Personvernerklæring for Hjemmeplan

1. Hvem er ansvarlig

Behandlingsansvarlig er CENTRdev, som driver Hjemmeplan.no. Organisasjonsnummer og forretningsadresse publiseres her så snart selskapet er registrert.

Spørsmål om personvern: support@hjemmeplan.no. Vi har ikke utnevnt et personvernombud; henvendelser om personvern besvares av den som er ansvarlig for tjenesten.

2. Hva vi behandler, og hvorfor

Vi selger ikke opplysninger, bruker dem ikke til reklame og bygger ikke profiler av dere for andre formål enn tjenesten. Vi bruker ingen analyseverktøy.

Helseopplysninger

Hjemmeplan har ingen egen del for helse. Allergier og matbehov lagres som kjennetegn ved oppskrifter og måltider, ikke som helsejournal. Du kan likevel skrive fri tekst, for eksempel i et kalendernotat, som handler om helse. Vi ber ikke om det og bruker det ikke til noe. For barn som er koblet til to hjem, tar vi ikke vare på fri tekst i historikken over det som slettes (se punkt 3). Skulle vi innføre en funksjon for helseopplysninger, ber vi om uttrykkelig samtykke først, og denne erklæringen oppdateres før funksjonen slås på.

3. Barn

Du må være 13 år for å opprette en egen konto.

Barn under 13 kan bruke Hjemmeplan gjennom husstanden, men da er det en voksen i husstanden som legger dem til og har ansvaret. Barnets profil i lommepenge-appen er bundet til enheten: den har ingen e-postadresse og intet passord, og settes opp med en engangskode fra en voksen. Barnet ser bare sine egne oppgaver, poeng og lommepenger — ikke husstandens økonomi.

Bilder som dokumenterer en utført oppgave slettes automatisk etter 30 dager.

Når et barn har to hjem

Noen barn bor i to hjem. Da kan de voksne i hvert hjem koble barnet sammen i Hjemmeplan. Hvert hjem har fortsatt sin egen husstand, og ingen av dem kan endre det som hører til den andre.

Hva det andre hjemmet kan se. Bare det dere velger å dele:

• Kalenderhendelser om barnet. Dere velger for hver hendelse, og hendelser som er private eller delt med utvalgte, deles aldri. Stedet deles ikke med mindre dere sier ja.
• Oppgaver. De er ikke delt før dere deler dem.
• Planen for hvem barnet er hos. Den ser begge hjemmene så lenge koblingen er der.
• Kommentarer som de voksne skriver på noe som er delt.

Poeng, lommepenger og sparemål deles aldri. De voksne i det andre hjemmet ser heller ikke navnene på de voksne hos dere, bortsett fra på kommentarer de selv har skrevet.

Historikken. For et barn som har vært koblet, skriver Hjemmeplan ned hva hvert hjem gjør med det som handler om barnet: at noe lages, endres, deles, tas tilbake eller slettes. Det er for at det de to hjemmene deler, skal stemme. Ingen av hjemmene kan i det stille endre det de har vist det andre. Vi bruker den ikke til noe annet.

• Hvert hjem kan se sin egen historikk, og i tillegg det det andre hjemmet har skrevet om ting som ble delt med dem. Hjemmet kan aldri se det det andre hjemmet har skrevet om ting som ikke ble delt. Appen har ikke en egen side for historikken ennå.
• Historikken kan ikke slettes fra appen.
• Når noe slettes, tar vi vare på tittel, tid, hvem det gjaldt, beløp og status. Vi tar ikke med fri tekst, som notater, beskrivelser og kommentarer i det som var privat. Slik tekst kan handle om helsen til barnet.
• Hvis dere deler noe ved en feil og tar det tilbake innen 10 minutter, og det andre hjemmet ikke har åpnet det eller skrevet noe om det, får det andre hjemmet bare vite at det skjedde, ikke hva det var.

Gjester. En gjest, for eksempel en bestemor eller en barnevakt, ser ikke noe som handler om et bestemt barn før en voksen i husstanden har valgt hvilke barn gjesten får se. Det gjelder i alle deler av appen.

Spørsmål om å slette, begrense eller si nei. Vi sletter ikke noe om et barn som har vært koblet bare fordi vi har fått en e-post om det. En person hos oss leser alle slike henvendelser. Det kan være at to foreldre vil ulike ting, og at barnet selv har en mening. Vi lar alt ligge som vanlig mens vi vurderer det.

Til barnet: Hjemmeplan skriver ned hva som skjer med ting som handler om deg, når du har to hjem. Det gjør vi for at det som de voksne i begge hjemmene ser, skal stemme. Vi gjør det ikke for å bruke noe mot noen. Det du har skrevet i notater, kommer ikke med. Senest når du fyller 18, er historikken slettet, med mindre en forelder har bedt om å få beholde den.

Lommepenge-appen har ingen reklame, ingen kjøp i appen, ingen lenker ut og ingen analyseverktøy fra tredjeparter.

For de som vil vite mer

Det rettslige grunnlaget for historikken om et barn i to hjem er berettiget interesse (personvernforordningen art. 6 nr. 1 bokstav f). Interessen er at det delte opptaket mellom to husstander skal være riktig. Vi har vurdert den for seg, med vekt på barnets interesser, i en egen vurdering av berettiget interesse. Den er et eget formål (art. 5 nr. 1 bokstav b), og ingenting i den brukes til noe annet. Den er ikke ment som bevis i en sak om foreldreansvar eller samvær.

Historikken lagres i sikkerhetsloggen, som bare kan legges til i. Fri tekst i det som slettes, kan være helseopplysninger (art. 9), og derfor tas den ikke med.

En forelder kan be om at historikken holdes tilbake, for å kunne gjøre gjeldende eller forsvare et rettskrav (art. 18 nr. 1 bokstav c). Vi sier fra før vi opphever en slik tilbakeholding (art. 18 nr. 3). Hver av dere kan også protestere mot behandlingen (art. 21), og be om sletting (art. 17). Art. 17 nr. 3 bokstav e er et unntak fra retten til sletting. Den gir ikke selv grunnlag for å lagre. Slike krav om et barn som har vært koblet, behandles av et menneske. Barnets mening (barneloven § 31) og at begge foreldrene med felles foreldreansvar må være med på avgjørelser om barnet (§ 30), er en del av vurderingen. Norsk rett har ingen klar regel om når et barn selv kan bruke personvernrettighetene sine (NOU 2022:11).

Vi viser informasjonen om koblingen i appen til de voksne i begge husstandene, fordi hver husstand registrerer opplysninger om den andres voksne og barn (art. 13 og 14). Det skjer når koden gis, når den tas imot og når koblingen godkjennes.

Barnelovens paragrafer her er fra loven av 1981. Den nye barneloven er vedtatt, men ikke i kraft, og vi sjekker hvilken lov som gjelder når funksjonen åpnes.

4. Kunstig intelligens

Noen funksjoner bruker en språkmodell:

• Kvitteringer og dokumenter: bildet du tar leses av for å finne butikk, beløp og varelinjer.
• Oppskrifter: tekst du limer inn gjøres om til ingredienser og fremgangsmåte.

Dette går gjennom OpenRouter, til en modell fra Google (Gemini). Vi ber bare om leverandører som ikke lagrer eller trener på innholdet, og bildet slettes hos oss når det er lest av — det du sitter igjen med er de avleste opplysningene.

Forespørselen behandles bare i EU, hele veien. Vi bruker OpenRouters EU-ruting, som avviser forespørselen heller enn å sende den ut av EU hvis ingen leverandør der kan ta den. Bruker du ikke kvitterings-, dokument- eller oppskriftsavlesningen, sendes ingenting dit.

Ingen beslutninger om deg tas automatisk. Modellen foreslår; du retter og lagrer.

5. Hvem vi deler med

Vi bruker noen få leverandører (databehandlere) som behandler opplysninger på våre vegne, etter våre instrukser og under databehandleravtale:

I tillegg sender tjenesten opplysninger til andre, men bare når du selv ber om det:

• Kalenderen du kobler til (for eksempel Google Kalender, iCloud eller en annen CalDAV-tjeneste) mottar hendelsene dere legger inn i Hjemmeplan. Den leverandøren er selvstendig ansvarlig for det de lagrer.
• Nettleserens varseltjeneste (Apple, Google eller Mozilla, avhengig av nettleseren din) leverer varsler. Innholdet er kryptert slik at de ikke kan lese det.
• Prisoppslag i dagligvare: når du søker etter en vare, sendes søkeordet til Kassalapp. Tilbudsaviser hentes fra Tjek bare hvis husstanden har slått det på; da sendes ingen opplysninger om dere.
• Strømforbruk: kobler husstanden til Tibber med en personlig token fra developer.tibber.com (under Strøm), henter vi timesforbruk og spotpris derfra. Bare lesing — vi sender ingenting til Tibber utover det som trengs for å hente det, og kobler dere fra, stopper hentingen.
• Vær: når husstanden har satt et hjemsted, en hytte eller et reisemål, henter vi værmelding fra MET Norge for koordinatene, avrundet til fire desimaler — bare koordinaten, aldri hvem som spurte. Hjemstedet er likevel en personopplysning fordi det knytter et sted til en bestemt husstand; en hytte- eller reisekoordinat alene har vi vurdert til at ikke er det. Stedsøket, mens du skriver i «Velg sted», går til Kartverket for norske steder og Open-Meteo for steder i utlandet — bare søketeksten, uten noe som knytter den til husstanden.

Feilrapporter og filer (kvitteringer, dokumenter, bilder) lagres på våre egne tjenere hos Hetzner, ikke hos en tredjepart.

Kommer senere. Innlogging og betaling med Vipps, og bankkobling gjennom en godkjent kontoinformasjonstjeneste, er ikke i bruk ennå. Denne erklæringen oppdateres før de slås på.

Google Kalender

Kobler du til Google Kalender, leser og skriver Hjemmeplan hendelser i kalenderne du velger. Hjemmeplans bruk og overføring av informasjon mottatt fra Google API-er følger Google API Services User Data Policy, inkludert kravene om begrenset bruk (Limited Use). Vi bruker dataene bare til å vise og synkronisere kalenderen din i Hjemmeplan, overfører dem ikke til andre enn det som trengs for å levere den funksjonen, bruker dem ikke til reklame, og lar ingen mennesker lese dem uten ditt uttrykkelige samtykke, med mindre det er nødvendig av sikkerhetshensyn eller for å følge loven.

6. Hvor dataene ligger

Tjenerne våre står hos Hetzner i Tyskland, og det er der husstandens data lagres. Sikkerhetskopiene ligger også i EU/EØS.

Én ting kan passere utenfor EØS: e-post vi sender deg (gjennom Cloudflare). Slike overføringer skjer med grunnlag i EU–US Data Privacy Framework der leverandøren er sertifisert, og ellers i EU-kommisjonens standard personvernbestemmelser. Bilder og tekst du ber oss lese av, behandles i EU (punkt 4).

Påloggingsinformasjon til tilkoblede kalendere, tofaktornøkler og dokumenthvelvet krypteres med en egen nøkkel, atskilt fra nøkkelen som brukes til innlogging.

7. Hvor lenge vi lagrer

Når abonnementet slutter, blir husstanden skrivebeskyttet: dere kan lese og laste ned alt, men ikke legge inn noe nytt. Etter 90 dager slettes husstanden. Vi varsler 30, 7 og 1 dag før.

Når en husstand slettes, slettes det den har skrevet om ting den aldri delte med det andre hjemmet. Det som gikk over til det andre hjemmet (delte hendelser og oppgaver, planen, kommentarer og selve koblingen) og det som holdes tilbake, blir værende, uten navnet på husstanden, til fristen over er ute.

8. Dine rettigheter

Du har rett til å:

• få innsyn i opplysningene vi har om deg
• få dem rettet
• få dem slettet
• få dem utlevert i et maskinlesbart format (dataportabilitet)
• protestere mot behandling vi gjør på grunnlag av berettiget interesse
• begrense behandlingen mens en innsigelse vurderes
• trekke tilbake samtykke, for eksempel til varsler, uten at det påvirker det som ble gjort før

Send en e-post til support@hjemmeplan.no. Vi svarer innen én måned. Vi kan be deg bekrefte hvem du er før vi utleverer eller sletter noe.

Husstanden kan få utlevert alle sine data som én zip-fil ved å be om det på e-post.

Er du ikke med i noen husstand, kan du selv laste ned det vi har om innloggingen din — kontoen, måtene du logger inn på, enhetene og sikkerhetsloggen — og slette innloggingen. Slettingen skjer med det samme, og du logges ut. Kontoen, passnøklene, innloggingen med Vipps eller Google, enhetene og din egen sikkerhetslogg slettes. Har du vært gjest i en husstand, behandles det som om du forlot den: det du har lagt inn kun for deg selv, eller delt med utvalgte, slettes, og det du delte med husstanden blir værende som «Tidligere medlem». Poeng du har fått for oppgaver slettes ikke, men blir stående uten navnet ditt. Invitasjoner du har sendt og som ikke er tatt i bruk, trekkes tilbake, og e-postadressen din fjernes fra selve invitasjonene som gjaldt deg, så sant kontoen ble opprettet fra en invitasjon til den adressen, som er slik vi vet at den er din. Husstandens egen historikk blir værende uten kobling til innloggingen din, men den kan fortsatt vise navnet ditt, e-postadressen din (der du ble invitert) og IP-adressen og nettleseren som ble brukt, slik det sto da noe ble gjort. IP-adresser og nettleserinformasjon fjernes etter 12 måneder, som for resten av sikkerhetsloggen. Vi tar vare på én linje om at en innlogging ble slettet, med en intern referanse, men uten navn, e-postadresse eller IP-adresse.

Vi lagrer hvilken versjon av vilkårene og personvernerklæringen du har godtatt, og når. Det følger med når du laster ned det vi har om innloggingen din, og slettes sammen med kontoen.

Når et medlem forlater en husstand på egen hånd, blir det de har lagt inn i fellesskapet værende i husstanden, slik at de andre ikke mister regningene og avtalene de deler — vist som «Tidligere medlem» i stedet for navnet. Det de har lagt inn kun for seg selv, eller delt med utvalgte, slettes med det samme, sammen med eventuelle filer. Den som er siste eier i en husstand, kan ikke forlate den — da må husstanden slettes i stedet, se §7.

Gjelder du et barn som har vært koblet til to hjem, kan vi ikke slette, begrense eller stoppe behandlingen automatisk. En person vurderer henvendelsen, og vi lar oppbevaringen gå som vanlig imens. Du kan be om å få holde tilbake det du selv kan lese, under «Behold historikken» i Medlemmer.

Mener du at vi behandler opplysningene dine i strid med regelverket, kan du klage til Datatilsynet (datatilsynet.no). Vi setter pris på om du tar kontakt med oss først.

9. Informasjonskapsler og lagring i nettleseren

Vi bruker bare det som er nødvendig for at tjenesten skal virke, og ber derfor ikke om samtykke til dem.

Ingen informasjonskapsler fra tredjeparter, ingen sporing, ingen analyse. Skrifttypene leveres fra våre egne tjenere.

10. Sikkerhet

• Hver husstand er skilt fra de andre i selve databasen, ikke bare i koden.
• Sikkerhetsloggen kan bare legges til i, ikke endres eller slettes.
• Ansatte kommer bare inn i en husstand gjennom en støtteøkt husstanden selv har godkjent, som er tidsbegrenset og skrivebeskyttet, og som står i husstandens egen logg.
• Hjemmeplan er ikke ende-til-ende-kryptert. Tjeneren må kunne lese innholdet for å sortere, søke og vise det.

Oppdager vi et brudd på personopplysningssikkerheten som kan ramme deg, melder vi det til Datatilsynet innen 72 timer og varsler deg når loven krever det.

11. Endringer

Vesentlige endringer varsler vi på e-post og i appen før de trer i kraft. Datoen øverst viser når erklæringen sist ble endret.