Privatlivspolitik

1. Dataansvarlig

Zolva drives af Oscar Hangaard, Vilkestrupvej 1, 4623 Lille Skensved, Danmark. Kontakt: kontakt@zolva.io

2. Hvilke data vi indsamler

• E-mailadresse og en intern bruger-ID (Supabase)
• Hvis du logger ind med Google eller Microsoft: navn og profilbillede fra udbyderen
• Hvis du logger ind med Apple: en e-mail (kan være Apples private relay-adresse)
• Hvis du opretter konto med adgangskode: e-mail og en bcrypt-hash af din adgangskode (vi ser aldrig din adgangskode i klartekst)
• Chatbeskeder, noter og påmindelser du sender til Zolva
• Mail-data (afsender, modtagere, emne, brødtekst, vedhæftningsmetadata) fra mails Zolva henter på din vegne — kun hvis du forbinder Gmail, Outlook eller iCloud-mail
• Kalenderdata (titel, tid, sted, deltagere, beskrivelse) — kun hvis du forbinder Google Kalender, Outlook-kalender eller iCloud-kalender
• Drive-/OneDrive-filindhold og metadata — kun hvis du forbinder Google Drive eller OneDrive (læseadgang)
• Push-token (anonym token fra Apple/Expo) til notifikationer
• App-indstillinger og præferencer
• Betalingsoplysninger håndteres af Stripe — vi gemmer ikke kortdata, kun et kunde-ID og abonnementsstatus

3. Hvorfor vi indsamler data

• For at levere Zolva-tjenesten (morgenbriefing, mailudkast, kalenderstyring, chat, påmindelser)
• For at tilpasse assistenten til din skrivestil og dine arbejdsvaner
• For at vise dine begivenheder, mails og dokumenter i appen
• For at håndtere betaling og abonnement
• For at sikre og forbedre stabiliteten af tjenesten

4. Login og forbundne konti

Du kan logge ind med Google, Microsoft, Apple eller e-mail + adgangskode. Du kan derudover frivilligt forbinde én eller flere af følgende tjenester. Du kan til enhver tid tilbagekalde adgangen i din udbyderkonto eller ved at afbryde integrationen i Zolva. Når du afbryder, sletter vi tokens og holder op med at tilgå data fra den pågældende integration med det samme.

Google (OAuth)

• openid, email, profile — login og navn/profilbillede
• gmail.readonly — læse mails til briefing og chat
• gmail.compose — gemme foreslåede svar som kladder, og sende dem når du har godkendt hver enkelt
• calendar.events — læse, oprette, flytte og slette begivenheder du beder Zolva om
• calendar.calendarlist.readonly — vise dine kalendere i kalender-vælgeren
• drive.readonly — læse filer du beder Zolva besvare spørgsmål om

Zolva anmoder bevidst ikke om gmail.modify — vi flytter eller arkiverer ikke dine mails hos Google.

Microsoft (OAuth)

• openid, offline_access — login og vedvarende adgang
• Mail.ReadWrite, Mail.Send — læse mails, oprette kladder, sende svar du eksplicit godkender
• Calendars.ReadWrite — læse og opdatere kalenderbegivenheder
• Files.Read — læse OneDrive-filer (skrivebeskyttet)

iCloud (app-specifik adgangskode)

Mail via IMAP og kalender via CalDAV. Du opretter en app-specifik adgangskode på appleid.apple.com og indtaster den i Zolva. Den opbevares krypteret i Supabase Vault og bruges udelukkende til at hente mails og kalenderdata på dine vegne. Du kan til enhver tid trække adgangen tilbage i Apple ID-indstillinger eller fjerne integrationen i Zolva.

Apple Sign-In

Vi modtager kun en stabil bruger-ID og en e-mail (evt. Apples private relay-adresse). Vi har ikke adgang til andre data via Apple Sign-In.

Limited Use / begrænset brug — Google og Microsoft

Zolvas brug og overførsel af oplysninger modtaget fra Google API'er overholder Google API Services User Data Policy, herunder kravene om begrænset brug (Limited Use). De samme principper anvender vi for data modtaget fra Microsoft Graph.

Konkret betyder det at vi ikke:

• bruger data til reklame eller markedsføring
• sælger eller videregiver dine data til tredjepart, undtagen som nødvendigt for at levere assistentens kernefunktioner (se afsnit 5), med dit udtrykkelige samtykke, eller hvor det kræves ved lov
• lader mennesker læse dine data, medmindre du selv beder os om det, af hensyn til sikkerhed, for at overholde gældende lov, eller på anonymiseret/aggregeret form
• bruger dine data til at udvikle, forbedre eller træne generelle AI- eller ML-modeller

5. Deling af data og databehandlere

Vi deler ikke dine personlige data med tredjepart, undtagen med følgende databehandlere der er nødvendige for at levere Zolva:

• Anthropic PBC (Claude API) — dine chatbeskeder og relevante uddrag af dine mail-, kalender- og fildata sendes til Claude for at generere svar. Anthropic bruger ikke API-data til at træne modeller og kan opbevare prompts i op til 30 dage til misbrugsovervågning.
• Supabase — database, auth og edge functions, hostet i EU (Irland, eu-west-1).
• Expo Application Services — push-notifikationer og build-infrastruktur til mobilappen.
• Stripe — betalingsbehandling. Vi videregiver kun det nødvendige for at gennemføre dit abonnement.
• Google LLC / Microsoft Corp. / Apple Inc. — kun for at levere de API'er du selv har forbundet (Gmail/Kalender/Drive, Outlook/Kalender/OneDrive, eller iCloud).
• Vercel Inc. — hosting af denne hjemmeside (zolva.io). Selve mobilappen hostes ikke på Vercel. Ingen persondata fra appen sendes til Vercel.

Vi har databehandleraftaler (DPA) med alle ovenstående leverandører, og data behandles inden for EU/EØS eller under gyldige overførselsmekanismer (Standardkontraktbestemmelser jf. Kommissionens afgørelse 2021/914, samt EU-U.S. Data Privacy Framework hvor relevant).

6. Opbevaring og sletning

Dine data opbevares så længe du har en aktiv konto. Hvis du sletter din konto i appen (Indstillinger → Konto → Slet konto), sletter vi alle dine data — inklusive OAuth-tokens, iCloud app-adgangskoder, chathistorik, påmindelser, push-tokens og cachede mails/kalenderdata — inden for 30 dage. Sikkerhedskopier overskrives i en rullende cyklus på op til 30 dage. Du kan også afbryde en enkelt integration uden at slette hele kontoen; alle tokens og cachede data for den integration slettes med det samme.

7. Dine rettigheder

Efter GDPR har du ret til at:

• Få indsigt i hvilke data vi har om dig
• Få rettet dine data
• Trække dit samtykke tilbage
• Eksportere dine data i et maskinlæsbart format
• Klage til Datatilsynet (datatilsynet.dk)

Kontakt kontakt@zolva.io for at udøve dine rettigheder. Vi svarer inden for 30 dage.

8. Sikkerhed

Vi bruger kryptering under transport (HTTPS/TLS) og i hvile, sikker OAuth-autentificering, og adgangskontrol til at beskytte dine data. OAuth-tokens opbevares krypteret i iOS Keychain / Android Keystore på din enhed, og refresh-tokens samt iCloud app-adgangskoder opbevares krypteret i Supabase. Database-adgang er begrænset via Row-Level Security, så brugere kun kan tilgå egne data. Betalingsdata håndteres af Stripe, som er PCI DSS-certificeret. Zolva hostes i EU.

9. Cookies

Zolva er en mobil-app og bruger ikke cookies. På denne hjemmeside (zolva.io) bruger vi kun nødvendige cookies til session-håndtering. Vi bruger ikke tracking-cookies eller tredjeparts-analytics.

10. Børn

Zolva er ikke rettet mod børn under 13 år, og vi indsamler ikke bevidst data om børn. Hvis du tror, at et barn har givet os data, så kontakt os og vi sletter dem.

11. Ændringer

Hvis vi opdaterer denne politik, ændrer vi "Sidst opdateret"-datoen øverst og, ved væsentlige ændringer, giver besked i appen eller pr. mail inden ændringen træder i kraft.

12. Kontakt

Spørgsmål om denne privatlivspolitik kan rettes til:
Oscar Hangaard
kontakt@zolva.io