Gobrilla Development AB, org.nr 559082-1640

Gäller från: 2026-08-15 · Version 4.0 · Omfattar tjänsten Favvos och Favvos-appen för iOS och Android.

Denna policy gäller när du använder den inloggade tjänsten eller Favvos-appen. Besöker du endast vår webbplats favvos.com gäller i stället Integritetspolicy för favvos.com.

1. Om denna policy

Favvos är en molnbaserad tjänst som underlättar funktionärshantering vid arrangemang och andra aktiviteter. Tjänsten tillhandahålls av Gobrilla Development AB (”Gobrilla”, ”vi”, ”oss”) och används av idrottsföreningar, förbund och andra arrangörer (”Klubben”) samt av de personer som anmäler sig till och genomför funktionärsuppdrag (”Användare”, ”du”).

2. Vem ansvarar för vad?

Det är viktigt att skilja på två situationer, eftersom det avgör vem du ska vända dig till.

Klubben är personuppgiftsansvarig för uppgifter om medlemmar, funktionärer och uppdrag. Gobrilla är då personuppgiftsbiträde och behandlar uppgifterna enbart enligt Klubbens instruktioner, reglerat i ett personuppgiftsbiträdesavtal. Vänd dig till din Klubb med frågor om varför en uppgift samlas in, hur länge den behövs eller om registerutdrag och radering av uppdragsuppgifter.

Gobrilla är personuppgiftsansvarig för:

• ditt användarkonto, inloggning och kontosäkerhet
• teknisk drift, loggning, felsökning och skydd mot missbruk och intrång
• support som du kontaktar oss om direkt
• aggregerad och anonymiserad statistik om tjänstens användning

3. Kontaktuppgifter

Gobrilla Development AB, Stockholm, Sverige.
Dataskyddsfrågor: dpo@favvos.com
Support: support@favvos.com

4. Vilka personuppgifter behandlas?

Uppgifter vi får från Klubben

Från Klubbens medlemsregister kan vi ta emot namn, personnummer, adress, kontaktuppgifter, kontaktuppgifter till målsman eller närstående samt träningsgrupp.

Uppgifter du lämnar själv

• Konto och profil: namn, e-postadress, telefonnummer, födelsedatum, profilbild, roll samt lösenord i hashad form
• Uppdragsrelaterat: klädstorlekar, matpreferenser, meriter och behörigheter, klubbtillhörighet
• Anmälningar till funktionärsuppdrag
• Chattmeddelanden, bilagor, bilder och dokument som du skickar i tjänstens chatt, samt reaktioner
• Supportärenden du skickar till oss

Uppgifter som skapas när du använder tjänsten

• Närvaro- och incheckningsdata med tidsstämplar, registrerade bland annat via QR-skanning
• Teknisk data: enhetstyp, operativsystemsversion, appversion, IP-adress och token för pushnotiser
• Säkerhets- och driftloggar, inklusive inloggningshändelser

5. Ändamål och rättslig grund

6. Känsliga uppgifter, matpreferenser och personnummer

Matpreferenser kan avslöja känsliga uppgifter. Uppgift om allergi, glutenintolerans eller specialkost kan röja hälsotillstånd, och uppgift om halal, kosher eller vegetarisk kost kan röja religiös övertygelse. Sådana uppgifter utgör särskilda kategorier av personuppgifter enligt artikel 9 GDPR.

Detsamma gäller uppgifter som Klubben väljer att samla in i egna fält, exempelvis allergier eller medicinsk information, och innehåll som delas i chatten.

Sådan behandling förutsätter ett giltigt undantag enligt artikel 9.2 GDPR, i praktiken normalt ditt uttryckliga samtycke. Det är Klubben, inte Gobrilla, som ansvarar för att ett sådant undantag finns. Vi rekommenderar Klubben att inhämta uttryckligt samtycke och att erbjuda ett fritextalternativ i stället för fasta kategorier där det är möjligt.

Personnummer behandlas endast när det är klart motiverat med hänsyn till ändamålet, enligt 3 kap. 10 § dataskyddslagen (2018:218). Personnummer används inte som inloggningsidentitet och visas inte i onödan i gränssnittet.

7. Barn och unga

Funktionärsuppdrag utförs ofta av ungdomar, och Klubbens medlemsregister kan innehålla uppgifter om barn. Vi behandlar därför uppgifter om personer under 18 år.

Behandlingen grundas inte på barnets samtycke utan på Klubbens rättsliga grund för medlems- och funktionärshantering. Registrerade uppgifter om målsman eller närstående används för kontakt i frågor som rör uppdraget.

Är du vårdnadshavare och har frågor om uppgifter som rör ditt barn, kontakta i första hand Klubben. Vi bistår Klubben med att besvara sådana förfrågningar.

8. Behörigheter i appen

Appen läser aldrig av ditt fotobibliotek i bakgrunden. Endast de filer du själv väljer överförs. Behörigheter kan när som helst återkallas i enhetens inställningar.

9. Uppgifter som lagras lokalt på din enhet

Uppgifterna raderas när du loggar ut eller avinstallerar appen.

10. Ingen spårning i appen

Vi vill vara tydliga med vad appen inte gör:

• inga cookies, ingen analysprogramvara och ingen beteendespårning, varken Firebase Analytics, Mixpanel, Sentry eller motsvarande
• ingen inloggning via Google, Apple eller Facebook
• inga betaltjänster

Den AI-baserade klassificering via OpenAI som beskrivs i punkt 12 bearbetar offentlig kalenderinformation för att kategorisera evenemang. Den innebär inte beteendespårning eller profilering av dig, och de uppgifter vi lagrar om dig skickas inte till OpenAI.

11. Mottagare

Uppgifter delas endast i följande fall:

• Din Klubb och dess administratörer, som har tillgång till uppgifter om medlemskap och uppdrag
• Andra användare i samma arrangemang, i den utsträckning uppdraget kräver, exempelvis namn och roll i schema och chatt
• Leverantörer som behandlar uppgifter för vår räkning, enligt förteckningen i punkt 12
• Myndighet, när vi är skyldiga enligt lag eller myndighetsbeslut
• Vid överlåtelse av verksamheten, varvid mottagaren binds av motsvarande villkor

12. Leverantörer och underbiträden

Samtliga leverantörer nedan är bundna av personuppgiftsbiträdesavtal.

Chattfunktionen drivs med Rocket.Chat, en programvara med öppen källkod som Gobrilla kör i egen infrastruktur hos Amazon Web Services inom EU. Rocket.Chat Technologies Corp. har ingen åtkomst till uppgifterna och är inte ett underbiträde. Chattdata behandlas därmed inom EU av Amazon Web Services enligt raden ovan.

Om OpenAI. Vi använder OpenAI för att automatiskt klassificera och kategorisera evenemang utifrån information som hämtas från en offentligt tillgänglig kalender-URL. Det som skickas till OpenAI är alltså den publika kalenderinformationen, inte de uppgifter vi lagrar om dig som användare, såsom ditt konto, dina uppdrag, dina matpreferenser eller chattinnehåll. Vi använder OpenAI:s API så att uppgifterna inte används för att träna deras modeller. Skulle den publika kalenderinformationen i ett enskilt fall innehålla personuppgifter, exempelvis ett namn i en evenemangstitel, omfattas även den behandlingen av personuppgiftsbiträdesavtal med OpenAI och av skyddsåtgärderna i punkt 13.

13. Överföring till tredjeland

Tjänstens drift och lagring sker inom EU/EES.

Vissa tjänster innebär att uppgifter behandlas i USA. Det gäller förmedling av pushnotiser via Expo, Apple och Google, samt den AI-baserade klassificeringen via OpenAI.

För dessa överföringar tillämpar vi EU-kommissionens standardavtalsklausuler enligt artikel 46.2 c GDPR, i förekommande fall i kombination med att mottagaren är certifierad enligt EU-U.S. Data Privacy Framework, samt kompletterande skyddsåtgärder såsom kryptering och uppgiftsminimering.

Särskilt om pushnotiser. Innehållet i en notis passerar Expos, Apples respektive Googles infrastruktur. Vi utformar därför notiser så att de innehåller så lite personuppgifter som möjligt, och lägger detaljer om uppdraget i appen i stället för i notistexten.

Du kan begära en kopia av tillämpliga skyddsåtgärder genom att mejla dpo@favvos.com.

14. Lagringstider

Den aktiva lagringen av chatt, närvaro och uppdrag är satt för att du och Klubben ska ha kvar informationen mellan upplagorna av ett återkommande evenemang, även när det är mer än ett år emellan. Säkerhetskopior är enbart katastrofkopior och roterar snabbt; de används inte som arkiv, och raderad information försvinner ur dem inom rotationstiden.

15. Säkerhet

Vi vidtar tekniska och organisatoriska åtgärder enligt artikel 32 GDPR, bland annat:

• kryptering av all trafik med TLS över HTTPS, och av realtidschatten över säker WebSocket
• kryptering av lagrad data hos driftleverantören
• lösenord lagras hashade, och inloggningstoken lagras krypterat på enheten via operativsystemets nyckelhantering
• behörighetsstyrning enligt principen om minsta nödvändiga åtkomst
• loggning av åtkomst till personuppgifter
• kontinuerlig säkerhetskopiering
• sekretessförbindelser för personal och konsulter
• rutin för hantering och anmälan av personuppgiftsincidenter

16. Dina rättigheter

Du har rätt att begära tillgång till dina personuppgifter, rättelse av felaktiga uppgifter, radering, begränsning av behandlingen, dataportabilitet samt att invända mot behandling som grundas på berättigat intresse. Har du lämnat samtycke kan du återkalla det när som helst.

Var vänder du dig? Rör din begäran uppgifter som Klubben ansvarar för, kontakta Klubben. Rör den ditt konto eller vår egen behandling, kontakta dpo@favvos.com. Vi svarar normalt inom en månad. Kontaktar du oss i en fråga som Klubben ansvarar för vidarebefordrar vi begäran och informerar dig om det.

17. Radering av konto

Du kan begära att ditt användarkonto raderas direkt i appen eller genom att mejla dpo@favvos.com. Uppgifter som Klubben är personuppgiftsansvarig för kan behöva finnas kvar hos Klubben även efter att ditt konto raderats.

18. Klagomål

Kontakta gärna oss först. Du har också rätt att lämna klagomål till tillsynsmyndigheten:
Integritetsskyddsmyndigheten (IMY) imy@imy.se.

19. Ändringar

Vi uppdaterar policyn vid ändrad lagstiftning eller när tjänsten utvecklas. Vid väsentliga ändringar informerar vi via e-post eller i tjänsten minst 30 dagar i förväg. Den vid var tid publicerade versionen gäller.