Personvernerklæring

Hvem som er ansvarlig

Olstad Digital (org.nr. 938 090 432, Selma Ellefsens vei 3H, 0581 Oslo, Norge) er behandlingsansvarlig for behandlingen som beskrives her. Kontakt oss på kontakt@nordicdigitalapp.no.

Kort fortalt

• Budsjettet ditt lagres på telefonen din. Uten konto kan vi ikke se det.
• Konto er valgfritt (Apple, Google, Facebook eller e-post). Med konto og Pro synkes budsjettet til serveren vår i EU (Irland), så du kan bruke det på flere enheter.
• Det finnes ingen bankkobling.
• CSV- og Excel-filer fra banken leses bare på telefonen. Selve fila lagres, kopieres eller sendes aldri.
• Appen sender budsjettet ditt til serveren vår bare når du synker med Pro, og bilder til AI-lesing bare når du har sagt ja. Har du sikkerhetskopi på telefonen slått på, tar Apple (iCloud) eller Google (Google-kontoen din) med appens data i den.
• Krasjrapporter har ikke navn, e-post, konto eller IP-adresse.
• Du kan eksportere alt og slette alt i appen, gratis.

Lagret på telefonen din

Appen lagrer dette i sin egen lagring på telefonen. Det sendes ikke til oss, og det slettes når du sletter alle data i appen eller avinstallerer den:

• Kontoene du lager (navn du velger, saldo og valuta; ikke bankkontoer).
• Postene dine: dato, beløp, valuta, kategori, leverandør og et valgfritt notat.
• Faste poster, sparemål, egne kategorier og kategorien appen husker for hver leverandør.
• Innstillinger: lønningsdag, månedsbudsjett, språk og valuta, og om du tillater AI-lesing.
• En tilfeldig enhets-ID. Den forlater bare telefonen som en enveiskode, til tellingen av AI-lesinger (se nedenfor).
• Når du er logget inn: innloggingen, i telefonens sikre lagring (nøkkelringen på iPhone, Android Keystore). Den tas aldri med i en sikkerhetskopi.
• Bilder du velger å beholde etter en import.

KID-nummer lagres aldri, og heller ikke hele kontonummeret. Appen kan lagre de fire siste sifrene i kontonummeret for å kjenne igjen kontoen.

Sikkerhetskopi på telefonen

Har du slått på sikkerhetskopi, tar telefonen med appens data i den: på Android i sikkerhetskopien på Google-kontoen din, på iPhone i iCloud. Da kommer budsjettet tilbake på en ny telefon. Det er Apple og Google som lagrer sikkerhetskopien, etter sine vilkår, og du slår den av og på i telefonens innstillinger.

Innloggingen og den sikre lagringen tas aldri med, så på en ny telefon logger du inn på nytt.

Import av CSV- og Excel-filer

Når du importerer en CSV- eller Excel-fil fra banken, leses fila bare på telefonen. Selve fila lagres, kopieres eller sendes aldri – verken til en server eller til AI.

Fra fila lagres bare dato (og bokføringsdato når fila har den), beskrivelse, beløp, leverandør, bankens saldo for å avstemme kontoen, og de fire siste sifrene i kontonummeret, for å kjenne igjen kontoen. KID, andre referanser og resten av kolonnene i fila lagres ikke.

Poster som ikke er bokført ennå, lagres som vanlige poster og telles med en gang. Kommer en slik post ikke med i en senere import fra banken, spør appen om du vil fjerne den. Den fjernes aldri av seg selv.

Appen husker hvordan kolonnene i fila er satt opp, uten innholdet, så neste import går raskere. Når du er logget inn med Pro, synkes dette sammen med de andre innstillingene dine.

AI-lesing brukes bare for bilder og PDF, og bare når du har sagt ja.

AI-lesing av kontolister, kvitteringer og fakturaer (valgfritt)

Når du importerer et skjermbilde eller foto av en kontoliste, eller skanner en kvittering eller faktura, kan du la AI lese den. Appen spør om lov først, og du kan slå det av når som helst på importskjermen. Uten lov leses alt på telefonen, og ingenting sendes.

Med lov sendes bildet, dagens dato, valutaen, landet ditt, appens kategorier (som koder) og kolonneoverskriftene for kontoen (bare overskriftene, ikke innholdet) gjennom vår server hos Supabase (Irland) til Anthropic (USA), som leser postene med sin AI-modell (Claude) og sender dem tilbake. Forespørselen går gjennom Supabase-serveren nærmest deg; verken vi eller Supabase lagrer bildet eller postene. Anthropic bruker ikke data som sendes gjennom API-et sitt, til å trene modellene sine, og sletter dem innen 30 dager (privacy.claude.com).

For å holde tjenesten innenfor grensene teller serveren vår AI-lesinger per enhet og dag. Telefonen sender bare en enveiskode av den tilfeldige enhets-ID-en, og serveren lager en ny kode av den med en hemmelig nøkkel før den lagres, så tellingen ikke kan knyttes til deg eller kontoen din. Bare koden, datoen og antallet lagres, og tellingen slettes automatisk etter 30 dager.

Bare i gratisversjonen: for grensen på AI-skann sender telefonen en enveiskode av telefonens ID, aldri selve ID-en. Serveren lager en ny kode av den med en hemmelig nøkkel og lagrer bare den, måneden, om det er en testversjon, og antallet. Den hashede enhets-ID-en brukes kun til å telle gratis AI-skann, ikke til sporing, og tellingen slettes automatisk etter 13 måneder. Med Pro sendes ingen telefon-ID.

Skanning av kvitteringer og fakturaer

Når du skanner en kvittering eller faktura, leses bildet på telefonen, eller med AI hvis du har sagt ja (se over). Bildet slettes så snart det er lest, også hvis du avbryter eller noe går galt. Fra bildet lagres bare butikk, dato, beløp og kategori. KID og kontonummer lagres aldri.

Krasjrapporter

Når appen krasjer eller det oppstår en feil, sendes en rapport til Sentry (EU, Tyskland): hva som gikk galt og hvor i appen, hva som skjedde rett før (uten innhold fra budsjettet), appversjonen, og telefonmodell og systemversjon. Sentry lagrer ikke IP-adressen, og rapportene har ikke navn, e-post eller konto. De lagres i høyst 90 dager og brukes bare til å rette feil.

Oppdateringer av appen

Ved hver oppstart spør appen Expo (USA), tjenesten som leverer oppdateringene, om det finnes en ny. Expo får da IP-adressen, plattformen (iOS eller Android), appens versjon og en tilfeldig ID for installasjonen – ingenting om deg eller budsjettet ditt.

Kjøp av Pro

Pro kjøpes i App Store eller Google Play. Apple eller Google håndterer betalingen etter sine egne personvernerklæringer; vi ser aldri kortopplysningene dine.

RevenueCat (USA) holder styr på om du har Pro. Appen kontakter RevenueCat ved hver oppstart, også i gratisversjonen, med en anonym kunde-ID som RevenueCat lager, eller konto-ID-en din når du er logget inn, så Pro følger kontoen. RevenueCat får kjøpene og kvitteringene fra butikken, plattformen og appens versjon. I testversjoner og ved testkjøp merkes kunden som test. Kjøpshistorikken blir liggende hos butikken og RevenueCat også om du sletter kontoen, så kjøpet ditt ikke går tapt.

Varsel om at Pro-abonnementet løper

Har du et Pro-abonnement som fornyes hver måned eller hvert år, viser appen minst hver sjette måned et varsel om at abonnementet løper, hva det koster og hvordan du sier det opp. Er du logget inn, får du det også på e-post. Varselet er pålagt etter norsk lov (digitalytelsesloven § 33), og vi logger hvert varsel for å kunne dokumentere at det ble gitt. Loggen inneholder:

• En kode av RevenueCat-kunden din, laget med en hemmelig nøkkel, og butikkens kjøps-ID.
• Butikk, produkt og plan (måned eller år).
• Datoen varselet gjaldt, når det ble vist og lukket (med telefonens tidssone), og om du trykket «Administrer abonnement».
• Kanal (i appen, varsel planlagt på telefonen, push-varsel eller e-post), språk, pris og valuta, og hvilken versjon av teksten du fikk (med en kode av teksten).
• For e-post: når den ble sendt, og meldings-ID-en fra Resend.

Loggen inneholder aldri navnet ditt, e-postadressen din eller konto-ID-en din. For å kunne sende e-posten lagrer vi konto-ID-en og datoen for neste varsel for seg; det slettes når du sletter kontoen.

Er du logget inn og har tillatt varsler for appen på telefonen, kan varselet også komme som push-varsel. Da lagrer vi telefonens push-token – adressen Apple eller Google bruker for å levere varsler til akkurat denne telefonen – sammen med konto-ID-en din, bare for å sende dette varselet. Varselet sendes gjennom Expo (USA), som leverer det videre til Apple Push Notification service (iPhone) eller Google Firebase Cloud Messaging (Android). Det inneholder bare teksten om abonnementet, ingenting fra budsjettet ditt. Tokenet slettes når du logger ut, sletter kontoen eller slår av varsler (appen fjerner det da), og når Apple eller Google sier at det ikke lenger gjelder. Du kan slå av varsler for appen i telefonens innstillinger.

Grunnlaget for å sende varselet og lagre push-tokenet er en rettslig forpliktelse (artikkel 6 nr. 1 bokstav c): loven krever at vi varsler om et abonnement som løper (digitalytelsesloven § 33 i Norge, og tilsvarende regler i andre land). Om appen får sende push-varsler, velger du selv i telefonens innstillinger. Uten push får du varselet i appen, og på e-post hvis du er logget inn.

Loggen lagres i 3 år etter abonnementets siste aktive dag, også om du sletter kontoen, men da uten noe som knytter den til deg. Grunnlaget er vår berettigede interesse (artikkel 6 nr. 1 bokstav f) i å kunne dokumentere at vi har gitt informasjonen loven krever.

Valgfri konto og synk (Pro)

Du kan logge inn med Apple, Google, Facebook (Meta) eller e-post. Innloggingen håndteres av Supabase på servere i Irland. Vi lagrer da e-postadressen din, en konto-ID, navnet ditt hvis leverandøren deler det, appspråket ditt og, i testversjoner, et testflagg. Med Apple kan du skjule e-postadressen; da ser vi bare Apples videresendingsadresse.

Med Pro synkes budsjettet til kontoen din: kontoer, poster, faste poster, budsjett, sparemål, egne kategorier, leverandører appen husker og innstillingene som følger deg (lønningsdag, lønn, budsjett). Hver endring lagres med når den ble gjort og på hvilken enhet. Dataene er kryptert under overføring og der de lagres, og bare kontoen din kan lese dem.

Koder og lenker for innlogging sendes på e-post gjennom Resend (USA), med adressen og språket ditt. Lenken åpner nettsiden vår, som ligger hos Vercel, og sender deg videre til appen. For å sende hver e-post én gang beholder serveren vår bare meldings-ID, type og status i 7 dager, aldri adressen.

Du kan logge ut når som helst; dataene blir på telefonen. «Slett konto» fjerner kontoen og alle data som er lagret med den på serveren vår. Det som blir liggende: kjøpshistorikken hos butikken og RevenueCat, tellingene uten navn eller konto (slettes etter 30 dager og 13 måneder) og tjenestenes egne logger etter deres vilkår.

Widget og påminnelser

Widgeten viser tall fra dataene på telefonen, og påminnelser om faste poster settes opp på telefonen. Ingenting sendes for noen av dem.

Hvem vi deler data med

• Supabase (Irland, EU): innlogging, synk for Pro, serveren for AI-lesing og tellingene.
• Anthropic (USA): AI-lesing, bare med din tillatelse.
• Resend (USA): e-post med innloggingskoder og -lenker.
• RevenueCat (USA): Pro-status og kjøp.
• Sentry (EU, Tyskland): krasjrapporter, uten IP-adresse.
• Expo (USA): oppdateringer av appen, og formidling av push-varselet om abonnementet.
• Vercel (USA): nettsiden vår, også siden innloggingslenken åpner.
• Apple, Google og Meta: App Store, Google Play, innlogging med dem når du velger det, telefonens sikkerhetskopi, og levering av push-varsler (Apple Push Notification service og Google Firebase Cloud Messaging).
• Valutakurser: serveren vår henter kurser fra Frankfurter og ExchangeRate-API. Ingen data om deg sendes dit.

Der data går til USA, bruker leverandørene EUs standardavtaler eller EU–US Data Privacy Framework. Vi selger aldri data, og appen har ingen reklame og ingen sporing.

Rettslig grunnlag

• For å levere appen du bruker (personvernforordningen artikkel 6 nr. 1 bokstav b): konto og synk (Supabase), innlogging med Apple, Google, Facebook eller e-post (Resend), og kjøp av Pro (App Store, Google Play og RevenueCat).
• Ditt samtykke til AI-lesing (artikkel 6 nr. 1 bokstav a), gjennom Supabase til Anthropic. Du kan trekke det tilbake når som helst.
• Vår berettigede interesse (artikkel 6 nr. 1 bokstav f) i å rette feil (Sentry), levere oppdateringer av appen (Expo), holde tjenesten innenfor grensene (tellingene) og drive nettsiden (Vercel).

Hvor lenge data lagres

• På telefonen: til du sletter dem i appen eller avinstallerer appen.
• Kontoen din og synkede data: til du sletter kontoen i appen.
• Bilder for AI-lesing: lagres ikke hos oss. Hos Anthropic: slettes innen 30 dager, unntatt forespørsler som flagges for misbruk (privacy.claude.com).
• CSV- og Excel-filer du importerer: lagres ikke. Bare postene du lagrer og oppsettet av kolonnene i fila blir igjen.
• Telling av AI-lesinger (enveiskode, dato og antall): 30 dager.
• Telling av gratis AI-skann (hashet enhets-ID, måned og antall): 13 måneder.
• Logg over innloggings-e-post (uten adresse): 7 dager.
• Push-token for varselet om abonnementet: til du logger ut, sletter kontoen eller slår av varsler.
• Krasjrapporter: høyst 90 dager.
• Innloggings-e-post hos Resend: 30 dager (resend.com). Supabase sine egne logger og sikkerhetskopier: høyst 7 dager (supabase.com). RevenueCat (revenuecat.com), Expo (expo.dev) og Vercel (vercel.com): etter deres vilkår, som ikke oppgir en fast tid.
• Sikkerhetskopi på telefonen: hos Apple eller Google, etter deres vilkår, til du sletter den.

Dine rettigheter

Du kan se, rette og eksportere alle dataene dine i appen (Meg → Eksporter data, gratis for alle), og slette dem (Meg → Slett alle data på telefonen). Du kan protestere mot behandlingen og trekke tilbake samtykket til AI-lesing når som helst.

Har du spørsmål, skriv til kontakt@nordicdigitalapp.no. Tilsynsmyndigheten er Datatilsynet i Norge, og du kan klage dit. Bor du i EU/EØS, kan du også klage til datatilsynet i ditt eget land.

Barn

Saldo Pocket er ikke laget for barn under 13 år, og vi behandler ikke bevisst opplysninger om dem.

Endringer

Hvis vi endrer erklæringen, oppdaterer vi denne siden og datoen øverst. Betyr endringen noe for hvordan dataene dine brukes, sier vi fra i appen.