Integritetspolicy för Nawa Studio

Vi kan behandla:

• namn
• Diversia Nick eller annat valt visningsnamn
• e-postadress
• telefonnummer när det behövs
• användar-ID
• föredraget språk
• kontostatus
• användarroll och behörighet

Juridiskt namn kan behövas för exempelvis betalningar, försäkringsärenden, myndighetskontakt, bokföring eller säker identifiering.

Ett Diversia Nick kan användas som visningsnamn i systemet. Juridiskt namn ska endast vara tillgängligt för personer som behöver uppgiften.

Vi kan behandla:

• vilka event du har bokat eller ansökt till
• bokningsnummer och eventnummer
• bokningsstatus
• deltagarstatus
• reservlistestatus
• datum och tider
• deltagarroller
• svar på eventets frågor
• avbokningar och ändringar
• tidigare och kommande bokningar
• praktisk information inför eventet
• information om huvudbokaren
• information om andra personer som ingår i bokningen

När du skapar en bokningsprofil kan vi behandla:

• verifierad e-postadress
• namn eller Diversia Nick
• telefonnummer
• språk
• profilinställningar
• aktiva och tidigare bokningar
• förifyllda grunduppgifter för framtida bokningar

Eventspecifika svar, uppgifter om hälsa och andra integritetskänsliga uppgifter ska inte automatiskt återanvändas i nya bokningar.

Vi kan behandla:

• bokningsnummer
• eventnummer
• betalningsansvarig huvudbokare
• deltagaravgift
• donation till Ropefund
• betalt belopp
• betalningsstatus
• betalningsdatum
• betalningsmetod
• betalningsreferens
• Swish-transaktionsidentifierare
• återbetalningsuppgifter
• information om vem som administrativt registrerat eller ändrat en betalning

Vi lagrar inte fullständig BankID-information, kortinformation eller inloggningsuppgifter till din bank.

Vi kan behandla:

• volontäransökan
• namn eller Diversia Nick
• kontaktuppgifter
• tidigare erfarenhet
• angiven kompetens
• motivering till volontäransökan
• datum för ansökan och godkännande
• volontärstatus
• skickade förfrågningar
• accepterade och avböjda arbetspass
• arbetspass, funktioner och tider
• tillgänglighet
• introduktioner och säkerhetsgenomgångar
• kalenderinbjudningar
• svar på kalenderinbjudningar
• administrativa anteckningar
• avanmälningar och förändringar

Vi kan behandla:

• kontouppgifter
• användarroll
• eventägarskap
• redigeringsbehörigheter
• begäran om tillgång till event
• administrativa åtgärder
• revisionshistorik
• inloggningshistorik
• säkerhetsloggar

Vi kan behandla innehåll och metadata från:

• kontaktformulär
• e-post
• bokningsmeddelanden
• supportärenden
• nyhetsbrev
• meddelanden om event
• volontärförfrågningar
• kommunikation om betalningar och återbetalningar
• kommunikation om avbokningar
• kommunikation om säkerhet och incidenter

När du använder webbplatsen eller eventplattformen kan vi behandla:

• IP-adress
• datum och tid
• webbläsare
• operativsystem
• enhetstyp
• språk- och visningsinställningar
• inloggningshändelser
• säkerhetsloggar
• felrapporter
• information om användning av personliga länkar
• nödvändiga cookies och lokal lagring

Om fotografering, filmning eller ljudinspelning förekommer kan vi behandla:

• fotografier
• videoinspelningar
• ljudinspelningar
• namn eller Diversia Nick kopplat till materialet
• information om lämnat eller återkallat samtycke

Att boka, delta i eller arbeta vid ett event innebär inte automatiskt att du samtycker till fotografering eller publicering.

Vid en olycka, konflikt, personskada, säkerhetsincident eller annan allvarlig händelse kan vi behandla:

• datum, tid och plats
• beskrivning av händelsen
• involverade personer
• vittnesuppgifter
• vidtagna åtgärder
• fotografier eller annan dokumentation från händelsen
• kontakt med försäkringsbolag
• kontakt med juridiska rådgivare
• kontakt med myndigheter, räddningstjänst eller sjukvård

Vi behandlar personuppgifter för att:

• besvara frågor
• hantera kontaktförfrågningar
• hantera lokal- och eventförfrågningar
• lämna efterfrågad information
• följa upp ett ärende

Rättslig grund: berättigat intresse eller åtgärder på din begäran inför ett möjligt avtal.

Vi behandlar personuppgifter för att:

• skapa och verifiera konton
• möjliggöra inloggning
• administrera roller och behörigheter
• återställa lösenord
• skydda konton mot obehörig användning
• visa användarens egna bokningar, uppdrag och inställningar

Rättslig grund: fullgörande av användaravtal och berättigat intresse av säker kontoadministration.

Vi behandlar personuppgifter för att:

• ta emot bokningar och ansökningar
• administrera deltagare
• genomföra eventurval
• administrera reservlistor
• skicka bekräftelser
• kommunicera bokningsstatus
• skicka praktisk information
• hantera ändringar och avbokningar
• genomföra eventet

Rättslig grund: fullgörande av avtal, åtgärder inför avtal och berättigat intresse.

Vi behandlar personuppgifter för att:

• skapa och verifiera bokningsprofilen
• förifylla framtida bokningar
• visa egna bokningar
• hantera profilinställningar
• skydda profilen mot obehörig åtkomst

Rättslig grund: fullgörande av användaravtalet och berättigat intresse.

Det är frivilligt att skapa en bokningsprofil.

Vi behandlar personuppgifter för att:

• beräkna deltagaravgifter
• ta emot och registrera betalningar
• genomföra Swishbetalningar
• registrera manuella betalningar
• skicka betalningsbekräftelser
• genomföra återbetalningar
• administrera donationer till Ropefund
• uppfylla bokförings- och redovisningskrav

Rättslig grund: fullgörande av avtal och rättslig förpliktelse.

Vi behandlar personuppgifter för att:

• ta emot och bedöma volontäransökningar
• godkänna eller avslå ansökningar
• administrera volontärregistret
• skicka frivilliga förfrågningar om arbetspass
• planera bemanning
• registrera svar och avanmälningar
• skicka kalenderinbjudningar
• organisera säkerhetsinformation
• administrera personalfunktioner

Rättslig grund: åtgärder på personens begäran, fullgörande av volontäröverenskommelsen och berättigat intresse.

Eventadministratörer kan ange i vilken ordning volontärer ska få förfrågningar för ett visst event.

Prioriteringen kan exempelvis baseras på:

• relevant erfarenhet
• kompetens för uppgiften
• tidigare erfarenhet av eventtypen
• kännedom om lokalen
• behov av kontinuitet
• tillgänglighet
• en lämplig fördelning av erfarenhet i arbetsgruppen

Ett nej till en förfrågan ska inte automatiskt sänka volontärens prioritet eller påverka möjligheten att få framtida förfrågningar.

Rättslig grund: berättigat intresse av att organisera en lämplig och säker bemanning.

Vi behandlar personuppgifter för att:

• skapa administratörskonton
• ge tillgång till rätt event och funktioner
• behandla begäran om redigeringsbehörighet
• logga administrativa åtgärder
• förebygga obehörig åtkomst

Rättslig grund: berättigat intresse av att skydda systemen och organisera verksamheten.

Vi behandlar personuppgifter för att:

• förebygga olyckor
• skydda deltagare, volontärer och personal
• utreda säkerhetsincidenter
• hantera försäkringsärenden
• fastställa, göra gällande eller försvara rättsliga anspråk
• lämna information till myndigheter när detta krävs
• skydda en persons liv eller hälsa i en akut situation

Rättslig grund: berättigat intresse, rättslig förpliktelse eller skydd av grundläggande intressen.

Vi behandlar personuppgifter för att:

• skicka nyhetsbrev
• informera om kommande event
• hantera prenumerationer
• hantera avregistrering
• dokumentera när och hur samtycke lämnades

Rättslig grund: samtycke eller annan tillämplig rättslig grund för befintliga kundrelationer.

Du kan när som helst avregistrera dig från marknadsföringsutskick.

Identifierbara fotografier och filmer från integritetskänsliga event publiceras normalt endast efter ett tydligt och separat samtycke.

Samtycke till fotografering eller publicering ska:

• vara frivilligt
• vara separat från bokningsvillkoren
• inte vara förkryssat
• kunna återkallas
• kunna nekas utan att det påverkar möjligheten att delta eller vara volontär

Rättslig grund: normalt samtycke.

Vi behandlar tekniska uppgifter för att:

• möjliggöra inloggning
• skydda användarkonton
• skydda personliga svarslänkar
• upptäcka intrång och missbruk
• felsöka systemet
• genomföra säkerhetskopiering
• dokumentera administrativa ändringar

Rättslig grund: berättigat intresse av att upprätthålla ett säkert och fungerande system.

Huvudadministratörer kan få tillgång till de personuppgifter som behövs för att administrera verksamheten och systemet.

Eventadministratörer får endast tillgång till uppgifter som behövs för event som de äger eller har godkänd redigeringsbehörighet till.

Tillgång till ett event ska inte automatiskt ge tillgång till alla deltagaruppgifter, betalningsuppgifter, volontärhistorik eller interna anteckningar.

Volontärer och personal får endast tillgång till information som behövs för deras specifika uppgifter.

De ska normalt inte få tillgång till:

• fullständiga deltagarlistor
• detaljerade ansökningssvar
• betalningsuppgifter
• känsliga personuppgifter
• interna administrativa anteckningar

Vi kan använda leverantörer för exempelvis:

• webbplats och systemutveckling
• databas och lagring
• autentisering
• e-postutskick
• kalenderfunktioner
• betalningar
• bokföring
• säkerhetskopiering
• IT-support
• informationssäkerhet
• webbstatistik

Leverantörer som behandlar personuppgifter för vår räkning ska behandla uppgifterna enligt våra instruktioner och omfattas av tillämpliga personuppgiftsbiträdesavtal.

Personuppgifter kan lämnas till:

• banker och betalningsleverantörer
• redovisningskonsulter
• försäkringsbolag
• juridiska rådgivare
• räddningstjänst och sjukvård
• myndigheter
• domstolar

Detta sker endast när det behövs eller krävs enligt lag.

Vi säljer inte personuppgifter.

Vanliga kontaktärenden raderas normalt inom 12 månader efter att ärendet avslutats.

Uppgifterna raderas eller avidentifieras normalt inom 6–12 månader efter eventet, om de inte behöver sparas för ett klagomål, en incident eller ett rättsligt anspråk.

Vanliga boknings- och deltagaruppgifter sparas normalt i högst 24 månader efter eventet.

Detaljerade eventsvar och känsliga uppgifter ska raderas tidigare när de inte längre behövs.

En bokningsprofil sparas så länge den är aktiv.

Efter avslut eller långvarig inaktivitet raderas eller avidentifieras uppgifterna normalt inom 24 månader, om de inte behöver bevaras för en aktiv bokning eller rättslig skyldighet.

Uppgifter som utgör räkenskapsinformation sparas så länge bokföringslagstiftningen kräver.

Avslagna eller återtagna volontäransökningar raderas normalt inom sex månader.

Uppgifter om volontärer sparas så länge personen är aktiv eller pausad och normalt i högst 24 månader efter det senaste volontärpasset eller avslutad volontärstatus.

E-postadressen används för nyhetsbrev tills personen avregistrerar sig eller samtycket återkallas.

En begränsad spärruppgift kan därefter sparas för att förhindra att personen får nya utskick mot sin vilja.

Material sparas så länge det används för det angivna ändamålet eller tills ett återkallat samtycke kan verkställas.

Redan tryckt material eller redan genomförd publicering kan inte alltid återtas, men framtida användning ska stoppas när det är möjligt.

Uppgifter sparas tills händelsen är utredd och eventuella försäkringsärenden eller rättsliga anspråk är slutligt hanterade.

Normala säkerhets- och åtkomstloggar sparas vanligtvis i högst 12 månader.

Loggar kan sparas längre när de behövs för att utreda en konkret säkerhetsincident.

Raderade uppgifter kan finnas kvar under en begränsad tid i säkerhetskopior innan de skrivs över enligt våra rutiner för säkerhetskopiering.

• själva bilderna och tillhörande teknisk metadata, till exempel filformat, storlek och tidpunkt för uppladdning
• namn eller det nick du själv väljer att synas med
• e-postadress, som används för att skicka den personliga samtyckesförfrågan och senare påminnelser eller bekräftelser
• uppgifter om fotografen: namn eller alias, kontaktuppgifter, vilka bilder som laddats upp och vilka villkor och försäkringar fotografen har godkänt
• ditt samtyckesval för varje enskild bild och för varje enskild publiceringskanal, inklusive tidpunkt och den exakta text- och bildversion valet gäller
• hur du vill krediteras, det vill säga namn, nick eller ingen kreditering alls
• teknisk säkerhets- och revisionsinformation som visar när en bild laddades upp, granskades, godkändes, laddades ned, publicerades, återkallades eller togs bort

Bilder på personer kan vara känsliga uppgifter. Därför behandlas de i portalen endast med ditt uttryckliga samtycke, och de hålls i ett stängt läge fram till dess att du har tagit ställning.

Ingen ansiktsigenkänning Vi använder inte ansiktsigenkänning, biometrisk identifiering eller någon annan automatisk teknik för att känna igen personer på bilder. Kopplingen mellan en bild och en person görs alltid manuellt av fotografen eller av en behörig bildadministratör, och den kan alltid rättas.

• för att ta emot bilder från fotografer och säkerhetsgranska filerna innan någon annan kan se dem
• för att inhämta ett individuellt och frivilligt samtycke från varje identifierbar person
• för att administrera vilka publiceringskanaler som är godkända för varje bild
• för att dokumentera var en bild faktiskt har publicerats
• för att kunna hantera återkallelse av samtycke och begära att en redan publicerad bild tas bort

Bilderna används inte för träning av AI-modeller, för profilering av dig, för att bygga en allmän marknadsföringsdatabas eller för något annat ändamål. Om ett nytt ändamål någon gång blir aktuellt kräver det ett nytt uttryckligt val från dig.

Publicering av bilder där du är identifierbar sker uteslutande med stöd av ditt uttryckliga och frivilliga samtycke, lämnat separat för varje kanal.

En begränsad säkerhets-, avtals- och revisionshistorik kan behållas med stöd av vårt berättigade intresse av att kunna visa vad som hänt med en bild, eller när lag kräver det. Den historiken används inte för att publicera något.

Att svara nej, att inte svara alls eller att senare ändra dig får inga negativa följder för dig, varken vid bokning, deltagande eller volontärengagemang.

På en bild med flera identifierbara personer tar var och en ställning för egen räkning. Ingen kan svara åt någon annan.

En bild får bara publiceras i de kanaler där samtliga identifierade personer just då har ett aktivt ja. Om någon inte har svarat, har svarat nej eller senare återkallar sitt samtycke, faller den kanalen bort omedelbart för hela bilden.

• behöriga bildadministratörer och publicerare hos Nawa Studio, som behöver åtkomsten för att granska och publicera
• de publiceringskanaler och plattformar som du uttryckligen har valt
• nödvändiga driftleverantörer, till exempel för hosting, lagring och e-postutskick, som behandlar uppgifterna som personuppgiftsbiträden på våra instruktioner

Vi säljer aldrig bilder eller uppgifter om dig och delar dem inte med någon annan mottagare.

• originalfiler ligger på privata lagringsytor som inte är åtkomliga via öppna länkar
• åtkomst styrs av roller, och administratörsrollerna kräver tvåfaktorsinloggning
• uppladdade filer kontrolleras och bearbetas innan de blir synliga; är kontrollerna ännu inte färdiga hålls filen spärrad och kan inte visas, godkännas eller laddas ned
• metadata i filer, till exempel platsuppgifter, hanteras vid bearbetningen så att sådan information inte följer med en publicerad bild
• varje samtycke binds till en exakt bildversion och en exakt version av kanalens villkor; en ny version av bilden kräver ett nytt samtycke och gamla svar räknas inte
• nedladdning av original sker via kortlivade engångslänkar som är knutna till en namngiven kanal, ett angivet syfte och en enskild administratör; länken kan inte återanvändas eller delas
• alla väsentliga händelser skrivs till en revisionslogg som inte kan ändras i efterhand

Material som ingen har svarat på, som har avböjts eller som har återkallats, och de originalfiler som hör till, raderas enligt den retention som är dokumenterad i bildportalen. Fram till raderingen är materialet spärrat och kan inte publiceras.

Godkänt material sparas bara så länge ändamålet kräver det och samtycket är aktivt. Vi går igenom materialet återkommande och rensar det som inte längre behövs.

En separat minimihistorik för säkerhet och revision hålls åtskild från bilderna och gallras utifrån vad som är rättsligt motiverat. Vi anger avsiktligt inga exakta tidsgränser här som portalen ännu inte tillämpar automatiskt.

Du har rätt till tillgång, rättelse, radering och begränsning, och där det är relevant även till dataportabilitet. Du kan när som helst lämna klagomål till Integritetsskyddsmyndigheten (IMY).

Du kan återkalla ditt samtycke när som helst, för en enskild kanal eller för allt, utan att motivera dig. Återkallelsen gäller framåt och påverkar inte att publiceringen var laglig innan du ändrade dig. Kanalen slutar omedelbart att vara godkänd, och om bilden redan har publicerats startas ett ärende för att få den borttagen där det är möjligt.

Om du känner igen dig på en bild du inte borde vara kopplad till kan du markera det i portalen. Kopplingen tas då bort och bilden blockeras för de kanaler som berörs.

Bildportalens startsida finns på nawastudio.se/sv/pictures, och på engelska på nawastudio.se/en/pictures.

När en bild där du är identifierbar har laddats upp får du ett mejl med en personlig länk till sidan för att hantera ditt samtycke. Länken innehåller en unik och tidsbegränsad kod som bara du får, som aldrig visas i denna policy och som aldrig ska vidarebefordras. Via samma länk kan du senare se dina val och ändra eller återkalla dem. Har länken slutat fungera skickar vi en ny efter kontakt på hello@nawastudio.se.

Fotografen ansvarar för att bara ladda upp bilder från det event uppdraget avser, för att ange alla personer som är identifierbara på bilden och för att följa studions villkor och den ordning som gäller under eventet.

Fotografen behåller upphovsrätten till sina bilder och ger Nawa Studio en begränsad rätt att använda dem i de kanaler som är godkända. Fotografen kan själv begränsa sin licens.

Fotografens godkännande av villkoren gäller enbart fotografens egna åtaganden och rättigheter. Fotografen kan aldrig lämna samtycke för någon av de personer som syns på bilden; varje avbildad person samtycker alltid själv.