Integritetspolicy

Cupify är en plattform för att arrangera fotbollsturneringar. Arrangörer driver sina cuper här, föreningar anmäler sina lag, och vem som helst kan slå upp ett spelschema utan konto. Den här sidan förklarar vad vi gör med personuppgifter på vägen.

Vi har försökt skriva den på vanlig svenska i stället för den sedvanliga muren av juridik. Där något är obekvämt — uppgifter vi sparar, ställen de hamnar på — säger vi det i stället för att gömma det.

Vem ansvarar för vad

För ditt eget konto, och för alla som besöker sajten, är Cupify personuppgiftsansvarig. Vi bestämmer vad ett konto är, vad vi loggar och vad vi lagrar på din enhet, så frågor om det går till oss.

För de uppgifter en förening eller lagledare fyller i om sina spelare är Cupify bara personuppgiftsbiträde. Föreningen bestämmer vilka spelare som läggs in, varför och på vilken rättslig grund; vi förvarar uppgifterna åt dem och gör det de säger åt oss. Vi använder dem aldrig för något eget.

Den skillnaden spelar roll när du vill ha något ändrat eller raderat. Gäller det ditt Cupify-konto skriver du till oss. Gäller det en spelaruppgift är det föreningen som lagt in den som svarar — men hör av dig till oss ändå om du inte når dem, så hjälper vi dig hitta rätt kontakt.

Vad vi samlar in

Ditt konto

En e-postadress och ett namn, plus en profilbild och ett Google-konto-id om du loggar in med Google. Det finns inget lösenord att lagra: du loggar in med Google eller med en engångskod som skickas till din e-post. Vi sparar en hashad kopia av dina aktiva inloggningar så att du förblir inloggad — aldrig själva nyckeln.

Det du fyller i som arrangör eller lagledare

Turneringar, klasser, lag, föreningar, spelscheman, resultat, planer, domare, dokument och bilder. Det mesta är inte personuppgifter, men en del är det — en domares telefonnummer, en kontaktperson på en anmälan, ett namn i ett uppladdat foto. Det lagras inne i det space eller lag det hör hemma i, och ingen utanför kommer åt det.

Spelare

En lagledare kan registrera en spelares namn, tröjnummer och personnummer, eftersom turneringar kontrollerar behörighet och åldersklasser. Personnummer har ett eget avsnitt längre ner. Spelare visas aldrig på den publika sajten.

Formulär på den publika sajten

När du anmäler ett lag eller skriver till en arrangör sparar vi det du fyllt i — vanligtvis ett kontaktnamn, en e-postadress, ett telefonnummer och ditt meddelande — och lämnar det vidare till arrangören för den turneringen. Först görs en spamkontroll, som skickar en kortlivad token från din webbläsare till Cloudflare och bara berättar för oss om du klarade den.

Betalningar

Anmälningsavgifter betalas till arrangören, inte till Cupify. Använder de kortbetalning skickas du vidare till Stripe och dina kortuppgifter går enbart dit — vi ser dem aldrig och lagrar dem aldrig. Det som kommer tillbaka till oss är referensen för betalningen och om den lyckades, så att anmälan kan markeras som betald. Tar arrangören i stället Swish eller banköverföring lagrar vi bara den referens de bett dig använda.

Tekniska spår

När något går sönder registrerar vi felet: vilken sida, vilken förfrågan, statuskoden och — enbart för de publika anmälnings- och kontaktformulären — vad som skickades in, så att vi kan se varför en anmälan misslyckades i stället för att be dig återskapa den. Inloggade sidor loggar aldrig innehållet i förfrågan. Felposter kan innehålla en IP-adress, webbläsarens user agent och, om du var inloggad, din e-postadress.

Besöksstatistik på turneringssidor

Om du godkänner statistikcookies registrerar en turnerings publika sida vilka av dess sidor du öppnar och vad du klickar på, under ett slumpat id som sparas i din webbläsare. Vi sparar ingen IP-adress och inga uppgifter om webbläsaren tillsammans med det, och id:t görs om till ett annat för varje turnering, så att dina besök hos två turneringar inte kan kopplas ihop. Arrangören ser bara summor. Tackar du nej, eller tar tillbaka ditt ja på sidan om cookies, tas id:t bort och inget mer registreras.

Besöksstatistik på Cupifys webbplats

Om du accepterar statistikcookies registrerar Cupifys egen webbplats – startsidan, priser, turneringskatalogen, kontaktsidan, de här policyerna och inloggningssidan – vilka sidor du öppnar, i vilken ordning, hur långt ner på en sida du scrollar och vad du klickar på, under samma slumpade id. Id:t görs om till en egen nyckel för webbplatsen, så de här besöken kan inte kopplas ihop med dina besök på någon turnerings sida. Vi lagrar ingen IP-adress och inga uppgifter om webbläsaren – bara vilken webbplats du kom från (dess namn, inte sidan), kampanjen som angavs i länken om det fanns en, språket, typen av enhet och om du var inloggad. Bara Cupifys administratörer ser det, som summor, för att förstå hur besökare hittar runt på webbplatsen. Tackar du nej, eller tar tillbaka ditt ja på sidan om cookies, registreras ingenting mer.

Vad vi inte gör

Det finns inget annonsnätverk, ingen tagghanterare, ingen pixel från sociala medier och ingen tredjepartsanalys i Cupify. Typsnitten följer med sajten i stället för att hämtas från Google. Ingenting här bygger en profil av dig, och det förekommer inget automatiserat beslutsfattande med rättsliga följder.

Varför vi får behandla uppgifterna

Enligt GDPR krävs en rättslig grund för varje användning av personuppgifter. Våra är:

• Fullgörande av avtal — att driva ditt konto, ditt space, dina anmälningar och de turneringar du deltar i. Utan de uppgifterna fungerar helt enkelt inte tjänsten.
• Berättigat intresse — att hålla plattformen säker, stoppa spam och missbruk, utreda fel och svara på de meddelanden du skickar oss. Vi håller medvetet den användningen snäv och kortvarig.
• Samtycke — för valfria cookies och för allt annat vi frågar dig om uttryckligen. Du kan ta tillbaka det när du vill, och det gäller direkt.
• Rättslig förpliktelse — där bokföringslagen eller annan lag kräver att vi behåller ett underlag.

För spelaruppgifter är det föreningen som väljer rättslig grund, inte vi. När en lagledare lägger in spelare intygar hen att det finns rätt att göra det, och vi agerar bara på deras instruktioner.

Personnummer

Svenska ungdomsturneringar kontrollerar att spelare hör hemma i den klass de spelar i, och det är därför fältet finns över huvud taget. Vi behandlar det som det känsligaste i databasen och hanterar det därefter:

• Det krypteras i applikationen innan det når databasen, med en nyckel databasen själv inte har. En kopia av databasen avslöjar därför ingenting.
• Det är maskerat överallt i gränssnittet. Att se det kräver en medveten handling, inte en blick i en lista.
• Varje visning loggas — vem som tittade, på vilken spelare, när och i vilket sammanhang. Loggen finns för att missbruk ska lämna spår.
• Det raderas tolv månader efter att spelaren senast fanns med i en trupp, utan att någon behöver be om det. Namn och tröjnummer blir kvar så att föreningen behåller sin historik; själva numret är borta. En lagledare kan också få det raderat tidigare på begäran.

Hur länge vi sparar

Vi raderar enligt schema i stället för när någon råkar komma ihåg det. Det här är reglerna systemet faktiskt kör på:

Raderade uppgifter kan leva kvar något längre i krypterade databasbackuper, som rullar på sitt eget schema. De går inte att nå från applikationen och återställs inte selektivt.

Vilka andra ser dina uppgifter

Cupify vilar på ett fåtal leverantörer. Var och en behandlar uppgifter på våra instruktioner enligt ett personuppgiftsbiträdesavtal, och ingen av dem får använda dem för egna ändamål.

Utöver dessa går uppgifterna till arrangören för den turnering det gäller, och till ingen annan. Vi säljer inte personuppgifter, vi delar dem inte för annonsering, och vi lämnar dem inte till myndigheter om inte lagen kräver det.

Cupify självt driftas inom EU. Vissa leverantörer är amerikanska bolag och kan behandla uppgifter utanför EU; när det sker vilar överföringen på EU-kommissionens standardavtalsklausuler och, där det är tillämpligt, ramverket EU–US Data Privacy Framework.

Vad som är publikt med avsikt

En turnerings publika sida är gjord för att läsas av vem som helst: spelschemat, deltagande lag och föreningar, resultat, tabeller och turneringens egna kontaktuppgifter. Lagnamn, matchtider och resultat publiceras medvetet — en cup som ingen kan slå upp är inte mycket till cup.

Spelarnas namn, tröjnummer och personnummer publiceras aldrig. De stannar inne i laget och i arrangörens anmälningsvy.

Dina rättigheter

GDPR ger dig rättigheter över dina personuppgifter, och vi tar varken betalt för dem eller kräver att du motiverar dig:

• Tillgång — en kopia av de personuppgifter vi har om dig.
• Rättelse — allt som är fel korrigeras. Det mesta kan du ändra själv.
• Radering — ditt konto och dess uppgifter tas bort, där ingen lag kräver att vi behåller dem.
• Begränsning — behandlingen pausas medan en tvist reds ut.
• Invändning — mot behandling vi grundar på berättigat intresse.
• Dataportabilitet — dina uppgifter i ett maskinläsbart format.

Gäller din begäran en spelaruppgift är det föreningen eller laget som är personuppgiftsansvarig och bestämmer — fråga därför dem först. Vi tar ändå emot begäran, vidarebefordrar den och agerar så snart de instruerar oss.

Tycker du att vi hanterat dina uppgifter illa, säg det till oss först så försöker vi rätta till det. Du har också rätt att klaga till Integritetsskyddsmyndigheten (IMY), eller till tillsynsmyndigheten i det EU-land där du bor.

Hur vi skyddar uppgifterna

Trafiken är krypterad under överföring och databasen är krypterad i vila. Personnummer får ytterligare ett krypteringslager ovanpå det. Åtkomsten är avgränsad: ett space når bara sina egna uppgifter, ett lag bara sina, och administrativ åtkomst är begränsad till de få som behöver den. Inloggningsnycklar lagras hashade och byts vid varje användning.

Inget system är perfekt. Inträffar en incident som riskerar dina rättigheter anmäler vi den till tillsynsmyndigheten inom 72 timmar och berättar för dig direkt när reglerna kräver det.

Barn

Cupify-konton är till för vuxna som driver turneringar och lag — vi erbjuder inte konton till barn. Många av spelarna som registreras i systemet är däremot minderåriga, och de uppgifterna fylls i av en lagledare under föreningens ansvar, inte samlas in från barnet.

Cookies

För vad Cupify specifikt lagrar på din enhet, se cookiepolicyn. Den genereras från samma register som applikationen använder och listar varje cookie med namn, ändamål och lagringstid — och låter dig ändra ditt svar när som helst.

Ändringar i den här policyn

När vi ändrar hur vi hanterar uppgifter ändrar vi den här sidan och uppdaterar datumet högst upp. Påverkar en ändring dig i sak säger vi till, i stället för att hoppas att du märker det.

Kontakt

Frågor om integritet, eller en begäran om dina uppgifter, går till [email protected] så svarar vi. Bolagets registeruppgifter och eventuell dataskyddskontakt kommer att anges här.