Mosaqo och GDPR

01

Ansvarig, biträde och din arbetsyta

Mosaqo drivs av Andrii Petlovanyi, enskild näringsidkare registrerad i Ukraina, som nås på hello@mosaqo.app. Ukraina ligger utanför Europeiska ekonomiska samarbetsområdet, och GDPR gäller här eftersom Mosaqo erbjuder sina tjänster till människor inom det. Vilken roll Mosaqo har enligt GDPR beror på uppgifterna, och det är just den skillnaden som avgör vem en begäran ska gå till.

För ditt eget konto — inloggningsidentitet, faktureringskontakt, supportmeddelanden, sessionsposter för säkerhet — är Mosaqo personuppgiftsansvarig och besvarar begäranden direkt.

För det en arbetsyta lägger i sina koder och samlar in genom dem — formulärsvar, skanningshändelser, uppladdade filer — är arbetsytan ansvarig och Mosaqo dess biträde, som agerar på dokumenterade instruktioner. Har du skannat ett företags QR-kod och vill få dina uppgifter raderade är det företaget som publicerade koden som bestämmer. Mosaqo för begäran vidare till den arbetsytan och hjälper den att svara.

02

Rättsliga grunder för behandling

All användning av personuppgifter kräver en rättslig grund enligt artikel 6. Mosaqo stödjer sig på fyra av dem, och aldrig på berättigat intresse där lagen kräver samtycke.

• Fullgörande av avtal — att skapa ditt konto, lagra arbetsytans innehåll, leverera omdirigeringar och ta fram den statistik arbetsytan har slagit på.
• Berättigade intressen — att hålla tjänsten säker, hindra missbruk av oautentiserade slutpunkter och de driftloggar som krävs för att köra den.
• Samtycke — nyhetsbrevet och allt annat du väljer till. Det kan återkallas när som helst, och ett återkallande gör inte tidigare behandling olaglig.
• Rättslig förpliktelse — uppgifter som skatte-, bokförings- eller brottsutredningsregler kräver att Mosaqo sparar.

03

Dina rättigheter enligt GDPR

De här rättigheterna är dina oavsett om du betalar för Mosaqo, och att utöva dem kostar ingenting.

• Tillgång — en kopia av de personuppgifter som finns om dig och vad de används till.
• Rättelse — korrigering av det som är felaktigt eller ofullständigt.
• Radering — borttagning av dina uppgifter där inget överordnat skäl att behålla dem finns.
• Begränsning — en paus i behandlingen medan en tvist om riktighet eller grund reds ut.
• Dataportabilitet — dina uppgifter i ett strukturerat, maskinläsbart format, eller skickade till en annan leverantör.
• Invändning — ett slut på behandling som vilar på berättigat intresse.
• Återkallat samtycke — för allt du valt till, utan att ange skäl.

04

Automatiserade beslut och profilering

Mosaqo fattar inga automatiserade beslut om dig som får rättsliga eller liknande betydande följder, så rättigheten i artikel 22 uppstår aldrig. Skanningsstatistiken räknar händelser och grupperar dem efter tid, grov region och enhetskategori. Den är inte byggd för att identifiera en person och används inte för att poängsätta, rangordna eller profilera någon.

05

Att göra en begäran

Skriv till hello@mosaqo.app med ämnet ”GDPR request” och ange vilken rättighet du utövar. Mosaqo kan be dig visa att du kontrollerar kontot eller brevlådan i fråga — inte för att försvåra begäran, utan för att lämna personuppgifter till fel person i sig är en incident.

Du får svar inom en månad, som artikel 12 kräver. En ovanligt komplex begäran kan ta upp till två månader till, och då får du veta varför redan inom den första månaden.

06

Personuppgiftsbiträdesavtal

Där din arbetsyta är personuppgiftsansvarig och Mosaqo biträde kräver artikel 28 ett skriftligt avtal mellan er. Mosaqo tillhandahåller ett på begäran: mejla hello@mosaqo.app med ämnet ”DPA” och det juridiska namnet på den part som ska skriva under.

07

Biträden, överföringar och lagringstid

Mosaqo använder ett litet antal leverantörer för att driva produkten: applikations- och databashosting, transaktionsmejl, objektlagring för uppladdade filer och de inloggningsleverantörer du väljer. Var och en är bunden av ett biträdesavtal och hanterar uppgifter bara för sin del av tjänsten. Ingen får personuppgifter för egna syften, och Mosaqo varken säljer personuppgifter eller använder dem för annonsering.

Några av dessa leverantörer arbetar utanför Europeiska ekonomiska samarbetsområdet. Där så sker vilar överföringen på ett beslut om adekvat skyddsnivå från Europeiska kommissionen eller på kommissionens standardavtalsklausuler.

Skanningshändelser raderas när arbetsytans lagringstid löper ut, 90 dagar som standard. Konto- och arbetsytedata finns kvar så länge kontot finns och tas bort när det stängs, utom där en rättslig förpliktelse kräver att en kopia sparas längre.

08

Säkerhet, incidenter och klagomål

Data krypteras under överföring, åtkomsten till produktionssystem är begränsad till de personer som driver dem, och hemligheter förvaras skilt från applikationsdata.

Inträffar en incident som sannolikt hotar dina rättigheter anmäler Mosaqo den till behörig tillsynsmyndighet inom 72 timmar från kännedom, och underrättar berörda direkt när risken för dem är hög.

Är du inte nöjd med hur en begäran hanterades kan du klaga hos dataskyddsmyndigheten i det land där du bor eller arbetar. Du behöver inte vända dig till Mosaqo först, även om det oftast går fortare.