Detta är en översättning. Om den skiljer sig från den engelska texten gäller den engelska texten. Avsnitten för användare i USA finns endast på engelska.
Dessa villkor beskriver hur screenme.science behandlar personuppgifter för en organisations räkning som driver ett screeningprogram. De kompletterar vår Integritetspolicy och gäller när en deltagare deltar via en arbetsgivare, skola, förskola, ett universitet, en kurs eller ett annat program. Tillsammans med Villkor för samordnare utgör de personuppgiftsbiträdesavtalet enligt artikel 28 i dataskyddsförordningen (GDPR).
1. Vår roll
När en deltagare deltar via ett program är den organisation som driver programmet personuppgiftsansvarig och bestämmer vilken screening som genomförs och varför. screenme.science är dess personuppgiftsbiträde och behandlar uppgifterna endast enligt dess dokumenterade instruktioner — de inställningar den personuppgiftsansvarige väljer i appen och dessa villkor — om inte lagen kräver något annat, och i så fall informerar vi först den personuppgiftsansvarige, om inte lagen förbjuder det. Vi underrättar den personuppgiftsansvarige om vi anser att en instruktion strider mot dataskyddslagstiftningen.
När en enskild person använder screenme.science på egen hand, utan att tillhöra ett program, är screenme.science personuppgiftsansvarig och vår Integritetspolicy gäller fullt ut i stället för dessa villkor.
Screeningar som en besökare betalar via en besökarlänk behandlas inte för den personuppgiftsansvariges räkning: för dem är vi personuppgiftsansvariga, så som beskrivs i vår integritetspolicy.
2. Vad vi behandlar och varför
Kategorier av uppgifter: kontouppgifter (namn, e-post); screeninginspelningen; stillbilder som tagits ur den, inklusive deltagarens ansikte och testet; det referensfotografi som deltagaren har registrerat; testresultatet och utfallet; samt tekniska uppgifter och loggdata.
Kategorier av registrerade: deltagare som registrerats i den personuppgiftsansvariges program och de samordnare som administrerar det.
Ändamål: att verifiera att en screening utfördes av den inbjudna deltagaren, att utfärda en tidsstämplad registrering och att göra programmets status tillgänglig för dess samordnare.
Särskilda kategorier av personuppgifter: ansiktsjämförelsen behandlar biometriska uppgifter i syfte att entydigt identifiera en person, och screeningresultat är uppgifter om hälsa.
Varaktighet: så länge avtalet med den personuppgiftsansvarige löper, samt de lagringstider som anges i avsnitt 7 i vår Integritetspolicy.
För identitetskontrollen före en deltagares första screening: dess resultat, namnet så som det lästs från identitetshandlingen, tidpunkten för kontrollen och kontrolltjänstens referens för den.
3. Samtycke är den personuppgiftsansvariges ansvar
Den personuppgiftsansvarige ansvarar för att fastställa en rättslig grund för den behandling den instruerar om, inklusive att inhämta deltagarens uttryckliga samtycke till ansiktskontrollen enligt artikel 9(2)(a) i dataskyddsförordningen (GDPR), och för att informera deltagarna om den.
När deltagaren är ett barn ansvarar den personuppgiftsansvarige för att inhämta samtycke från vårdnadshavaren och för de arrangemang som kräver att en vuxen är närvarande under screeningen.
Vi ber varje deltagare i appen om samtycke till ansiktsigenkänning, separat från våra Villkor för medlemmar och innan ett ansiktsfoto registreras, och registrerar vilken version av samtyckestexten som visades och när. Deltagaren kan när som helst återkalla samtycket i sin profil. Den registreringen stöder den personuppgiftsansvariges skyldighet; den ersätter den inte.
4. Underbiträden
Den personuppgiftsansvarige ger oss tillstånd att anlita följande underbiträden:
Contabo GmbH — driftar våra servrar och vår databas — serverplats: Frankrike (EU).
Cloudflare R2 (Cloudflare, Inc.) — lagrar inspelningar, stillbilder, ansiktsfoton, intyg och säkerhetskopior — lagringsplats: Europa (regionen Östeuropa); leverantören har sitt säte i USA.
Amazon Web Services (Amazon Rekognition) — jämför ansiktet i en screening med referensfotot och kontrollerar att bilder som visas för andra inte innehåller något ansikte — Frankfurt, Tyskland (EU).
TwelveLabs (Twelve Labs, Inc.) — analyserar screeningvideon för att kontrollera att teststegen har utförts — USA.
OpenRouter, Inc. — vidarebefordrar stillbilder från en screening, samt text, till AI-modeller från Google (Gemini) och OpenAI (GPT) för att kontrollera testkassetten och koden som är tryckt på den, och för att skapa de talade instruktionerna — USA.
Anthropic, PBC (Claude) — bedömer textbeskrivningar av en screening som tagits fram genom videoanalysen och sorterar feedbackmeddelanden — USA.
Didit Identity Spain, S.L. (Barcelona, Spanien; didit.me) — identitetskontroll före en persons första screening: kontrollerar en identitetshandling och en selfie, inklusive en livenesskontroll och en jämförelse av selfien med fotot i handlingen. Behandlingen sker inom EU och eventuellt i andra länder, med lämpliga skyddsåtgärder. Didit sparar bilderna av identitetshandlingen och selfien enligt sina egna lagringsregler; vi sparar endast verifieringsstatus, namnet, tidpunkten för kontrollen och Didit-referensen. Porträttet från handlingen används en gång för jämförelse med referensfotot och sparas inte av oss.
Stripe — betalningar, verifiering av betalkort och utbetalning av provision till samordnare (Stripe Connect); tar inte emot några screeningdata — Irland (EU) och USA.
SendGrid (Twilio Inc.) — skickar inloggningskoder och e-postaviseringar — USA.
Google — inloggning med "Fortsätt med Google", om du använder den — USA. Google Ads-cookies endast om du godkänner dem (avsnitt 13).
Porkbun LLC — vår domän samt vidarebefordran av e-post som du skickar till en @screenme.science-adress — USA.
Telegram — tekniska larm till operatören, som innehåller interna identifierare men inga namn, bilder eller resultat — utanför EES.
Din webbläsares push-tjänst (Google, Mozilla eller Apple) — levererar push-notiser, endast om du slår på dem — utanför EES.
Vi ålägger varje underbiträde dataskyddsförpliktelser som ger minst samma skydd som dessa villkor, och vi förblir ansvariga gentemot den personuppgiftsansvarige för hur de fullgör dem. Vi informerar den personuppgiftsansvarige innan vi lägger till eller byter ut ett underbiträde, och den personuppgiftsansvarige får invända på rimliga dataskyddsgrunder.
När ett underbiträde behandlar uppgifter utanför Europeiska ekonomiska samarbetsområdet sker överföringen med stöd av Europeiska kommissionens standardavtalsklausuler eller en annan överföringsmekanism som erkänns i dataskyddsförordningen (GDPR).
5. Sekretess
Alla som vi ger behörighet att behandla den personuppgiftsansvariges personuppgifter — operatören och varje granskare som arbetar för oss — är bundna av tystnadsplikt, genom avtal eller enligt lag, och behandlar uppgifterna endast enligt den personuppgiftsansvariges instruktioner. Denna skyldighet består även efter att deras arbete för oss har upphört.
6. Tekniska och organisatoriska åtgärder
Vi skyddar personuppgifterna med följande åtgärder, som vi håller uppdaterade:
Kryptering under överföring: varje anslutning till screenme.science och dess API krypteras med TLS. Okrypterade anslutningar omdirigeras, och webbläsare instrueras att endast använda krypterade anslutningar (HSTS).
Kryptering i vila: inspelningar, stillbilder, ansiktsfoton och säkerhetskopior lagras hos vår lagringsleverantör, som krypterar dem i vila.
Inga offentliga medielänkar: inspelningar och bilder är aldrig offentligt tillgängliga. Appen och våra granskare öppnar dem endast via signerade länkar som upphör att gälla efter högst en timme, och för stillbilder efter fem minuter.
Begränsad och loggad åtkomst: endast ett litet antal granskare, som loggar in med ett godkänt Google-konto, kan öppna screeningars mediefiler, och endast för screeningar som behöver granskas av en människa. Varje visning av en ansiktsbild loggas med granskare och tidpunkt, och begäranden om inspelningar registreras i vår servers åtkomstlogg. Samordnare kan inte öppna videon från en screening eller någon bild av en medlems ansikte.
Begränsad databasåtkomst: applikationen använder ett databaskonto som endast kan läsa och skriva poster. Det kan inte ändra databasens struktur eller hantera andra konton.
Säkerhetskopior: databasen säkerhetskopieras varje natt och varje säkerhetskopia kontrolleras. Kopior förvaras på servern, läsbara endast för operatören, och hos vår lagringsleverantör, krypterade i vila.
Inloggning: det finns inga lösenord att stjäla — du loggar in med en engångskod som skickas till din e-post, eller med Google. En inloggning upphör att gälla efter 12 timmar. Antalet förfrågningar är begränsat, och webbplatsen skickar strikta säkerhetsheaders.
Radering: screeningars mediefiler raderas automatiskt enligt schemat i avsnitt 7.
7. Bistånd till den personuppgiftsansvarige
Med hänsyn till behandlingens art bistår vi den personuppgiftsansvarige, genom lämpliga tekniska och organisatoriska åtgärder, med att besvara begäranden från deltagare som utövar sina rättigheter enligt kapitel III i dataskyddsförordningen (GDPR) — till exempel genom att tillhandahålla en export av en deltagares uppgifter, rätta dem eller radera dem enligt den personuppgiftsansvariges instruktion. Om en deltagare kontaktar oss direkt angående uppgifter som vi behandlar för den personuppgiftsansvariges räkning vidarebefordrar vi begäran till den personuppgiftsansvarige utan onödigt dröjsmål och besvarar den inte själva, om inte den personuppgiftsansvarige instruerar oss att göra det.
Vi bistår också den personuppgiftsansvarige, med den information som finns tillgänglig för oss, med att fullgöra dess skyldigheter avseende säkerhet, personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd och förhandssamråd (artiklarna 32–36 i dataskyddsförordningen).
8. Personuppgiftsincidenter
Vi underrättar den personuppgiftsansvarige om en personuppgiftsincident som påverkar dess uppgifter utan onödigt dröjsmål, och senast inom 48 timmar efter att vi fått kännedom om den, via e-post till samordnarkontot. Underrättelsen beskriver, så långt det är känt vid tidpunkten, incidentens art, kategorierna av och det ungefärliga antalet berörda personer och poster, de sannolika konsekvenserna samt de åtgärder som vidtagits eller föreslagits. Vi lämnar ytterligare information när den blir tillgänglig, och vi vidtar de åtgärder som krävs för att begränsa incidenten och dess konsekvenser.
9. Information och granskningar
På begäran ger vi den personuppgiftsansvarige tillgång till den information som behövs för att visa att artikel 28 i dataskyddsförordningen (GDPR) efterlevs, inklusive en aktuell beskrivning av våra tekniska och organisatoriska åtgärder och förteckningen över underbiträden. Den personuppgiftsansvarige kan begära denna dokumentation en gång per år, och därutöver efter en personuppgiftsincident eller när en tillsynsmyndighet kräver det.
Om dokumentationen inte räcker möjliggör vi och bidrar till en granskning, inklusive en inspektion, som utförs av den personuppgiftsansvarige eller av en granskare som denne har gett i uppdrag och som är bunden av tystnadsplikt, med rimligt varsel och utan oproportionerlig störning av tjänsten.
10. Radering och återlämnande vid avtalets slut
När avtalet med den personuppgiftsansvarige upphör raderar vi de personuppgifter vi innehar för dennes räkning, eller återlämnar dem, enligt den personuppgiftsansvariges val, utom när vi enligt lag är skyldiga att spara dem.
Lagringstiderna under avtalets löptid anges i avsnitt 7 i vår Integritetspolicy. En deltagare som återkallar sitt samtycke till ansiktskontrollen får sitt referensfotografi raderat utan att kontot avslutas.
11. Undertecknat avtal
Ett undertecknat personuppgiftsbiträdesavtal enligt artikel 28 i dataskyddsförordningen (GDPR) finns tillgängligt på begäran. Kontakta oss via uppgifterna nedan.
Operatör
screenme.science · E-post: [email protected]
Kontakt
För ett personuppgiftsbiträdesavtal, den dokumentation som beskrivs i avsnitt 9 eller frågor om dessa villkor, kontakta oss på [email protected].
Senast uppdaterad: 10 oktober 2026