2. Hvilke opplysninger samler vi inn?

Kontoinformasjon

• E-postadresse (for innlogging og kommunikasjon)
• Navn (valgfritt, for personlig tilpasning)
• Profilbilde eller valgt avatar (valgfritt)
• Autentiserings-ID fra Google eller Apple Sign In (hvis du bruker disse)

Helse- og kostholdsdata

• Matlogger (måltider du registrerer)
• Ernæringsdata og daglig næringsinntak
• Kostholdstype og preferanser (f.eks. vegetar, vegansk, laktoseintoleranse)
• Mål du setter (f.eks. mer grønnsaker, mindre sukker, vekt)
• Drikkelogg (vann, koffein, alkohol)
• Daglige notater du selv skriver

Kroppsdata (valgfritt)

• Alder, kjønn, høyde og vekt
• Aktivitetsnivå og treningsmål

Bilder og kameratilgang

• Bilder av måltider og produkter du laster opp eller tar i appen
• Strekkoder og QR-koder lest via kamera (kun selve koden lagres)

Teknisk og bruksdata

• Enhetsidentifikator for push-varsler (APNs/FCM-token)
• Krasj- og feillogger fra appen
• Anonymiserte bruksstatistikker (hvilke funksjoner som brukes)
• Kjøpshistorikk for abonnement via App Store / Google Play (vi ser ikke kortdata)

3. Hvorfor og på hvilket rettslig grunnlag behandler vi opplysningene?

Vi behandler personopplysninger i henhold til GDPR artikkel 6 og 9. Tabellen under viser formål og rettslig grunnlag:

• Levere kontoen din og kjernefunksjonene (innlogging, lagring av måltider, MatScore, innsikt) — art. 6(1)(b) avtale.
• Helse- og kostholdsdata (matlogger, vekt, mål, intoleranser) — art. 9(2)(a) uttrykkelig samtykke. Du gir samtykket ved å registrere slik informasjon, og kan når som helst slette den eller trekke samtykket tilbake ved å slette kontoen din.
• AI-analyse av bilder og tekst for å gi deg personlig innsikt — art. 6(1)(b) avtale og art. 9(2)(a) samtykke for helsedata.
• Push-varsler og påminnelser — art. 6(1)(a) samtykke (du godkjenner varsler i operativsystemet og kan slå av når som helst).
• Sikkerhet, misbruks-deteksjon og feilretting (krasjlogger, begrenset bruksstatistikk) — art. 6(1)(f) berettiget interesse.
• Oppfylle rettslige forpliktelser (regnskap, svar på krav fra myndigheter) — art. 6(1)(c) rettslig forpliktelse.
• Anonymisert bedriftsstatistikk (se punkt 10) — art. 6(1)(a) og art. 9(2)(a) uttrykkelig samtykke.

4. AI-analyse og databehandling

Når du bruker AI-funksjonene våre (bildeanalyse av måltider, chat-korreksjoner, personlig innsikt), sendes relevante data til vår AI-leverandør for prosessering. Dette inkluderer:

• Bilder av måltider og produkter du laster opp
• Tekstbeskrivelser av mat
• Dine kostholdsrelaterte preferanser og mål (for tilpassede analyser)

Vi bruker Google Gemini som AI-leverandør, levert via Lovable AI Gateway. Behandlingen skjer på Googles infrastruktur, og eventuell dataoverføring til USA skjer i henhold til EU-US Data Privacy Framework. Vi lagrer ikke data hos AI-leverandøren utover det som er nødvendig for å levere svaret. Eventuell midlertidig lagring hos leverandøren skjer i henhold til deres databehandleravtale.

5. Deling av data og databehandlere

Vi selger aldri dine personopplysninger. Vi bruker følgende databehandlere:

• Supabase (skyinfrastruktur og database) — EU-region, data lagres innenfor EØS
• Google Gemini via Lovable AI Gateway — bilde- og tekstanalyse, kun under prosessering
• Apple Push Notification service (APNs) og Firebase Cloud Messaging (FCM) — levering av push-varsler
• Apple App Store og Google Play — håndterer betaling og abonnement (vi ser ikke kortinformasjon)
• E-postleverandør for transaksjonelle e-poster (innlogging, passordtilbakestilling)

Data utleveres til myndigheter kun ved lovpålagt krav. Databehandleravtaler (DPA) er inngått med alle databehandlere.

6. Sikkerhet

Vi beskytter dine data med:

• Kryptert overføring (HTTPS/TLS)
• Sikker autentisering (e-post + passord, Google og Apple Sign In)
• Tilgangskontroll på databasenivå (Row Level Security)
• Manuell JWT-validering på AI-funksjoner
• Regelmessige sikkerhetsoppdateringer

Ved alvorlige sikkerhetsbrudd som kan medføre risiko for dine rettigheter, vil vi varsle Datatilsynet innen 72 timer, og deg direkte når det kreves etter GDPR.

7. Lagring og sletting

Dine data lagres så lenge du har en aktiv konto. Ved kontosletting fjernes alle dine personopplysninger fra våre aktive systemer innen 30 dager. Sikkerhetskopier og loggdata kan eksistere en kortere periode etter dette i henhold til våre rutiner for sikkerhetskopiering, før de overskrives. Krasjlogger og anonymiserte bruksstatistikker oppbevares i inntil 12 måneder.

8. Dine rettigheter

Under GDPR har du følgende rettigheter:

• Innsyn: Be om kopi av alle data vi har om deg
• Retting: Korrigere unøyaktige opplysninger
• Sletting: Be om at dataene dine slettes ("retten til å bli glemt")
• Dataportabilitet: Motta dataene dine i et strukturert, maskinlesbart format (JSON)
• Begrensning: Be om at behandlingen begrenses
• Innsigelse: Protestere mot behandling basert på berettiget interesse
• Trekke samtykke: Når behandlingen er basert på samtykke, kan du trekke det tilbake når som helst

For å utøve dine rettigheter, kontakt oss på hei@matvenn.eu. Du kan også slette konto og data direkte i appen under Innstillinger.

9. Klage til tilsynsmyndighet

Hvis du mener at vi ikke behandler personopplysningene dine korrekt, har du rett til å klage til Datatilsynet: www.datatilsynet.no

10. Anonymisert bedriftsstatistikk

MatVenn kan tilby anonymisert, aggregert kostholdsstatistikk til bedrifter som bruker tjenesten som del av sitt bedriftshelsetilbud. Dette innebærer at:

• Kun anonymiserte, aggregerte data (gjennomsnittsverdier for grupper på minimum 10 personer) deles med bedriften — aldri individuelle data
• Du må gi eksplisitt samtykke (opt-in) før dine data inkluderes i bedriftsstatistikken
• Du kan når som helst trekke samtykket tilbake, og dine data vil umiddelbart ekskluderes fra fremtidige rapporter. Historiske aggregerte rapporter som allerede er levert kan ikke trekkes tilbake, men inneholder uansett ingen individuelle data
• Bedriften kan aldri identifisere enkeltpersoner basert på statistikken

Denne funksjonen er valgfri og aktiveres kun dersom din arbeidsgiver tilbyr MatVenn som en del av sitt helsefremmende arbeid, og du selv velger å delta.

11. Endringer i denne erklæringen

Vi kan oppdatere denne erklæringen. Ved vesentlige endringer varsler vi deg via e-post eller i appen minst 14 dager før endringene trer i kraft. Datoen øverst viser når erklæringen sist ble oppdatert.

12. Kontakt

Spørsmål om personvern? Ta kontakt med oss på hei@matvenn.eu