Privatlivspolitik

1.Hvem der er dataansvarlig

Kort sagt: dine data er Groworths operatørs ansvar i Letland, og du kan skrive til ham om ethvert spørgsmål, der vedrører data.

Dataansvarlig i henhold til databeskyttelsesforordningen (forordning (EU) 2016/679, herefter „databeskyttelsesforordningen“ eller „forordningen“) er:

SIA Appmeway, reg.nr. 40103588483, Mēness iela 16-8, Riga, LV-1013, Letland

Herefter „vi“ eller „Groworth“. Tjenesten er tilgængelig på groworth.xyz. Har du spørgsmål om denne politik eller om behandlingen af dine data, så skriv til support@groworth.xyz — vi svarer uden unødig forsinkelse og senest inden for én måned.

2.Hvilke data vi behandler

Kort sagt: din e-mail, en adgangskode-hash og de økonomiske data, som du selv indtaster. Vi indsamler intet i det skjulte — alt i vores database er enten indtastet af dig eller teknisk nødvendigt for, at din konto kan fungere.

2.1. Kontodata

• E-mailadresse — kontoens identifikator, nødvendig for login og for gendannelse af adgangskode.
• Adgangskode-hash (bcrypt) — din adgangskode gemmes aldrig, på noget tidspunkt, i klartekst. Vi kender den ikke og kan ikke finde ud af den; glemmer du den, udsteder vi en ny i stedet for at minde dig om den gamle.
• Hemmelighed til totrinsgodkendelse (2FA) — hvis du slår den til; gemmes krypteret.

2.2. Frivillige demografiske data

Under den første opsætning (onboarding) kan du angive dit køn og din aldersgruppe. Begge spørgsmål er frivillige — du kan springe dem over eller vælge „ønsker ikke at oplyse“, og appen fungerer nøjagtig ens. Vi bruger disse data udelukkende i anonym, aggregeret statistik (for eksempel „hvor mange brugere er i aldersgruppen 25–34“), aldrig på individniveau.

2.3. Økonomiske data, du selv indtaster

Alt i appen er dit eget arbejde eller dit direkte valg — vi får intet, uden at du gør noget:

• transaktioner (beløb, datoer, beskrivelser, noter);
• kategorier og budgetgrænser;
• dit økonomiske mål og dets beløb;
• konti og deres saldi;
• aktiver og deres værdier (fast ejendom, opsparing osv.);
• forpligtelser (lån, deres restgæld og betalinger);
• porteføljepositioner (værdipapirer, kryptoaktiver, antal og anskaffelsessum);
• offentlige adresser på kryptotegnebøger, hvis du tilføjer nogen;
• data fra kontoudtog importeret i CSV-format — de behandles i din browser, og kun de rækker, du bekræfter til import, når nogensinde frem til serveren;
• transaktioner fra bankforbindelse — kun hvis du selv forbinder en bank og godkender adgangen i din egen netbank (hvordan det fungerer — se 6.1.1).

2.4. Tekniske data og sessionsdata

• Sessionsregistreringer — for hver enhed, du logger ind fra: enhedstypen og tidspunktet for seneste aktivitet. De gør det muligt for dig at se dine aktive sessioner i indstillingerne og afslutte hver af dem enkeltvis.
• Indstillinger — dit valgte tema, sprog og lignende præferencer.
• Tællere til begrænsning af forespørgsler — kortlivede tællere, der beskytter loginformularerne mod angreb, hvor adgangskoder gættes.

2.5. Det, vi IKKE har

• Vi har ikke dine loginoplysninger til netbanken og vil aldrig bede om dem.
• Vi har ikke dine betalingskortnumre — kortdata går kun til betalingsudbyderen (se afsnit 6), aldrig til vores server.
• Vi opbygger ikke annonceprofiler og indsamler ikke browserhistorik.

3.Formål og retsgrundlag

Kort sagt: vi behandler kun data, for at appen kan fungere, være sikker og overholde loven. Til markedsføring — kun med dit særskilte samtykke.

Vi behandler aldrig dine data for at sælge dem, udleje dem eller give dem videre til annoncører. Vi har ikke noget sådant formål og får det aldrig.

4.Sådan beskyttes dine data — ærligt

Kort sagt: personlige felter er krypteret, din adgangskode gemmes aldrig i klartekst, og databasen kan ikke nås fra internettet. Vi kan teknisk set få adgang til dataene — og vi siger det ærligt i stedet for at lade, som om vi ikke kan.

4.1. Kryptering

• Personlige felter — titler på transaktioner, noter, tegnebogsadresser og lignende fritekstindhold — gemmes i databasen krypteret med kryptering på feltniveau (Fernet, en symmetrisk ordning baseret på AES-128 med integritetskontrol).
• Identifikatorer for bankforbindelsen — kontoens IBAN og identifikatorer for adgangssessioner — gemmes krypteret med den samme ordning på feltniveau.
• Beløb og datoer gemmes i klartekst — med vilje: uden dem ville ingen beregning fungere, hverken budgetsummer eller afbetalingsprognoser for gæld. Et beløb uden sammenhæng („−23,40“) afslører ikke i sig selv, hvad det drejede sig om.
• Krypteringsnøglen opbevares på serveren adskilt fra sikkerhedskopierne af databasen — en sikkerhedskopi alene, uden nøglen, afslører ikke de personlige felter.
• Alle data, der udveksles mellem din browser og serveren, sendes kun via en krypteret HTTPS-forbindelse.

4.2. Det, vi bevidst IKKE påstår

Mange tjenester påstår: „vi kan ikke få adgang til dine data“. Det vil vi ikke sige, for det ville ikke være sandt. Krypteringsnøglen ligger på serveren — ellers ville gendannelse af adgangskode via e-mail ikke fungere, og dine data ville gå uigenkaldeligt tabt sammen med en glemt adgangskode. Det betyder: den dataansvarlige har teknisk adgang til dataene. Vores forpligtelse er denne: adgang til dataenes indhold sker kun ved den dataansvarlige personligt og kun med henblik på support efter brugerens egen anmodning — aldrig af nysgerrighed, til analyse eller til markedsføring. Det ærlige løfte er: krypteret, aldrig solgt, kan slettes med ét klik — ikke mere, men heller ikke mindre.

4.3. Adgangskoder og adgang

• Adgangskoder gemmes kun som bcrypt-hashes.
• Totrinsgodkendelse (TOTP) er tilgængelig — vi anbefaler at slå den til.
• Sessioner er knyttet til en enhed; du kan afslutte hver af dem enkeltvis i indstillingerne.
• Loginformularerne er beskyttet af begrænsninger på forespørgsler, der stopper angreb, hvor adgangskoder gættes.
• I sine svar ved login og gendannelse af adgangskode afslører systemet ikke, om der findes en konto med en given e-mailadresse.

4.4. Infrastruktur

• Databasen kan ikke nås fra internettet — kun selve applikationen, fra den samme server, har adgang til den.
• Applikationen kører i et begrænset miljø uden administratorrettigheder.
• Hver administratorhandling i systemet skrives i en revisionslog.
• Administrationspanelet er teknisk adskilt fra brugernes økonomiske data — det ser kun aggregerede tal, aldrig indhold.

5.Hvor dine data fysisk befinder sig

Kort sagt: på en server i Tyskland, i Den Europæiske Union. Data flyttes ikke uden for EU/EØS.

Alle Groworths data opbevares på en server hos Hetzner Online GmbH i Tyskland — altså i Den Europæiske Union, hvor databeskyttelsesforordningen gælder direkte. Ingen data overføres til lande uden for EU/EØS. Skulle det nogensinde ændre sig, vil vi først opdatere denne politik og meddele det (se afsnit 13).

6.Hvem vi deler data med

Kort sagt: ingen, bortset fra vores tekniske databehandlere — hosting i EU, levering af e-mails og, kun hvis du selv forbinder en bank, bankdataforbindelsen. Priskilder ser kun symboler for instrumenter. Dine data sælges aldrig — ikke nogensinde, ikke til nogen, ikke i nogen form.

6.1. Nuværende databehandlere

6.1.1. Bankdataforbindelsen — sådan fungerer den

At forbinde en bank er et valg, ikke en standard — uden det fungerer Groworth fuldt ud med manuel indtastning og CSV-import. Hvis du forbinder en bank:

• Du giver samtykke i selve banken. Du sendes videre til bankens godkendelse (Smart-ID eller bankens app). Groworth ser aldrig din adgangskode til netbanken — godkendelsen sker på bankens side, og vi får kun læseadgang til transaktionslisten.
• Hvad vi modtager: kontoens transaktioner (dato, beløb, valuta, modtagerens navn, betalingsbeskrivelse) og kontoens identifikator (IBAN). IBAN og sessionsidentifikatorer gemmes krypteret i vores database (se 4.1). Vi kan ikke foretage betalinger — adgangen er kun læseadgang (AISP); betalingsinitiering er ikke anmodet om og er ikke mulig.
• Retsgrundlag: opfyldelse af en kontrakt (databeskyttelsesforordningens artikel 6, stk. 1, litra b) — indlæsning af dine transaktioner er en funktion, du selv anmoder om. Mellemleddet er Enable Banking Oy, en autoriseret udbyder af kontooplysningstjenester (AISP) i Finland, EU.
• Samtykket udløber af sig selv senest efter 180 dage (en grænse i PSD2) — derefter skal banken godkendes igen. Du kan til enhver tid tilbagekalde det: Indstillinger → Banker → „Afbryd forbindelse“, eller direkte i din netbank. Når du afbryder forbindelsen, bliver de allerede indlæste transaktioner på din konto — de er dine data og kan slettes som enhver anden registrering.
• Importerede rækker bliver ikke sandheden af sig selv. Hver banktransaktion kommer ind ubekræftet og venter på din bekræftelse — du vælger selv kategorien.

6.2. Kilder til prisdata — ingen personoplysninger

For at vise aktuelle priser i din portefølje forespørger serveren løbende offentlige priskilder: CoinGecko (kryptoaktiver), DexScreener (tokens på decentrale børser — efter kontraktadresse), Yahoo Finance (værdipapirer) og Den Europæiske Centralbank (valutakurser). Disse kilder får kun symboler for instrumenter eller kontraktadresser for tokens (for eksempel „BTC“, „VWCE“ eller en tokenadresse) — aldrig dit navn, din e-mail, antal eller noget andet, der identificerer dig. Serveren henter hver pris én gang og deler den mellem alle brugere, så det er umuligt ud fra forespørgslerne at udlede, hvilken bruger der ejer hvilket aktiv.

6.2.a. Offentlige adresser på kryptotegnebøger

Hvis du tilføjer en kryptotegnebogs offentlige adresse i Porteføljen, gemmer vi den krypteret som andre personlige felter og spørger løbende offentlige blockchain-noder (Solana RPC, Ethereum RPC, Blockstream Bitcoin API) om dens saldo. Disse noder modtager kun selve adressen — den er allerede offentlig på blockchainen. Vi beder aldrig om private nøgler eller gendannelsesfraser (seed phrases), og de kommer aldrig ind i denne app. Du kan til enhver tid slette adressen, og de hentede saldi forsvinder sammen med den.

6.3. Betalingsbehandling — Stripe

• Stripe (Stripe Payments Europe, Ltd., Irland) — betalingsudbyderen og en selvstændig dataansvarlig for betalingsdata. Dit kortnummer når aldrig vores server — kun Stripe ser det, i sit eget betalingsmiljø. Fra Stripe modtager vi kun identifikatorerne for kunden og abonnementet, betalingsbeløbet og betalingens status.

6.4. Når loven kræver det

Vi kan kun videregive data til offentlige myndigheder, hvor gældende lov kræver det, og anmodningen har et retligt grundlag. Medmindre loven forbyder det, vil vi underrette dig om en sådan anmodning.

6.5. Det, vi ikke gør

• Vi sælger ikke og udlejer ikke data — hverken enkeltvise eller aggregerede.
• Vi sender ikke data til annoncenetværk eller datamæglere.
• Vi viser ikke annoncer og indlejrer ikke annoncesporere.

7.Cookies og sporing

Kort sagt: der er ingen sporingscookies — hverken vores egne eller tredjeparters. Den eneste cookie er dit sprogvalg, og den er strengt nødvendig, og derfor er der intet cookiebanner. Din session ligger i din browsers lokale lager, og besøgsstatistikken er anonym, uden IP-adresser.

7.1. Cookies

Groworth bruger én cookie — lang — og kun hvis du selv vælger et sprog (LV/EN) på forsiden. Den gemmer to bogstaver („lv“ eller „en“), lever i 12 måneder og har ét formål: at åbne siden på dit sprog næste gang. Det er en funktionel cookie, ikke sporing, og loven kræver ikke samtykke til den — derfor har vores sider intet cookiebanner. Der er ingen cookies til annoncering eller analyse og ingen tredjepartscookies.

7.2. Browserens lokale lager (localStorage)

Når du har logget ind, opbevares din sessionsnøgle i browserens lokale lager (localStorage) på din enhed. Det er teknisk nødvendigt, for at du kan forblive logget ind — appen kan ikke fungere uden. Nøglen sendes ingen andre steder hen end til vores egen server, og den forsvinder, når du logger ud eller sletter dine browserdata.

7.3. Besøgsstatistik

Vi tæller besøg på forsiden på to måder, og begge er anonyme. For det første en anonym daglig sum — ét enkelt tal i vores database. For det andet Umami, besøgsstatistik med åben kildekode, der kører på vores egen server, ikke bruger cookies og ikke gemmer nogen IP-adresse: den ser, hvor mange der åbnede hvilken side og fra hvilket land, men ikke hvem du er, og den kan ikke forbinde to af dine besøg. Under tilmeldingen noterer den ligeledes, anonymt, hvilket trin en person nåede til (for eksempel „spørgeskema, trin 3“), uden e-mail, navn eller beløb; efter tilmeldingen måler den intet inde i appen. Intet forlader vores server. Der er ingen Google Analytics eller anden analyse fra tredjeparter på vores sider.

7.4. Beskyttelse mod bots

For at beskytte formularer mod bots bruger vi en matematisk opgave, som din browser selv løser („proof of work“) — ingen tredjepartstjenester, ingen sporing, ingen billedopgaver, der skal løses. Ingen data om dig når os derfra.

8.Tilmelding med e-mail på landingssiden

Kort sagt: hvis du efterlader din e-mail på landingssiden, sender vi dig én ting — meddelelser fra Groworth. Intet andet. Markedsførings-e-mails kun, hvis du særskilt giver samtykke til dem.

På landingssiden kan du tilmelde dig e-maillisten ved kun at angive en e-mailadresse. Vi bruger den adresse til ét eneste formål: at sende dig meddelelser fra Groworth. Landingssiden lover „Vi sender intet andet“ — og det løfte er også juridisk bindende: alle andre e-mails (nyheder, tilbud) ville kræve dit særskilte, frivilligt afgivne samtykke, som vi ville bede om åbent og aldrig stiltiende gå ud fra.

Du kan til enhver tid forlade listen ved at skrive til support@groworth.xyz eller bruge linket i e-mailen — adressen bliver så slettet. Om opbevaringsperioder, se afsnit 9.

9.Hvor længe vi opbevarer data

Kort sagt: så længe din konto er aktiv. Når du sletter din konto, forsvinder dataene straks fra den aktive database og fra de krypterede sikkerhedskopier senest inden for 30 dage.

10.Dine rettigheder og hvordan du bruger dem

Kort sagt: for hver rettighed efter databeskyttelsesforordningen har vi en konkret knap, ikke en formular og ventetid. Eksport — ét klik. Sletning — ét klik. Berigtigelse — alt kan redigeres i selve appen.

Databeskyttelsesforordningen giver dig rettigheder over dine data. For hver af dem har vi bygget en mekanisme direkte ind i appen, så du aldrig behøver at skrive formelle anmodninger for at bruge dem:

11.Automatiske afgørelser og profilering

Kort sagt: ingen algoritme træffer afgørelser med retsvirkning for dig. XP, niveauer og prognoser er regning på dine egne tal, ikke en vurdering af dig.

Groworth træffer ingen automatiske afgørelser som omhandlet i databeskyttelsesforordningens artikel 22 — af den slags, der har retsvirkning for dig eller på tilsvarende vis betydeligt påvirker dig. Appens beregninger (XP, niveauer, prognoser for afbetaling af gæld, budgetsummer) er simpel regning på data, du selv har indtastet, og de tjener kun dig, som information. Vi opbygger ikke brugerprofiler til annoncering, kreditvurdering eller nogen form for udvælgelse.

12.Aldersgrænse

Kort sagt: Groworth er beregnet til voksne — fra 18 år og opefter.

Tjenesten er beregnet til personer fra 18 år og opefter, og ved at registrere dig bekræfter du, at du er myndig. Vi indsamler bevidst ingen data om mindreårige. Hvis vi får kendskab til, at en konto er oprettet af en person under 18 år, bliver kontoen og dens data slettet.

13.Ændringer i denne politik

Kort sagt: væsentlige ændringer meddeler vi via e-mail mindst 14 dage i forvejen. Stille, umærkelige ændringer i de punkter, der betyder noget — sker ikke.

Denne politik kan ændre sig — for eksempel når databehandlerne eller appens funktioner ændres. Væsentlige ændringer — sådanne, der ændrer omfanget af de behandlede data, databehandlerne eller dine rettigheder — meddeles til din kontos e-mailadresse mindst 14 dage, før de træder i kraft. Hver versions ikrafttrædelsesdato og nummer vises øverst og nederst på siden. Redaktionelle rettelser (stavefejl, præciseringer af ordlyden uden ændring af indholdet) kan ske uden særskilt meddelelse.

14.Kontakt og klager

Kort sagt: skriv til os — vi svarer senest inden for én måned. Er du ikke tilfreds med svaret, har du altid Datu valsts inspekcija (det lettiske datatilsyn).

For spørgsmål om denne politik og behandlingen af dine data:

• Dataansvarlig: SIA Appmeway, reg.nr. 40103588483, Mēness iela 16-8, Riga, LV-1013, Letland
• E-mail: support@groworth.xyz
• Tilsynsmyndighed: Datu valsts inspekcija (det lettiske datatilsyn), dvi.gov.lv