Personvernerklæring for Tvenn

Denne nettsiden

Nettsiden setter ingen informasjonskapsler (cookies) og bruker ingen måleverktøy uten at du har samtykket til det. Kalkulatorene regner i nettleseren din, og tallene blir liggende der - med ett unntak du selv styrer: trykker du knappen under resultatet, sendes de til oss sammen med e-postadressene. Vi lagrer dem ikke. Hele den historien står lenger ned. Driftsplattformen som hoster nettsiden logger ordinære tekniske serverforespørsler for drift og sikkerhet: IP-adresse, tidspunkt og hvilken adresse (URL) du ba om. Grunnlaget er berettiget interesse, og plattformen er en amerikansk leverandør med et globalt servernettverk (EUs standardvilkår). Trykker du «Bli pilotpar», kommer du til skjemaet for par-ventelisten nederst på forsiden - hva som skjer der, står rett under.

Én ting til om søkefeltet, siden URL-en er en del av loggen: søker du på tvenn.no, sendes søkeordet til serveren som en del av adressen (/sok?q=…) - søket regnes ikke i nettleseren slik kalkulatorene gjør. Søkeordet inngår derfor i de tekniske serverloggene, sammen med IP-adressen din. Vi bruker ikke loggen til å analysere hva folk søker på, og vi kobler den ikke til noen konto - men vi vil ikke påstå at søket er usynlig når det ikke er det.

Når dere sender resultatet til hverandre

Skjemaet som setter dere på ventelisten ligger nederst på forsiden, under hver kalkulator, på samboerøkonomi-sjekklisten og i bloggartiklene - tolv steder i alt. Utenom søkefeltet er det det eneste stedet på nettsiden der noe du har skrevet inn, forlater nettleseren - og det skjer bare når du selv trykker.

Slik står det akkurat nå: vi har ennå ikke satt opp e-postutsending, og vi sender derfor ingen e-post. Trykker du på knappen, lagrer vi adressen din - og partnerens hvis du oppga den - og ingenting annet. Regnestykket fra kalkulatoren blir stående på skjermen din. Så snart utsendingen er oppe, får hver oppgitte adresse en e-post med en bekreftelseslenke.

Hva som skjer med tallene: de sendes til serveren vår sammen med e-postadressene, og forkastes i samme forespørsel. Vi lagrer dem ikke - de skrives aldri til databasen, og siden vi ennå ikke sender e-post, går de heller ikke videre til noen annen leverandør. Resultatet finnes derfor bare på skjermen deres.

Hva vi faktisk lagrer: e-postadressen din, hvilken side du meldte deg på fra, tidspunktet, og om du har bekreftet. Ikke IP-adresse, ikke nettleser, ikke hvor du kom fra.

Partnerens adresse er valgfri. Melder du deg på alene, har vi bare din egen adresse, og ingenting av det som står under om «den andre» gjelder deg. Fyller du inn partnerens adresse, lagrer vi den også - og da gjelder resten av dette avsnittet.

Rettslig grunnlag: for å stå på ventelisten er det samtykket ditt (personvernforordningen art. 6 nr. 1 bokstav a) - derfor bekrefter du i din egen e-post, og derfor lagrer vi tidspunktet. Oppga du partnerens adresse, må hen bekrefte på samme måte, og for den ene e-posten vi sender dit før hen har bekreftet, er grunnlaget berettiget interesse (bokstav f) i å levere en melding du selv ba oss sende.

Til deg som fikk e-posten fra partneren din: adressen din fikk vi av partneren din. Du får én e-post fra oss, aldri flere, med mindre du selv bekrefter. Hver e-post har en «slett oss»-lenke som virker med én gang, uten at du trenger å bekrefte noe først.

Hvor lenge: påmeldingen står til rekrutteringen til piloten er avsluttet - vi fjerner ingen fra listen underveis. Dere kan når som helst slette dere selv: med «slett oss»-lenken i e-posten, eller ved å kontakte oss. Du kan også be om innsyn eller retting - og klage til Datatilsynet.

Kort fortalt - appen

Tvenn hjelper par å dele utgifter rettferdig og gjøre opp. For å få det til lagrer vi det du fører inn (utgifter, kategorier, inntekt du selv oppgir, oppgjør). Sier du ja, samler vi i tillegg bruksstatistikk knyttet til kontoen din - som du kan skru av når som helst. Vi selger aldri data.

Hvor dataene er, presist: alt vi lagrer ligger i Sverige. Det gjelder også filene du selv laster opp - en PDF-kontoutskrift blir lest av dokumentbehandlingstjenesten vår i Sverige, og selve PDF-en lagres ikke der. Unntaket er de to valgfrie AI-funksjonene (kvitteringsskanning og AI-analyse av budsjettimport): der sendes innholdet til AI-databehandleren vår i USA, under EUs standardvilkår (SCC), og bare hvis du har sagt ja. Sier du nei, er push-varsler det eneste av appdataene dine som går til en annen leverandør utenfor EU - og dem kan du skru av. Uten ja kalles AI-funksjonene ikke i det hele tatt: appen sjekker samtykket før kallet, og serveren sjekker det på nytt. Ett forbehold om selve overføringen står rett under.

Ett forbehold vi mener du skal få vite: serverfunksjonene som formidler kall mellom appen og tjenestene våre kjører på skyleverandørens globale nettverk. De lagrer ingenting, og alle fire - PDF-lesingen, kvitteringsskanningen, AI-analysen av budsjettimport og den regelbaserte innsikten appen lager selv - er nå bundet til en EU-region i koden, så de kan ikke kjøre utenfor EU/EØS. De havner likevel i Tyskland og ikke i Sverige, av en kjedelig teknisk grunn: Stockholm finnes ikke blant regionene disse funksjonene kan kjøres i, og Tyskland er det nærmeste valget som faktisk holder oss innenfor EU/EØS. All lagring, og all lesing av PDF-er, skjer i Sverige.

Hvem er behandlingsansvarlig

Tvenn AS, hei@tvenn.no. Kontakt oss for innsyn, retting eller sletting.

Hva vi lagrer, og hvorfor

Vi henter ikke data fra bank, Vipps, Gjeldsregisteret eller andre kilder. All føring er manuell eller fra filer du selv laster opp.

PDF-import av kontoutskrift (ingen AI)

Laster du opp en PDF-kontoutskrift fra nettbanken, sendes den videre til dokumentbehandlingstjenesten vår i Sverige, som trekker ut transaksjonslinjene (dato, tekst, beløp). Tjenesten er vanlig, deterministisk programvare, ikke en språkmodell: ingen AI-leverandør er involvert i PDF-lesingen, og selve lesingen skjer i Sverige.

• PDF-en lagres ikke hos dokumentbehandlingstjenesten - den finnes bare mens lesingen pågår, og slettes umiddelbart etterpå. Det som lagres er transaksjonslinjene du selv godkjenner.
• Filnavnet sendes ikke videre til lesetjenesten. Nettbank-eksporter har ofte kontonummeret i filnavnet, så appen bytter navnet til et nøytralt dokument.pdf før lesingen - kontonummeret havner dermed ikke i loggene til den tjenesten. Filnavnet du valgte lagres derimot sammen med importhistorikken din i databasen vår i Sverige, så du kan kjenne igjen importen. Vil du unngå det, gi filen et nytt navn før du laster den opp.
• Om selve overføringen: appen sender PDF-en gjennom en serverfunksjon hos skyleverandøren vår. Den lagrer ingenting, og den er bundet til en EU-region (Tyskland) i koden - hele stien ligger altså innenfor EU/EØS. Behandlingen (uttrekket) og all lagring skjer i Sverige.
• Du ser hva som ble lest ut og velger hvilke rader som skal importeres før noe lagres - og hele importen kan angres i appen. Er filen svært stor, importerer vi de 2 000 første radene og sier det tydelig i importvisningen, slik at du ikke tror du har fått med hele året.

Kvitteringsskanning (valgfritt)

Hvis du skanner en kvittering, sendes bildet til AI-databehandleren vår for å lese ut beløp, butikk og dato. Databehandleren er amerikansk, og vi ber om at behandlingen kjøres i USA - under EUs standardvilkår (SCC / databehandleravtale). Bildet følger med selve forespørselen og lagres ikke hos AI-databehandleren ut over den tiden forespørselen tar. Dataene dine brukes ikke til å trene AI-modeller.

Én ting mer enn bildet sendes, og det skal du vite: for at skanningen skal kunne foreslå riktig kategori, følger listen over kategorinavnene dere selv har laget med i samme forespørsel (sammen med de interne ID-ene kategoriene har hos oss). Har dere kalt en kategori «Terapi» eller «Lån mamma», er det navnet altså med hver gang dere skanner - også når kvitteringen er en helt vanlig matbutikkbong. Vi sender ikke navn, e-post, kontonummer eller bruker-ID-er, og vi sender ikke føringene deres. Vil dere unngå at kategorinavn forlater EU, si nei til AI - du kan alltid føre kvitteringer manuelt.

Bildet lagres kryptert i Sverige og kan slettes når som helst fra kvitteringsgalleriet. Funksjonen er av som standard og krever eksplisitt samtykke, som sjekkes på nytt ved hvert kall - du kan alltid føre manuelt uten å sende bilder noe sted. Modellen bommer av og til, så du får alltid rette beløp, butikk og dato selv før føringen lagres.

Ærlig om kvitteringsraden: sammen med bildet lagrer vi det skanningen leste ut - butikk, dato, beløp og modellens råsvar - slik at kvitteringen kan vises i galleriet og feillesing kan feilsøkes. Raden skrives rett etter skanningen, altså med modellens opprinnelige lesing. Retter du beløpet før du fører, er det din rettede verdi som havner i føringen, mens kvitteringsraden fortsatt viser hva modellen leste. Du kan slette hele kvitteringen (bilde + lesing) fra galleriet, og be om innsyn eller retting ved å kontakte oss.

AI-analyse av budsjettimport (valgfritt)

Importerer du et budsjett fra Excel, gjør appen kategoriseringen lokalt på telefonen. Har du i tillegg sagt ja til AI-analyse, sender vi radene - postbeskrivelser, kategorinavn, månedsbeløp og inntektslinjene i arket - til AI-databehandleren vår i USA (SCC, samme leverandør og samme USA-valg som over), for bedre kategoriforslag og en kort oppsummering. Vi sender ikke selve filen, og ikke navn, e-post eller kontonummer.

Rad-tekstene dine kan være personlige («Lån mamma», «Terapi»). Vil du unngå at de sendes ut av EU, si nei til AI-analyse - importen fungerer fullt ut uten, bare med litt grovere kategorier. Forslagene er forslag: du kan endre eller skru av hver rad før noe lagres. Samme samtykke styrer denne funksjonen og kvitteringsskanningen, og du kan trekke det tilbake når som helst.

Bruksstatistikken (kun med samtykke)

Sier du ja, logger vi hendelser som «en føring ble lagret», «et oppgjør ble fullført», «appen ble åpnet» - med tidspunkt og varighet. Hendelsene er knyttet til brukerkontoen din (pseudonymisert - GDPR gjelder fullt ut, og du kan kreve innsyn og sletting), og noen hendelser refererer den aktuelle føringen, kategorien eller oppgjøret med en intern ID. Vi logger ikke varenavn, butikknavn, fritekst eller partnerens navn i hendelsene. Ett beløp er unntaket: når et oppgjør fullføres, logger vi nettobeløpet som ble gjort opp (bare tallet), fordi det er nøkkeltallet vi måler om appen faktisk får par til å gjøre opp. Statistikken brukes kun i samletall. Skru det av under Profil → Bruksstatistikk, eller svar «Nei takk» i prompten.

Hvem ser dataene dine

• Partneren din ser felles utgifter og oppgjør. Personlige utgifter (merket «personlig») er skjult for partneren.
• Vi (Tvenn AS) har teknisk tilgang for å drifte og støtte tjenesten.
• Ingen tredjeparter får dataene dine solgt eller delt for markedsføring.

Hvor dataene ligger

Alt vi lagrer ligger hos skyleverandøren vår i Sverige. Dokumentbehandlingstjenesten som leser PDF-kontoutskrifter kjører også i Sverige og lagrer ingenting. Serverfunksjonene som formidler kall lagrer ingenting; PDF-lesing og alle fire er bundet til en EU-region (Tyskland) i koden. AI-databehandleren vår er amerikansk og behandler i USA under EUs standardvilkår (SCC); den brukes bare til de to valgfrie AI-funksjonene over - sier du nei til dem, sendes ingenting av dataene dine til en AI-leverandør. Push-varsler formidles av en tjeneste utenfor EU (SCC). Vær klar over at en varseltekst kan inneholde partnerens navn og - for oppgjørsvarselet - beløpet som ble gjort opp; du kan skru av varsler per type i appen. Feilrapporteringsverktøyet vårt (som skrus på i løpet av piloten, i en EU-region) sender ikke personopplysninger som standard. Nettsiden du leser nå driftes av en annen leverandør enn appen (se «Denne nettsiden» øverst) - den behandler ingen appdata.

Ærlig om taket: AI-databehandleren vår tilbyr i dag ingen europeisk region - verken for selve behandlingen eller for leverandørens egen lagring, som bare kan ligge i USA. De to valgene API-et gir er «USA» eller «hvor som helst i verden». Vi ber om USA, slik at overføringen er knyttet til én navngitt jurisdiksjon vi kan dokumentere under EUs standardvilkår. Vi kan altså ikke velge EU, og vi later ikke som noe annet. Leverandøren opplyser i hvert svar hvor behandlingen faktisk ble utført, og vi logger den opplysningen slik at valget kan etterprøves og ikke bare antas. Skulle leverandøren avvise USA-valget, er alternativet «hvor som helst» - ikke EU. Derfor er begge AI-funksjonene valgfrie og av som standard: hele appen fungerer uten dem, og sier du nei, sendes ingenting av dataene dine til en AI-leverandør.

Hvordan vi sikrer at dette ikke bare er en påstand: USA-valget er ikke en innstilling noen kan glemme å skru på. Begge AI-funksjonene nekter å kjøre hvis geografien ikke er satt til en gyldig verdi - da svarer de «ikke aktivert enda» og du fører manuelt, i stedet for at forespørselen stilltiende sendes uten geografi-valg. Skulle vi noen gang måtte bytte til «hvor som helst», må denne teksten rettes før byttet gjøres. Det er en regel vi har skrevet inn i både koden og driftsrutinene våre.

Driftslogg for AI- og PDF-kall

For å holde kostnader og misbruk i sjakk lagrer vi én teknisk rad per kall til kvitteringsskanning, AI-budsjettanalyse og PDF-lesing: hvem som kalte, hvilken funksjon, hvilken tjeneste som behandlet det, status og tidspunkt. Selve innholdet - bildet, PDF-en, budsjettradene - lagres aldri i denne loggen. Grunnlaget er berettiget interesse: å beskytte tjenesten mot misbruk og kunne vise i ettertid hvilke data som gikk til hvilken behandler.

I tillegg skriver serverfunksjonene våre vanlige tekniske feillogger hos skyleverandøren - feilmeldinger, statuskoder, tidspunkt. De er ikke laget for å inneholde innholdet ditt, og etter siste gjennomgang gjør de det heller ikke: går noe galt, logger vi hvor langt svaret var og hvilken form det hadde, aldri selve teksten. Det gjelder både kvitteringsskanningen og AI-analysen av budsjettimport. Loggene brukes bare til feilsøking og drift (berettiget interesse), og de oppbevares kort - etter skyleverandørens standard loggoppbevaring.

Dine rettigheter

Du har rett til innsyn, retting, sletting, dataportabilitet og å trekke tilbake samtykke. I appen kan du:

• Eksportere alle dataene dine som én lesbar fil (Parinnstillinger → Eksporter dataene mine) - når som helst, også etter en avslutning.
• Avslutte parkoblingen, som fryser nye felles føringer og varsler begge, uten å slette historikk (Parinnstillinger → Avslutt parkobling).
• Be om sletting av kontoen din ved å kontakte hei@tvenn.no. Felles par-data håndteres slik at begge parters legitime historikk bevares og begge varsles.

Har du spørsmål om personvern i Tvenn, skriv til hei@tvenn.no.