Privatlivspolitik

1. Hvem vi er

Hoekedex laves og tilbydes af skaberne af Hoekedex („vi“). Du kan kontakte os på info@hoekedex.net med spørgsmål om privatliv, for at anmelde misbrug og med alt andet.

Hoekedex er bygget anderledes end de fleste apps. Der er ingen konti og ingen database. Alt, hvad du laver i appen, bor på din egen telefon. Vi får det ikke at se, kan ikke ændre det og kan heller ikke skaffe det tilbage til dig. Vi behandler kun noget i relæet (afsnit 3 til 6), ved salg af licenskoder (afsnit 9) og på denne hjemmeside (afsnit 10).

2. Det her er på din telefon

Ved første start laver din telefon selv to nøglepar. Ud fra dem følger dit ID: en tilfældig kode på 26 tegn, der ikke fortæller nogen, hvem du er. Alle dine data ligger i en boks på din enhed, i appens eller browserens lager.

Dine kort kan indeholde følsomme oplysninger, for eksempel om dit sexliv. De oplysninger forlader aldrig din telefon, undtagen i en backup, du selv laver, krypteret med en adgangskode, som kun du kender.

3. Hvad relæet ser og gemmer

Telefoner kan ikke altid nå hinanden direkte. Derfor er der en lille server, relæet, der sender forseglede kuverter mellem telefoner.

Det behandler relæet

• Dit ID og dine offentlige nøgler. Ved forbindelse beviser din telefon med en signatur, at ID'et tilhører dig.
• Din IP-adresse, som ved enhver internetforbindelse, også når en direkte forbindelse sættes op (STUN-forespørgslen fra afsnit 4).
• Hvornår du er forbundet, og om appen er åben.
• Hvilket ID du sender en kuvert til, og hvor stor den er.
• Kuvertens indhold, men det er end-to-end-krypteret. Relæet kan ikke åbne det.

Det gemmer relæet

• I princippet intet på disk. Alt ligger i arbejdshukommelsen og er væk, så snart relæet genstarter. Den eneste undtagelse er notifikationer (afsnit 6).
• Postkasse: er modtageren offline, og må en besked vente (en tekstbesked, en venneanmodning, en gruppeopdatering), bliver den krypterede kuvert i hukommelsen i højst 24 timer, højst 300 beskeder og 4 MB pr. modtager. Når den er leveret, slettes den straks. For en delt placering gemmer postkassen kun den nyeste.
• Onlinestatus: relæet fortæller kun nogen, om du er online, hvis I har tilføjet hinanden, og kun hvis ingen af jer har blokeret den anden.
• Logs: kun antal, som hvor mange forbindelser der er åbne. Aldrig ID'er, IP-adresser eller indhold.

Vi bruger kun disse data til at levere beskeder og til at beskytte relæet mod overbelastning. Retsgrundlag: vores legitime interesse og vores aftale med dig om, at appen skal virke.

4. Chat, grupper, spillerum og Natkameraet

Chat og snaps

Chatbeskeder og snaps går så vidt muligt via en direkte forbindelse mellem jeres telefoner (WebRTC), end-to-end-krypteret. Det, I begge har set, forsvinder, når du lukker chatten. En snap kan ses én gang.

• For at sætte en direkte forbindelse op spørger din telefon vores eget relæ, hvilken offentlig adresse den har (en STUN-forespørgsel). Ingen anden part er involveret, og intet andet end den krypterede forbindelse med din ven forlader din telefon.
• Ved en direkte forbindelse ser jeres telefoner hinandens IP-adresse. Sådan virker peer-to-peer. Chat derfor kun med folk, du stoler på.

Grupper

En gruppe bor på medlemmernes egne telefoner: gruppechatten, udfordringerne og ranglisten. Hver ændring signeres af den, der laver den, og sendes krypteret til alle andre medlemmer, via relæet. Medlemmer, der ikke er dine venner, får også dit navn, din farve og det, du laver i gruppen.

Spillerum

Et spillerum er et midlertidigt rum til et spil. Det findes kun i hukommelsen på telefonen hos den, der opretter det; intet gemmes. Medspillere ser kun hinanden som navn og farve. Hemmelig information i et spil, som et ord eller en rolle, går kun til den spiller, den er tiltænkt. En egen quiz bliver på opretterens telefon. Rummet lukker, når opretteren afslutter det, er væk i mere end 2 minutter eller efter 3 timer.

Natkamera

Med Natkameraet tager gruppemedlemmer billeder i løbet af én aften. De bliver på telefonen hos den, der tager dem, og deles først efter fremkaldelse, direkte mellem gruppens telefoner, end-to-end-krypteret. Virker en direkte forbindelse ikke, sender relæet de krypterede dele videre live, uden at gemme dem eller lægge dem i postkassen. Billederne indeholder ingen placering eller andre metadata og er ikke med i backups. Du kan få dine egne billeder slettet for alle.

Bemærk: skærmbilleder kan vi ikke stoppe. Send og del kun det, du gerne viser, og spørg, før du tager et billede af nogen.

5. Radar og Venneradar

Alle i nærheden

Denne radar er slået fra, indtil du selv slår den til, altid med en timer fra 15 minutter til 2 timer. Derefter slukker den af sig selv.

• Din telefon gør din placering til et felt: Tæt på (ca. 50 meter) eller Kvarter (ca. 1 km). Kun det felt går til relæet, og kun mens appen er åben. Din præcise placering forlader aldrig din telefon.
• Lukker du appen, forbliver du synlig i det sidste felt, til timeren udløber. Du spores aldrig i baggrunden.
• Andre i nærheden ser dit navn, trænerniveau, din farve og sjældenheden af dit sjældneste kort, med en midlertidig, tilfældig kode. Dit rigtige ID forbliver skjult, indtil I begge vinker; så udveksler relæet jeres ID'er og offentlige nøgler, så I bliver venner.
• Er der færre end tre andre i nærheden, ser ingen nogen. Folk, du har blokeret, kan ikke se dig, og du kan ikke se dem.
• Relæet glemmer dig, så snart timeren udløber, eller du slår radaren fra.

Venneradar

Med Venneradaren deler du din placering med venner eller en gruppe, du vælger.

• Pr. person vælger du Præcis (ca. 10 meter) eller Omtrent (ca. 1 km), og hvor længe: fra en time til to uger, til en dato, til gruppens afslutning eller „altid“ med en ugentlig påmindelse.
• At starte, tilføje nogen, vælge Præcis og dele i lang tid kræver din pinkode, Face ID eller dit fingeraftryk.
• Din placering sendes kun, mens appen er åben, end-to-end-krypteret pr. person. Relæet kan ikke læse den og gemmer højst den nyeste, der endnu ikke er leveret. Ingen gemmer en historik.
• Under „Hvem ser mig?“ ser du altid, hvem du deler med. „Skjul mig nu“ stopper alt med ét tryk; de andre ser så kun, at du er stoppet med at dele.
• Indstillingerne bor kun på din telefon og er ikke med i en backup, så delingen starter aldrig igen af sig selv.

Retsgrundlag for begge radarer: dit samtykke, som du giver ved at slå dem til og trækker tilbage ved at slå dem fra. Læs også brug radaren med omtanke.

6. Notifikationer

Notifikationer er slået fra, indtil du selv slår dem til. En notifikation siger kun, at noget venter på dig (en besked, et vink, et match, radaren er slukket), aldrig hvad eller fra hvem. Det ved relæet heller ikke.

• Slår du notifikationer til, gemmer relæet dit ID, din telefons notifikationsadresse, to nøgler fra din browser, hvornår du sidst fornyede den, og eventuelt et påmindelsestidspunkt. Intet andet. For at notifikationer bliver ved med at virke efter en genstart, kan det gemmes i en fil på serveren.
• Slår du notifikationer fra, eller fornyer din telefon dem ikke i 30 dage, slettes det.
• Notifikationen går via din telefons tjeneste: Apple, Google eller Mozilla. De ser kun, at der blev sendt en krypteret notifikation af fast størrelse, ikke hvad der står i den.
• På iPhone virker notifikationer kun, når Hoekedex ligger på hjemmeskærmen (iOS 16.4 eller nyere).

Retsgrundlag: dit samtykke.

Nyheder og specials. Slår du denne notifikation til (den er slået fra som standard), gemmer relæet ét flag ved dit push-abonnement, så det et par gange om året kan sige til, når en Højtids-special begynder. Slår du den fra, forsvinder flaget.

Højtids-specials. For at låse en special op beder appen relæet om datoen med en anmodning, der er signeret med dit Hoekedex-ID. Relæet sender et signeret bevis tilbage og gemmer ikke andet.

7. Det bestemmer du

• App-lås: sætter du en pinkode på appen, krypteres din boks (AES-GCM, med en nøgle afledt af din pinkode via PBKDF2 med 600.000 runder). Som standard låser appen igen efter 5 minutter i baggrunden.
• Face ID eller fingeraftryk: ud over pinkoden kan du åbne appen med Face ID, Touch ID eller dit fingeraftryk. Det virker med en adgangsnøgle (passkey) på din telefon; nøglerne bliver på din telefon, og intet går til os eller relæet. Bemærk: den, der kommer forbi din telefons sikring, også med koden, kan så også åbne appen.
• Backup: en .hoekedex-fil, krypteret med en separat backup-adgangskode. Du vælger selv, hvor den havner, for eksempel iCloud Drive, Google Drev eller Filer. De tjenester ser kun en krypteret fil. Mister du adgangskoden, kan ingen åbne backuppen længere, heller ikke os.
• Blokering: din telefon smider alt væk, som den person sender, og relæet sender intet videre, deler ikke længere din onlinestatus og viser jer ikke for hinanden på radaren.
• Slet alt: med „Slet alt“ i appen, ved at fjerne appen eller ved at rydde appens webstedsdata i din browser. Venner og gruppemedlemmer beholder det, du allerede har delt med dem, til de selv sletter det; dine egne Natkamera-billeder kan du først få fjernet overalt.

8. Spil, drinks og Ekstrem

Spillene har niveauer fra Uskyldig til Hot. Ekstrem er slået fra, indtil en voksen slår det til i Indstillinger, og alle, der spiller, bekræfter først. Drikkemodus og de valgte niveauer er indstillinger på din telefon; vi behandler intet om dem. Spilindhold, som spørgsmål og konsekvenser, er bygget ind i appen; Parpakken leveres som en krypteret pakke og åbnes på din telefon.

9. Køb

Betalte ekstra (temaer, Hoekedex Pro, Parpakken og Sommerpasset) kommer senere. Indtil da kan du ikke købe noget i Hoekedex, og dette afsnit gælder ikke endnu.

• App Store og Google Play: Apple og Google håndterer betalingen efter deres egne privatlivsvilkår. Appen får kun at vide, hvilket produkt der er købt, og gemmer det på din telefon. Vi får ingen data fra din Hoekedex og ingen betalingsoplysninger fra dem.
• Licenskoder: en kode kontrolleres på din telefon med en digital signatur. Appen melder intet tilbage. Når du køber en kode, behandles din e-mailadresse (til at sende koden) og dine betalingsoplysninger af betalingsudbyderen. Vi gemmer kun det, vi ifølge loven skal gemme til bogføringen.

10. Denne hjemmeside og downloads

Denne hjemmeside bruger ingen cookies, ingen analyse, ingen trackere og ingen skrifttyper eller scripts fra andre parter. Det eneste, den husker, i din egen browser, er, om du har lukket sprogtippet. Siden leveres via Cloudflare. Som enhver hostingudbyder behandler Cloudflare tekniske data som din IP-adresse for at levere siderne og app-downloaden og for at stoppe angreb. Vi slår ingen besøgsstatistik til dér.

11. Oplysninger om andre

På dine kort noterer du oplysninger om andre. Så længe de kun bor på din egen telefon, og du bruger dem til dig selv, er det personlig brug. GDPR gælder som regel ikke for det (undtagelsen for rent personlige aktiviteter). Vi modtager aldrig disse data.

Deler du oplysninger eller billeder af en anden, for eksempel med et skærmbillede eller i Natkameraet, er du ansvarlig for det. Gør det kun med samtykke. Læs også retningslinjerne.

12. Hvor længe ting gemmes

13. Dine rettigheder

Efter GDPR har du ret til indsigt, berigtigelse, sletning, begrænsning, indsigelse og dataportabilitet. Fordi vi ikke har konti og ingen database, ligger næsten alle dine data på din egen telefon. Dér kan du selv se, ændre og slette dem. Det, relæet kortvarigt holder i hukommelsen, kan vi ikke koble til dig.

Spørgsmål eller anmodninger sender du til info@hoekedex.net. Vi svarer inden for en måned. Er du uenig med os, kan du klage til databeskyttelsesmyndigheden i dit land; i Danmark er det Datatilsynet.

Hoekedex er kun for personer på 18 år og derover.

14. Sikkerhed

• Nøgler: ECDSA P-256 til signering og ECDH P-256 til nøgleaftale, lavet på din egen telefon.
• Beskeder, placeringer og billeder mellem telefoner: AES-256-GCM med en nøgle, som kun de to telefoner har (afledt med HKDF-SHA256).
• Grupper: hver hændelse signeres af den, der laver den, og hver telefon tjekker signaturen.
• Natkamera: hvert billede tjekkes mod fingeraftrykket (SHA-256) i fotografens signerede besked.
• Kontrolkode: sammenlign den 24-cifrede kode ansigt til ansigt for at være sikker på, at du taler med den rigtige.
• Forbindelsen til relæet er krypteret (TLS).

Intet system er vandtæt. Finder du et sikkerhedsproblem, så meld det gerne til info@hoekedex.net.

15. Ændringer og kontakt

Ændrer der sig noget i, hvordan Hoekedex håndterer data, opdaterer vi denne politik og sætter den nye dato øverst. Store ændringer viser vi også i appen.

Kontakt: info@hoekedex.net.