Den här policyn beskriver hur Frånvarokollen Sverige AB ("Frånvarokollen", "vi") behandlar personuppgifter. Den gäller både vår webbplats franvarokollen.com och tjänsten Frånvarokollen, som skolor använder för att hantera personalfrånvaro och bemanning.
Vilken roll vi har beror på vilka uppgifter det gäller:
| Uppgifter | Vem bestämmer över uppgifterna? |
|---|---|
| Besök på webbplatsen, intresseanmälningar, kontakt med oss, kontaktpersoner och firmatecknare hos kunder, avtal, fakturering och kontaktuppgifter i supportärenden | Vi är personuppgiftsansvariga. Avsnitt 3 till 5. |
| Uppgifter om skolans personal i tjänsten Frånvarokollen, även när sådana uppgifter finns i ett supportärende | Skolans huvudman är personuppgiftsansvarig, för kommunala skolor den nämnd som ansvarar för skolverksamheten. Vi är personuppgiftsbiträde och behandlar uppgifterna för huvudmannens räkning, enligt dess instruktioner och det personuppgiftsbiträdesavtal (PUB-avtal) som ingår i avtalet. Avsnitt 5.2 och 6. |
Frånvarokollen Sverige AB
Organisationsnummer: 559585-6450
Säte: Stockholm
E-post, allmänt: info@franvarokollen.com
E-post, dataskydd och dina rättigheter: gdpr@franvarokollen.com
E-post, support: support@franvarokollen.com
Frågor om dataskydd hanteras av vår dataskyddsansvarige, som du når på gdpr@franvarokollen.com.
Vad vi behandlar. Webbplatsen har ingen besöksstatistik och sätter inga cookies. När du besöker den behandlar vår leverantör Cloudflare de tekniska uppgifter som krävs för att visa sidan och skydda den mot attacker, till exempel IP-adress, webbläsartyp, begärd sida och tidpunkt. Ditt språkval sparas bara i din egen webbläsare och skickas inte till oss.
Varför och med vilket stöd. För att kunna visa webbplatsen och skydda den mot missbruk. Rättslig grund: berättigat intresse (artikel 6.1 f GDPR). Vårt intresse är att webbplatsen fungerar och är säker.
Hur länge. Vi sparar inga besöksloggar själva. I Cloudflares kontrollpanel kan vi se trafik- och säkerhetshändelser för de senaste 31 dagarna. Cloudflare använder också uppgifter om trafiken, till exempel bedömningar av om en IP-adress är skadlig, för att skydda sitt nätverk och sparar dem så länge det behövs för det ändamålet enligt Cloudflares egen integritetspolicy.
Rätt att invända. Du kan invända mot behandlingen genom att mejla gdpr@franvarokollen.com.
Vad vi behandlar. När du anmäler intresse via formuläret på webbplatsen, mejlar oss eller träffar oss behandlar vi ditt namn, din skola, din e-postadress och annat du väljer att berätta, till exempel telefonnummer, befattning och det vi skriver till varandra. Formuläret skickas direkt från din webbläsare till Google Forms, och svaren sparas i vårt Google Workspace-konto.
Varför och med vilket stöd. För att svara på frågor, boka och hålla genomgångar, följa upp och se om tjänsten passar er skola. Rättslig grund: berättigat intresse (artikel 6.1 f) och, när ni vill teckna avtal, åtgärder inför avtal (artikel 6.1 b). Vi skickar inga nyhetsbrev.
Måste du lämna uppgifterna? Nej. Det är frivilligt, men utan namn och e-postadress kan vi inte svara dig.
Hur länge. Högst två år efter senaste kontakt. Säger du att du inte vill bli kontaktad tar vi bort dig direkt.
Rätt att invända. Du kan när som helst invända mot behandling som bygger på berättigat intresse genom att mejla gdpr@franvarokollen.com.
Vad vi behandlar. Namn, befattning, arbetsplats och kontaktuppgifter för kontaktpersoner och firmatecknare hos våra kundskolor och huvudmän, underskrivna avtal och fakturaunderlag.
Varifrån uppgifterna kommer. Oftast från dig själv. Ibland får vi dem från din skola eller huvudman, till exempel när en rektor anger vem som är kontaktperson eller fakturamottagare, eller från offentliga källor som huvudmannens webbplats.
Varför och med vilket stöd. För att ingå och fullgöra avtalet med skolans huvudman, administrera kundrelationen och fakturera. Rättslig grund: berättigat intresse (artikel 6.1 f) för kontaktpersoner och firmatecknare, eftersom avtalet tecknas med huvudmannen och inte med dig personligen, och rättslig förpliktelse (artikel 6.1 c) för bokföring.
Hur länge. Så länge avtalet gäller och därefter högst två år. Räkenskapsinformation, till exempel fakturor, sparar vi i sju år enligt bokföringslagen.
Kontaktuppgifter i supportärenden. När du kontaktar support@franvarokollen.com behandlar vi ditt namn, din e-postadress, din skola och det du skriver, för att kunna hjälpa dig. Här är vi personuppgiftsansvariga. Rättslig grund: berättigat intresse (artikel 6.1 f). Vi sparar uppgifterna i högst två år efter att ärendet avslutats.
Uppgifter från tjänsten i supportärenden. Du väljer själv om du vill bifoga en skärmbild. Den hjälper oss att förstå problemet, men dölj gärna namn och frånvarokategorier. Innehåller ett supportärende uppgifter från tjänsten, till exempel en skärmbild med personalens namn eller frånvaro, behandlar vi dem för skolans räkning enligt PUB-avtalet. Supportmejlen hanteras i Google Workspace (Google Ireland Limited), som då är vårt underbiträde. Sådana uppgifter raderas senast 12 månader efter att ärendet avslutats och alltid när kundens uppgifter raderas.
Här beskriver vi behandlingen som vi utför för skolans huvudmans räkning. Det är huvudmannen som bestämmer varför och hur uppgifterna behandlas och som ansvarar för den rättsliga grunden. Har du som anställd frågor om dina uppgifter i tjänsten, eller vill du använda dina rättigheter, vänder du dig i första hand till din skola. Vi hjälper skolan att svara.
Endast uppgifter om skolans personal och anlitade vikarier som behövs för att hantera frånvaro och den dagliga bemanningen. Uppgifterna läggs in av skolans användare.
Frånvarokategorierna är Sjuk, VAB, Fortbildning, Föräldraledighet, Personligt och Övrigt. Kategorin Sjuk är en uppgift om hälsa och därmed en känslig personuppgift enligt artikel 9 GDPR. VAB kan indirekt visa att ett barn är sjukt och skyddas därför på samma sätt; EU-domstolen har slagit fast att uppgifter som indirekt kan avslöja känsliga förhållanden kan omfattas av samma skydd (mål C-184/20). Tjänsten lagrar endast kategorin, aldrig någon diagnos, några symtom eller någon beskrivning. Skolans huvudman ansvarar som arbetsgivare för den rättsliga grunden för behandlingen.
Tjänsten saknar utrymme för uppgifter om enskilda elever, betyg eller elevhälsa. Schemat innehåller klass- och gruppnamn, till exempel 7B, så som de står i skolans schemafil; gruppnamn bör därför inte innehålla elevnamn. Uppladdade schemafiler läses i användarens webbläsare. Personnummer som hittas i filen visas för den som laddar upp och tas bort innan uppgifterna skickas till oss, och originalfilen sparas inte. Databasen vägrar spara personnummer i namn- och anteckningsfält.
Bara de användare som skolan har gett ett konto. Varje skolas uppgifter hålls åtskilda direkt i databasen, så ingen skola kan se en annan skolas uppgifter.
Ägare och koordinatorer kan registrera och ändra. Behörigheten Skolledning kan läsa men inte registrera eller ändra frånvaro och bemanning. Alla användare kan skriva dagsanteckningar. Alla med konto på skolan ser skolans frånvarouppgifter, inklusive frånvarokategori, så skolan bör bara ge konton till personer som behöver uppgifterna i sitt arbete. En användare som inaktiveras förlorar all åtkomst direkt.
Tjänsten visar frånvaro och täckning per dag och statistik för en vald period, bland annat hur täckningsuppdragen fördelas mellan personalen så att arbetet kan fördelas jämnt. Så länge skolan sparar uppgifterna kan behöriga användare också se tidigare dagar. Tjänsten visar inga listor över vem som är mest frånvarande och fattar inga automatiska beslut om enskilda.
Hos oss har endast de personer som sköter driften teknisk administratörsbehörighet, och de har förbundit sig att iaktta sekretess enligt PUB-avtalet.
Användare loggar in med ett Microsoft- eller Google-konto, till exempel skolans Microsoft 365 eller Google Workspace, så vi lagrar inga lösenord. Microsoft och Google är inte våra underbiträden för inloggningen: de hanterar den som en del av den kontotjänst som skolan eller användaren redan har. Vi tar emot namn, e-postadress och kontots användar-id och använder inte leverantörens åtkomsttoken.
Tjänsten skickar ingen e-post eller sms själv. Aviseringar till personal öppnas i användarens eget e-postprogram och skickas från användarens egen e-post. Förslagsfunktionen Kollen räknar fram sina förslag med regler i användarens webbläsare. Inga uppgifter skickas till någon AI-tjänst, och uppgifterna används aldrig för att träna AI. Förslagen är just förslag; det är alltid en person som bestämmer. Om vi i framtiden vill använda AI i tjänsten informerar vi kunderna i förväg och lägger till eventuella nya leverantörer i PUB-avtalet innan det tas i bruk.
Vid testning och utveckling använder vi påhittade uppgifter, aldrig skolornas riktiga uppgifter.
Uppgifterna sparas så länge skolan använder tjänsten, om inte skolan skriftligen instruerar oss om en kortare lagringstid. Uppgifterna tillhör skolan. Enligt skolans val lämnar vi ut dem i ett maskinläsbart format (JSON) eller raderar dem. Radering sker senast 30 dagar efter att avtalet har upphört och ett eventuellt datauttag är klart, och bekräftas skriftligen. Säkerhetskopior skrivs över automatiskt inom sju dagar. Tekniska felrapporter och inloggningshändelser sparas i högst 90 dagar.
Dessa leverantörer behandlar uppgifter i tjänsten för skolans räkning. Ändringar meddelas kunderna i förväg enligt PUB-avtalet.
| Leverantör | Uppgift i tjänsten | Plats för uppgifterna |
|---|---|---|
| Supabase | Databas, inloggning och säkerhetskopior | Stockholm, Sverige |
| Vercel Inc. | Drift av webbtjänsten | Stockholm, Sverige |
| Functional Software Inc. (Sentry) | Tekniska felrapporter utan IP-adress | EU (Tyskland) |
| Google Ireland Limited (Google Workspace) | Supportärenden via e-post, när ett ärende innehåller uppgifter från tjänsten | EU och övriga världen enligt Googles villkor |
Dessa leverantörer behandlar uppgifter för vår räkning när vi själva är personuppgiftsansvariga (avsnitt 3 till 5). Cloudflare och redovisningstjänsten har ingen tillgång till uppgifterna i tjänsten; trafiken till tjänsten går inte via Cloudflares nätverk. Google Workspace kan få uppgifter från tjänsten genom supportärenden och är då underbiträde enligt 7.1.
| Leverantör | Vad de gör för oss | Plats |
|---|---|---|
| Cloudflare, Inc. | Drift av webbplatsen, DNS och skydd mot attacker | Globalt nätverk; besökare i Sverige hanteras normalt i Stockholm |
| Google Ireland Limited | Google Workspace: vår e-post, våra dokument och intresseformuläret (Google Forms) | EU och övriga världen enligt Googles villkor |
| Redovisnings- och faktureringstjänst | Bokföring och fakturering | Sverige |
Uppgifterna i tjänsten lagras i Sverige och felrapporterna i Tyskland. Supabase, Vercel, Sentry och Cloudflare är bolag med verksamhet i USA, och Google Ireland Limited har sitt moderbolag i USA. De kan i vissa fall, till exempel vid support och drift, komma åt uppgifter från länder utanför EU/EES och kan omfattas av amerikansk lag.
Sådana överföringar skyddas så här:
EU:s tribunal fastställde ramverket den 3 september 2025 (mål T-553/23), men domen har överklagats till EU-domstolen (mål C-703/25 P). Vi följer målet och använder standardavtalsklausulerna som skydd om ramverket skulle upphävas. Du kan få en kopia av skyddsåtgärderna genom att mejla gdpr@franvarokollen.com.
Det här avsnittet uppfyller artikel 28 i EU:s dataförordning (förordning (EU) 2023/2854), som gäller uppgifter som inte är personuppgifter. Personuppgifter skyddas av GDPR, se avsnitt 8.
Jurisdiktion. Den IT-infrastruktur som tjänsten körs på finns i Sverige (databas och drift i Stockholm) och i Tyskland (felrapporter) och omfattas av svensk rätt och EU-rätt. Leverantörerna Supabase, Vercel och Sentry är bolag med verksamhet i USA och kan därför också omfattas av amerikansk lag. Frånvarokollen Sverige AB är ett svenskt aktiebolag.
Åtgärder mot otillåten åtkomst.
Byte av leverantör. Skolan kan få ut sina uppgifter i ett maskinläsbart format (JSON). Exporten innehåller skolans alla uppgifter i tjänsten, ordnade per typ, och vi lämnar en teknisk beskrivning av formatet på begäran. Avsnittet hålls uppdaterat och hänvisas till i våra avtal.
Incidenter. Vid en konstaterad eller misstänkt personuppgiftsincident i tjänsten underrättar vi skolan utan onödigt dröjsmål och senast inom 24 timmar, och lämnar det underlag som behövs för att bedöma incidenten och en eventuell anmälan till Integritetsskyddsmyndigheten (IMY). Gäller incidenten uppgifter där vi själva är personuppgiftsansvariga anmäler vi den till IMY inom 72 timmar när det krävs.
Du har rätt att:
Rätt att invända. Du kan alltid invända mot behandling som bygger på vårt berättigade intresse (avsnitt 3 till 5). Då slutar vi behandla uppgifterna, om vi inte kan visa tvingande berättigade skäl eller behöver dem för att fastställa, göra gällande eller försvara rättsliga anspråk.
Gäller det uppgifter där vi är personuppgiftsansvariga mejlar du gdpr@franvarokollen.com. Vi svarar inom en månad. Gäller det dina uppgifter i tjänsten Frånvarokollen vänder du dig till din skola, som är personuppgiftsansvarig. Skickar du din begäran till oss vidarebefordrar vi den till skolan.
Vi fattar inga beslut om dig som enbart grundar sig på automatiserad behandling.
Är du missnöjd med hur dina personuppgifter behandlas har du rätt att lämna klagomål till Integritetsskyddsmyndigheten (IMY), imy.se.
Webbplatsen sätter inga cookies och sparar bara språkvalet i webbläsaren. Tjänsten använder en inloggningscookie och, bara under själva inloggningen, en tillfällig säkerhetscookie, och sparar språkvalet i webbläsaren. Vi använder inga cookies för statistik, marknadsföring eller spårning. Läs mer i vår cookiepolicy.
Webbplatsen och tjänsten riktar sig till skolpersonal, inte till barn, och tjänsten behandlar inga uppgifter om elever.
Vi uppdaterar policyn när behandlingen ändras och går igenom den minst var sjätte månad. Väsentliga ändringar som rör tjänsten meddelas kunderna i förväg.
| Version | Datum | Ändring |
|---|---|---|
| 2.1 | 2026-11-08 | Huvudmannen som personuppgiftsansvarig, support som eget avsnitt, VAB som skyddad uppgift, utökad lista över uppgifter i tjänsten och behörigheter, Google Workspace som underbiträde för supportärenden, skyddsåtgärder vid överföring per leverantör och nytt avsnitt om jurisdiktion enligt EU:s dataförordning. |
| 2.0 | 2026-11-01 | Omskriven så att den gäller både webbplatsen och tjänsten och tydligt skiljer mellan när vi är personuppgiftsansvariga och personuppgiftsbiträde. Rättat platsen för databas och drift till Stockholm och uppdaterat listan över underbiträden. Rättat frånvarokategorierna och att kategorin Sjuk är en känslig personuppgift. Lagt till intresseformuläret (Google Forms), kunder och fakturering, personnummerskydd, e-post, AI och testdata, lagringstid och avslut, säkerhetsåtgärder och incidentrutiner. Tagit bort uppgifter som inte stämde: nyhetsbrev, ISO 27001, Microsoft och Google som underbiträden samt "all behandling inom EU". |
| 1.1 | 2026-10-18 | Webbplatsen drivs av Cloudflare Pages, inte Vercel. Uppgifter om webbanalys borttagna. |
| 1.0 | 2026-06-06 | Första versionen. |
Frånvarokollen Sverige AB
Org.nr: 559585-6450
Säte: Stockholm
E-post: info@franvarokollen.com, dataskydd: gdpr@franvarokollen.com, support: support@franvarokollen.com
This policy describes how Frånvarokollen Sverige AB ("Frånvarokollen", "we") processes personal data. It covers both our website franvarokollen.com and the Frånvarokollen service, which schools use to manage staff absence and cover.
Our role depends on which data is involved:
| Data | Who decides over the data? |
|---|---|
| Website visits, expressions of interest, contact with us, contact persons and authorised signatories at customers, agreements, invoicing and contact details in support cases | We are the data controller. Sections 3 to 5. |
| Data about the school's staff in the Frånvarokollen service, including when such data appears in a support case | The school's organiser (huvudman) is the data controller; for municipal schools, the committee responsible for schools. We are the data processor and process the data on the organiser's behalf, following its instructions and the data processing agreement (PUB-avtal) that forms part of the agreement. Sections 5.2 and 6. |
Frånvarokollen Sverige AB
Organisation number: 559585-6450
Registered seat: Stockholm, Sweden
Email, general: info@franvarokollen.com
Email, data protection and your rights: gdpr@franvarokollen.com
Email, support: support@franvarokollen.com
Data protection questions are handled by our data protection lead, who you can reach at gdpr@franvarokollen.com.
What we process. The website has no visitor statistics and sets no cookies. When you visit, our provider Cloudflare processes the technical data needed to show the page and protect it against attacks, such as IP address, browser type, requested page and time. Your language choice is saved only in your own browser and is not sent to us.
Why, and on what basis. To show the website and protect it against abuse. Legal basis: legitimate interest (GDPR Article 6(1)(f)). Our interest is that the website works and is secure.
How long. We keep no visitor logs ourselves. In Cloudflare's dashboard we can see traffic and security events for the last 31 days. Cloudflare also uses traffic data, such as assessments of whether an IP address is malicious, to protect its network, and keeps it for as long as needed for that purpose under Cloudflare's own privacy policy.
Right to object. You can object to this processing by emailing gdpr@franvarokollen.com.
What we process. When you register interest through the form on the website, email us or meet us, we process your name, your school, your email address and anything else you choose to tell us, such as phone number, job title and what we write to each other. The form is sent directly from your browser to Google Forms, and the responses are stored in our Google Workspace account.
Why, and on what basis. To answer questions, book and hold walkthroughs, follow up and see whether the service suits your school. Legal basis: legitimate interest (Article 6(1)(f)) and, when you want to enter into an agreement, steps prior to a contract (Article 6(1)(b)). We do not send newsletters.
Do you have to provide the data? No. It is voluntary, but without a name and email address we cannot reply to you.
How long. At most two years after the last contact. If you tell us you do not want to be contacted, we remove you straight away.
Right to object. You can object at any time to processing based on legitimate interest by emailing gdpr@franvarokollen.com.
What we process. Name, job title, workplace and contact details of contact persons and authorised signatories at our customer schools and organisers, signed agreements and invoicing records.
Where the data comes from. Usually from you. Sometimes we receive it from your school or organiser, for example when a head teacher names the contact person or invoice recipient, or from public sources such as the organiser's website.
Why, and on what basis. To enter into and perform the agreement with the school's organiser, manage the customer relationship and invoice. Legal basis: legitimate interest (Article 6(1)(f)) for contact persons and authorised signatories, since the agreement is made with the organiser and not with you personally, and legal obligation (Article 6(1)(c)) for bookkeeping.
How long. For as long as the agreement is in force and at most two years after that. Accounting records, such as invoices, are kept for seven years under the Swedish Bookkeeping Act.
Contact details in support cases. When you contact support@franvarokollen.com we process your name, email address, school and what you write, so that we can help you. Here we are the data controller. Legal basis: legitimate interest (Article 6(1)(f)). We keep the data for at most two years after the case is closed.
Data from the service in support cases. You choose whether to attach a screenshot. It helps us understand the problem, but please hide names and absence categories. If a support case contains data from the service, such as a screenshot showing staff names or absence, we process it on the school's behalf under the data processing agreement. Support email is handled in Google Workspace (Google Ireland Limited), which is then our sub-processor. Such data is deleted no later than 12 months after the case is closed, and always when the customer's data is deleted.
This section describes the processing we carry out on behalf of the school's organiser. The organiser decides why and how the data is processed and is responsible for the legal basis. If you are an employee with questions about your data in the service, or want to exercise your rights, contact your school first. We help the school respond.
Only data about the school's staff and engaged substitutes that is needed to manage absence and day-to-day cover. The data is entered by the school's users.
The absence categories are Sick, VAB (care of a sick child), Professional development, Parental leave, Personal and Other. The Sick category is health data and therefore special category data under GDPR Article 9. VAB can indirectly show that a child is ill and is therefore protected in the same way; the Court of Justice of the EU has held that data which can indirectly reveal sensitive circumstances can fall under the same protection (case C-184/20). The service stores only the category, never a diagnosis, symptoms or a description. The school's organiser, as employer, is responsible for the legal basis for the processing.
The service has no place for data about individual students, grades or student health. The timetable contains class and group names, such as 7B, as they appear in the school's timetable file; group names should therefore not contain student names. Uploaded timetable files are read in the user's browser. Personal identity numbers found in the file are shown to the person uploading and removed before the data is sent to us, and the original file is not stored. The database refuses to store personal identity numbers in name and note fields.
Only the users the school has given an account. Each school's data is kept separate directly in the database, so no school can see another school's data.
Owners and coordinators can record and change data. The School leadership permission can read but not record or change absence and cover. All users can write daily notes. Everyone with an account at the school sees the school's absence data, including absence category, so the school should only give accounts to people who need the data in their work. A user who is deactivated loses all access immediately.
The service shows absence and cover per day and statistics for a chosen period, including how cover assignments are shared among staff so that the work can be spread fairly. As long as the school keeps the data, authorised users can also see earlier days. The service shows no lists of who is absent most and makes no automated decisions about individuals.
On our side, only the people who run operations have technical administrator access, and they have committed to confidentiality under the data processing agreement.
Users sign in with a Microsoft or Google account, such as the school's Microsoft 365 or Google Workspace, so we store no passwords. Microsoft and Google are not our sub-processors for sign-in: they handle it as part of the account service the school or user already has. We receive the name, email address and the account's user ID, and do not use the provider's access token.
The service sends no email or text messages itself. Notifications to staff open in the user's own email program and are sent from the user's own email. The suggestion feature Kollen calculates its suggestions with rules in the user's browser. No data is sent to any AI service, and the data is never used to train AI. The suggestions are just that; a person always decides. If we want to use AI in the service in the future, we will tell customers in advance and add any new providers to the data processing agreement before it is used.
For testing and development we use made-up data, never the schools' real data.
The data is kept for as long as the school uses the service, unless the school instructs us in writing to keep it for a shorter time. The data belongs to the school. At the school's choice we hand it over in a machine-readable format (JSON) or delete it. Deletion happens no later than 30 days after the agreement has ended and any data export is complete, and is confirmed in writing. Backups are overwritten automatically within seven days. Technical error reports and sign-in events are kept for at most 90 days.
These providers process data in the service on the school's behalf. Changes are notified to customers in advance under the data processing agreement.
| Provider | Task in the service | Data location |
|---|---|---|
| Supabase | Database, sign-in and backups | Stockholm, Sweden |
| Vercel Inc. | Hosting of the web service | Stockholm, Sweden |
| Functional Software Inc. (Sentry) | Technical error reports without IP address | EU (Germany) |
| Google Ireland Limited (Google Workspace) | Support cases by email, when a case contains data from the service | EU and rest of world under Google's terms |
These providers process data on our behalf when we are the data controller (sections 3 to 5). Cloudflare and the accounting service have no access to data in the service; traffic to the service does not pass through Cloudflare's network. Google Workspace may receive data from the service through support cases and is then a sub-processor under 7.1.
| Provider | What they do for us | Location |
|---|---|---|
| Cloudflare, Inc. | Website hosting, DNS and protection against attacks | Global network; visitors in Sweden are normally handled in Stockholm |
| Google Ireland Limited | Google Workspace: our email, our documents and the interest form (Google Forms) | EU and rest of world under Google's terms |
| Accounting and invoicing service | Bookkeeping and invoicing | Sweden |
Data in the service is stored in Sweden and error reports in Germany. Supabase, Vercel, Sentry and Cloudflare are companies with operations in the USA, and Google Ireland Limited has its parent company in the USA. In some cases, for example for support and operations, they may access data from countries outside the EU/EEA and may be subject to US law.
Such transfers are protected as follows:
The EU General Court upheld the framework on 3 September 2025 (case T-553/23), but the judgment has been appealed to the Court of Justice (case C-703/25 P). We are following the case and rely on the Standard Contractual Clauses as protection should the framework be annulled. You can get a copy of the safeguards by emailing gdpr@franvarokollen.com.
This section fulfils Article 28 of the EU Data Act (Regulation (EU) 2023/2854), which applies to non-personal data. Personal data is protected by the GDPR, see section 8.
Jurisdiction. The IT infrastructure the service runs on is in Sweden (database and hosting in Stockholm) and Germany (error reports) and is subject to Swedish and EU law. The providers Supabase, Vercel and Sentry are companies with operations in the USA and may therefore also be subject to US law. Frånvarokollen Sverige AB is a Swedish limited company.
Measures against unlawful access.
Switching provider. The school can get its data out in a machine-readable format (JSON). The export contains all of the school's data in the service, organised by type, and we provide a technical description of the format on request. This section is kept up to date and referred to in our agreements.
Incidents. In the event of a confirmed or suspected personal data breach in the service, we notify the school without undue delay and within 24 hours at the latest, and provide the information needed to assess the incident and any notification to the Swedish Authority for Privacy Protection (IMY). If the breach concerns data for which we are the controller, we report it to IMY within 72 hours where required.
You have the right to:
Right to object. You can always object to processing based on our legitimate interest (sections 3 to 5). We will then stop processing the data, unless we can show compelling legitimate grounds or need it to establish, exercise or defend legal claims.
For data where we are the controller, email gdpr@franvarokollen.com. We reply within one month. For your data in the Frånvarokollen service, contact your school, which is the controller. If you send your request to us, we forward it to the school.
We make no decisions about you based solely on automated processing.
If you are unhappy with how your personal data is processed, you have the right to complain to the Swedish Authority for Privacy Protection (IMY), imy.se.
The website sets no cookies and only saves your language choice in your browser. The service uses a sign-in cookie and, only during the sign-in itself, a temporary security cookie, and saves your language choice in your browser. We use no cookies for statistics, marketing or tracking. See our cookie policy.
The website and the service are aimed at school staff, not children, and the service processes no data about students.
We update this policy when the processing changes and review it at least every six months. Significant changes affecting the service are notified to customers in advance.
| Version | Date | Change |
|---|---|---|
| 2.1 | 2026-11-08 | The school's organiser as controller, support as its own section, VAB as protected data, expanded list of data in the service and of permissions, Google Workspace as sub-processor for support cases, transfer safeguards per provider, and a new section on jurisdiction under the EU Data Act. |
| 2.0 | 2026-11-01 | Rewritten to cover both the website and the service and to separate clearly when we are controller and when we are processor. Corrected the location of the database and hosting to Stockholm and updated the sub-processor list. Corrected the absence categories and that the Sick category is special category data. Added the interest form (Google Forms), customers and invoicing, personal identity number protection, email, AI and test data, retention and termination, security measures and incident procedures. Removed statements that were not accurate: newsletters, ISO 27001, Microsoft and Google as sub-processors, and "all processing within the EU". |
| 1.1 | 2026-10-18 | Website hosted on Cloudflare Pages, not Vercel. Web analytics claims removed. |
| 1.0 | 2026-06-06 | First version. |
Frånvarokollen Sverige AB
Organisation number: 559585-6450
Registered seat: Stockholm, Sweden
Email: info@franvarokollen.com, data protection: gdpr@franvarokollen.com, support: support@franvarokollen.com