Integritetspolicy

Sammanfattning

ClubFlow är ett verktyg som fotbollsklubbar använder för att driva sig själva, hantera lag, spelare, matcher, utvecklingsplaner och scouting. För att göra det håller vi de uppgifter klubben lägger in om personerna i den. Denna policy förklarar exakt vad vi håller, varför, vilka andra ser det och vad du kan be oss göra med uppgifterna.

Endast klubbpersonal (ägare, administratörer, tränare och scouter) har ClubFlow-konton. Spelare och deras föräldrar loggar inte in i plattformen; deras uppgifter registreras och hanteras av den klubbpersonal som arbetar med dem. Det enda undantaget är wellness-incheckningar: när en klubb har aktiverat dem skickar spelarna själva in sina korta incheckningar via en länk som klubben delar, fortfarande utan konto.

Vad som ändrats i version 2.4 (28 juli 2026): övergångsförhandlingar är nu en dokumenterad uppgiftskategori med fastställd lagringstid. De ingår i dataexporter, rensas när en persons post raderas eller anonymiseras och gallras 24 månader efter att ett ärende avslutats. Version 2.3 (26 juli 2026) fastställde lagringstiden för wellness-incheckningar.

Vilka är vi

ClubFlow är teamet som bygger och driver ClubFlow-plattformen. Det finns två ansvarslager:

• För uppgifter klubben lägger in i plattformen (trupplistor, matcher, utvecklingsanteckningar, scoutingregister) är klubben personuppgiftsansvarig och ClubFlow agerar som klubbens personuppgiftsbiträde.
• För kontouppgifter vi håller om de som loggar in (ditt namn, e-post, klubbar och roller du har åtkomst till) är ClubFlow personuppgiftsansvarig.

För integritetsfrågor eller för att utöva dina rättigheter enligt GDPR, skriv till privacy@theclubflow.com.

Uppgifter vi samlar in

Allt nedan är uppgifter vi antingen fångar in vid registrering eller som klubbpersonal skriver in i produkten. Vi importerar inga personuppgifter om spelare från någon extern källa idag. Frivilliga fält är markerade som sådana.

Externa källor vi läser från

En klubb kan koppla på frivilliga integrationer som låter ClubFlow läsa uppgifter från ett externt system. Vi skickar aldrig data åt andra hållet.

• Svenska Fotbollförbundet (SvFF). När en klubb kopplar SvFF läser ClubFlow klubbens laglista, matcher, tabeller och motståndaremblem. Kopplingen är endast-läs; inga klubb-, spelar- eller personaluppgifter skickas tillbaka till SvFF.

Hur vi använder uppgifterna

Vi använder uppgifterna ovan endast för att driva de delar av produkten som klubben använder:

• Visa trupplistor, matcher, tabeller och utvecklingsplaner för rätt personer inom klubben.
• Följa speltid över säsongen så att tränare kan balansera tiden på plan.
• Köra mognadsprognosen för en spelare när föräldralängdsuppgifter har lagts in.
• Koppla scoutrapporter och inkomna ansökningsformulär till rätt kandidatregister.
• Visa en spelares senaste wellness-incheckningar för den tränarstab som ansvarar för spelaren, så att träningsbelastningen kan anpassas. Incheckningar är aldrig synliga för scouter och lämnar aldrig klubben.
• Skicka transaktionsmejl knutna till själva kontot: verifieringsmejl vid registrering, lösenordsåterställning, inbjudningar.
• Felsöka, övervaka tjänstens hälsa och hålla plattformen säker.

Vi använder inte några av dessa uppgifter för annonsering. Vi profilerar inte användare. Vi tränar inga maskininlärningsmodeller på personuppgifter.

Rättslig grund (GDPR)

Enligt artikel 6 i GDPR är våra rättsliga grunder:

Avtal

Att hålla dina kontouppgifter och tillhandahålla de funktioner klubben valt att använda.

Berättigat intresse

Hålla tjänsten igång, felsöka och skydda den mot missbruk. Vi väger detta mot rättigheterna för personerna i systemet; du kan invända när som helst.

Samtycke

Godkännande av denna policy och användarvillkoren vid registrering. Samtycke registreras så att vi kan bevisa efterlevnad enligt GDPR Art. 7.

Uttryckligt samtycke (hälsodata)

Wellness-incheckningar är hälso- och välbefinnandedata, som GDPR Art. 9 behandlar som en särskild kategori. När en klubb aktiverar incheckningar ansvarar klubben, som personuppgiftsansvarig, för att hålla uttryckligt samtycke från varje spelare, och från vårdnadshavare för spelare under 18 år. ClubFlow blockerar funktionen tills klubben intygat detta i produkten, och registrerar vem som intygade och när.

Vilka vi delar med

Vi använder ett litet antal personuppgiftsbiträden för att driva plattformen. Varje biträde är bundet av ett skriftligt personuppgiftsbiträdesavtal som förbjuder annan användning av uppgifterna. Vi beskriver dem efter kategori istället för att namnge enskilda leverantörer här, så att policyn förblir korrekt när vi byter leverantör.

Vi överför inga personuppgifter utanför EU/EES. Om det någonsin ändras revideras denna policy och vi mejlar varje kontoinnehavare minst 30 dagar i förväg.

Hur länge vi sparar

Vi sparar uppgifter så länge de behövs för att driva klubben och raderar eller anonymiserar dem därefter enligt ett publicerat schema. Samma schema för lagringstid gäller för alla klubbar på plattformen.

• Aktiva spelare: behålls medan spelaren finns i klubbens trupp. När en spelare markeras som att hen lämnat klubben anonymiseras kontaktfälten (namn, födelsedatum, nationalitet, föräldralängder) av ett schemalagt jobb 12 månader senare som standard; truppskalet behålls så att historisk match- och laguppställningsstatistik fortfarande går att tillskriva.
• Spelare som klubben raderat: mjukraderas under en respit på 1 månad (klubben kan återställa en oavsiktlig radering under perioden) och hårdraderas därefter av ett schemalagt jobb.
• Wellness-incheckningar: raderas omedelbart och permanent när spelarens post raderas, och vid varje raderingsbegäran som klubben hanterar. När en spelares post anonymiseras (se ovan) raderas spelarens samtliga wellness-uppgifter i samma åtgärd; det anonymiserade truppskalet behåller ingen hälsodata. Incheckningar gallras också enligt schema: varje incheckning raderas 12 månader efter incheckningsdatumet, så att hälsodata inte sparas längre än vad uppföljning av träningsbelastning kräver.
• Kalla scoutingkandidater: kandidater som markerats som kalla (inte längre följs) och inte rörts på 24 månader hårdraderas, inklusive scoutrapporter, matchanteckningar och fria anteckningar.
• Övergångsförhandlingar: när en spelares eller en kandidats post raderas tas kontaktloggen, uppladdade dokument och fritextanteckningar på personens övergångsärenden bort i samma åtgärd, och ärendet kopplas loss från personen. När en spelares post anonymiseras tas samma uppgifter bort och endast affärens finansiella skelett (summa, bud, datum, klausultyper) stannar kvar hos klubben. Ärenden gallras också enligt schema: 24 månader efter att ett ärende avslutats (eller senast rördes, om det aldrig avslutades) körs samma rensning automatiskt.
• Audit-loggar: behålls i 24 månader; äldre rader rensas av det schemalagda retention-jobbet.
• Feedback- och buggrapporter: avslutade rapporter raderas 12 månader efter avslut; rapporter som fortfarande är flaggade som åtgärdbara behålls tills de avslutas.
• Kontouppgifter för personal: behålls medan personalmedlemmens konto är aktivt. När ett personalkonto raderas anonymiserar vi de personuppgifter vi har om personen; registren personen skapat inom plattformen (laguppställningar, anteckningar, scoutrapporter) stannar kvar hos klubben.
• Klubbavslut: när en klubb säger upp avtalet tillhandahåller vi en strukturerad export på begäran och raderar därefter klubbens dataunderlag enligt det schema avtalet anger. Det automatiserade 30-dagars självservice- exportfönstret är en framtida funktion; tills den landar körs exporten manuellt av vårt team.
• Samtyckesregister: behålls under den period som krävs för att bevisa efterlevnad enligt GDPR Art. 7(1), även efter att ett personalkonto avslutats.
• Autentiseringsloggar: behålls av vår databas- och autentiseringsleverantör under deras standardretention, som är kort och endast används för säkerhet och diagnostik.

Dina rättigheter

Enligt GDPR har personerna vars uppgifter vi håller rätt att:

1. Få tillgång: få en kopia av de personuppgifter vi har om dig (Art. 15).
2. Rätta: korrigera det som är fel. De flesta fält kan redigeras direkt i produkten (Art. 16).
3. Radera: be oss radera dina personuppgifter, med de lagringskrav som anges ovan (Art. 17).
4. Begränsa: be oss pausa behandling medan en tvist löses (Art. 18).
5. Portera: få dina uppgifter i ett maskinläsbart format (Art. 20).
6. Invända: invända mot behandling vi gör med stöd av berättigat intresse (Art. 21).
7. Klaga: lämna in ett klagomål till Integritetsskyddsmyndigheten (IMY).

Eftersom spelare och deras föräldrar inte har ClubFlow-konton går rättighetsbegäran om en spelares uppgifter ofta snabbast om du först kontaktar klubben själv. Klubben är personuppgiftsansvarig för de uppgifter den har lagt in om sina spelare. Om klubben inte kan hjälpa, eller om begäran gäller kontouppgifter som ClubFlow är ansvarig för, mejla privacy@theclubflow.com. Vi svarar inom den tid som krävs enligt GDPR Art. 12(3): som mest 30 dagar, vanligen mycket snabbare.

Spelare under 18 år

En stor del av uppgifterna i ClubFlow rör spelare under 18 år. Klubben, inte vi, samlar in vårdnadshavares samtycke där svensk lag kräver det. Inom plattformen tillämpar vi samma regler som för alla andra spelare, med några praktiska garantier:

• Tränarkommentarer, utvecklingsanteckningar och betyg är synliga endast för personal med rollbaserad åtkomst till det laget.
• Skade- och frånvaroanteckningar är begränsade till tränarroller och visas aldrig i någon export som delas utanför klubben.
• Wellness-incheckningar för en spelare under 18 år kräver att klubben håller samtycke från vårdnadshavare innan funktionen kan användas. Incheckningar är synliga endast för den tränarstab som ansvarar för spelaren, aldrig för scouter.
• Vi laddar inte upp foton på spelare, och vi kör inga produktfunktioner som skulle publicera spelarnamn eller uppgifter på det öppna internet utan uttryckligt samtycke per spelare från vårdnadshavare, registrerat i systemet.
• Inga spelaruppgifter används för marknadsföring, för analys utanför produktens funktioner, eller för träning av tredjepartsmodeller.

Säkerhet

Personuppgifter krypteras under överföring och vid lagring med den branschstandardkryptering som tillhandahålls av vår databas- och autentiseringsleverantör. Åtkomst till produktionsdata är begränsad till det fåtal personer som behöver den för att driva tjänsten, och åtkomsten loggas.

Om en personuppgiftsincident inträffar som sannolikt medför risk för någons rättigheter, meddelar vi de berörda klubbarna och IMY inom 72 timmar, enligt artikel 33.

Ändringar av denna policy

När vi uppdaterar denna policy listar vi vad som ändrats i toppen av nya versionen. För väsentliga ändringar som påverkar hur vi behandlar personuppgifter ber vi om förnyat samtycke nästa gång du loggar in, och mejlar varje kontoinnehavare minst 30 dagar före ikraftträdandet. Mindre språkjusteringar noteras i changeloggen men utlöser inget mejl.