Personuppgifter, klart uttalat.
TwentyThird behandlar känslig information om ditt inre liv. Denna policy anger vad som behandlas, av vem, var, hur länge och hur det kan stoppas. Ingenting säljs. Ingenting används för reklam.
Vem är ansvarig
WelloWork AB (org. nr. 559472‑9997), Uppsala, Sverige, är personuppgiftsansvarig för all personlig data som behandlas via TwentyThird: på denna webbplats, i ditt konto och i e-post.
Vissa medlemmar får TwentyThird som en förmån från sin arbetsgivare. Arbetsgivaren betalar för tillgång och inget annat. Arbetsgivare får aldrig dina data, dina svar, din användning eller någon analys om dig eller om sin personal som grupp.
Dataskyddskontakt: privacy@day-23.com. Vi svarar inom 30 dagar.
Vad vi bearbetar, och varför
Konto. E-postadress, namn, födelseår, kön, språk och hur du loggar in. Används för att driva ditt konto. Rättslig grund: avtal (artikel 6.1 b GDPR).
Hälsoinformation. Dina intagsvar om humör, familj, relationer, arbete, sömn, drömmar och välbefinnande; dina veckovisa Catchups; dina konsultationssamtal; samt de läsningar och rapporter som produceras utifrån dem. Detta är data av särskild kategori (artikel 9). Rättslig grund: ditt uttryckliga samtycke (artikel 9.2 a och artikel 6.1 a), som ges separat vid registrering och kan återkallas när som helst under Inställningar → Samtycke.
AI-bearbetning. För att skriva läsningar, Catchup-sammanfattningar, sessionssvar och rapporter skickas den del av informationen som varje uppgift kräver till en AI-modell. Rättslig grund: ditt separata samtycke till AI-bearbetning och till överföring utanför EES.
Din cirkel. Om du bjuder in någon ger du oss deras förnamn och e-postadress så att vi kan skicka inbjudan. Om de svarar, informerar deras svar dina läsningar. Se ”Personer du bjuder in” nedan.
Betalning. Prenumerationsstatus och historik. Kortuppgifter hanteras av Stripe och når oss aldrig. Rättslig grund: avtal.
Teknisk data. IP-adress, webbläsare, enhet och tidsstämplar, för att hålla tjänsten säker och begränsa missbruk. När vi lagrar en IP-adress lagrar vi en saltad hash, inte adressen. Rättslig grund: berättigat intresse (artikel 6.1 f).
Analys. Google Analytics körs endast på de offentliga marknadsföringssidorna, och endast efter att du har accepterat det. Aldrig inne på ditt konto. Rättslig grund: samtycke.
Vi frågar inte om ras, etnicitet, politisk åsikt eller religion. Om något du skriver avslöjar det, bearbetas det endast som en del av din egen läsning.
Automatiserade beslut och säkerhet
Varje fri text du skriver kontrolleras av en AI-modell för tecken på att du kan vara i riskzonen för skada. När risken bedöms som hög svarar analytikern inte; du ser istället krisresurser för ditt land, och en säkerhetsflagga registreras på ditt konto, där du kan se den.
Läsningar, sammanfattningar och rapporter är AI-genererade tolkningar. De är inte diagnoser, och inget beslut med rättslig eller liknande betydande effekt fattas utifrån dem.
Du kan be en person på WelloWork att granska en säkerhetsklassificering eller läsning: privacy@day-23.com. Vi meddelar dig resultatet.
Vem behandlar den, och var
Dessa företag behandlar data på våra instruktioner enligt databehandlingsavtal. När data lämnar EES anges överföringsgrunden.
| Behandlare | Syfte | Var | Överföringsgrund |
|---|---|---|---|
| Supabase | Databas, inloggning, fillagring | Irland (EU) | EU-värdskap; standardavtalsklausuler för supportåtkomst |
| Vercel | Värdskap och servrar | Stockholm (EU); globalt nätverk för statiska filer | Standardavtalsklausuler |
| OpenRouter | Gateway som skickar varje AI-förfrågan till modellen | Förenta staterna | Standardavtalsklausuler |
| Google Cloud (Vertex AI), via OpenRouter | AI-modeller (Gemini). Prompter lagras inte eller används för träning | Googles datacenter, inte begränsade till EU | EU–US Data Privacy Framework; Standardavtalsklausuler |
| Stripe | Betalningar och prenumerationer | Irland (EU) och Förenta staterna | EU–US Data Privacy Framework; Standardavtalsklausuler |
| Resend | E-post vi skickar dig, och inbjudningar | Förenta staterna | EU–US Data Privacy Framework; Standardavtalsklausuler |
| Google Analytics | Besök på offentliga sidor, endast med ditt samtycke | Googles datacenter, inklusive Förenta staterna | EU–US Data Privacy Framework; Standardavtalsklausuler |
AI-leverantörer används endast om de varken lagrar prompter eller tränar på dem. Vi säljer eller licensierar inte dina data och använder dem inte för reklam.
Personer du bjuder in
När en medlem bjuder in dig, förser de oss med ditt förnamn och din e-postadress. Vi använder dem endast för att skicka inbjudan och för att visa medlemmen om du svarat.
Om du besvarar relationsfrågorna, informerar dina svar och ett AI-skrivet stycke baserat på dem den medlemmens läsningar, sessioner och rapporter. Medlemmen ser aldrig dina svar eller stycket. Du samtycker till detta innan frågorna börjar.
Dina svar raderas 30 dagar efter att anslutningen upphör, eller omedelbart när du använder raderingslänken i ditt inbjudningsmejl. Inbjudningar som avböjs eller förfaller raderas 30 dagar efter att de förfallit. Du har samma rättigheter som medlemmar; skriv till adressen nedan.
Vem ser det
Inom WelloWork AB: Ett fåtal medarbetare underhåller tjänsten, med åtkomst begränsad av roll. Vi granskar ditt innehåll endast för att besvara en förfrågan från dig, granska en säkerhetsflagga du ber oss granska, eller åtgärda ett fel.
Inte din arbetsgivare. Ingen arbetsgivare, klinik eller annan organisation har åtkomst till medlemsdata eller analyser om medlemmar.
Din psykolog, om du har en: Utöver din handledningsförfrågan väljer du punkt för punkt vad din psykolog ser, och du kan ändra varje val när som helst.
Rättslig skyldighet: Vi lämnar ut data till behöriga myndigheter endast när lagen kräver det, och endast i den utsträckning som krävs.
Datalagring
Hur länge varje typ av data sparas. Ett automatiskt dagligt jobb upprätthåller dessa perioder.
| Data | Sparas i |
|---|---|
| Konto, intagsfrågor (alla versioner), läsningar, Catchups, sessionskonversationer, rapporter, samtyckesregister | Så länge ditt konto existerar |
| Allt ovanstående, efter att du raderat ditt konto | Raderas 30 dagar efter begäran, förutom bokföringsposterna nedan. Inloggning före dess avbryter raderingen |
| Säkerhetsflaggor | Allvarlighetsgrad och kategori med ditt konto; den citerade texten tas bort efter 90 dagar |
| AI-bearbetningslogg (uppgift, modell, tidpunkt — aldrig innehåll) | 90 dagar |
| Register över e-postmeddelanden skickade till dig | 30 dagar efter sändning |
| Svar från personer du bjudit in | Medan anslutningen är aktiv; 30 dagar efter att den avslutas, eller omedelbart om de ber om det |
| Avvisade eller utgångna inbjudningar | 30 dagar efter utgång |
| Meddelanden skickade via kontaktformuläret | 24 månader |
| Räknare för missbruksförebyggande (hashade) | 1–2 dagar |
| Handledning med en psykolog: din begäran, handledningen, dess vårdplaner och ditt samtycke till delning | Så länge ditt konto och din psykologs konto finns kvar. Din psykolog ser dem endast medan handledningen pågår och ditt samtycke gäller |
| Handledningsförfrågningar som avböjts, dragits tillbaka eller löpt ut | 12 månader efter beslutet |
| Överlämningar till din psykolog | 24 månader efter att de avslutas eller handledningen upphör; omedelbart om handledningen raderas |
| Meddelanden i appen | 12 månader |
| Betalda besök och utbetalningar till psykologer (belopp, datum, betalningsreferens) | 7 år efter utgången av betalningsåret, enligt svensk bokföringslag. Ditt namn, anteckningar och länkar tas bort när ditt konto raderas |
| Databasbackuper | Rullande backuper med kort cykel; raderad data försvinner när de löper ut |
| Betalningsregister hos Stripe | Enligt finansiell lagstiftning |
Processorer behåller operativa loggar enligt sina egna villkor, listade ovan.
Dina rättigheter
Du kan komma åt och exportera dina data (Inställningar → Data), korrigera dem (Inställningar och din intake), radera ditt konto (Inställningar → Riskzon), återkalla samtycke (Inställningar → Samtycke), begränsa eller invända mot behandling, och få dina data i ett portabelt format. Att återkalla samtycke stoppar framtida behandling; det upphäver inte det som redan har utförts.
För något annat, eller om du inte kan logga in: privacy@day-23.com. Vi svarar inom 30 dagar. Du kan också klaga till Integritetsskyddsmyndigheten (IMY), Sveriges dataskyddsmyndighet.
Säkerhet
Data krypteras under överföring och i vila. Varje tabell skyddas av säkerhet på radnivå, så ett konto kan endast läsa sina egna poster, och det som tjänsten skriver kan inte ändras från en webbläsare. Kortdata når aldrig våra servrar.
Ålder
TwentyThird är för vuxna. Du måste vara 18 år eller äldre för att skapa ett konto. Om vi får kännedom om att någon under 18 år har ett konto, raderar vi det.
Ändringar
När denna policy ändras väsentligt informerar vi dig i produkten innan ändringen träder i kraft och ber om ditt samtycke igen där det behövs. Versionsdatumet anges nedan.
Gäller från: 18 October 2026 · Tillämplig lag: Svensk lag och GDPR