Integritetspolicy

Den här policyn förklarar hur vi på Fritio hanterar dina personuppgifter. Vi har försökt skriva den på vanlig svenska, utan onödig juridik, så att du som pedagog, rektor eller vårdnadshavare snabbt ska kunna förstå vad vi gör, varför vi gör det och vilka rättigheter du har.

Om något är otydligt, mejla oss på abvations@outlook.com så svarar vi gärna.

1. Vem vi är

Fritio är en plattform för svenska fritidshem. Tjänsten drivs av ABV Games AB, org.nr 559535-4654, med säte i Sverige.

Kontakt i dataskyddsfrågor:
E-post: abvations@outlook.com
Dataskyddsombud (DSO): se kontaktuppgifter i avsnitt 13.

Vem som ansvarar för dina uppgifter beror på hur Fritio används

Fritio används på två sätt och ansvaret ser olika ut. Det påverkar bland annat vem du vänder dig till med frågor och för att utöva dina rättigheter.

Är du osäker på vilket som gäller dig kan du fråga oss. Går ditt fritidshem över från personligt konto till skolans tjänst informerar vi berörda användare innan det sker.

2. Vilka personuppgifter vi samlar in

Vi samlar in olika typer av uppgifter beroende på vem du är och hur du använder tjänsten.

Om dig som pedagog

• Namn och e-postadress (för inloggning och kontakt)
• Lösenord (lagras alltid krypterat med bcrypt, vi ser aldrig ditt klartext-lösenord)
• Vilket fritidshem du tillhör och din roll där
• Profilbild (om du laddar upp en, frivilligt)
• Aktiviteter, veckoplaner, teman och favoriter du skapar
• Utvärderingar, reflektioner och dagsavslut du skriver
• Barnens idéer du fångar (avidentifierade: idétext och eventuell ålder, aldrig barnets namn)
• Inlägg, kommentarer, reaktioner och bilder du delar i communityt
• Kontaktuppgifter du själv anger i vikarie-överlämningar (namn, telefonnummer)
• Din egen rapportering av planeringstid: hur många timmar du skulle ha, hur många som blev av och i vilka kategorier den uteblivna tiden hamnade
• Beslut du eller arbetslaget skriver in på gemensamma möten, inklusive vem som tagit på sig vad

Om dig som lärare med kommunikationslänk

Ett fritidshem kan ge dig en personlig länk för att lämna en kort lägesbild när skoldagen slutar. Då behandlar vi:

• Ditt namn, som fritidshemmet anger när länken skapas
• Texten du skriver i överlämningen, samt tidpunkt och vilken avdelning den gick till
• När länken senast användes

Du behöver inget konto och vi samlar inte in din e-postadress. Överlämningen ska bara innehålla information om gruppen, aldrig om enskilda barn och raderas automatiskt vid nästa dygnsskifte. Du kan när som helst be fritidshemmet stänga av din länk.

Om dig som rektor eller skolledare

• Samma uppgifter som ovan
• Din roll på skolan (rektor, biträdande rektor osv.)
• Vilken/vilka skolenheter du administrerar

Teknisk information

• IP-adress, webbläsartyp och sessionsdata (för drift och säkerhet)
• Loggar över inloggningar och viktiga händelser (audit-loggar, inklusive återställningsloggen "Senaste ändringar")
• Användningsstatistik på funktionsnivå (t.ex. antal skapade veckoplaner). Aggregerad statistik och senaste inloggning kan ses av ABV Games systemadministratör för drift- och pilotuppföljning

Delat innehåll: vem ser vad?

• Ditt fritidshem: planeringar, uppföljningar, idéer och inlägg i Vår loggbok delas med kollegorna på ditt fritidshem (kollektivt arbete).
• Sveriges fritidshem och community-aktiviteter: det du väljer att dela dit (t.ex. inlägg på Fritidshemmens Whiteboard) syns med ditt namn för fritidspedagoger på andra fritidshem i Fritio. Dela aldrig uppgifter om enskilda barn eller kollegor där.
• Överlämning till vikarie eller resurs: skapar en tidsbegränsad länk (7 dagar) som utan inloggning visar dagens planering samt de kontaktuppgifter du själv angett. Skicka länken direkt till den avsedda vikarien.

Om barnen: dataminimering och avidentifierat läge

Fritio bygger på dataminimering. I grundläget och under hela piloten behandlar Fritio inga personuppgifter om barn. När du planerar en aktivitet skriver du på gruppnivå ("Blå avdelningen, åk 1–3"), aldrig med barnens namn eller personnummer.

Funktioner som skulle kräva uppgifter om enskilda barn, i dag till exempel foton och längre fram tänkbara funktioner som närvaro eller in- och utcheckning, är avstängda tills din skolhuvudman har tecknat personuppgiftsbiträdesavtal (PUB) med oss och läget låsts upp. Även när en sådan funktion aktiveras behandlar vi bara de uppgifter som är nödvändiga för just den funktionen, på huvudmannens dokumenterade instruktion. Vi utökar aldrig behandlingen på egen hand.

Oavsett läge gäller:

• Vi säljer aldrig uppgifter vidare och använder dem aldrig för reklam.
• Känsliga personuppgifter om barn enligt GDPR artikel 9 (hälsa, allergier, diagnoser, etnicitet, religion m.m.) är inte avsedda att behandlas i Fritio, de hör hemma i skolans egna system.
• Bilder där barn kan identifieras kräver att huvudmannens rutiner för samtycke följs.

Detta stöds tekniskt av persondata-light-läget: alla fritidshem startar i ett avidentifierat läge där funktioner som hanterar identifierbara barnuppgifter är avstängda, tills skolhuvudmannen tecknat personuppgiftsbiträdesavtal med oss och läget låses upp. Läs mer i våra riktlinjer för personuppgifter.

Om du som pedagog ändå råkar skriva in barnnamn i ett fritextfält gäller skolans rutiner. Se avsnitt 9 om rollerna pedagog, rektor och ABV Games.

3. Varför vi samlar in uppgifterna (laglig grund)

All behandling av personuppgifter måste ha en så kallad laglig grund enligt GDPR. Så här ser det ut för oss:

4. Hur länge vi sparar uppgifterna

• Kontouppgifter: så länge avtalet med din skola löper, plus 30 dagar efter uppsägning. Sen raderas de.
• Veckoplaner och favoriter: så länge ditt konto är aktivt. När kontot avslutas anonymiseras delade aktiviteter (de blir kvar, men utan att kopplas till dig).
• Tekniska loggar och säkerhetsloggar: max 90 dagar.
• Bokföringsmaterial: 7 år enligt bokföringslagen.
• E-post-korrespondens med oss: max 2 år, sedan rensas mejlboxen.
• Överlämning mellan skola och fritidshem: visas endast under den dag den skickas och raderas automatiskt vid nästa dygnsskifte. Den går inte att söka fram i efterhand.
• Din rapportering av planeringstid: så länge ditt konto är aktivt, eftersom den är en del av ditt personliga underlag. Du kan radera enskilda veckor.
• Delningslänkar till ditt personliga underlag: upphör att fungera vid det slutdatum du valt (högst 180 dagar) eller när du återkallar dem, vilket som inträffar först.
• Länkar till lärare och vikarier: så länge fritidshemmet behåller dem. De kan stängas av eller tas bort när som helst av fritidshemmet.
• Anmälningar av innehåll och uppgifter om moderering: handlagda anmälningar raderas efter 12 månader. Innehåll som dolts förblir dolt, men uppgiften om vem som fattade beslutet och skälet tas bort efter samma tid. Öppna anmälningar behålls tills de är handlagda.

5. Vilka vi delar dina uppgifter med (personuppgiftsbiträden)

Vi använder ett fåtal externa leverantörer (så kallade personuppgiftsbiträden) för att kunna leverera tjänsten. Med var och en har vi ett skriftligt biträdesavtal (DPA) som reglerar hur de får behandla dina uppgifter. Vi säljer aldrig dina uppgifter vidare till någon.

För Supabase och Vercel ligger din data fysiskt inom EU/EES. För Anthropic överförs data till USA, men endast i form av anonymiserad aktivitetsmetadata (titlar, kategorier, åldersgrupp), aldrig namn, e-post eller barndata. Överföringen skyddas av EU-kommissionens standardavtalsklausuler (SCC).

Om vi byter eller lägger till underbiträden meddelar vi dig minst 30 dagar i förväg via e-post eller i appen.

6. Dina rättigheter

Enligt GDPR (artiklarna 15–22) har du rätt att:

• Få veta vad vi har om dig (art. 15). Du kan begära en kopia av dina personuppgifter.
• Rätta felaktiga uppgifter (art. 16). Stavfel i ditt namn? Fel skoltillhörighet? Hör av dig.
• Bli "glömd" (art. 17). Du kan begära att vi raderar dina uppgifter, så länge vi inte måste behålla dem av lagliga skäl (t.ex. bokföring).
• Begränsa behandlingen (art. 18). Om något är fel kan du be oss pausa behandlingen medan vi reder ut.
• Få ut dina uppgifter i maskinläsbart format, dataportabilitet (art. 20). Du kan ladda ner allt du skapat som en maskinläsbar JSON-fil.
• Invända mot behandling baserad på berättigat intresse (art. 21).
• Slippa automatiska beslut som påverkar dig (art. 22). Vi fattar inga automatiska beslut om dig. AI-förslag är bara förslag, du bestämmer.

För att utöva någon av rättigheterna, mejla abvations@outlook.com. Vi svarar inom 30 dagar (oftast snabbare). Det kostar dig ingenting.

6b. Anonymiserad aggregerad statistik

ABV Games AB använder anonymiserad och aggregerad data från Tjänsten för statistik, benchmarking, forskning, branschrapporter och kommersialisering av analys-tjänster mot huvudmän inom skolan. Detta är reglerat i avsnitt 8 av våra användarvillkor.

Anonymitetströskel: Vi visar aldrig aggregat med färre än fem (5) enheter (pedagoger, fritidshem eller kommuner). Det säkerställer att enskilda personer eller arbetsplatser aldrig kan identifieras indirekt.

Din rätt att välja bort: Du kan när som helst stänga av att dina svar ingår i aggregerad statistik via din profilsida (/profil). Du behåller då alla funktioner i Tjänsten oförändrade.

Rättslig grund: Berättigat intresse (GDPR art. 6.1.f): pedagogisk kvalitetsutveckling och branschstatistik. Anonymiserad data faller utanför GDPR:s definition av personuppgift när anonymiseringen är oåterkallelig.

7. Cookies och analys

Därför samlar vi statistik: fritidshemmen förtjänar att synas. Vår ambition är att vara fritidshemmets röst, att varje år publicera en Fritidsrapport som med helt anonym, aggregerad statistik sätter ljus på fritidspedagogernas arbete och barnens fritid, så att yrket får den uppmärksamhet det förtjänar. Alltid utan enskilda personer, alltid med minst fem enheter bakom varje siffra.

Vi använder bara nödvändiga cookies, de som krävs för att du ska kunna logga in och hålla sessionen vid liv. Du behöver inte godkänna dem (det krävs tekniskt sett inte enligt e-privacy-direktivet för strikt nödvändiga cookies).

Besöksstatistik med PostHog. För att förstå hur många som besöker fritio.se och vilka sidor som används anlitar vi PostHog (EU-molnet). Vi har medvetet valt det integritetssäkraste läget:

• Cookiefritt: ingen spårningscookie sätts (statistiken lagras utan cookies).
• Ingen skärminspelning och ingen automatisk fångst av det du klickar eller skriver.
• Anonymt: vi samlar sidvisningar, ungefärligt land och enhetstyp, aldrig namn, e-post eller barndata.
• Inom EU: data behandlas i EU (Frankfurt), inte i USA.

Vi använder inte:

• Google Analytics eller andra verktyg som spårar dig med cookies på tvären mellan sajter
• Facebook Pixel, LinkedIn Insight Tag eller annan reklam-spårning
• Tredjepartscookies

All besöksstatistik är anonym och aggregerad, aldrig kopplad till dig personligen. Laglig grund: berättigat intresse (GDPR art. 6.1.f) att förbättra tjänsten och förstå hur den används.

8. AI-funktioner och hur Claude används

Tjänsten innehåller AI-baserade planeringsförslag som drivs av Anthropics modell Claude. När du ber om ett förslag skickar vi endast följande till Anthropic:

• Aktivitetsmetadata (titel, kategori, tema, åldersgrupp)
• Dina valda kriterier (t.ex. "uteaktivitet, 45 min, regn")

Vi skickar aldrig ditt namn, din e-post, barnnamn eller annan identifierande data. Anthropic lagrar inte API-anrop för att träna sina modeller (enligt deras kommersiella villkor).

9. Skolan som personuppgiftsansvarig: rollerna förklarade

Det här är viktigt att förstå, för det styr vem som har vilket ansvar.

När din skola har avtal med oss

Då är det skolans huvudman (kommunen eller den fristående skolhuvudmannen) som är personuppgiftsansvarig för behandlingen av dina och dina kollegors uppgifter. Rektorn äger kontot på skolans vägnar. ABV Games är personuppgiftsbiträde: vi behandlar uppgifterna på huvudmannens uppdrag och enligt biträdesavtal.

Det betyder att om du har frågor om varför din skola använder tjänsten, eller vill utöva dina rättigheter mot din arbetsgivare, vänder du dig i första hand till din rektor eller huvudmannens dataskyddsombud.

När du registrerar dig själv (utan koppling till en skola)

Vissa pedagoger provar tjänsten på egen hand innan deras skola tecknar avtal. Då är du själv personuppgiftsansvarig för dina uppgifter och ABV Games är den part du delar dem med. Så fort du kopplas till en skola tar huvudmannen över ansvaret.

10. Säkerhetsåtgärder

Vi skyddar dina uppgifter med bland annat:

• Kryptering i transit: all trafik går över HTTPS/TLS 1.2+
• Kryptering i vila: databas och backuper är krypterade på disk
• Lösenord: hashade med bcrypt, vi kan inte läsa dem ens om vi vill
• Row Level Security (RLS): databasen är konfigurerad så att en pedagog från fritidshem A aldrig kan se data från fritidshem B
• Åtkomstkontroll: endast ett fåtal personer på ABV Games har produktionsåtkomst och allt loggas
• Audit-loggar: inloggningar, lösenordsändringar och raderingar loggas i 90 dagar
• Backuper: dagligen, lagrade inom EU

11. Om något går fel: personuppgiftsincident

Om vi upptäcker en personuppgiftsincident (t.ex. obehörig åtkomst, dataläcka) anmäler vi det till Integritetsskyddsmyndigheten (IMY) inom 72 timmar enligt GDPR artikel 33. Om incidenten innebär hög risk för dig informerar vi dig också direkt (artikel 34).

Du har också alltid rätt att själv klaga till IMY om du tycker att vi hanterat dina uppgifter fel: imy.se.

12. Ändringar i den här policyn

Om vi gör väsentliga ändringar (nytt underbiträde, ny typ av behandling, ändrad lagringstid) meddelar vi dig via e-post och visar ett meddelande i appen minst 30 dagar innan ändringen träder i kraft. Mindre språkliga justeringar kan vi göra utan föranmälan, du ser alltid datumet "senast uppdaterad" överst på sidan.

En full ändringshistorik finns i vår källkod ( lib/legal/constants.ts ).

13. Kontakt

ABV Games AB
Org.nr 559535-4654
E-post: abvations@outlook.com

Dataskyddsombud (DSO):
Ett dataskyddsombud utses inför pilotdriften. Till dess besvaras alla dataskyddsfrågor av abvations@outlook.com.

Tillsynsmyndighet:
Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy.se.