Cibello-app/docs/23-juridik-utkast.md

Juridiska dokument – UTKAST

⚠️ Dessa är tekniska utkast skrivna utifrån hur systemet faktiskt fungerar. De MÅSTE granskas och fastställas av jurist före publicering. Utkasten är avsiktligt sanna mot implementationen – varje påstående går att verifiera i koden.

---

Integritetspolicy (utkast)

Personuppgiftsansvarig: {BOLAG}, org.nr {ORGNR}, {ADRESS}. Kontakt: {supportEmail}.

Vilka uppgifter vi behandlar och varför

Uppgifter	Ändamål	Rättslig grund
Konto (e-post, visningsnamn, lösenordshash)	Inloggning och kontosäkerhet	Avtal
Hushållsdata (matlager, inköpslistor, veckoplaner, matlådor, budget)	Appens kärnfunktioner	Avtal
Bilder du fotar (kyl, kvitton, tallrikar)	AI-analys för att fylla lager/logga måltider	Avtal
Mål, allergier, kostmönster, hälsoprofil	Personliga förslag och säkerhetsfiltrering	Uttryckligt samtycke (art. 9 där tillämpligt)
Minnesposter ("Vad appen vet om mig")	Bättre förslag över tid	Samtycke (personalization) – kan pausas/raderas
Språk-, region- och måttinställningar	Visa appen på ditt språk och i dina enheter	Avtal
Teknisk logg (correlation-id, IP vid säkerhetshändelser)	Drift, felsökning, säkerhet	Berättigat intresse

Det vi INTE gör

• Ingen hälso- eller kostdata används för reklam. Appen innehåller inga annons-SDK:er.
• Hälsodata delas aldrig med andra i hushållet – delning gäller lager, listor, planer och budget; mål, allergier och hälsoprofil är alltid privata.
• Dina bilder används för AI-träning ENDAST med separat, frivilligt samtycke (image_training) som kan återkallas när som helst.
• Personligt minne blir aldrig automatiskt träningsdata.

AI-behandling

Bild- och textanalys utförs av vår AI-plattform (AAMOS) via server-till-server- anrop. Appen skickar aldrig data direkt till modelleverantörer. Identiteter pseudonymiseras före AI-anrop. AI-resultat är förslag: du granskar och godkänner innan något sparas, och all närings- och allergiberäkning görs deterministiskt i vår kod – aldrig av AI.

Dina rättigheter

• Insyn: "Vad appen vet om mig" i profilen visar allt minne; GET /v1/me/export ger fullständig maskinläsbar export.
• Rättelse: rätta felaktiga minnesposter direkt i appen – din rättelse vinner alltid.
• Radering: radera enskilda poster, allt minne, eller hela kontot (radering + anonymisering, spec §56).
• Återkallat samtycke: varje samtycke är separat och kan slås av i profilen.

Lagring och gallring

Uppgifter lagras inom EU/EES ({REGION}). Automatisk gallring: säkerhetstokens 7 dagar, återkallade sessioner 30 dagar, skanningsjobb och notiser 90 dagar, tillfälliga bilder 7 dagar. Backuper roteras enligt driftpolicy.

GDPR-radering och bokföringsretention

När en användare begär radering (DELETE /v1/me) raderas eller anonymiseras allt personligt innehåll omedelbart. Undantag görs endast för uppgifter som måste bevaras enligt lag, särskilt bokföringslagen och skatterättsliga krav:

• Prenumerationer, betaltransaktioner och prenumerationshändelser behålls under retentionstiden (7 år), men user_id ersätts med en slumpmässig pseudonym i tabellen gdpr_retention_pseudonyms. Mappningen mellan pseudonym och användaridentitet raderas automatiskt när retentionstiden löper ut.
• Audit logs behålls i 2 år för säkerhets- och spårbarhetsskäl, men aktörsidentitet (actor_user_id) och IP-adress anonymiseras.
• Domänevent behålls för event-sourcing, men user_id anonymiseras och payload skrubbas.
• Kvitton i kvarvarande hushåll (flerpersonshushåll) behålls för hushållsbudgeten, men kvittobilder raderas och radernas OCR-text töms.

Pseudonymiseringen innebär att posterna inte längre är direkt hänförbara till en fysisk person utan att separat register konsulteras. Endast behöriga administratörer med bokföringssyfte kan, under strikt åtkomstkontroll, återsöka den ursprungliga användaren under retentionstiden. Efter retentionstid förvandlas pseudonymen till en permanent icke-identifierbar etikett.

Fastställ med jurist: exakt retentionstid per jurisdiktion, krav på åtkomstloggning för gdpr_retention_pseudonyms, och om pseudonymisering räcker som "så långt som möjligt" åtgärd enligt art. 25.

Öppen fråga (2026-08-08): Pseudonymen är ett slumpmässigt UUID utan reversibel kryptering eller extern återkoppling. Bekräfta att detta är tillräckligt för bokföringsbevis och eventuella betalnings-/leveranstvister där vi behöver styrka att en viss person faktiskt genomförde transaktionen under retentionstiden, eller om vi behöver en maskerad men spårbar kundidentifikator.

Mottagare

Driftleverantörer (AWS {REGION}), AI-drift (AAMOS) – samtliga under personuppgiftsbiträdesavtal. Inga uppgifter säljs eller delas för marknadsföring.

---

Användarvillkor (utkast)

1. Tjänsten: {NAMN} är ett hjälpmedel för matplanering, matlager och näringsöversikt för privat bruk.
2. Inte medicinsk rådgivning: närings- och kalorivärden är vägledning, inte medicinsk rådgivning. Allergifiltreringen är ett hjälpmedel – kontrollera alltid förpackningen; vi ansvarar inte för felmärkta livsmedel.
3. Konto: du ansvarar för dina inloggningsuppgifter. Konton kan inte delas utanför hushållsfunktionen.
4. Uppskattningar: AI-analyser är uppskattningar och markeras som sådana. Du granskar och godkänner innan de sparas.
5. Användarinnehåll: recept du publicerar modereras. Du garanterar att du har rätt till innehåll du laddar upp; upphovsrättsintrång tas bort.
6. Prenumerationer: köp och förnyelser hanteras av App Store/Google Play enligt deras villkor; provperioden är 14 dagar utan kort.
7. Ansvarsbegränsning: tjänsten tillhandahålls "i befintligt skick"; ansvar begränsas till vad tvingande lag medger.
8. Ändringar: väsentliga villkorsändringar meddelas i appen minst 30 dagar i förväg.
9. Tillämplig lag: svensk lag; tvist prövas av svensk domstol. Konsument- skyddsregler i din hemvist påverkas inte.

---

Att fastställa med jurist

• Bolagsuppgifter, DPO-behov, art. 9-bedömning för hälsoprofilen
• Åldersgräns (rekommendation: 16 år i EU utan målsmans samtycke)
• Biträdesavtalens status (AWS, AAMOS-drift) och tredjelandsöverföringar
• Marknadsspecifika krav: UK GDPR, US state privacy laws (CCPA m.fl.), PIPEDA (CA)