Integritet & säkerhet

Krypterad överföring

Kommunikationen med Evylla går via HTTPS/TLS.

IMAP-app- och brevlådelösenord samt OAuth-token lagras krypterat med AES-256-GCM. Lösenordet till ditt Evylla-konto sparas bara som en icke-reversibel hash.

Åtkomst enligt minsta behörighet

Evylla ska bara komma åt de uppgifter som funktionen behöver.

Interna behörigheter ges enligt principen om minsta möjliga behörighet.

Skydd av sparade uppgifter

Personuppgifter och andra uppgifter som ska skyddas skyddas med tekniska och organisatoriska åtgärder. Beroende på typ av uppgifter ingår särskilt:

• TLS encryption for every connection to the application
• AES-256-GCM for stored credentials of connected accounts
• Password hashing according to the current state of the art
• CSRF protection, session hardening and server-side permission checks on every request
• Separate roles and permissions for regular accounts and administration
• Regular backups with limited retention
• Logging of security-relevant events with short retention

Vilka åtgärder som används beror på behandlingens art, omfattning och risk.

Evylla utvecklas så att dataskydd vägs in redan när en funktion utformas.

Det betyder till exempel:

Privacy by design
New features are designed from the outset to work with as little personal data as possible.

Privacy by default
The data-minimising setting is the default. Additional processing only happens when you actively trigger it.

Purpose limitation
Data collected for your purchase history is not reused for other purposes.

Deletability
Every kind of data that is created must also be removable – individually or completely.

Transparency
You should not have to guess what happens. That is why this page exists.

This follows the principle of “data protection by design and by default” in Art. 25 GDPR.

Det beror på vilka funktioner du använder.

Användarkonto

För ditt Evylla-konto kan till exempel dessa uppgifter behandlas:

• First and last name
• Username and email address
• Country and – if provided – phone number
• Password hash as well as session and security attributes
• Plan, payment status and billing identifiers
• Timestamps such as registration, last sign-in or verification

E-postanslutningar

Om du kopplar ett e-postkonto kan Evylla behandla de meddelanden du har godkänt för att känna igen köpuppgifter.

Det kan till exempel omfatta:

• IMAP server, port and username of the connection
• Encrypted app password used for retrieval
• Sender, subject, date and identifiers of the recognised emails
• Recognised order data: merchant, order number, items, amounts, currency, status
• Time and result of the last synchronisation

Evylla försöker bara behandla de uppgifter funktionen behöver, och inte mer.

Betal- och finanstjänster

Om du senare kopplar en betal- eller finanstjänst kan, beroende på leverantör och de behörigheter du ger, till exempel dessa uppgifter behandlas:

• Customer and subscription identifiers of the payment provider
• Status of payment and term
• References to invoices and receipts

Den konkreta omfattningen beror på leverantören och anslutningen.

🤖 AI och automatisk behandling

Evylla kan använda automatiserade och vid behov AI-stödda metoder för att känna igen och strukturera uppgifter i dina data.

Ett köpbekräftelse kan till exempel kännas igen automatiskt:

« Beställning hos handlare X – 14.09.2026 – 79,99 € – produkt Y »

Den automatiska behandlingen ska förbereda uppgifter för de Evylla-funktioner du begär.

En automatisk analys betyder inte att ett rättsligt relevant automatiserat beslut fattas om dig.

Om Evylla inför funktioner med automatiserade beslut eller profilering enligt art. 22 GDPR lämnas den information som krävs separat.

🧠 Dina uppgifter används inte för andra ändamål

Uppgifter du lämnar behandlas i princip för de ändamål du använder Evylla för.

Dina köp- och kontouppgifter ska inte användas för vilka andra ändamål som helst.

Användning för ytterligare ändamål, till exempel viss analys, marknadsföring eller träning, sker bara om det finns en rättslig grund och dataskyddskraven är uppfyllda.

🚫 Ingen försäljning av dina personuppgifter

Evylla säljer inte användarnas personuppgifter.

Ett utlämnande kan ändå behövas om tjänsteleverantörer driver Evylla eller om en laglig skyldighet kräver det.

Sådana leverantörer får bara den åtkomst deras uppgift kräver.

Evylla kan stödja olika externa tjänster.

Det kan till exempel omfatta:

• Email accounts via IMAP (active)
• Sign-in via OAuth without an app password (in preparation)
• PayPal receipts (in preparation)
• Bank and card transactions (in preparation)

När du kopplar en tjänst visas vilka behörigheter som behövs.

Att koppla från stoppar nya hämtningar; sparade köp finns kvar. Att ta bort e-postkontot raderar anslutning, mejl och tillhörande köp.

Du kan också bara radera importerade data från en anslutning; själva anslutningen finns kvar.

🗑️ Radera dina uppgifter

I kontot under Integritet och säkerhet väljer du precis vad som raderas.

Vid radering kan lagstadgade lagringstider eller nödvändiga säkerhetskopior göra att vissa uppgifter inte försvinner genast från alla system.

Sådana uppgifter raderas eller anonymiseras när lagrings- eller säkerhetskopieringstiden löpt ut, om ingen annan rättslig grund kräver fortsatt lagring.

Konkreta raderingstider:

• Account data: until the account is deleted
• Order and mail data: until you delete it or remove the account
• Server logs: as a rule up to 14 days
• Administrative SQL backups: a maximum of 20 versions, older ones are pruned automatically – with regular backups typically up to about 90 days
• Invoices and payment records: as long as statutory retention obligations apply

📦 Dataexport

Du har i princip rätt att få dina personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format när villkoren för dataportabilitet är uppfyllda.

Evylla kan erbjuda en exportfunktion för det.

Rätten till dataportabilitet finns i art. 20 GDPR.

Beroende på de lagliga villkoren har du särskilt dessa rättigheter:

Tillgång

Du kan begära att få veta vilka personuppgifter vi behandlar om dig.

Rättelse

Du kan begära rättelse av felaktiga personuppgifter.

Radering

Du kan, när de lagliga villkoren är uppfyllda, begära att dina personuppgifter raderas.

Begränsning av behandlingen

Du kan under vissa villkor begära att behandlingen av dina uppgifter begränsas.

Invändning

Du kan, när de lagliga villkoren är uppfyllda, invända mot en behandling.

Dataportabilitet

Du kan, när de lagliga villkoren är uppfyllda, få de personuppgifter du lämnat i ett strukturerat, allmänt använt och maskinläsbart format.

Återkallelse av samtycke

Om en behandling bygger på ditt samtycke kan du när som helst återkalla det för framtiden. Behandlingens laglighet fram till återkallelsen påverkas inte.

⚖️ På vilken grund Evylla behandlar uppgifter

Den konkreta rättsliga grunden beror på behandlingen.

Beroende på funktionen kan särskilt dessa grunder vara relevanta:

Art. 6.1 a GDPR
Samtycke.

Art. 6.1 b GDPR
Behandling som behövs för att fullgöra ett avtal eller för åtgärder före avtal.

Art. 6.1 c GDPR
Behandling för att fullgöra en rättslig förpliktelse.

Art. 6.1 f GDPR
Behandling med stöd av berättigat intresse, när de lagliga villkoren är uppfyllda.

Vilken grund som gäller för vilken behandling förklaras i den fullständiga integritetspolicyn.

🏢 Personuppgiftsansvarig

Personuppgiftsansvarig är:

URBAN
Friedensplatz 13
SAN-39164 Seehausen Börde
Deutschland

Representeras av: Udo Urban

E-post

…

🛡️ Dataskyddsombud

Inget dataskyddsombud är utsett just nu, eftersom de lagliga förutsättningarna inte är uppfyllda.

🔧 Biträden och tekniska leverantörer

För driften av Evylla kan tekniska leverantörer användas.

Det kan särskilt omfatta:

• Hosting and infrastructure providers for servers, database and backups
• Stripe as payment service provider for passes and subscriptions
• Mail delivery service for system emails such as confirmations and password links

När dessa leverantörer behandlar personuppgifter för vår räkning sker det med de dataskyddsavtal som krävs.

En aktuell översikt över leverantörer och behandlingar finns i den fullständiga integritetspolicyn.

🌍 Var dina uppgifter behandlas

Behandlingen kan ske inom Europeiska unionen eller Europeiska ekonomiska samarbetsområdet.

Om leverantörer behandlar uppgifter utanför EU eller EES sker överföringen bara med iakttagande av dataskyddskraven.

Aktuella lagrings- och behandlingsplatser:
Applikation, databas och säkerhetskopior drivs i Tyskland eller i Europeiska unionen.

Överföring till tredjeland:
Stripe (USA) kan behandla betalningsuppgifter utanför EU och stödjer sig på lämpliga skyddsåtgärder, särskilt standardavtalsklausuler. Detaljer: https://stripe.com/privacy

💳 Betalningsuppgifter

Betalningar för betalda Evylla-planer kan hanteras av externa betaltjänstleverantörer.

Behandlingen av betalningsuppgifter följer då leverantörens villkor och integritetsregler.

Evylla sparar inte fullständiga kortnummer, om det inte krävs för funktionen och den tekniska betalningen går via en specialiserad leverantör.

Betaltjänstleverantörer som används:
Stripe Payments Europe, Ltd. och närstående koncernbolag; detaljer på stripe.com/privacy.

🔒 Tekniska och organisatoriska åtgärder

Evylla vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter mot förlust, förstörelse, ändring och obehörig åtkomst.

Det kan särskilt omfatta:

• Encryption in transit (TLS) and for sensitive stored values (AES-256-GCM)
• Role and permission model with server-side checks on every access
• Protection against CSRF, brute-force attempts and session hijacking
• Separation of development and production environments
• Regular backups with a limited number of versions
• Updates of the components and dependencies in use
• Logging of security-relevant events with short retention

Åtgärderna granskas och utvecklas enligt teknikens ståndpunkt och risken.

Art. 32 GDPR kräver lämpliga tekniska och organisatoriska åtgärder med hänsyn till bland annat teknikens ståndpunkt, kostnaderna, behandlingens art och omfattning samt risken för personers rättigheter och friheter.

🚨 Säkerhetsincidenter

Trots omfattande säkerhetsåtgärder kan ingen internettjänst garantera ett system helt utan risk.

Vid en personuppgiftsincident bedömer Evylla händelsen utan dröjsmål och vidtar nödvändiga åtgärder.

När lagen kräver det informeras tillsynsmyndigheter och berörda personer enligt gällande regler.