Integritetspolicy

1.Vem som är personuppgiftsansvarig

Kort sagt: ansvaret för dina uppgifter ligger hos Groworths operatör i Lettland, och du kan mejla honom om alla frågor som rör dina uppgifter.

Personuppgiftsansvarig i den mening som avses i den allmänna dataskyddsförordningen (EU 2016/679, nedan "dataskyddsförordningen" eller "förordningen") är:

SIA Appmeway, org.nr 40103588483, Mēness iela 16-8, Riga, LV-1013, Lettland

Nedan "vi" eller "Groworth". Tjänsten finns på groworth.xyz. Om du har frågor om den här policyn eller om behandlingen av dina uppgifter, skriv till support@groworth.xyz — vi svarar utan onödigt dröjsmål och senast inom en månad.

2.Vilka uppgifter vi behandlar

Kort sagt: din e-postadress, en lösenordshash och de ekonomiska uppgifter som du själv för in. Vi samlar inte in något i hemlighet — allt i vår databas har antingen skrivits in av dig eller är tekniskt nödvändigt för att ditt konto ska fungera.

2.1. Kontouppgifter

• E-postadress — kontots identifierare, som behövs för inloggning och för återställning av lösenord.
• Lösenordshash (bcrypt) — ditt lösenord lagras aldrig, vid något tillfälle, i klartext. Vi känner inte till det och kan inte ta reda på det; om du glömmer det ger vi dig ett nytt i stället för att påminna dig om det gamla.
• Hemlighet för tvåfaktorsautentisering (2FA) — om du aktiverar den; lagras krypterad.

2.2. Frivilliga demografiska uppgifter

Under den första konfigurationen (introduktionen) kan du ange ditt kön och din åldersgrupp. Båda frågorna är frivilliga — du kan hoppa över dem eller välja "vill inte uppge", och appen fungerar exakt likadant. Vi använder dessa uppgifter endast i anonym, sammanställd statistik (till exempel "hur många användare som finns i åldersgruppen 25–34"), aldrig på individnivå.

2.3. Ekonomiska uppgifter som du själv för in

Allt i appen är ditt eget arbete eller ditt direkta val — vi får ingenting utan att du gör något:

• transaktioner (belopp, datum, beskrivningar, anteckningar);
• kategorier och budgetgränser;
• ditt ekonomiska mål och dess belopp;
• konton och deras saldon;
• tillgångar och deras värden (fastigheter, sparande m.m.);
• skulder (lån, deras saldon och betalningar);
• portföljinnehav (värdepapper, kryptotillgångar, deras antal och anskaffningsvärden);
• offentliga adresser till kryptoplånböcker, om du lägger till några;
• kontoutdragsdata som importerats i CSV-format — den behandlas i din webbläsare, och endast de rader som du bekräftar för import når någonsin servern;
• transaktioner via bankanslutning — endast om du själv ansluter en bank och godkänner åtkomsten i din egen internetbank (hur det fungerar — se 6.1.1).

2.4. Tekniska uppgifter och sessionsuppgifter

• Sessionsposter — för varje enhet du loggar in från: enhetstyp och tidpunkt för senaste aktivitet. De gör att du kan se dina aktiva sessioner i inställningarna och avsluta var och en av dem separat.
• Inställningar — ditt valda tema, språk och liknande preferenser.
• Räknare för anropsbegränsning — kortlivade anropsräknare som skyddar inloggningsformulären mot lösenordsgissningsattacker.

2.5. Vad vi INTE har

• Vi har inte dina inloggningsuppgifter till internetbanken och kommer aldrig att be om dem.
• Vi har inte dina betalkortsnummer — kortuppgifterna går endast till betaltjänstleverantören (se avsnitt 6), aldrig till vår server.
• Vi bygger inga reklamprofiler och samlar inte in webbhistorik.

3.Ändamål och rättslig grund

Kort sagt: vi behandlar uppgifter endast för att appen ska fungera, vara säker och följa lagen. För marknadsföring — endast med ditt separata samtycke.

Vi behandlar aldrig dina uppgifter för att sälja dem, hyra ut dem eller lämna dem till annonsörer. Vi har inget sådant ändamål och kommer aldrig att ha det.

4.Hur dina uppgifter skyddas — ärligt

Kort sagt: personliga fält är krypterade, ditt lösenord lagras aldrig i klartext och databasen går inte att nå från internet. Vi kan tekniskt sett komma åt uppgifterna — och vi säger det ärligt i stället för att låtsas att vi inte kan.

4.1. Kryptering

• Personliga fält — transaktionsnamn, anteckningar, plånboksadresser och liknande fritextinnehåll — lagras i databasen krypterade med kryptering på fältnivå (Fernet, ett symmetriskt AES-128-baserat schema med integritetskontroll).
• Identifierare för bankanslutningen — kontots IBAN och identifierare för åtkomstsessioner — lagras krypterade med samma schema på fältnivå.
• Belopp och datum lagras okrypterade — avsiktligt: utan dem skulle ingen beräkning fungera, varken budgetsummor eller skuldprognoser. Ett belopp utan sammanhang ("−23,40") avslöjar inte i sig vad det avsåg.
• Krypteringsnyckeln förvaras på servern separat från databasens säkerhetskopior — en säkerhetskopia i sig, utan nyckeln, exponerar inte de personliga fälten.
• Alla uppgifter som utväxlas mellan din webbläsare och servern överförs endast via en krypterad HTTPS-anslutning.

4.2. Vad vi avsiktligt INTE påstår

Många tjänster påstår: "vi kan inte komma åt dina uppgifter". Vi kommer inte att säga det, eftersom det inte vore sant. Krypteringsnyckeln finns på servern — annars skulle återställning av lösenord via e-post inte fungera, och dina uppgifter skulle gå förlorade för alltid tillsammans med ett glömt lösenord. Det betyder: den personuppgiftsansvarige har teknisk åtkomst till uppgifterna. Vårt åtagande är detta: åtkomst till uppgifternas innehåll sker endast genom den personuppgiftsansvarige personligen och endast i supportsyfte på användarens egen begäran — aldrig av nyfikenhet, för analys eller för marknadsföring. Det ärliga löftet är: krypterat, aldrig sålt, raderbart med ett klick — inte mer, men inte heller mindre.

4.3. Lösenord och åtkomst

• Lösenord lagras endast som bcrypt-hashar.
• Tvåfaktorsautentisering (TOTP) finns tillgänglig — vi rekommenderar att du aktiverar den.
• Sessioner är knutna till en enhet; du kan avsluta var och en separat i inställningarna.
• Inloggningsformulären skyddas av anropsbegränsningar som stoppar lösenordsgissningsattacker.
• I sina svar vid inloggning och återställning av lösenord avslöjar systemet inte om det finns ett konto med en viss e-postadress.

4.4. Infrastruktur

• Databasen går inte att nå från internet — endast själva applikationen, från samma server, kan komma åt den.
• Applikationen körs i en begränsad miljö utan administratörsbehörighet.
• Varje administratörsåtgärd i systemet skrivs till en granskningslogg.
• Administrationspanelen är tekniskt åtskild från användarnas ekonomiska uppgifter — den ser endast sammanställda siffror, aldrig innehåll.

5.Var dina uppgifter fysiskt finns

Kort sagt: på en server i Tyskland, i Europeiska unionen. Uppgifterna flyttas inte utanför EU/EES.

Alla Groworths uppgifter lagras på en server hos Hetzner Online GmbH i Tyskland — det vill säga i Europeiska unionen, där dataskyddsförordningen gäller direkt. Inga uppgifter överförs till länder utanför EU/EES. Om det någon gång skulle ändras, skulle vi först uppdatera den här policyn och meddela det (se avsnitt 13).

6.Vem vi delar uppgifter med

Kort sagt: ingen, utom våra tekniska personuppgiftsbiträden — hosting inom EU, e-postleverans och, endast om du själv ansluter en bank, bankdataanslutningen. Priskällor ser endast instrumentsymboler. Dina uppgifter säljs aldrig — inte någonsin, inte till någon, inte i någon form.

6.1. Nuvarande personuppgiftsbiträden

6.1.1. Bankdataanslutningen — hur den fungerar

Att ansluta en bank är ett val, inte en standardinställning — utan den fungerar Groworth fullt ut med manuell inmatning och CSV-import. Om du ansluter en bank:

• Du ger ditt samtycke i banken själv. Du skickas vidare till din banks autentisering (Smart-ID eller bankens app). Groworth ser aldrig ditt lösenord till internetbanken — autentiseringen sker hos banken, och vi får endast läsbehörighet till transaktionslistan.
• Vad vi får: kontots transaktioner (datum, belopp, valuta, betalningsmottagarens namn, betalningsbeskrivning) och kontots identifierare (IBAN). IBAN och sessionsidentifierare lagras krypterade i vår databas (se 4.1). Vi kan inte genomföra betalningar — åtkomsten är endast läsbehörighet (AISP); betalningsinitiering har inte begärts och är inte möjlig.
• Rättslig grund: fullgörande av avtal (artikel 6.1 b i dataskyddsförordningen) — inläsningen av dina transaktioner är en funktion som du själv begär. Mellanhanden är Enable Banking Oy, en auktoriserad leverantör av kontoinformationstjänster (AISP) i Finland, EU.
• Samtycket upphör av sig självt senast efter 180 dagar (en gräns i PSD2) — därefter måste banken godkännas på nytt. Du kan återkalla det när som helst: Inställningar → Banker → "Koppla från", eller direkt i din internetbank. När du kopplar från finns de redan inlästa transaktionerna kvar på ditt konto — de är dina uppgifter och kan raderas som vilken annan post som helst.
• Importerade rader blir inte sanningen av sig själva. Varje banktransaktion kommer in obekräftad och väntar på din bekräftelse — du väljer kategorin själv.

6.2. Priskällor — inga personuppgifter

För att visa aktuella priser i din portfölj frågar servern regelbundet offentliga priskällor: CoinGecko (kryptotillgångar), DexScreener (tokens på decentraliserade börser — via kontraktsadress), Yahoo Finance (värdepapper) och Europeiska centralbanken (valutakurser). Till dessa källor skickas endast instrumentsymboler eller tokens kontraktsadresser (till exempel "BTC", "VWCE" eller en tokenadress) — aldrig ditt namn, din e-postadress, antal eller något annat som identifierar dig. Servern hämtar varje pris en gång och delar det mellan alla användare, så det är omöjligt att utifrån förfrågningarna sluta sig till vilken användare som innehar vilken tillgång.

6.2.a. Offentliga adresser till kryptoplånböcker

Om du lägger till en kryptoplånboks offentliga adress i Portföljen lagrar vi den krypterad som andra personliga fält och frågar regelbundet offentliga blockkedjenoder (Solana RPC, Ethereum RPC, Blockstream Bitcoin API) om dess saldo. Dessa noder får endast själva adressen — den är redan offentlig i blockkedjan. Vi ber aldrig om privata nycklar eller återställningsfraser, och de kommer aldrig in i den här appen. Du kan radera adressen när som helst, och de hämtade saldona försvinner med den.

6.3. Betalningshantering — Stripe

• Stripe (Stripe Payments Europe, Ltd., Irland) — betaltjänstleverantören och självständigt personuppgiftsansvarig för betalningsuppgifter. Ditt kortnummer når aldrig vår server — endast Stripe ser det, i sin egen betalmiljö. Från Stripe får vi endast kund- och abonnemangsidentifierare, betalningens belopp och dess status.

6.4. När lagen kräver det

Vi får lämna ut uppgifter till myndigheter endast när tillämplig lag kräver det och begäran har rättslig grund. Om inte lagen förbjuder det informerar vi dig om en sådan begäran.

6.5. Vad vi inte gör

• Vi säljer eller hyr inte ut uppgifter — varken enskilda eller sammanställda.
• Vi skickar inte uppgifter till annonsnätverk eller datamäklare.
• Vi visar inga annonser och bäddar inte in annonsspårare.

7.Kakor och spårning

Kort sagt: det finns inga spårningskakor — varken våra egna eller tredje parters. Den enda kakan är ditt språkval, och den är strikt nödvändig, vilket är skälet till att det inte finns någon kakbanner. Din session finns i webbläsarens lokala lagring, och besöksstatistiken är anonym, utan IP-adresser.

7.1. Kakor

Groworth använder en kaka — lang — och endast om du själv väljer ett språk (LV/EN) på startsidan. Den lagrar två bokstäver ("lv" eller "en"), finns kvar i 12 månader och har ett enda syfte: att öppna sidan på ditt språk nästa gång. Det är en funktionell kaka, inte en spårningskaka, och lagen kräver inget samtycke för den — vilket är skälet till att våra sidor inte har någon kakbanner. Det finns inga reklam-, analys- eller tredjepartskakor.

7.2. Webbläsarens lokala lagring (localStorage)

När du har loggat in sparas din sessionsnyckel i webbläsarens lokala lagring (localStorage) på din enhet. Detta är tekniskt nödvändigt för att du ska förbli inloggad — appen kan inte fungera utan det. Nyckeln skickas ingen annanstans än till vår egen server, och den försvinner när du loggar ut eller raderar din webbläsardata.

7.3. Besöksstatistik

Vi räknar besök på startsidan på två sätt, och båda är anonyma. För det första en anonym daglig totalsumma — en enda siffra i vår databas. För det andra Umami, besöksstatistik med öppen källkod som körs på vår egen server, inte använder kakor och inte lagrar någon IP-adress: den ser hur många som öppnade vilken sida och från vilket land, men inte vem du är, och den kan inte koppla ihop två av dina besök. Under registreringen noterar den på samma sätt, anonymt, vilket steg en person nådde (till exempel ”frågeformulär, steg 3”), utan e-postadress, namn eller belopp; efter registreringen mäter den ingenting inne i appen. Ingenting lämnar vår server. Det finns ingen Google Analytics eller någon annan tredjepartsanalys på våra sidor.

7.4. Skydd mot botar

För att skydda formulär mot botar använder vi ett matematiskt pussel som din webbläsare löser själv ("proof of work", arbetsbevis) — inga tredjepartstjänster, ingen spårning, ingen lösning av bildpussel. Inga uppgifter om dig når oss från det.

8.Anmälan till e-postlistan på startsidan

Kort sagt: om du lämnar din e-postadress på startsidan skickar vi dig en sak — meddelanden från Groworth. Ingenting annat. Marknadsföringsmejl endast om du separat samtycker till dem.

På startsidan kan du gå med i e-postlistan genom att bara uppge en e-postadress. Vi använder adressen för ett enda ändamål: att skicka dig meddelanden från Groworth. Startsidan lovar "Vi skickar ingenting annat" — och det löftet är också juridiskt bindande: alla andra mejl (nyheter, erbjudanden) skulle kräva ditt separata, frivilligt lämnade samtycke, som vi skulle be om öppet och aldrig tyst förutsätta.

Du kan lämna listan när som helst genom att skriva till support@groworth.xyz eller använda länken i mejlet — adressen raderas då. För lagringstider, se avsnitt 9.

9.Hur länge vi sparar uppgifter

Kort sagt: så länge ditt konto är aktivt. När du raderar ditt konto försvinner uppgifterna från den aktiva databasen omedelbart och från de krypterade säkerhetskopiorna senast inom 30 dagar.

10.Dina rättigheter och hur du använder dem

Kort sagt: för varje rättighet enligt dataskyddsförordningen har vi en konkret knapp, inte ett formulär och väntan. Export — ett klick. Radering — ett klick. Rättelse — allt går att redigera i själva appen.

Dataskyddsförordningen ger dig rättigheter över dina uppgifter. För var och en av dem har vi byggt in en mekanism direkt i appen, så att du aldrig behöver skriva formella begäranden för att använda dem:

11.Automatiserade beslut och profilering

Kort sagt: ingen algoritm fattar beslut med rättsliga följder för dig. XP, nivåer och prognoser är aritmetik på dina egna siffror, inte en bedömning av dig.

Groworth fattar inga automatiserade beslut i den mening som avses i artikel 22 i dataskyddsförordningen — sådana som skulle ha rättsliga följder för dig eller på liknande sätt i betydande grad påverka dig. Appens beräkningar (XP, nivåer, prognoser för skuldåterbetalning, budgetsummor) är enkel aritmetik på uppgifter som du själv har fört in, och de tjänar endast dig, som information. Vi bygger inga användarprofiler för reklam, kreditprövning eller någon form av urval.

12.Åldersgräns

Kort sagt: Groworth är avsett för vuxna — personer som fyllt 18 år.

Tjänsten är avsedd för personer som har fyllt 18 år, och genom att registrera dig bekräftar du att du är myndig. Vi samlar avsiktligt inte in några uppgifter om minderåriga. Om vi får kännedom om att ett konto har skapats av en person under 18 år raderas kontot och dess uppgifter.

13.Ändringar av denna policy

Kort sagt: väsentliga ändringar meddelar vi via e-post minst 14 dagar i förväg. Tysta, omärkliga ändringar i de punkter som är viktiga — kommer inte att ske.

Den här policyn kan ändras — till exempel när personuppgiftsbiträdena eller appens funktioner ändras. Väsentliga ändringar — sådana som ändrar omfattningen av de uppgifter som behandlas, personuppgiftsbiträdena eller dina rättigheter — meddelas till ditt kontos e-postadress minst 14 dagar innan de träder i kraft. Varje versions ikraftträdandedatum och nummer visas högst upp och längst ner på sidan. Redaktionella rättelser (stavfel, förtydliganden av formuleringar utan ändring i sak) kan göras utan särskilt meddelande.

14.Kontakt och klagomål

Kort sagt: skriv till oss — vi svarar senast inom en månad. Om svaret inte tillfredsställer dig kan du alltid vända dig till Lettlands dataskyddsmyndighet (Datu valsts inspekcija).

För frågor om den här policyn och behandlingen av dina uppgifter:

• Personuppgiftsansvarig: SIA Appmeway, org.nr 40103588483, Mēness iela 16-8, Riga, LV-1013, Lettland
• E-post: support@groworth.xyz
• Tillsynsmyndighet: Datu valsts inspekcija (Lettlands dataskyddsmyndighet), dvi.gov.lv