Säkerhet och GDPR i Givkraft

Var uppgifterna finns

Tjänsten och databasen drivs hos Hetzner i Tyskland. E-post skickas från servrar i EU. Tjänsten använder ingen AI-tjänst. Om AI-funktioner läggs till körs de i EU eller bara på anonymiserade uppgifter. Kommunen får hela förteckningen över underbiträden, och vi meddelar i förväg innan ett nytt underbiträde används.

Roller och avtal

Kommunen är personuppgiftsansvarig för uppgifterna i sin instans. Hello Gbg AB är personuppgiftsbiträde. Vi utgår från SKR:s mall för personuppgiftsbiträdesavtal och har en registerförteckning, en rutin för personuppgiftsincidenter och en mall för konsekvensbedömning som kommunen kan använda.

Skydd i själva tjänsten

• Personnummer och andra känsliga fält krypteras i databasen. Se dataskydd i systemet.
• Personnummer kontrolleras när de registreras och visas maskerat för handläggare i volontärregistret.
• All trafik är krypterad, och webbläsaren tvingas använda HTTPS.
• Inloggningen sparas i säkra cookies som skript på sidan inte kan läsa, och upprepade inloggningsförsök begränsas.
• Varje kommun har en egen avgränsad instans, och isoleringen mellan kommuner testas automatiskt.
• Behörigheter styrs av roller och kontrolleras i API:t.

Loggning och gallring

Export, godkännanden, raderingar och visning av känsliga uppgifter loggas. Ett dagligt jobb gallrar uppgifter efter fasta lagringstider, till exempel loggar efter 24 månader och aviseringar efter 6 månader.

Den registrerades rättigheter

Varje användare kan själv ladda ner sina uppgifter och radera sitt konto. Vid radering anonymiseras historiken, så att kommunens statistik finns kvar utan att peka ut någon. Begäran om begränsning (art. 18) och invändning (art. 21) hanteras manuellt på begäran.

Frågor från dataskyddsombud och IT

Vi svarar gärna på säkerhetsfrågor och skickar underlag inför en upphandling. Se vad som ingår under pris och upphandling, läs vanliga frågor om Givkraft eller kontakta oss.