Integritetspolicy

1. Om denna policy

Fritidsforum värnar om din personliga integritet. Den här integritetspolicyn beskriver hur vi behandlar personuppgifter i riksförbundets verksamhet: vilka uppgifter vi samlar in, varför, med vilket lagligt stöd, hur länge vi sparar dem och vilka rättigheter du har. Policyn riktar sig till dig som är medlem eller kontaktperson i en medlemsförening, deltar i våra aktiviteter, är anställd eller förtroendevald, prenumererar på vårt nyhetsbrev eller besöker vår webbplats.

Vi behandlar alltid personuppgifter i enlighet med EU:s dataskyddsförordning (GDPR) och kompletterande svensk lagstiftning, och vi följer Integritetsskyddsmyndighetens (IMY) vägledning för föreningar. Vi säljer aldrig dina personuppgifter vidare.

2. Personuppgiftsansvarig och kontakt

Personuppgiftsansvarig för den behandling som beskrivs i denna policy är Fritidsforum – Riksförbundet Sveriges fritidsgårdar och mötesplatser, org.nr 802003-6391, Industrigatan 4a, 112 46 Stockholm.

Har du frågor om hur vi behandlar dina personuppgifter, eller vill du utöva någon av dina rättigheter, kontaktar du kansliet på info@fritidsforum.se. Vi omfattas inte av kravet på dataskyddsombud och har därför inte utsett något. Kansliet är kontaktpunkt för alla dataskyddsfrågor.

3. Ansvarsfördelning mellan riksförbundet och medlemsföreningarna

Fritidsforum är ett riksförbund vars medlemmar är föreningar, mötesplatser och gårdar runt om i landet. Ansvaret för personuppgifter är fördelat så här:

• Varje medlemsförening är själv personuppgiftsansvarig för sina medlemmars och besökares personuppgifter. Det gäller även när föreningen registrerar sina medlemmar i medlemssystemet MyClub, vilket sker enligt föreningens egna avtal och åtaganden enligt GDPR.
• Riksförbundet är personuppgiftsansvarigt för den behandling som sker på förbundsnivå. Hit hör registret över medlemsföreningar och deras kontaktpersoner, anmälningar till förbundets utbildningar och arrangemang samt förbundets kommunikation.
• Riksförbundet behandlar också uppgifter ur föreningarnas medlemslistor i MyClub. Det gör vi med stöd av medlemsavtalet med föreningen och vårt berättigade intresse av att administrera förbundet, samt för att kunna söka och redovisa statsbidrag, till exempel det bidrag som MUCF fördelar. För bidragsdelen är grunden uppgift av allmänt intresse och rättslig förpliktelse.

4. Vilka personuppgifter behandlar vi, varför och med vilket stöd?

Nedan beskrivs våra behandlingar per grupp av registrerade. I enlighet med IMY:s och föreningslivets praxis använder vi i första hand andra rättsliga grunder än samtycke (avtal, rättslig förpliktelse, allmänt intresse och berättigat intresse) och ber om samtycke endast där det verkligen behövs, till exempel för känsliga uppgifter, nyhetsbrev till personer utanför medlemskretsen och viss bildpublicering.

Vissa uppgifter är nödvändiga för att vi ska kunna fullgöra ett avtal eller en lagstadgad skyldighet, till exempel namn och kontaktuppgifter vid anmälan till ett arrangemang eller fakturauppgifter för bokföringen. Lämnar du inte dessa uppgifter kan vi inte behandla din anmälan eller fullgöra avtalet. Uppgifter som lämnas med stöd av samtycke, till exempel om specialkost, är alltid frivilliga, men lämnar du dem inte kan vi förstås inte ta hänsyn till behoven.

4.1 Medlemsföreningar, deras företrädare och medlemmar

4.2 Deltagare i utbildningar, konferenser, läger och projekt

4.3 Anställda, förtroendevalda och jobbsökande

För anställda vid kansliet behandlas personuppgifter för att administrera anställningen: lön, skatt, pension, försäkring, arbetsmiljö och behörigheter i våra IT-system. Behandlingen beskrivs närmare i anställningsavtalet, som bygger på arbetsgivarorganisationen Fremias mall med en egen bilaga om personuppgiftsbehandling. Rättsliga grunder är anställningsavtalet, rättsliga förpliktelser (bland annat bokförings-, skatte- och arbetsrättslig lagstiftning) samt kollektivavtal. Löne- och bokföringsunderlag sparas i 7 år efter utgången av det kalenderår då räkenskapsåret avslutades (bokföringslagen). Övriga uppgifter gallras när anställningen upphört och eventuella rättsliga krav preskriberats.

För förbundsstyrelse och andra förtroendevalda behandlas namn, kontaktuppgifter, roll och i förekommande fall arvodesunderlag, med stöd av det förtroendeuppdrag som följer av stadgarna samt bokföringslagen. Uppgifter om jobbsökande behandlas med stöd av berättigat intresse under rekryteringen och sparas därefter i högst 2 år (med hänsyn till diskrimineringslagen), om inte anställning sker.

4.4 Prenumeranter på nyhetsbrev och övriga kontakter

4.5 Uppgifter som vi får från någon annan än dig

I vissa fall får vi dina personuppgifter från någon annan än dig själv. Din förening kan registrera dig i MyClub eller anmäla dig till ett arrangemang, och en vårdnadshavare kan anmäla sitt barn till en aktivitet. Vid anmälan av barn behandlar vi också vårdnadshavarens namn och kontaktuppgifter, med stöd av vårt berättigade intresse av att kunna administrera aktiviteten och nå vårdnadshavaren. När vi får uppgifter från annan källa informerar vi dig om behandlingen senast inom en månad, normalt genom att denna policy delas i första utskicket eller bekräftelsen. Vi ber också medlemsföreningarna att informera sina medlemmar om den behandling som sker på förbundsnivå.

5. Barn och unga under 18 år

Fritidsforums verksamhet riktar sig i hög grad till barn och unga, och vi behandlar regelbundet personuppgifter om personer under 18 år, till exempel vid anmälningar till läger, utbildningar och ungdomsutbyten. Barns personuppgifter är enligt GDPR särskilt skyddsvärda, och vi iakttar därför särskild försiktighet:

• Vi samlar bara in de uppgifter som behövs för aktiviteten och gallrar dem så snart de inte längre behövs.
• När behandling bygger på samtycke gör vi en mognadsbedömning utifrån barnets ålder och vad saken gäller. För yngre barn är huvudregeln att vårdnadshavaren samtycker eller godkänner barnets samtycke. För digitala tjänster som riktas direkt till barn (informationssamhällets tjänster) gäller dataskyddslagens fasta gräns: barn som fyllt 13 år kan samtycka själva, för yngre krävs vårdnadshavarens medverkan. Vid läger och resor involverar vi som regel vårdnadshavare även för äldre ungdomar.
• Vi är särskilt restriktiva med att publicera bilder och andra uppgifter om barn, se avsnitt 7.
• Information om personuppgiftsbehandling som riktas till barn och unga formuleras så att de kan förstå den.

6. Känsliga personuppgifter

Vi behandlar som utgångspunkt inga känsliga personuppgifter (till exempel uppgifter om hälsa, religion eller politisk åsikt). Två undantag finns. Det första är uppgifter som du själv lämnar i samband med arrangemang, till exempel allergier, specialkost eller behov av tillgänglighetsanpassning. Sådana uppgifter behandlas endast med ditt uttryckliga samtycke, delas bara med dem som behöver dem för att genomföra arrangemanget (till exempel kursgård eller kök) och raderas direkt efter arrangemanget. Det andra är uppgifter som ingår i personaladministrationen, till exempel sjukfrånvaro, rehabilitering eller fackligt medlemskap vid avgiftsdragning. De behandlas med stöd av arbetsrättslig lagstiftning och kollektivavtal (artikel 9.2 b GDPR), inte samtycke.

7. Foton och filmer

Vi fotograferar och filmar ibland vid våra arrangemang för att dokumentera och berätta om verksamheten, till exempel på webbplatsen, i nyhetsbrev och i sociala medier. Så här hanterar vi det:

• Vid arrangemang informerar vi i förväg, i inbjudan eller på plats, om att fotografering kan förekomma och för vilka ändamål bilderna används.
• För översiktsbilder från större sammankomster stödjer vi oss på en intresseavvägning, där vårt berättigade intresse är att visa och sprida kunskap om verksamheten. Du kan alltid säga till fotografen eller arrangören om du inte vill vara med på bild, och vi respekterar det.
• För porträttbilder och bilder där enskilda personer står i fokus ber vi om samtycke före publicering.
• För bilder där barn och unga under 18 år kan identifieras ber vi alltid om samtycke: från vårdnadshavare för barn och unga under 16 år, och från den unga själv från 16 års ålder.
• Vill du att en publicerad bild tas bort kontaktar du kansliet, så tar vi bort den så snart det är möjligt.

8. Vilka delar vi personuppgifter med?

Vi lämnar aldrig ut personuppgifter till utomstående för marknadsföring och vi säljer aldrig uppgifter. Personuppgifter delas endast med:

• Personuppgiftsbiträden, det vill säga leverantörer som behandlar uppgifter för vår räkning och enligt våra instruktioner. Med samtliga biträden ska personuppgiftsbiträdesavtal finnas. Våra biträden är: MyClub (medlemssystem), Fortnox (ekonomi och lön), Telia (Microsoft 365 med SharePoint, Outlook och Teams för dokumenthantering, e-post och digitala möten; Telia är vårt personuppgiftsbiträde och Microsoft är Telias underbiträde), Tally (anmälningsformulär), Mailchimp (nyhetsbrev) och Loopia (webbhotell och drift av fritidsforum.se). För telefoni och abonnemang är Telia i stället självständigt personuppgiftsansvarig. En fullständig förteckning kan begäras från kansliet.
• Myndigheter och bidragsgivare, till exempel MUCF och Skatteverket, när vi är skyldiga att göra det enligt lag eller bidragsvillkor.
• Samarbetsparter vid arrangemang, till exempel kursgårdar och researrangörer, i den utsträckning som krävs för att genomföra arrangemanget.

9. Överföring till länder utanför EU/EES

Vi strävar efter att personuppgifter ska behandlas inom EU/EES, och våra huvudsakliga system lagrar uppgifter inom EU: Fortnox i Sverige, Loopia i Sverige, Tally i Belgien, Microsoft 365 inom EU (EU Data Boundary) och MyClub hos AWS inom EU. Två undantag finns. Nyhetsbrevstjänsten Mailchimp lagrar prenumerantuppgifter i USA; Mailchimp är certifierat enligt EU-US Data Privacy Framework och tillämpar dessutom EU-kommissionens standardavtalsklausuler som reserv. Därutöver kan vissa av våra övriga leverantörers stödfunktioner, till exempel support- och utskicksverktyg, innebära att uppgifter i begränsad omfattning överförs till länder utanför EU/EES, främst USA.

När sådan överföring sker säkerställer vi att det finns stöd i GDPR, i första hand EU-kommissionens standardavtalsklausuler eller överföring till mottagare certifierade enligt EU-US Data Privacy Framework. Vi följer utvecklingen kring ramverkets giltighet och har beredskap att byta lösning om rättsläget ändras. Kontakta kansliet om du vill få en kopia av de skyddsåtgärder som används eller information om var de finns tillgängliga.

10. Hur länge sparar vi personuppgifter?

Vi sparar aldrig personuppgifter längre än vad som behövs för ändamålet. Därefter raderas eller avidentifieras de. Utöver de tider som anges i avsnitt 4 gäller sammanfattningsvis:

11. Hur skyddar vi dina uppgifter?

Vi arbetar löpande med tekniska och organisatoriska säkerhetsåtgärder: behörighetsstyrning så att endast de som behöver uppgifterna har tillgång till dem, säker inloggning i våra system, krypterad lagring hos våra leverantörer samt interna rutiner för gallring. Vid en personuppgiftsincident som medför risk för de registrerade anmäler vi den till IMY inom 72 timmar och informerar berörda personer när så krävs.

12. Dina rättigheter

Enligt GDPR har du rätt att:

• få information om och tillgång till de personuppgifter vi behandlar om dig (registerutdrag),
• få felaktiga uppgifter rättade,
• få dina uppgifter raderade, till exempel när de inte längre behövs för ändamålet,
• få behandlingen begränsad i vissa fall,
• få ut dina uppgifter i ett strukturerat, maskinläsbart format och överföra dem till annan ansvarig (dataportabilitet),
• invända mot behandling som stödjer sig på berättigat intresse, och alltid invända mot direktmarknadsföring,
• när som helst återkalla ett samtycke, utan att det påverkar lagligheten av behandlingen innan återkallelsen.

För att utöva dina rättigheter kontaktar du kansliet på info@fritidsforum.se. Vi besvarar din begäran utan onödigt dröjsmål och som huvudregel senast inom en månad, kostnadsfritt. Är begäran omfattande eller komplicerad kan tiden enligt GDPR förlängas med upp till två månader, och vi meddelar dig i så fall inom den första månaden. Vi behandlar inte personuppgifter för automatiserat beslutsfattande eller profilering.

13. Klagomål

Om du anser att vi behandlar dina personuppgifter felaktigt vill vi gärna att du i första hand hör av dig till oss, så att vi kan rätta till det. Du har också alltid rätt att lämna klagomål till tillsynsmyndigheten: Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy@imy.se, www.imy.se.

14. Kakor och lagring i din webbläsare

Fritidsforum.se använder inga kakor (cookies).

Vi har ingen besöksstatistik, inga analysverktyg och inga spårningspixlar från sociala medier. Vi hämtar inte heller typsnitt eller andra filer från utomstående leverantörer. Därför möts du inte av någon kakruta när du besöker webbplatsen: det finns ingenting att samtycka till.

Två saker sparas ändå tillfälligt, och du ska veta om dem.

Verktyget för bildandemöte. Använder du vårt verktyg för att hålla ett bildandemöte sparas det du fyller i tillfälligt i din egen webbläsare, så att uppgifterna inte går förlorade om sidan laddas om mitt under mötet. Uppgifterna lämnar aldrig din enhet: de skickas varken till oss eller till någon annan. De raderas när du stänger webbläsarfliken, och du kan radera dem direkt med knappen ”Rensa och börja om”. Använder du en delad dator rekommenderar vi att du gör det innan du lämnar den.

Våra formulär. Anmälningar och andra formulär visas med hjälp av tjänsten Tally, som drivs av Tally BV i Belgien. Formuläret laddas från Tallys servrar och behandlingen sker inom EU. Tally sätter inga kakor – varken när formuläret visas eller när du skickar in det.

Däremot sparar formuläret två saker i din webbläsare medan du fyller i:

• Dina svar under tiden du fyller i, så att du inte tappar dem om något avbryter. Det raderas när du stänger webbläsarfliken.
• Telefonnummer och landskod, i formulär som har ett telefonfält. Det sparas så att fältet kan fyllas i åt dig nästa gång, och ligger kvar tills du rensar webbplatsdata för tally.so i din webbläsare. Uppgiften stannar på din enhet.

När du skickar in formuläret förs uppgifterna över till Tally, som behandlar dem för vår räkning enligt ett personuppgiftsbiträdesavtal. Hur länge de sparas framgår av avsnitt 10.

Skulle vi i framtiden införa besöksstatistik eller något annat som kräver ditt samtycke frågar vi dig först, och då uppdateras denna information.

15. Ändringar i denna policy

Policyn fastställs av förbundsstyrelsen och ses över regelbundet, minst en gång per mandatperiod eller när verksamheten eller lagstiftningen ändras. Den senaste versionen finns alltid på fritidsforum.se. Vid väsentliga ändringar informerar vi medlemsföreningar och prenumeranter särskilt.

Fastställd av förbundsstyrelsen den 15 augusti 2026. Version 1.0.