Privatlivspolitik for Ugebog

Kort fortalt

• Ugebog er et værktøj til at føre regnskab med din kost over en uge. Det er ikke medicinsk rådgivning.
• Vi gemmer det, du selv skriver: hvad du har spist, dit kaloriebudget for ugen og, hvis du vil, din vægt.
• Oplysninger om kost, vægt og krop kan være helbredsoplysninger. Derfor beder vi om dit samtykke til hvert formål for sig, og du kan trække hvert samtykke tilbage i appen.
• Vi gemmer ikke dit fulde navn, din fødselsdato, din adresse, dit telefonnummer eller din IP-adresse i klartekst. Du kan selv vælge et kaldenavn, som kun du og vores administration kan se. <!-- UDKAST til jurist (gren kaldenavn) -->
• Skriver du en note til AI'en, sendes kun selve noten til OpenAI, uden navn, e-mail eller bruger-id. Det sker kun, hvis du har sagt ja til AI-forslag.
• Du kan se, hente, rette og slette dine data selv under Profil → Privatliv og data.

Hvem er dataansvarlig

[VIRKSOMHEDSNAVN], CVR [CVR], [ADRESSE].

Skriv til os på [KONTAKT-EMAIL], hvis du har spørgsmål om dine data. Adressen står også på siden Privatliv og data i appen.

Vi har ikke udpeget en databeskyttelsesrådgiver (DPO). Om det er nødvendigt, er ikke afklaret endnu.

Hvad vi gemmer, og hvorfor

Din konto

• E-mail og adgangskode. Til login, bekræftelse af din e-mail, nulstilling af adgangskoden og skift af e-mail. Adgangskoden gemmes kun som en krypteret hash hos vores databaseudbyder.
• Tidspunkter for oprettelse og seneste login. Til sikkerhed.
• Indstillinger: tidszone (så en linje lander på den rigtige dag), sprog og om du vil se metriske eller imperiale enheder.

Når du opretter en konto, svarer du på, om du er 18 år eller ældre, og du accepterer vilkårene med et kryds. Vi gemmer kun, at du har svaret ja, hvornår, og hvilken version af vilkårene du accepterede. Vi gemmer ikke din alder. Svarer du, at du er under 18, gemmer vi intet om dig, heller ikke din e-mail.

Dit kaloriebudget

• Kaloriebudget for ugen i kcal og hvornår det gælder fra. Kernen i appen. En ændring gælder for den igangværende uge fra nu af, og tidligere ugers kaloriebudget bliver ikke ændret.
• Hvor dit kaloriebudget skal ligge, og hvor aktiv du er. Kun hvis du beder appen om at regne et forslag ud fra dine kropsoplysninger.

Kropsoplysninger (kun med samtykke)

Vil du have et forslag til et kaloriebudget for ugen, kan du skrive alder, køn, højde og vægt. Det kræver dit samtykke til, at vi bruger oplysningerne til at regne forslaget.

• Siger du kun ja til at regne, bruges oplysningerne i selve beregningen og gemmes ikke.
• Siger du også ja til at gemme dem, gemmer vi køn, højde, vægt og et omtrentligt fødselsår (ikke en præcis alder eller fødselsdato), så forslaget kan justeres senere.

Hvad du har spist (kun med samtykke)

Hver linje, du bogfører: hvad, mængde, kcal, protein, kulhydrat, fedt, måltid og dag. Vi gemmer også, hvor tallet kommer fra (en database, en etiket, et AI-estimat eller dit eget tal), og ved estimater et interval og de antagelser, der ligger bag. Det er for at vise ærligt, hvor sikkert et tal er.

Egne retter, du gemmer, behandles på samme måde.

Uden dette samtykke kan du ikke skrive mad i appen.

AI-forslag (kun med samtykke)

Skriver du en note som "to æg og en skive rugbrød", sendes noten til OpenAI, som foreslår linjer, du selv gennemgår, før noget bogføres.

• Din tekst gemmes ikke hos os. Vi gemmer kun det forslag, AI'en har lavet, og kun indtil du bogfører eller kasserer det, højst 24 timer.
• Samtalen med AI'en (spørgsmål og svar) findes kun i din browser, så længe siden er åben.
• Før noten sendes, fjerner vi det, der ligner e-mailadresser, telefonnumre, CPR-numre og links, og du får besked, når noget er fjernet. Filteret fanger kun de tydelige mønstre, så skriv ikke andre personlige oplysninger i noten.
• Noter, der tydeligvis ikke handler om mad, og spørgsmål om dine egne tal besvares af appen selv og sendes ikke til OpenAI. Det samme gælder tekst, der tyder på, at du har det svært med mad. Så svarer appen selv og peger på steder, hvor du kan få hjælp.

Vægt (kun med samtykke)

Dato og vægt, hver gang du skriver din vægt. Bruges til at vise en tendens. Dit kaloriebudget ændres aldrig automatisk ud fra en enkelt vægt.

Beskeder (kun med samtykke)

Vi gemmer dit valg om ugentlige opsummeringer og beskeder om appen. Appen sender ingen beskeder i dag.

Dine samtykker

For hvert valg gemmer vi formålet, ja eller nej, tidspunktet, hvilken version af teksten du så, og hvornår et ja eventuelt blev trukket tilbage. Det er vores dokumentation for, at du har givet samtykke. Du kan se dine egne valg, men ikke ændre historikken.

Sikkerhed og beskyttelse mod misbrug

• Lofter mod misbrug. Når du bruger AI'en eller skriver din adgangskode igen, gemmer vi dit bruger-id, hvilket loft det gælder, og tidspunktet. Slettes efter højst 24 timer.
• Loft pr. netværk. Ved AI-forespørgsler gemmer vi en envejskode (HMAC) af din IP-adresse, ikke selve adressen, uden kobling til din konto. Slettes inden for ca. 2 timer.
• Loft over mails med links. Beder du om et link til at nulstille adgangskoden eller bekræfte din e-mail uden at være logget ind, gemmer vi en envejskode (HMAC) af din IP-adresse og af e-mailadressen, ikke selve adresserne, uden kobling til en konto. Højst 3 i timen. Slettes inden for ca. 2 timer.
• Log over følsomme handlinger. Når du henter dine data, sletter din konto, ændrer et samtykke, beder om at skifte e-mail eller skifter adgangskode, gemmer vi handlingen, tidspunktet og dit bruger-id. Ikke indholdet og aldrig adgangskoden. Slettes efter 90 dage. Sletter du din konto, fjernes dit bruger-id fra loggen.
• "Det her passede ikke". <!-- UDKAST til jurist (gren ai-feedback): ny tekst, skal vurderes --> Trykker du på det under et AI-forslag og vælger, hvad der ikke passede, gemmer vi dit valg, madlinjerne og kalorierne i forslaget, og hvornår. Skriver du en kommentar, gemmer vi den også. Udvikleren ser det for at gøre appen bedre, uden dit navn, din e-mail eller dit bruger-id. Intet billede. Slettes efter 12 måneder eller med din konto, og er med, når du henter dine data.
• Noter, AI'en ikke forstod. <!-- UDKAST til jurist (gren ai-feedback) --> Giver AI'en ikke et brugbart tal, gemmer vi, hvad der gik galt, og AI'ens navne på madlinjerne, uden nogen kobling til dig og uden din egen tekst. Bruges til at forbedre AI'en. Slettes efter 30 dage.
• Tjek mod robotter. Når du opretter en konto, kan siden bruge Cloudflare Turnstile (se "Hvem behandler dine data"). Vi gemmer intet fra tjekket.

Abonnement og forbrug

• Plan og status: Basis eller Premium, om abonnementet er aktivt, opsagt eller mangler betaling, og periodens datoer.
• Antal AI-registreringer i måneden og en reservation pr. forespørgsel, så grænsen ikke kan omgås. Slettes efter 90 dage.
• En log over ændringer i abonnementet uden betalingsoplysninger. Slettes efter 90 dage.
• Koblingen til Stripe (kunde- og abonnementsnummer hos Stripe).

Kort, navn, adresse og e-mail til betalingen skriver du direkte hos Stripe. De når aldrig vores server, og vi gemmer ingen kortoplysninger.

Kaldenavn (valgfrit)

<!-- UDKAST til jurist (gren kaldenavn) --> Du kan vælge et kaldenavn, når du starter, eller senere under Profil → Personlige oplysninger. Det er frivilligt. Vi bruger det kun til at hilse på dig i appen. Kun du og vores administration kan se det, og det vises aldrig for andre brugere. Det skal være unikt i appen, så to brugere ikke har samme navn. Du kan rette eller fjerne det, når du vil, det er med i din dataeksport, og det slettes sammen med din konto. Grundlaget er aftalen om at bruge appen.

Profilbillede (valgfrit)

<!-- UDKAST til jurist (gren profilbillede) --> Du kan vælge et profilbillede, når du starter, eller senere under Profil → Personlige oplysninger. Det er frivilligt, og du kan skifte eller fjerne det, når du vil. Vi bruger det kun til at vise det øverst på din profil. Kun du og vores administration kan se det. Det vises aldrig for andre brugere, deles ikke og har ingen offentlig adresse. Vi bruger det ikke til ansigtsgenkendelse eller til noget andet.

Vi gemmer ikke det billede, du vælger. Vi gemmer en lille, firkantet kopi (256 x 256 pixels) uden oplysninger om sted, tidspunkt og kamera. Når du fjerner billedet, slettes kopien med det samme. Den er med i din dataeksport og slettes sammen med din konto. Grundlaget er aftalen om at bruge appen.

Det gemmer vi ikke

Fulde navn, præcis alder eller fødselsdato, telefonnummer, adresse, IP-adresse i klartekst, teksten i dine dagbogsnoter, samtaler med AI'en, billeder af mad (appen tager ikke imod dem), det originale profilbillede, du vælger, kortoplysninger, analyse- og sporingsdata.

Samtykker, og hvordan du trækker dem tilbage

Når du starter, ser du hvert formål for sig med en forklaring og en boks, der ikke er afkrydset på forhånd: din kost, AI-forslag, vægt og beskeder. Samtykket til at regne og gemme kropsoplysninger spørges der om i opstarten, når du vælger et beregnet forslag.

Du kan trække hvert samtykke tilbage under Profil → Privatliv og data → Dine samtykker. Det virker med det samme:

• Kost: du kan ikke skrive nye linjer. Dine bogførte linjer bliver, til du selv sletter dem (det kan du gøre samlet samme sted).
• AI-forslag: der sendes intet til OpenAI, og ventende forslag slettes.
• Vægt: al din registrerede vægt slettes.
• Gemte kropsoplysninger: de slettes fra dine mål.
• Beskeder: valget gemmes. Der sendes ingen beskeder i dag.

Sletter en tilbagekaldelse data, viser appen først, hvor meget der slettes, og du bekræfter det.

Ændrer vi teksten til et samtykke, beder vi dig om at tage stilling igen.

Behandlingsgrundlag

Grundlagene nedenfor er vores forslag og er ikke juridisk vurderet.

• Dit samtykke (GDPR art. 6, stk. 1, litra a, og art. 9, stk. 2, litra a) for kost, kropsoplysninger, vægt, AI-forslag og beskeder.
• Aftalen med dig (art. 6, stk. 1, litra b) for kontoen, indstillingerne, kaloriebudgettet og abonnementet.
• Vores legitime interesse i sikkerhed og i at undgå misbrug (art. 6, stk. 1, litra f) for lofterne, loggen over følsomme handlinger og tjekket mod robotter.
• Retlig forpligtelse (art. 6, stk. 1, litra c) for fakturaer og betalinger efter bogføringsloven.
• Dokumentation af samtykke (art. 7, stk. 1) for samtykkeloggen.

Hvem behandler dine data

Vi bruger disse leverandører. Listen er den samme, som står på siden Privatliv og data.

• Supabase (database, login og mails om login). Alt, du gemmer i appen, og din e-mail. Databasen ligger i en EU-region. Aftaleparten er Supabase Pte. Ltd. i Singapore, og overførsler ud af EØS sker på EU's standardkontraktbestemmelser.
• OpenAI (AI-forslag), kun hvis du har sagt ja til AI-forslag. Kun selve noten. OpenAI gemmer den op til 30 dage til misbrugskontrol og bruger den ikke til at træne modeller. Behandlingen sker i USA. For kunder i EØS er OpenAI Ireland Ltd aftalepart, og overførslen sker på standardkontraktbestemmelser eller en afgørelse om tilstrækkeligt beskyttelsesniveau.
• Stripe (betaling), kun hvis du køber Premium. Det, du skriver i betalingen, og et internt nummer for din konto. Aftaleparten i EØS er Stripe Payments Europe Ltd. i Irland, og der sker overførsel til USA. Stripe behandler også oplysninger som selvstændig dataansvarlig, fx til at forebygge svindel.
• Cloudflare Turnstile (tjek mod robotter), kun på siden, hvor du opretter en konto. Din IP-adresse og oplysninger om browseren under tjekket. Cloudflare Inc. i USA.
• Open Food Facts (næringsopslag) får kun varenavn og mærke, aldrig oplysninger om dig.
• Vercel (hosting af appen og serverens logs), planlagt. Appens serverfunktioner kører i Dublin (EU). Vercel Inc. er en amerikansk virksomhed, og overførsler ud af EØS sker på EU's standardkontraktbestemmelser. Logs indeholder ikke kost, tekst eller e-mail.
• Fejlrapportering (fx Sentry i EU): ikke slået til. Slås den til, får den kun fejlens type og sted i koden, aldrig dine data.

Hvor længe vi gemmer

• Det, du selv har skrevet (linjer, registreret vægt, mål, kaloriebudgetter, egne retter, indstillinger, samtykker): til du sletter det, eller til du sletter din konto. Der er ingen fast slettefrist for en aktiv konto i dag.
• Inaktive konti: vi har en plan om at slette konti efter 24 måneder uden aktivitet med varsel efter 22 og 23 måneder. Den er ikke slået til, fordi appen ikke kan sende varslerne endnu. Ingen konto slettes uden varsel.
• AI-forslag: højst 24 timer.
• Lofter mod misbrug: højst 24 timer. Envejskoderne af din IP-adresse og e-mailadresse: ca. 2 timer.
• "Det her passede ikke": 12 måneder. <!-- UDKAST til jurist (gren ai-feedback) -->
• Noter, AI'en ikke forstod: 30 dage. <!-- UDKAST til jurist (gren ai-feedback) -->
• Svaret om 18 år og accepten af vilkårene: til du sletter din konto.
• Log over følsomme handlinger, forbrug, reservationer og abonnementets ændringslog: 90 dage.
• Fakturaer og betalinger: hos Stripe efter bogføringslovens regler, også efter at din konto er slettet.
• Sikkerhedskopier: slettede data kan ligge i databasens sikkerhedskopier i op til [7] dage og forsvinder, når kopien udløber. Gendanner vi en kopi, sletter vi igen det, du har slettet efter kopien.

Sletningen sker automatisk hver time.

Når du sletter din konto

Under Profil → Privatliv og data → Slet konto skriver du din adgangskode og "slet min konto". Så sker følgende:

1. Har du et abonnement hos Stripe, slettes du som kunde hos Stripe. Abonnementet stopper med det samme.
2. Dit profilbillede slettes fra lagringen. <!-- UDKAST til jurist (gren profilbillede) -->
3. Din login-bruger slettes, og alt, der hører til kontoen, slettes med den.
4. Appen tjekker bagefter, at der ikke er noget tilbage med dit bruger-id eller din e-mail.

Det, der ikke slettes med det samme: fakturaer hos Stripe (bogføring), loggen over følsomme handlinger uden dit bruger-id (højst 90 dage), envejskoderne af IP- og e-mailadresse (ca. 2 timer) og sikkerhedskopier (til de udløber).

Sikkerhed

Kort om, hvordan vi beskytter dine data:

• Hver bruger kan kun se sine egne data. Det håndhæves i selve databasen og testes automatisk.
• Data er krypteret under overførsel og, efter Supabase' egne oplysninger, når de ligger i databasen.
• Hemmelige nøgler findes kun på serveren.
• Henter du dine data, sletter din konto eller skifter e-mail, skal du skrive din adgangskode igen.
• Vores logs indeholder kun handlinger og fejlkoder, ikke dine data.

Cookies og lagring i din browser

• Login: cookies, der holder dig logget ind. De er nødvendige for, at appen virker.
• Lys eller mørk visning: dit valg gemmes i din browser.
• De første åbninger: et lille tal (højst 4) i din browser, så knappen "Tilføj mad" kun pulserer diskret de første tre gange, du åbner appen. Det sendes ikke til os.
• Tjek mod robotter: på siden, hvor du opretter en konto, kan Cloudflare Turnstile køre i browseren.
• Betaling: betalingen foregår på Stripes egne sider, som har deres egne cookies.

Vi bruger ingen cookies til analyse, statistik eller markedsføring. Skrifttyperne ligger på vores egen server.

Dine rettigheder

Det meste kan du gøre selv under Profil → Privatliv og data:

• Indsigt: se, hvad vi har om dig.
• Dataportabilitet: hent alt som JSON eller CSV. Det er gratis på begge planer.
• Berigtigelse: ret kaloriebudget, mål, enheder, tidszone og e-mail under Profil, linjer i madloggen og din vægt under Vægt.
• Sletning: slet enkelte linjer og registreringer af vægt, alle linjer, dine kropsoplysninger eller hele kontoen.
• Tilbagekaldelse af samtykke: ét samtykke ad gangen.
• Begrænsning og indsigelse: skriv til os, hvis det ikke kan klares med samtykkerne i appen.

Skriv til [KONTAKT-EMAIL], hvis du vil bruge en rettighed eller ikke kan gøre det selv. Vi svarer senest en måned efter, at vi har modtaget din henvendelse. Er sagen kompliceret, kan fristen forlænges med op til to måneder, og så får du besked inden for den første måned. Vi beder ikke om nye oplysninger for at bekræfte, hvem du er. Normalt beder vi dig skrive fra den e-mail, din konto bruger.

Du kan klage til Datatilsynet (datatilsynet.dk).

Kun for voksne

Ugebog er kun for personer på 18 år eller derover.

Ikke medicinsk rådgivning

Ugebog er et værktøj til at følge din kost. Det er ikke medicinsk rådgivning, og tallene er ofte estimater. Fylder mad eller kroppen meget i dine tanker, så tal med din læge.

Ændringer

Ændrer vi politikken, opdaterer vi denne side. Ændrer vi teksten til et samtykke, beder appen dig om at tage stilling igen.

Åbne punkter til juristen

Afsnittet fjernes, før politikken offentliggøres.

1. Dataansvarlig: virksomhedsnavn, CVR, adresse og kontaktadresse skal udfyldes.
2. Behandlingsgrundlagene ovenfor er forslag. Særligt: om samtykket til kost kan være frivilligt, når appen ikke kan bruges uden, og om aftalen er et bedre grundlag for dele af det.
3. Om bogførte linjer skal slettes, når samtykket til kost trækkes tilbage. I dag bliver de, til brugeren sletter dem.
4. Om den ekstra bekræftelse ved tilbagekaldelser, der sletter data, opfylder kravet om, at det skal være lige så let at trække et samtykke tilbage som at give det.
5. Om fritekst i dagbogsnoter kan indeholde andre helbredsoplysninger, og om filtret og teksterne er tilstrækkelige.
6. Overførslerne til USA (OpenAI, Stripe, Cloudflare, Vercel hvis valgt) og om grundlaget er beskrevet rigtigt. OpenAI's certificering under EU-US Data Privacy Framework er ikke bekræftet.
7. Stripes rolle (databehandler og selvstændig dataansvarlig) og Cloudflare Turnstiles rolle, og om Turnstile er strengt nødvendig uden samtykke.
8. Supabase-projektets region skal kontrolleres, og hosting skal vælges og stå her.
9. Opbevaringstider: fast frist for linjer og registreret vægt hos aktive brugere, sletning af inaktive konti, sikkerhedskopiernes længde (afhænger af Supabase-planen) og om ca. 2 timer for IP-envejskoden efter en kontosletning er i orden.
10. Om loggen over følsomme handlinger uden bruger-id er tilstrækkeligt anonymiseret.
11. Om temavalget og tælleren for de første åbninger i browseren er strengt nødvendige.
12. Hvordan brugerne får besked om ændringer i politikken. Appen kan i dag kun sende Supabase' login-mails.
13. Om der skal udpeges en databeskyttelsesrådgiver.
14. Om 18-årsgrænsen er tilstrækkeligt sikret med et kryds.
15. Profilbilledet (gren profilbillede): om aftalen er det rette grundlag, eller om der skal et samtykke til (billedet er frivilligt og kan fjernes når som helst), at administrationen kan se det, og om afsnittet "Profilbillede" er dækkende. Billedet bruges ikke til ansigtsgenkendelse, så det behandles efter vores vurdering ikke som biometriske data (art. 9).
16. Datakilder (afsnittet nederst på siden): om kildeangivelsen for Frida (CC BY 4.0, DTU Fødevareinstituttet) er i orden, og om licensen er bekræftet. Teksten er flyttet ordret fra den gamle side "Sådan læser du tallene" og vises under Privatlivspolitikken, ikke i dette dokument.

Tilbage til Privatliv og data