Privatliv & sikkerhed

Krypteret overførsel

Kommunikationen med Evylla kører via HTTPS/TLS.

IMAP-app- og postkasseadgangskoder samt OAuth-tokens gemmes krypteret med AES-256-GCM. Adgangskoden til din Evylla-konto gemmes kun som et ikke-reversibelt hash.

Adgang efter mindste privilegium

Evylla må kun tilgå de data, funktionen har brug for.

Interne adgangsrettigheder gives efter princippet om mindst mulig adgang.

Beskyttelse af gemte data

Personoplysninger og andre data, der skal beskyttes, beskyttes med tekniske og organisatoriske foranstaltninger. Afhængigt af datatypen omfatter det især:

• TLS encryption for every connection to the application
• AES-256-GCM for stored credentials of connected accounts
• Password hashing according to the current state of the art
• CSRF protection, session hardening and server-side permission checks on every request
• Separate roles and permissions for regular accounts and administration
• Regular backups with limited retention
• Logging of security-relevant events with short retention

De konkrete foranstaltninger afhænger af behandlingens art, omfang og risiko.

Evylla udvikles, så databeskyttelse indgår allerede, når en funktion udformes.

Det betyder for eksempel:

Privacy by design
New features are designed from the outset to work with as little personal data as possible.

Privacy by default
The data-minimising setting is the default. Additional processing only happens when you actively trigger it.

Purpose limitation
Data collected for your purchase history is not reused for other purposes.

Deletability
Every kind of data that is created must also be removable – individually or completely.

Transparency
You should not have to guess what happens. That is why this page exists.

This follows the principle of “data protection by design and by default” in Art. 25 GDPR.

Det afhænger af de funktioner, du bruger.

Brugerkonto

For din Evylla-konto kan der for eksempel behandles disse data:

• First and last name
• Username and email address
• Country and – if provided – phone number
• Password hash as well as session and security attributes
• Plan, payment status and billing identifiers
• Timestamps such as registration, last sign-in or verification

E-mailforbindelser

Hvis du forbinder en e-mailkonto, kan Evylla behandle de beskeder, du har givet adgang til, for at genkende købsoplysninger.

Det kan for eksempel omfatte:

• IMAP server, port and username of the connection
• Encrypted app password used for retrieval
• Sender, subject, date and identifiers of the recognised emails
• Recognised order data: merchant, order number, items, amounts, currency, status
• Time and result of the last synchronisation

Evylla forsøger kun at behandle de oplysninger, funktionen har brug for, og ikke mere.

Betalings- og finansielle tjenester

Hvis du senere forbinder en betalings- eller finansiel tjeneste, kan der alt efter udbyder og de tilladelser, du giver, for eksempel behandles disse oplysninger:

• Customer and subscription identifiers of the payment provider
• Status of payment and term
• References to invoices and receipts

Det konkrete omfang afhænger af udbyderen og forbindelsen.

🤖 AI og automatisk behandling

Evylla kan bruge automatiserede og om nødvendigt AI-understøttede metoder til at genkende og strukturere oplysninger i dine data.

En købsbekræftelse kan for eksempel genkendes automatisk:

« Ordre hos forhandler X – 14.09.2026 – 79,99 € – produkt Y »

Den automatiske behandling skal forberede oplysninger til de Evylla-funktioner, du beder om.

En automatisk analyse betyder ikke, at der træffes en retligt relevant automatiseret afgørelse om dig.

Hvis Evylla indfører funktioner med automatiserede afgørelser eller profilering efter GDPR art. 22, gives de nødvendige oplysninger særskilt.

🧠 Dine data bruges ikke til andre formål

De data, du stiller til rådighed, behandles som udgangspunkt til de formål, du bruger Evylla til.

Dine købs- og kontodata skal ikke bruges til vilkårlige andre formål.

Brug til yderligere formål, f.eks. visse analyser, markedsføring eller træning, sker kun, hvis der er et retsgrundlag, og databeskyttelseskravene er opfyldt.

🚫 Ingen salg af dine personoplysninger

Evylla sælger ikke brugernes personoplysninger.

En videregivelse kan dog være nødvendig, hvis tjenesteudbydere driver Evylla, eller hvis en lovpligt kræver det.

Sådanne udbydere får kun den adgang, deres opgave kræver.

Evylla kan understøtte forskellige eksterne tjenester.

Det kan for eksempel omfatte:

• Email accounts via IMAP (active)
• Sign-in via OAuth without an app password (in preparation)
• PayPal receipts (in preparation)
• Bank and card transactions (in preparation)

Når du forbinder en tjeneste, vises de tilladelser, forbindelsen kræver.

At afbryde forbindelsen stopper nye hentninger; gemte køb bliver. At fjerne e-mailkontoen sletter forbindelse, mails og tilhørende køb.

Du kan også kun slette de importerede data fra en forbindelse; selve forbindelsen bliver.

🗑️ Sletning af dine data

På kontoen under Privatliv og sikkerhed vælger du præcist, hvad der slettes.

Ved sletning kan lovpligtige opbevaringsfrister eller nødvendige sikkerhedskopier gøre, at visse data ikke forsvinder med det samme fra alle systemer.

Sådanne data slettes eller anonymiseres, når opbevarings- eller sikkerhedskopieringsfristen er udløbet, medmindre et andet retsgrundlag kræver videre opbevaring.

Konkrete slettefrister:

• Account data: until the account is deleted
• Order and mail data: until you delete it or remove the account
• Server logs: as a rule up to 14 days
• Administrative SQL backups: a maximum of 20 versions, older ones are pruned automatically – with regular backups typically up to about 90 days
• Invoices and payment records: as long as statutory retention obligations apply

📦 Dataeksport

Du har som udgangspunkt ret til at modtage dine personoplysninger i et struktureret, almindeligt anvendt og maskinlæsbart format, når betingelserne for dataportabilitet er opfyldt.

Evylla kan stille en eksportfunktion til rådighed til det.

Retten til dataportabilitet står i GDPR art. 20.

Alt efter de lovbestemte betingelser har du især disse rettigheder:

Indsigt

Du kan bede om at få at vide, hvilke personoplysninger vi behandler om dig.

Berigtigelse

Du kan kræve berigtigelse af forkerte personoplysninger.

Sletning

Du kan, når de lovbestemte betingelser er opfyldt, kræve sletning af dine personoplysninger.

Begrænsning af behandlingen

Du kan under visse betingelser kræve, at behandlingen af dine data begrænses.

Indsigelse

Du kan, når de lovbestemte betingelser er opfyldt, gøre indsigelse mod en behandling.

Dataportabilitet

Du kan, når de lovbestemte betingelser er opfyldt, modtage de personoplysninger, du har givet, i et struktureret, almindeligt anvendt og maskinlæsbart format.

Tilbagekaldelse af samtykke

Hvis en behandling bygger på dit samtykke, kan du til enhver tid tilbagekalde det for fremtiden. Lovligheden af behandlingen indtil tilbagekaldelsen berøres ikke.

⚖️ På hvilket grundlag Evylla behandler data

Det konkrete retsgrundlag afhænger af behandlingen.

Alt efter funktionen kan især disse grundlag være relevante:

GDPR art. 6, stk. 1, litra a
Samtykke.

GDPR art. 6, stk. 1, litra b
Behandling, der er nødvendig for at opfylde en kontrakt eller for foranstaltninger før en kontrakt.

GDPR art. 6, stk. 1, litra c
Behandling for at overholde en retlig forpligtelse.

GDPR art. 6, stk. 1, litra f
Behandling på grundlag af legitim interesse, når de lovbestemte betingelser er opfyldt.

Hvilket grundlag der gælder for hvilken behandling, forklares i den fulde privatlivspolitik.

🏢 Dataansvarlig

Den dataansvarlige for personoplysninger er:

URBAN
Friedensplatz 13
SAN-39164 Seehausen Börde
Deutschland

Repræsenteret af: Udo Urban

E-mail

…

🛡️ Databeskyttelsesrådgiver

Der er i øjeblikket ikke udpeget en databeskyttelsesrådgiver, fordi de lovbestemte betingelser ikke er opfyldt.

🔧 Databehandlere og tekniske leverandører

Til driften af Evylla kan der bruges tekniske tjenesteudbydere.

Det kan især omfatte:

• Hosting and infrastructure providers for servers, database and backups
• Stripe as payment service provider for passes and subscriptions
• Mail delivery service for system emails such as confirmations and password links

Når disse udbydere behandler personoplysninger på vores vegne, sker det på grundlag af de nødvendige databeskyttelsesaftaler.

Et aktuelt overblik over udbydere og behandlinger står i den fulde privatlivspolitik.

🌍 Hvor dine data behandles

Behandlingen kan ske i Den Europæiske Union eller i Det Europæiske Økonomiske Samarbejdsområde.

Hvis leverandører behandler data uden for EU eller EØS, sker overførslen kun under iagttagelse af databeskyttelseskravene.

Aktuelle opbevarings- og behandlingssteder:
Applikation, database og sikkerhedskopier drives i Tyskland eller i Den Europæiske Union.

Overførsler til tredjelande:
Stripe (USA) kan behandle betalingsdata uden for EU og støtter sig på passende garantier, især standardkontraktbestemmelser. Detaljer: https://stripe.com/privacy

💳 Betalingsdata

Betalinger for betalte Evylla-takster kan køre via eksterne betalingstjenester.

Behandlingen af betalingsdata følger så den pågældende udbyders vilkår og privatlivsregler.

Evylla gemmer ikke fulde kortnumre, medmindre funktionen kræver det, og den tekniske betaling går via en specialiseret udbyder.

Anvendte betalingstjenester:
Stripe Payments Europe, Ltd. og tilknyttede koncernselskaber; detaljer på stripe.com/privacy.

🔒 Tekniske og organisatoriske foranstaltninger

Evylla træffer passende tekniske og organisatoriske foranstaltninger for at beskytte personoplysninger mod tab, ødelæggelse, ændring og uautoriseret adgang.

Det kan især omfatte:

• Encryption in transit (TLS) and for sensitive stored values (AES-256-GCM)
• Role and permission model with server-side checks on every access
• Protection against CSRF, brute-force attempts and session hijacking
• Separation of development and production environments
• Regular backups with a limited number of versions
• Updates of the components and dependencies in use
• Logging of security-relevant events with short retention

Foranstaltningerne gennemgås og udvikles efter det aktuelle tekniske niveau og risikoen.

GDPR art. 32 kræver passende tekniske og organisatoriske foranstaltninger under hensyn til blandt andet det tekniske niveau, omkostningerne, behandlingens art og omfang samt risikoen for personers rettigheder og friheder.

🚨 Sikkerhedshændelser

Trods omfattende sikkerhedsforanstaltninger kan ingen internettjeneste garantere et system helt uden risiko.

Ved et brud på persondatasikkerheden vurderer Evylla hændelsen straks og træffer de nødvendige foranstaltninger.

Hvor loven kræver det, informeres tilsynsmyndigheder og berørte personer efter de gældende regler.