Integritetspolicy

1. Vilka vi är

Popit drivs av Tohmoco Oy, ett företag registrerat i Finland. Vi är personuppgiftsansvariga för de personuppgifter du lämnar när du använder Popit-appen.

Kontakt: info@tohmoco.fi

2. Vilka uppgifter vi samlar in

Uppgifter du lämnar direkt

• Sparat innehåll (”Pops”): Foton, röstinspelningar (konverterade till text), textanteckningar, PDF-dokument och länkar du väljer att spara. Det kan innefatta bilder på kvitton, fakturor, recept, garantidokument eller annat personligt material.
• Kontoinformation: E-postadress och visningsnamn, som anges direkt eller via Google Sign-In eller Apple Sign-In.
• Profilinställningar: Språk, tidszon, aviseringsinställningar och sparinställningar.

Uppgifter som samlas in automatiskt

• Plats (valfritt): Om du aktiverar platsfunktioner tas en enskild GPS-avläsning vid tidpunkten för sparandet. Popit spårar inte din plats löpande. Platsfunktioner är valfria och avaktiverade som standard.
• Kraschrapporter: Enhetsmodell, OS-version och kraschloggar samlas in via Firebase Crashlytics för stabilitetsövervakning. Ingen beteendeanalys samlas in.
• Push-notis-token: Enhetsidentifierare som används för att leverera påminnelser och aviseringar du har konfigurerat.

Uppgifter som härleds av AI

• Klassificering av innehållstyp (kvitto, faktura, recept, händelse, uppgift, garanti m.m.)
• Extraherade enheter: butiksnamn, belopp, datum, ingredienser, händelsedetaljer, platser
• AI-genererade sammanfattningar och föreslagna åtgärder (påminnelser, inköpslistor, kalenderhändelser)

Vad vi INTE samlar in

• Vi använder inga annonspårare och samlar inte in annonsidentifierare.
• Vi samlar inte in beteendeanalys eller användningshändelser (Firebase Analytics används inte).
• Vi kommer inte åt dina kontakter, kalender eller kamerarulle utöver de specifika objekt du delar med Popit.

3. Hur vi använder dina uppgifter

För att tillhandahålla tjänsten (fullgörande av avtal — art. 6.1 b GDPR)

• Analysera sparat innehåll med AI för att extrahera datum, belopp, påminnelser och annan strukturerad information.
• Generera inköpslistor, påminnelser, garantibevakning och kalenderhändelser från dina sparade objekt.
• Tillhandahålla sökning i ditt sparade innehåll.
• Hantera ditt konto och din prenumeration.

För att förbättra tjänsten (berättigat intresse — art. 6.1 f GDPR)

• Logga metadata från AI-behandling (operationstyp, tokenantal, lyckad/misslyckad) för kvalitetsövervakning. Inget faktiskt innehåll lagras i dessa loggar — enbart hashar och metadata.
• Diagnostisera krascher och tekniska fel via Crashlytics.
• Registrera användarkorrigeringar av AI-resultat (t.ex. typändringar) för att förbättra träffsäkerheten. Enbart korrigeringsmetadata lagras, inte råinnehåll.

Med ditt samtycke (art. 6.1 a GDPR)

• Skicka push-notiser för påminnelser du har konfigurerat.
• Samla in och använda platsdata för platsbaserade funktioner och påminnelser.

4. AI-behandling

Popit använder Google Vertex AI (Gemini-modeller) för att analysera innehållet du sparar. Behandlingen sker på servrar inom EU (Belgien, europe-west1). Ditt innehåll behandlas enbart för att tillhandahålla tjänsten åt dig.

Dina uppgifter används aldrig för att träna AI-modeller. Detta garanteras uttryckligen enligt Google Clouds tillägg för databehandling.

AI-extrahering är automatiserad och kan vara felaktig. Kontrollera viktig information (såsom garantiutgångsdatum, förfallodatum eller ekonomiska belopp) mot originaldokumenten. Popit ersätter inte professionell ekonomisk, juridisk eller medicinsk rådgivning.

5. Datadelning och tredjeparter

Vi säljer inte dina personuppgifter. Vi visar inga annonser. Vi delar inte data med annonsörer eller datamäklare.

Vi delar uppgifter enbart med följande tjänsteleverantörer, vilka agerar under strikta personuppgiftsbiträdesavtal:

• Supabase (EU — Irland): Databas, autentisering och fillagring. All användardata lagras här med radnivåsäkerhet som säkerställer dataisolering per användare.
• Google Vertex AI (EU — Belgien): AI-innehållsanalys. Tar emot sparat innehåll (bilder, text, PDF-filer) för behandling. Tar inte emot användar-ID:n eller e-postadresser. Kunddata används inte för modellträning.
• Firebase Cloud Messaging (Google): Leverans av push-notiser. Tar emot enhetstoken och aviseringsinnehåll.
• Firebase Crashlytics (Google): Kraschrapportering i produktionsversioner. Tar emot kraschloggar och enhetsinformation.
• RevenueCat: Prenumerationshantering. Tar emot en anonym användaridentifierare och prenumerationshändelser. Tar inte emot användarens e-post, namn eller sparat innehåll.
• Apple App Store / Google Play Store: Hanterar all betalningsbehandling. Vi ser eller lagrar aldrig betalkortsuppgifter.

Vi kan även lämna ut uppgifter om det krävs enligt finsk eller EU-lagstiftning, eller för att skydda våra användares rättigheter och säkerhet.

6. Internationella dataöverföringar

Kärnbehandlingen av data sker inom EU:

• Databas och lagring: Supabase, EU (Irland)
• AI-behandling: Google Vertex AI, EU (Belgien)

Vissa stödtjänster innebär överföringar till USA:

• Leverans av push-notiser (Firebase Cloud Messaging)
• Kraschrapportering (Firebase Crashlytics)
• Prenumerationshantering (RevenueCat)
• Autentisering (Google/Apple OAuth)

Alla överföringar till USA omfattas av standardavtalsklausuler (SCC) godkända av Europeiska kommissionen.

7. Datalagring

Vi bevarar ditt sparade innehåll och kontouppgifter så länge ditt konto är aktivt. Du kan när som helst radera enskilda sparade objekt eller hela ditt konto via appens inställningar.

När du raderar ditt konto tas all data bort permanent: mediefiler, alla databasposter (pops, åtgärder, samlingar, profiler, push-token, loggar) och din autentiseringspost. Detta är oåterkalleligt.

8. Datasäkerhet

• Kryptering i vila (AES-256) och under överföring (TLS/HTTPS) för all data.
• Row-Level Security som säkerställer att varje användare enbart kan komma åt sina egna uppgifter.
• Mediefiler lagras i privata hinkar med kortlivade signerade URL:er (1 timmes giltighetstid).
• JWT-baserad autentisering krävs för all API-åtkomst.
• Ingen persistent lokal lagring på din enhet — alla cachar lagras enbart i minnet och rensas vid utloggning.

Inget system är helt säkert. Om ett dataintrång inträffar som utgör en risk för dina rättigheter kommer vi att meddela dig och Finlands dataskyddsombudsman inom 72 timmar i enlighet med GDPR.

9. Dina rättigheter enligt GDPR

Som registrerad inom EU/EES har du följande rättigheter:

• Rätt till tillgång: Se alla dina uppgifter i appen eller begär en kopia.
• Rätt till rättelse: Korrigera felaktiga personuppgifter.
• Rätt till radering: Radera ditt konto och alla tillhörande uppgifter.
• Rätt till begränsning: Be oss pausa behandlingen av dina uppgifter.
• Rätt till dataportabilitet: Exportera dina uppgifter i ett maskinläsbart format.
• Rätt att göra invändningar: Invända mot behandling som grundar sig på berättigat intresse.
• Rätt att återkalla samtycke: Återkalla samtycke när som helst för plats- och aviseringsfunktioner.

För att utöva någon av dessa rättigheter, skicka e-post till info@tohmoco.fi. Vi svarar inom 30 dagar.

Du har också rätt att inge klagomål till Finlands dataskyddsombudsman (tietosuoja.fi).

10. Barns integritet

Popit riktar sig inte till barn under 16 år (EU) eller 13 år (USA). Vi samlar inte medvetet in personuppgifter från barn. Om vi upptäcker att en minderårigs uppgifter har samlats in kommer de att raderas omgående.

11. Ändringar av denna policy

Vi kan komma att uppdatera denna integritetspolicy från tid till annan. Vi meddelar dig om väsentliga ändringar via appen eller e-post. Datumet överst på denna sida anger när policyn senast uppdaterades.

12. Kontakt

För frågor, förfrågningar eller synpunkter som rör integritet:

• E-post: info@tohmoco.fi
• Tohmoco Oy, Finland (Y-tunnus: 3387948-8)