Pinetree AB · 559016-7044

Integritet i Kårnavet

Senast uppdaterad 5 oktober 2026

Kårnavet är en behörighetsstyrd tjänst för scoutverksamhet. Den här informationen beskriver vilka personuppgifter och Google-användardata som behandlas, varför de behövs, med vilka de delas och hur de skyddas.

Vem ansvarar för uppgifterna?

Pinetree AB ansvarar för konton, inloggning, säkerhetsloggar och administration av tjänsten. För medlemsuppgifter som en scoutkår använder i Kårnavet är scoutkåren normalt personuppgiftsansvarig och Pinetree AB personuppgiftsbiträde enligt separat avtal.

Vilka uppgifter behandlas?

namn, kontaktuppgifter, medlems-ID, avdelning och funktion från en godkänd Scoutnet-kopia,
Google-kontots verifierade e-postadress, unika kontoidentifierare och tilldelad behörighet,
terminsplanering, uppgifter, närvaro och frånvaroanmälningar,
administrativ status för exempelvis hälsokort, utan att svar eller dokument lagras,
tekniska händelser som behövs för säkerhet, felsökning och spårbarhet.

Känsliga hälsouppgifter ska inte skrivas i Kårnavet eller skickas via vanlig e-post eller WhatsApp.

Varför behandlas uppgifterna?

Uppgifterna används för att ge rätt person rätt åtkomst, planera och genomföra scoutmöten, underlätta information till familjer samt skydda och förbättra tjänsten. Den rättsliga grunden bestäms av den ansvariga scoutkåren för medlemsuppgifter och av Pinetree AB för tjänstens konto- och säkerhetsadministration.

Google-användardata

Vid Google-inloggning begär Kårnavet endast openid och userinfo.email. De används för att verifiera användarens Google-konto och koppla det till en personlig inbjudan och rätt roll. Inloggningens åtkomst- och ID-token sparas inte i Kårnavets databas.

En behörig ledare kan separat ansluta sitt eget Gmail-konto med behörigheten gmail.send. Den används endast när ledaren själv startar ett utskick och granskar mottagare och innehåll. Kårnavet kräver att det anslutna Google-kontot har samma e-postadress som ledarens personliga Kårnavet-inloggning och skickar verksamhetsmeddelandet från den adressen.

Kårnavet läser inte Gmail-inkorg, e-posthistorik, meddelanden, kontakter eller Gmail-inställningar. Google-användardata används inte för annonsering, profilering eller träning av AI- eller maskininlärningsmodeller. Kårnavets användning och överföring av information mottagen från Google API:er följer Google API Services User Data Policy, inklusive kraven om Limited Use.

Google Sheets ansluts separat med drive.file för filer användaren väljer eller skapar. Terminsplanens innehåll läses och synkas åt båda håll. För hälsokort läses rubriker samt scoutens namn och svarstid från det valda svarsarket, inte hälsosvaren. Kårnavet får inte generell åtkomst till Google Drive och raderar eller delar inte filerna.

Delning, överföring och utlämnande

Kårnavet säljer inte personuppgifter eller Google-användardata och lämnar inte ut dem till annonsnätverk eller datahandlare. Uppgifter delas bara när det behövs för följande ändamål:

Google: mottagaradress, avsändaradress och det meddelande användaren har granskat överförs till Gmail API för att Google ska kunna leverera utskicket. Vid en separat Sheets-anslutning överförs också granskade planeringsuppgifter till den kopplade filen.
Scalingo: driver applikationen och databasen som teknisk leverantör och personuppgiftsbiträde. Driften finns i Frankrike.
Brevo: får mottagaradress, meddelande och leveransmetadata när Kårnavet skickar systemmeddelanden, exempelvis personliga inbjudningar, inloggningslänkar och lösenordsåterställning.
Pinetree AB: särskilt behöriga personer kan få åtkomst när det behövs för drift, support, säkerhet eller rättsliga skyldigheter.

Google-användardata överförs inte till Scoutnet, SMHI eller andra scoutkårer. Uppgifter kan lämnas ut om lag, myndighetsbeslut eller skyddet av personers säkerhet kräver det.

Skydd av känsliga uppgifter

All webbtrafik och trafik till externa tjänster skyddas med HTTPS/TLS.
Varje ledares långlivade OAuth-token krypteras separat med AES-GCM innan den lagras och kan återkallas eller kopplas bort av ledaren.
Åtkomsten begränsas efter kår, avdelning, roll och familjekoppling. Kårnavet begär minsta möjliga Google-behörigheter.
Sessioner skyddas med Secure-, HttpOnly- och SameSite-kakor, CSRF-skydd och tidsbegränsning. Hemligheter lagras på serversidan och skrivs inte ut i gränssnitt eller loggar.
Säkerhets- och administrationshändelser loggas för spårbarhet. Databasen säkerhetskopieras både hos driftleverantören och i en separat krypterad säkerhetskopia vars nyckel förvaras åtskild.
Misstänkta incidenter utreds, åtkomst kan spärras omedelbart och berörda parter informeras enligt tillämpliga regler.

Övriga tjänster och lagring

Google används för ledarinloggning och de separat anslutna Gmail- och Sheets-flödena ovan. Vårdnadshavare loggar in med e-post och lösenord; lösenord lagras som en saltad hash. Personlig mejllänk är ett alternativ när e-postleverans är aktiverad. Scoutnet är medlemskälla. SMHI får endast platskoordinater för väderprognoser. Kårnavet skickar inga schemalagda verksamhetsmeddelanden utan en användares aktiva val.

Lagringstid och rättigheter

Uppgifter sparas så länge de behövs för scoutkårens användning, säkerhet och avtalade skyldigheter. När ledaren kopplar bort sin Gmail-anslutning i Kårnavet tas den lagrade anslutningen och dess krypterade token bort. Åtkomst kan återkallas omedelbart. För registerutdrag, rättelse eller radering kontaktar du i första hand din scoutkår. Frågor om Kårnavets konto- och driftuppgifter skickas till daniel.wren@pinetree.se. Du har rätt att lämna klagomål till Integritetsskyddsmyndigheten.

Kakor och offline

Kårnavet använder endast nödvändiga sessionskakor. En ledare kan uttryckligen spara ett mötes arbetsunderlag och scoutnamn på sin enhet för användning utan nät. Kopian är tidsbegränsad och innehåller inte kontaktuppgifter, hälsouppgifter eller integrationsnycklar.