Integritetspolicy

1. Personuppgiftsansvarig

Personuppgiftsansvarig för den behandling som beskrivs i denna policy är NFK Nordic, organisationsnummer 070511-3959, med registrerad adress Tre Kronors väg 39, 131 31 Nacka. Tjänsten marknadsförs under namnet NFK. Kontakt för integritetsfrågor: • support@inviraai.se Inget dataskyddsombud (DPO) är för närvarande utsett. Integritetsfrågor kan skickas till kontaktadresserna ovan.

2. Vilka uppgifter vi samlar in

Beroende på hur du använder tjänsten kan vi behandla: A. Konto- och autentiseringsuppgifter • E-postadress • Autentiseringsuppgifter hanterade via vår autentiseringsleverantör (Supabase Auth), t.ex. lösenordshash (vi lagrar inte ditt lösenord i klartext) B. Profil- och preferensuppgifter • Uppgifter du anger i profil/onboarding (t.ex. förnamn, mål, riskpreferens, ålder om du anger det) • Språkpreferens och liknande produktinställningar C. Ekonomiska uppgifter du själv anger eller importerar • Budget, inkomster, utgifter, sparmål • Portfölj-/innehavsinformation du lägger in • Importerade bank-/transaktionsfiler eller liknande data du laddar upp • Övrig privatekonomisk data i verktyg och kalkylatorer D. AI Coach-kommunikation • Frågor du skickar till AI Coach och svar som genereras • Samtalsmetadata (t.ex. tidpunkt, konversations-ID) och eventuell feedback på svar E. Prenumerations- och betalningsuppgifter • Plan, prenumerationsstatus och period • Stripe-kund- och prenumerations-ID • Betalningsuppgifter hanteras av Stripe — kortnummer m.m. behandlas av Stripe, inte av NFK:s egna system F. Tekniska och säkerhetsrelaterade uppgifter • Säkerhetscookies/session för inloggning • Tekniska fel- och prestandaloggar via felövervakning (Sentry), som kan innehålla teknisk diagnostik • Produktanalys: händelser om hur tjänsten används (t.ex. att du registrerat dig, slutfört introduktionen, ställt en fråga till coachen eller påbörjat ett köp), med tidpunkt och ditt konto-ID. De sparas på NFK:s egna servrar i EU och används för att förstå var produkten fungerar och var användare fastnar. Ingen tredjepartsleverantör tar emot dem, de följer dig inte till andra webbplatser, och de innehåller varken belopp, innehav eller texten i dina frågor. Rättslig grund: berättigat intresse — du kan stänga av dem när som helst under Integritet i appen, och då slutar de sparas • Besöksräkning på publika sidor: när någon öppnar en publik sida — startsidan, en kalkylator, en artikel — ökas en räknare för den sidan och det datumet på NFK:s egna servrar i EU. Ingen identifierare sparas: ingen cookie, inget besökar- eller sessions-ID, ingen IP-adress, ingen webbläsar- eller enhetsinformation, och ingenting skrivs till din enhet. En rad består av datum, sidans adress och ett antal, vilket innebär att enskilda besök inte kan återskapas ur den. Inloggade vyer räknas inte här — de omfattas av produktanalysen ovan och dess opt-out G. Kommunikation • Meddelanden du skickar till support via e-post

3. Varför vi behandlar uppgifterna

Vi behandlar personuppgifter för att: • skapa och administrera ditt konto • tillhandahålla budget-, spar-, portfölj- och övriga produktfunktioner • generera AI Coach-svar och relaterade analytiska/utbildande insikter • hantera Premium/Pro-prenumerationer och betalningar • skydda tjänsten (säkerhet, missbruk, felsökning) • förbättra produkten baserat på användning och fel • kommunicera om tjänsten (t.ex. support) Vi säljer inte dina personuppgifter.

4. Laglig grund

Behandlingen grundar sig främst på: • Avtal (artikel 6.1 b GDPR) — när behandlingen krävs för att leverera tjänsten du begärt (konto, kärnfunktioner, prenumeration) • Berättigat intresse (artikel 6.1 f GDPR) — t.ex. säkerhet, felövervakning och produktförbättring, förutsatt att intresset inte väger tyngre än dina rättigheter • Samtycke (artikel 6.1 a GDPR) — när vi uttryckligen ber om samtycke (t.ex. valfria marknadsföringsutskick om/när sådana aktiveras) Om du anger särskilda kategorier av uppgifter i fritext (vilket vi inte begär) sker det på ditt initiativ. Undvik att skicka känsliga uppgifter till AI Coach eller support.

5. Mottagare och personuppgiftsbiträden

Vi använder underleverantörer (personuppgiftsbiträden) som behandlar personuppgifter för vår räkning för att driva tjänsten. Relevanta kategorier: • Supabase — autentisering, databas och backend-infrastruktur för appdata • OpenAI — behandling av innehåll som skickas till AI Coach för att generera svar. Meddelandetext och relevant kontext kan överföras till OpenAI för denna behandling • Anthropic — AI-assisterad kategorisering av importerade banktransaktioner (se separat beskrivning nedan) • Stripe — betalningar och prenumerationsadministration • Sentry — fel- och prestandaövervakning • Vercel — hosting och drift av webbplatsen/tjänsten Särskilt om Anthropic: när en importerad transaktion inte kan kategoriseras med vår regelbaserade logik kan transaktionens datum, belopp och fritextbeskrivning skickas till Anthropic för att föreslå en kategori. Ingen e-postadress, inget användar-ID eller annan direkt identifierare skickas till Anthropic. Detta är en avgränsad, separat funktion från AI Coach — Anthropic används aldrig för att generera AI Coach-svar, vilket uteslutande sker via OpenAI (se avsnitt 6). Dessa leverantörer kan behandla data utanför EU/EES. När så sker vidtas lämpliga skyddsåtgärder enligt gällande dataskyddslagstiftning (t.ex. standardavtalsklausuler där tillämpligt). Externa datakällor som INTE är personuppgiftsbiträden: Finnhub, CoinGecko och Frankfurter används för att hämta pris-, kurs- och valutadata (t.ex. aktie-, krypto- och FX-kurser). Anropen till dessa tjänster görs uteslutande från vår server (aldrig direkt från din webbläsare) och innehåller endast instrument-/valutasymboler — ingen personuppgift, inget användar-ID och ingen uppgift som kan kopplas till dig skickas till dessa tjänster. De är därför inte personuppgiftsbiträden i GDPR:s mening, och listas här enbart för transparens om vilka externa tjänster produkten är beroende av. Leverantörernas egna dataskyddsavtal (DPA): • Supabase: https://supabase.com/legal/dpa • OpenAI: https://openai.com/policies/data-processing-addendum/ • Anthropic: ett dataskyddsavtal ingår automatiskt i Anthropics kommersiella API-villkor för företagskunder • Stripe: https://stripe.com/legal/dpa • Sentry: https://sentry.io/legal/dpa/ • Vercel: https://vercel.com/legal/dpa Lagringsregion: Sentry tar emot data via sin USA-baserade mottagningsendpoint (ingest.us.sentry.io), enligt produktens Content-Security-Policy-konfiguration. Övriga leverantörers exakta databehandlingsregion, inklusive Anthropics, beror på respektive kontoinställning hos leverantören.

6. Särskilt om OpenAI (AI Coach)

När du använder AI Coach skickas din fråga och nödvändig kontext (t.ex. sammanfattad ekonomisk information från ditt konto) till OpenAI för att generera ett svar. • Syfte: leverera AI Coach-funktionen • Laglig grund: avtal (leverans av begärd funktion) • Du bör inte skicka personnummer, fullständiga kontonummer, hälsouppgifter eller annan känslig information i chatten • AI-svar är utbildande/analytiska och utgör inte finansiell rådgivning (se även Riskinformation och AI-information) Tekniska fakta om integrationen (verifierade i produktens källkod): • NFK anropar OpenAIs Responses API per fråga; varje anrop är tillståndslöst (stateless) — NFK använder inte OpenAIs egen konversationslagring ("threads"/Assistants). All AI Coach-historik lagras endast i NFKs egen databas (Supabase), inte hos OpenAI. • Enligt OpenAIs publicerade policy för API-datahantering används data som skickas via API:et inte för att träna OpenAIs modeller som standard, och lagras av OpenAI under en begränsad period (normalt upp till 30 dagar) för missbruks- och säkerhetsövervakning, om inte en Zero Data Retention-överenskommelse gäller.

7. Särskilt om Supabase

Supabase används för: • inloggning och sessionshantering • lagring av profil-, ekonomi- och AI Coach-relaterad appdata • serveråtkomst enligt appens behörighetsmodell

8. Särskilt om Stripe

Stripe behandlar betalnings- och faktureringsuppgifter för Premium och Pro. • NFK lagrar plan, status och Stripe-ID:n som behövs för att aktivera och synka abonnemang • Kortuppgifter hanteras av Stripe • Se även Stripes egen integritetspolicy för betalningsbehandling

9. Lagringstid

Vi lagrar personuppgifter så länge det behövs för ändamålen ovan. • Kontouppgifter: under kontots livstid och därefter under den tid som krävs för rättsliga skyldigheter eller tvister • Ekonomiska uppgifter och AI Coach-historik: under kontots livstid, eller tills du raderar dem/kontot • Prenumerations- och betalningsrelaterade uppgifter: enligt bokförings- och skatterättsliga krav • Fel-/säkerhetsloggar: hanteras via Sentry, vars mottagning sker via Sentrys USA-region (ingest.us.sentry.io), enligt leverantörens egna lagringsrutiner Kontoradering: Du kan själv radera ditt konto i appen (under Mer). Flödet kräver att du bekräftar genom att skriva "DELETE" och ange ditt lösenord. Vid radering tas följande bort: • profil- och kontoinställningar • budget, mål och ekonomiska uppgifter du angett • AI Coach-konversationer och AI-minnen • importerade filer och tillhörande transaktionsdata • rapporter, dagliga sammanfattningar, notiser och sparade ögonblicksbilder • referensuppgifter kopplade till ditt konto Radering av ditt NFK-konto avbryter INTE automatiskt en prenumeration köpt via webbplatsen — den måste hanteras/sägas upp separat via faktureringsportalen (se avsnitt 8, Stripe, och Användarvillkoren). Du uppmärksammas på detta i appen innan du bekräftar raderingen. Observera ordningen: appens knapp till faktureringsportalen kräver ett aktivt konto — säg upp prenumerationen INNAN du raderar kontot, annars kontakta support@inviraai.se för hjälp i efterhand.

10. Dina rättigheter

Enligt GDPR har du bland annat rätt att: • begära tillgång till dina personuppgifter (registerutdrag) • begära rättelse av felaktiga uppgifter • begära radering ("rätten att bli bortglömd") i den utsträckning lagen tillåter • begära begränsning av behandling • invända mot behandling som grundas på berättigat intresse • dataportabilitet där tillämpligt • återkalla samtycke när behandlingen grundas på samtycke • lämna klagomål till Integritetsskyddsmyndigheten (IMY) För att utöva dina rättigheter, kontakta support@inviraai.se.

11. Cookies och liknande teknik

Vi använder nödvändiga cookies/sessionsteknik för inloggning och säkerhet. Analyscookies från tredjepart (t.ex. Mixpanel/Google Analytics) är inte aktiverade i produktkoden. Vår egen produktanalys använder webbläsarens lokala lagring som tillfällig kö innan händelserna skickas till våra egna servrar; den sätter inga cookies och delas inte med någon tredje part. Den kan stängas av under Integritet i appen. Besöksräkningen på publika sidor sätter inga cookies och använder ingen lagring i webbläsaren alls. Om annonser aktiveras i framtiden kan Google och andra valda annonsteknikleverantörer använda cookies eller lokal lagring och behandla data för annonsvisning, mätning och — endast med giltigt samtycke — personalisering. Val ska då hanteras via en Google-certifierad CMP och kunna ändras via Annons- och cookieinställningar. Pro är annonsfritt. NFK avser inte att lämna ekonomiska uppgifter såsom lön, nettoförmögenhet, skulder eller innehav till annonsleverantörer för målgruppsstyrning. Inga annonser eller annonsleverantörsskript är aktiverade nu. Lokal eventkö i webbläsaren kan användas för produktutveckling utan separat tredjeparts-SDK.

12. Säkerhet

Vi använder branschstandarder för att skydda data, inklusive krypterad trafik (HTTPS/TLS) mellan din enhet och tjänsten. Backend-infrastruktur (t.ex. Supabase) tillämpar leverantörens säkerhetskontroller, inklusive kryptering i vila enligt deras dokumentation. Ingen metod för överföring eller lagring är helt säker.

13. Barn

Tjänsten är inte riktad till barn under 18 år. Vi avser inte att medvetet samla in personuppgifter från barn. Kontakta oss om du tror att ett barn lämnat uppgifter utan vårdnadshavares godkännande.

14. Ändringar

Vi kan uppdatera denna policy. Väsentliga ändringar meddelas via tjänsten eller e-post när det är rimligt. Datumet "Senast uppdaterad" anges överst.

15. Kontakt

Integritetsfrågor: • support@inviraai.se

Annons- och cookieinställningar