Privatlivspolitik

Vi indsamler følgende kategorier af personoplysninger:

• E-mailadresse — anvendes til godkendelse og transaktionsmail
• Visningsnavn — vises inde i appen
• Bruger-ID — en identifikator udstedt af WorkOS, som forbinder din konto på tværs af sessioner
• Fritekstindhold (dagbogsnotater, drømme, bekymringsboks-notater, taknemmelighedspunkter, øvelsesnotater, evalueringssvar, titler på planlagte elementer, vanenavne, søvnnotater, humørnotater, notater om aktiviteter før sengetid) gemmes på din enhed. Hvis du slår Krypteret Sikkerhedskopi til, uploades en ende-til-ende-krypteret kopi til vores backudbyder udelukkende som krypteret data — krypteringsnøglen udledes af en gendannelsessætning, som kun du har, og vi kan ikke læse, dekryptere eller gendanne dette indhold. Vi modtager det aldrig i læsbar form. Se afsnittet Krypteret Sikkerhedskopi nedenfor.
• Strukturerede helbredsoplysninger — humør- og søvnvurderinger, følelsesmærker, gennemførelsesmarkeringer, streak-tællinger, terapibekymringer angivet ved onboarding samt varigheder af vejrtrækningssessioner. Disse strukturerede oplysninger gemmes på vores servere og er beskrevet i afsnittet om særlige kategorier af personoplysninger nedenfor.
• Brugsanalyse — produktinteraktionshændelser (besøgte skærme, anvendte funktioner); session replay er deaktiveret
• Nedbrudsdata — stak-spor og enhedsmetadata, der indsamles, når appen går ned

Humør- og søvnvurderinger, følelsesmærker og terapibekymringer angivet ved onboarding udgør oplysninger om helbredsforhold i den betydning, der følger af GDPR artikel 9, stk. 1. Fritekstindhold i dagbog og øvelser udgør ligeledes artikel 9-oplysninger. Vi begrænser artikel 9-risikoen ved kun at have den læsbare form på din enhed og, hvor du slår Krypteret Sikkerhedskopi til, kun at opbevare ende-til-ende-krypteret data, som vi ikke kan læse — vi har aldrig krypteringsnøglen. Behandlingsgrundlag for de strukturerede oplysninger, vi rent faktisk behandler: udtrykkeligt samtykke i henhold til artikel 9, stk. 2, litra a.

Du kan til enhver tid tilbagekalde dit samtykke ved at slette din konto. Tilbagekaldelse af samtykke berører ikke lovligheden af den behandling, der er foretaget inden tilbagekaldelsen.

Vi anvender ikke helbredsoplysninger til annoncering, profilering eller salg til tredjeparter.

Krypteret Sikkerhedskopi er en valgfri funktion, der som standard er slået fra. For at undgå tab af din dagbog, hvis du geninstallerer appen eller mister din enhed, kan du slå den til under Indstillinger. Når den er slået til:

• Dit fritekstindhold krypteres på din enhed, før det forlader den, ved hjælp af en nøgle udledt af en gendannelsessætning på 12 ord, som genereres på din enhed og vises for dig én gang.
• Kun de resulterende krypterede data uploades til vores backudbyder (Cloudflare R2, i EU). Vi modtager aldrig din gendannelsessætning eller din krypteringsnøgle, og vi kan ikke læse, dekryptere eller gendanne dit sikkerhedskopierede indhold. Dette er et zero-knowledge-design.
• Med dit samtykke kan krypteringsnøglen også gemmes i din egen enheds nøglering (for eksempel iCloud-nøglering), så geninstallation på samme konto kan gendanne uden at indtaste sætningen igen. Nøglen dér er krypteret af platformen; vi modtager den aldrig.
• Hvis du mister din gendannelsessætning og din enhed, kan dit sikkerhedskopierede indhold ikke gendannes af nogen, heller ikke os.
• Når du sletter din konto, slettes de krypterede data permanent hos backudbyderen, og nøglen fjernes fra din enhed.

Vi bruger dine personoplysninger til følgende formål:

• App-funktionalitet — levering af de mentale sundhedsøvelser, registrering af dine fremskridt og personalisering af oplevelsen
• Fejlsøgning af nedbrud — identifikation og afhjælpning af fejl ved hjælp af anonymiserede nedbrudsrapporter
• Produktforbedring — forståelse af, hvilke funktioner der anvendes (via aggregeret analyse), for at styre udviklingen

Vi sælger ikke dine oplysninger. Vi viser ikke annoncer. Vi profilerer dig ikke til tredjeparts markedsføring. Helbredsindhold deles aldrig med nogen anden part end de underdatabehandlere, der er anført nedenfor, og kun i det omfang, det er nødvendigt for at drive tjenesten.

Vi opbevarer personoplysninger i de perioder, der er fastsat nedenfor:

• Kontooplysninger (e-mail, navn, bruger-ID, humør-/dagbogsnotater, terapimål, bekymringsboks-indhold) — opbevares på ubestemt tid, indtil du sletter din konto
• Analysehændelser — 365 dage fra indsamlingsdatoen, hvorefter de automatisk slettes
• Nedbrudsrapporter — 90 dage fra indsamlingsdatoen, hvorefter de automatisk slettes
• E-mail-engangskoder (OTP) — 15 minutter fra udstedelsen; koderne udløber og ugyldiggøres automatisk

Når du sletter din konto, fjernes alt helbredsindhold og alle kontooplysninger inden for 30 dage. Visse anonymiserede, ikke-identificerbare aggregerede statistikker kan opbevares på ubestemt tid.

Vi deler personoplysninger med følgende underdatabehandlere, der hver er bundet af en databehandleraftale (DPA) med os:

• Convex (database — opbevarer identitet, strukturerede valg, revisionslogfiler og planlægningsmetadata; opbevarer IKKE dit fritekstindhold; hostet i [region — verificér før lancering])
• Cloudflare R2 (krypteret backup-lagring — opbevarer UDELUKKENDE ende-til-ende-krypteret data af dit fritekstindhold, når du slår Krypteret Sikkerhedskopi til; kan ikke læse det; bucket placeret i Den Europæiske Union)
• WorkOS (godkendelse — levering af magic-link-e-mails; modtager din e-mailadresse)
• Sentry (nedbruds- og fejltelemetri — modtager maskerede skærmbilleder, intet klartekstindhold; hostet i USA, SCC'er er på plads)
• Expo (EAS) — byggeinfrastruktur til mobilappen og levering af over-the-air-opdateringer; DPA: https://expo.dev/privacy
• Apple Push Notification service og Google Firebase Cloud Messaging (push-levering udelukkende til systemhændelser — aldrig brugerindhold)

Apple iCloud og Google Drive er IKKE underdatabehandlere for dit dagbogsindhold: kun din enheds krypteringsnøgle kan, med dit samtykke, synkroniseres via din egen iCloud-nøglering — dit læsbare indhold sendes ikke til dem.

PostHog — produktanalyse (modtager brugshændelser; session replay er deaktiveret)

Resend — levering af transaktionsmail (sender engangskoder (OTP) til godkendelse)

Hver underdatabehandler har offentliggjort en databehandleraftale, der dækker GDPR-forpligtelser. Links er angivet til din gennemgang:

• Convex DPA: https://www.convex.dev/dpa
• WorkOS DPA: https://workos.com/dpa
• Sentry DPA: https://sentry.io/legal/dpa/
• PostHog DPA: https://posthog.com/dpa
• Resend DPA: https://resend.com/legal/dpa
• Expo (EAS) DPA: https://expo.dev/privacy

Hvis du har spørgsmål om en underdatabehandlers databehandlingspraksis, kan du kontakte os på kontakt@denkroelledehjerne.dk, så hjælper vi dig.

Som registreret i henhold til GDPR har du følgende rettigheder:

• Ret til indsigt (artikel 15) — du kan anmode om en kopi af de personoplysninger, vi har om dig
• Ret til sletning (artikel 17) — du kan anmode om sletning af dine personoplysninger ("retten til at blive glemt"). Se "Ret til sletning" nedenfor for, hvordan sletning fungerer med vores lokal-kun-arkitektur.
• Ret til dataportabilitet (artikel 20) — du kan eksportere dine oplysninger i et struktureret, maskinlæsbart format direkte fra appen. Se "Dataeksport" nedenfor.
• Ret til indsigelse (artikel 21) — du kan gøre indsigelse mod behandling baseret på legitime interesser
• Ret til berigtigelse — du kan anmode om rettelse af unøjagtige oplysninger
• Ret til begrænsning af behandling — du kan anmode om, at behandlingen begrænses under visse omstændigheder

For at udøve nogen af disse rettigheder kan du kontakte os på kontakt@denkroelledehjerne.dk. Vi tilstræber at svare inden for 30 dage. Hvis vi ikke kan imødekomme en anmodning, forklarer vi hvorfor.

Danske brugere kan også indgive en klage til Datatilsynet på https://www.datatilsynet.dk.

Du kan til enhver tid slette din konto via Indstillinger → Slet konto.

Når du trykker på Slet konto, rydder vi FØRST dit lokale indhold fra denne enhed og sletter derefter din serverside-identitet og dine strukturerede oplysninger. Den lokale sletning er synkron og sker, før der foretages nogen netværksanmodning. Denne rækkefølge sikrer, at der ikke er noget tidsrum, hvor dit fritekstindhold (dagbogsnotater, drømme, bekymringsboks-notater osv.) overlever på en slettet konto.

Hvis du har logget ind på en anden enhed, beholder den enhed sit lokale indhold, indtil du også sletter kontoen der ELLER afinstallerer appen. Fordi dit fritekstindhold kun opbevares på hver enkelt enhed, og vi aldrig modtager det, kan vi ikke slette det fra andre enheder end den, du bruger til at anmode om sletning. Dette er en iboende egenskab ved lokal-kun-opbevaring.

Strukturerede serverside-oplysninger (humørvurderinger, gennemførelsesmarkeringer, insight-tællere, revisionslogfiler) slettes inden for 30 dage efter din anmodning via en baggrundskaskade. Visse anonymiserede, ikke-identificerbare aggregerede statistikker kan opbevares på ubestemt tid.

Du har ret til at modtage dine personoplysninger i et struktureret, almindeligt anvendt, maskinlæsbart format.

Indstillinger → Eksportér mine data producerer en enkelt JSON-fil, der indeholder:

• Dine serveropbevarede strukturerede oplysninger: humør- og søvnvurderinger, gennemførelsesmarkeringer, følelsesmærker, varigheder af vejrtrækningssessioner, vane-streaks, revisionslog-poster og kontoidentitet.
• Dit fritekstindhold på enheden: dagbogsnotater, drømme, taknemmelighedspunkter, bekymringsboks-notater, øvelsessvar, check-in-notater, titler på planlagte elementer og vanenavne.

Der vises en følsomhedsadvarsel, før filen produceres: "Denne fil indeholder følsomme personoplysninger, herunder helbredsrelaterede notater. Del den kun med tjenester, du har tillid til." Du skal bekræfte, før filen skrives, og delingsarket åbnes.

Hver eksport genererer en revisionslog-post, så du (og vi) har en optegnelse over, hvornår dine data blev eksporteret.

Vi gennemfører passende tekniske og organisatoriske foranstaltninger for at beskytte dine personoplysninger:

• Kryptering under overførsel — alle data, der overføres mellem appen og vores servere, er beskyttet med TLS
• Kryptering i hvile (serverside) — data, der opbevares i Convex, krypteres i hvile under Convex-administrerede nøgler
• Kryptering i hvile (enhedsside) — dit fritekstindhold ligger i din enheds app-sandbox med MMKV med kryptering i hvile (256-bit-nøgle genereret ved første start, opbevaret i din enheds Keychain på iOS / Keystore på Android — overføres aldrig væk fra enheden). MMKV-filen anvender iOS NSFileProtectionComplete (data er ulæselige, når enheden er låst) og er udelukket fra iCloud Backup og Google Drive Backup. Det betyder: kun din oplåste enhed kan dekryptere dit indhold, og hverken Apple eller Google modtager nogensinde en kopi. Afvejningen: hvis du mister din enhed eller nulstiller den uden først at bruge Indstillinger → Eksportér mine data, kan dit fritekstindhold ikke gendannes.
• Godkendelsessikkerhed — WorkOS AuthKit understøtter flerfaktorgodkendelse; OTP-koder udløber inden for 15 minutter
• Adgangskontrol — serviceaccount-adgang til produktionsdata er begrænset til det mindst nødvendige for driften

Intet sikkerhedssystem er 100 % sikkert. I tilfælde af et databrud, der påvirker dine rettigheder og frihedsrettigheder, vil vi underrette dig og den relevante tilsynsmyndighed som krævet i GDPR artikel 33/34.

Denne app er designet til én enhed pr. bruger. Dit fritekstindhold synkroniseres ikke på tværs af enheder via vores servere, OG det er udelukket fra iCloud Backup og Google Drive Backup, så hverken Apple eller Google nogensinde modtager det. For at bevare dit indhold på tværs af enheder skal du bruge Indstillinger → Eksportér mine data, FØR du skifter enhed. Hvis du mister din enhed eller afinstallerer appen uden at eksportere, går dit fritekstindhold tabt for altid — vi kan ikke gendanne det, fordi vi aldrig har haft det. Dine serverside-data (humørvurderinger, gennemførelsesmarkeringer osv.) overlever på vores servere og vises igen, når du logger ind på en ny enhed.

Den Krøllede Hjerne er ikke beregnet til brugere under 16 år. Vi anvender aldersgrænsen på 16 år, fordi Danmarks alder for digitalt samtykke (GDPR betragtning 38, gennemført via Databeskyttelsesloven §6) kræver forældresamtykke til behandling af børns oplysninger indtil 16-årsalderen.

Vi indsamler ikke bevidst personoplysninger fra nogen under 16 år. Hvis vi bliver opmærksomme på, at en bruger under 16 år har oprettet en konto, sletter vi kontoen og alle tilknyttede data efter underretning. Hvis du mener, at et barn under 16 år har givet os personoplysninger, bedes du kontakte os omgående på kontakt@denkroelledehjerne.dk.

Vi kan opdatere denne privatlivspolitik fra tid til anden. For væsentlige ændringer — ændringer, der påvirker behandlingsgrundlaget, kategorierne af indsamlede oplysninger eller de anvendte underdatabehandlere — giver vi mindst 30 dages varsel, før ændringen træder i kraft. Varsel gives via in-app-notifikation eller e-mail.

Ikrafttrædelsesdatoen øverst på denne politikside afspejler datoen for den seneste revision. Fortsat brug af appen efter ikrafttrædelsesdatoen udgør accept af den opdaterede politik.

For alle spørgsmål vedrørende privatliv, anmodninger om indsigt og sletning samt klager kan du kontakte os på:

kontakt@denkroelledehjerne.dk

Danske brugere kan alternativt kontakte Datatilsynet direkte på https://www.datatilsynet.dk, hvis de mener, at deres databeskyttelsesrettigheder er blevet krænket.