Kimda

Personvernerklæring

Sist oppdatert: 27. oktober 2026

Dette er en maskinoversettelse. Juridisk bindende er den tsjekkiske versjonen.

Den tsjekkiske versjonen av disse retningslinjene er bindende. Oversettelser til andre språk er kun til orientering; ved motstrid gjelder den tsjekkiske versjonen.

Dette dokumentet beskriver hvilke opplysninger appen Kimda («appen», «vi») og nettstedet kimda.app behandler, hvorfor og på hvilket rettslig grunnlag, hvem vi deler dem med, hvor lenge vi lagrer dem og hvilke rettigheter du og barna dine har. Appen er laget for bruk av hele familien, inkludert barn – derfor behandler vi personvernet med særlig omhu.

1. Hvem som er behandlingsansvarlig

Behandlingsansvarlig er Mgr. Ivo Slávka, som driver appen Kimda som enkeltpersonforetak registrert i næringsregisteret ført av ÚMČ Praha 8, org.nr. 30070929, med forretningsadresse Bergerova 1115/2, 182 00 Praha 8 – Kobylisy, Tsjekkia. Kontakt-e-post for spørsmål om personvern og for å utøve dine rettigheter: privacy@kimda.app.

2. Hvilke opplysninger vi behandler og hvorfor

Kontoopplysninger: fornavn, etternavn, telefonnummer, rolle (forelder/barn), valgt språk og tema, valgfritt profilbilde, versjonen av disse retningslinjene og tidspunktet du godtok dem, for foreldre tidspunktet de bekreftet at de er myndige, og for barnet tidspunktet, versjonen av retningslinjene og forelderen som ga samtykke på vegne av barnet (punkt 5). Navnet ditt og profilbildet ditt er synlig for andre medlemmer av familien din i appen (en forelder ser alle medlemmer, et barn ser foreldrene og søsknene sine).
Telefonnummeret bruker vi til identitetsbekreftelse (SMS-kode) og innlogging og dets irreversible fingeravtrykk også til beskyttelse av Premium-prøveperioden (punkt 6), etter endring av nummer til bekreftelse av forespørsel om tilbakeføring av en overtatt konto (sikkerhetsregistreringer nedenfor) og etter gjenoppretting av databasen fra sikkerhetskopi til å holde tilbake innlogging på et nummer som kontoen tidligere har forlatt (journal over endringer av telefonnummer nedenfor) – appen sender ellers ingen meldinger til nummeret og deler det ikke med tredjeparter utover leverandøren av SMS-bekreftelsen (Twilio, se punkt 4).
Familieopplysninger: familiens navn, hvem som hører til den, hvilke roller og innstillinger hver enkelt har (prosentfordeling av lommepenger, valuta, familiens språk og tidssone) og historikk over endringer i økonomiske regler (hvem som endret for eksempel rente, fordelingsprosenter, valuta eller tidssone når, og fra hvilken verdi til hvilken).
Forespørsler om tilkobling: fornavn, etternavn, rolle og telefonnummer til personen som ønsker å bli med i familien, og tidspunktet for forespørselen – slik at forelderen ser hvem de godkjenner.
Forespørsler om foreldresamtykke: type forespørsel (fjerning av en forelder eller sletting av hele familien), hvem som sendte den inn, hvem den gjelder og hvem som godkjente, avviste eller kansellerte den (interne identifikatorer), tidspunkter (innsending, frist, påminnelse, behandling) og resultat (godkjent, avvist, kansellert, utført etter fristens utløp eller ugyldiggjort); navn, telefonnumre eller fritekst lagrer vi ikke. Forespørsler vises til familiens foreldre i appen.
Opplysninger om oppgaver: oppgavens navn, poeng, når den ble fullført/godkjent/avvist, og bilder hvis oppgaven krever bilde, inkludert bildets tekniske fingeravtrykk (se punkt 3).
Planer, rutiner og påminnelser: hvem oppgaven er tildelt, planlagt dag og klokkeslett, status for fullføring, forsinkelse, rekkefølge i rotasjonen og om en påminnelse er sendt.
Belønninger og mål: familiens belønningskatalog, ønsker om belønninger, sparemål og beløp som barnet har flyttet til et mål. Foreldreoversikten utleder av disse opplysningene samlet fullføringsgrad, punktlighet og jevn fordeling; den lager ingen offentlig rangering av barna.
Økonomiske opplysninger i appen: poeng, virtuelle lommepenger og fordelingen av dem, forespørsler om utbetaling, lån og renter innad i familien – dette er appens interne registreringer, ikke ekte bank- eller betalingsopplysninger. Appen har ikke tilgang til noen bankkonto eller noe betalingskort. Et barns månedlige oppsummering (antall godkjente oppgaver, poeng, og med Premium også beløpet for inneværende måned; ikke bokssaldoer) er også synlig for andre barn i samme familie, med mindre en forelder slår av dette i familieinnstillingene.
Registreringer av direkte utbetalinger og manuelle nedbetalinger: når en forelder i appen utbetaler en del av barnets saldo direkte til barnet (uten forespørsel fra barnet) eller manuelt registrerer en nedbetaling av lånet dets, lagrer serveren en separat oppføring om hver slik transaksjon, som ikke endres videre. Den inneholder interne identifikatorer for familien, barnet og forelderen som utførte transaksjonen, type transaksjon (direkte utbetaling, manuell nedbetaling), beløp, ved utbetaling boksen det ble utbetalt fra, og oppdeling av beløpet (ved utbetaling i en del fra egne innskudd og en del fra godskrevne renter, ved nedbetaling i hovedstol og renter), tidspunkt for transaksjonen og en tilfeldig identifikator for forespørselen. Oppføringen tjener til å kunne dokumentere hva og når forelderen registrerte i appen, og slik at en eventuell tvist i familien kan vurderes ut fra oppføringen, ikke bare ut fra den endelige saldoen. Dette er appens interne registrering – appen overfører ikke penger i seg selv. Registreringene er en del av dataeksporten (punkt 7) og oppbevares i henhold til punkt 6.
Abonnement: status for familiens abonnement (prøveperiode, Premium, gyldighet og fornyelse) og eventuell gratistilgang fra en kampanjekode; selve kampanjekodene lagrer serveren bare som et HMAC-fingeravtrykk, og administrasjonen av kodene registreres (hvem, når, hvilken handling). Vi ser ikke betalingsopplysninger – betalingen behandles av Apple eller Google. Bevis på samtykke til umiddelbar start av Premium, som vi oppbevarer som bevis for dette samtykket, er beskrevet i punkt 6.
Innlogging og sikkerhet: innloggingsøkter for de enkelte enhetene (når de ble opprettet, når de sist ble brukt og hvor lenge de er gyldige). Forelderen ser i Profilen en oversikt over sine innloggede enheter (bare tidspunkt for innlogging og siste bruk, uten IP-adresse og enhetsnavn) og kan logge dem ut individuelt. Fornyelsestokener lagrer serveren bare som SHA-256-fingeravtrykk, inkludert fingeravtrykk av allerede erstattede tokener, for å oppdage misbruk av et stjålet token. Ved forespørsel om SMS-kode lagres et nøklet fingeravtrykk (HMAC-SHA-256) av telefonnummeret og et SHA-256-fingeravtrykk av engangsutfordringen sammen med antall forsøk, ved endring av nummer og ved bekreftelse på sletting av familien også formålet og kontoens interne identifikator. Grenser for antall forespørsler, inkludert den daglige grensen for sendte SMS, beregnes basert på det nøklede fingeravtrykket (HMAC-SHA-256) til IP-adressen eller dens nettverk (IPv4 /24, IPv6 /56), telefonnummeret, kombinasjonen av telefonnummer og nettverk eller kontoen, eventuelt basert på land eller retningsnummer. Nøkkelen til disse fingeravtrykkene avleder serveren fra en hemmelig nøkkel lagret utenfor databasen, slik at fingeravtrykket ikke kan konverteres tilbake til et telefonnummer eller en IP-adresse uten den. Sikkerhetsregistreringer av viktige hendelser (f.eks. innlogging, forespørsel om tilkobling, godkjenning, avvisning eller fjerning av et medlem, ny invitasjonskode, utlogging av en enhet, endring av telefonnummer, bekreftelse av retningslinjene, foreldres samtykke for barn eller mistanke om misbruk av token) inneholder hendelsestype, tidspunkt og interne identifikatorer; ved fjerning av et medlem i tillegg deres rolle (forelder/barn), ved bekreftelse av retningslinjene og foreldres samtykke versjonen av retningslinjene og ved sletting av kontoen til et barn som hadde gjeld, saldo eller ubehandlede forespørsler, også valuta, avskrevne beløp og antall ubehandlede forespørsler. Sikkerhetsregistreringen av endring av telefonnummer inneholder i tillegg det irreversible fingeravtrykket av det opprinnelige nummeret (HMAC med hemmelig nøkkel), slik at brukerstøtte kan bekrefte at forespørselen om tilbakeføring av en overtatt konto sendes av den virkelige eieren av det opprinnelige nummeret. Navn, telefonnumre eller IP-adresser er ikke i dem. Endringer av telefonnummer og fjerning eller gjenoppretting av et familiemedlem føres i tillegg i en egen journal, som er beskrevet i kulepunktet «Journal over endringer av telefonnummer og medlemsstatus» nedenfor.
Sikkerhetsvarsler: når en forelder logger inn med en SMS-kode, får de andre foreldrene i familien et generelt varsel uten navn og telefonnummer; ved hver innlogging med en SMS-kode (forelder og barn) vil et generelt varsel om en ny innlogging også bli mottatt av de tidligere innloggede enhetene til den samme kontoen. Ved endring av telefonnummer (det nye nummeret bekreftes med SMS-kode) logger serveren ut de andre innloggede enhetene til kontoen, og et generelt varsel får kontoens eksisterende enheter og foreldrene i familien; det opprinnelige nummeret lagres ikke videre – det beholdes bare dets irreversible fingeravtrykk i sikkerhetsregistreringen av endringen (30 dager, se avsnitt 6), irreversible fingeravtrykk av det opprinnelige og det nye nummeret i journalen over endringer av telefonnummer (60 dager, se nedenfor og avsnitt 6) og for en forelder som var medlem av familien i løpet av dens prøveperiode, også fingeravtrykket i henhold til avsnitt 6. Når nummeret gjenopprettes av brukerstøtte etter forespørsel fra kontoeieren, bekrefter de først dennes identitet: med en SMS-kode sendt til det opprinnelige nummeret, hvis fingeravtrykk må stemme overens med fingeravtrykket i sikkerhetsregistreringen av endringen av nummeret. Når en slik bekreftelse ikke er mulig (registreringen av endringen finnes ikke lenger, eller eieren har ikke det opprinnelige nummeret), bekrefter de identiteten med en bekreftelse fra en annen forelder i familien (bekreftet med en SMS-kode sendt til denne forelderens nummer) og med svar på spørsmål stilt av brukerstøtte; i så fall sender de først et varsel til kontoens enheter og til foreldrene i familien og returnerer nummeret tidligst etter 72 timer, hvis ingen protesterer mot det; du vil se dette varselet etter innlogging også direkte i appen i hele perioden. Uten en slik bekreftelse gjenoppretter de ikke nummeret og avbryter ikke noen forespørsel – de kan bare logge ut kontoen på alle enheter. Hvis brukerstøtte allerede har returnert den samme kontoen én gang i løpet av de siste 30 dagene, anser de den neste forespørselen som en tvist og gjenoppretter ikke nummeret uten ytterligere undersøkelser. Etter gjenopprettelsen logger serveren ut kontoen på alle enheter, foreldrene i familien får et generelt varsel og inngrepet registreres (hvem som utførte det, når, hvilken konto det gjelder og en lenke til din forespørsel – uten telefonnummer). Et generelt varsel får foreldrene også ved sletting av et barns konto, ved fjerning av en annen forelder (også den fjernede forelderen) og ved mistanke om misbruk av et innloggingstoken; i så fall logger serveren ut kontoen på alle enheter og avbryter dens registreringer for varsler. Sikkerhetsvarsler (f.eks. om ny innlogging eller enhet, endring av telefonnummer, endring av økonomiske regler, fjerning av et medlem, sletting av et barns konto eller mistanke om misbruk av token) lagres først av serveren i en kø (type varsel, mottaker – enhetens push-token eller den interne identifikatoren til familien eller kontoen og språk – og den generelle tekniske hendelsestypen) og leveres deretter derfra; varselet ved tilbakeføring av en overtatt konto av brukerstøtte (ovenfor) sendes direkte. Hvis levering av varselet til foreldre eller enheter til et familiemedlems konto mislykkes selv etter gjentatte forsøk, lagrer serveren bare familiens interne identifikator, type varsel og tidspunkt (uten push-token og uten navn), slik at forelderen etter neste innlogging i appen vil se hvilket varsel det gjaldt og kunne bekrefte det; hvis mottakeren ikke har noen enhet som varselet kan sendes til, opprettes ikke en slik oppføring. Oppbevaringsperioder er angitt i punkt 6.
Journal over endringer av telefonnummer og medlemsstatus: i tillegg til sikkerhetsregistreringene ovenfor fører serveren en egen oppføring i journalen for hver endring av kontoens telefonnummer (enten du utfører den selv i Profilen eller brukerstøtte utfører den på din forespørsel) og for hver fjerning eller gjenoppretting av et familiemedlem. Oppføringen inneholder en tilfeldig identifikator for oppføringen, interne identifikatorer for kontoen og familien, type hendelse (endring av nummer, gjenoppretting av nummer av brukerstøtte, fjerning av medlem, gjenoppretting av medlem), tidspunkt for hendelsen og – bare ved endring av nummer – irreversible fingeravtrykk av både det opprinnelige og det nye nummeret (HMAC-SHA-256 med en hemmelig nøkkel som er lagret utenfor databasen). Ved fjerning og gjenoppretting av medlem finnes det ingen fingeravtrykk. Telefonnumre, navn eller IP-adresser er ikke i journalen. Fingeravtrykket kan ikke tilbakeføres til et telefonnummer uten den hemmelige nøkkelen, men fordi det er knyttet til kontoens interne identifikator, er det en pseudonym opplysning, ikke en anonym opplysning. Journalen tjener bare til å beskytte mot følgene av å gjenopprette databasen fra en sikkerhetskopi: for at et nummer som kontoen i mellomtiden har forlatt (og som noen andre kan ha overtatt), ikke skal vende tilbake til kontoen, og for at fjerning av et familiemedlem som sikkerhetskopien ikke inneholder, skal gjøres gjeldende på nytt. Serveren sammenligner derfor ved innlogging med SMS-kode og ved bekreftelse av telefonnummer fingeravtrykket til det oppgitte nummeret med den siste oppføringen i journalen; hvis det ikke stemmer overens, holdes innloggingen tilbake og det henvises til brukerstøtte. Oppføringen lagres i databasen og som regel innen få minutter også i en kopi i den separate, ikke-offentlige lagringen Cloudflare R2 (punkt 4), slik at den overlever tap av databasen mellom sikkerhetskopieringer. Oppbevaringsfrister er fastsatt i punkt 6.
Tekniske opplysninger: push-token og en tilfeldig enhetsidentifikator som appen oppretter for å levere varsler (dette er ikke en maskinvareidentifikator), tidspunkt for enhetens siste registrering, innloggingen som registreringen tilhører, og et SHA-256-fingeravtrykk av en tilfeldig installasjonshemmelighet, som enheten bruker for å bevise at push-tokenet tilhører den. Etter at registreringen er frigitt (utlogging, fjerning av medlem, sikkerhetsblokkering eller automatisk opprydding), husker serveren to tidsbegrensede oppføringer, slik at enhetens varsler ikke kan overtas av en fremmed konto: (a) en oppføring om det frigitte push-tokenet – SHA-256-fingeravtrykkene til push-tokenet og installasjonshemmeligheten, familiens interne identifikator og tidspunktet for frigivelsen (det frigitte tokenet kan dermed ikke overtas av en konto fra en annen familie); og (b) en oppføring om den frigitte enheten – kontoens interne identifikator, enhetens tilfeldige identifikator, de samme fingeravtrykkene og tidspunktet for frigivelsen (den frigitte enheten kan dermed ikke, uten bevis på at det er samme installasjon, tas i bruk på nytt av en annen innloggingsøkt for samme konto, for eksempel en stjålet økt). Serveren oppbevarer videre i 30 dager en oppføring om enhetsregistreringen (kontoens og enhetens interne identifikator, push-tokenets fingeravtrykk, hendelsestype og tidspunkt), som den bruker til å overvåke grensen for registrering av nye enheter per 24 timer. Oppbevaringsfrister er fastsatt i punkt 6; oppføring om den frigitte enheten føres ikke ved sletting av kontoen. Videre serverens driftslogger (f.eks. feilstatuser) uten telefonnumre og innhold i forespørsler. På telefonen oppbevarer appen innloggingstokener i en sikker lagring og husker i tillegg valgt språk og tema; det valgte språket meddeles også til serveren slik at varsler kommer på ditt språk. Hva appen sender direkte til tjenestene Expo og Sentry, er beskrevet i punkt 4.

Hvorfor vi behandler opplysninger og på hvilket rettslig grunnlag:

Familiekonto og appens funksjoner (registrering, familie, oppgaver og bilder, planer, påminnelser, belønninger, mål, lommepenger inkludert registreringer av direkte utbetalinger og manuelle nedbetalinger, varsler og abonnement): oppfyllelse av avtale, altså brukervilkårene (art. 6(1)(b) GDPR). Registreringer av direkte utbetalinger og manuelle nedbetalinger og historikk over endringer av økonomiske regler behandler vi i tillegg på grunnlag av vår berettigede interesse i å kunne dokumentere økonomiske transaksjoner og regler i appen og i å løse tvister i familien (art. 6(1)(f) GDPR). Bevis på samtykke til umiddelbar start av Premium og en kopi av dette utenfor databasen behandler vi i tillegg på grunnlag av vår berettigede interesse i å bevise dette samtykket og forsvare rettskrav (art. 6(1)(f) GDPR). For barns opplysninger, se punkt 5.
Innlogging bekreftet med SMS-kode: oppfyllelse av avtale (art. 6(1)(b) GDPR) – uten et bekreftet telefonnummer er det ikke mulig å logge inn i appen.
Sikkerhet og beskyttelse mot misbruk (økter og token-fingeravtrykk, utfordringer for SMS-kode, grenser for antall forespørsler og daglig SMS-grense, sikkerhetsregistreringer, journal over endringer av telefonnummer og medlemsstatus, minne over frigitte push-tokener og enheter, registrering av enhetsregistrering og grense for registrering av nye enheter per 24 timer, kø av sikkerhetsvarsler og oversikt over ikke-leverte varsler, driftslogger, fingeravtrykk av telefonnummer for å hindre gjentatt bruk av prøveperioden, forespørsler om foreldresamtykke, som beskytter familien mot ensidig fjerning av en forelder eller sletting, og identitetsbekreftelse når brukerstøtte tilbakefører en overtatt konto inkludert registrering av slike inngrep): vår berettigede interesse i sikker drift av tjenesten, beskyttelse av foreldres og barns kontoer og forsvar mot misbruk av SMS-bekreftelse (art. 6(1)(f) GDPR).
Retting av feil og oppdatering av appen (feilrapporter via Sentry, oppdateringer via Expo): vår berettigede interesse i en stabil og sikker app (art. 6(1)(f) GDPR).
Behandling av dine forespørsler i henhold til punkt 7 og dokumentasjon på hvordan og når vi behandlet dem (f.eks. status for utført sletting, logg over utførte slettinger og oppgave for ekstern sletting): oppfyllelse av en rettslig forpliktelse (art. 6(1)(c) GDPR).
Måling av annonser på nettstedet kimda.app (Meta Pixel): ditt samtykke (art. 6(1)(a) GDPR), se punkt 9.

Du kan protestere mot behandling basert på berettiget interesse (punkt 7). Telefonnummeret er nødvendig for registrering og innlogging; uten det kan ikke appen brukes. Profilbilde er frivillig, og bilde av en fullført oppgave kreves bare for oppgaver der forelderen krever det. Automatiserte avgjørelser eller profilering med rettslige eller tilsvarende betydelige virkninger (art. 22 GDPR) bruker vi ikke; automatiske sikkerhetsgrenser som for eksempel midlertidig blokkerer ytterligere forsøk på SMS-kode, tjener bare til å beskytte kontoer og tjenesten.

3. Bilder til oppgaver

Bilder som et barn (eller en forelder på vegne av barnet) laster opp til en oppgave, kan bare ses av medlemmer av samme familie (foreldre og barn i appen). De er ikke offentlige, og appen deler dem ikke med noen annen app eller noe sosialt nettverk. Et bilde til en oppgave kan bare tas med kameraet i appen. Appen og deretter serveren fjerner metadata (for eksempel GPS-posisjon eller kameraopplysninger) fra bildet før det lagres. Bildene lagres i en ikke-offentlig objektlagring (se punkt 4), og serveren utleverer dem bare til et innlogget medlem av samme familie. En forelder kan når som helst be om at de slettes.

For hvert opplastet bilde beregner serveren et teknisk fingeravtrykk (sjekksum og et forenklet 64-biters bildefingeravtrykk). Det tjener bare til at appen gjenkjenner når det samme eller et nesten identisk bilde brukes på nytt for en oppgave, og at bildet tilhører oppgaven som barnet nettopp tok det for i appen. Bildet kan ikke vises eller gjenskapes fra fingeravtrykket, og det slettes sammen med bildet. Registreringen av tidsutfordringen for bildet (hvem som ba om det i appen, til hvilken oppgave og når) slettes av serveren etter 7 dager. Forelderen ser en advarsel ved bildet når bildet ikke har en gyldig tidskontroll fra appen eller er svært likt et tidligere bilde, som et hjelpemiddel ved godkjenning; kontrollen garanterer ikke at bildet ikke kan forfalskes.

4. Hvem vi deler opplysninger med og overføring utenfor EU

Vi deler opplysninger bare med leverandører som sikrer driften av appen for oss (databehandlere), og bare i det omfanget de trenger for dette. Databehandlerne kan bare bruke opplysningene til å levere sin tjeneste for oss og i henhold til våre instruksjoner. Apple og Google opptrer som selvstendige behandlingsansvarlige ved kjøp i butikkene.

Leverandør av hosting (Railway) – driver appens server og databasen der appens data er lagret.
Cloudflare – den private objektlagringen R2 oppbevarer profilbilder og bilder av fullførte oppgaver som er overført kryptert, sikkerhetskopier av databasen (kryptert allerede før overføring slik at de bare kan dekrypteres med en privat nøkkel som vi oppbevarer utenfor skyen), en logg over utførte slettinger (bare interne identifikatorer, type sletting og tidspunkt), journal over endringer av telefonnummer og medlemsstatus (punkt 2: interne identifikatorer, type hendelse og tidspunkt og ved endring av nummer irreversible fingeravtrykk av numrene) og en kopi av beviset på samtykke til umiddelbar oppstart av Premium (punkt 6: interne identifikatorer for familien og brukeren, tidspunkt for samtykke, valgt plan, start på betalt periode, butikkens transaksjonsidentifikator og versjon av den viste teksten) i ikke-offentlige buckets; tilgangen til bildene styres videre av Kimdas backend, som krever innlogging. Cloudflare driver også nettstedet kimda.app (punkt 9).
Twilio (bekreftelse av telefonnummer med SMS-kode) – mottar telefonnummeret og koden du oppgir, bare for å levere og bekrefte SMS-koden.
Expo (650 Industries) – for det første leverer de varsler: de mottar enhetens push-token, installasjonsidentifikatoren for varsler, Apples eller Googles opprinnelige token, en generell tekst eller emoji for varselet og en generell teknisk hendelsestype. Database-ID-er, navn, oppgavenavn eller beløp sender vi ikke i push-meldinger. Expo videresender meldingen til push-tjenesten til Apple (Apple Push Notification service) eller Google (Firebase Cloud Messaging). For det andre leverer de oppdateringer av appen (EAS Update): appen spør Expos servere ved hver oppstart om en feilretting er tilgjengelig. Expo mottar da enhetens IP-adresse, plattform, appversjon, identifikatoren for den installerte oppdateringen, eventuelt teksten til den siste feilen som avsluttet appen, og en tilfeldig installasjonsidentifikator EAS-Client-ID som appen lagrer permanent på telefonen og som ikke endres selv etter utlogging. Vi knytter den ikke til kontoen din, og appen sender den ikke til serveren vår.
Apple og Google – som selvstendige behandlingsansvarlige behandler de kjøp og administrasjon av abonnement i App Store og Google Play; som push-tjenester (Apple Push Notification service, Firebase Cloud Messaging) leverer de varsler til enheten.
RevenueCat (behandling av abonnement via App Store / Google Play, bare for foreldrekontoer) – behandler familiens identifikator, kjøpshistorikk, Apple-kvittering eller Google-kjøpstoken, tidspunkt for siste bruk og tekniske enhetsopplysninger (f.eks. enhetstype og operativsystem). Fra Kimda mottar de ikke navn eller telefonnummer til forelder eller barn. I appen er RevenueCats integrasjoner for reklame/attribusjon ikke aktivert, og reklameidentifikatorer samles ikke inn manuelt.
Sentry (tekniske feilrapporter fra appen og serveren, for å rette feil) – mottar feiltype, sted i koden, appversjon og operativsystem. Både appen og serveren er satt opp slik at de ikke sender navn, telefonnummer, innloggingstoken, innhold i forespørsler eller IP-adresse dit. Organisasjonen Kimda i Sentry er plassert i dataområdet EU (Tyskland).
E-postleverandør (Spaceship, tjenesten Spacemail) – leverer og lagrer e-poster du sender oss på privacy@kimda.app eller support@kimda.app.

Railway, Cloudflare, Twilio, Expo, RevenueCat, Sentry, Spaceship, Apple, Google og Meta (punkt 9) er selskaper med hovedkontor eller infrastruktur i USA, og data kan derfor også behandles utenfor Det europeiske økonomiske samarbeidsområdet. Ved overføring utenfor Det europeiske økonomiske samarbeidsområdet bruker vi en mekanisme i henhold til kapittel V GDPR som gjelder for den aktuelle mottakeren og behandlingen – som regel mottakerens sertifisering under EU-USA Data Privacy Framework (EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå, art. 45 GDPR) eller standard personvernbestemmelser vedtatt av EU-kommisjonen (art. 46(2)(c) GDPR). Informasjon om mekanismen for en spesifikk mottaker og om hvor man kan få en kopi av de relevante garantiene, gir vi deg på forespørsel til privacy@kimda.app.

Vi selger ikke opplysninger fra appen, deler dem ikke med annonsører og bruker dem ikke til målrettet reklame. Måling av annonser på nettstedet kimda.app med besøkendes samtykke er beskrevet i punkt 9.

5. Foreldresamtykke og barnas rolle

Bare en voksen person kan ta i bruk appen (opprette rollen «forelder» og en ny familie). En konto med rollen «barn» opprettes alltid først etter tilkobling med en invitasjonskode som bare forelderen kjenner – et barn kan altså bare bli med når forelderen som deler koden, vet om det og samtykker. I tillegg må hver tilkobling av et barn og en annen forelder uttrykkelig godkjennes av forelderen i appen; inntil godkjenning ser det nye medlemmet bare familiens navn. Familiens invitasjonskode er gyldig i 48 timer, en ikke-godkjent forespørsel slettes automatisk etter 72 timer, og en avvist eller avbrutt forespørsel slettes umiddelbart. Ved å registrere deg med rollen «forelder» bekrefter du at du er myndig, og at du har lovlig rett til å samtykke til behandling av barnas opplysninger i appen.

Vi behandler barnets opplysninger bare i det omfanget som er nødvendig for at familiekontoen som forelderen opprettet og administrerer, skal fungere, altså for å oppfylle avtalen med forelderen (art. 6(1)(b) GDPR). Forelderen som verge bestemmer over barnets deltakelse: deler invitasjonskoden, godkjenner uttrykkelig barnets tilkobling og kan når som helst fjerne barnet fra familien eller be om at kontoen slettes. Barnet tar bare retningslinjene til etterretning ved registrering; samtykke til behandling av dets opplysninger gis av forelderen når denne godkjenner barnets tilkobling i appen, og serveren registrerer tidspunkt, forelder og versjon av retningslinjene. For barn som er godkjent med en eldre versjon av appen, vil appen be om det manglende samtykket fra forelderen i etterkant. Hvis behandlingen krever samtykke og barnet ennå ikke har fylt 15 år (aldersgrensen i Tsjekkia i henhold til art. 8 GDPR og § 7 i lov nr. 110/2019 Saml., om behandling av personopplysninger), gir forelderen samtykke på vegne av barnet. Barnets rettigheter i henhold til punkt 7 kan utøves av forelderen på barnets vegne.

6. Hvor lenge vi lagrer opplysninger

Vi lagrer konto- og familieopplysninger til brukeren ber om sletting av kontoen eller hele familien. At appen ikke brukes, utløser ikke i seg selv automatisk sletting. Brukeren trenger derfor ikke å åpne appen regelmessig for ikke å miste familiens historikk, og kan når som helst starte slettingen direkte i appen eller be om den på privacy@kimda.app. Historikken over endringer i økonomiske regler (punkt 2) lagrer vi i hele familiens levetid, uten tidsbegrensning og uten en øvre grense for antall (familien kan lagre endringer i økonomiske regler maksimalt 30 ganger i timen), fordi den fungerer som et uforanderlig bevis på hvem som endret reglene og når, for eksempel ved en tvist mellom foreldre; den kan verken redigeres eller slettes i appen. Etter sletting av hele familien (punkt 7) slettes den av serveren ved neste opprydding; sletting av en enkelt medlems konto endrer den ikke og etterlater den bare med den interne identifikatoren uten navn.

For de enkelte andre registreringene gjelder disse fristene:

Utfordringer for SMS-kode (fingeravtrykk av telefonnummer og utfordring): gyldige i 10 minutter; etter vellykket bekreftelse sletter serveren dem umiddelbart, ellers senest en time etter at de utløp.
Grenser for antall forespørsler og daglig SMS-grense (fingeravtrykk): serveren sletter dem 24 timer etter at den overvåkede perioden er over; den daglige SMS-grensen slutter alltid ved midnatt UTC.
Innloggingsøkter: innloggingstokenet er gyldig i 15 minutter; økten avsluttes etter 30 dager uten aktivitet, senest etter 90 dager, eller tidligere ved utlogging. En avsluttet økt, inkludert token-fingeravtrykk, slettes av serveren 30 dager etter at den ble avsluttet.
Invitasjoner og forespørsler om tilkobling: familiens invitasjonskode er gyldig i 48 timer og en invitasjon til en annen forelder i 24 timer; en ikke-godkjent forespørsel om tilkobling slettes automatisk etter 72 timer, en avvist eller avbrutt forespørsel slettes umiddelbart. Registreringen av en invitasjon til en annen forelder (kode, hvem som opprettet den og hvem som brukte den) slettes av serveren 30 dager etter at den utløp, ble brukt eller ble avbrutt.
Sikkerhetsregistreringer i databasen (punkt 2): serveren sletter dem selv etter 30 dager. Journal over endringer av telefonnummer og medlemsstatus følger sin egen frist angitt nedenfor.
Journal over endringer av telefonnummer og medlemsstatus (punkt 2): en oppføring i databasen slettes av serveren tidligst 60 dager etter opprettelsen, og først etter at den er kopiert til en separat lagring (kopien opprettes som regel innen få minutter). En oppføring som ikke kunne kopieres, slettes ikke av serveren før kopieringen er vellykket, og forblir derfor i databasen også i mer enn 60 dager. Kopien i den separate, ikke-offentlige lagringen Cloudflare R2 slettes automatisk av lagringen etter 60 dager fra lagringstidspunktet. Ved sletting av kontoen eller hele familien (punkt 7) sletter serveren oppføringene i journalen for den slettede kontoen eller familien fra databasen; kopien i lagringen opphører senest 60 dager etter lagring.
Bilder: frittstående bilder som ikke kunne knyttes til en profil eller en oppgave, fjernes av serveren etter 24 timer; registreringen av tidsutfordringen for bildet slettes etter 7 dager (punkt 3) og den tekniske registreringen av et slettet bilde (bare interne identifikatorer) 30 dager etter at bildet ble slettet.
Push-token og enhetsidentifikator: inntil enheten logges ut, medlemmet fjernes fra familien eller kontoen slettes, eventuelt inntil Apple eller Google markerer det som ugyldig. Serveren sletter dem i tillegg selv når appen ikke har fornyet enhetens registrering på 90 dager (den fornyes ved hver innlogging og oppstart), eller når brukeren ikke har hatt en gyldig innloggingsøkt på mer enn 30 dager. Etter at enheten er logget ut (også eksternt i Profilen) eller innloggingen er avsluttet, leveres ingenting til enheten. Et unntak er registreringer fra tiden før innføringen av denne versjonen, som appen siden ikke har fornyet: å logge ut én enhet eksternt kobler dem ikke fra, alternativet Logg ut alle enheter gjør det; ellers sletter serveren dem i henhold til fristene ovenfor. Oppføringen om det frigitte push-tokenet (fingeravtrykk, familie og tid) slettes av serveren etter 30 dager, eller tidligere hvis enheten registreres på nytt. Oppføringen om den frigitte enheten (kontoens interne identifikator, enhetens tilfeldige identifikator, fingeravtrykk og tid) slettes av serveren etter 91 dager – altså først etter utløpet av den lengst mulige gyldigheten for en innloggingsøkt (90 dager) – eller tidligere hvis enheten for samme konto registreres på nytt. Oppføring om den frigitte enheten føres ikke ved sletting av kontoen; hvis den allerede ble opprettet ved påbegynnelsen av slettingen, sletter serveren den når slettingen fullføres. Fristen for oppføringen om det frigitte push-tokenet forblir dermed uendret. Det tekniske fingeravtrykket av et push-token ved en sendt påminnelse brukes bare til å bekrefte leveringen; serveren sletter det etter at leveringen er vurdert, senest 30 dager etter at den ble sendt. Oppføringen om registrering av enhet (kontoens og enhetens interne identifikator, fingeravtrykk av push-token, type hendelse og tid; punkt 2) slettes av serveren etter 30 dager fra den ble opprettet, selv om du sletter kontoen i mellomtiden.
Kø for sikkerhetsvarsler og ikke leverte varsler (punkt 2): informasjon om mottakeren av varselet (enhetens push-token eller den interne identifikatoren til familien eller kontoen og språk) fjerner serveren fra den lagrede køoppføringen umiddelbart etter levering eller etter at leveringen er oppgitt, senest 7 dager etter at varselet ble opprettet; bare familiens interne identifikator (ved en ekstraordinær databasefeil midlertidig også kontoens) kan forbli der inntil oppføringen om et ikke levert varsel registreres (nedenfor). Den gjenværende oppføringen (type varsel, generell teknisk hendelsestype, tid og teknisk feilmelding) slettes 30 dager etter behandling. Oppføringen om et ikke levert varsel til en forelder (familiens interne identifikator, type varsel og tidspunkt, uten push-token og uten navn) beholdes til forelderen bekrefter den i appen; den bekreftede oppføringen slettes så snart den er eldre enn 90 dager. En oppføring for en familie som ikke lenger eksisterer, slettes ved neste opprydding.
Lagrede svar på økonomiske transaksjoner: for at en gjentatt forespørsel etter et nettverksbrudd ikke skal registrere en utbetaling, et lån eller en annen økonomisk transaksjon to ganger, husker serveren svaret på den i 30 dager. Selve oppføringen om transaksjonen (type transaksjon, dens tilfeldige identifikator, interne identifikatorer for familien, aktøren og det berørte medlemmet, SHA-256-fingeravtrykk av forespørselen og tidspunkt) er en del av den økonomiske historikken og oppbevares inntil kontoen eller familien slettes.
Registreringer av direkte utbetalinger og manuelle nedbetalinger (punkt 2): i motsetning til det lagrede svaret ovenfor, som slettes etter 30 dager, oppbevares disse registreringene inntil sletting av barnet de gjelder, eller hele familien (punkt 7).
Lagrede oppføringer for gjentatte forespørsler til planleggeren: for at en gjentatt forespørsel etter et nettverksbrudd ikke skal opprette oppgaveplanen to ganger, lagrer serveren i 60 dager en oppføring om at den er opprettet (interne identifikatorer for familien og forelderen, type operasjon, tilfeldig identifikator for forespørselen, SHA-256-fingeravtrykk av de angitte parameterne for planen, lenke til den opprettede planen og tidspunkt). Oppføringen slettes av serveren også ved sletting av kontoen til forelderen som opprettet planen, og ved sletting av hele familien (punkt 7).
Forespørsel om sletting av konto: en ubekreftet forespørsel om sletting blir ugyldig etter 45 dager og slettes senest etter ytterligere 400 dager; registreringen av utført sletting (bare interne identifikatorer og status, uten navn og kontakter) lagrer vi som dokumentasjon på at vi har behandlet forespørselen din, og det i 3 år fra den ble behandlet. I samme omfang (intern tilfeldig identifikator for kontoen eller familien, type sletting og tidspunkt) fører vi en logg over utførte slettinger, slik at alle senere slettinger blir brukt på nytt ved en eventuell gjenoppretting av databasen fra en sikkerhetskopi. Loggen i databasen slettes av serveren tidligst 180 dager etter at den ble opprettet, og da først etter at den har blitt kopiert til en separat lagring (kopien opprettes vanligvis innen få minutter); en oppføring som ikke kunne kopieres, slettes ikke av serveren før kopieringen er vellykket. Kopien i den separate ikke-offentlige lagringen slettes av lagringen selv etter 60 dager fra lagring. Den krypterte eksporten av loggen, som er en del av sikkerhetskopien av databasen, opphører sammen med sikkerhetskopien (senest etter 30 dager).
Forespørsler om foreldresamtykke: en åpen forespørsel er gyldig i 14 dager; den forlenges bare hvis det i mellomtiden legges til en forelder i familien (ved en forespørsel om å slette familien får den nye forelderen sine egne 14 dager, men høyst inntil utløpet av en eventuell beskyttelsesperiode etter fjerning av en annen forelder), eller etter gjenoppretting av databasen fra en sikkerhetskopi (unntatt en forespørsel om å slette familien, som bare er gyldig inntil utløpet av beskyttelsesperioden). En forespørsel om å slette familien som ville utløpe i løpet av 14-dagers perioden etter fjerning av en annen forelder, varer til slutten av denne perioden og opphører deretter. I løpet av den 14-dagers perioden etter fjerning av en annen forelder kan ikke familien slettes; en forespørsel om å slette familien levert i denne perioden vil bortfalle når den utløper. Etter utløpet av perioden kan den eneste gjenværende forelderen slette familien direkte i Profilen. En behandlet forespørsel slettes av serveren etter 90 dager.
Fingeravtrykk av telefonnummer etter sletting av konto eller endring av nummer: for at prøveperioden for Premium ikke skal kunne oppnås gjentatte ganger ved å slette kontoen og registrere seg på nytt, lagrer serveren ved sletting av kontoen til en forelder som var medlem av familien i løpet av dens prøveperiode, og ved endring av nummeret til en slik forelder (selv om nummeret endres av brukerstøtte etter dennes forespørsel) bare et fingeravtrykk av det hittidige telefonnummeret (HMAC med hemmelig nøkkel) og tidspunktet – ikke selve telefonnummeret. En ny registrering med samme nummer vil da ikke få prøveperiode. Serveren sletter fingeravtrykket etter 12 måneder.
E-poster du sender oss: så lenge det er nødvendig for å behandle spørsmålet eller forespørselen din og for å dokumentere hvordan vi behandlet den.
Registrering av inngrep fra brukerstøtte og administrasjon: registreringen av inngrepet i databasen (type inngrep, hvem som utførte det, når, hvilken familie det gjelder og forespørselsnummer – uten navn og telefonnumre; på denne måten registrerer vi gjenoppretting av nummer og utlogging av enheter av brukerstøtte, eksport av familiedata på forespørsel samt administrasjon av kampanjekoder og gratistilgang) sletter serveren selv etter 3 år. Loggen over brukerstøtteforespørsler (forespørselsnummer, dato, kontoens interne identifikator, metode for identitetsbekreftelse og resultat – uten telefonnummer) fører vi kryptert utenfor databasen og lagrer den også i 3 år som dokumentasjon på hvordan vi behandlet forespørselen.

Drifts- og sikkerhetslogger for hosting i produksjon kan lagres i høyst 30 dager. Tekniske feilmeldinger for appen og serveren lagres av Sentry i høyst 90 dager, slik at vi kan spore opp og rette feil som først viser seg etter utgivelsen av en ny versjon av appen; eventuelle driftssikkerhetskopier hos Sentry utløper senest 90 dager etter at de ble opprettet. Sikkerhetskopier av databasen tas daglig, krypteres allerede før de overføres fra produksjonsmiljøet og slettes 30 dager etter at de ble tatt, slik at tidligere slettede opplysninger forblir i dem i høyst 30 dager; de brukes ikke til vanlig gjenoppretting av en slettet konto. Hvis vi måtte gjenopprette databasen fra en sikkerhetskopi, vil slettinger utført etter at sikkerhetskopien ble tatt, bli brukt på nytt i henhold til loggen over slettinger. Innstillingene for hosting, database og lagring må håndheve disse fristene teknisk, og den behandlingsansvarlige kontrollerer dem jevnlig.

Hvis slettingen av posten hos den eksterne abonnementsleverandøren ikke kan fullføres umiddelbart, anonymiserer Kimda de lokale personopplysningene uten ytterligere opphold etter at mediene er fjernet. For å kunne gjenta den eksterne forespørselen på en sikker måte beholder den bare familiens interne tilfeldige identifikator og den tekniske statusen for slettingen, ikke navn eller telefonnumre. Oppføringen om denne eksterne slettingsoppgaven (familiens interne identifikator, leverandørens betegnelse, antall forsøk, tider og koden for den siste feilen, uten navn og telefonnumre) slettes av serveren 90 dager etter at den er fullført; en ufullstendig oppgave beholdes til den er fullført.

Vi beholder beviset på samtykke til umiddelbar oppstart av Premium (interne identifikatorer for familien og brukeren, tidspunkt for samtykke, valgt plan, start på betalt periode, butikkens transaksjonsidentifikator, den interne identifikatoren for kjøpsforsøket og versjon av den viste teksten) i den perioden som er nødvendig for å bevise dette samtykket i en eventuell tvist, som standard 3 år fra det ble gitt. Etter utløpet av fristen slettes beviset på en kontrollert måte. Beviset slettes verken med kontoen eller familien (punkt 7). En kopi av det (uten den interne identifikatoren for kjøpsforsøket) lagrer vi også i den separate ikke-offentlige lagringen Cloudflare R2 (punkt 4), slik at beviset overlever et tap av databasen mellom sikkerhetskopieringer; lagringen sletter den selv etter 1125 dager fra den ble lagret.

7. Dine rettigheter

Du har rett til:

innsyn i alle opplysninger appen lagrer om deg og familien din (art. 15 GDPR),
retting av uriktige opplysninger (art. 16 GDPR) – telefonnummeret endrer du selv i Profilen etter bekreftelse av det nye nummeret med en SMS-kode; hvis du mister tilgangen til kontoen (for eksempel fordi noen andre endret nummeret fra en innlogget enhet), endrer vi det på din forespørsel etter bekreftelse av identitet,
sletting av kontoen til et enkelt medlem (art. 17 GDPR) – appen fjerner eller anonymiserer direkte i appen (Profil → Slett konto) ugjenkallelig navn, telefonnummer, bilde og push-token, og sletter alle bilder du har lastet opp; for et barns konto også bilder til oppgavene deres som en forelder har lastet opp for dem. Det er da ikke lenger mulig å logge inn med denne kontoen, og verken navn eller kontakt blir værende. I historikken over oppgaver og betalinger blir bare de regnskapsmessige opplysningene som er nødvendige for sammenhengen i resten av familien, værende (poeng, beløp, status og tid); det frie notatet slettes, og navn på oppgaver og mål erstattes av en nøytral verdi. Denne historikken slettes ikke, fordi den forblir knyttet til resten av familien (ellers ville ikke regnskapet dem imellom stemme), men den er bare knyttet til en post uten navn og kontakt. Registreringer av direkte utbetalinger og manuelle nedbetalinger for barnet (punkt 2) slettes sammen med barnet. Oppføringer i journalen over endringer av telefonnummer og medlemsstatus (punkt 2) slettes fra databasen av serveren; kopien i den separate lagringen opphører senest 60 dager etter lagring. Hvis barnet har gjeld, saldo eller ubehandlede forespørsler, viser appen før slettingen hvilke beløp det går glipp av, og slettingen må bekreftes uttrykkelig; foreldrene får da et generelt varsel. Et medlem som forelderen har fjernet fra familien, kan etter bekreftelse med en SMS-kode i appen selv slette kontoen sin permanent og dermed frigjøre telefonnummeret sitt,
kaskadesletting av hele familien – når en forelder uttrykkelig bekrefter sletting av hele familien, anonymiserer vi alle medlemmene, sletter bildene deres og erstatter i tillegg frie tekster og navn på egne oppgaver, mål og belønninger med nøytrale verdier; vi sletter også registreringer av direkte utbetalinger og manuelle nedbetalinger for familien (punkt 2), historikk over endringer av økonomiske regler for familien (ved neste opprydding) og oppføringer i journalen over endringer av telefonnummer og medlemsstatus for medlemmene (kopien av journalen i den separate lagringen opphører senest 60 dager etter lagring). Fjerning av en annen forelder krever samtykke fra den berørte forelderen: en uttrykkelig avvisning stanser handlingen, uten reaksjon utføres den etter 14 dager. Sletting av hele familien der det er en annen forelder, krever uttrykkelig samtykke fra hver annen forelder; uten samtykke fra alle kanselleres forespørselen etter 14 dager, og familien slettes ikke. En familie der en annen forelder er fjernet i løpet av de siste 14 dagene, kan tidligst slettes 14 dager etter fjerningen. Regnskapsmessige opplysninger om en slettet familie, inkludert saldoer og status for barnas lån og sparing, fjernes fra produksjonsdatabasen senest 30 dager etter slettingen; i krypterte sikkerhetskopier kan de forbli i ytterligere 30 dager før sikkerhetskopien slettes. Bevis på samtykke til umiddelbar start av Premium slettes ikke ved sletting av familien (punkt 6). Anonymiserte registreringer av bruk av partnerkoder, som ikke inneholder personopplysninger, oppbevares for oversikt over partnere og beskyttelse mot misbruk. Etter at mediene er fjernet, skjer den lokale anonymiseringen også når RevenueCat er midlertidig utilgjengelig; den eksterne forespørselen gjentas deretter på en sikker måte bare med familiens interne identifikator. RevenueCat utfører slettingen asynkront. Dette sier ikke opp et abonnement som administreres av App Store eller Google Play – det må forelderen si opp separat i innstillingene for den aktuelle butikken,
begrensning av behandling (art. 18 GDPR), for eksempel hvis du bestrider opplysningenes riktighet, i den perioden vi trenger for å kontrollere den,
dataportabilitet (art. 20 GDPR) – opplysninger du har gitt oss og som vi behandler på grunnlag av en avtale, vil vi gi deg i et strukturert, alminnelig anvendt og maskinlesbart format (f.eks. JSON), eventuelt vil vi på din forespørsel overføre dem til en annen behandlingsansvarlig, hvis dette er teknisk mulig,
å protestere (art. 21 GDPR) mot behandling basert på vår berettigede interesse (punkt 2); vi vil da avslutte behandlingen, med mindre vi kan påvise tvingende berettigede grunner som går foran dine interesser, rettigheter og friheter, eller vi trenger den for å fastsette, gjøre gjeldende eller forsvare rettskrav,
å når som helst trekke tilbake samtykke (art. 7(3) GDPR) – samtykke til måling av annonser på nettstedet trekker du tilbake via lenken "Innstillinger for informasjonskapsler" i nettstedets bunntekst (punkt 9); tilbaketrekkingen påvirker ikke behandlingen før den,
å sende inn en klage til en tilsynsmyndighet (art. 77 GDPR) – i Tsjekkia er dette Datatilsynet (Úřad pro ochranu osobních údajů), Pplk. Sochora 27, 170 00 Praha 7, nettsted uoou.gov.cz; du kan også henvende deg til tilsynsmyndigheten i EU-medlemsstaten der du bor eller jobber.

Send forespørselen til privacy@kimda.app. For at vi ikke skal utlevere eller slette opplysninger til noen andre, vil vi først bekrefte at forespørselen sendes av kontoeieren (for eksempel ved bekreftelse fra telefonnummeret knyttet til kontoen); send oss aldri koder fra innloggings-SMS. Det eneste unntaket er koden fra SMS-en merket «Kimda obnova účtu», som kundestøtte bare vil be deg om som svar på din egen forespørsel om tilbakeføring av en overtatt konto, eller på din egen bekreftelse av en slik forespørsel fra en annen forelder i familien din (punkt 2); selv da må du bare oppgi den til kundestøtte, aldri til et annet familiemedlem. Kundestøtte ber deg utelukkende om denne koden via e-post fra adressen support@kimda.app med ditt forespørselsnummer, aldri over telefon eller gjennom et annet familiemedlem. En forespørsel om innsyn eller dataportabilitet behandler vi ved å eksportere familiens opplysninger i JSON-format (uten innloggingstokener og deres fingeravtrykk og uten fingeravtrykk av opprinnelige telefonnumre fra sikkerhetsregistreringer, som bare tjener til å bekrefte en forespørsel om tilbakeføring av en konto, og uten journal over endringer av telefonnummer og medlemsstatus, som bare tjener til beskyttelse mot overtakelse av nummeret; eksporten inneholder registreringer av direkte utbetalinger og manuelle nedbetalinger (punkt 2); for bilder inneholder den deres tekniske fingeravtrykk i henhold til punkt 3, selve bildene utleverer vi separat på forespørsel); hver eksport registreres (hvem som forberedte den, når og på grunnlag av hvilken forespørsel). Opplysninger om hendelser fra journalen over endringer av telefonnummer og medlemsstatus (type og tidspunkt, uten fingeravtrykk) oppgir vi til deg på forespørsel. Vi svarer uten ugrunnet opphold, senest innen en måned; i mer komplekse tilfeller kan vi forlenge fristen med ytterligere to måneder, noe vi vil informere deg om i tide. Barnets rettigheter kan utøves av forelderen som verge på barnets vegne.

8. Sikkerhet

Appen bruker ikke passord (innlogging bare via bekreftet telefonnummer). Tilgangen beskyttes av et kortsiktig innloggingstoken med en gyldighet på 15 minutter og et fornyelsestoken som serveren bare lagrer som et fingeravtrykk; ved påvist gjentatt bruk av et allerede erstattet fornyelsestoken vil serveren logge ut kontoen på alle enheter, avbryte dens registreringer for varsler, skrive en sikkerhetsregistrering og varsle de andre foreldrene. I produksjon foregår kommunikasjonen mellom appen og serveren via HTTPS. Bildene ligger i en ikke-offentlig lagring, og backend kontrollerer både kontoen og tilhørigheten til samme familie før de utleveres. Sikkerhetskopier av databasen krypteres allerede før overføring og kan bare dekrypteres med en privat nøkkel som lagres utenfor skyen; kampanjekoder finnes i databasen bare som et HMAC-fingeravtrykk med nøkkelen utenfor databasen, og administrasjonen av kampanjekoder registreres. Telefonnumre, tokener eller innhold i forespørsler skrives ikke av serveren til driftslogger.

9. Nettstedet kimda.app og informasjonskapsler

Dette punktet gjelder bare besøkende på nettstedet kimda.app, ikke bruken av appen. Nettstedet kjører på Cloudflares nettverk, som ved hvert besøk teknisk behandler IP-adressen og opplysninger om nettleseren for å kunne levere siden og beskytte den mot angrep; logger for diagnostisering av feil på nettstedet lagres av Cloudflare i høyst 3 dager. Basert på nettleserens språk (for nedlastingslenken også basert på enhetstype) vil nettstedet omdirigere deg til en passende versjon av siden. Behandlingsgrunnlaget er vår berettigede interesse i et sikkert og fungerende nettsted (art. 6(1)(f) GDPR). Valgt tema lagrer nettstedet bare i nettleseren din (localStorage). Beslutningen din om informasjonskapsler lagres i localStorage og i en strengt nødvendig teknisk informasjonskapsel kimda-consent-proof (gyldig i 180 dager), som bare inneholder typen valg og tidspunktet for beslutningen, uten noen identifikator for person eller konto. Nettleseren din sender den teknisk sett med hver forespørsel til nettstedet; serveren vurderer den ikke, den brukes bare av skriptet i nettleseren for å kontrollere at samtykket ikke er trukket tilbake. Denne informasjonskapselen krever ikke samtykke og brukes verken til måling eller reklame.

Bare dersom du velger "Godta" i feltet på nettstedet, laster nettstedet inn Meta Pixel fra Meta Platforms Ireland Limited. Den lagrer en informasjonskapsel i nettleseren (f.eks. _fbp med en gyldighet på opptil 90 dager) og sender opplysninger om besøket til Meta: den besøkte siden, IP-adressen, opplysninger om nettleseren og informasjonskapselens identifikator. Vi bruker den til å måle hvor effektive annonsene våre på Facebook og Instagram er. Behandlingsgrunnlaget er ditt samtykke (art. 6(1)(a) GDPR og § 89(3) i lov nr. 127/2005 Saml., om elektronisk kommunikasjon). Vi er felles behandlingsansvarlige med Meta for innsamlingen og overføringen av disse opplysningene; den videre behandlingen, inkludert eventuell overføring til USA på grunnlag av rammeverket for personvern mellom EU-USA (Data Privacy Framework), utføres av Meta som selvstendig behandlingsansvarlig i henhold til sine retningslinjer på facebook.com/privacy/policy. Opplysninger fra appen, kontoen eller familien sender vi aldri til Meta.

Uten samtykke lastes Meta Pixel ikke inn i det hele tatt. Du kan når som helst trekke tilbake samtykket via lenken "Innstillinger for informasjonskapsler" i nettstedets bunntekst; nettstedet sletter da Pixelens informasjonskapsler og laster ikke lenger inn Pixelen.

Hvis du via siden for testere blir med i en gruppe for testere i Google Groups, vil gruppens administrator se e-postadressen til Google-kontoen din; vi bruker den bare til testing av appen og for tilgang til testversjonen i Google Play. Testversjonen for iPhone distribueres av Apple via TestFlight. Google og Apple behandler da opplysningene som selvstendige behandlingsansvarlige i henhold til sine retningslinjer. Behandlingsgrunnlaget er din forespørsel om å delta i testingen (art. 6(1)(b) GDPR). E-postadressen forblir i gruppen inntil du melder deg ut av den eller inntil testingen er avsluttet.

10. Endringer i denne erklæringen

Vi vil informere deg om enhver vesentlig endring av disse retningslinjene i appen og på nettsiden kimda.app. Appen gjenkjenner hvilken versjon av retningslinjene du har godkjent: den ber foreldre om å bekrefte den nye versjonen (og eventuelt gi samtykke på vegne av barna), barnet tar den bare til etterretning. Tidspunkt og versjon for bekreftelsen registreres.

11. Kontakt

Spørsmål om personvern: privacy@kimda.app