Integritetspolicy

Savi (savi.nu) drivs av grundaren Mosab Raju, som är personuppgiftsansvarig för den behandling som beskrivs här. Organisationsnummer och registrerad adress publiceras här när bolagsregistreringen är klar. Frågor skickas till contact@savi.nu.

Savi är byggt för att fungera utan konto. Du behöver inte uppge namn, e-post eller lösenord för att använda tjänsten. Du får i stället en anonym sessionsidentitet i form av en slumpmässig kod i en cookie.

• Kvittodata: produkter, priser, butik och datum från kvitton du skannar eller skriver in.
• Tekniska uppgifter: IP-adress och webbläsarinformation, i säkerhetsloggar.
• Användningsdata: tidpunkt för skanningar och vilka funktioner som används.
• Besöksstatistik (Vercel Web Analytics). Med varje sidvisning kan följande lagras: tidpunkt, adressen till sidan, sidans mall-route, varifrån du kom (referrer), filtrerade parametrar i länken, plats härledd ur IP-adressen (land, region och stad), operativsystem och version, webbläsare och version, enhetstyp, och versionen av mätskriptet. Inga cookies används och ingenting sparas på din enhet. Vercel identifierar besökare med ett värde uträknat ur själva anropet, och det slås bort efter 24 timmar. Se punkt 5 och 6.
• E-postadress, bara om du själv skickar den: väntelistan för kommande funktioner är ett vanligt mejl som du själv skickar till oss. Vi sparar adressen för att kunna höra av oss när det är dags.
• Frivilliga profiluppgifter, till exempel hushållsstorlek, om vi frågar och du väljer att dela dem.
• E-post för kontot, om du kopplar en: ditt konto fungerar utan e-post. Väljer du att koppla en adress (för att verifiera dig eller logga in) skickar vi en kod eller en länk dit. Adressen behandlas redan när du begär koden eller länken, men kopplas beständigt till kontot först när du bekräftar den.
• Samtyckeshistorik: vilket samtycke du gett, för vilket ändamål, när, mot vilken policyversion, samt IP-adress och webbläsarinformation som bevis. Det här är serverns bevis. I webbläsaren sparas separat en lokal, informativ markering om att du sett eller gjort ett val, den är inte själva samtyckesbeviset.

Vi samlar inte in personnummer, hemadress, bankuppgifter eller kortnummer.

Ett kvitto kan avslöja känsliga saker om dig, till exempel läkemedel eller varor kopplade till religion eller hälsa. I dagens foto-OCR-flöde används bilden och de avlästa raderna under skanningen men sparas inte i Savis databas. Innan vi börjar spara varurader uppdaterar vi denna policy.

Varje uppgift har ett specifikt syfte och en rättslig grund enligt GDPR artikel 6:

• Kvittodata: för att leverera prisjämförelsen du ber om. Grund: avtal (art. 6.1 b).
• Framtida aggregerad prisdata: vi planerar att aggregera prisuppgifter från kvitton till en prisdatabas, utan koppling till dig, som gör jämförelserna bättre för alla. Det sker inte i dag. När det blir aktuellt frågar vi om ett eget, separat samtycke och uppdaterar denna policy innan insamlingen börjar.
• IP-adress och webbläsarinfo: för säkerhet och skydd mot missbruk. Grund: berättigat intresse (art. 6.1 f). Du kan invända mot den behandlingen, se punkt 7.
• Besöksstatistik: för att se vilka sidor som används och var de som hittar hit kommer ifrån. Grund: berättigat intresse (art. 6.1 f). Du kan invända mot behandlingen, se punkt 7.
• E-post från väntelistan: för att kontakta dig när funktionen du väntar på lanseras. Grund: samtycke (art. 6.1 a). Adressen sparas tills du ber oss ta bort dig eller vi avslutar väntelistan. Du kan återkalla samtycket när som helst: mejla contact@savi.nu så tar vi bort dig.
• Kontot och e-postadressen: för att kunna verifiera dig och låta dig logga in. Grund: avtal (art. 6.1 b), en behandling du själv begär genom att koppla en e-postadress till kontot.
• Skydd mot missbruk av verifierings-/inloggningslänkar: spärrar mot att en länk återanvänds eller att för många skickas i följd. Grund: berättigat intresse (art. 6.1 f). Du kan invända mot den behandlingen, se punkt 7.
• Samtyckesbevis, kärnposten: vilket val du gjort, för vilket ändamål, när och mot vilken policyversion. Vi är skyldiga att kunna visa att du samtyckt (art. 7.1). Grund: rättslig förpliktelse (art. 6.1 c).
• Samtyckesbevis, IP-adress och webbläsarinformation: sparas i samma post, som ytterligare bevisning om valet skulle ifrågasättas. Grund: berättigat intresse (art. 6.1 f). Du kan invända mot den delen, se punkt 7.
• Framtida nyhetsbrev och marknadsföring: bara med ditt uttryckliga samtycke (art. 6.1 a). Finns inte idag.

Vi använder inga svepande syften. Varje behandling ovan är specifik.

• Kvittobild och avläst text: sparas inte i Savis databas i dagens flöde. Se punkt 2.
• Framtida aggregerad prisdata: sker inte i dag. Se punkt 3.
• Säkerhetsloggar: sparas tills vidare. Automatisk gallring är planerad, ingen gallring körs i dag.
• Besöksstatistik: det värde som knyter ihop en besökares sidvisningar slås bort efter 24 timmar. Själva statistiken ligger kvar hos Vercel enligt deras lagringstid. Vi når bara sammanräknade siffror, till exempel antal besök per sida. Vi kan inte ta fram enskilda besök ur den.
• E-post och andra kontouppgifter: sparas till kontot raderas.
• Verifierings- och inloggningslänkar: verifieringskoden för e-post gäller i 24 timmar, inloggningslänken i 15 minuter. Det är hur länge länken går att använda, inte hur länge uppgifter sparas. Säkerhetsmetadata kring länkarna städas av ett schemalagt jobb efter att giltighetstiden gått ut.
• Samtyckeshistorik: så länge kontot är aktivt. Tas bort automatiskt när kontot raderas.
• Inaktiva sessioner och konton: vi planerar automatisk radering efter 24 månaders inaktivitet. Tills den är på plats kan du alltid begära radering själv, se punkt 7.

Savi säljer aldrig dina uppgifter. Inga annonsnätverk, inga datamäklare. Vi använder följande leverantörer (personuppgiftsbiträden) för att driva tjänsten:

• Google Cloud (Vision API): läser av texten i din kvittobild. Behandling kan ske i USA, se punkt 6.
• Railway: server- och databasdrift inom EU.
• E-postleverantör enligt art. 30-registret: skickar verifierings- och inloggningsmejlen för kontot till dig. Leverantören får då mottagaradressen och mejlets innehåll.
• Vercel: drift av webbappen, och besöksmätning (Vercel Web Analytics). Mätningen sätter inga cookies och sparar ingenting på din enhet. Vercel behandlar din IP-adress när sidan hämtas för att räkna ut vilket land besöket kom från. Rättslig grund är vårt berättigade intresse av att veta vilka sidor som används (artikel 6.1 f). Behandling kan ske i USA, se punkt 6.

När Premium lanseras tillkommer en betalleverantör (planerat: Stripe). Kortuppgifter hanteras då av betalleverantören. Savi ser dem aldrig. Vi uppdaterar denna policy innan dess.

Ja, det kan förekomma. Kvittobilden och den avlästa texten behandlas av Google (Vision), besöksmätningen av Vercel och verifierings- och inloggningsmejlen av vår e-postleverantör. Alla tre kan innebära behandling utanför EU/EES.

Vår driftleverantör Railway kan ha åtkomst till servrar och databas; om sådan åtkomst innebär behandling utanför EU/EES håller vi på att verifiera.

Vilka skyddsåtgärder, till exempel standardavtalsklausuler, som gäller för respektive leverantör håller vi på att verifiera. Vi bokför resultatet i vårt register över behandlingar.

Enligt GDPR har du rätt till:

• Tillgång och dataportabilitet (art. 15 och 20): hämta en kopia av dina uppgifter i maskinläsbart format (JSON) via tjänstens exportfunktion (/api/konto/export) eller genom att mejla oss.
• Radering (art. 17): begär radering via tjänstens raderingsfunktion (/api/konto/radera) eller mejl. Kontot markeras för radering direkt, och raderas tidigast efter 24 timmar, genom ett schemalagt jobb som körs varje timme. Du kan ångra dig (/api/konto/angra-radering) fram till att raderingen faktiskt har genomförts.
• Rättelse (art. 16), begränsning (art. 18) och invändning (art. 21): kontakta oss.
• Återkalla samtycke (art. 7.3): när som helst, utan att det påverkar tidigare behandling.

Vi hanterar alla förfrågningar inom en månad. Kontakt: contact@savi.nu.

Savi visar en informationsbanner utan val om lagringen eller besöksmätningen. I vår cookiepolicy beskrivs varje post och dess rättsliga ställning: tekniskt nödvändig, nödvändig för begärd funktion eller ej avgjord. Två poster för introduktionschecklistan är ännu under bedömning. Du kan öppna informationen igen via "Ändra cookie-inställningar" i sidfoten. Knappen i bannern bekräftar bara att du sett informationen.

Kryptering under överföring och i vila, säkerhetsloggning, skydd mot missbruk och regelbundna säkerhetsgranskningar. Av säkerhetsskäl publicerar vi inte detaljerna.

Frågor om personuppgifter: contact@savi.nu. Om du anser att vi behandlar dina uppgifter felaktigt har du rätt att klaga hos Integritetsskyddsmyndigheten (IMY), imy.se.

Varje ändring får nytt datum och versionsnummer överst på denna sida. Vid större ändringar informerar vi tydligt i tjänsten innan de börjar gälla, och via mejl när vi har din adress och mejlutskick finns på plats. Tidigare versioner arkiveras.