Integritetspolicy

Senast uppdaterad: 29 oktober 2026

Den här policyn förklarar hur Pataholm System AB ("GeoQuestr", "vi", "oss") behandlar personuppgifter när du använder GeoQuestrs webbplats, appar och tjänster ("Tjänsterna").

Kontakt: hello@geoquestr.com

1. Kort sammanfattning

• Deltagare är anonyma. De behöver inte ange sitt riktiga namn eller sin e-postadress.
• Positionsdata lagras aldrig och skickas inte över nätet. Den behandlas bara i deltagarens enhet.
• Alla personuppgifter, även säkerhetskopior och loggar, lagras inom EU på våra egna servrar hos Hetzner i Finland och Tyskland.
• Deltagarnas uppgifter raderas eller anonymiseras senast 6 månader efter att omgången har avslutats.
• Vi säljer aldrig personuppgifter och använder dem inte för reklam.

2. Vem ansvarar för uppgifterna

GeoQuestr har två roller:

• Personuppgiftsbiträde. När en organisation, till exempel en kommun, skola, förening eller ett företag, ordnar en aktivitet i GeoQuestr är organisationen personuppgiftsansvarig för deltagarnas uppgifter. Vi behandlar dem bara för organisationens räkning och enligt dess instruktioner. Det regleras i ett personuppgiftsbiträdesavtal enligt artikel 28 GDPR (se avsnitt 13).
• Personuppgiftsansvarig. För administratörers konton, betalningar, support och vår webbplats är vi personuppgiftsansvariga.

Deltar du i en aktivitet som en organisation ordnar kan du vända dig till organisationen med frågor om dina uppgifter. Du kan också kontakta oss, så hjälper vi till.

3. Uppgifter vi behandlar

3.1 Administratörer

• Namn, e-postadress och inloggningsuppgifter. Lösenord lagras endast som saltade hashvärden. Loggar du in med Google eller Apple får vi ditt namn och din e-postadress därifrån.
• Organisation, plan, abonnemang och köp.
• Innehåll du skapar: texter, uppdrag, platser, bilder, ljud och video.
• AI-krediter och hur de har använts.
• Det du skriver till oss i e-post och supportärenden.

3.2 Deltagare

• Anonymt konto-id, valfritt spelarnamn och avatar.
• Poäng, framsteg och svar.
• Bilder och video som skickas in i foto- och utmaningsuppdrag. De kan visa personer.
• Om arrangören har valt att fråga efter det när deltagaren går med: ålder, kön, e-postadress eller svar på en egen fråga. Svaren ser bara arrangören.

Deltagarna behöver inte ange sitt riktiga namn.

3.3 Uppgifter vi inte behandlar

• Positionsdata lagras aldrig och skickas inte över nätet. GPS-positionen används bara i deltagarens enhet, för att visa kartan och avgöra när deltagaren har kommit fram till ett uppdrag.
• Känsliga personuppgifter enligt artikel 9 GDPR, till exempel om hälsa, religion eller etniskt ursprung, ska inte behandlas i GeoQuestr. Arrangörer ska inte fråga efter sådana uppgifter.

3.4 Teknisk information

• IP-adress, tidpunkter och felloggar, för att driva Tjänsterna och upptäcka missbruk.
• Besöksstatistik från Plausible Analytics. Plausible körs på våra egna servrar, använder inga cookies och sparar inga personuppgifter.

3.5 Barn

Barn deltar ofta i aktiviteter, till exempel genom skolor, föreningar och kommuner. Det finns ingen nedre åldersgräns för att delta, och deltagare behöver inget konto. Är deltagaren under 13 år (eller den högre ålder som gäller i landet) ska vårdnadshavaren ha godkänt deltagandet, eller så ska aktiviteten ordnas av en arrangör, till exempel en skola, som ansvarar för att det finns samtycke från vårdnadshavare eller annan rättslig grund. För att skapa ett administratörskonto eller göra köp måste man vara minst 18 år eller ha samtycke från vårdnadshavare. Tror du att ett barn har lämnat uppgifter utan sådant godkännande? Kontakta oss.

4. Varför vi behandlar uppgifterna

• För att tillhandahålla Tjänsterna: deltagande, poäng och topplistor, kontrollrum och rapporter.
• För att bedöma inskickade bilder automatiskt med AI-domaren, om arrangören har slagit på den.
• För att hantera konton, betalningar, abonnemang och AI-krediter.
• För att ge support till administratörer.
• För att skydda Tjänsterna mot fusk, missbruk och intrång.
• För att följa lagar, till exempel bokföringslagen.
• För att förbättra Tjänsterna utifrån anonym, sammanställd statistik.
• För att skicka nyheter till administratörer, med samtycke där lagen kräver det.

Deltagarnas uppgifter används bara för den aktivitet de deltar i och för arrangörens rapporter.

5. Rättslig grund

När vi är personuppgiftsansvariga grundar vi behandlingen på:

• Avtal: för att tillhandahålla Tjänsterna och hantera konton, betalningar och abonnemang.
• Rättslig förpliktelse: för att följa skatte- och bokföringsregler.
• Berättigat intresse: för säkerhet, för att förebygga missbruk och för att förbättra Tjänsterna.
• Samtycke: för nyhetsutskick där lagen kräver det.

När vi är personuppgiftsbiträde är det arrangören som bestämmer den rättsliga grunden för deltagarnas uppgifter.

6. AI-funktioner

• AI-domaren kör en öppen AI-modell (Qwen3-VL-Reranker-2B) på vår egen server inom EU, hos Hetzner i Finland. Vår appserver skickar bilden dit över en privat, krypterad nätverksförbindelse. Domaren läser bilden i minnet, ger den ett betyg från 0 till 10 och sparar ingen kopia. Den skriver inga kommentarer och filtrerar inte innehåll, utan arrangören granskar inskickade bilder. Inskickade bilder och videor skickas inte till OpenAI.
• AI-generering skickar administratörens instruktioner till OpenAI när uppdrag, texter, bilder, översättningar eller sammanfattningar av rapporter skapas.
• OpenAI tar bara emot det funktionen kräver och används inte för att lagra personuppgifter.
• Arrangören kan stänga av AI-funktionerna helt.

7. Topplistor, bilder och rapporter

• Under en aktivitet ser deltagarna varandras spelarnamn, avatarer och poäng i topplistan.
• Inskickade bilder visas för arrangören i kontrollrummet och i rapporter, och kan visas för andra deltagare i samma aktivitet.
• Arrangören väljer om en rapport delas publikt. En publik rapport visar statistik och topplista med spelarnamn, men inga inskickade bilder.

8. Var uppgifterna lagras

Alla personuppgifter, inklusive säkerhetskopior och loggar, lagras inom EU på våra egna servrar hos Hetzner Online GmbH, i datacenter i Finland och Tyskland. Det gäller webbplatsen, inloggningen, databasen, filerna, e-posten och säkerhetskopiorna.

9. Underbiträden

Vi anlitar följande underbiträden. Var och en får bara de uppgifter dess funktion kräver. Den aktuella förteckningen finns alltid på Tillit och säkerhet.

Organisationer som har ett personuppgiftsbiträdesavtal med oss får skriftligt besked minst 30 dagar innan ett underbiträde läggs till eller byts ut.

10. Överföring utanför EU/EES

Personuppgifter lagras inom EU. Underbiträden utanför EU/EES får del av personuppgifter endast med stöd av ett beslut om adekvat skyddsnivå, till exempel EU–US Data Privacy Framework, eller EU-kommissionens standardavtalsklausuler.

11. Hur länge uppgifterna sparas

• Deltagarnas uppgifter raderas eller anonymiseras senast 6 månader efter att omgången har avslutats.
• Administratörskonton sparas så länge avtalet eller abonnemanget gäller och raderas senast 90 dagar efter att det har upphört. Konton som saknar avtal och abonnemang raderas efter 2 års inaktivitet. Du kan när som helst radera ditt konto själv.
• Innehåll som du har skapat kan du begära ut inom 90 dagar efter att avtalet har upphört: texter, uppdrag och platser som en JSON-fil och bilder i originalformat.
• Betalnings- och bokföringsuppgifter sparas i 7 år enligt bokföringslagen.
• Säkerhetskopior tas dagligen, lagras krypterade inom EU och sparas i högst 30 dagar. Raderade uppgifter försvinner därför ur säkerhetskopiorna inom 30 dagar.
• Loggar raderas eller anonymiseras inom 24 månader.

12. Säkerhet

• Kryptering vid överföring (HTTPS/TLS) och i vila.
• Egen inloggningstjänst där varje anrop behörighetskontrolleras på servern, så att administratörer bara når den egna organisationens data. Lösenord lagras endast som saltade hashvärden.
• Endast behörig personal har åtkomst till produktionsmiljön, med personliga SSH-nycklar och tvåfaktorsautentisering.
• Alla som behandlar personuppgifterna har åtagit sig att hålla dem konfidentiella.
• Dataminimering: deltagare är anonyma och positionsdata lagras inte.
• Automatisk radering eller anonymisering enligt lagringstiderna ovan.
• Dagliga, krypterade säkerhetskopior inom EU.

Har du hittat ett säkerhetsproblem? Mejla security@geoquestr.com.

13. För organisationer: personuppgiftsbiträdesavtal

Vi tecknar personuppgiftsbiträdesavtal enligt artikel 28 GDPR med organisationer som använder GeoQuestr. I avtalet åtar vi oss bland annat att:

• behandla personuppgifter endast enligt organisationens skriftliga instruktioner,
• informera skriftligen minst 30 dagar innan ett underbiträde läggs till eller byts ut, och låta organisationen invända,
• underrätta organisationen utan onödigt dröjsmål, och senast inom 36 timmar, efter att vi har fått kännedom om en personuppgiftsincident,
• hjälpa organisationen att besvara begäranden från registrerade och bistå med konsekvensbedömningar,
• låta organisationen, eller en oberoende granskare, granska att avtalet följs efter skriftligt meddelande minst 30 dagar i förväg,
• lämna ut organisationens innehåll inom 90 dagar efter att avtalet har upphört, radera uppgifterna enligt lagringstiderna ovan och bekräfta raderingen skriftligen på begäran.

Mejla upphandling@geoquestr.com för att teckna ett avtal.

14. Personuppgiftsincidenter

Vid en personuppgiftsincident underrättar vi berörda organisationer utan onödigt dröjsmål, och senast inom 36 timmar efter att vi har fått kännedom om den. När vi själva är personuppgiftsansvariga anmäler vi incidenten till Integritetsskyddsmyndigheten (IMY) när det krävs, och informerar dig om incidenten kan innebära en hög risk för dig.

15. Dina rättigheter

Enligt GDPR har du rätt att:

• få ett registerutdrag,
• få felaktiga uppgifter rättade,
• få uppgifter raderade,
• begränsa eller invända mot behandling,
• få ut dina uppgifter i ett maskinläsbart format (dataportabilitet),
• återkalla ett samtycke,
• radera ditt konto,
• lämna klagomål till Integritetsskyddsmyndigheten (IMY).

Mejla hello@geoquestr.com för att använda dina rättigheter. Gäller begäran uppgifter från en aktivitet som en organisation ordnar, vidarebefordrar vi den utan dröjsmål till organisationen och hjälper den att svara.

16. Ändringar

Vi kan uppdatera den här policyn. Väsentliga ändringar meddelar vi i god tid innan de börjar gälla, via e-post, i appen eller på webbplatsen.

17. Kontakt

Pataholm System AB
Org.nr: 559347-4280
Pataholm 106, 384 92 Ålem, Sverige
E-post: hello@geoquestr.com
Säkerhet: security@geoquestr.com

Tillsynsmyndighet: Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, Sverige