Information för upphandling

GeoQuestr är en webbtjänst som körs på våra egna servrar inom EU. Administratörer loggar in för att bygga upplevelser. Deltagare går med via länk eller QR-kod i webbläsaren eller appen med anonyma konton och behöver inte ange sitt riktiga namn eller sin e-postadress. Deltagarnas speldata (spelarnamn, avatar, poäng, framsteg, svar och inskickade bilder) sparas för att köra aktiviteten och för rapporter. Positionsdata lagras aldrig och skickas inte över nätet. Den behandlas bara lokalt i deltagarens enhet. Känsliga personuppgifter enligt artikel 9 GDPR ska inte behandlas. AI-domaren kör en öppen AI-modell på vår egen server inom EU (Hetzner, Finland). Den läser en inskickad bild i minnet, bedömer hur väl den löser uppgiften, gör om det till bonuspoäng och sparar ingen kopia. Inskickade bilder och videor skickas inte till OpenAI. AI-domaren filtrerar inte innehåll, utan arrangören granskar inskickade bilder. Arrangören kan stänga av AI-funktionerna helt. Arrangören väljer om en rapport delas publikt. En publik rapport visar statistik och topplista med spelarnamn, men inga inskickade bilder. Alla kategorier av personuppgifter beskrivs i vår integritetspolicy.

• Kryptering vid överföring (HTTPS/TLS) och i vila. • Egen inloggningstjänst där varje anrop behörighetskontrolleras på servern, så att administratörer bara når den egna organisationens data. Lösenord lagras endast som saltade hashvärden. • Endast behörig personal har åtkomst till produktionsmiljön, med personliga SSH-nycklar och tvåfaktorsautentisering. • Alla som behandlar personuppgifterna har åtagit sig att hålla dem konfidentiella. • Dataminimering: deltagare är anonyma och positionsdata lagras inte. • Säkerhetskopior tas dagligen, lagras krypterade inom EU och sparas i högst 30 dagar.

• Deltagarnas uppgifter raderas eller anonymiseras automatiskt senast 6 månader efter att omgången har avslutats. • Administratörskonton raderas senast 90 dagar efter att avtalet har upphört. • Inom 90 dagar efter att avtalet har upphört kan ni begära ut ert innehåll: texter, uppdrag och platser som en JSON-fil och bilder i originalformat. • Säkerhetskopior sparas i högst 30 dagar, så raderade uppgifter försvinner även därifrån. • Vi bekräftar raderingen skriftligen på begäran.

När ni ordnar aktiviteter i GeoQuestr är ni personuppgiftsansvariga och vi är personuppgiftsbiträde. Vi tecknar personuppgiftsbiträdesavtal enligt artikel 28 GDPR. I avtalet åtar vi oss bland annat att: • behandla personuppgifter endast enligt era skriftliga instruktioner, • informera skriftligen minst 30 dagar innan ett underbiträde läggs till eller byts ut. Ni kan invända, och kan vi inte enas får ni säga upp avtalet utan kostnad, • hjälpa er att besvara begäranden från registrerade, till exempel om registerutdrag eller radering, och bistå med konsekvensbedömningar, • låta er, eller en oberoende granskare med tystnadsplikt, granska att avtalet följs efter skriftligt meddelande minst 30 dagar i förväg. Svensk rätt tillämpas. Mejla upphandling@geoquestr.com med ert organisationsnummer, så skickar vi avtalet.

Vid en personuppgiftsincident underrättar vi er utan onödigt dröjsmål, och senast inom 36 timmar efter att vi har fått kännedom om den. Underrättelsen innehåller det som artikel 33.3 GDPR kräver, i den mån det är känt. För att rapportera ett säkerhetsproblem eller en misstänkt sårbarhet: mejla security@geoquestr.com med ämnet "Misstänkt sårbarhet". Frågor om personuppgifter kan ni skicka till samma adress. Beskriv ert ärende och er koppling till kontot eller aktiviteten.

Vår plattform är utformad att uppnå WCAG 2.1 nivå AA för centrala marknadssidor och för skaparflöden där det är möjligt. Deltagare använder kartor där 3D-avataren rör sig på kartan när deltagaren förflyttar sig. Hur skaparen utformar sin runda är viktigt för att kunna uppnå hög tillgänglighet. All text är utformad att vara lättläst och lätt tillgänglig, uppdrag går också att få upplästa på användarens valda språk. Vid krav från offentlig sektor: beskriv behov när ni kontaktar oss så kan vi diskutera eventuella anpassningar.

Kortbetalningar vid självbetjäning hanteras av Stripe. Vid inköpsorder, faktura, anpassade deltagargränser eller kommunal upphandling: använd Fullservice på prissidan eller lösningarnas kontaktformulär, så hanterar vi det från fall till fall. Organisationer som faktureras berörs inte av Stripe.

GeoQuestr anlitar följande underbiträden. Var och en får bara de uppgifter dess funktion kräver. Underbiträden utanför EU/EES får del av personuppgifter endast med stöd av ett beslut om adekvat skyddsnivå, till exempel EU–US Data Privacy Framework, eller EU-kommissionens standardavtalsklausuler. Organisationer med personuppgiftsbiträdesavtal informeras skriftligen minst 30 dagar innan ett underbiträde läggs till eller byts ut.

Alla personuppgifter, inklusive säkerhetskopior och loggar, lagras inom EU på våra egna servrar hos Hetzner Online GmbH, i datacenter i Finland och Tyskland. Stripe lagrar betalningsuppgifter för kunder som betalar med kort. OpenAI används inte för att lagra personuppgifter. Platssökning och vägbeskrivning körs på våra egna servrar.