Integritetspolicy

1. Personuppgiftsansvarig och kontakt

Smaklig drivs för närvarande av grundaren Alexander Eriksson. Verksamheten flyttas inom kort till ett registrerat bolag; uppgift om personuppgiftsansvarig och organisationsnummer uppdateras här när övergången är klar. Postadress: Kungsgatan 64, 111 22 Stockholm.

Något dataskyddsombud är inte utsett under övergången. Om ett ombud utses uppdateras kontaktuppgifterna här. Alla dataskyddsfrågor kan tills vidare skickas till hello@smaklig.app.

2. Omfattning och var uppgifterna kommer från

Policyn gäller Smakligs webbapp, mobilapp, API:er och anslutna funktioner. Uppgifter kommer främst från dig och din användning av tjänsten samt, när du själv ansluter en funktion, från enheten, Google eller Apple, Stripe och vald matbutik. Konto- och inloggningsuppgifter behövs för tjänsten; profil, hälsa, marknadsföring, kamera, bildbibliotek, Apple Hälsa och Health Connect är valfria. Ett avböjt hälsosamtycke ger ett grundläge utan personlig hälsobehandling.

3. Personuppgifter vi behandlar

Konto, profil och hushåll: Namn, e-post, profilbild, språk, verifierings- och sessionsuppgifter, inloggningsleverantör, födelsedatum, land, hushåll, budget, matpreferenser, utrustning, valda butiker och skafferi.

Hälsa och nutrition: Längd, vikt, kroppsfett, mål, näringsmål, allergier och intoleranser, matlogg, måltider, träningsuppgifter, skador eller begränsningar, aktivitet och alkoholpreferenser. Detta kan vara hälsodata enligt GDPR artikel 9.

Apple Hälsa och Health Connect: Apple Hälsa och Health Connect är valfria aktivitetskällor. Om du ansluter Apple Hälsa på iPhone läser Smaklig dagliga steg och aktiva kalorier för upp till de senaste 30 dagarna som Apple Hälsa ger åtkomst till. Om du ansluter Health Connect på Android kan Smaklig även läsa träningstid. För varje synkad dag lagrar Smaklig dagsvärdena, vald källtyp, enhetens lästid och serverns synktid i ditt personliga konto. För Apple Hälsa lagrar Smaklig inga identifierare för appar eller enheter som bidragit till totalsumman.

Dagsvärdena lagras på Smakligs server medan kontot och den valda kopplingen är aktiva. De används för aktivitetsanpassad dagsbudget och, när tillämpliga samtycken är aktiva, för att personanpassa sous-chefens svar via Google Gemini. De används inte för annonsering eller spårning.

Apple Hälsa har ett separat uttryckligt samtycke från Android Health Connect. När du kopplar från en källa återkallas bara den källans samtycke och bara den källans lagrade dagsvärden raderas. Apples läsbehörighet hanterar du separat i Inställningar eller Apple Hälsa. Kontoradering raderar alla aktivitetskällor och samtyckeshistoriken hanteras enligt policyns lagringsavsnitt.

Innehåll och användning: AI-konversationer och genererat innehåll, recept, menyer, matloggar, favoriter, anteckningar, måltidsplaner, inköpslistor, avprickningar, butiksmatchningar och val du gör i tjänsten.

Bilder och betalning: Måltids-, kvitto- och produktbilder, streckkoder och härledda analysresultat när du använder dessa funktioner. Vid betalning sparar Smaklig kund-, prenumerations- och status-ID; kortuppgifter hanteras av Stripe.

Samtycke, kommunikation och säkerhet: Dina hälso-, analys- och e-postval med tidpunkt och policyversion; leveransstatus och avregistreringsuppgifter; IP-adress eller hashad IP, enhets- och webbläsaruppgifter, fel- och användningshändelser, feedback samt säkerhets- och adminrevision.

Lokalt på mobilen: Inloggningsuppgifter och funktionsval, inköps-/varukorgstillstånd, ofärdiga skanningar och senaste synktid kan lagras i SecureStore eller AsyncStorage på din enhet.

4. Hälsodata och uttryckligt samtycke

Vi behandlar hälsodata för de personliga nutritions-, allergi-, aktivitets- och träningsfunktioner du väljer. Behandlingen grundas på att leverera den funktion du begär enligt artikel 6.1 b och på ditt uttryckliga samtycke enligt artikel 9.2 a. Apple Hälsa, Health Connect och matloggning har egna val och raderingsflöden.

Du kan godkänna, avböja eller återkalla i den aktuella funktionen eller via hello@smaklig.app. Återkallelse påverkar inte redan laglig behandling. Personliga hälsofunktioner kan då stängas av, men tjänstens grundläge ska finnas kvar.

5. Ändamål och rättsliga grunder

Avtal — artikel 6.1 b: Skapa och säkra konto samt leverera chatten, recept, menyer, matlogg, inköpslistor, hushållssamarbete, butiksmatchning och betalning du begär.

Samtycke — artikel 6.1 a och 9.2 a: Valfria hälsofunktioner, Apple Hälsa, Health Connect, vissa matloggsfunktioner, marknadsföringsmejl och icke-nödvändig Google Analytics. Enhetsbehörighet begärs dessutom när kamera, bildbibliotek, Apple Hälsa eller Health Connect används.

Berättigat intresse — artikel 6.1 f: Skydda tjänsten, förebygga missbruk, felsöka, föra begränsade säkerhets- och adminloggar och hantera frivillig feedback. Du kan invända mot denna behandling.

Rättslig förpliktelse — artikel 6.1 c: Vi kan behöva bevara begränsade uppgifter för bokföring, myndighetskrav eller rättsliga anspråk.

6. AI och personalisering

Google Gemini är Smakligs primära AI-leverantör. För att skapa svaret du begär kan relevant instruktion, konversationshistorik, recept eller meny, butiksunderlag, profilval, samtyckt hälso- och allergikontext eller en bild skickas till Gemini. Vi begränsar underlaget till funktionen.

Konversationer och genererat innehåll sparas i tjänsten. Begränsade AI-loggar används för drift och säkerhet. AI-svar är rekommendationer och uppskattningar, inte medicinsk rådgivning. För betald Gemini API anger Google att prompts och svar inte används för att förbättra Googles produkter. Vilket avtals- och billingläge produktionsprojektet omfattas av håller på att fastställas.

7. Mottagare och tjänsteleverantörer

Drift: Neon för PostgreSQL-databasen i Frankfurt och Vercel för hosting, serverfunktioner, filer och webbanalys.

AI och analys: Google för Gemini, Google Analytics 4 när det är aktiverat och Google-inloggning när du väljer den.

E-post, betalning och säkerhet: Resend för e-post, Stripe för betalning och prenumeration samt Upstash Redis för begränsning av missbruk.

Inloggning och enhet: Apple för Sign in with Apple när du väljer det; Apple och Google tillhandahåller även appbutik och enhetsbehörigheter.

Matbutiker: ICA eller Coop får uppgifter när du använder respektive produktmatchning eller själv startar checkout i butikens webbvy, till exempel vald butik och varor samt det du skriver på butikens sida. Serverhämtad katalogdata gör inte i sig andra butiker till mottagare av dina personuppgifter.

Behörig personal: Ett begränsat antal administratörer kan läsa det som behövs för support, säkerhet och revision. Konsumentkatalogen i den separata adminappen är begränsad till två smala vyer.

8. Överföringar utanför EU/EES

Vissa leverantörer kan behandla uppgifter i USA eller andra länder utanför EU/EES. Vi använder en adekvansmekanism när den gäller och annars EU-kommissionens standardavtalsklausuler (SCC) med de tekniska och organisatoriska skydd som leverantörens avtal beskriver.

Google Gemini: Betald Gemini API omfattas enligt Google av Googles personuppgiftsbiträdesvillkor, som innehåller SCC. Produktionsprojektets betalda status är under fastställande. Läs Googles personuppgiftsbiträdesvillkor.

Google Analytics: Google LLC är DPF-certifierat och anger DPF för överföringar till USA samt SCC när DPF inte kan användas. Läs Googles information om analysöverföringar.

Vercel: Vercel är DPF-certifierat och dess DPA innehåller SCC som alternativ överföringsmekanism. Läs Vercels DPA.

Neon: Smakligs primära databas är placerad i Frankfurt, så lagring och databasdrift sker inom EES och är inte en tredjelandsöverföring. Neons DPA innehåller SCC för eventuell support eller vidarebehandling utanför EES. Läs Neons DPA.

Resend: Resend är DPF-certifierat och dess DPA innehåller SCC för överföringar som inte täcks av adekvans. Läs Resends DPA.

Stripe: Stripe använder DPF i första hand för överföring till sitt certifierade USA-bolag och SCC som reserv. Läs Stripes överföringstillägg.

Upstash: Upstash anger DPF för mottagande i USA och SCC om DPF inte gäller eller upphör att gälla. Läs Upstashs DPA.

Apple: Apple anger att internationella överföringar från EES styrs av SCC. Läs Apples integritetspolicy.

Vilken avtalsversion som gäller för respektive leverantör kontrolleras. Du kan följa länkarna ovan eller be hello@smaklig.app om en kopia eller mer information. Vi säljer inte personuppgifter.

9. Lagring och radering

Konto, profil, konversationer och innehåll du sparar behålls normalt medan kontot är aktivt. När du raderar kontot via /radera-konto tas kontot och direkt kopplade poster bort. Delat hushållsinnehåll kan finnas kvar för andra medlemmar, och begränsade uppgifter kan bevaras när lag eller säkerhet kräver det.

Tekniska loggar och diagnostik behålls kort: normalt 30–90 dagar beroende på uppgift. Exempelvis sparas rå AI-data 30 eller 90 dagar beroende på aktivt hälsosamtycke, måltidsfoton 30 dagar och deras analysresultat 90 dagar. Leverantörers säkerhetskopior och loggar raderas enligt deras egna cykler.

Samtycke och e-post: Samtyckesbevis behålls medan kontot finns och i tre år efter återkallelse eller kontoradering för att kunna visa hur valet hanterades. Avregistreringstoken gäller i 30 dagar. Leveransloggar, inklusive en utgången tokenkopia, ska gallras inom 90 dagar.

Om du inte kan logga in för att radera kontot, kontakta hello@smaklig.app. En avpersonifierad post om raderingsbegäran och uppgifter som krävs för bokföring eller rättsliga anspråk kan behållas längre.

10. E-post och marknadsföringssamtycke

Marknadsföring är av som standard. Du väljer separat mellan Kampanjer & erbjudanden, Recept & veckomenyer och Nyheter om Smaklig. Du kan stänga av en kategori i inställningarna eller via avregistreringslänken; vi kontrollerar det aktuella valet före varje utskick.

Kontoverifiering, lösenordsåterställning, säkerhetsmeddelanden och andra nödvändiga tjänstemejl är transaktionella, inte marknadsföring, och styrs därför inte av marknadsföringsvalen.

11. Cookies, analys och enhetslagring

Nödvändigt: Sessionscookies och liknande lagring håller dig inloggad, skyddar tjänsten och sparar grundval. cookie_consent sparar webbens cookieval i 12 månader.

Google Analytics 4: Laddas bara om ett mät-ID finns och du samtycker. Consent Mode nekar analys- och annonslagring som standard. Du kan välja bort genom att neka i bannern eller radera cookie_consent och välja igen.

Vercel Analytics: Är globalt monterad och mäter sidvisningar, referrer, land, enhet och webbläsare utan cookies. Vercel anger att uppgifterna är aggregerade och anonyma och att besökarhashen byts varje dygn. Den styrs ännu inte av samma cookieval; samtyckesgrindning är en öppen förbättringspunkt. Du kan blockera analysanrop med webbläsarens integritetsskydd eller kontakta hello@smaklig.app för att invända.

Mobilappen: SecureStore och AsyncStorage sparar lokala sessions- och funktionsval. Kamera, bildbibliotek, Apple Hälsa och Health Connect används först efter ditt val och enhetsbehörighet, som du kan återkalla i enhetsinställningarna eller Apple Hälsa.

12. Dina rättigheter

Enligt GDPR kan du, beroende på omständigheterna, begära information och tillgång, rättelse, radering, begränsning och dataportabilitet samt invända mot behandling som grundas på berättigat intresse. Du kan när som helst återkalla samtycke utan att det påverkar behandling som redan var laglig.

En inloggad användare kan hämta en JSON-kopia via dataexporten och starta radering på /radera-konto. Exporten är inte verifierad som fullständig för varje nuvarande tabell. Kontakta därför hello@smaklig.app om du vill utöva en rättighet eller få andra uppgifter i ett portabelt format. Vi kan behöva verifiera din identitet och lagstadgade undantag kan begränsa en begäran.

Om du anser att vi behandlar dina uppgifter fel kan du klaga till Integritetsskyddsmyndigheten (IMY).

13. Automatiserade beslut

Smaklig använder AI för recept, menyer, näringsuppskattningar, träningsinnehåll, produktmatchning och rekommendationer. Du väljer om du vill använda resultatet och bör kontrollera det, särskilt vid allergi eller hälsa. Funktionen fattar inte beslut som är avsedda att ge rättsliga eller liknande betydande effekter enligt GDPR artikel 22.

14. Barn

Smaklig riktar sig till personer som är 18 år eller äldre. Du måste vara minst 18 år för att skapa konto och använda tjänsten. Vi behandlar hälso- och näringsuppgifter (särskild kategori enligt GDPR), och våra AI-funktioner tillhandahålls via Google Gemini, vars villkor inte tillåter tjänster som riktas till eller sannolikt används av personer under 18 år. Eftersom åldersgränsen är 18 år inhämtar vi inte vårdnadshavares samtycke. Om vi får kännedom om att någon under 18 år har skapat ett konto raderar vi uppgifterna.

15. Säkerhet

Koden använder bland annat hashade lösenord, kryptering för utvalda tokens, säkra sessioner, validering, rate limiting, åtkomstkontroller, separat adminautentisering och revisionsloggar. Ingen teknisk eller organisatorisk åtgärd kan garantera fullständig säkerhet. Kontakta hello@smaklig.app om du misstänker att ditt konto eller dina uppgifter har utsatts.

16. Ändringar i policyn

Vi uppdaterar policyn när tjänsten, leverantörerna eller lagkraven ändras och visar datumet ovan. Vid en väsentlig ändring informerar vi i tjänsten eller via e-post. Om ett nytt eller ändrat ändamål kräver samtycke ber vi om det innan behandlingen börjar.