Wellspot dataskyddsbeskrivning

I denna beskrivning berättar vi hur personuppgifter behandlas i tjänsten Wellspot (app.wellspot.fi) och på webbplatsen wellspot.fi. Beskrivningen har upprättats i enlighet med artiklarna 13 och 14 i EU:s allmänna dataskyddsförordning (GDPR). Vid avvikelser mellan språkversionerna gäller den finska versionen.

Uppdaterad: 12.10.2026 · Version 1.0

1. Personuppgiftsansvarig och kontaktuppgifter

Wellspot Oy (FO-nummer 3648328-6), Kervo. Dataskyddsärenden: tietosuoja@wellspot.fi

Wellspot har inget utsett dataskyddsombud. Dataskyddsfrågor ansvarar Joona Salo för, och han nås på adressen ovan.

2. Vem beskrivningen gäller och vem som är personuppgiftsansvarig

Wellspot är en välmåendetjänst för arbetsplatser som din arbetsgivare har skaffat åt sin personal. Dina uppgifter behandlas i två roller.

Din arbetsgivare ser inte dina välmåendeuppgifter, vet inte om du har gett ditt samtycke och ser inte om du har bokat en tid. Arbetsgivaren ser endast sammanställningar på gruppnivå med minst fem personer (avsnitt 4). Din arbetsgivares egen dataskyddsbeskrivning berättar om dess egen behandling.

3. Uppgifter som behandlas, ändamål och rättslig grund

3.1 Användarkonto (arbetsgivaren som personuppgiftsansvarig)

Uppgifter: namn, arbetsmejl, roll (anställd, chef, HR), team och chef, arbetsställe, status för inbjudan och inloggning.

Varifrån: din arbetsgivares HR lägger till dig i tjänsten, och tjänsten skickar en inbjudan till din e-post.

Ändamål: att skapa och upprätthålla användarkontot, inloggning, att leverera tjänsten enligt avtalet med arbetsgivaren samt att räkna ut antalet personer som faktureras (endast antal på organisationsnivå).

Vem ser uppgifterna: din arbetsgivares HR ser personallistan (namn, e-post, roll, team, chef, inbjudans status). En chef ser namnen på sina direkt underställda och inbjudans status.

Inloggningsuppgifter: inloggningstjänsten sparar inloggningssessioner, inklusive IP-adress och webbläsaruppgifter, för att säkerställa informationssäkerheten.

3.2 Välmåendeuppgifter (Wellspot som personuppgiftsansvarig)

Uppgifter:

• svaren på startenkäten och den utgångsnivå som räknats fram av dem
• svaren på veckoenkäten och temapoängen (stress, sömn, sinnesstämning, livskraft, levnadsvanor, ekonomisk trygghet, samhörighet, meningsfullhet)
• mikrohandlingar och den känsla du uppger (bättre, oförändrad, sämre)
• steg, nivå och svarssvit
• samtyckeshistorik: när du gav, nekade eller återkallade ditt samtycke och vilken textversion det grundade sig på (ingen IP-adress)

En del av uppgifterna kan säga något om din hälsa, och därför behandlas de som särskilda kategorier av personuppgifter enligt artikel 9 i GDPR.

Rättslig grund: ditt uttryckliga samtycke (artikel 6.1 a och 9.2 a i GDPR). Samtycket är frivilligt. Utan det kan du använda egenvårdsinnehållet och boka tid. Samtyckeshistoriken sparar vi för att kunna visa att samtycket har varit giltigt (artikel 7.1 och 6.1 c i GDPR).

Ändamål:

• att visa dig hur ditt välmående utvecklas
• att erbjuda lämpliga mikrohandlingar utifrån dina svar
• att skicka meddelanden när veckoenkäten öppnas och påminnelser
• att ta fram sammanställningar på gruppnivå med minst fem svarande åt din arbetsgivare
• att räkna ut teamets varningsnivå (avsnitt 4)

3.3 Tidsbokningar och sessionsrespons (Wellspot som personuppgiftsansvarig)

Wellspot förmedlar tider till självständiga korttidsterapeuter.

Uppgifter: bokningens tidpunkt, terapeut, status (bekräftad, avbokad, genomförd), eventuell orsak till avbokning, länk till videomötet, din respons efter sessionen (betyg och teman) samt begäranden om extra sessioner (den som begär, år, datum för begäran, status).

Rättslig grund: ditt uttryckliga samtycke, som du ger i samband med bokningen genom ett separat val (artikel 6.1 a och 9.2 a i GDPR). Bokningssamtycket är separat från välmåendesamtycket.

Vem ser uppgifterna:

• Du och den terapeut du har bokat. Terapeuten ser bokningens tidpunkt och en klientkod, inte ditt namn eller din e-post.
• I videomötet syns det namn som du själv skriver in i mötets lobby.
• Terapeuten ser endast en sammanställning av responsen, när det finns minst fem svar.

Videomöten: i tjänsten Whereby (wellspot.whereby.com). Mötena spelas inte in. Terapeuten antecknar inte sessionens innehåll i tjänsten.

E-post: du får meddelanden om bokningen till din arbetsmejl. Terapi nämns inte i meddelandenas ämnesrad, men av innehållet kan man sluta sig till att du använder tidsbokningen.

3.4 Pulsenkät (arbetsgivaren som personuppgiftsansvarig)

Pulsenkäten är din arbetsgivares arbetshälsoenkät om belastningsfaktorer i arbetet, och Wellspot genomför den för arbetsgivarens räkning. Din arbetsgivare anger den rättsliga grunden i sin egen dataskyddsbeskrivning.

• Det är frivilligt att svara.
• Ditt namn eller din användaridentifierare sparas inte med svaren. Till svaret kopplas endast team, arbetsställe och svarsvecka.
• Uppgiften om att du har svarat sparas endast under enkätens gång för att förhindra dubbla svar.
• Skriv inte uppgifter om din hälsa eller uppgifter som kan identifiera dig eller någon annan i de fritt formulerade svaren.
• Wellspots administration ser inte enskilda svar. Tjänsten visar endast sammanställningar av svaren med minst fem svarande.
• Pulsenkäten omfattas inte av välmåendesamtycket, och Wellspot använder inte svaren för egna ändamål.

3.5 Terapeuter (Wellspot som personuppgiftsansvarig)

Uppgifter: namn, e-post, telefon, utbildning, presentation, bild, arbetsspråk och kompetensområden, tillgänglighet och schema, arvodes- och faktureringsuppgifter.

Rättslig grund: avtal med terapeuten (artikel 6.1 b i GDPR) och bokföringsskyldighet (6.1 c).

Vem ser uppgifterna: en godkänd terapeuts profil (namn, presentation, bild, språk, kompetensområden) syns för inloggade användare av tjänsten. Profilbilden finns i ett offentligt lagringsutrymme och kan öppnas via en direkt adress. Telefon, utbildning, e-post och arvodesuppgifter syns endast för terapeuten och Wellspot.

3.6 Terapeutsökande (Wellspot som personuppgiftsansvarig)

Uppgifter: namn, e-post, telefon, utbildning och yrkesbeteckning, erfarenhet i år, arbetsspråk, kompetensområden, presentation, önskat arvode, uppskattad tillgänglighet per vecka, bild, tidpunkt för inskickandet samt tidpunkten då du bekräftade att du har läst denna beskrivning.

Varifrån: från dig själv via ansökningsformuläret på wellspot.fi/terapeuteille.

Ändamål: behandling av ansökan och skapande av terapeutprofil för en godkänd sökande.

Rättslig grund: åtgärder före avtal på din begäran (artikel 6.1 b i GDPR).

Bild: behandlas vid lagringen så att dess metadata, även platsuppgifter, tas bort. Under ansökningsskedet finns bilden i ett stängt lagringsutrymme, och endast Wellspots administration ser den. Bilden publiceras för tjänstens användare endast om ansökan godkänns.

Förhindrande av missbruk: ansökningsformuläret behandlar en identifierare som beräknats av IP-adressen och e-postadressen, och den ursprungliga uppgiften kan inte utredas ur den utan Wellspots hemliga nyckel. Identifieraren raderas efter ett dygn.

3.7 Kontaktpersoner hos kundföretag och personer som kontaktar oss (Wellspot som personuppgiftsansvarig)

Uppgifter: namn, arbetsmejl, telefon, organisation och uppgift, innehållet i kontakter och avtal.

Rättslig grund: förberedelse och fullgörande av avtal (6.1 b) eller Wellspots berättigade intresse att sköta kundrelationen och besvara kontakter (6.1 f).

3.8 Besökare på webbplatsen wellspot.fi

wellspot.fi använder inte kakor, analysverktyg eller annonsspårning. Serverplattformen behandlar vid varje förfrågan IP-adressen, webbläsarens identifierare och den begärda sidan för att leverera tjänsten och säkerställa informationssäkerheten (berättigat intresse, 6.1 f).

4. Vad din arbetsgivare ser

Av välmåendeuppgifterna och bokningarna ser din arbetsgivare endast sammanställningar på gruppnivå med minst fem personer. Om gruppen har färre än fem personer visas inga uppgifter.

Teamvarning: nivån räknas ut om medelvärdet av teamets svar har försämrats tydligt under de senaste åtta veckorna jämfört med de åtta veckorna innan. Nivån räknas endast ut när teamet har minst fem svarande under båda perioderna, och chefens egna svar räknas inte in i teamets nivå. Chefen ser sitt eget teams nivå. HR:s vy är avstängd som standard, och arbetsgivaren tar i bruk den först efter att ha informerat personalen.

Om du är chef: ditt teams varningsnivå är också en uppgift som gäller dig, eftersom den visas med ditt namn. Wellspot räknar ut nivån och lämnar ut den till din arbetsgivare som en del av den överenskomna tjänsten (artikel 6.1 f i GDPR).

5. Lagringstider

Raderingar görs automatiskt genom en daglig körning, om inte annat anges i tabellen.

Pseudonymisering: när ditt konto raderas eller bokningarna blir för gamla ersätts din användaridentifierare i uppgifterna med en slumpmässig identifierare som inte kan kopplas till ditt namn, din e-post eller ditt användarkonto. Fritt formulerade texter och möteslänkar raderas. Raderna sparas så att organisationens statistik och terapeutens fakturering förblir korrekta. Pseudonymiserade uppgifter är fortfarande personuppgifter och skyddas på samma sätt.

När ditt användarkonto raderas raderas ditt namn, din e-post och din inloggningsidentifierare, dina kommande bokningar avbokas, och övriga uppgifter pseudonymiseras på det sätt som beskrivs ovan. Arbetsgivarens statistik räknas även från pseudonymiserade uppgifter, så den ändras inte på grund av att kontot raderas. Det är din arbetsgivares ansvar att radera kontot när anställningen upphör.

6. Mottagare, personuppgiftsbiträden och överföringar

Uppgifterna säljs inte och lämnas inte ut för marknadsföring. Följande tjänsteleverantörer behandlar uppgifter för vår räkning med stöd av avtal.

Uppgifterna lagras och behandlas i EU. En del av tjänsteleverantörerna är amerikanska bolag vars personal i undantagsfall, till exempel vid teknisk support, kan få tillgång till uppgifterna från länder utanför EU. Data Privacy Framework grundar sig på Europeiska kommissionens beslut om adekvat skyddsnivå, och standardavtalsklausulerna är avtalsvillkor som godkänts av kommissionen.

Din arbetsgivare får uppgifterna om användarkontot och de sammanställningar som beskrivs i avsnitt 4. Terapeuten får uppgifterna om bokningen enligt avsnitt 3.3.

7. Dina rättigheter

Du har rätt att:

• få tillgång till dina uppgifter och överföra dem: ladda ner dina egna uppgifter i maskinläsbart format i tjänstens inställningar (Mina uppgifter).
• återkalla ditt samtycke när som helst i inställningarna. Dina välmåendeuppgifter raderas omedelbart. Bokningssamtycket kan du återkalla separat, och då avbokas dina kommande bokningar och kopplingen mellan dig och tidigare bokningar bryts. Återkallelsen påverkar inte lagligheten av behandling som skett innan dess.
• begära rättelse eller radering av uppgifter: via formuläret för begäranden i tjänsten. Begäranden som gäller användarkontot behandlas av din arbetsgivare.
• begära begränsning av behandlingen och invända mot behandling som grundar sig på berättigat intresse.
• lämna klagomål till tillsynsmyndigheten: Dataombudsmannens byrå, tietosuoja.fi.

Begäranden som gäller välmåendeuppgifter, bokningar, terapeuter och terapeutansökningar behandlas av Wellspot: tietosuoja@wellspot.fi eller formuläret för begäranden i tjänsten. Din arbetsgivare ser inte dessa begäranden. Vi svarar inom en månad.

8. Automatiserad behandling, informationssäkerhet, kakor och ändringar

Automatisk anpassning: tjänsten väljer mikrohandlingar automatiskt utifrån dina temapoäng. Detta har inga rättsliga följder eller annan betydande inverkan på dig, och det är inte fråga om automatiserat beslutsfattande enligt artikel 22 i GDPR. Du kan stänga av mikrohandlingarna i inställningarna.

Informationssäkerhet:

• Anslutningarna är krypterade (TLS), och databasen är krypterad i vila.
• Åtkomsten till uppgifterna är begränsad på databasnivå enligt roll. Arbetsgivarens vyer får av välmående- och bokningsuppgifterna endast sammanställningar med minst fem personer.
• De fritt formulerade svaren i pulsenkäten är dessutom krypterade på applikationsnivå.
• Tjänstens händelselogg (t.ex. inloggningar, inbjudningar, bokningar, raderingar och administrativa åtgärder) innehåller användaridentifierare, men inga namn, e-postadresser eller IP-adresser. Den sparas i 12 månader.
• Inloggningstjänsten (Supabase Auth) för en egen händelselogg med IP-adresser. Loggen sparas hos tjänsteleverantören i högst 7 dagar och lagras inte i Wellspots databas.
• Serverplattformens (Vercel) förfrågningsloggar innehåller IP-adresser, och vid fel kan en användar- eller bokningsidentifierare sparas i dem. Loggarna sparas i högst 1 dag.
• E-posttjänsten (Resend) sparar mottagarna och innehållet i skickade meddelanden i sin egen logg. Loggen sparas i 30 dagar.
• Godkända terapeuters profilbilder finns i ett offentligt lagringsutrymme och kan öppnas via en direkt adress utan inloggning.

Kakor: wellspot.fi använder inte kakor. Tjänsten app.wellspot.fi använder endast kakor som är nödvändiga för funktionen. Videomötet öppnas på Wherebys webbplats, som använder egna kakor.

Ändringar: vi uppdaterar beskrivningen när behandlingen ändras. Om väsentliga ändringar berättar vi i tjänsten. Om ändringen gäller behandlingen av välmåendeuppgifter eller bokningar ber vi om ditt samtycke på nytt.