En kvittering siger meget om en husstand.
Hvad vi tager, hvem der ellers rører ved det, og hvordan du får det væk igen.
Vi læser kvitteringerne fra de butikker, du forbinder, og tæller kalorier med dem. Det er alt, vi gør med dem. Dine data ligger i EU, vi sælger dem aldrig, og sletter du din konto, bliver de slettet – på nær fire ting, der står nedenfor.
Bliver aldrig solgt
Vi hverken sælger, udlejer, bytter eller licenserer dine data. Ikke dine kvitteringer, ikke dine måltider og ikke en udvandet udgave uden dit navn på.
Hvad vi indsamler
Tre ting, og du har givet dem alle sammen med vilje.
- Din konto. En e-mailadresse og de magic links, vi sender til den. Ingen adgangskode. Du kan også bruge Apple eller Google. Hver session gemmer en IP-adresse og et enhedsnavn.
- Kvitteringer fra de butikker, du forbinder. Varelinjerne, mængderne og priserne på et køb, plus butikken og datoen. Første synkronisering henter din købshistorik, og derefter kigger vi efter nye med få timers mellemrum.
- Det, du registrerer, og dine helbredsoplysninger. Den mad, du registrerer, de billeder, du selv sender til et estimat, din vægt og de tal, dit kaloriemål bliver regnet ud fra: højde, alder, køn, aktivitetsniveau og om du tager GLP-1-medicin. Forbinder du Apple Health, læser vi dine skridt, dit aktive energiforbrug og din vægt og gemmer dem på vores servere. Vi skriver aldrig noget tilbage til den.
Bliver ikke indsamlet
- Fulde kortnumre eller noget som helst, der kan flytte penge.
- Din præcise placering. Vi beder aldrig om GPS, og en kvittering nævner butikken, ikke hvor du har været.
- Noget som helst fra en butik eller en app, du ikke har forbundet.
- Dine kontakter, dit billedbibliotek eller journaloplysninger fra en læge. Vi får kun det billede, du selv vælger.
Hvor det ligger
CaloriSpy kører på servere, vi lejer hos Hetzner Online GmbH i Nürnberg, Tyskland. Databasen ligger på en anden maskine i det samme datacenter, på et privat netværk uden en offentlig dør. Trafikken når frem gennem en Cloudflare-tunnel.
En kvittering, du sender videre på mail, venter på en lagerplads, Cloudflare placerer i EU, indtil den er læst, og ryger så efter 30 dage. De billeder, du sender til et estimat, ligger også hos Cloudflare, på en lagerplads, der ifølge aftalen bliver i EU. Dine logins til butikkerne bliver krypteret, før de bliver gemt, under en nøgle, der ligger på serveren og ikke i databasen.
Fem af leverandørerne nedenfor er amerikanske: Cloudflare, PostHog, RevenueCat, Expo og AI-leverandøren. Cloudflare og PostHog har selve dataene i Europa, men vi tæller alle fem med som overførsler. Fire af dem sker på grundlag af EU's standardkontraktbestemmelser fra 2021, og vi sender dig dem, du beder om. Expo er den femte: de siger, de bruger de samme bestemmelser, men offentliggør ingen aftale, så vi kan ikke vise dig en. De får et id på din enhed – aldrig en kvittering, et måltid eller en vægt. Serper, søgeleverandøren i tabellen nedenfor, står uden for den optælling: vi har ikke fået fastslået, hvor de hører hjemme, eller hvilke bestemmelser der gælder, så vi påstår ingen af delene. De får en søgestreng – aldrig din konto, en kvittering eller et billede.
Hvem der ellers ser det
De leverandører, produktet er sat sammen af. Ingen er her, fordi de har betalt for det.
| Hvem | Hvad de ser | Hvorfor |
|---|---|---|
| Hetzner Online GmbH | Alt, for det er maskinen, det hele kører på. Nürnberg, Tyskland. | Hosting. |
| Cloudflare | Forespørgsler på vej til os, den rå kopi af en kvittering, du sender videre på mail, og de billeder af mad, du sender til et estimat. Kvitteringskopien ryger efter 30 dage, eller med det samme, når du sletter din konto; et billede ryger sammen med den registrering, der viser det. Lagerpladsen til billederne ligger i EU som en garanti i aftalen, ikke som et bedste bud. | DNS, tunnelen foran serverne, både login-mails og kvitteringsmails, og den lagerplads, kopierne og billederne ligger på. |
| Resend | Kvitteringsmails, der lander i din CaloriSpy-indbakke. | En anden indgående mailrute for videresendte kvitteringer. |
| Vores AI-leverandør (uden for EU/EØS) | Kvitteringslinjer, produktnavne, det du skriver i lynregistrering, og de billeder, du sender til et estimat. Aldrig din e-mailadresse – og en kvittering bliver sendt videre, som butikken har skrevet den, så hvis der står navn og adresse på den, følger det med. Et tilfældigt mærke, der bliver skiftet ud hver måned, står i stedet for din konto, så der ikke findes et varigt id hos dem og ingen særskilt sletning at køre der. Hver forespørgsel afviser en leverandør, der ville gemme dine data eller træne på dem. | De tre automatiske dele nedenfor, på grundlag af standardkontraktbestemmelserne. Billeder er frivillige. |
| Serper (websøgning) | Kun søgestrenge – som regel et butiks- eller produktnavn, nogle gange ét website at søge på. Aldrig din konto, en kvittering, et billede eller et navn. | At slå et produkt op på nettet, når kataloget ikke kender det. Vi har ikke fået fastslået, hvor Serper hører hjemme, eller hvilke bestemmelser de kører på, så vi påstår ingen sikkerhed for dem. |
| Apple (App Store) | Dine betalingsoplysninger, og hvad du er blevet opkrævet. Apple er den formelle sælger, så handlen er mellem dig og Apple. | At tage betaling. Vi ser aldrig et kortnummer. |
| RevenueCat (USA) | At en konto har et abonnement, og hvornår det udløber, knyttet til dit konto-id. Aldrig et kortnummer. | At fortælle appen, om abonnementet stadig er aktivt. På grundlag af standardkontraktbestemmelserne. |
| Crisp (EU) | Supportchat og supportmail: det, du skriver, plus den e-mailadresse og det kontonavn, du er logget ind med, dit konto-id og dit abonnement. På en telefon også et push-token. Aldrig din madlog, dine kvitteringer eller dine helbredsoplysninger. | At svare dig. På websitet, og i appen i en browser, når der intet frem til Crisp, før du trykker på chatknappen. På en telefon starter deres egen kode sammen med appen og registrerer det token ved hver opstart. Fransk virksomhed, data i Holland og Tyskland. |
| PostHog (EU) | Skærme, handlinger og fejl knyttet til dit konto-id: ingen madnavne, ingen næringstal, ingen helbredsoplysninger. AI-sporene til fejlfinding er undtagelsen og indeholder den mad- eller kvitteringstekst, der blev sendt til modellen, og svaret tilbage – også knyttet til dit konto-id. Aldrig billeder, navne eller e-mailadresser. Din IP-adresse bliver regnet om til en omtrentlig by hos dem. | At vide, hvilke dele der virker, at høre om nedbrud og at fejlfinde madmatch. Én knap i appen slår produktanalysen fra; fejlrapporter og AI-spor kører videre. På websitet kører intet, medmindre du tillader det. |
Et par stykker mere ser kun et smalt udsnit: Apple og Google hvis du logger ind med dem, og Apple Health, hvis du forbinder den; Expo, som leverer opdateringer til appen og push-beskeder.
Cloudflare, Resend, RevenueCat, Crisp og AI-leverandøren handler kun efter vores instruks, under en databehandleraftale. Med Hetzner og PostHog er vi ved at få bekræftet, at vores er på plads, i stedet for at fortælle dig, at den er det. Med Serper har vi slet ingen at vise dig. Apple og Google er selv dataansvarlige, for login og for App Store.
AI og automatiske afgørelser
Tre dele af CaloriSpy er automatiske, og efter EU's AI-forordning skal du have at vide hvilke.
01
At matche kvitteringslinjer med mad
Der står RUGBR GROFT 950G på en linje, og noget skal lave det om til et produkt med et kalorietal. Er matchet usikkert, spørger appen dig i stedet for at gætte. Et opslag kan betyde en websøgning.
02
At estimere et måltid ud fra et billede
Billedet går til vores AI-leverandør, og det, der kommer tilbage, er markeret som et estimat, hvor det end dukker op. Frivilligt: alt andet virker uden kamera.
03
At foreslå opskrifter ud fra dit spisekammer
Idéer til, hvad du kan lave af det, du har købt. Intet bliver registreret, før du trykker på det.
Intet her træffer en afgørelse om dig. Ingen score, ingen profil og ingen automatisk afgørelse, der har retsvirkning for dig eller på tilsvarende vis betydeligt påvirker dig efter artikel 22. Automatikken læser dagligvarer.
Og en rettelse vinder for altid. Retter du et match, bliver rettelsen gemt som en menneskelig beslutning. Intet senere modelsvar må skrive hen over den.
Er ved at blive bekræftet
Vi træner ikke noget på dine billeder, og vi bruger ikke en leverandør, der gør det. Hver forespørgsel bærer den instruks og fejler i stedet for at blive sendt til en leverandør, der ville. Det, vi endnu mangler, er deres politik for opbevaring på skrift, så den her boks bliver stående, indtil vi har den.
Hvad vi må, og hvorfor
GDPR beder os om at sige, hvad der tillader hver enkelt ting:
Din konto, dine kvitteringer og din log. Artikel 6, stk. 1, litra b: en aftale. Vi kan ikke give dig tjenesten uden dem.
Din vægt, højde, alder, køn, aktivitetsniveau, dit kaloriemål og dit svar om GLP-1. Artikel 9, stk. 2, litra a: dit udtrykkelige samtykke, med artikel 6, stk. 1, litra a ved siden af. Du giver det ved selv at taste tallet ind eller ved at forbinde Apple Health, og du tager det tilbage ved at rydde feltet, afbryde forbindelsen eller slette kontoen.
At holde tjenesten oppe og vide, hvilke dele der virker. Artikel 6, stk. 1, litra f: vores legitime interesse i et produkt, der kan rettes på beviser, og som ikke bliver misbrugt. Det dækker produktanalyse og fejlrapporter, og knappen står under Cookies.
Vores eget regnskab. Artikel 6, stk. 1, litra c: bogføringsloven, over de bilag, den rækker til. Det er de fem år nedenfor.
At trække et samtykke tilbage koster dig ingenting: den del stopper, og det, vi gjorde inden, bliver ved med at være lovligt. Gør indsigelse mod en legitim interesse ved at skrive til os, eller med knappen.
Hvor længe vi gemmer det
Så længe din konto er åben, gemmer vi dine kvitteringer og din log, for den historik er produktet. Lukker du kontoen, ryger dataene med det samme: én transaktion, alt det, der hænger på kontoen, ingen frist og ingen fortrydelse. Cloudflare og RevenueCat får besked på at slette deres kopier. Hent dine data ud først, hvis du kunne få brug for dem senere.
Fire ting ryger ikke. Bogføringsloven kræver, at vi gemmer regnskabsbilag i 5 år , så et køb af dine, der står i vores regnskab, bliver liggende så længe. En log over noget, vi selv har gjort ved din konto, gemmer din e-mailadresse ved siden af i 3 år, og en besked, vi har sendt dig, i 1 år. Et envejs-aftryk (en hash) af din e-mailadresse bliver liggende i 24 måneder, så prøveperioden ikke kan tages igen ved at slette kontoen og oprette en ny – det kan ikke laves om til en adresse igen. Og PostHog bliver ikke bedt om at slette det, de allerede har: skærmene, hændelserne og AI-sporene ovenfor, knyttet til dit konto-id. Ingen af de fire er dine kvitteringer, dine måltider eller din vægt.
En butik, du afbryder, holder op med at sende med det samme. De kvitteringer, der allerede er hentet ind, bliver liggende, indtil du sletter dem eller sletter kontoen.
Dine rettigheder
Du kan bede om indsigt i dine data, få dem rettet eller slettet, begrænse eller gøre indsigelse mod brugen af dem, tage dem med et andet sted hen og trække et samtykke tilbage.
De er knapper i appen: Hent data tager dine data med, Slet konto afslutter. Er det, du har brug for, ikke en knap endnu, så skriv til [email protected] så gør vi det i hånden inden for en måned.
Går det galt, kan du klage til Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, datatilsynet.dk.
Børn
CaloriSpy er for folk på 16 år og derover. At tælle kalorier er en dårlig idé for en krop, der stadig vokser. Tror du, at en yngre person har en konto, så skriv til os, og vi lukker den.
Ændringer og kontakt
Hvis den her politik ændrer sig på en måde, der betyder noget, siger vi det her og fortæller dig det i appen, før det træder i kraft. Denne version er dateret 21. september 2026.
Inside Studio I/S
Langebrogade 17, 1411 København K
CVR 46668448 · Danmark
[email protected]
Inside Studio I/S er dataansvarlig for alt det, der er beskrevet her.
Det er det hele. Ingen ekstra side, ingen ekstra forretning.