Integritetspolicy för Spike-appen
Version 1.0 – gäller från den 25 oktober 2026
Personuppgiftsansvarig för den behandling som beskrivs i avsnitten 3, 4, 8 och 9: Secron AB, org.nr 559435-2816, Stämånavägen 10, 443 39 Lerum, Sverige (”Secron”, ”vi”, ”oss”). E-post: sales@secron.se.
Den här integritetspolicyn gäller Spike-appen för Windows, Android och iOS, molntjänsten bakom appen och Spike-instrumenten (tillsammans ”Tjänsten”). Den gäller inte Secrons övriga verksamhet. Policyn kompletterar slutanvändarlicensavtalet (EULA) på https://www.secron.se/eula-svenska. Begrepp som Kund, Ledare, Administratör, Deltagare, Observatör, Övning och Instrument har samma betydelse som där.
Den svenska versionen är originalversionen. En engelsk översättning finns på https://www.secron.se/privacy-policy. Vid avvikelser gäller den svenska versionen.
Kort sammanfattning
Två ansvariga. Din organisation (Kunden) är personuppgiftsansvarig för det som händer i en Övning, till exempel dina positioner. Secron lagrar och behandlar de uppgifterna på Kundens uppdrag som personuppgiftsbiträde. Secron är själv personuppgiftsansvarig för kontoadministration, licenser, support och säkerhet i Tjänsten.
Övande Deltagare positionsspåras under pågående Övning, även i bakgrunden. Positionerna ser Övningens Ledare i realtid och i efterhand. Du kan avbryta spårningen när som helst (avsnitt 6).
Alla uppgifter i Tjänsten lagras och behandlas inom EU hos Google Cloud. Bara när kartbilder hämtas kontaktar din enhet kartleverantörer som kan finnas utanför EU (avsnitt 10).
Ingen reklam, ingen försäljning av uppgifter, inga analys- eller spårningsverktyg i appen.
Dina rättigheter beskrivs i avsnitt 13. Frågor om Övningsdata ställs till din organisation, övriga frågor till sales@secron.se. Du kan klaga hos Integritetsskyddsmyndigheten (IMY).
1. Vem ansvarar för dina personuppgifter?
1.1 Två roller. Spike används av organisationer – räddningstjänster, utbildningsanordnare och företag – för att öva sin personal. Vem som är personuppgiftsansvarig beror på vilken behandling det gäller:
Behandling
Personuppgiftsansvarig
Secrons roll
Övningsdata: positioner, spårloggar, deltagarnamn, roller, Ledarens åtgärder under Övningen, instrumenthistorik, utvärdering (avsnitten 5–7)
Kunden
Personuppgiftsbiträde
Konto- och licensadministration för Ledare och Administratörer (avsnitt 3)
Secron
Personuppgiftsansvarig
Organisationens kontaktperson i appen (avsnitt 4)
Secron
Personuppgiftsansvarig
Support, säkerhet, driftloggar, registrering av villkorsgodkännande (avsnitt 8)
Secron
Personuppgiftsansvarig
1.2 Övningsdata. För uppgifter som behandlas i en Övning bestämmer Kunden – normalt din arbetsgivare eller utbildningsanordnare – ändamål och rättslig grund. Secron behandlar dem bara enligt Kundens instruktioner och det personuppgiftsbiträdesavtal som gäller mellan Kunden och Secron. Frågor om, eller invändningar mot, behandlingen i en Övning ställs därför i första hand till Kunden, till exempel via Övningens Ledare eller organisationens dataskyddskontakt. Avsnitten 5–7 beskriver ändå behandlingen så att du som Deltagare eller Ledare vet vad som sker.
1.3 Kontakt. Frågor om den här policyn eller om dataskydd i Tjänsten: sales@secron.se, eller per post till adressen ovan.
2. Vad menas med personuppgifter?
Personuppgifter är alla uppgifter som direkt eller indirekt kan kopplas till en levande person, till exempel namn, e-postadress, ett tekniskt konto-id eller en GPS-position som kan knytas till dig. Behandling är allt som görs med uppgifterna, till exempel insamling, lagring, visning och radering. Uttrycket ”GDPR” avser Europaparlamentets och rådets förordning (EU) 2016/679.
3. Ledare och Administratörer – kontouppgifter
3.1 Vilka uppgifter. För dig som har ett konto behandlar Secron:
e-postadress (används som användarnamn), visningsnamn och telefonnummer (frivilligt);
organisation, roll (Ledare eller Administratör), kontostatus (aktivt/spärrat), eventuell kvot för antal Övningar och antal skapade Övningar;
när kontot skapades och av vem, samt tidpunkt för senaste inloggning;
version och tidpunkt för ditt godkännande av användarvillkoren och den här policyn;
autentiseringsuppgifter hos Google Firebase Authentication: lösenord i hashad form (Secron ser aldrig ditt lösenord), sessionsnycklar, samt de e-postmeddelanden som skickas när du begär lösenordsåterställning.
3.2 Varifrån. Kontot skapas av Kundens Administratör eller av Secron. Visningsnamn och telefon kan du själv ändra under Inställningar. Tidpunkt för senaste inloggning och villkorsgodkännande registreras av appen.
3.3 Varför och med vilken rättslig grund.
Ändamål
Rättslig grund
Ge dig inloggning och rätt behörighet i appen, och tillhandahålla Tjänsten till Kunden
Fullgörande av avtalet med Kunden; i förhållande till dig som anställd hos Kunden vårt berättigade intresse av att fullgöra avtalet (artikel 6.1 f GDPR)
Administrera licenser, platser och kvoter i Tjänsten
Fullgörande av avtal (artikel 6.1 b) respektive berättigat intresse (artikel 6.1 f)
Säkerhet: spärra konton, återkalla sessioner, upptäcka och utreda missbruk och intrång
Berättigat intresse (artikel 6.1 f) av en säker tjänst för alla kunder
Support och felsökning
Berättigat intresse (artikel 6.1 f) och fullgörande av avtal
Kunna visa vilka villkor du har godkänt
Berättigat intresse (artikel 6.1 f) av att kunna styrka avtalsinnehåll
Uppgifterna är nödvändiga för att kontot ska kunna finnas. Utan e-postadress kan inget konto skapas; telefonnummer är frivilligt.
3.4 Vilka ser uppgifterna. Kundens Administratörer ser kontona i sin egen organisation. Secrons personal ser alla organisationers konton för licens- och supportändamål. Google behandlar uppgifterna som underbiträde (avsnitt 10).
3.5 Din egen kontroll. Under Inställningar kan du ändra visningsnamn och telefon, byta lösenord och radera ditt konto. Raderingen är permanent: kontouppgifterna och inloggningen tas bort. Övningar som du har skapat finns kvar hos Kunden, men bara med ett tekniskt konto-id som inte längre kan kopplas till dina kontouppgifter. Administratörskonton raderas av en annan Administratör.
4. Organisationens kontaktperson i appen
4.1 Vilka uppgifter. Kundens Administratör kan i appen ange en kontaktperson för organisationen: namn, e-postadress och telefonnummer. Secron kan dessutom föra korta interna anteckningar om organisationens licens i appen (till exempel när licensen ska förnyas och vem som är kontakt).
4.2 Varifrån. Kundens Administratör eller Secron, utifrån avtalet med Kunden.
4.3 Varför och med vilken rättslig grund. Administrera organisationens licens i Tjänsten och kontakta organisationen om Tjänsten – driftinformation, ändrade villkor, support (fullgörande av avtalet med Kunden, artikel 6.1 b, respektive berättigat intresse, artikel 6.1 f, av att sköta avtalet). Uppgifterna ses av Kundens egna Administratörer och av Secrons personal.
5. Deltagare och Observatörer – Övningsdata
Kunden är personuppgiftsansvarig för behandlingen i detta avsnitt (se avsnitt 1.2). Beskrivningen finns här för att du ska veta vad som sker.
5.1 Vilka uppgifter. När du ansluter till en Övning behandlas:
ett anonymt tekniskt konto-id som skapas av appen på din enhet (inget namn, ingen e-postadress);
ett installations-id som består av enhetens modellbeteckning och ett slumptal, lagrat på din enhet, för att Ledaren ska kunna känna igen samma enhet igen;
det namn eller den anropssignal du anger i väntrummet (frivilligt – fältet är förifyllt med ”Deltagare” och ett löpnummer), vald deltagartyp (övande eller Observatör), vald roll (till exempel brandman eller befäl) och om du markerat dig som redo;
tidpunkt för anslutning och vilken version av villkoren din enhet har godkänt;
för övande Deltagare: position i realtid och en spårlogg med positioner och tidpunkter under Övningen (avsnitt 6);
härledda uppgifter i utvärderingen: när du befann dig i de simulerade zonerna, hur länge, och vilken simulerad exponering det motsvarade. Värdena är resultatet av Övningens simulering och säger ingenting om din verkliga hälsa eller exponering.
Observatörer positionsspåras aldrig och har ingen spårlogg.
5.2 Varför. Kunden använder uppgifterna för att genomföra Övningen (visa dig på Ledarens karta, styra scenariot) och för att utvärdera och följa upp Övningen i efterhand med de som deltog. Kunden bestämmer ändamål och rättslig grund. För kommunala räddningstjänster är grunden normalt en uppgift av allmänt intresse (artikel 6.1 e GDPR) inom ramen för skyldigheten att öva enligt lagen (2003:778) om skydd mot olyckor; för andra organisationer normalt ett berättigat intresse (artikel 6.1 f). Behandlingen bygger inte på ditt samtycke, och godkännandet av villkoren i appen är inte ett samtycke enligt GDPR utan en bekräftelse på att du har fått informationen.
5.3 Vilka ser uppgifterna. Övningens Ledare ser din position i realtid och kan spela upp Övningen i efterhand. Ledaren kan välja att låta Deltagarna se varandras aktuella positioner under Övningen (inte historiken). Secrons personal har åtkomst till Övningsdata endast för drift, support och felsökning på Kundens uppdrag. Google behandlar uppgifterna som underbiträde (avsnitt 10).
5.4 Hur länge. Kunden bestämmer. Övningsdata finns kvar tills Ledaren raderar Övningen i appen (endast avslutade Övningar kan raderas) eller tills Kundens avtal med Secron upphör, då Secron raderar Kunddata senast 90 dagar därefter. Att en Övning avslutas – manuellt eller automatiskt 24 timmar efter att den skapades – raderar inte uppgifterna.
5.5 Vad Ledaren själv lämnar spår av. Ledarens åtgärder under Övningen – placering och flytt av det virtuella utsläppet, ändringar av vind och intensitet, vad Deltagarna fick se och när, ritade lager – loggas med tidpunkter och ingår i Övningsdata. Ledarens konto-id knyts till Övningen. Även dessa uppgifter behandlas på Kundens uppdrag.
6. Positionsspårning i detalj
6.1 När. Spårningen börjar när du har anslutit till en Övning som övande Deltagare och Övningen är igång, och pågår tills Övningen avslutas eller du lämnar den.
6.2 Hur. Appen läser enhetens positionstjänst, jämnar ut mätningarna och registrerar din position ungefär varannan sekund. Aktuell position skickas till Tjänsten i realtid; spårloggen skickas i klumpar ungefär var 20:e sekund. Saknas nät sparas punkterna tillfälligt på enheten och skickas när nätet är tillbaka. Spårningen fortsätter när skärmen är släckt eller appen ligger i bakgrunden: på Android via en synlig notis (förgrundstjänst), på iOS via systemets indikator för platsanvändning i bakgrunden.
6.3 Behörigheter. Appen ber om platsbehörighet (”medan appen används” räcker) samt om behörighet att visa notisen på Android. Kamerabehörighet används bara för att läsa QR-koder; bilderna behandlas lokalt och sparas inte.
6.4 Så avbryter du. Lämna Övningen i appen, avsluta appen eller återkalla platsbehörigheten i enhetens inställningar. Spårningen upphör också när Ledaren avslutar Övningen eller när den avslutas automatiskt (senast 24 timmar efter att den skapades). Om du avbryter kan Ledaren inte se dig på kartan eller i utvärderingen. Vill du delta utan att spåras kan du ansluta som Observatör.
6.5 Ledarens egen position. När en Ledare skapar en Övning kan appen läsa Ledarens position en gång för att centrera kartan. Positionen sparas inte, såvida inte Ledaren själv väljer att placera det virtuella utsläppet där.
7. Instrument
Ett Spike-instrument som är påslaget skickar sitt serienummer, sin GPS-position och batterinivå till Tjänsten över mobilnätet, normalt varannan till var femte sekund. Tjänsten sparar Instrumentets senaste position och tidpunkt, och under en pågående Övning även en historik med position, tidpunkt och simulerat värde. Uppgifterna gäller Instrumentet, men om en person bär det kan de indirekt visa var personen befunnit sig; de ingår därför i Övningsdata som Kunden ansvarar för. Instrumenten saknar mikrofon, kamera och riktiga sensorer och samlar inte in något om omgivningen. Mobiloperatören behandlar trafikuppgifter för Instrumentets SIM-kort som egen personuppgiftsansvarig.
8. Support, säkerhet, driftloggar och villkorsgodkännande
8.1 Support. När du kontaktar appens support på sales@secron.se behandlar vi ditt namn, din e-postadress, ärendets innehåll och eventuella bilagor för att hjälpa dig (berättigat intresse, artikel 6.1 f, och fullgörande av avtal). Skicka inte känsliga uppgifter till supporten.
8.2 Säkerhet och driftloggar. Molntjänsten loggar tekniska händelser – tidpunkter, konto- och övningsidentifierare, felmeddelanden och IP-adresser i infrastrukturens loggar – för drift, felsökning och för att upptäcka och utreda intrång och missbruk (berättigat intresse, artikel 6.1 f). Kontospärrar återkallar aktiva sessioner.
8.3 Kommandokö. Åtgärder som kräver serverbehandling (skapa Övning, hantera konton) köas tillfälligt med ditt konto-id; innehållet raderas när åtgärden är klar och köposten senast efter 24 timmar.
8.4 Villkorsgodkännande. För Ledare och Administratörer registreras version och tidpunkt för godkännandet på kontot. För Deltagare sparas version och tidpunkt på enheten, och versionen skrivs i Övningens deltagarlista. Ändamålet är att kunna visa vilka villkor som gällde (berättigat intresse, artikel 6.1 f).
9. Uppgifter som lagras lokalt på din enhet
Appen använder inga cookies och innehåller inga analys-, reklam- eller spårningsverktyg från tredje part. Följande lagras lokalt på enheten:
Uppgift
Vem
Varför
Tas bort
Ihågkommen e-postadress (”Kom ihåg mig”) i operativsystemets skyddade lagring (Keychain, Keystore, Windows Credential Manager)
Ledare/Administratör
Förifylla inloggningen
När du stänger av ”Kom ihåg mig” eller avinstallerar appen
Inloggningssession
Ledare/Administratör
Hålla dig inloggad
När du loggar ut
Installations-id
Deltagare
Känna igen enheten i Övningar
När du avinstallerar appen eller rensar appens data
Anonymt konto-id
Deltagare
Återansluta till samma Övning
När du avinstallerar appen eller loggas ut vid Övningens slut
Godkänd villkorsversion och tidpunkt
Alla
Inte fråga om godkännande varje gång
När du avinstallerar appen eller rensar appens data
Kö med spårpunkter som ännu inte skickats
Deltagare
Inte tappa spårloggen vid nätbortfall
Så snart punkterna har skickats
Kartinställningar och kartsessionsnycklar
Alla
Vald karttyp, snabbare kartladdning
När du avinstallerar appen eller rensar appens data
Cachade adresser till villkor och supportadress
Alla
Fungera utan nät
När du avinstallerar appen eller rensar appens data
10. Mottagare, underbiträden och överföring utanför EU/EES
10.1 Secron säljer aldrig personuppgifter och delar dem bara med de mottagare som anges här, samt med myndigheter när lag kräver det.
Mottagare
Vad
Var
Skyddsåtgärd
Google Cloud EMEA Limited / Google LLC – Firebase Authentication, Cloud Firestore, Cloud Functions, Cloud Logging
All data i Tjänsten (konton och autentisering, Övningsdata, instrumentdata, loggar)
EU (Belgien/Nederländerna)
Personuppgiftsbiträdesavtal med Google (Google Cloud Data Processing Addendum); lagring och behandling inom EU
Google Maps Platform (Map Tiles API), när kartnyckel används
IP-adress, vilket kartområde som visas, sessionsnyckel
Globalt, inklusive USA
Googles villkor och integritetspolicy; EU-kommissionens standardavtalsklausuler / EU–USA Data Privacy Framework
Esri, Inc. – World Imagery
IP-adress och vilket kartområde som visas (satellitbilder)
USA
EU-kommissionens standardavtalsklausuler / EU–USA Data Privacy Framework där tillämpligt
OpenStreetMap Foundation
IP-adress och vilket kartområde som visas (vägkarta)
Storbritannien/EU
EU-kommissionens beslut om adekvat skyddsnivå för Storbritannien
SMHI
Koordinater för övningsplatsen och IP-adress vid hämtning av väderprognos
Sverige
Behandling inom EU
OpenWeatherMap Ltd, endast om vald som väderleverantör
Koordinater för övningsplatsen och IP-adress
Storbritannien
Beslut om adekvat skyddsnivå
MSB RIB, endast om integrationen är aktiverad
Sökningar på ämnen (UN-nummer) och IP-adress
Sverige
Behandling inom EU
Apple (App Store, TestFlight) och Google (Google Play)
Nedladdning, uppdateringar och kraschrapporter på operativsystemsnivå enligt deras villkor och dina inställningar
Enligt respektive leverantör
Egna personuppgiftsansvariga
Mobiloperatör för Instrumentens SIM-kort
Trafikuppgifter
Enligt operatören
Egen personuppgiftsansvarig
10.2 Överföring utanför EU/EES. All data i Tjänsten – konton, autentisering, Övningsdata, instrumentdata och loggar – lagras och behandlas inom EU. Uppgifter lämnar EU/EES bara när din enhet hämtar kartbilder direkt från kartleverantörerna ovan (IP-adress och kartområde). Det sker med stöd av kapitel V GDPR: ett beslut från EU-kommissionen om adekvat skyddsnivå (Storbritannien; EU–USA Data Privacy Framework för certifierade amerikanska mottagare) eller EU-kommissionens standardavtalsklausuler. Kopior av skyddsåtgärderna kan begäras från sales@secron.se.
10.3 Underbiträden för Kundens räkning. För Övningsdata är Google Secrons underbiträde. Kunden informeras om nya underbiträden enligt personuppgiftsbiträdesavtalet.
11. Hur länge sparar vi uppgifterna?
Uppgifter
Lagringstid
Kontouppgifter för Ledare och Administratörer
Så länge kontot finns. Raderas när kontot tas bort av dig, av Kundens Administratör eller av Secron när avtalet upphör
Registrering av villkorsgodkännande
Så länge kontot finns och därefter så länge det behövs för att kunna visa vilka villkor som gällt, dock högst tio år
Organisationens kontaktperson och licensanteckningar
Så länge organisationen finns i Tjänsten
Övningsdata (Kunden ansvarig)
Tills Ledaren raderar Övningen eller senast 90 dagar efter att Kundens avtal upphört, om inte Kunden instruerar annat
Instrumentens senaste position
Skrivs över vid nästa rapport; tas bort när Instrumentet avregistreras
Supportärenden
Normalt högst 24 månader efter att ärendet avslutats
Kommandokön
Innehållet raderas när åtgärden är klar; posten senast efter 24 timmar
Drift- och säkerhetsloggar
Normalt 30 dagar; längre om de behövs för att utreda en incident
Lokalt lagrade uppgifter på enheten
Se avsnitt 9
När lagringstiden har löpt ut raderas eller anonymiseras uppgifterna. Säkerhetskopior raderas enligt Secrons ordinarie rutiner.
12. Hur skyddar vi uppgifterna?
All kommunikation mellan appen, Instrumenten och molntjänsten är krypterad (TLS); uppgifterna krypteras även vid lagring hos Google.
Åtkomstregler på servern begränsar varje konto till sin egen organisation, sina egna Övningar och sin egen position. Zoner, tidslinje och instrumenthistorik skrivs bara av servern.
Deltagare identifieras med anonyma tekniska konton utan namn eller e-postadress.
Lösenord hanteras av Firebase Authentication i hashad form. Kontospärr återkallar aktiva sessioner.
Appen innehåller inga analys-, reklam- eller spårningsverktyg från tredje part.
Secrons personal har åtkomst till Kunddata enligt principen om minsta möjliga behörighet och endast för drift, support och felsökning.
Inträffar en personuppgiftsincident som rör Kunddata informerar Secron Kunden utan onödigt dröjsmål så att Kunden kan uppfylla sina skyldigheter enligt artiklarna 33–34 GDPR. Incidenter som rör uppgifter där Secron är ansvarig anmäls till IMY när det krävs.
13. Dina rättigheter
13.1 Enligt GDPR har du rätt att:
få tillgång till de personuppgifter vi behandlar om dig och information om behandlingen (artikel 15);
få felaktiga uppgifter rättade (artikel 16);
få uppgifter raderade i vissa fall, till exempel när de inte längre behövs (artikel 17);
få behandlingen begränsad i vissa fall (artikel 18);
få ut uppgifter du själv lämnat i ett maskinläsbart format och överföra dem till annan (dataportabilitet, artikel 20), när behandlingen sker automatiserat och bygger på avtal eller samtycke;
invända mot behandling som bygger på berättigat intresse (artikel 21) – vi fortsätter då bara om vi har tvingande berättigade skäl som väger tyngre;
återkalla ett lämnat samtycke när som helst, utan att det påverkar lagligheten av tidigare behandling.
13.2 Så gör du. För kontouppgifter, organisationens kontaktperson och support (där Secron är ansvarig): mejla sales@secron.se. Vi kan behöva bekräfta din identitet, till exempel genom att du skriver från den e-postadress som är kopplad till kontot. Vi svarar inom en månad; är ärendet komplext kan tiden förlängas med två månader, och vi meddelar dig i så fall. För Övningsdata (där Kunden är ansvarig): vänd dig till din organisation. Secron hjälper Kunden att uppfylla din begäran enligt personuppgiftsbiträdesavtalet.
13.3 Självbetjäning i appen. Ledare och Administratörer kan själva rätta namn och telefon samt radera sitt konto under Inställningar. Deltagare kan när som helst avbryta spårningen (avsnitt 6.4).
13.4 Klagomål. Du har rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, https://www.imy.se, eller till tillsynsmyndigheten i det EU-land där du bor eller arbetar.
14. Barn
Spike riktar sig inte till barn och är avsett för personer som har fyllt 18 år. Om en Kund låter yngre personer delta i en Övning, till exempel inom ungdomsverksamhet, ansvarar Kunden för att det är tillåtet och för att nödvändiga godkännanden från vårdnadshavare finns. Secron samlar inte medvetet in uppgifter om barn för egna ändamål.
15. Automatiserat beslutsfattande och profilering
Secron fattar inga automatiserade beslut som har rättsliga följder eller på liknande sätt i betydande grad påverkar dig, och profilerar dig inte. Simuleringen i en Övning beräknar zoner och simulerade värden utifrån positioner, men det är Kunden och Ledaren som drar slutsatser vid utvärderingen.
16. Ändringar av policyn
Vi kan uppdatera den här policyn, till exempel när Tjänsten eller lagstiftningen ändras. Gällande version finns alltid på https://secron.se/legal/privacy/sv. Vid väsentliga ändringar ber appen dig att godkänna den nya versionen innan du fortsätter, och Kundens kontaktperson informeras minst 30 dagar innan ändringen börjar gälla. Versionshistoriken nedan visar vad som ändrats.
17. Kontakt
Secron AB
Org.nr 559435-2816
Stämånavägen 10, 443 39 Lerum, Sverige
E-post: sales@secron.se
Webb: https://secron.se
Användarvillkor (EULA) för Spike-appen: https://www.secron.se/eula-svenska/
Engelsk version av policyn: https://www.secron.se/eula-svenska/
Versionshistorik
1.0
2026-10-23
Första versionen.