Integritetspolicy

1. Personuppgiftsansvarig

Elivra AB (org.nr 559545-8141) ansvarar för behandlingen av dina personuppgifter i samband med Elivras tjänster, bland annat SamtalsVakt, WalkGuard och Elivra LINK.

Kontakt: privacy@elivra.ai

2. Vilka uppgifter samlar vi in?

2.1 Kontouppgifter

Beroende på vilken Elivra-tjänst du använder behandlar vi namn, verifierat telefonnummer och, när det behövs för en betald tjänst, e-postadress, faktureringsuppgifter, abonnemang och betalningsstatus. Elivra LINK är kostnadsfri och har ingen betalning eller prenumeration i appen.

2.2 Tekniska uppgifter

För att tjänsten ska fungera behandlar vi appinstallationens endpoint-ID, push-token, plattform, operativsystem, appversion och begränsade tekniska status- och korrelationsuppgifter. Behörighet, produktomfattning, relation och sessionsåtkomst beslutas av Elivras server och hämtas efter autentisering. Appen får inte själv välja mottagare, rum, medieserver eller åtkomstuppgifter.

2.3 SamtalsVakt — samtalsdata

Viktig princip för SamtalsVakt: All röstanalys av det skyddade telefonsamtalet sker lokalt på din enhet. Elivra har inte åtkomst till samtalets ljudinnehåll.

• Samtalslogg (tid, varaktighet, riskbedömning) — lagras enbart lokalt på din enhet
• Ingen röstdata, transkribering eller samtalsinspelning lämnar enheten
• SamtalsVakt-trafikmetadata — för ett skyddat samtal behandlar vi de samtals- och trafikmetadata som behövs för att leverera och driva tjänsten, verifiera samtalsvägen, felsöka och återställa tjänsten, utreda säkerhetsincidenter samt stämma av teletrafik och leverantörskostnader. Det kan omfatta telefonnummer, tidpunkt, varaktighet, samtalsriktning, teknisk routing och felkoder. Samtalsljud ingår inte i dessa poster.
• Frivillig samtalsdiagnostik — du kan via "Skicka till support"-knappen i appen frivilligt ladda upp en teknisk samtalslogg för felsökning. Den kan innehålla metadata, risknivåer och tekniska räknare, men ingen ljudinspelning eller transkribering.

2.4 SamtalsVakt — SMS-data (om SMS-skydd är aktiverat)

• SMS-filtrering sker lokalt via iOS Message Filter Extension
• Ingen SMS-text skickas till våra servrar
• Hotbedömningar lagras lokalt på enheten

2.5 Push-notiser (APNs/FCM)

Elivra använder Apple Push Notification service (APNs) på iOS och Firebase Cloud Messaging (FCM) på Android för att leverera notiser och väcka ett behörigt appflöde. Elivra lagrar enhetens push-token så länge endpointen är aktiv.

SamtalsVakt på Android (FCM): En begränsad wake-signal kan väcka den skyddade inkommande samtalsvägen. Samtalsljud skickas inte via FCM.

WalkGuard på Android (FCM): En begränsad wake- eller notissignal kan innehålla en ogenomskinlig händelse- eller korrelationsidentifierare, produkt, händelse-id, larmnivå och den begränsade presentation som behövs för notisen. Samtalsljud, larmljud och Health Connect-data skickas inte via FCM.

För Elivra LINK är push en väcknings- och korrelationssignal. Den kan innehålla en ogenomskinlig händelse- eller sessionsidentifierare och den begränsade text som behövs för att visa en notis. Push är aldrig källa till behörighet och innehåller inte medieadress, rumsnamn, samtalsbehörighet, Safety-innehåll eller exakt position. Appen hämtar tillåten information från Elivras server efter autentisering och kontroll av relation, samtycke och förmåga.

Apple och Google kan behandla push-token, leveransstatus, tidpunkt och det begränsade notisinnehållet för att utföra leveransen. Push-token tas bort eller inaktiveras när endpointen eller kontot raderas och kan även upphöra att gälla när appen avinstalleras.

2.6 Supportärenden

När du själv väljer Elivra Support i appen eller kontaktar oss via e-post skapas ett supportärende. Vi behandlar kategori, rubrik, beskrivning och de bilagor du själv väljer att skicka.

LINK bifogar automatiskt en begränsad produktdiagnostik för att supporten ska kunna förstå felet: appversion, plattform och operativsystem, push- och transportstatus, aktuell eller nylig uppdragskorrelation, Safety-/Följ mig-status samt intern samtals- och sessionsstatus när det är relevant. Rapporten innehåller inte samtalsljud, inloggningsuppgifter, kortlivade sessionsbehörigheter, rumsnamn, exakt Safety-innehåll eller onödiga personuppgifter.

Supportdiagnostik kan innehålla appversion, plattform, ärende- eller request-id, tekniska räknare, push- och leveransresultat, käll-IP samt resultat av support- och återställningsåtgärder. Behöriga administrativa supportåtgärder och åtkomst till ett ärende loggas. Åtkomst begränsas till behörig support och drift.

Uppgifterna används för det enskilda ärendet och, efter minimering eller irreversibel anonymisering när identifiering inte längre behövs, för teknisk kvalitet och tillförlitlighet. Uppgifter som faktiskt utgör bokföringsunderlag och omfattas av lagkrav hanteras separat.

2.7 Elivra LINK

Elivra LINK är en kostnadsfri mottagarapp. Användaren anger namn och verifierar sitt eget telefonnummer med EVN. LINK-profilen kan finnas utan en inbjudan.

En annan Elivra-användare kan ange telefonnumret för att bjuda in LINK-användaren till en relation. Inbjudan ger ingen åtkomst förrän LINK-användaren uttryckligen har accepterat den. Elivras server äger relationen, samtycket och de avgränsade förmågor som hör till den. En LINK-användare kan ha flera relationer och kan lämna en relation när som helst.

Efter godkännande kan LINK, när den aktuella förmågan ingår, visa R2/R3-händelser, Safety-information och en aktiv Följ mig-delning. Exakt position kommer från den skyddade personens uttryckliga delning eller larmflöde och visas endast för en autentiserad och behörig LINK-relation. LINK samlar inte in eller skickar LINK-telefonens egen bakgrundsposition.

Interna Elivra-samtal använder LiveKit/WebRTC. Elivras server kontrollerar relation och behörighet, skapar eller ansluter rätt session och utfärdar kortlivade deltagarbehörigheter. Röstmedia överförs krypterat i realtid och spelas inte in eller lagras av LINK i denna version. Begränsade tekniska sessionshändelser kan behandlas för leverans, säkerhet, avslut och felsökning.

LINK innehåller inga annonser och Elivra använder inte LINK-data för spårning eller försäljning till datamäklare.

2.8 SamtalsVakt — inkommande telefontrafik

Det här avsnittet gäller SamtalsVakt och inte interna samtal i Elivra LINK. SamtalsVakt kan ta emot vidarekopplad inkommande telefontrafik genom Elivras telefonileverantör. Nödvändiga tekniska samtalsmetadata behandlas för leverans, säkerhet, drift och felsökning enligt SamtalsVakts produktvillkor. LINKs interna samtal använder den separata LiveKit/WebRTC-lösning som beskrivs i avsnitt 2.7.

2.9 WalkGuard — plats, rörelse och rundhistorik

WalkGuard använder plats- och rörelsedata när du själv startar en skyddad promenad eller joggning, väljer en destination, sparar en plats eller utlöser ett larm. Kontinuerlig WalkGuard-positionsbehandling ska inte pågå när ingen skyddad runda är aktiv.

• Exakt position, noggrannhet och i förekommande fall höjd används för karta, navigering, rutt- och riskinformation, säkerhetsstatus och hjälp vid en allvarlig händelse. Under en aktiv runda skickas återkommande säkerhetsstatus med position krypterat till Elivras WalkGuard-system.
• Vald destination och nödvändiga ruttpunkter skickas till Elivras ruttjänst för att beräkna och följa rutten.
• Steg, rörelsehändelser, aktivitetstyp, tid och sträcka används för rundstatistik och WalkGuards säkerhetsfunktioner.
• På Android sparas avslutade rundor lokalt och krypterat med aktivitetstyp, start- och sluttid, steg, sträcka och en filtrerad GPS-rutt. Rundhistoriken laddas inte automatiskt upp som historik till Elivra.
• Du kan radera en lokal runda i appen. Lokala rundor försvinner även när appens data raderas eller appen avinstalleras.
• Positionsdata i WalkGuards återkommande säkerhetsstatus raderas normalt senast efter 7 dagar. Tekniska sessions- och riskloggar kan sparas i upp till 90 dagar för säkerhet, felsökning och incidentuppföljning.
• Plats eller larmstatus delas med en LINK-kontakt endast när du har valt en accepterad kontakt och aktiverat den aktuella delningen eller när det uttryckligen ingår i det valda larmflödet.

2.10 WalkGuard — mikrofon och larmljudklipp

När en skyddad runda är aktiv kan WalkGuard använda mikrofonen för lokal säkerhetsanalys. Ljudet behandlas normalt på telefonen i en kort, rullande minnesbuffert och sparas inte som en kontinuerlig inspelning.

• Inget råljud lämnar telefonen utan att du först har aktiverat inställningen för larmljudklipp.
• Om samtycket är aktivt kan ett begränsat ljudklipp skickas vid ett allvarligt larm. Vid högsta larmnivån omfattar klippet högst 30 sekunder före och 30 sekunder efter händelsen.
• Klippet överförs krypterat och lagras krypterat i WalkGuard-systemet. Normal maximal lagringstid är 24 timmar, om det inte finns ett särskilt rättsligt krav att tillfälligt bevara materialet. Du kan radera klippet tidigare i appen.
• Klipp kan ses av kontoinnehavaren och av en uttryckligen behörig LINK-kontakt. Eventuell personalåtkomst kräver ett godkänt, tidsbegränsat och loggat behörighetsflöde.
• Du kan när som helst återkalla samtycket i WalkGuards inställningar. Återkallelsen stoppar nya uppladdningar men raderar inte automatiskt ett klipp som redan har skickats; det kan raderas separat.

2.11 WalkGuard — Health Connect på Android

Health Connect är en frivillig träningslogg och används inte som medicinsk funktion eller som underlag för WalkGuards larm, riskbedömning eller hjälpflöde.

• Efter en avslutad runda kan du manuellt välja att skriva träningspass, rutt, steg och sträcka till Health Connect.
• WalkGuard begär endast skrivbehörighet för dessa datatyper och läser ingen data från Health Connect.
• Ingen automatisk export sker. Health Connect-data skickas inte till Elivras servrar, LINK-kontakter, annonsörer eller datamäklare.
• Den exporterade kopian hanteras på din Android-enhet enligt dina Health Connect-inställningar. Om du raderar WalkGuards lokala runda eller ditt Elivra-konto måste en redan exporterad kopia hanteras separat i Health Connect.

3. Varför behandlar vi dina uppgifter?

• Fullgörande av avtal (Art. 6.1 b GDPR) — För att tillhandahålla den Elivra-tjänst du har aktiverat, hantera ditt konto och abonnemang samt leverera, underhålla, felsöka eller återställa din tjänst
• Samtycke (Art. 6.1 a GDPR) — För frivilliga funktioner som larmljudklipp, Health Connect-export och särskilt vald delning med LINK-kontakter
• Berättigat intresse (Art. 6.1 f GDPR) — För säkerhet, incidentutredning, teknisk kvalitet och tillförlitlighet samt avstämning av teletrafik och leverantörskostnader efter dokumenterad nödvändighets- och intresseavvägning
• Rättslig förpliktelse (Art. 6.1 c GDPR) — Endast för uppgifter som faktiskt omfattas av ett tillämpligt lagkrav

4. Vem delar vi uppgifter med?

• Stripe — Betalningshantering (Stripe Inc., USA, EU SCC)
• Apple (APNs) — Pushleverans på iOS: push-token, leveransstatus, tidpunkt och begränsat notis-/väckningsinnehåll.
• Google (FCM) — Pushleverans på Android: push-token, leveransstatus, tidpunkt och begränsat notis-/väckningsinnehåll. Elivra har stängt av annonserings- och analysinsamling i LINK.
• Google (Health Connect) — Tar emot endast de träningsuppgifter du manuellt väljer att skriva till Health Connect på Android. WalkGuard läser inte tillbaka uppgifterna.
• Elivras LiveKit/WebRTC-infrastruktur — Realtidsmedia och teknisk sessionshantering för behöriga interna Elivra-samtal. Samtalsljud spelas inte in eller lagras i denna version.
• Elivras telefonileverantör — Används för EVN-verifiering och, när det är relevant, SamtalsVakts inkommande telefontrafik. Den används inte som transport för LINKs interna Elivra-samtal.
• Loopia — DNS och e-postleverans för supportadresser.
• Fortnox — Bokföringssystem för fakturor (manuell CSV-export)

Elivra säljer aldrig personuppgifter. När en användare uttryckligen accepterar en relation och delar information med sin LINK-kontakt är överföringen användarstyrd och begränsad till den relation och förmåga som Elivras server har godkänt.

5. Var lagras uppgifterna?

Kontodata och WalkGuards serverdata lagras på servrar i Sverige. Betalningsdata hanteras av Stripe inom EU/EES. Push-tokens skickas till Apple/Google för leverans av notifikationer. WalkGuards lokala rundhistorik och Health Connect-data ligger på användarens Android-enhet, om användaren inte själv väljer en uttrycklig överföring som beskrivs ovan.

LINKs konto-, relations-, samtyckes-, händelse- och sessionsmetadata lagras i Elivras system i Sverige. Krypterad Safety- och Följ mig-information hämtas endast inom en behörig relation. Intern samtalsmedia överförs krypterat i realtid genom Elivras LiveKit/WebRTC-infrastruktur och lagras inte som inspelning i denna version. Pushleverans behandlas av Apple eller Google enligt respektive leverantörs villkor.

6. Hur länge sparar vi dina uppgifter?

Tidsperioderna 12 och 24 månader nedan är normala obligatoriska reviewpunkter. De är inte automatiska raderingsdatum eller ovillkorliga maximala lagringstider.

• Kontodata — Så länge du har ett aktivt abonnemang, plus 30 dagar efter avslut
• Bokföringsunderlag — Uppgifter som faktiskt utgör räkenskapsinformation sparas enligt tillämpliga lagkrav. En fullständig rå CDR blir inte automatiskt sjuårigt bokföringsunderlag.
• Samtalslogg — Lagras enbart lokalt på din enhet, raderas vid avinstallation
• Identifierbar rå CDR för SamtalsVakt — Normal obligatorisk review senast 12 månader efter samtalet.
• Frivillig identifierbar samtalsdiagnostik — Normal obligatorisk review senast 12 månader efter uppladdningen eller senaste aktivitet i det relaterade ärendet, beroende på vilket som inträffar sist.
• Rutinmässig identifierbar supportdiagnostik — Normal obligatorisk review senast 24 månader efter händelsen eller senaste aktivitet i det relaterade ärendet, beroende på vilket som inträffar sist.
• Fortsatt identifierbar lagring efter en reviewpunkt — Kräver ett konkret och dokumenterat aktuellt support-, säkerhets-, tekniskt, fakturerings-, leverantörs- eller rättsligt behov, begränsad åtkomst och ett nytt reviewdatum. När individkopplingen inte längre behövs raderas, minimeras eller irreversibelt anonymiseras uppgifterna. Pseudonymisering i sig är inte anonymisering.
• WalkGuard-rundhistorik — Lokalt tills du raderar rundan eller appens data
• WalkGuard-position i säkerhetsstatus — Normalt högst 7 dagar
• WalkGuard sessions- och riskloggar — Högst 90 dagar om de inte behöver bevaras för en pågående säkerhets- eller rättslig incident
• WalkGuard larmljudklipp — Normalt högst 24 timmar, eller tidigare om du raderar klippet
• Health Connect — Enligt dina val i Health Connect på Android
• LINK-profil och LINK-relationer — Så länge LINK-profilen eller relationen är aktiv. När användaren väljer Ta bort i LINK tas LINK-profilen och alla relationer där personen är LINK-mottagare bort. Andra Elivra-produktroller och relationer lämnas orörda. Den gemensamma Elivra-personen behålls bara om en annan produkt, relation eller laglig retention fortfarande kräver den; annars raderas eller anonymiseras den.
• Push-endpoint och sessionsbehörighet — Push-endpointen sparas medan installationen är aktiv. Kortlivade samtalsbehörigheter upphör automatiskt. Begränsade tekniska sessionshändelser gallras enligt Elivras säkerhets- och felsökningsregler.
• Interna Elivra-samtal — Samtalsljud spelas inte in eller lagras. Realtidsmedia upphör när samtalet avslutas.
• Pågående ärenden — Uppgifter i ett aktivt support-, säkerhets-, fakturerings-, leverantörs- eller rättsligt ärende får behållas endast så länge det konkreta ändamålet och en tillämplig betalnings-, invändnings- eller tvistperiod kräver det, med återkommande dokumenterad review.

7. Dina rättigheter

Enligt GDPR har du följande rättigheter:

• Rätt till åtkomst (Art. 15) — Begär en kopia av dina personuppgifter
• Rätt till rättelse (Art. 16) — Korrigera felaktiga uppgifter
• Rätt till radering (Art. 17) — Begär att dina uppgifter raderas
• Rätt till dataportabilitet (Art. 20) — Exportera dina uppgifter som JSON
• Rätt att invända (Art. 21) — Invända mot viss behandling

Du kan utöva dessa rättigheter direkt i appen (Profil → Integritet) eller genom att kontakta oss.

8. Så här tar du bort LINK

I Elivra LINK går du till Inställningar → Ta bort LINK. Appen visar bekräftelsen: ”Din LINK-profil och dina LINK-relationer tas bort”. Efter din bekräftelse skickar appen en autentiserad, produktavgränsad begäran.

Din LINK-profil, LINK-appens aktiva endpoint- och sessionsbehörigheter samt alla relationer där du är LINK-mottagare tas bort. En annan Elivra-produkt, en annan produktroll eller en relation som inte bygger på din LINK-mottagarroll tas inte bort av detta val.

Därefter kontrollerar Elivra om den gemensamma verifierade personen fortfarande behövs av någon annan Elivra-produkt, relation eller laglig retention. Om den fortfarande behövs behålls endast de uppgifter som krävs för det ändamålet. Om inget sådant behov finns raderas eller anonymiseras även personen.

Uppgifter som Elivra måste bevara enligt bokföringsregler, rättslig förpliktelse eller ett pågående rättsligt eller säkerhetsrelaterat ärende undantas endast i den omfattning och under den tid som krävs. De används inte för fortsatt LINK-behörighet.

Du kan också begära radering utan appen genom att skriva till privacy@elivra.ai från en adress eller med uppgifter som gör att Elivra säkert kan verifiera din identitet. Ange att begäran gäller Elivra LINK. Elivra återkommer om ytterligare identitetskontroll krävs.

Lokala appdata kan tas bort genom telefonens appinställningar eller genom att avinstallera appen. En avinstallation i sig tar inte bort den serverlagrade LINK-profilen eller LINK-relationerna; använd funktionen i appen eller kontakta privacy@elivra.ai.

Övriga Elivra-tjänster

För SamtalsVakt går du till Profil → Radera konto/personuppgifter → Radera och säg upp. Kontoborttagning återkallar inloggnings-, push- och enhetsuppgifter och raderar eller anonymiserar direkta kontouppgifter utan onödigt dröjsmål. Uppgifter behålls endast om och så länge ett konkret lagkrav, olöst support-, säkerhets- eller faktureringsärende eller rättsligt anspråk fortfarande kräver det. Åtkomsten begränsas och uppgifterna raderas eller anonymiseras när behovet upphör.

För WalkGuard använder du appens kontoinställningar. I WalkGuard kan du dessutom radera enskilda lokala rundor och larmljudklipp. En redan exporterad Health Connect-kopia hanteras separat i Health Connect.

Fakturor och betalningsreferenser som måste sparas enligt lag behålls i anonymiserad eller bokföringsnödvändig form.

9. Cookies

Onboarding-sidan använder inga cookies. Betalningssidan (Stripe) kan använda cookies for bedrägeriförebyggande — se Stripes integritetspolicy.

10. Ändringar i policyn

Vi meddelar väsentliga ändringar via e-post och i appen minst 30 dagar i förväg.