Integritetspolicy

1. Inledning

Denna integritetspolicy förklarar hur Kalmar Nation hanterar dina personuppgifter. Den beskriver vad vi samlar in, varför, hur länge vi lagrar uppgifterna, vem vi delar dem med och vilka rättigheter du har enligt GDPR och svensk dataskyddslagstiftning.

Denna information gäller alla vars uppgifter Kalmar Nation behandlar, inklusive:

potentiella, nuvarande och tidigare medlemmar i Kalmar Nation;
personer som anmäler sig till, bokar, betalar för eller deltar i våra evenemang;
besökare på kalmarnation.nu och personer som kontaktar oss;
prenumeranter på nyhetsbrev och annan frivillig kommunikation;
personer som syns eller hörs på fotografier eller i videoklipp;
frivilliga, valda ämbetsinnehavare och deltagare på evenemang;
leverantörer, entreprenörer, samarbetspartners och betalningsmottagare;
bostadssökande, personer på väntelistan och hyresgäster, där Kalmar Nation är personuppgiftsansvarig; samt
personer som tar initiativ till, nämns i, bevittnar eller på annat sätt deltar i ett ärende som behandlas av socialutskottet.

Om en specifik process har en egen personuppgiftsansvarig, ett eget syfte eller en egen riskprofil, tillhandahålls en kortare information vid tidpunkten för insamlingen av uppgifterna. Detta gäller bostäder, socialutskottets rapporter och andra aktiviteter som väsentligt skiljer sig från den behandling som beskrivs här.

2. Vilka vi är

Personuppgiftsansvarig: Kalmar Nation, organisationsnummer 262000-0931, Biskopsgatan 12, 223 62 Lund, Sverige. Vi är personuppgiftsansvariga för all behandling som beskrivs här, om inte annat anges.

Webbplats: kalmarnation.nu

Kontakt: q@kalmarnation.nu för allmänna frågor; gdpr@kalmarnation.nu för frågor om integritet och förfrågningar om dina uppgifter. Kalmar Nation har inte utsett något dataskyddsombud enligt artikel 37 i GDPR. Den integritetssamordnare som utsetts av seniorskollegiet; tillika styrelsen, är den första kontaktpunkten för alla frågor som rör dataskydd.

Vi säljer inte personuppgifter.

3. Vilka uppgifter vi samlar in, varför och hur länge

Tabellen nedan visar våra huvudsakliga behandlingsaktiviteter, rättsliga grunder och hur länge vi normalt lagrar uppgifter. Vi raderar eller anonymiserar uppgifter tidigare när det är möjligt. Ett pågående klagomål, en incident, en revision, en rättslig skyldighet eller ett krav kan förlänga lagringstiden enligt ett dokumenterat rättsligt bevarande.

  
    
  
     Behandlingsaktivitet och uppgifter 
     Syfte 
     Rättslig grund 
     Standardmässig maximal lagringstid 
  

    Medlemskap: identitets- och kontaktuppgifter, student- och medlemsstatus, avgifts- och betalningsstatus, roller och korrespondens. 
Källor: du, TRF, Studentlund och, i verifierade fall, STUK.CO. 
    Registrera och administrera medlemskap och förmåner; nödvändig kommunikation; styrning, behörighet, åtkomst och säkerhet; redovisning; anspråk.
   
    Art. 6.1 b avtal; 
Art. 6(1)(c) rättslig skyldighet; 
Art. 6(1)(f) berättigade intressen av en effektiv, korrekt och säker administration
 
    Rutinuppgifter: medlemskap + 12 månader. 
Uppgifter om behörighet/tvister: upp till 3 år efter medlemskapets upphörande. 
Bokföringsunderlag: lagstadgad period, normalt 7 år.
  

    Evenemang och betalningar: namn/kontaktuppgifter, bokning, biljett, gäst- och närvarouppgifter, ålder/behörighet vid behov, betalningsstatus, information om avbokning och återbetalning.
    Behandla bokningar och tillhandahålla evenemang; kommunicera väsentlig information; redovisa betalningar; upprätthålla säkerheten; förhindra missbruk; hantera återbetalningar, tvister och anspråk.
    Art. 6.1 a) samtycke; 
Art. 6.1 b avtal/åtgärder före avtalets ingående; 
Art. 6.1 c: redovisningsskyldigheter; 
Artikel 6.1 f: säkerhet, bedrägeribekämpning och skadeanmälningar.
    Driftsdata för engångshändelser: 90 dagar efter händelsen. 
Storaste kroppkakan: 2 år 
Redovisningsunderlag: normalt 7 år. 
  

    Valfria nyhetsbrev och marknadsföring: namn, e-postadress, prenumerationsval och bevis på samtycke. Pronomen krävs inte för prenumeration på nyhetsbrev. 
    Skicka meddelanden som personen har begärt; hantera inställningar; behåll en minimal registerpost efter avregistrering.
Art. 6(1)(a) samtycke. 
Obs: Direktmarknadsföring medför också en ovillkorlig rätt att invända.
    Tills samtycket återkallas. 
Register över avregistreringar: upp till 3 år. 
Bevis på samtycke: under användningstiden och upp till 3 år därefter.
  

    Fotografi och video: bild, röst, information om händelse/sammanhang och publiceringskanal.
    Händelserapport, medlemskommunikation, historisk dokumentation och marknadsföring. Iscensatta eller framträdande marknadsföringsbilder kräver kanalspecifikt samtycke; proportionerliga bilder av folkmassor/dokumentära bilder kan baseras på en dokumenterad avvägning.
  Samtycke enligt artikel 6.1 a eller berättigade intressen enligt artikel 6.1 f, beroende på bilden och användningen. 
Villkoret i artikel 9 krävs om ett känsligt sammanhang avslöjas.
    Icke-utvalt material: 90 dagar. 
Utvalt/publicerat material: granskning minst vartannat år; normalt högst 5 år om inte förnyat samtycke eller en separat arkiveringsgrund gäller.

  

  
  

3.1 Tillhandahållande av medlemskapstjänster

Terminsräkningsföreningen (TRF) är en separat personuppgiftsansvarig för behandling via sin medlemstjänst. Vi ansvarar för hur vi använder uppgifter som vi erhåller från TRF och besvarar förfrågningar om vår egen behandling.

Studentkortet i Sverige AB (org.nr 556491-5287), som bedriver verksamhet under namnet STUK.CO, tillhandahåller det digitala studentkortet. TRF delar de uppgifter som behövs för detta (namn, studentstatus, medlemskap och kontaktuppgifter) med Studentkortet, som är en separat personuppgiftsansvarig med sin egen integritetspolicy på studentkortet.se/integritetspolicy. Frågor om Studentkortets egen behandling ska riktas till dem.

När vi erhåller dina personuppgifter från TRF, Studentlund, STUK.CO eller någon annan källa istället för direkt från dig, lämnar vi den information som krävs enligt artikel 14 i GDPR inom den tillämpliga tidsfristen – normalt inom en månad, vid första kontakten eller innan vi delar uppgifterna – såvida inte ett lagligt undantag gäller.

3.2 Särskilda kategorier, personnummer och fotografering

Uppgifter om kostbehov eller tillgänglighet är frivilliga. Om de avslöjar uppgifter om hälsa, religiös övertygelse eller någon annan känslig kategori, förlitar vi oss på ditt samtycke enligt artikel 6.1 a och ditt uttryckliga samtycke enligt artikel 9.2 a. Vi ber endast om det vi behöver, begränsar åtkomsten till behörig evenemangs- eller kökspersonal och raderar uppgifterna kort efter evenemanget.

Vi samlar inte in personnummer bara för att det är bekvämt. Om ett personnummer verkligen krävs för tillförlitlig identifiering förklarar vi syftet, den rättsliga grunden, nödvändigheten enligt svensk lag, vem som tar emot uppgifterna och hur länge vi lagrar dem innan vi samlar in dem.

För iscensatta eller framträdande reklambilder måste samtycket vara specifikt för syftet och kanalerna. Allmänna bilder av folkmassor eller dokumentära bilder kan baseras på en dokumenterad bedömning av berättigat intresse. Att delta i ett evenemang eller godkänna allmänna villkor räknas inte som samtycke till fotografering. Vi informerar dig om hur du kan undvika att bli fotograferad och hur du kan be oss ta bort bilder från de kanaler vi kontrollerar.

4. Rättsliga grunder för behandling

Vi använder en specifik rättslig grund för varje syfte:

Avtal eller åtgärder inför avtal (art. 6.1 b): behandling som är verkligen nödvändig för att upprätta eller sköta ditt medlemskap, en bokning, ett avtal eller en tjänst som du har begärt.
Rättslig skyldighet (art. 6.1 c): register som vi enligt lag är skyldiga att föra, till exempel bokförings- och skatteregister.
Berättigade intressen (art. 6.1 f): proportionerlig behandling för styrning, korrekt administration, säkerhet, bedrägeribekämpning, IT-säkerhet, kontinuitet i tjänsterna, vanliga organisatoriska kontakter, dokumentärfotografering och rättsliga anspråk, efter att ha vägt dessa intressen mot dina rättigheter.
Samtycke (art. 6.1 a): valfria nyhetsbrev, icke-nödvändiga cookies och liknande tekniker, framträdande reklambilder samt annan verkligt frivillig behandling.
Uppgifter av särskild kategori eller brottsrelaterade uppgifter: vi behöver även en separat grund enligt artikel 9.2 eller artikel 10, utöver grunden i artikel 6. Obs: en anmälares samtycke ger oss inte rätt att behandla känsliga uppgifter om någon annan.

Du kan när som helst återkalla ditt samtycke via samma kanal som du använde för att ge det – till exempel en länk för att avsluta prenumerationen, inställningarna för cookies eller gdpr@kalmarnation.nu. Återkallandet påverkar endast framtida behandling och gör inte tidigare behandling olaglig.

5. Hur vi samlar in uppgifter och om det är nödvändigt

Vi samlar in personuppgifter från följande källor:

Medlemskap: direkt från dig och, i förekommande fall, från TRF, Studentlund och den verifierade leverantören av studentkort.
Webbplats och kontakt: från webbformulär, e-post och annan kommunikation, samt tekniska loggar och enhetstekniker enligt beskrivningen i avsnitt 9.
Evenemang: direkt från den sökande, köparen eller deltagaren samt från betalnings- eller registreringstjänster. I vanliga evenemangsformulär efterfrågas inte personnummer; uppgifter om kost eller tillgänglighet är frivilliga och separerade från de vanliga bokningsfälten.
Fotografi/video: från evenemangsfotografering eller material som du skickar in, med förhandsinformation och den rättsliga grunden som är lämplig för bilden och användningen.
Boende: från den sökande eller hyresgästen och, endast där det är lagligt och har meddelats, referenser, offentliga register, betalningstjänster eller andra källor som identifierats av den verifierade registeransvarige för boende.
Socialutskottet: från anmälaren, den berörda personen, vittnen, relevanta nationella register, professionella rådgivare eller myndigheter där så är lagligt.
Roller och leverantörer: direkt från individen, den organisation denne representerar, register över roller, åtkomstsystem, betalningsregister och relevanta offentliga affärskällor.

Fält som är markerade som obligatoriska krävs för det angivna avtalet, tjänsten, den rättsliga skyldigheten, behörighetsprövningen eller säkerhetsändamålet. Om du inte lämnar de obligatoriska uppgifterna kan vi eventuellt inte registrera ditt medlemskap, godkänna en bokning, ingå ett avtal, kontrollera behörigheten eller tillhandahålla tjänsten. Valfria fält är tydligt markerade och påverkar inte tjänster som inte har något samband med detta. Vårt medlemskap och våra evenemang riktar sig till universitetsstudenter. Vi samlar inte medvetet in personuppgifter från barn under 16 år. Om vi får kännedom om att ett barn under 16 år har lämnat personuppgifter till oss utan lämpligt samtycke från förälder eller vårdnadshavare vidtar vi åtgärder för att radera uppgifterna.

6. Vem får tillgång till personuppgifterna?

Intern åtkomst: behöriga tjänstemän, anställda, volontärer och kommittémedlemmar ser endast de uppgifter de behöver för sin nuvarande roll. Åtkomsten är personlig, granskas när ansvarsområden ändras och upphävs omedelbart när en roll upphör.

Beroende på behandlingen kan mottagarna omfatta:

TRF som separat personuppgiftsansvarig för sin medlemstjänst; den verifierade STUK.CO-enheten och -rollen; leverantörer av betalnings-, evenemangsregistrerings-, e-post-, molnlagrings-, IT-support-, redovisnings- och säkerhetstjänster.
Squarespace eller en annan verifierad webbplatsleverantör; Meta, Instagram, Facebook, Discord eller en annan plattform när information avsiktligt publiceras eller en integration aktiveras; samt bostadsförvaltaren eller administratörerna där så är relevant. Om ett förhållande som gemensamt personuppgiftsansvarig föreligger (till exempel med Meta för driften av Facebook- eller Instagram-sidor), kan sammanfattningen av överenskommelsen enligt artikel 26 erhållas på begäran från gdpr@kalmarnation.nu.
Revisorer, revisorer, försäkringsbolag, banker, juridiska rådgivare och andra professionella rådgivare; samt myndigheter, domstolar, räddningstjänster eller brottsbekämpande organ när utlämnande krävs eller på annat sätt är lagligt och nödvändigt.

En leverantör som agerar som vår personuppgiftsbiträde får endast använda personuppgifter enligt våra instruktioner, i enlighet med ett skriftligt avtal om personuppgiftsbehandling (artikel 28 i GDPR). En leverantör som använder uppgifter för egna ändamål är en separat personuppgiftsansvarig, med egen information och eget ansvar för dina rättigheter. Vi delar endast de uppgifter som leverantören behöver för sitt angivna ändamål.

7. Säkerhet och personuppgiftincidenter

Vi använder tekniska och organisatoriska säkerhetsåtgärder som är anpassade till varje behandlingsaktivitets karaktär och risk. Beroende på systemet omfattar dessa:

kryptering under överföring och lagring där så är lämpligt och verifierat för det aktuella systemet;
rollbaserad åtkomst, personliga konton, multifaktorautentisering där detta stöds, loggning och snabb återkallning av åtkomst;
sekretesskrav, utbildning och säkerhetsbedömning av leverantörer; samt
dokumenterade rutiner för lagring, bevarande enligt lag och säker radering.

Inget system är helt säkert. Om vi misstänker ett personuppgiftsintrång dokumenterar och utvärderar vi det, begränsar skadan, bevarar relevant bevismaterial och, när GDPR så kräver, underrättar IMY och de berörda personerna.

8. Dina rättigheter enligt GDPR

Enligt GDPR, och under vissa förutsättningar, har du följande rättigheter:

För att utöva en rättighet, skicka e-post till gdpr@kalmarnation.nu eller kontakta oss via en annan lämplig kanal. Vi kan be dig att bekräfta din identitet. Förfrågningar är normalt kostnadsfria och besvaras inom en månad. Om en förfrågan är komplex ger GDPR oss upp till två extra månader; vi kommer att förklara varför inom den första månaden. Om vi inte kan bevilja en förfrågan fullt ut kommer vi att förklara skälet och informera dig om din rätt att klaga.

TRF, sociala medieplattformar, en separat bostadsansvarig och andra oberoende personuppgiftsansvariga hanterar förfrågningar som rör deras egen behandling. Vi hanterar förfrågningar som rör den behandling som vi ansvarar för och samarbetar med andra leverantörer vid behov.

Du kan lämna in ett klagomål till Integritetsskyddsmyndigheten (IMY): www.imy.se.

9. Cookies och liknande teknik

9.1 Kategorier

Vi använder cookies och liknande tekniker, inklusive lokal lagring, pixlar, taggar och inbäddat innehåll. Strikt nödvändiga tekniker används endast för att skicka ett meddelande, säkra webbplatsen eller tillhandahålla något du har begärt. Alla andra tekniker – inklusive analysverktyg, inställningar och marknadsföring – är inaktiverade tills du aktivt ger ditt samtycke.

9.2 Exakt förteckning över teknik

- Den aktuella cookielistan måste identifiera varje teknik som faktiskt används med namn, leverantör, syfte, kategori, status som förstaparts- eller tredjepartsteknik, varaktighet, mottagare och eventuella internationella överföringar.
- Den verifierade listan finns tillgänglig på [t.ex. kalmarnation.nu/cookies]. Den måste uppdateras och samtyckeskonfigurationen testas på nytt varje gång inställningar för Squarespace, analysverktyg, Meta-integrationer, annonsering, inbäddningar, taggar eller anpassad kod ändras.

9.3 Dina val

- Välj ”Acceptera alla”, ”Avvisa alla” eller ”Hantera val” på den första vyn, med lika tillgängliga och visuellt likvärdiga alternativ för att acceptera och avvisa.
- Ändra eller återkalla samtycket när som helst via en permanent kontroll för ”Cookie-inställningar” som finns på varje sida.
- Använd webbläsarinställningar eller leverantörens verktyg för att avregistrera dig som ytterligare kontrollmekanismer; de ersätter inte webbplatsens skyldighet att inhämta giltigt förhandsmedgivande.
Inget icke-nödvändigt alternativ är förvalt. Webbplatsen registrerar ditt samtyckesval (inklusive version, datum och de kategorier du har godkänt eller avvisat) och sparar denna information i upp till 3 år eller så länge tekniken används, beroende på vilken period som är längst. Att återkalla samtycket stoppar framtida användning av den relevanta tekniken men påverkar inte tidigare laglig behandling.

9.4 Kontakt

Vid frågor om cookies eller annan behandling av personuppgifter, kontakta gdpr@kalmarnation.nu.

10. Automatiserat beslutsfattande

Vi fattar inga beslut om dig enbart genom automatiserade metoder som har rättsliga eller liknande betydande effekter. Om du aktiverar analysverktyg eller annonsering genom dina samtyckesval kan de berörda plattformsleverantörerna utföra analyser eller anpassningar enligt sina egna meddelanden. Om detta ändras kommer vi att informera dig innan vi inför något relevant automatiserat beslutsfattande.

11. Ändringar av denna information

Vi granskar denna information regelbundet och uppdaterar den när vår behandling, våra leverantörer eller lagkraven ändras. Den aktuella versionen och ikraftträdandedatumet anges högst upp. Vi meddelar om viktiga ändringar via en lämplig kanal och inhämtar, vid behov, nytt samtycke innan vi använder uppgifter för ett väsentligt annorlunda ändamål.

Antagen av seniorskollegiet tillika nationsstyrelsen 2026-08-25