Personvernerklæring

1.Hvem som er behandlingsansvarlig

Kort sagt: dataene dine er ansvaret til Groworths operatør i Latvia, og du kan sende ham e-post om ethvert spørsmål som gjelder data.

Behandlingsansvarlig i henhold til personvernforordningen (forordning (EU) 2016/679, heretter «personvernforordningen» eller «forordningen») er:

SIA Appmeway, org.nr. 40103588483, Mēness iela 16-8, Riga, LV-1013, Latvia

Heretter «vi» eller «Groworth». Tjenesten er tilgjengelig på groworth.xyz. Har du spørsmål om denne erklæringen eller om behandlingen av dataene dine, skriv til support@groworth.xyz — vi svarer uten ugrunnet opphold og senest innen én måned.

2.Hvilke data vi behandler

Kort sagt: e-postadressen din, en passordhash og de økonomiske dataene som du selv legger inn. Vi samler ikke inn noe i det skjulte — alt i databasen vår er enten skrevet inn av deg eller teknisk nødvendig for at kontoen din skal fungere.

2.1. Kontodata

• E-postadresse — kontoens identifikator, nødvendig for innlogging og for gjenoppretting av passord.
• Passordhash (bcrypt) — passordet ditt lagres aldri, på noe tidspunkt, i klartekst. Vi kjenner det ikke og kan ikke finne det ut; glemmer du det, utsteder vi et nytt i stedet for å minne deg på det gamle.
• Hemmelighet for tofaktorautentisering (2FA) — hvis du slår den på; lagres kryptert.

2.2. Frivillige demografiske data

Under det første oppsettet (onboarding) kan du oppgi kjønn og aldersgruppe. Begge spørsmålene er frivillige — du kan hoppe over dem eller velge «vil ikke oppgi», og appen fungerer nøyaktig likt. Vi bruker disse dataene bare i anonym, aggregert statistikk (for eksempel «hvor mange brukere er i aldersgruppen 25–34»), aldri på individnivå.

2.3. Økonomiske data du legger inn selv

Alt i appen er ditt eget arbeid eller ditt direkte valg — vi får ingenting uten at du gjør noe:

• transaksjoner (beløp, datoer, beskrivelser, notater);
• kategorier og budsjettgrenser;
• det økonomiske målet ditt og beløpet for det;
• kontoer og saldoene deres;
• eiendeler og verdiene deres (fast eiendom, sparepenger osv.);
• forpliktelser (lån, saldoene deres og betalinger);
• porteføljeposisjoner (verdipapirer, kryptoeiendeler, antall og anskaffelseskost);
• offentlige adresser til kryptolommebøker, hvis du legger til noen;
• data fra kontoutskrifter importert i CSV-format — de behandles i nettleseren din, og bare radene du bekrefter for import, når noen gang frem til serveren;
• transaksjoner fra bankkobling — bare hvis du selv kobler til en bank og godkjenner tilgangen i din egen nettbank (hvordan det fungerer — se 6.1.1).

2.4. Tekniske data og øktdata

• Øktoppføringer — for hver enhet du logger inn fra: enhetstype og tidspunktet for siste aktivitet. De lar deg se de aktive øktene dine i innstillingene og avslutte hver av dem enkeltvis.
• Innstillinger — valgt tema, språk og lignende preferanser.
• Tellere for forespørselsbegrensning — kortlivede tellere for forespørsler som beskytter innloggingsskjemaene mot angrep der passord gjettes.

2.5. Det vi IKKE har

• Vi har ikke innloggingsopplysningene til nettbanken din og vil aldri be om dem.
• Vi har ikke kortnumrene dine — kortdata går bare til betalingsleverandøren (se del 6), aldri til serveren vår.
• Vi bygger ikke annonseprofiler og samler ikke inn nettleserhistorikk.

3.Formål og behandlingsgrunnlag

Kort sagt: vi behandler data bare for at appen skal fungere, være sikker og overholde loven. Til markedsføring — bare med ditt særskilte samtykke.

Vi behandler aldri dataene dine for å selge dem, leie dem ut eller gi dem videre til annonsører. Vi har ikke noe slikt formål og kommer aldri til å få det.

4.Slik beskyttes dataene dine — ærlig talt

Kort sagt: personlige felt er kryptert, passordet ditt lagres aldri i klartekst, og databasen kan ikke nås fra internett. Vi kan teknisk sett få tilgang til dataene — og vi sier det ærlig i stedet for å late som om vi ikke kan.

4.1. Kryptering

• Personlige felt — titler på transaksjoner, notater, lommebokadresser og lignende fritekstinnhold — lagres i databasen kryptert med kryptering på feltnivå (Fernet, en symmetrisk ordning basert på AES-128 med integritetskontroll).
• Identifikatorer for bankkobling — kontoens IBAN og identifikatorer for tilgangsøkter — lagres kryptert med den samme ordningen på feltnivå.
• Beløp og datoer lagres i klartekst — med vilje: uten dem ville ingen beregning fungert, verken budsjettsummer eller nedbetalingsprognoser for gjeld. Et beløp uten sammenheng («−23,40») avslører ikke i seg selv hva det gjaldt.
• Krypteringsnøkkelen oppbevares på serveren atskilt fra sikkerhetskopiene av databasen — en sikkerhetskopi alene, uten nøkkelen, avslører ikke de personlige feltene.
• All data som utveksles mellom nettleseren din og serveren, sendes bare over en kryptert HTTPS-forbindelse.

4.2. Det vi med vilje IKKE påstår

Mange tjenester påstår: «vi kan ikke få tilgang til dataene dine». Det kommer vi ikke til å si, fordi det ikke ville vært sant. Krypteringsnøkkelen ligger på serveren — ellers ville gjenoppretting av passord via e-post ikke fungert, og dataene dine ville gått ugjenkallelig tapt sammen med et glemt passord. Det betyr: den behandlingsansvarlige har teknisk tilgang til dataene. Vår forpliktelse er denne: tilgang til innholdet i dataene skjer bare ved den behandlingsansvarlige personlig og bare for kundestøtte på brukerens egen forespørsel — aldri av nysgjerrighet, for analyse eller for markedsføring. Det ærlige løftet er: kryptert, aldri solgt, kan slettes med ett klikk — ikke mer, men heller ikke mindre.

4.3. Passord og tilgang

• Passord lagres bare som bcrypt-hasher.
• Tofaktorautentisering (TOTP) er tilgjengelig — vi anbefaler å slå den på.
• Økter er knyttet til en enhet; du kan avslutte hver av dem enkeltvis i innstillingene.
• Innloggingsskjemaene er beskyttet av forespørselsbegrensninger som stopper angrep der passord gjettes.
• I svarene ved innlogging og gjenoppretting av passord avslører systemet ikke om det finnes en konto med en gitt e-postadresse.

4.4. Infrastruktur

• Databasen kan ikke nås fra internett — bare selve applikasjonen, fra samme server, har tilgang til den.
• Applikasjonen kjører i et begrenset miljø uten administratorrettigheter.
• Hver administratorhandling i systemet skrives til en revisjonslogg.
• Administrasjonspanelet er teknisk atskilt fra brukernes økonomiske data — det ser bare aggregerte tall, aldri innhold.

5.Hvor dataene dine fysisk befinner seg

Kort sagt: på en server i Tyskland, i Den europeiske union. Data flyttes ikke ut av EU/EØS.

Alle Groworths data lagres på en server hos Hetzner Online GmbH i Tyskland — altså i Den europeiske union, der personvernforordningen gjelder direkte. Ingen data overføres til land utenfor EU/EØS. Skulle det noen gang endre seg, vil vi først oppdatere denne erklæringen og kunngjøre det (se del 13).

6.Hvem vi deler data med

Kort sagt: ingen, bortsett fra våre tekniske databehandlere — hosting i EU, levering av e-post og, bare hvis du selv kobler til en bank, bankdatakoblingen. Priskilder ser bare symboler for instrumenter. Dataene dine selges aldri — ikke noen gang, ikke til noen, ikke i noen form.

6.1. Nåværende databehandlere

6.1.1. Bankdatakoblingen — slik fungerer den

Å koble til en bank er et valg, ikke en standard — uten det fungerer Groworth fullt ut med manuell registrering og CSV-import. Hvis du kobler til en bank:

• Du gir samtykke i selve banken. Du sendes videre til bankens autorisasjon (Smart-ID eller bankens app). Groworth ser aldri passordet til nettbanken din — autorisasjonen skjer på bankens side, og vi får bare lesetilgang til transaksjonslisten.
• Hva vi mottar: kontoens transaksjoner (dato, beløp, valuta, mottakerens navn, betalingsbeskrivelse) og kontoens identifikator (IBAN). IBAN og øktidentifikatorer lagres kryptert i databasen vår (se 4.1). Vi kan ikke foreta betalinger — tilgangen er kun lesetilgang (AISP); betalingsinitiering er ikke bedt om og er ikke mulig.
• Behandlingsgrunnlag: oppfyllelse av en avtale (personvernforordningen artikkel 6 nr. 1 bokstav b) — innlesing av transaksjonene dine er en funksjon du selv ber om. Mellomleddet er Enable Banking Oy, en lisensiert tilbyder av kontoinformasjonstjenester (AISP) i Finland, EU.
• Samtykket utløper av seg selv senest etter 180 dager (en grense i PSD2) — da må banken godkjennes på nytt. Du kan trekke det tilbake når som helst: Innstillinger → Banker → «Koble fra», eller direkte i nettbanken din. Når du kobler fra, blir transaksjonene som allerede er lest inn, værende på kontoen din — de er dine data og kan slettes som enhver annen oppføring.
• Importerte rader blir ikke sannhet av seg selv. Hver banktransaksjon kommer inn ubekreftet og venter på din bekreftelse — du velger kategorien selv.

6.2. Kilder for prisdata — ingen personopplysninger

For å vise aktuelle priser i porteføljen din henter serveren jevnlig data fra offentlige priskilder: CoinGecko (kryptoeiendeler), DexScreener (tokener på desentraliserte børser — etter kontraktsadresse), Yahoo Finance (verdipapirer) og Den europeiske sentralbanken (valutakurser). Disse kildene får bare symboler for instrumenter eller kontraktsadresser for tokener (for eksempel «BTC», «VWCE» eller en tokenadresse) — aldri navnet ditt, e-postadressen din, antall eller noe annet som identifiserer deg. Serveren henter hver pris én gang og deler den mellom alle brukere, så det er umulig å utlede av forespørslene hvilken bruker som eier hvilken eiendel.

6.2.a. Offentlige adresser til kryptolommebøker

Legger du til den offentlige adressen til en kryptolommebok i Porteføljen, lagrer vi den kryptert som andre personlige felt og spør jevnlig offentlige blokkjedenoder (Solana RPC, Ethereum RPC, Blockstream Bitcoin API) om saldoen. Disse nodene mottar bare selve adressen — den er allerede offentlig i blokkjeden. Vi ber aldri om private nøkler eller gjenopprettingsfraser (seed phrases), og de kommer aldri inn i denne appen. Du kan når som helst slette adressen, og de hentede saldoene forsvinner sammen med den.

6.3. Betalingsbehandling — Stripe

• Stripe (Stripe Payments Europe, Ltd., Irland) — betalingsleverandøren og en selvstendig behandlingsansvarlig for betalingsdata. Kortnummeret ditt når aldri serveren vår — bare Stripe ser det, i sitt eget betalingsmiljø. Fra Stripe mottar vi bare identifikatorene for kunden og abonnementet, betalingsbeløpet og statusen for betalingen.

6.4. Når loven krever det

Vi kan utlevere data til offentlige myndigheter bare der gjeldende lov krever det og anmodningen har rettslig grunnlag. Med mindre loven forbyr det, vil vi informere deg om en slik anmodning.

6.5. Det vi ikke gjør

• Vi selger ikke og leier ikke ut data — verken enkeltvise eller aggregerte.
• Vi sender ikke data til annonsenettverk eller datameglere.
• Vi viser ikke annonser og bygger ikke inn annonsesporere.

7.Informasjonskapsler og sporing

Kort sagt: det finnes ingen sporingskapsler — verken våre egne eller tredjeparters. Den eneste informasjonskapselen er språkvalget ditt, og den er strengt nødvendig, derfor finnes det ikke noe banner for informasjonskapsler. Økten din ligger i nettleserens lokale lagring, og besøksstatistikken er anonym, uten IP-adresser.

7.1. Informasjonskapsler

Groworth bruker én informasjonskapsel — lang — og bare hvis du selv velger et språk (LV/EN) på forsiden. Den lagrer to bokstaver («lv» eller «en»), varer i 12 måneder og har ett formål: å åpne siden på ditt språk neste gang. Det er en funksjonell informasjonskapsel, ikke sporing, og loven krever ikke samtykke for den — derfor har sidene våre ikke noe banner for informasjonskapsler. Det finnes ingen informasjonskapsler for annonsering, analyse eller fra tredjeparter.

7.2. Nettleserens lokale lagring (localStorage)

Etter at du har logget inn, oppbevares øktnøkkelen din i nettleserens lokale lagring (localStorage) på enheten din. Dette er teknisk nødvendig for at du skal forbli innlogget — appen kan ikke fungere uten. Nøkkelen sendes ingen andre steder enn til vår egen server, og den forsvinner når du logger ut eller sletter nettleserdataene dine.

7.3. Besøksstatistikk

Vi teller besøk på forsiden på to måter, og begge er anonyme. For det første en anonym daglig sum — ett enkelt tall i databasen vår. For det andre Umami, besøksstatistikk med åpen kildekode som kjører på vår egen server, ikke bruker informasjonskapsler og ikke lagrer noen IP-adresse: den ser hvor mange som åpnet hvilken side og fra hvilket land, men ikke hvem du er, og den kan ikke koble sammen to av besøkene dine. Under registreringen noterer den på samme måte, anonymt, hvilket trinn en person kom til (for eksempel «spørreskjema, trinn 3»), uten e-post, navn eller beløp; etter registreringen måler den ingenting inne i appen. Ingenting forlater serveren vår. Det finnes ingen Google Analytics eller annen analyse fra tredjeparter på sidene våre.

7.4. Beskyttelse mot roboter

For å beskytte skjemaer mot roboter bruker vi en matematisk oppgave som nettleseren din løser selv («proof of work») — ingen tredjepartstjenester, ingen sporing, ingen bildeoppgaver å løse. Ingen data om deg når oss fra den.

8.Påmelding med e-post på landingssiden

Kort sagt: legger du igjen e-postadressen din på landingssiden, sender vi deg én ting — kunngjøringer fra Groworth. Ingenting annet. Markedsførings-e-post bare hvis du gir særskilt samtykke til det.

På landingssiden kan du melde deg på e-postlisten ved å oppgi bare en e-postadresse. Vi bruker den adressen til ett eneste formål: å sende deg kunngjøringer fra Groworth. Landingssiden lover «Vi sender ingenting annet» — og det løftet er også juridisk bindende: all annen e-post (nyheter, tilbud) ville krevd ditt særskilte, frivillig avgitte samtykke, som vi ville bedt om åpent, aldri tatt for gitt i stillhet.

Du kan når som helst forlate listen ved å skrive til support@groworth.xyz eller bruke lenken i e-posten — adressen blir da slettet. Om lagringstider, se del 9.

9.Hvor lenge vi lagrer data

Kort sagt: så lenge kontoen din er aktiv. Når du sletter kontoen, forsvinner dataene fra den aktive databasen umiddelbart, og fra de krypterte sikkerhetskopiene senest innen 30 dager.

10.Rettighetene dine og hvordan du bruker dem

Kort sagt: for hver rettighet etter personvernforordningen har vi en konkret knapp, ikke et skjema og ventetid. Eksport — ett klikk. Sletting — ett klikk. Retting — alt kan redigeres i selve appen.

Personvernforordningen gir deg rettigheter over dataene dine. For hver av dem har vi bygd en mekanisme rett inn i appen, slik at du aldri trenger å skrive formelle anmodninger for å bruke dem:

11.Automatiserte avgjørelser og profilering

Kort sagt: ingen algoritme tar avgjørelser med rettslige konsekvenser for deg. XP, nivåer og prognoser er regning på dine egne tall, ikke en vurdering av deg.

Groworth treffer ingen automatiserte avgjørelser i henhold til personvernforordningen artikkel 22 — av den typen som har rettsvirkning for deg eller på lignende måte i betydelig grad påvirker deg. Appens beregninger (XP, nivåer, prognoser for nedbetaling av gjeld, budsjettsummer) er enkel regning på data du selv har lagt inn, og de tjener bare deg, som informasjon. Vi bygger ikke brukerprofiler for annonsering, vurdering av kredittverdighet eller noen form for utvelgelse.

12.Aldersgrense

Kort sagt: Groworth er beregnet på voksne — fra 18 år og oppover.

Tjenesten er beregnet på personer fra 18 år og oppover, og ved å registrere deg bekrefter du at du er myndig. Vi samler med vilje ikke inn data om mindreårige. Får vi vite at en konto er opprettet av en person under 18 år, blir kontoen og dataene i den slettet.

13.Endringer i denne erklæringen

Kort sagt: vesentlige endringer kunngjør vi på e-post minst 14 dager i forveien. Stille, umerkelige endringer i punktene som betyr noe — skjer ikke.

Denne erklæringen kan endres — for eksempel når databehandlerne eller appens funksjoner endres. Vesentlige endringer — slike som endrer omfanget av data som behandles, databehandlerne eller rettighetene dine — kunngjøres til e-postadressen for kontoen din minst 14 dager før de trer i kraft. Hver versjons ikrafttredelsesdato og nummer vises øverst og nederst på siden. Redaksjonelle rettelser (skrivefeil, presiseringer av ordlyden uten endring av innholdet) kan skje uten egen kunngjøring.

14.Kontakt og klager

Kort sagt: skriv til oss — vi svarer senest innen én måned. Er du ikke fornøyd med svaret, har du alltid Datu valsts inspekcija (det latviske datatilsynet).

For spørsmål om denne erklæringen og behandlingen av dataene dine:

• Behandlingsansvarlig: SIA Appmeway, org.nr. 40103588483, Mēness iela 16-8, Riga, LV-1013, Latvia
• E-post: support@groworth.xyz
• Tilsynsmyndighet: Datu valsts inspekcija (det latviske datatilsynet), dvi.gov.lv