Integritetspolicy

1. Personuppgiftsansvarig

Stefan Renzler, Donaueschingenstraße 28/45-46, 1200 Wien, Österrike — datenschutz@ovulyx.com — är personuppgiftsansvarig i den mening som avses i EU:s allmänna dataskyddsförordning (dataskyddsförordningen, GDPR) för behandlingen av personuppgifter inom ramen för Ovulyx.

2. Vilka uppgifter vi behandlar och varför

Cykel- och hälsodata utgör ”särskilda kategorier av personuppgifter” enligt artikel 9 i dataskyddsförordningen. Vi behandlar dem uteslutande med ditt uttryckliga samtycke — när du skapar ditt konto bekräftar du detta via en egen, separat formulerad kryssruta (skild från godkännandet av de allmänna villkoren), som uttryckligen avser behandling av cykel- och hälsodata enligt artikel 9 i dataskyddsförordningen och utan vilken ett konto tekniskt inte kan skapas. Samtycket kan när som helst återkallas genom att du raderar ditt konto.

Typ av uppgifter	Ändamål	Rättslig grund
E-postadress, lösenord (hashat)	Skapande av konto, inloggning, återställning av lösenord	Artikel 6.1 b i dataskyddsförordningen (avtal)
Visningsnamn (frivilligt, kan anges i inställningarna)	Visas för din anslutna partner (t.ex. ”Ny reaktion från …”)	Artikel 6.1 b i dataskyddsförordningen (avtal)
Mensdata (inkl. valfritt slut på mensen, blödningsmängd), dagboksanteckningar (humör, energi, symtom, basaltemperatur, anteckningar)	Kärnfunktion: cykelspårning och prognoser	Artikel 9.2 a i dataskyddsförordningen (uttryckligt samtycke)
Mensdata från en valfri import från Apple Health (export.xml, endast menstruationsposter)	Smidig dataimport vid den första konfigurationen, på din egen begäran	Artikel 9.2 a i dataskyddsförordningen (uttryckligt samtycke, du väljer själv aktivt filen)
Delningsinställningar, delad sammanfattning och reaktioner mellan dig och din partner (t.ex. ”Tack för att du sa till”)	Funktionen för partnerdelning, om den är aktiverad	Artikel 9.2 a i dataskyddsförordningen (samtycke)
Din enhets slutpunkt för pushnotiser och krypteringsnycklar (om aktiverat)	Påminnelser (mensen närmar sig, dagboksanteckning) och partnerreaktioner som notiser	Artikel 6.1 a i dataskyddsförordningen (samtycke vid aktivering)
Betalningsuppgifter (kortuppgifter hamnar aldrig i våra egna system)	Debitering av prenumerationen efter att provperioden har löpt ut	Artikel 6.1 b i dataskyddsförordningen (avtal)
Prenumerationsstatus och köp-ID vid köp via App Store eller Google Play (köphistorik, via RevenueCat)	Aktivering och hantering av din prenumeration	Artikel 6.1 b i dataskyddsförordningen (avtal)
IP-adress (kortvarigt, för att förhindra missbruk)	Begränsning av antalet förfrågningar (rate limiting) mot brute force-attacker	Artikel 6.1 f i dataskyddsförordningen (berättigat intresse)

3. Annonser (endast icke-personanpassade) och ingen försäljning av uppgifter

Ovulyx visar annonser via Google AdMob (mobilappen) och Google AdSense (webbappen) — medvetet endast icke-personanpassade, utan beteende- eller intressebaserad målgruppsinriktning, just eftersom Ovulyx behandlar särskilda kategorier av personuppgifter (hälsodata). I samband med detta kan identifierare på enhets-/webbläsarnivå (t.ex. ett annons-ID, din IP-adress och den ungefärliga plats som härleds från den), uppgifter om din interaktion med annonser (t.ex. visningar och klick) samt krasch- och diagnostikdata från annons-SDK:n skickas till Google — enbart för att visa annonser, mäta hur de levereras och förhindra bedrägerier, inte för att spåra dig mellan appar eller webbplatser. Inga cykel-, hälso- eller andra dagboksuppgifter delas någonsin med annonsnätverk. Inget Google Analytics, ingen Meta Pixel eller liknande. Vi varken säljer eller hyr ut personuppgifter. Inga cookies sätts i analyssyfte — tekniskt nödvändiga sessionsuppgifter (inloggningstoken) lagras lokalt på din enhet, inte som en spårningscookie.

4. Vem mer som har tillgång till uppgifter (personuppgiftsbiträden)

För att driva Ovulyx anlitar vi följande tjänsteleverantörer, som endast behandlar uppgifter för vår räkning:

Leverantör	Ändamål	Plats för behandlingen
Cloudflare, Inc.	Hosting av appen, databas (Cloudflare D1), logik på serversidan (Workers)	Regionen Västeuropa (WEUR)
Stripe Payments Europe, Ltd.	Betalningshantering för prenumerationer som köpts i webbappen	EU / USA (Stripe är certifierat enligt EU:s standardavtalsklausuler)
Link, LLC (Stripe Managed Payments)	Vid webbköp från länder utanför Österrike är Link säljare (merchant of record): betalning, skatteberäkning, fakturering, bedrägeriförebyggande och kundsupport för köpet. För detta behandlar Link ditt namn, din e-postadress, din faktureringsadress och dina betalningsuppgifter som självständigt personuppgiftsansvarig enligt sin egen integritetspolicy; Link får aldrig några hälsodata från Ovulyx.	USA / EU (standardavtalsklausuler)
Resend	Utskick av transaktionella e-postmeddelanden (t.ex. återställning av lösenord)	USA (standardavtalsklausuler)
Din webbläsares push-leveranstjänst (t.ex. Google FCM för Chrome, Mozilla Push Service för Firefox)	Leverans av pushnotiser — innehållet är end-to-end-krypterat (RFC 8291); tjänsten ser bara att något meddelande ska levereras till din enhet, inte vad det innehåller	beror på respektive leverantör, utanför vår kontroll, endast relevant om du aktiverar notiser
Expo (650 Industries, Inc.)	Leverans av pushnotiser till mobilappen (vidarebefordrar internt till samma plattformsspecifika pushtjänster som anges ovan) — endast relevant om du aktiverar notiser	USA
RevenueCat, Inc.	Avstämning och hantering av prenumerationsköp i App Store/Play Store (prenumerationsstatus, köp-ID) — endast relevant för prenumerationer som köps direkt via App Store/Play Store	USA
Google Ireland Limited (Google AdMob)	Annonsvisning i mobilappen, endast icke-personanpassad (se avsnitt 3)	EU/USA, enligt Googles standardavtalsklausuler
Google Ireland Limited (Google AdSense)	Annonsvisning i webbappen, endast icke-personanpassad (se avsnitt 3)	EU/USA, enligt Googles standardavtalsklausuler

5. Partnerdelning

Om du aktiverar partnerdelning bestämmer du själv — och kan när som helst återkalla — vilken information en person som du har bjudit in kan se: menskalender, symtom (utom dem du har dolt), dina anteckningar under ”Vad som hjälper”/”Vad som bör undvikas” (endast poster som delats var för sig) samt — enligt ditt val — antingen ditt humör/din energi dag för dag eller endast genomsnittet per fas. Fritextanteckningar och din basaltemperatur delas aldrig med den anslutna personen. Anslutna partner kan dessutom skicka dig en kort, förinställd reaktion (t.ex. ”Tack för att du sa till”) — dessa reaktioner lagras så länge respektive anslutning finns, eller tills något av de båda kontona raderas.

En ansluten partner kan dessutom föra en egen, cykeloberoende lista, ”Vad som får mig att må bra” (poster under ”Vad som hjälper”/”Vad som bör undvikas”, ordnade efter situation). En post vidarebefordras bara till dig om partnern uttryckligen delar den; allt annat förblir privat. När du öppnar listan eller den tillhörande raden under partnerns dagliga humör visas för partnern endast tidpunkten då du senast tittade (”såg det idag 14:05”) — inte vilka poster du har läst. Denna indikator kan inte stängas av och nollställs när anslutningen tas bort eller upprättas på nytt.

Du kan dela din cykel med flera personer (högst 10) och göra separata delningsinställningar för varje person. För enskilda poster (t.ex. kalenderhändelser, ”Vad som hjälper”, dagshumör, reaktioner) väljer du vilka av dina anslutna personer som ska få dem; vår server upprätthåller detta val, så att varje person bara får det som är avsett för just den personen. Personer med en egen cykel kan ansluta till varandra åt båda hållen — den motsatta riktningen uppstår först när den ena parten erbjuder sin cykel och den andra parten bekräftar det. Dina anslutningar ser bara vilka mer du är ansluten till om du uttryckligen slår på det.

6. Lagringstid

Dina uppgifter lagras så länge ditt konto finns. Om du raderar ditt konto via appen raderas alla tillhörande uppgifter (cykeldata, dagboksanteckningar, delningsinställningar, partneranslutningar) oåterkalleligen. En aktiv prenumeration som köpts i webbappen sägs automatiskt upp när kontot raderas; en prenumeration som köpts via Google Play eller App Store måste du själv säga upp i respektive butik. Fakturor och betalningsunderlag sparas i enlighet med lagstadgade krav på arkivering. Mer information: Radera konto.

6a. Användare utanför EU

Ovulyx drivs från Österrike och tillämpar dataskyddsförordningens standard för alla användare i hela världen: rättigheterna i avsnitt 7 gäller för dig oavsett var du bor. Dina konto- och hälsodata lagras inom EU (Cloudflare, regionen Västeuropa); de tjänsteleverantörer som anges i avsnitt 4 kan behandla uppgifter i USA på grundval av standardavtalsklausuler. Uppgifterna säljs aldrig och används aldrig för personanpassad reklam. Beroende på ditt land kan du dessutom ha rättigheter enligt lokal lagstiftning (till exempel i Storbritannien, Schweiz, Australien, Nya Zeeland, Japan, Singapore eller Sydkorea); du kan utöva dem via samma kontaktuppgift (datenschutz@ovulyx.com), och vi svarar inom den tidsfrist som föreskrivs i tillämplig lag. Användare i USA: se även vår Consumer Health Data Privacy Policy (på engelska).

6b. Landsspecifik information

• Tillgänglighet: Ovulyx tar inte emot nya konton från Fastlandskina, Ryssland, Belarus, Iran, Nordkorea, Syrien, Kuba, Afghanistan, Irak, Libyen, Jemen, Myanmar, Venezuela, Turkiet, Indonesien, Kenya, Nigeria, Saudiarabien, Vietnam, Egypten, Qatar, Algeriet, Thailand, Kazakstan, Uzbekistan eller Turkmenistan. I USA, Brasilien och Indien är Ovulyx endast tillgängligt för vuxna som har fyllt 18 år.
• Mottagare i utlandet (bl.a. Japan APPI, Sydkorea PIPA): Personuppgifter lagras inom EU (Cloudflare, regionen Västeuropa) och överförs, i den mån det behövs för ändamålen i avsnitt 2, till tjänsteleverantörerna i avsnitt 4, av vilka vissa har säte i USA (Cloudflare, Resend, Expo, RevenueCat, Stripe/Link, Google). USA saknar en heltäckande federal dataskyddslag; dessa leverantörer är bundna av EU:s standardavtalsklausuler. Överföringarna sker löpande medan du använder Ovulyx och upphör när ditt konto raderas.
• Lagring och förstöring: Uppgifterna sparas så länge ditt konto finns och raderas omedelbart och oåterkalleligen när du raderar kontot (databasposter tas bort; säkerhetskopior skrivs över inom 30 dagar). Fakturor sparas under den lagstadgade tiden (i Österrike i regel 7 år).
• Ansvarig person / dataskyddsombud / klagomålsansvarig (grievance officer) / encarregado (bl.a. Kanada, Brasilien LGPD, Indien DPDP, Sydkorea PIPA): Stefan Renzler, datenschutz@ovulyx.com, Donaueschingenstraße 28/45-46, 1200 Wien, Österrike.
• Brasilien (LGPD): Behandlingen av hälsodata grundar sig på ditt specifika samtycke (Art. 11 I LGPD); via kontaktuppgiften ovan kan du begära bekräftelse, tillgång, rättelse, anonymisering, dataportabilitet, radering och information om delning samt återkalla ditt samtycke, och du kan lämna klagomål till ANPD.
• Indien (DPDP Act): Via kontaktuppgiften ovan kan du begära tillgång, rättelse och radering, utse en annan person och framföra klagomål; om ärendet inte löses kan du vända dig till Data Protection Board of India.

7. Dina rättigheter

• Tillgång och dataportabilitet — du kan när som helst ladda ner hela din datamängd som en JSON-fil under ”Inställningar → Konto → Exportera data”.
• Radering — kan när som helst göras av dig själv under ”Inställningar → Konto → Radera kontot permanent”, utan väntetid, eller via e-post (se Radera konto).
• Rättelse — alla uppgifter kan ändras direkt i appen.
• Invändning/återkallelse av samtycke — när som helst, genom att inaktivera enskilda funktioner (t.ex. partnerdelning) eller radera ditt konto.
• Klagomål till en tillsynsmyndighet — i Österrike till Datenschutzbehörde (den österrikiska dataskyddsmyndigheten, dsb.gv.at), eller till den myndighet som är behörig för din hemort.

8. Ändringar av denna policy

Vi uppdaterar denna policy när behandlingen ändras (t.ex. nya funktioner, nya tjänsteleverantörer). Den aktuella versionen finns alltid tillgänglig på denna adress.