Denna policy för GDPR-efterlevnad fungerar både som en intern riktlinje och som ett offentligt uttalande om hur Livappy säkerställer dataskydd och integritet i enlighet med GDPR.

Om du har frågor eller funderingar om denna policy eller om dataskydd hos Livappy, kontakta oss på info@livappy.com.

Tillämpningsområde

Denna policy gäller all behandling av personuppgifter som Livappy OÜ utför i samband med att tjänster erbjuds till personer i Europeiska unionen. Som ett företag etablerat i EU omfattas Livappy av GDPR:s tillämpningsområde för all behandling av personuppgifter som rör personer i EU¹. I praktiken innebär detta att alla personuppgifter som samlas in, används, lagras eller på annat sätt behandlas av Livappy – oavsett om de kommer från kunder, användare, anställda eller partner i hela EU – hanteras i enlighet med GDPR:s krav.

Livappy är fast beslutet att säkerställa att GDPR:s principer och regler styr all relevant behandling av personuppgifter, oavsett i vilket EU-land den registrerade är bosatt. Vi är medvetna om att GDPR skyddar enskildas grundläggande rätt till integritet i EU och ålägger oss skyldigheter varje gång vi hanterar personuppgifter inom EU².

Enligt denna policy omfattar Livappys verksamhet som täcks av GDPR bland annat (men inte enbart): insamling av personuppgifter från användare och kunder, lagring eller värdtjänster för dessa uppgifter (till exempel på våra molnservrar), analys av personuppgifter för affärsändamål samt delning av uppgifter med behöriga tjänsteleverantörer. All sådan verksamhet utförs i enlighet med GDPR och inom Europeiska ekonomiska samarbetsområdet (EES) eller enligt godkända överföringsmekanismer när uppgifter flyttas utanför EES. Sammanfattningsvis gäller att om Livappy behandlar personuppgifter om en person i EU omfattas den behandlingen av denna policy och av GDPR-efterlevnaden.

Öppenhet

Livappy upprätthåller principen om öppenhet genom att tydligt informera registrerade om hur vi samlar in, använder och delar deras personuppgifter. GDPR kräver att organisationer är öppna och ärliga om de personuppgifter de samlar in och de ändamål för vilka de används³. I linje med detta förser Livappy registrerade med utförliga integritetsmeddelanden varje gång vi samlar in personuppgifter. Dessa meddelanden (såsom vår integritetspolicy) innehåller all obligatorisk information, bland annat:

Den personuppgiftsansvariges identitet:

Vi anger Livappy OÜ som personuppgiftsansvarig och lämnar våra kontaktuppgifter (adress och e-post) i all kommunikation om integritet.

Insamling och användning av uppgifter:

Vi förklarar vilka personuppgifter vi samlar in samt hur och varför vi samlar in dem. Detta inkluderar kategorierna av uppgifter (t.ex. namn, kontaktuppgifter, identitetshandlingar osv.) och de ändamål för vilka de behandlas (såsom tillhandahållande av våra tjänster, identitetsverifiering, kundsupport, marknadsföring osv.).

Rättsliga grunder:

För varje behandling anger vi den rättsliga grunden enligt GDPR som motiverar den – till exempel om vi stödjer oss på användarens samtycke, nödvändighet för att fullgöra ett avtal, rättslig förpliktelse eller berättigade intressen. Vi säkerställer att inga personuppgifter behandlas utan en giltig rättslig grund enligt artiklarna 6 och 9 i GDPR.

Lagring av uppgifter:

Vi informerar enskilda om hur länge vi lagrar personuppgifter. Livappy är förbundet till principen om lagringsminimering, vilket innebär att vi bevarar personuppgifter endast så länge som det är nödvändigt för att uppfylla de angivna ändamålen eller enligt lagkrav, varefter uppgifterna raderas eller anonymiseras på ett säkert sätt.

Mottagare av uppgifter:

Vi anger vilka tredje parter eller partner som kan komma att ta emot personuppgifter. Detta inkluderar att tydliggöra om personuppgifter delas med våra tjänsteleverantörer eller personuppgiftsbiträden (till exempel molnleverantörer, tjänster för identitetsverifiering, analysverktyg) och att säkerställa att enskilda känner till kategorierna av mottagare.

Rättigheter och kontakt:

Vi informerar enskilda om deras rättigheter som registrerade enligt GDPR (beskrivs i nästa avsnitt) och ger tydliga anvisningar om hur dessa rättigheter kan utövas, bland annat genom att kontakta oss på info@livappy.com. Vi anger också rätten att lämna in klagomål till en tillsynsmyndighet och annan obligatorisk information i våra integritetsmeddelanden.

All integritetsinformation presenteras i en kortfattad, öppen och lättillgänglig form, med ett klart och tydligt språk enligt GDPR:s krav. Livappy lämnar denna information vid tidpunkten för insamlingen (eller, om uppgifterna erhålls från tredje part, vid tidigast möjliga tillfälle enligt artiklarna 13 och 14 i GDPR). Vi har åtagit oss att uppdatera våra integritetsmeddelanden när våra behandlingsrutiner ändras och kommer skyndsamt att informera om alla väsentliga förändringar för att säkerställa fortsatt öppenhet. I grunden strävar Livappy efter att enskilda aldrig ska vara ovetande om hur deras uppgifter hanteras, vilket stärker förtroendet och uppfyller GDPR:s höga krav på öppenhet³.

Registrerades rättigheter

Enligt GDPR har enskilda (registrerade) starka rättigheter avseende sina personuppgifter, och Livappy är fast beslutet att möjliggöra och respektera dessa rättigheter. De rättigheter som registrerade har omfattar: rätten till information, rätten till tillgång, rätten till rättelse, rätten till radering (”rätten att bli bortglömd”), rätten till begränsning av behandling, rätten till dataportabilitet, rätten att göra invändningar mot behandling samt rätten att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling (inklusive profilering)⁴. Vi erkänner alla dessa rättigheter och har infört rutiner för att underlätta utövandet av dem.

Utövande av rättigheter

Livappy har användarvänliga rutiner för att enskilda ska kunna utöva sina rättigheter enligt GDPR. Registrerade kan när som helst lämna in en begäran genom att kontakta oss på info@livappy.com. Vi tillhandahåller även webbformulär eller inställningar i appen (där så är tillämpligt) för att förenkla inlämnandet av begäranden om tillgång, rättelse, radering osv.

När en begäran tas emot kommer Livappy att:

Kontrollera begäran:

Av säkerhetsskäl kan vi behöva verifiera identiteten hos den som begär uppgifterna för att säkerställa att personuppgifter inte lämnas ut till en obehörig person. Detta kan innebära att vi ber om ytterligare information eller autentisering om begäran görs från en e-postadress eller ett konto som inte redan är känt för oss.

Svara inom rimlig tid:

Vi besvarar alla begäranden från registrerade utan onödigt dröjsmål och inom en månad från mottagandet, såsom krävs enligt GDPR⁶. Om en begäran är komplicerad eller om det rör sig om många begäranden kan vi förlänga denna period med upp till ytterligare två månader, men vi informerar då den sökande om förlängningen och skälen till den inom den ursprungliga enmånadsperioden. Under alla omständigheter kommer status och resultat för begäran att kommuniceras tydligt.

Tillmötesgå begäran när det är möjligt:

Om begäran är giltig och inget rättsligt undantag är tillämpligt kommer Livappy att tillmötesgå den. Vi lämnar till exempel en kopia av de personuppgifter om den enskilde som vi behandlar (rätt till tillgång), rättar eventuella felaktigheter (rättelse), raderar uppgifter på begäran om inget överordnat lagligt skäl hindrar det (radering) eller upphör med viss behandling vid invändning eller begäran om begränsning, allt i enlighet med GDPR:s villkor. När dataportabilitet begärs tillhandahåller vi personuppgifterna i ett strukturerat, allmänt använt och maskinläsbart format.

Förklara eventuellt avslag eller begränsning:

I de sällsynta fall då vi inte kan tillmötesgå en begäran (till exempel om ett undantag är tillämpligt eller om begäran är uppenbart ogrundad eller orimlig) informerar vi den enskilde om det specifika skälet till att vi inte kan tillmötesgå begäran och om rätten att lämna in klagomål till en tillsynsmyndighet. Vi tar inte ut någon avgift för att besvara begäranden om rättigheter, såvida inte en begäran är upprepad eller orimlig (i vilket fall eventuell avgift eller avslag strikt sker på det sätt som GDPR tillåter).

Underlätta och dokumentera:

Livappys interna rutiner säkerställer att personalen är utbildad i att känna igen och korrekt hantera begäranden från registrerade⁷. Vi för register över begäranden och svar för att kunna visa vår efterlevnad. Vi underrättar även relevanta personuppgiftsbiträden eller mottagare hos tredje part när det är nödvändigt (om uppgifter till exempel har delats och behöver raderas eller rättas kommer vi att vidarebefordra begäran till dessa parter i enlighet med kraven).

Livappy respekterar djupt enskildas kontroll över sina personuppgifter. Genom att upprätthålla dessa rättigheter och göra processen enkel visar vi vår ansvarsskyldighet och vårt engagemang för den ställning som GDPR ger registrerade. Vårt team står alltid redo att hjälpa enskilda att förstå och utöva sina rättigheter.

Inbyggt dataskydd och dataskydd som standard

Livappy tillämpar inbyggt dataskydd och dataskydd som standard som centrala principer i alla våra produkter, tjänster och affärsprocesser. Detta innebär att vi redan från början av varje projekt eller system integrerar dataskyddshänsyn och säkerställer att skyddsåtgärder för integritet finns inbyggda som standard, inte läggs till i efterhand⁸. Vårt arbetssätt omfattar följande metoder:

Integration i designfasen:

När vi utvecklar eller uppdaterar programvara, applikationer eller affärsprocesser som involverar personuppgifter bedömer vi proaktivt integritetsriskerna och inför skyddsåtgärder redan i designstadiet. Vi minimerar till exempel insamlingen av uppgifter till endast det som är nödvändigt för det angivna ändamålet (uppgiftsminimering) och väljer systemarkitekturer som skyddar personuppgifter (såsom pseudonymisering eller aggregeringstekniker där det är lämpligt).

Standardinställningar för integritet:

Livappys tjänster är konfigurerade med integritetsvänliga standardinställningar. Detta innebär att, om inte en användare aktivt väljer något annat, endast det minsta nödvändiga av personuppgifter samlas in och används. Alla funktioner som kan påverka integriteten är som standard inställda på de mest skyddande inställningarna⁹. Användare behöver inte samtycka till extra datainsamling för att tjänsten ska fungera – integritet är standardinställningen.

Konsekvensbedömningar avseende dataskydd (DPIA):

Vi genomför konsekvensbedömningar avseende dataskydd för all ny eller väsentligt förändrad behandling som kan innebära höga risker för enskildas integritet. Genom DPIA identifierar vi potentiella integritetsproblem tidigt och åtgärdar dem genom att justera vår design eller införa ytterligare skyddsåtgärder. Denna process säkerställer efterlevnad av artikel 35 i GDPR och visar att vi noggrant beaktar integritetsrisker i förväg.

Utbildning och medvetenhet:

Våra utvecklings- och produktteam får utbildning i principerna för inbyggt dataskydd. Vi odlar en intern kultur där anställda och uppdragstagare är medvetna om integritetsskyldigheter och konsekvent tillämpar ett integritetsfokuserat tänkande vid hantering av personuppgifter. Innan nya funktioner lanseras genomför vi integritetsgranskningar eller checklistor för att säkerställa att kontroller för efterlevnad finns på plats.

Löpande granskning och förbättringar:

Inbyggt dataskydd är inte en engångsinsats. Livappy övervakar och granskar kontinuerligt sina system för att säkerställa att de upprätthåller integritetsstandarderna över tid. Vi genomför regelbundna granskningar och uppdateringar av säkerhets- och integritetskontroller, anpassar oss till ny tillsynsvägledning och beaktar användarnas synpunkter för att förbättra dataskyddet. Om tekniken eller användningen av uppgifter förändras ser vi över våra lösningar för att upprätthålla högsta möjliga nivå av dataskydd som standard.

Genom att bygga in integritet i själva strukturen för vår verksamhet uppfyller Livappy inte bara GDPR:s krav på inbyggt dataskydd och dataskydd som standard, utan bygger också förtroende hos användarna. Vårt mål är att säkerställa att integritet är en integrerad del av företagets innovation och tjänster – att personuppgifter skyddas från grunden och som standard i varje enskilt fall.

Tekniska och organisatoriska åtgärder

Livappy har infört en omfattande uppsättning tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter och säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, såsom krävs enligt artikel 32 i GDPR¹¹. Vi är medvetna om att skyddet av personuppgifter är av högsta vikt och tillämpar branschens bästa praxis för att förhindra obehörig åtkomst, obehörigt röjande, ändring eller förlust av uppgifter. Viktiga åtgärder omfattar:

Kryptering:

Alla personuppgifter som Livappy hanterar skyddas med stark kryptering, både under överföring och i vila. Vi använder aktuella krypteringsprotokoll (såsom TLS) för uppgifter som överförs via nätverk, och robusta krypteringsalgoritmer för att kryptera uppgifter som lagras i våra databaser och säkerhetskopior. Detta säkerställer att uppgifterna, även om de skulle avlyssnas eller nås utan behörighet, förblir obegripliga och säkra¹². Där det är möjligt erbjuder vi mekanismer för att hantera krypteringsnycklar på ett säkert sätt för att undvika en enskild sårbarhetspunkt.

Åtkomstkontroller:

Livappy tillämpar strikta mekanismer för åtkomstkontroll för att säkerställa att personuppgifter endast är tillgängliga för behörig personal utifrån behovsprincipen. Vi har infört rollbaserad åtkomstkontroll och system för användarautentisering (inklusive flerfaktorsautentisering för känsliga system) för att begränsa vem som kan komma åt uppgifter. Personalens åtkomst till personuppgifter beviljas utifrån arbetsroll och återkallas eller justeras skyndsamt när roller förändras. Varje anställd eller uppdragstagare med åtkomst till personuppgifter omfattas av sekretesskyldighet och får utbildning i datasäkerhet.

Loggning och övervakning:

Vi upprätthåller detaljerad loggning av systemåtkomst och behandlingsaktiviteter. All åtkomst till lagringsplatser med personuppgifter, liksom betydande åtgärder som vidtas med personuppgifter, loggas i säkra granskningsspår. Livappy använder övervakningsverktyg för att granska loggar och upptäcka oregelbunden eller obehörig aktivitet. Detta hjälper oss inte bara att förebygga och identifiera möjliga säkerhetsincidenter, utan ger också en granskningsdokumentation som visar ansvarsskyldighet för åtkomst till och ändringar av uppgifter.

Säker infrastruktur (AWS-molnet):

Våra tjänster driftas hos Amazon Web Services (AWS), en välrenommerad molnleverantör med höga säkerhetsstandarder och GDPR-förenliga rutiner. Vi drar nytta av AWS säkerhetsfunktioner och efterlevnadscertifieringar. Vi väljer till exempel datacenterregioner i Europa för att lagra personuppgifter från EU, använder AWS inbyggda brandväggar och nätverkssäkerhet samt tillämpar regelbundet programuppdateringar och säkerhetsuppdateringar. AWS erbjuder starka garantier och valmöjligheter för dataskydd (inklusive kundens kontroll över dataplacering, kryptering och åtkomsthantering)¹², vilket vi utnyttjar för att stärka vår övergripande säkerhet.

Nätverks- och systemsäkerhet:

Livappy skyddar sina IT-system genom åtgärder såsom brandväggar, system för intrångsdetektering och intrångsskydd (IDS/IPS), skydd mot skadlig kod och säker nätverksarkitektur. Vi separerar miljöer (t.ex. utveckling, test och produktion) för att minska risken och tillämpar rutiner för sårbarhetshantering, inklusive regelbunden sårbarhetsskanning och penetrationstester. Alla identifierade säkerhetsproblem åtgärdas skyndsamt.

Organisatoriska policyer och utbildning:

Vi har fastställt interna policyer för säkerhet och dataskydd som alla anställda och uppdragstagare måste följa. Dessa policyer omfattar korrekt hantering av personuppgifter, användning av enheter, rutiner för incidentrapportering med mera. Vi genomför regelbundna utbildnings- och medvetandeprogram så att vårt team förblir vaksamt och kunnigt om bästa praxis inom cybersäkerhet och integritet. Åtkomst till personuppgifter förutsätter att dessa policyer följs, och överträdelser kan leda till disciplinära åtgärder.

Regelbundna granskningar och bedömningar:

Livappy granskar regelbundet sina dataskyddsåtgärder och genomför riskbedömningar för att säkerställa fortsatt effektivitet. Vi ser över användarnas åtkomsträttigheter regelbundet, testar våra planer för incidenthantering och kan anlita oberoende revisorer för att utvärdera våra säkerhetskontroller. Eventuella brister eller förbättringsmöjligheter som identifieras åtgärdas skyndsamt. Dessa granskningar hjälper oss att upprätthålla efterlevnad och kontinuerligt anpassa oss till nya säkerhetsstandarder och tillsynsvägledning.

Kontinuitet i verksamheten och säkerhetskopior:

För att skydda mot förlust eller förstöring av uppgifter upprätthåller vi säkra rutiner för säkerhetskopiering och har planer för katastrofåterställning. Säkerhetskopior av kritiska personuppgifter krypteras och lagras säkert (inklusive säkerhetskopior utanför lokalerna eller i molnet), och vi testar regelbundet återställning av data. Vid systemfel eller katastrof kan Livappy återställa personuppgifter för att förhindra permanent förlust, i linje med kraven på riktighet och tillgänglighet.

Pseudonymisering och uppgiftsminimering:

Där det är lämpligt tillämpar Livappy pseudonymisering av personuppgifter – identifierande fält ersätts med artificiella identifierare – för att minska risken vid obehörig åtkomst. Vi följer också starkt principen om uppgiftsminimering och samlar in och behåller endast de personuppgifter som är nödvändiga för våra angivna ändamål¹⁰. Genom att minimera de uppgifter vi innehar och separera eller anonymisera uppgifter där det är möjligt begränsar vi konsekvenserna av eventuella säkerhetsproblem.

Genom dessa och andra åtgärder säkerställer Livappy att personuppgifter alltid skyddas genom inbyggt dataskydd och dataskydd som standard¹³. Vi utvärderar kontinuerligt ny säkerhetsteknik och nya arbetssätt för att förbättra vårt skydd. Vårt åtagande är att upprätthålla ett modernt säkerhetsramverk som uppfyller eller överträffar GDPR:s krav på datasäkerhet och därigenom värna det förtroende som våra användare och kunder ger oss.

Dataskyddsombud (DPO)

GDPR kräver att vissa organisationer utser ett dataskyddsombud när specifika kriterier är uppfyllda, till exempel om kärnverksamheten består av storskalig behandling av känsliga uppgifter eller regelbunden och systematisk övervakning av enskilda i stor omfattning¹⁹. Livappy OÜ har ännu inte utsett något dataskyddsombud, eftersom vår nuvarande omfattning och typ av behandling inte gör detta till ett obligatoriskt krav enligt artikel 37 i GDPR. Närmare bestämt omfattar Livappys kärnverksamhet för närvarande inte storskalig behandling av särskilda kategorier av uppgifter eller storskalig regelbunden övervakning av enskilda som rättsligt skulle kräva att ett dataskyddsombud utses¹⁹. Vi har bedömt våra skyldigheter och kommit fram till att ett formellt dataskyddsombud för närvarande inte krävs.

Livappy förblir dock uppmärksamt på detta krav. Vi har åtagit oss att utse ett kvalificerat dataskyddsombud i framtiden om vår verksamhet eller våra rättsliga skyldigheter förändras så att ett dataskyddsombud blir nödvändigt. Om Livappys verksamhet till exempel utvidgas till att behandla mycket känsliga personuppgifter i stor omfattning, eller om vi inleder omfattande profilering eller övervakning, kommer vi att ompröva behovet av ett dataskyddsombud och skyndsamt utse ett i enlighet med GDPR:s bestämmelser.

Nuvarande dataskyddsåtgärder

Även utan ett formellt utsett dataskyddsombud säkerställer Livappy att ansvaret för dataskydd är tydligt fördelat inom organisationen:

Vi har ett särskilt team (eller en ansvarig person) för integritet och efterlevnad som övervakar efterlevnaden av GDPR och ger råd i dataskyddsfrågor. Detta team följer upp vårt dataskyddsarbete, ger vägledning om GDPR-skyldigheter och fungerar som en intern företrädare för användarnas integritet.
Vi tillhandahåller kontaktuppgifter (info@livappy.com) för alla förfrågningar eller begäranden som rör dataskydd, och vi behandlar denna kommunikation med samma omsorg och uppmärksamhet som om ett dataskyddsombud funnits. Alla förfrågningar eller klagomål som tas emot hanteras omsorgsfullt och eskaleras vid behov till ledningen eller till juridisk rådgivare specialiserad på integritetsfrågor.
Vi upprätthåller vid behov öppna kommunikationskanaler med tillsynsmyndigheter och håller oss informerade om tillsynsvägledning för att säkerställa fortsatt efterlevnad.

Livappy förstår det värde som ett dataskyddsombud kan tillföra, även när det inte är strikt obligatoriskt – såsom oberoende tillsyn och expertkunskap om integritet. Vi kommer att fortsätta att följa upp våra skyldigheter och kommer inte att tveka att utse ett dataskyddsombud när förhållandena eller vår tillväxt gör det lämpligt. Under tiden är vårt åtagande att alla väsentliga funktioner hos ett dataskyddsombud (övervaka efterlevnad, ge råd om konsekvensbedömningar, utbilda personal osv.) uppfylls genom våra interna styrningsstrukturer.

Anmälan av personuppgiftsincident

Trots starka skyddsåtgärder är Livappy medvetet om att säkerhetsincidenter kan inträffa. Vid en personuppgiftsincident (en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande av eller obehörig åtkomst till personuppgifter) har vi en tydlig rutin för att hantera incidenten och uppfylla GDPR:s anmälningsskyldigheter. Vår plan för hantering av personuppgiftsincidenter omfattar följande steg, i linje med artiklarna 33 och 34 i GDPR:

Omedelbar upptäckt och intern varning:

Vi har system och processer för att upptäcka och varna oss om möjliga personuppgiftsincidenter. Våra anställda är utbildade i att känna igen och eskalera säkerhetsincidenter. I samma stund som en incident misstänks eller identifieras underrättas vårt interna insatsteam (som omfattar IT-, säkerhets- och ledningspersonal). Vi utser en särskild incidentansvarig som leder utredningen.

Begränsning och bedömning:

Livappy begränsar snabbt incidenten för att förhindra ytterligare läckage av uppgifter (till exempel genom att isolera drabbade system, återkalla komprometterade inloggningsuppgifter eller stänga av specifika funktioner). Därefter utreder vi incidenten för att fastställa dess art och omfattning, vilka uppgifter och personer som berörs samt de potentiella riskerna för de registrerade. Som en del av denna bedömning utvärderar vi sannolikheten för och allvaret i den skada som kan uppstå.

Anmälan till myndigheter (72 timmar):

Om incidenten sannolikt medför en risk för enskildas rättigheter och friheter anmäler Livappy den till behörig tillsynsmyndighet utan onödigt dröjsmål och, där så är möjligt, inom 72 timmar från det att vi fått kännedom om incidenten¹⁴. Eftersom Livappy är baserat i Estland är vår ansvariga tillsynsmyndighet sannolikt den estniska dataskyddsinspektionen (Andmekaitse Inspektsioon), såvida inte incidenten berör registrerade i flera EU-länder (i vilket fall vi samordnar med den ansvariga myndigheten enligt mekanismen med en enda kontaktpunkt).

Vår anmälan till myndigheterna innehåller all nödvändig information (incidentens art, kategorier av och ungefärligt antal berörda registrerade och uppgiftsposter, sannolika konsekvenser, vidtagna eller föreslagna åtgärder för att hantera incidenten osv.). Om vi inte kan lämna alla uppgifter inom 72 timmar lämnar vi informationen i etapper i den mån det är tillåtet, tillsammans med en förklaring till dröjsmålet^15,16.

Information till berörda personer:

Om incidenten sannolikt medför en hög risk för enskildas personuppgifter eller integritet informerar vi även de berörda registrerade utan onödigt dröjsmål¹⁷. Denna information ges på ett klart och tydligt språk, beskriver incidentens art och ger rekommendationer till de enskilda om hur de kan minska eventuella negativa effekter (vi kan till exempel råda dem att byta lösenord eller vara vaksamma mot nätfiske om inloggningsuppgifter röjts). Vi informerar inte enskilda om de drabbade uppgifterna är obegripliga tack vare effektiva tekniska åtgärder (såsom krypterade uppgifter) eller andra faktorer, eller om risken är låg, såvida inte myndigheterna instruerar oss att göra det.

Åtgärdande och framtida förebyggande:

Livappy vidtar omedelbart åtgärder för att avhjälpa orsaken till incidenten. Detta kan innebära att åtgärda sårbarheter i programvara, skärpa åtkomstkontroller, förbättra kryptering eller vidta andra korrigerande åtgärder för att säkerställa att en liknande incident inte upprepas. Vi dokumenterar också lärdomar och uppdaterar våra säkerhetspolicyer och utbildningar i enlighet med detta. Företagsledningen informeras om alla incidenter och om framstegen i åtgärdsarbetet, vilket säkerställer ansvarsskyldighet och stöd för nödvändiga förbättringar.

Dokumentation:

I enlighet med artikel 33.5 i GDPR dokumenterar Livappy alla personuppgiftsincidenter, oavsett om de kräver anmälan eller inte. Detta interna incidentregister innehåller uppgifter om omständigheterna kring incidenten, dess effekter och de korrigerande åtgärder som vidtagits. Sådan dokumentation gör det möjligt för tillsynsmyndigheter att kontrollera vår efterlevnad och hjälper oss att kontinuerligt förbättra vår hantering av säkerhetsincidenter. Även för mindre incidenter för vi register som en del av vår ansvarsskyldighet¹⁸.

Genom att följa detta strukturerade arbetssätt säkerställer Livappy att varje personuppgiftsincident hanteras snabbt och öppet, med det yttersta syftet att skydda våra användares uppgifter och rättigheter. Vår beredskap för incidenthantering dygnet runt och vårt åtagande att hålla 72-timmarsfristen för anmälan återspeglar det allvar med vilket vi behandlar säkerheten för personuppgifter och våra skyldigheter enligt GDPR.

Personuppgiftsbiträdesavtal

Livappy anlitar vissa betrodda tjänsteleverantörer från tredje part (personuppgiftsbiträden) för att stödja våra tjänster – till exempel leverantörer av molninfrastruktur, tjänster för identitetsverifiering och analysplattformar. I enlighet med GDPR:s krav tecknar Livappy personuppgiftsbiträdesavtal (DPA) med alla externa personuppgiftsbiträden som behandlar personuppgifter för vår räkning²⁰. Dessa avtal är formella kontrakt som säkerställer att varje personuppgiftsbiträde åtar sig att följa GDPR och skyddar personuppgifter enligt samma höga standard som vi själva. Viktiga aspekter av vårt arbete med personuppgiftsbiträdesavtal är bland annat:

Obligatoriska personuppgiftsbiträdesavtal med alla biträden:

Vi har som policy att inga personuppgifter delas med eller anförtros ett personuppgiftsbiträde från tredje part om det inte finns ett GDPR-förenligt personuppgiftsbiträdesavtal på plats. Detta omfattar stora partner såsom Amazon Web Services (AWS) för molndrift, Veriff för tjänster för identitetsverifiering, Google för molnbaserade verktyg eller analys samt alla andra leverantörer eller uppdragstagare som behandlar uppgifter. Vart och ett av dessa personuppgiftsbiträden har avtalsmässigt förbundit sig att följa GDPR:s krav, att endast behandla uppgifter enligt Livappys dokumenterade instruktioner och att införa lämpliga säkerhetsåtgärder.

Försäkringar och tillräckliga garantier:

I linje med artikel 28 och skäl 81 i GDPR anlitar Livappy endast personuppgiftsbiträden som lämnar tillräckliga garantier för sin förmåga att skydda personuppgifter²¹. Våra personuppgiftsbiträdesavtal föreskriver att biträdena måste vidta alla lämpliga tekniska och organisatoriska åtgärder för att skydda uppgifterna (t.ex. kryptering, åtkomstkontroller, sekretesskyldigheter) och bistå Livappy med att hantera begäranden från registrerade och anmälningar av incidenter vid behov²². Vi granskar noggrant nya leverantörers dataskyddsrutiner och anseende innan vi anlitar dem som personuppgiftsbiträden.

Centrala villkor i personuppgiftsbiträdesavtalen:

Varje personuppgiftsbiträdesavtal som Livappy undertecknar innehåller alla klausuler som krävs enligt artikel 28.3 i GDPR. Dessa omfattar bland annat: att biträdet endast behandlar personuppgifter enligt Livappys instruktioner; att personal som behandlar uppgifterna omfattas av sekretess; att biträdet ska bidra till att säkerställa efterlevnad av säkerhetskraven och bistå vid registrerades rättigheter och konsekvensbedömningar; att underbiträden inte får anlitas utan vårt godkännande och måste omfattas av samma skyldigheter; att biträdet ska återlämna eller radera personuppgifter när uppdraget upphör; samt att biträdet måste underkasta sig granskningar och kunna visa efterlevnad²². Dessa avtalsvillkor ger Livappy och våra användare trygghet i att personuppgifter förblir skyddade även när de hanteras av tredje part.

Övervakning och efterlevnad:

Livappy för en förteckning över alla nuvarande personuppgiftsbiträden och över status för våra avtal med dem. Vi följer upp biträdenas efterlevnad – till exempel genom att granska deras säkerhetscertifieringar, revisionsrapporter eller anslutning till uppförandekoder. Om ett biträde inte uppfyller sina dataskyddsskyldigheter vidtar vi skyndsamt åtgärder, vilket kan innefatta krav på rättelse, att behandlingen avbryts eller att avtalet sägs upp. Dessutom gör våra personuppgiftsbiträdesavtal biträdena ansvariga för att skydda uppgifterna, vilket innebär att de måste hålla Livappy (och i förlängningen våra användare) skadeslösa för skada som orsakats av deras behandling om den inte uppfyller GDPR:s krav.

Underbiträden:

När våra personuppgiftsbiträden i sin tur lägger ut behandling på entreprenad (till exempel om AWS använder underleverantörer för drift av datacenter) krävs enligt våra personuppgiftsbiträdesavtal att dessa underbiträden omfattas av samma standarder. Livappys avtal säkerställer att det finns en kedja av GDPR-förenliga skyldigheter genom alla nivåer av behandlingen.

Observera: Livappy har ingått ett personuppgiftsbiträdesavtal (DPA) med Google Ireland Limited för tillhandahållandet av Google Workspace-tjänster (e-post, kalender, moln). Google agerar som personuppgiftsbiträde för Livappys räkning, och all behandling sker i enlighet med GDPR, inklusive standardavtalsklausuler (SCC) när uppgifter kan komma att överföras utanför EU.

Genom att upprätthålla strikta personuppgiftsbiträdesavtal uppfyller Livappy sin skyldighet som personuppgiftsansvarig att endast samarbeta med biträden som kan garantera skyddet av personuppgifter²³. Denna avtalsmässiga omsorg är en grundläggande del av vårt program för GDPR-efterlevnad och ger våra kunder och användare trygghet i att deras uppgifter hanteras säkert, inte bara av Livappy utan även av varje partner eller leverantör som medverkar i leveransen av våra tjänster. Vi ser regelbundet över och uppdaterar våra personuppgiftsbiträdesavtal i takt med den rättsliga utvecklingen och säkerställer att alla nya samarbeten inleds med ett gediget dataskyddsavtal på plats.

Kontaktuppgifter

Kontakt-e-post: info@livappy.com

Ikraftträdandedatum: 10 september 2025

Operatör: Livappy OÜ (registrikood 17298558)
Harju maakond, Tallinn, Kesklinna linnaosa, Sakala tn 7-2, 10141, Estonia
Registrerad vid Tartu Maakohus registreringsavdelning, handelsregisterkort nr 1

Ikraftträdande och översyn

Denna policy för GDPR-efterlevnad gäller från och med publiceringsdatumet och är godkänd av Livappys ledning. Vi ser över policyn minst en gång per år och därutöver vid behov för att återspegla förändringar i våra rutiner eller i lagstiftningen. Uppdateringar publiceras för att säkerställa att anställda, kunder och partner hålls informerade om hur Livappy upprätthåller sitt åtagande om GDPR-efterlevnad.

Referenser

^1,12 GDPR - Amazon Web Services (AWS) - https://aws.amazon.com/compliance/gdpr-center/

^2,3 EU General Data Protection Regulation Compliance Policy | Policy Library - https://www.policylibrary.gatech.edu/legal/eu-general-data-protection-regulation-compliance-policy

^4,5,6,7 Respect individuals' rights | European Data Protection Board - https://www.edpb.europa.eu/sme-data-protection-guide/respect-individuals-rights_en

^8,9,10 Privacy by Design & by Default: What You Need To Know - https://www.datagrail.io/blog/data-privacy/privacy-by-design-privacy-by-default/

^11,20,21,22 What is a GDPR data processing agreement? - GDPR.eu - https://gdpr.eu/what-is-data-processing-agreement/

¹³ Data protection by design and by default | ICO - https://ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-by-design-and-by-default/

^{14,15,16,17,18} Personal data breaches: a guide | ICO - https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/

¹⁹ Does my company/organisation need to have a Data Protection Officer (DPO)? - European Commission - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/data-protection-officers/does-my-companyorganisation-need-have-data-protection-officer-dpo_en

²³ GDPR Compliance Statement - Free Privacy Policy - https://www.freeprivacypolicy.com/blog/gdpr-compliance-statement/

Policy för GDPR-efterlevnad