Policy och rutiner för datahantering — Privatpersoner
Senast uppdaterad: 2 november 2026 · Version: 1.1
Detta dokument beskriver hur Levantra ("vi", "Plattformen") i praktiken hanterar privatpersoners personuppgifter: vad vi samlar in, de tekniska och organisatoriska åtgärder vi tillämpar, våra underleverantörer (personuppgifts- biträden), vårt gallringsschema samt våra rutiner för registrerades begäranden och säkerhetsincidenter. Det är det operativa komplementet till vår Integritetspolicy, skrivet för läsare som vill ha den procedurella detaljen bakom den policyn — potentiella företags- eller klinikpartner som gör en due diligence-granskning, revisorer och vår egen personal.
1. Syfte och omfattning
Denna policy implementerar principerna i artikel 5 GDPR (laglighet, korrekthet och öppenhet, ändamålsbegränsning, uppgiftsminimering, korrekthet, lagringsminimering, integritet och konfidentialitet samt ansvarsskyldighet) i det specifika sammanhanget för en AI-assisterad hudvårdsplattform som behandlar känsliga biometriska och hälsorelaterade uppgifter. Den gäller varje system och person som hanterar privatanvändares personuppgifter för vår räkning: vår egen utvecklings- och supportpersonal samt de underleverantörer som anges i avsnitt 6.
2. Roller och ansvar
- Personuppgiftsansvarig: Levantra bestämmer ändamålen och medlen för behandling av privatanvändares personuppgifter.
- Dataskyddsombud:
- Personuppgiftsbiträden: de underleverantörer som anges i avsnitt 6, var och en bunden av ett personuppgiftsbiträdesavtal som begränsar deras användning av uppgifterna till våra instruktioner.
- En klinik du kopplat dig till agerar som en oberoende personuppgiftsansvarig för de kliniska anteckningar och behandlingsbeslut den för om sin egen relation med en användare, när den användaren samtyckt till att dela sin profil med den kliniken. Plattformen är ett personuppgiftsbiträde för att kunna tillhandahålla den relationen.
3. Uppgiftsinventering
| Kategori | Exempel | Källa | Känslig kategori? |
|---|---|---|---|
| Identitet och konto | Namn, e-post, telefon, lösenordshash, födelsedatum, kön, språk | Lämnas av användaren | Nej |
| Plats | Land, ort, gatuadress, koordinater | Lämnas av användaren / enhet, med tillstånd | Nej |
| Hudhälsoformulär | Hudtyp, problem, allergier, mediciner, graviditetsstatus, diagnostiserade tillstånd | Lämnas av användaren | Ja — hälsouppgifter |
| Hudanalysfotografier | Ansiktsfotografi | Tas/laddas upp av användaren | Ja — biometriska/hälsouppgifter |
| Hudanalyspoäng | Numeriska poäng 0–100 per problemområde | Härleds genom AI-behandling av fotografiet | Ja — härlett från känslig kategori |
| Beställningar | Produkter, kvantiteter, pris, leveransadress, status | Användaråtgärd | Nej |
| Betalningsutfall | Auktoriserings-/debiterings-/återbetalningsstatus och en referens | Betalningsleverantör | Nej (själva kortuppgifterna tas aldrig emot av oss) |
| Kommunikation | AI-chattmeddelanden, specialistmeddelanden, klinikmeddelanden, bifogade bilder | Lämnas av användaren | Eventuellt, om hälsorelaterat innehåll skrivs i ett meddelande |
| Samtyckesregister | Vad som lämnats/återkallats, när, i relation till vad | Genereras av systemet | Nej, men dokumenterar behandling av ovanstående |
| Enhet och teknisk information | IP-adress, enhetstyp, push-token | Automatiskt | Nej |
4. Uppgiftsminimering och ändamålsbegränsning i praktiken
- Ett ansiktsfotografi används endast för att beräkna den begärda analysen och används aldrig för något syfte utöver den analysen och, om användaren väljer det, delning med en klinik användaren samtyckt till att dela med.
- AI-assistenten tar endast emot det aktuella meddelandets bilaga, inte hela bildhistoriken för en konversation — äldre bilder skickas inte om till AI-leverantören vid varje ny tur.
- Rekommendationer utesluter, snarare än enbart flaggar, en produkt eller ingrediens som är utesluten på grund av en angiven graviditet, allergi eller oral retinoidbehandling — detta är en uppgiftsminimeringskontroll på utdatasidan: olämpliga alternativ tas bort från urvalet innan något ytterligare steg (regelmotor eller AI) kan välja dem.
- En klinik ser endast de delar av en klients profil som klienten aktivt samtyckt till att dela med den specifika kliniken — samtycke är per klinik, inte en enda global brytare, och en klient kopplad till två kliniker kan dela olika information med var och en.
5. Säkerhetsåtgärder
- Kryptering vid överföring: all trafik mellan klienter (webb, mobil) och våra servrar, samt mellan våra servrar och varje underleverantör, använder TLS.
- Kryptering vid vila: databas och fillagring krypteras vid vila av vår hostingunderleverantör.
- Signerad, tidsbegränsad åtkomst till fotografier: inget hudanalysfotografi ges någonsin en offentlig eller permanent URL. Varje läsning sker via en kryptografiskt signerad länk med kort giltighetstid (vanligtvis minuter), genererad på nytt för varje begäran.
- Autentisering: lösenord förvaras av vår inloggningsleverantör (Supabase Authentication) som saltade hashar och lagras aldrig i klartext; frivillig tvåfaktorsautentisering finns tillgänglig; sessionstoken är kortlivade och kan förnyas, med möjlighet att återkalla alla andra aktiva sessioner vid lösenordsbyte.
- Behörighetskontroll: varje åtkomst till personuppgifter kontrolleras i applikationskoden mot anropande parts identitet och roll innan begäran besvaras — en objektidentifierare (till exempel ett post-ID i en URL) betraktas aldrig som tillräcklig behörighet i sig själv.
- Radnivåbaserad åtkomstkontroll på databasnivå är aktiverad som ett andra, oberoende skyddslager under applikationslagret.
- Granskningsloggning: varje åtkomst en klinikanställd gör till en klients kliniska uppgifter loggas med aktör, åtgärd och tidpunkt.
- Minsta behörighetsprincip: klinikpersonalens behörigheter är rollbaserade, och en roll som inte inkluderar åtkomst till kliniska anteckningar kan inte läsa kliniska anteckningar oavsett andra behörigheter den innehar.
- Åtskillnad mellan leverantörs- och klinikkonton: en persons kundkonto och eventuellt personalkonto vid en klinik hålls som separata identiteter, så att en inloggning inte i tysthet kan få tillgång till både en kunds personliga historik och en kliniks åtkomst till andra klienters uppgifter.
6. Underleverantörer (personuppgiftsbiträden)
| Underleverantör | Roll | Berörda uppgifter | Plats (vid tidpunkten för skrivandet) |
|---|---|---|---|
| Anthropic | AI-bildanalys och chattassistent | Hudanalysfotografier (per analys); chattmeddelanden; senaste chattbilagan | USA |
| Stripe | Betalningshantering, leverantörsutbetalningar, prenumerationsfakturering | Order-/prenumerationsbelopp, betalningsutfall, leverantörsutbetalningsfördelning — inte fullständiga kortnummer | Irland (Stripe Payments Europe, Limited), med överföringar till Stripe, LLC i USA |
| Supabase | Databashosting, privat fillagring, inloggning (autentisering) | Alla kategorier i avsnitt 3, som lagrade uppgifter | Europeiska unionen — Stockholm, Sverige (eu-north-1) |
| Railway | Applikationshosting (backend) | Alla kategorier i avsnitt 3, under överföring/behandling | Europeiska unionen — Amsterdam, Nederländerna (europe-west4) |
| Vercel | Webbplatshosting | Sessionstoken (klientsidan), sidinnehåll | Europeiska unionen — Stockholm, Sverige (arn1) |
| Brevo | Leverans av transaktionsmejl | Mottagarens e-postadress, meddelandeinnehåll (konto-, order- och klinikaviseringsmejl) | Europeiska unionen — Frankrike |
| Namecheap | Brevlådan contact@skinity.se: tar emot svar och skickar mejl när Brevo inte är tillgängligt | Avsändar- och mottagaradresser, meddelandeinnehåll | USA |
| Expo | Vidarebefordrar push-aviseringar till Apple och Google | Enhetens push-token, aviseringstext | USA |
| Telegram | Valfri aviseringskanal för kliniker | Aviseringsinnehåll som en klinik valt att ta emot på detta sätt — inte fullständiga klientregister | Telegrams egen infrastruktur |
7. Mekanismer för internationell överföring
Var varje underleverantör i avsnitt 6 har uppgifterna, och vad en överföring utanför EES bygger på:
- Supabase — uppgifterna lagras i Stockholm (eu-north-1). Avtalsparten, Supabase Pte. Ltd., finns i Singapore och kan komma åt uppgifter därifrån och från USA: EU:s standardavtalsklausuler i dess personuppgiftsbiträdesavtal, godkänt i Supabases kontrollpanel.
- Railway — körs i Amsterdam (europe-west4). Railway Corporation är ett amerikanskt företag: EU:s standardavtalsklausuler i dess personuppgiftsbiträdesavtal, godkänt i Railways kontrollpanel.
- Vercel — serverfunktioner i Stockholm (arn1). Vercel Inc. är ett amerikanskt företag: EU:s standardavtalsklausuler i dess personuppgiftsbiträdesavtal och dess certifiering enligt EU–USA-ramverket för dataskydd (Data Privacy Framework).
- Brevo — ett franskt företag; underleverantörer utanför EES omfattas av skyddsåtgärderna i Brevos personuppgiftsbiträdesavtal.
- Anthropic — uppgifterna lagras i USA och kan behandlas i andra länder. Avtalspart för kunder inom EES: Anthropic Ireland, Limited. EU:s standardavtalsklausuler i det personuppgiftsbiträdesavtal som ingår i Anthropics kommersiella villkor. Indata och utdata används inte för träning och raderas inom 30 dagar, om inte användarpolicyn eller lag kräver längre tid.
- Stripe — avtalspart Stripe Payments Europe, Limited (Irland); överföringar till Stripe, LLC (USA) enligt EU–USA-ramverket för dataskydd och EU:s standardavtalsklausuler. Stripe är självständigt personuppgiftsansvarig för att förebygga bedrägerier och för sina egna rättsliga skyldigheter.
- Namecheap — Namecheap, Inc. (USA) tillhandahåller brevlådan contact@skinity.se och kan behandla e-posten i USA: EU:s standardavtalsklausuler i dess personuppgiftsbiträdesavtal.
- Expo — 650 Industries, Inc. (USA) vidarebefordrar push-aviseringar till Apple och Google: dess certifiering enligt EU–USA-ramverket för dataskydd.
8. Gallringsschema
| Uppgift | Lagringstid | Raderingsmekanism |
|---|---|---|
| Hudanalysfotografi | Enligt användarens egen lagringsinställning (omedelbart efter poängsättning / 1 vecka / 1 månad / 3 månader) | Automatiserad daglig genomgång; "omedelbart" tillämpas direkt efter poängsättning |
| Hudanalyspoäng | Kontots livslängd, eller tills användaren raderar analysen | Användaråtgärd, eller kontoradering |
| Konto-/profiluppgifter | Kontots livslängd | Vid raderingsbegäran: anonymiseras (se avsnitt 9) snarare än raderas helt, för att bevara register vi har en oberoende rättslig grund att behålla |
| Uppdaterings-/sessionstoken | Återkallas omedelbart vid lösenordsbyte, utloggning eller kontoradering | Automatiskt |
| Beställningar och fakturor | Enligt tillämplig skatte-/bokföringslagstiftning | Raderas inte vid kontoradering; detta är ett rättsligt underlag, inte ett tjänsteunderlag |
| Samtyckes- och samtyckesloggregister | Behålls som ett granskningsspår, inklusive efter kontoradering | Raderas inte; detta är i sig regelefterlevnadsunderlaget |
| Platsavtryck, enhetstoken, aviseringsinställningar | Kontots livslängd | Raderas vid begäran om kontoradering |
9. Rutin för registrerades begäranden
- Tillgång/export: tillgänglig som en självbetjäningsfunktion för dataexport i användarens eget konto, som returnerar profil, samtycken, hudanalyser, rutiner, beställningar, recensioner och önskelistuppgifter i ett strukturerat format. En begäran som mottas via en annan kanal (till exempel e-post) hanteras manuellt inom den lagstadgade tidsfristen.
- Rättelse: de flesta fält kan redigeras direkt av användaren; en begäran om rättelse av ett fält som inte är självbetjäning hanteras manuellt.
- Radering: tillgänglig som en självbetjäningsbegäran om kontoradering, och avslås aldrig vid en användares egen begäran, i enlighet med rätten att bli glömd. Vid radering: kontot anonymiseras (namn, e-post, telefon och inloggningsuppgifter tas bort); biometriska fotografier och deras poäng raderas; eventuell begäran användaren hade öppen hos en klinik avslutas, och klinikens eget register över den bevaras som klinikens affärsunderlag; en aktiv klinikkoppling avslutas; en aktiv prenumeration avslutas omedelbart hos betalningsleverantören, så att fakturering inte fortsätter mot ett konto som inte längre kan logga in för att stoppa den själv; och register vi har en oberoende rättslig grund att behålla (beställningar/fakturor av skatteskäl, samtyckesloggar som granskningsspår) behålls, i enlighet med avsnitt 8.
- En administratörsinitierad borttagning av ett konto (till skillnad från användarens egen begäran) hanteras annorlunda och mer restriktivt: den avslås, med namngiven anledning, så länge kontot har en aktiv betald prenumeration, en väntande begäran hos en klinik eller en aktiv klinikkoppling — en administratör blockerar kontot istället i ett sådant fall. Denna åtskillnad finns eftersom användarens egen raderingsbegäran är en rättighet som alltid måste respekteras, medan administrativ upprensning inte är det och inte får användas för att avsluta en relation som användaren inte bett om att avsluta.
- Varje begäran, oavsett hur den mottagits, loggas och följs upp till avslut inom den lagstadgade tidsfristen (en månad enligt GDPR, som kan förlängas med ytterligare två månader för komplexa begäranden, med underrättelse till den sökande).
10. Rutin vid säkerhetsincident / personuppgiftsincident
- Upptäckt och begränsning. En misstänkt incident eskaleras omedelbart till operatören (contact@skinity.se), som begränsar exponeringen (t.ex. återkallar en läckt uppgift, inaktiverar ett komprometterat konto, patchar en sårbarhet).
- Bedömning. Fastställ vilka uppgifter och hur många personer som berörs, samt om incidenten sannolikt medför en risk för de berörda personernas rättigheter och friheter.
- Underrättelse till tillsynsmyndighet. Där så krävs, underrätta relevant tillsynsmyndighet (för Sverige, IMY) inom 72 timmar efter att vi fått kännedom om incidenten, enligt artikel 33 GDPR.
- Underrättelse till registrerade. Där incidenten sannolikt medför en hög risk för berörda personer, underrätta dem direkt och utan onödigt dröjsmål, enligt artikel 34 GDPR, med beskrivning av incidentens art, sannolika konsekvenser och vidtagna åtgärder.
- Dokumentation. Dokumentera varje incident, oavsett om underrättelse krävdes, inklusive fakta, effekter och vidtagna åtgärder (artikel 33.5).
- Efterincidentgranskning. Identifiera och genomför åtgärder för att förhindra upprepning.
11. Samtyckeshantering
- Varje samtyckestyp (biometrisk analys, marknadsföring, klinikdelning per klinik, AI-chattprofilåtkomst, åldersbekräftelse samt godkännande av villkor/medicinsk ansvarsfriskrivning) registreras som ett individuellt, tidsstämplat medgivande, åtskilt från det allmänna godkännandet av villkoren.
- Återkallelse är tillgänglig direkt i kontoinställningarna för varje samtyckestyp utom de obligatoriska bekräftelserna vid registrering (användarvillkor, medicinsk ansvarsfriskrivning), som är villkor för att använda Tjänsten snarare än valfri behandling.
- En oföränderlig logg speglar varje medgivande och återkallelse, bevarad som det granskningsspår som beskrivs i avsnitt 8.
12. Personalens åtkomst och utbildning
Åtkomst till produktionsdatabasen och till den privata lagringen av fotografier är begränsad till de få personer som driver Plattformen. Den används endast för att ge den support en användare har bett om, för att utreda en anmälan om missbruk eller ett säkerhetsproblem, eller för att uppfylla en rättslig skyldighet, och inte för något annat ändamål. Lagrade hudanalysfotografier bläddras inte igenom av nyfikenhet och används aldrig kommersiellt.
13. Granskning av underleverantörer
Innan en ny underleverantör med åtkomst till personuppgifter engageras bedömer vi dess säkerhetsnivå och dataskyddsåtaganden, och tecknar ett personuppgiftsbiträdesavtal innan någon levande data delas med den. Avsnitt 6 uppdateras som en del av den processen.
14. Granskningsintervall
Denna policy granskas minst årligen, samt varje gång vi introducerar en ny kategori av personuppgifter, en ny underleverantör eller en ny verksamhetsregion.