1. Scope and data controller

This policy covers BeSafePlus, BeSafeBasic and BeSafeNEXT. The three apps may contain different modules or be configured differently in individual deployments. The exact processing therefore depends on the installed version, enabled functions and, where relevant, the research project in which the app is used.

When Aarhus University determines the purposes and means of processing personal data for its own activities, Aarhus University is the data controller. In some collaborations AU may instead act as a data processor on behalf of another controller; in that case the relevant controller’s information and data-processing agreement govern that processing.

2. General GDPR principles

Personal data means information that can identify a person directly or indirectly. Depending on the app and research protocol, this can include ordinary personal data and special-category data such as health information.

The BeSafe apps are intended to follow the GDPR principles of lawfulness, fairness and transparency; purpose limitation; data minimisation; accuracy; storage limitation; integrity and confidentiality; and accountability. Personal data is not collected merely because it may be useful later.

• No sale of personal data. Personal data is not sold to advertisers or data brokers.
• No advertising profiling. Research or health-related information is not used to build advertising profiles.
• Purpose-bound processing. Data is used for the app function, project administration, security, quality assurance and/or research purposes described to the user or participant.
• Data minimisation. Only data reasonably necessary for the enabled purpose should be processed.

3. Privacy during use of the apps

3.1 Data categories

Depending on the specific BeSafe app, enabled functions and study/deployment, processing may include participant, user or study identifiers; questionnaire or symptom information; activity and step data; health or sensor measurements; device and app diagnostics; timestamps; notification-routing identifiers; network information; and, where enabled, location data. The exact processing for a research study is also described in the participant information for that study.

BeSafePlus has additional continuous activity and location functions. The current BeSafePlus mobile configuration is described below so that the privacy notice reflects the permissions declared by the Android and iOS applications.

3.2 Current BeSafePlus permissions and purposes

3.3 Background location – prominent disclosure

Depending on the device and the permission selected by the user, the app can receive precise or approximate location. Location may be accessed in the foreground and, where background/“always” access is granted, in the background. On configured deployments, location and a phone/device identifier may also be transmitted over the local network to the configured home gateway, including by MQTT, and may form part of tracking data synchronised with a BeSafe/research service.

You can deny or later revoke location permission in Android or iOS settings. Location-dependent tracking will then be limited or unavailable. The Android application must also present a prominent disclosure in the normal app flow before requesting background-location permission.

3.4 Security and storage

AU applies technical and organisational measures appropriate to the processing risk. Access to BeSafe backend/research data is restricted to authorised persons and systems with an operational or research need. Research datasets are pseudonymised where appropriate and feasible. Remote transfer of personal or sensitive information must use protection appropriate to the configured service, and local-network communication is limited to the configured deployment.

Some information may be stored temporarily on the device for operation, continuity, offline use, reliability or error recovery. Personal, health and location data must not be retained locally longer than necessary for the configured purpose. Platform backup and file-sharing settings must be configured so that sensitive BeSafe data is not unintentionally exposed or retained through general device/cloud backup or user-accessible file sharing.

3.5 Sharing, processors and third-party services

BeSafe personal, health and location data is not sold to advertisers or data brokers and is not used for advertising profiling. Data may be accessible, only as necessary, to authorised AU personnel, the responsible research team, approved collaborators, or service providers/processors supporting the relevant deployment.

Where a third party processes personal data on behalf of AU, appropriate contractual, organisational and technical safeguards are required. Third parties receiving user data must provide protection consistent with applicable data-protection law and, where required by Apple or Google platform rules, protection equivalent to that described in this policy.

Apple and Google may independently process information associated with App Store/Google Play accounts, downloads, operating-system services, push-notification delivery or platform diagnostics under their own privacy terms. Firebase Cloud Messaging is used on Android for push-message delivery; Apple Push Notification service is used on iOS.

3.6 App-store and platform privacy declarations

The Google Play Data Safety form, Google Health apps declaration, sensitive-permissions declarations, foreground-service declarations, Apple App Privacy information and any Apple privacy manifest must be kept consistent with the behaviour of the released binary and with this policy. If an app version changes its data collection, SDKs or permissions, those declarations and this policy must be updated accordingly.

4. Deletion, withdrawal and permission controls

4.1 Device permissions

You can revoke permissions such as location, HealthKit/health access, motion/activity, camera or notifications in Android or iOS settings. Revoking a permission stops future access through that permission, although app functions depending on it may become limited or unavailable.

4.2 Requesting access, correction or deletion

For app- or study-specific requests, contact the responsible study/deployment team using the contact information shown in the app, study invitation or participant-information material. If those details are not available, contact Aarhus University at au@au.dk or AU’s Data Protection Officer at dpo@au.dk. State which BeSafe app and, if relevant, which study/deployment your request concerns.

AU or the relevant data controller will assess requests for access, rectification, restriction or erasure under the GDPR and other applicable law. Where deletion is legally required and no lawful retention obligation or research exemption applies, the relevant personal data will be deleted or irreversibly anonymised. Leaving a study or revoking a device permission does not necessarily require deletion of research data already lawfully collected.

4.3 App accounts

If a particular BeSafe version allows a user to create an app account, that version must provide the account-deletion method required by the applicable platform rules and explain any lawful retention exceptions. Deactivation alone is not treated as deletion where deletion is required.

5. Privacy when the apps are used for research

Use of a BeSafe app in a study does not by itself constitute GDPR consent. The legal basis for a specific research project is decided by the data controller and must be stated in the study-specific participant information.

5.1 Sources of research data

Research data may be collected directly from you through the app, questionnaires, interviews, measurements or observations, and may in some studies be combined with information obtained from other lawful sources such as health systems, public registers, healthcare providers or collaborating institutions. Any such combination must be described in the relevant study information.

5.2 Legal basis used by AU for research

Aarhus University’s research-privacy information states that, depending on the project, ordinary personal data may be processed under GDPR Article 6(1)(e) (task in the public interest) or Article 6(1)(a) (consent). Sensitive personal data may be processed under Article 9(2)(j), together with section 10(1) of the Danish Data Protection Act and Article 6(1)(e), or under Article 9(2)(a) and Article 6(1)(a) when explicit consent is the chosen legal basis.

If a Danish civil registration number (CPR) is processed, AU states that this is done only when necessary for unique identification, in accordance with section 11(1) of the Danish Data Protection Act. Other sector-specific legislation, including health legislation, may also apply.

5.3 Pseudonymisation and access

Research data should be pseudonymised where this can be done without frustrating the research purpose. Access is limited to authorised persons with a need to know, and collaborators or service providers receive data only where there is a legal basis and appropriate agreements or safeguards.

5.4 Sharing and transfers

Research may involve collaboration across organisations or countries. If personal data is transferred outside the EU/EEA, AU states that an appropriate transfer basis and safeguards must be established so that protection is essentially equivalent to that required within the EU/EEA.

5.5 Retention

Data is kept only as long as needed for the stated purposes, subject to legal, documentation and research-integrity requirements. AU’s research notice states that research data, including personal data, is generally retained for at least five years after the latest research publication in order to document research integrity. Operational app data that is no longer required for its stated purpose is deleted or irreversibly anonymised unless a lawful retention requirement applies.

5.6 Withdrawal from a study and withdrawal of consent

If the processing is based on GDPR consent, consent may be withdrawn for future processing. Withdrawal does not make earlier lawful processing unlawful. Leaving a study does not necessarily mean that already collected research data must be erased; the applicable outcome depends on the study’s legal basis and research exemptions. The study-specific participant information should explain this.

6. Your data-protection rights

Under the GDPR, rights can include access, rectification, erasure, restriction, data portability in certain situations, objection, and the right not to be subject to a decision based solely on automated processing that produces legal or similarly significant effects.

Research can involve statutory limitations or exemptions. AU’s general privacy policy notes that some rights may be limited in relation to research and public-authority tasks. AU’s research-privacy information further describes specific research limitations, including that erasure may be refused where deletion would make research impossible or seriously impair it. Study-specific information therefore matters.

Unless a specific study explicitly states otherwise, the BeSafe apps are not intended to make solely automated decisions that produce legal or similarly significant effects for the user. Algorithms may support monitoring, research analysis or alerts, but any materially different use must be described in the relevant project information.

7. Contact, DPO and complaints

Danish Data Protection Agency

You can complain about the processing of personal data to the Danish Data Protection Agency (Datatilsynet): Carl Jacobsens Vej 35, DK-2500 Valby, phone +45 33 19 32 00, dt@datatilsynet.dk. AU and Datatilsynet recommend that you normally contact the data controller first, so the issue can be assessed and, where possible, resolved.

8. Changes to this privacy policy

This page may be updated when app functionality, research use, suppliers or legal requirements change. The date at the top of the page shows the latest revision. Material changes affecting an ongoing study should also be communicated through the appropriate study/app channel where required.

9. Official AU and platform information

This shared notice is designed to be read together with the current official material below:

• Aarhus University – Privacy Policy
• Aarhus University – Personal data in research when AU is the data controller
• AU – Data Protection Officer information
• AU – Official logo guidelines and logo download
• Danish Data Protection Agency – Contact
• Apple – App Review Guidelines
• Apple – Protecting HealthKit user privacy
• Google Play – Background location requirements

This page summarises and supplements the official material; it is not a verbatim copy of AU’s privacy policy.

1. Omfang og dataansvar

Denne politik omfatter BeSafePlus, BeSafeBasic og BeSafeNEXT. De tre apps kan indeholde forskellige moduler eller være konfigureret forskelligt i konkrete implementeringer. Den præcise behandling afhænger derfor af den installerede version, de aktiverede funktioner og – hvor det er relevant – det forskningsprojekt, som appen bruges i.

Når Aarhus Universitet fastlægger formål og hjælpemidler for behandling af personoplysninger i universitetets egne aktiviteter, er Aarhus Universitet dataansvarlig. I visse samarbejder kan AU i stedet være databehandler for en anden dataansvarlig; i så fald reguleres behandlingen af den relevante dataansvarliges information og databehandleraftalen.

2. Generelle GDPR-principper

Personoplysninger er oplysninger, der direkte eller indirekte kan identificere en person. Afhængigt af appen og forskningsprotokollen kan dette både omfatte almindelige personoplysninger og særlige kategorier af personoplysninger, fx helbredsoplysninger.

BeSafe-appsene er tænkt anvendt i overensstemmelse med GDPR-principperne om lovlighed, rimelighed og gennemsigtighed; formålsbegrænsning; dataminimering; rigtighed; opbevaringsbegrænsning; integritet og fortrolighed; samt ansvarlighed. Personoplysninger indsamles ikke blot, fordi de måske kan blive nyttige senere.

• Ingen salg af personoplysninger. Personoplysninger sælges ikke til annoncører eller datahandlere.
• Ingen reklameprofilering. Forsknings- eller helbredsrelaterede oplysninger bruges ikke til at opbygge reklameprofiler.
• Formålsbestemt behandling. Oplysninger bruges til appens funktion, projektadministration, sikkerhed, kvalitetssikring og/eller de forskningsformål, der er oplyst til brugeren eller deltageren.
• Dataminimering. Der bør kun behandles oplysninger, som med rimelighed er nødvendige for det aktiverede formål.

3. Privatliv ved brug af appsene

3.1 Datakategorier

Afhængigt af den konkrete BeSafe-app, de aktiverede funktioner og studiet/implementeringen kan behandlingen omfatte deltager-, bruger- eller studieidentifikatorer; spørgeskema- eller symptomoplysninger; aktivitets- og skridtdata; helbreds- eller sensormålinger; enheds- og appdiagnostik; tidsstempler; identifikatorer til levering af notifikationer; netværksoplysninger; og, hvor funktionen er aktiveret, lokationsdata. Den præcise behandling i et forskningsstudie beskrives også i deltagerinformationen for det pågældende studie.

BeSafePlus har yderligere funktioner til kontinuerlig aktivitet og lokation. Den aktuelle BeSafePlus-mobilkonfiguration beskrives nedenfor, så privatlivspolitikken afspejler de tilladelser, der er deklareret i Android- og iOS-appene.

3.2 Aktuelle BeSafePlus-tilladelser og formål

3.3 Baggrundslokation – tydelig oplysning

Afhængigt af enheden og den tilladelse, brugeren vælger, kan appen modtage præcis eller omtrentlig lokation. Lokation kan tilgås i forgrunden og, når baggrunds-/“altid”-adgang er givet, i baggrunden. I konfigurerede implementeringer kan lokation og en telefon-/enhedsidentifikator også overføres via det lokale netværk til den konfigurerede hjemme-gateway, herunder via MQTT, og kan indgå i sporingsdata, der synkroniseres med en BeSafe-/forskningstjeneste.

Du kan afvise eller senere tilbagekalde lokationstilladelsen i Android- eller iOS-indstillingerne. Lokationsafhængig sporing vil derefter være begrænset eller utilgængelig. Android-appen skal desuden vise en tydelig oplysning i det normale appforløb før den anmoder om baggrundslokation.

3.4 Sikkerhed og lagring

AU anvender tekniske og organisatoriske foranstaltninger, der passer til behandlingsrisikoen. Adgang til BeSafe-backend-/forskningsdata begrænses til autoriserede personer og systemer med et drifts- eller forskningsmæssigt behov. Forskningsdatasæt pseudonymiseres, hvor det er relevant og muligt. Fjernoverførsel af personlige eller følsomme oplysninger skal anvende beskyttelse, der passer til den konfigurerede tjeneste, og kommunikation på lokalt netværk begrænses til den konfigurerede implementering.

Visse oplysninger kan midlertidigt lagres på enheden af hensyn til drift, kontinuitet, offlinebrug, robusthed eller fejlretning. Person-, helbreds- og lokationsdata må ikke opbevares lokalt længere end nødvendigt for det konfigurerede formål. Platformens backup- og fildelingsindstillinger skal konfigureres, så følsomme BeSafe-data ikke utilsigtet eksponeres eller bevares via generel enheds-/cloud-backup eller brugertilgængelig fildeling.

3.5 Videregivelse, databehandlere og tredjepartstjenester

BeSafe-person-, helbreds- og lokationsdata sælges ikke til annoncører eller datahandlere og bruges ikke til reklameprofilering. Oplysninger kan kun i nødvendigt omfang være tilgængelige for autoriserede AU-medarbejdere, det ansvarlige forskningsteam, godkendte samarbejdspartnere eller leverandører/databehandlere, der understøtter den relevante implementering.

Når en tredjepart behandler personoplysninger på vegne af AU, kræves passende kontraktuelle, organisatoriske og tekniske garantier. Tredjeparter, der modtager brugerdata, skal yde en beskyttelse i overensstemmelse med gældende databeskyttelsesret og, hvor Apples eller Googles platformregler kræver det, en beskyttelse svarende til den, der beskrives i denne politik.

Apple og Google kan selvstændigt behandle oplysninger knyttet til App Store-/Google Play-konti, downloads, operativsystemtjenester, levering af push-notifikationer eller platformdiagnostik efter deres egne privatlivsvilkår. Firebase Cloud Messaging anvendes på Android til levering af push-beskeder; Apple Push Notification service anvendes på iOS.

3.6 App-butik- og platformserklæringer

Google Play Data Safety, Google Health apps-erklæringen, erklæringer om følsomme tilladelser, erklæringer om tjenester i forgrunden, Apple App Privacy-oplysninger og eventuelle Apple privacy manifests skal holdes i overensstemmelse med den frigivne apps faktiske adfærd og med denne politik. Hvis en appversion ændrer dataindsamling, SDK’er eller tilladelser, skal disse erklæringer og denne politik opdateres tilsvarende.

4. Sletning, tilbagetrækning og styring af tilladelser

4.1 Enhedstilladelser

Du kan tilbagekalde tilladelser som lokation, HealthKit-/sundhedsadgang, bevægelse/aktivitet, kamera eller notifikationer i Android- eller iOS-indstillingerne. Tilbagekaldelse stopper fremtidig adgang via den pågældende tilladelse, men funktioner, der afhænger af den, kan blive begrænsede eller utilgængelige.

4.2 Anmodning om indsigt, rettelse eller sletning

Ved app- eller studiespecifikke anmodninger skal du kontakte det ansvarlige studie-/implementeringsteam via kontaktoplysningerne i appen, studieinvitationen eller deltagerinformationen. Hvis disse oplysninger ikke er tilgængelige, kan du kontakte Aarhus Universitet på au@au.dk eller AU’s databeskyttelsesrådgiver på dpo@au.dk. Angiv hvilken BeSafe-app og, hvor relevant, hvilket studie/implementering din anmodning vedrører.

AU eller den relevante dataansvarlige vurderer anmodninger om indsigt, berigtigelse, begrænsning eller sletning efter GDPR og anden gældende lovgivning. Hvor sletning er juridisk påkrævet, og ingen lovlig opbevaringspligt eller forskningsundtagelse gælder, slettes eller irreversibelt anonymiseres de relevante personoplysninger. Udtræden af et studie eller tilbagekaldelse af en enhedstilladelse medfører ikke nødvendigvis krav om sletning af forskningsdata, der allerede er indsamlet lovligt.

4.3 Appkonti

Hvis en bestemt BeSafe-version giver brugeren mulighed for at oprette en appkonto, skal den version tilbyde den kontosletningsmetode, som de relevante platformregler kræver, og forklare eventuelle lovlige undtagelser til sletning. Deaktivering alene betragtes ikke som sletning, hvor sletning er påkrævet.

5. Privatliv når appsene bruges til forskning

Brug af en BeSafe-app i et studie er ikke i sig selv et GDPR-samtykke. Retsgrundlaget for det konkrete forskningsprojekt fastlægges af den dataansvarlige og skal fremgå af den projektspecifikke deltagerinformation.

5.1 Kilder til forskningsdata

Forskningsdata kan indsamles direkte fra dig gennem appen, spørgeskemaer, interviews, målinger eller observationer og kan i visse studier kombineres med oplysninger, der lovligt indhentes fra andre kilder, fx sundhedssystemer, offentlige registre, sundhedsudbydere eller samarbejdende institutioner. En sådan sammenkobling skal beskrives i den relevante studieinformation.

5.2 AU’s retsgrundlag for forskning

Aarhus Universitets information om personoplysninger i forskning beskriver, at almindelige personoplysninger – afhængigt af projektet – kan behandles efter GDPR artikel 6, stk. 1, litra e (opgave i samfundets interesse) eller artikel 6, stk. 1, litra a (samtykke). Følsomme personoplysninger kan behandles efter artikel 9, stk. 2, litra j, sammenholdt med databeskyttelseslovens § 10, stk. 1 og artikel 6, stk. 1, litra e, eller efter artikel 9, stk. 2, litra a og artikel 6, stk. 1, litra a, når udtrykkeligt samtykke er det valgte retsgrundlag.

Hvis CPR-nummer behandles, angiver AU, at det kun sker, når det er nødvendigt for entydig identifikation, jf. databeskyttelseslovens § 11, stk. 1. Anden sektorspecifik lovgivning, herunder sundhedslovgivning, kan også finde anvendelse.

5.3 Pseudonymisering og adgang

Forskningsdata bør pseudonymiseres, hvor det kan ske uden at hindre forskningsformålet. Adgang begrænses til autoriserede personer med et sagligt behov, og samarbejdspartnere eller leverandører modtager kun oplysninger, når der er et lovligt grundlag og passende aftaler eller garantier.

5.4 Videregivelse og overførsler

Forskning kan indebære samarbejde på tværs af organisationer eller lande. Hvis personoplysninger overføres uden for EU/EØS, angiver AU, at der skal etableres et passende overførselsgrundlag og garantier, så beskyttelsen i det væsentlige svarer til den, der kræves inden for EU/EØS.

5.5 Opbevaring

Oplysninger opbevares kun så længe, som det er nødvendigt for de oplyste formål, med forbehold for lovkrav, dokumentationskrav og krav til forskningsintegritet. AU’s forskningsinformation angiver, at forskningsdata, herunder personoplysninger, som udgangspunkt opbevares i mindst fem år efter den seneste forskningspublikation for at dokumentere forskningsintegriteten. Driftsdata fra appen, som ikke længere er nødvendige for det oplyste formål, slettes eller irreversibelt anonymiseres, medmindre et lovligt opbevaringskrav gælder.

5.6 Udtræden af studie og tilbagetrækning af samtykke

Hvis behandlingen er baseret på GDPR-samtykke, kan samtykket trækkes tilbage for fremtidig behandling. Tilbagetrækning gør ikke tidligere lovlig behandling ulovlig. Udtræden af et studie betyder ikke nødvendigvis, at allerede indsamlede forskningsdata skal slettes; resultatet afhænger af studiets retsgrundlag og forskningsundtagelser. Det bør fremgå af den projektspecifikke deltagerinformation.

6. Dine databeskyttelsesrettigheder

Efter GDPR kan rettigheder bl.a. omfatte indsigt, berigtigelse, sletning, begrænsning af behandling, dataportabilitet i visse tilfælde, indsigelse og retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling og har retsvirkning eller tilsvarende væsentlig betydning.

Forskning kan være omfattet af lovbestemte begrænsninger eller undtagelser. AU’s generelle privatlivspolitik angiver, at visse rettigheder kan være begrænsede i relation til forskning og offentlig myndighedsudøvelse. AU’s forskningsinformation beskriver yderligere særlige forskningsbegrænsninger, herunder at sletning kan afvises, hvis sletning vil gøre forskning umulig eller i alvorlig grad hindre den. Projektspecifik information er derfor vigtig.

Medmindre et konkret studie udtrykkeligt angiver andet, er BeSafe-appsene ikke tænkt til at træffe fuldautomatiske afgørelser, der har retsvirkning eller tilsvarende væsentlig betydning for brugeren. Algoritmer kan understøtte monitorering, forskningsanalyse eller alarmer, men en væsentligt anden anvendelse skal beskrives i den relevante projektinformation.

7. Kontakt, DPO og klagemulighed

Datatilsynet

Du kan klage over behandling af personoplysninger til Datatilsynet: Carl Jacobsens Vej 35, 2500 Valby, telefon 33 19 32 00, dt@datatilsynet.dk. AU og Datatilsynet anbefaler normalt, at du først kontakter den dataansvarlige, så forholdet kan vurderes og om muligt løses.

8. Ændringer i privatlivspolitikken

Denne side kan blive opdateret, når appfunktionalitet, forskningsbrug, leverandører eller juridiske krav ændrer sig. Datoen øverst på siden viser seneste revision. Væsentlige ændringer, der påvirker et igangværende studie, bør også kommunikeres via den relevante studie-/appkanal, når det er påkrævet.

9. Officiel information fra AU, tilsyn og platforme

Denne fælles politik er udformet til at blive læst sammen med det aktuelle officielle materiale nedenfor:

• Aarhus Universitet – Privatlivspolitik
• Aarhus Universitet – Personoplysninger i forskning, hvor AU er dataansvarlig
• AU – Kontakt til databeskyttelsesrådgiver (DPO)
• AU – Retningslinjer for logo og download
• Datatilsynet – Klager og tips
• Apple – App Review Guidelines
• Apple – Beskyttelse af HealthKit-brugerdata
• Google Play – Krav til baggrundslokation

Denne side opsummerer og supplerer det officielle materiale; den er ikke en ordret kopi af AU’s privatlivspolitik.