Dataskydd och GDPR
Kontoutdragen lämnar aldrig kommunens datorer. Det avgör nästan allt annat i bedömningen. Här är översikten; dokumentationen för dataskyddsombud och IT lämnas på begäran.
Var uppgifterna finns
Alyra är ett skrivbordsprogram, inte en molntjänst. Det avgör nästan allt annat i den här bedömningen, så vi börjar där.
Stannar hos er
Handläggarens dator
Kontoutdraget
Läses in i arbetsminnet under granskningen
Granskningen
Kontroll av transaktioner och dokumentets uppbyggnad sker på plats
Resultatet
Visas i programmet. Sparas bara som den rapport handläggaren själv exporterar – utan uppgifter ur kontoutdraget
Microsoft Azure, Sweden Central
Molntjänsten
Licens
Licensnyckeln vid aktiveringen; därefter aktiverings-id vid validering
Maskinfingeravtryck
SHA-256 av tre värden som identifierar datorn, inte en person
Versioner
Programversion och regelversion, för regeluppdateringar och godkända programversioner
Rapport-ID och kontrollsumma
När en rapport exporteras eller kontrolleras: rapportens ID och en kontrollsumma av rapportfilen – inget innehåll
Inga dokument, inget dokumentinnehåll och inga analysresultat passerar någonsin gränsen mellan de två rutorna.
Det viktigaste i korthet
Fyra punkter som brukar avgöra bedömningen.
Kontoutdragen lämnar aldrig er dator
All granskning sker på handläggarens dator. Vi har ingen åtkomst till dokumenten och är varken personuppgiftsansvariga eller biträde för dem.
Ingenting ur kontoutdragen sparas
Dokumenten och analysresultatet finns i programmet medan de är öppna. Det enda som kan sparas är en rapport som handläggaren själv exporterar, och den innehåller inga uppgifter ur kontoutdraget.
Regelbaserad granskning
Granskningen är regelbaserad: varje anmärkning kommer från en skriven regel, och ingen komponent bedömer en person. Textigenkänningen av skannade sidor använder två förtränade OCR-modeller som körs lokalt för att läsa text ur sidans bild; de gör ingen bedömning och lär sig inget. Vår bedömning är att Alyra inte är ett AI-system i AI-förordningens mening.
Bedömningen är handläggarens
Alyra visar vad den ser i dokumentet och säger vad det kan tyda på. Bedömningen och beslutet är handläggarens.
Roller och ansvar
För granskningen av kontoutdragen har vi ingen roll: uppgifterna lämnar aldrig er dator. För kontaktuppgifter och licenser i molntjänsten är vi personuppgiftsansvariga; information om den behandlingen lämnas vid avtalstecknandet. För innehållet i supportmeddelanden är vi ert personuppgiftsbiträde, med ett biträdesavtal (artikel 28).
Vi ber er att aldrig skicka uppgifter om biståndssökande till supporten.
På handläggarens dator
Dokumenten hålls i arbetsminnet och skrivs aldrig till disk av programmet. När ett dokument stängs, eller fönstret stängs till systemfältet, skrivs programmets kopia över. Programmet sparar inga sammanställningar av uppgifter om enskilda, varken lokalt eller centralt.
Hos oss
I molntjänsten (Microsoft Azure, Sweden Central) om inget annat anges
| Uppgift | Innehåll | Lagringstid |
|---|---|---|
| Kontaktuppgifter | Namn, e-post och telefonnummer till er kontaktperson | Under avtalstiden; raderas senast 90 dagar efter avtalets slut. Uppgifter i fakturaunderlag sparas så länge bokföringslagen kräver |
| Maskinfingeravtryck | SHA-256 av tre värden som identifierar datorn, inte en person | Under avtalstiden; raderas senast 90 dagar efter avtalets slut |
| Versioner och administrationsval | Programversion och regelversion per installation; vilken version er administratör godkänt och vilka funktioner som är påslagna | Under avtalstiden |
| Åtkomstlogg | För varje anrop: väg, statuskod, aktivering och IP-adress – aldrig innehåll | 12 månader |
| Ändringslogg och säkerhetshändelser | Våra ändringar i molntjänsten; licensavvikelser, som en licensfil använd på en annan dator | 24 månader |
| Rapportregister | För varje exporterad rapport: rapportens ID, en kontrollsumma av rapportfilen, kommunen och tidpunkten. Ingenting ur kontoutdragen | Finns kvar efter avtalets slut, utan koppling till kommunen |
| Supportmeddelanden | Den fritext ni själva skickar med – i vår e-post (Microsoft 365, EU) | 12 månader efter avslutat ärende |
| Säkerhetskopior | Av molntjänstens databas, i samma region | Återställning till tidpunkt inom 7 dagar; en veckokopia i 8 veckor |
Biträden och tredje land
Vi anlitar Microsoft i två tjänster: Azure (Sweden Central) för molntjänsten, där vi är personuppgiftsansvariga och Microsoft vårt biträde, och Microsoft 365 inom EU för vår e-post, där vi är ert biträde och Microsoft underbiträde. Ingen annan part behandlar personuppgifter för vår räkning, och vi har inte instruerat någon överföring till tredje land.
Bedömningen av molnleverantör, jurisdiktion och tredje land finns i Bilaga M, som vi lämnar på begäran.
Registrerades rättigheter och incidenter
Begäran från en registrerad
Vi har inga uppgifter om biståndssökande. En begäran om registerutdrag, rättelse eller radering hanteras av kommunen.
Incidenter
Vid en personuppgiftsincident som berör er underrättar vi er kontaktperson inom 24 timmar från upptäckt. Incidentrutinen lämnas på begäran.
Radering vid avtalets slut
Kontaktuppgifter och licensinformation raderas senast 90 dagar efter avtalets eller pilotperiodens slut; uppgifter i fakturaunderlag sparas så länge bokföringslagen kräver. Registreringarna av era rapporter finns kvar utan koppling till kommunen, så att rapporter i era akter kan kontrolleras även efteråt; dessförinnan kan ni få ut era rader.
Konsekvensbedömning
Om en konsekvensbedömning (artikel 35) krävs avgör ni tillsammans med ert dataskyddsombud. Vårt stöddokument fyller i det vi vet – behandlingens art, kategorier, dataflöden och skyddsåtgärder – och markerar vad bara ni kan besvara.
Dokumentation på begäran
Skicka ett mejl så kommer dokumenten. Ni behöver inte ha bokat något möte.
För dataskyddsombud
- Översikt för dataskyddsombud
- Stöddokument för konsekvensbedömning
- Bilaga M – moln-, underbiträdes- och tredjelandsbedömning
- Bilaga P – personuppgiftsbiträdesavtal för supporten
- Bilaga I – information enligt artikel 13
- Incidenthanteringsplan och support- och incidentrutin
För IT och informationssäkerhet
- Bilaga T – dataflöden och teknisk säkerhet
- Arkitekturdokument och säkerhetsdokument
- Riskanalys
- Teknisk beskrivning
Begär dokumentationen
Ange gärna kommun och vem som ska stå som mottagare.
Systemkrav, nätverkstrafik och tekniska skyddsåtgärder står på sidan om teknik och säkerhet. Har ni en fråga som inte besvaras här, hör av er till kontakt@alyrasystem.se.
Vill ni gå igenom dataskyddsfrågorna tillsammans?
Vi deltar gärna i ett möte med berörda funktioner inom dataskydd och IT.