Den här integritetspolicyn förklarar vilka personuppgifter Mentup samlar in, varför de samlas in, med vem de delas och vilka rättigheter du har. Den lämnas enligt art. 13 och 14 i förordning (EU) 2016/679 (« GDPR ») och det italienska lagdekretet 196/2003, ändrat genom lagdekret 101/2018.
Vi har skrivit den för att den ska gå att förstå. Där ett fackuttryck är oundvikligt förklarar vi det.
1. Vem som är personuppgiftsansvarig
Mentup Solutions
Via Romana 75 · 42028 Poviglio (RE) · Italia
Momsnummer 03156100350
E-post: privacy@mentup.eu
PEC: mentup@pec.it
2. Vem Mentup vänder sig till
Mentup får användas av personer som fyllt 16 år.
Är du 16 eller 17 år krävs samtycke från en förälder eller från den som har vårdnaden för att ditt konto ska aktiveras: utan det samtycket förblir kontot inaktivt och du kan inte använda tjänsten. Hur det går till förklaras i punkt 6.
Italiensk rätt skulle tillåta samtycke till behandling av uppgifter redan från 14 år (art. 8 GDPR och art. 2-quinquies i den italienska dataskyddslagen). Vi har valt en högre gräns av två skäl: Mentup behandlar hälsouppgifter, och ett abonnemang är ett avtal som en minderårig inte kan ingå på egen hand. Gränsen på 16 år motsvarar den som GDPR anger när det inte finns avvikande nationella regler, och den som gäller i Tyskland och Nederländerna. Där lagen i ditt land anger en högre ålder är det den som gäller.
3. Vilka uppgifter vi samlar in
3.1 Uppgifter du lämnar när du skapar kontot
Förnamn, efternamn, e-postadress, lösenord (som vi bara sparar i krypterad form och som ingen av oss kan läsa), födelsedatum, kön, telefonnummer, önskat språk, land och — om du väljer att ladda upp en — en profilbild.
Födelsedatumet behöver vi av ett bestämt skäl: att avgöra om du är minderårig och sätta igång förfarandet för föräldrasamtycke.
3.2 Uppgifter om ditt välbefinnande — den känsligaste delen
När du använder Mentup registrerar du:
- de dagliga handlingar du väljer och slutför, inom de fyra områdena (familj, relationer, personlig utveckling, hälsa);
- dagboksanteckningarna;
- ångestutlopp och ilskeutlopp, med tillhörande värden;
- det dagliga nöjdhetsbetyget, med de anteckningar och foton du väljer att bifoga;
- den välgörenhetsorganisation du väljer som mottagare av de gåvor dina handlingar ger upphov till.
Det här är uppgifter om din hälsa, och de hör till de « särskilda kategorier av personuppgifter » som avses i art. 9 GDPR. Det är de mest skyddade uppgifter förordningen känner, och vi behandlar dem enbart med stöd av ditt uttryckliga samtycke, som du kan återkalla när som helst (punkt 5).
3.3 Uppgifter om föräldern eller vårdnadshavaren (endast för minderåriga användare)
Förnamn, efternamn och e-postadress till föräldern eller vårdnadshavaren, som samlas in enbart för att begära, ta emot och bevara bevis på samtycket.
3.4 Tekniska uppgifter
IP-adress, typ av webbläsare eller enhet (user agent) samt datum och tid då du lämnat eller återkallat varje samtycke. Vi sparar dem för att vid behov kunna visa att ett samtycke faktiskt inhämtats: det är en skyldighet GDPR lägger på oss (art. 7.1).
3.5 Betalningsuppgifter
Mentup ser inte och sparar inte dina kortuppgifter. Abonnemanget köps via Apple App Store, Google Play eller — på webbplatsen — via Stripe. Från leverantören får vi bara den information som behövs för att hålla ditt abonnemang aktivt: om det är aktivt, när det går ut, om det förnyats eller sagts upp, och ett transaktionsnummer.
3.6 Vad vi INTE samlar in — och det är ingen formsak
Vid datumet för den här policyn gäller för Mentup:
- inga analysverktyg (varken Google Analytics eller Firebase Analytics);
- inga annonspixlar och inga attributions-SDK:er;
- ingen spårning av din aktivitet i andra appar eller på andra webbplatser och ingen begäran om IDFA på iOS;
- inga verktyg för kraschrapportering;
- ingen profilering av användarna och inga automatiserade beslut som rör dig;
- ingen försäljning, ingen överlåtelse och ingen uthyrning av dina uppgifter, till någon;
- ingen användning av dina känslouppgifter för reklamändamål, varken egna eller andras — och det kommer inte att ske: riktad reklam som bygger på särskilda kategorier av uppgifter är absolut förbjuden enligt art. 26(3) i förordningen om digitala tjänster, även när samtycke finns.
Om någon av dessa punkter ändras i framtiden uppdateras den här policyn innan ändringen får verkan, och du får lämna nytt samtycke där det krävs.
4. Varför vi behandlar dina uppgifter och på vilken rättslig grund
| Ändamål | Uppgifter som används | Rättslig grund |
|---|---|---|
| Skapa och sköta ditt konto, låta dig logga in | 3.1 | Fullgörande av avtalet — art. 6.1.b |
| Låta dig använda välbefinnandefunktionerna (handlingar, dagbok, ångest, ilska, nöjdhet, statistik) | 3.2 | Uttryckligt samtycke — art. 9.2.a |
| Kontrollera din ålder och inhämta föräldrasamtycke om du är minderårig | 3.1, 3.3 | Rättslig förpliktelse — art. 6.1.c och art. 8 |
| Sköta abonnemang, förnyelser, kvitton och support | 3.1, 3.5 | Fullgörande av avtalet — art. 6.1.b |
| Visa dina uppgifter för den behandlare du angett | 3.2 | Uttryckligt och specifikt samtycke — art. 9.2.a |
| Ta fram sammanställd och anonym statistik för ditt företag eller din skola | 3.2 i sammanställd form | Uttryckligt samtycke — art. 9.2.a |
| Registrera och bevara bevis på samtyckena | 3.4 | Rättslig förpliktelse — art. 6.1.c |
| Skicka servicemeddelanden (e-postbekräftelse, säkerhetsvarningar, abonnemangets förfallodagar) | 3.1 | Fullgörande av avtalet — art. 6.1.b |
| Skicka marknadsföring om Mentup | E-post | Samtycke — art. 6.1.a, återkalleligt med ett klick i varje meddelande |
| Säkerställa tjänstens säkerhet och förebygga missbruk | 3.4 | Berättigat intresse — art. 6.1.f |
| Försvara en rättighet i domstol | beroende på fallet | Berättigat intresse / art. 9.2.f |
Servicemeddelanden är inte reklam och går inte att stänga av så länge du har ett aktivt konto: utan dem kunde vi inte tala om för dig att ditt abonnemang håller på att dras eller att någon har begärt att återställa ditt lösenord.
5. Samtycket till välbefinnandeuppgifter, och hur det återkallas
Samtycket till uppgifterna enligt art. 9 är uttryckligt, separat och specifikt: det är inte gömt i godkännandet av Villkoren, det är inte förkryssat, och det gäller ett ändamål i taget.
Du kan återkalla det när som helst, i appens Inställningar, utan att behöva förklara varför och utan att det kostar dig något. Återkallelsen:
- får omedelbar verkan för framtiden;
- gör inte den behandling som skett fram till dess olaglig;
- avbryter genast delningen med behandlaren, företaget eller skolan, om du hade tillåtit den.
Det måste sägas ärligt: välbefinnandeuppgifterna är tjänsten. Återkallar du det samtycket slutar dagbok, statistik och uppföljning att fungera, och kontot begränsas till grundfunktionerna.
6. Om du är 16 eller 17 år
- Vid registreringen ber vi om e-postadressen till en förälder eller till den som har vårdnaden.
- Ditt konto skapas men förblir inaktivt: du kan inte logga in och inga välbefinnandeuppgifter samlas in.
- Till föräldern skickar vi ett meddelande med begäran om samtycke och länken till den här policyn.
- Först när föräldern bekräftar aktiveras kontot.
- Kommer samtycket inte inom 30 dagar förfaller begäran, och de uppgifter som samlats in fram till dess raderas.
Föräldern kan återkalla samtycket när som helst genom att skriva till adressen i punkt 1; kontot avaktiveras då och uppgifterna raderas.
Vi marknadsför inte till minderåriga och profilerar inte minderåriga användare för något ändamål.
7. Med vem vi delar dina uppgifter
Som standard delar vi ingenting. Var och en av delningarna nedan sker bara om du själv slår på den, och den går att återkalla.
7.1 Med din behandlare (psykolog, läkare, coach)
Kopplar du ditt konto till en behandlare kan denne se dina dagliga nöjdhetsbetyg och hur de utvecklas, dina ångest- och ilskeutlopp — datum, intensitet och även den text du skrivit — och få en avisering om du slutar använda appen.
- Dagboken förblir din: behandlaren ser den inte.
- Det krävs ett uttryckligt och specifikt samtycke, skilt från alla andra.
- Varje gång behandlaren tar del av dina uppgifter registreras det i en logg med datum, tid, IP-adress och typ av åtkomst.
- Du kan avbryta delningen när som helst, med omedelbar verkan.
- Mentup visar uppgifterna för behandlaren: de tolkas inte, inga kliniska poäng sätts och det föreslås inte när någon bör ingripa.
7.2 Med ditt företag
Ditt företag ser aldrig dina individuella uppgifter. Aldrig. Det är inte ett löfte: så är systemet byggt.
Företaget får enbart genomsnittet av nöjdheten hos alla sina anställda och hur det utvecklas över tid. Inga uppgifter per person, per avdelning eller per grupp som är mindre än hela företaget. Genomsnittet beräknas bara om det finns minst 3 anmälda anställda: med färre personer skulle en « sammanställd » siffra ändå kunna föras tillbaka till någon. Av samma skäl kan ett företag aktivera Mentup först med minst 3 anställda. Du kan dessutom begära att hållas utanför även genomsnittet.
Mentup och ditt företag är gemensamt personuppgiftsansvariga enligt art. 26 GDPR, med stöd av ett skriftligt avtal som du kan begära en kopia av på adressen i punkt 1.
7.3 Med din skola
Samma regel gäller: skolan får bara sammanställda och anonyma uppgifter — genomsnittlig nöjdhet och antalet registrerade utlopp — per klass och för hela skolan, aldrig per elev. En klassuppgift visas bara om det finns minst 3 anmälda elever i den klassen. Deltagandet är frivilligt och påverkar inte på något sätt betygsättningen. För minderåriga elever gäller förfarandet i punkt 6.
7.4 Med våra leverantörer
Se punkt 8. De agerar som personuppgiftsbiträden och är bundna av avtal enligt art. 28 GDPR.
7.5 Med myndigheterna
Endast om och i den utsträckning lagen kräver det.
7.6 Välgörenhetsorganisationer
De organisationer som tar emot gåvorna får gåvan, inte dina uppgifter. De vet inte vem du är.
8. De leverantörer vi använder
| Leverantör | Vad den används till | Var | Roll |
|---|---|---|---|
| Netsons S.r.l. | Servrar för applikationen och databasen | EU (Italien) | Personuppgiftsbiträde, art. 28 |
| Netsons S.r.l. | Utskick av service-e-post (SMTP) | EU (Italien) | Personuppgiftsbiträde, art. 28 |
| Apple — App Store | Köp och förnyelse av abonnemanget på iOS | — | Självständigt ansvarig för betalningen |
| Google — Google Play | Köp och förnyelse av abonnemanget på Android | — | Självständigt ansvarig för betalningen |
| Stripe | Betalningar som görs från webbplatsen | EU / USA | Personuppgiftsbiträde, art. 28 |
| RevenueCat | Kontroll av att ett abonnemang köpt i butikerna är aktivt | USA | Personuppgiftsbiträde, art. 28 |
Vi lämnar aldrig dina välbefinnandeuppgifter till leverantörerna. De får bara det som deras funktion kräver: ett användar-id och abonnemangets status.
9. Kakor och uppgifter som sparas på din enhet
9.1 På våra webbplatser
Uppgifterna om kakorna — namn, ändamål, varaktighet och vem som sätter dem — finns i Kakpolicyn. I dag använder vi en enda, teknisk kaka. Skulle vi i framtiden införa icke-tekniska kakor skulle de sättas först efter ditt samtycke, som du skulle kunna ändra eller återkalla när som helst.
9.2 I appen
Det finns inga kakor i Mentup-appen. Kakor är en webbteknik, och att tala om kakor i en nativ app är tekniskt fel. Appen sparar däremot viss information på din enhet:
| Information | Vad den används till | Var |
|---|---|---|
| Autentiseringstoken, användar-id | Att hålla dig inloggad utan att fråga efter lösenordet varje gång | Krypterat utrymme i operativsystemet |
| Gränssnittets språk, land | Att visa appen på rätt språk och välgörenhetsorganisationerna i ditt land | Appens lokala lagring |
| Visningsinställningar | Att komma ihåg vad du redan stängt eller dolt | Appens lokala lagring |
Allt detta stannar i din telefon. Det raderas när du avinstallerar appen eller loggar ut från kontot.
10. Hur länge vi sparar uppgifterna
| Uppgift | Lagring |
|---|---|
| Konto och profiluppgifter | Så länge kontot finns. Raderade inom 30 dagar från begäran om radering |
| Välbefinnandeuppgifter (dagbok, utlopp, betyg, foton) | Som ovan: raderas tillsammans med kontot |
| Uppgifter om relationen med en behandlare | Relationens längd och 10 år efter att den upphört, i enlighet med skyldigheterna på hälsoområdet |
| Logg över behandlarens åtkomster | 10 år |
| Bevis på samtyckena (datum, tid, IP, dokumentets version) | 10 år från återkallelsen eller upphörandet |
| Uppgifter inom ett företagshälsoprogram | Programmets längd; anonymiserade inom 90 dagar efter att det upphört, med förbehåll för lagkrav |
| Skatte- och bokföringsuppgifter om abonnemangen | 10 år, enligt lag |
| Sammanställda och anonyma statistiska uppgifter | Utan tidsgräns: de går inte längre att föra tillbaka till en person |
11. Dina rättigheter, och hur du utövar dem
När som helst kan du:
- få tillgång till dina uppgifter och få en kopia av dem (art. 15);
- rätta dem om de är felaktiga eller ofullständiga (art. 16);
- radera dem (art. 17);
- begränsa behandlingen av dem (art. 18);
- flytta dem i ett maskinläsbart format (art. 20) — i appen hittar du funktionen « Ladda ner mina uppgifter »;
- invända mot behandlingar som grundas på berättigat intresse (art. 21);
- återkalla ett samtycke när som helst (art. 7.3).
Så gör du. I appens Inställningar hittar du export och radering av kontot. Du kan också skriva till adressen i punkt 1, och på webbplatsen finns en offentlig sida där du kan begära radering av kontot utan att behöva logga in: mentup.eu/cancella-account.
Vi svarar inom en månad. Är begäran komplicerad kan vi ta två månader till, och då meddelar vi dig.
Anser du att dina uppgifter behandlas felaktigt kan du lämna in klagomål till Garante per la protezione dei dati personali, den italienska dataskyddsmyndigheten (Piazza Venezia 11, 00187 Rom — garante@gpdp.it — www.garanteprivacy.it), eller till myndigheten i det land där du bor, och vända dig till domstol.
12. Hur vi skyddar uppgifterna
Krypterad kommunikation (HTTPS/TLS); lösenord som sparas endast som hash och aldrig i klartext; åtkomsttoken som förvaras i enhetens krypterade utrymme; åtkomst till uppgifterna begränsad till de personer som verkligen behöver den; varje åtkomst av en behandlare spårad och bevarad; regelbundna säkerhetskopior.
Inget system är helt säkert. Skulle det inträffa en incident som innebär en hög risk för dina rättigheter meddelar vi dig och informerar tillsynsmyndigheten inom de frister lagen anger (art. 33 och 34 GDPR).
13. Var uppgifterna finns
Uppgifterna sparas på servrar som finns inom Europeiska unionen.
Vissa av leverantörerna i punkt 8 (Apple, Google, Stripe, RevenueCat) kan behandla uppgifter även utanför Europeiska ekonomiska samarbetsområdet. I de fallen sker överföringen med stöd av de skyddsåtgärder som anges i kapitel V i GDPR: ett beslut om adekvat skyddsnivå eller standardavtalsklausuler godkända av Europeiska kommissionen.
Välbefinnandeuppgifterna lämnar inte Europeiska unionen.
14. Ändringar av den här policyn
Ändrar vi den publicerar vi den nya versionen på den här sidan med nytt datum och nytt versionsnummer. När ändringen är väsentlig — nya ändamål, nya mottagare, nya mätverktyg — meddelar vi dig innan den får verkan, och där det behövs ber vi om nytt samtycke.
Tidigare versioner finns kvar på begäran.
Den här policyn är upprättad på italienska. Vid skillnad mellan den italienska versionen och en översättning har den italienska versionen företräde.