docs(privacy): record the decision to start hourly statistics

README.md

@@ -494,8 +494,9 @@ and the legal basis for both flows have been reviewed. Empty
 `FTW_CLOUD_STATISTICS_POLICY` keeps it off; an exact approved policy is needed
 to advertise collection. While paused, `/v1/stats` returns 503 with
 `FTW-Statistics-State: disabled`. Withdrawal, purge and retention still run.
-The unsigned [review draft](privacy/project-statistics-dpia.md) records the
-open decisions. Clear terms alone do not establish a lawful basis.
+The [review](privacy/project-statistics-dpia.md) records the decision of 8
+November 2026 to start, and the risks it accepted. Clear terms alone do not
+establish a lawful basis.
 
 Statistics are included for every FTW Cloud user under
 `ftw-cloud-2026-10-v3`. Owners accept the current scope through

deploy/README.md

@@ -3,7 +3,7 @@
 FTW Cloud runs on one `t4g.small` in AWS eu-north-1 (Stockholm) and answers
 at `https://cloud.ftw.energy`. Current Core and native clients can use it after
 the owner enables Cloud. Local control stays on the box. Hourly project
-statistics remain off until the C8 review and policy approval are complete.
+statistics are on since the C8 decision of 8 November 2026.
 
 ## The host
 
@@ -405,6 +405,6 @@ security group ([http3.md](http3.md)). Widget tokens need no
 secret: the registry holds their hashes. Statistics (C8) have their own
 [review](../privacy/project-statistics-dpia.md) and
 [rights and retention procedure](../privacy/statistics-operations.md). The
-policy flag stays empty until that review is signed off. Signed deletion,
+review was decided on 8 November 2026 and the policy flag is set. Signed deletion,
 offline rights handling and startup retention have tests. Canary homes and
 the external heartbeat that pages Sourceful still need production evidence.

privacy/project-statistics-dpia.md

@@ -1,9 +1,10 @@
 # FTW projektstatistik – underlag för konsekvensbedömning
 
-Datum: 17 oktober 2026. Status: utkast för granskning. Inte signerat.
+Datum: 17 oktober 2026. Status: beslutat den 8 november 2026, se Beslut längst
+ned. Någon juridisk granskning har inte gjorts.
 
 Detta underlag beskriver den avgränsade behandlingen under policyn
-`ftw-project-stats-2026-10-v3`. Det ger inget tillstånd att starta insamlingen.
+`ftw-project-stats-2026-10-v3`.
 ADR 0008, C8, kräver signerad konsekvensbedömning. Ansvarig företrädare för
 Sourceful Labs AB ska ta ställning till underlaget, öppna frågor och kvarvarande
 risker före aktivering. Juridisk granskning och dataskyddsombudets råd, om ett
@@ -190,9 +191,33 @@ Aktivering görs först efter beslut genom den exakta policyn i
 ingen godkänd statistikpolicy och boxen skickar inga timrapporter. Rollback av
 aktiveringen stoppar nya rapporter; radering och gallring fortsätter.
 
-Beslut: väntar. Beslutsfattare: ej angiven. Datum och underskrift: saknas.
-Ansvarig driftoperatör och incidentansvarig: ej utsedda i detta underlag.
-Rådgivare/dataskyddsombud och råd: ej angivna.
+## Beslut
+
+Beslut: insamlingen startar under policyn `ftw-project-stats-2026-10-v3`.
+Beslutsfattare: Fredrik Ahlgren, för Sourceful Labs AB.
+Datum: 8 november 2026. Underskrift: "fredrik", lämnad skriftligen i
+arbetssessionen, efter att risken och de öppna punkterna redovisats.
+
+Rättslig grund, enligt förslaget i [beslutsunderlaget](statistics-lawful-basis.md):
+berättigat intresse (artikel 6.1 f) för den som använder FTW Cloud, och samtycke
+(artikel 6.1 a) för den som svarar Ja lokalt. En invändning enligt artikel 21
+prövas enskilt.
+
+Punkterna ovan har inte stängts av detta beslut. Beslutsfattaren godtar dem som
+kvarstående risker:
+
+- Rättslig grund. Ingen jurist har granskat att statistik kan vara obligatorisk
+  i Cloud, andra boendes ställning eller 9 kap. 28 § LEK. Risken är hög enligt
+  bedömningen ovan.
+- Delat AWS-konto med fem administratörer, i stället för det eget konto som ADR
+  0008 beslutade. Full administratör kan läsa timraderna.
+- Differensanalys av publika summor.
+- Avtalsidentitet och överföringsbedömning för AWS är inte bekräftade.
+
+Förhandssamråd med IMY: inte begärt. Rådgivare och dataskyddsombud: inga angivna.
+Driftoperatör och incidentansvarig: Fredrik Ahlgren, tills någon annan utses.
+Läget vid beslutet: 22 hem i registret, alla med godkänt underlag (21 med
+nuvarande Cloud-villkor, ett med enbart statistik), så inget hem tappar Cloud.
 
 Nästa översyn: före start, vid ändrat ändamål/fält, fler delade mottagare eller
 shards, incident eller ny risk; därefter minst årligen.

privacy/statistics-lawful-basis.md

@@ -1,6 +1,8 @@
 # Rättslig grund och mottagare – beslutsunderlag
 
-17 oktober 2026. Utkast, inte juridiskt godkänt. Avser 48-timmarspolicyn
+17 oktober 2026. Inte juridiskt godkänt. Fredrik Ahlgren beslutade den 8 november
+2026 att starta på dessa grunder, se [DPIA:ns beslut](project-statistics-dpia.md#beslut).
+Avser 48-timmarspolicyn
 `ftw-project-stats-2026-10-v3`. [DPIA](project-statistics-dpia.md) innehåller
 aktiveringsspärren. Ansvarig behöver avgöra punkterna nedan; en UI-granskning
 eller ett allmänt önskemål om statistik ersätter inte det beslutet.
@@ -75,12 +77,12 @@ utlämnande först. Ingen AI-tjänst får hushållens statistik i denna väg.
 - Berörda: boende i rapporterande hem; inte bara den som äger boxen.
 - Uppgifter: slump-id, hemkoppling, policy/tid, avrundade avslutade timmar och
   inställd kapacitet; inga namn eller platsfält i statistikrapporten.
-- Grund: föreslaget lokalt samtycke; Cloud väntar på prövningen ovan.
+- Grund: samtycke lokalt, berättigat intresse i Cloud (beslut 8 november 2026).
 - Mottagare, överföringar: tabellen ovan. Ingen uthyrning av data.
 - Gallring: hushållstimmar 48 timmar; publicerade gruppögonblick 90 dagar;
   rättighetsärendets bevis följer företagets separat beslutade ärenderegler.
 - Skydd och rättigheter: [driftrutinen](statistics-operations.md) och DPIA.
-- Omfattning: inga timrader samlas innan besluten och aktiveringen är klara.
+- Omfattning: insamlingen startade efter beslutet den 8 november 2026.
 
 Källor kontrollerade 17 oktober 2026:
 [IMY om rättslig grund](https://www.imy.se/verksamhet/dataskydd/det-har-galler-enligt-gdpr/rattslig-grund/),

privacy/statistics-operations.md

@@ -1,8 +1,8 @@
 # Rättigheter och drift för projektstatistik
 
-Gäller policy `ftw-project-stats-2026-10-v3`. Denna rutin förbereder drift;
-den signerar inte DPIA eller startar insamling. Sourcefuls ansvariga utser
-operatörer och godtar rutinen före start. Ingen hushållsdata ingår i kodens prov.
+Gäller policy `ftw-project-stats-2026-10-v3`. Fredrik Ahlgren godtog rutinen den
+8 november 2026 och är operatör tills någon annan utses. Ingen hushållsdata ingår
+i kodens prov.
 
 ## Ett ärende, ett verifierat hem