Personvernerklæring

1. Hvem er behandlingsansvarlig?

Sydvest AS (org.nr. 938 175 047), Snødevegen 121, 4056 Tananger, er behandlingsansvarlig for personopplysningene som behandles i Sydvest-appen. Kontakt: personvern@sydvest.app.

2. Hvilke opplysninger behandler vi?

Kontoopplysninger. E-postadresse (og navn hvis du oppgir det), som du registrerer med e-post og passord. Vi lagrer aldri passordet ditt i klartekst — innlogging håndteres sikkert av vår leverandør Supabase.

Innholdet du legger inn i appen — det viktigste, og det mest sensitive: saker, notater, frister, din situasjon/profil og diagnoseopplysninger du registrerer. Diagnoseopplysninger — og det du selv skriver om helse i saker og notater — regnes som særlige kategorier av personopplysninger (helseopplysninger) etter personvernforordningen artikkel 9, og behandles deretter.

Bruk av KI-funksjonene («Spør Sydvest» og «Lag brev»). Funksjonene er valgfrie og krever ett eget samtykke du gir før du tar dem i bruk — og som vi også kontrollerer på serveren. Spørsmålene du stiller, og i «Lag brev» saken, det du skriver, diagnosene fra veiviseren og navnet ditt (brevet trenger en avsender), behandles da av vår KI-leverandør (Google, via Vertex AI i EU-region). Fødselsnummer, D-nummer og kontonummer fjernes før noe sendes, både i appen og på serveren. Innholdet brukes ikke til å trene modeller, og Google lagrer det ikke: Sydvest har fått unntak fra Googles logging for misbruksovervåking (godkjent 2026 for prosjektet som kjører KI-tjenesten). Et dokument du laster opp i «Spør Sydvest» (f.eks. et vedtak eller brev) leses som regel på telefonen. Klarer ikke telefonen det, spør appen om du vil sende filen til KI-tjenesten for tekstgjenkjenning, og sender den bare hvis du sier ja. Dokumentet brukes kun til å lage svaret der og da, og lagres aldri — verken filen eller teksten. Vedlegget fjernes før samtalen lagres lokalt på enheten din.

Tekniske opplysninger. IP-adresse brukes kortvarig til å hindre misbruk og overbelastning av tjenesten. Den lagres ikke varig og brukes ikke til å spore deg.

Opplysninger om din egen bruk. Appen logger enkle hendelser om din egen bruk (f.eks. at du har åpnet en guide eller opprettet en sak), slik at appen kan tilpasse seg og følge med når du bytter enhet. Når du er innlogget, lagres dette i din egen, tilgangsbeskyttede konto i databasen vår i EU — ikke hos tredjeparter.

Vi bruker ikke annonsering, tredjeparts sporing eller profilering.

3. Hva bruker vi opplysningene til, og hva er grunnlaget?

• Opprette og drifte kontoen din, levere tjenesten, og synkronisere innholdet ditt mellom enhetene dine — oppfyllelse av avtale (art. 6(1)(b)).
• Behandle helseopplysninger og andre sensitive opplysninger du legger inn — uttrykkelig samtykke (art. 9(2)(a)), som du gir når du oppretter konto, og kan trekke tilbake når som helst under Min side. Vi noterer hva du samtykket til og når, slik at både du og vi kan se det i ettertid.
• Behandle opplysninger om barn (når du registrerer på vegne av et barn) — foresattes samtykke / utøvelse av foreldreansvar.
• Sikkerhet og hindring av misbruk (IP, rate-limiting) — berettiget interesse (art. 6(1)(f)).
• Betaling og abonnement — oppfyllelse av avtale (art. 6(1)(b)).

4. Hvem behandler opplysningene for oss?

Vi bruker databehandlere som behandler opplysninger på våre vegne, under databehandleravtale. Disse behandler data i EU/EØS:

• Supabase — database, innlogging og synk (EU, Frankfurt).
• Vercel — drift av appen og server-funksjonene (EU-region, Frankfurt).
• Resend — utsending av innloggings- og passord-e-post (EU).
• Upstash — kortvarig teller som hindrer misbruk og overbelastning (EU, Frankfurt).
• Google Cloud / Vertex AI — KI-funksjonen «Spør Sydvest» (EU-region; innholdet brukes ikke til å trene modeller, og lagres ikke hos Google — vi har unntak fra loggingen for misbruksovervåking).

Abonnement kjøpes gjennom Apple App Store eller Google Play. Apple/Google håndterer selve kjøpet og betalingen og er ansvarlige for den behandlingen — vi mottar kun en bekreftelse på at abonnementet ditt er aktivt, ikke kort-/betalingsopplysninger. Vi bruker RevenueCat til å kontrollere kvitteringen og holde styr på om abonnementet er aktivt. De mottar et tilfeldig referansenummer og abonnementsstatus — ikke navnet ditt, ikke e-posten din, ikke kontoen din og ingen betalingsopplysninger. Bare vi kan koble referansenummeret til deg. RevenueCat Inc. holder til i USA og er den eneste leverandøren utenfor EU/EØS. Overføringen er sikret med EU-kommisjonens standardpersonvernbestemmelser (personvernforordningen art. 46 nr. 2 bokstav c), som er en del av databehandleravtalen med RevenueCat. Du kan få en kopi ved å skrive til personvern@sydvest.app. Sletter du kontoen, sletter vi også referansenummeret hos RevenueCat.

Vi selger aldri opplysningene dine, og deler dem ikke med andre enn disse leverandørene som er nødvendige for å drive tjenesten.

5. Hvor lagres opplysningene?

Personopplysningene lagres innenfor EU/EØS. Eneste unntak er referansenummeret og abonnementsstatusen hos RevenueCat i USA (se punkt 4). I tillegg lagres dataene dine lokalt på enheten din, slik at appen fungerer raskt og uten nett.

6. Hvor lenge lagrer vi opplysningene?

Vi lagrer opplysningene dine så lenge du har en konto. Når du sletter kontoen, slettes all data knyttet til deg umiddelbart og permanent fra den aktive databasen. Slettede opplysninger kan ligge i krypterte sikkerhetskopier i inntil 7 dager før de overskrives. Det eneste som blir igjen, er en kryptografisk hash av e-postadressen din sammen med datoen kontoen først ble opprettet — ikke selve adressen — slik at den gratis prøvetiden ikke kan startes på nytt ved å slette og registrere seg igjen (berettiget interesse, art. 6(1)(f)). Hashen kan ikke gjøres om til adressen din, og slettes etter 12 måneder. Bruksstatistikk — enkle tellere over din egen bruk, som antall saker og antall spørsmål — lagres i kontoen din i EU sammen med resten av dataene, slik at tallene følger med mellom enhetene dine, og slettes når du sletter kontoen. Vi bruker dem ikke til analyse eller markedsføring. Når betaling er aktivert, må vi oppbevare nødvendige transaksjons-/regnskapsopplysninger i fem år etter bokføringsloven — dette er et begrenset sett, ikke helseopplysninger.

7. Rettighetene dine

• Få innsyn i opplysningene vi har om deg.
• Rette opplysninger som er feil.
• Slette kontoen og alle data — Min side → Slett konto. Har du ikke appen lenger, står framgangsmåten på app.sydvest.app/slett-konto.
• Laste ned dataene dine (dataportabilitet) — Min side → Last ned mine data. Du får alt vi har lagret om deg, også etter at prøvetid eller abonnement er over.
• Trekke tilbake samtykke når som helst — Min side → Samtykker. Der ser du hva du har samtykket til og kan skru hvert enkelt av. Trekker du samtykket til helseopplysninger, spør vi på nytt neste gang du åpner appen; dataene dine slettes ikke automatisk, det gjør du med «Slett konto».
• Begrense eller protestere mot behandlingen.

Du kan utøve rettighetene i appen, eller ved å kontakte oss på personvern@sydvest.app. Mener du vi behandler opplysningene dine i strid med regelverket, kan du klage til Datatilsynet (datatilsynet.no).

8. Barns personvern

Sydvest brukes ofte av foreldre og pårørende på vegne av barn. Når du registrerer opplysninger om et barn, er du ansvarlig for at du har rett til å gjøre det (typisk gjennom foreldreansvar). Vi behandler opplysninger om barn med ekstra varsomhet.

9. Sikkerhet

Vi beskytter opplysningene med tilgangsstyring (hver bruker når kun sine egne data), kryptert overføring og lagring hos leverandører i EU, og innlogging som kreves for å bruke tjenesten.

10. Endringer

Vi kan oppdatere denne erklæringen. Ved vesentlige endringer varsler vi i appen. Dato for siste endring står øverst.

11. Kontakt

Spørsmål om personvern? Kontakt oss på personvern@sydvest.app.