Personvernerklæring

1. Hvem vi er

Hoekedex lages og tilbys av skaperne av Hoekedex («vi»). Du når oss på info@hoekedex.net for spørsmål om personvern, for å melde misbruk og for alt annet.

Hoekedex er bygget annerledes enn de fleste apper. Det finnes ingen kontoer og ingen database. Alt du lager i appen, bor på din egen telefon. Vi får ikke se det, kan ikke endre det og kan heller ikke hente det tilbake for deg. Vi behandler bare noe i reléet (punkt 3 til 6), ved salg av lisenskoder (punkt 9) og på dette nettstedet (punkt 10).

2. Dette er på telefonen din

Ved første oppstart lager telefonen din selv to nøkkelpar. Ut fra dem følger ID-en din: en tilfeldig kode på 26 tegn som ikke forteller noen hvem du er. Alle dataene dine ligger i et hvelv på enheten din, i lagringen til appen eller nettleseren.

Kortene dine kan inneholde sensitive opplysninger, for eksempel om sexlivet ditt. Disse opplysningene forlater aldri telefonen din, bortsett fra i en sikkerhetskopi du lager selv, kryptert med et passord bare du kjenner.

3. Hva reléet ser og lagrer

Telefoner kan ikke alltid nå hverandre direkte. Derfor finnes det en liten server, reléet, som sender forseglede konvolutter mellom telefoner.

Dette behandler reléet

• ID-en din og de offentlige nøklene dine. Ved tilkobling beviser telefonen din med en signatur at ID-en tilhører deg.
• IP-adressen din, som ved enhver internettilkobling, også når en direkte tilkobling settes opp (STUN-forespørselen fra punkt 4).
• Når du er tilkoblet, og om appen er åpen.
• Hvilken ID du sender en konvolutt til, og hvor stor den er.
• Innholdet i konvolutten, men det er ende-til-ende-kryptert. Reléet kan ikke åpne det.

Dette lagrer reléet

• I prinsippet ingenting på disk. Alt ligger i arbeidsminnet og er borte så snart reléet starter på nytt. Det eneste unntaket er varsler (punkt 6).
• Postkasse: er mottakeren frakoblet, og kan en melding vente (en tekstmelding, en venneforespørsel, en gruppeoppdatering), blir den krypterte konvolutten i minnet i høyst 24 timer, høyst 300 meldinger og 4 MB per mottaker. Når den er levert, slettes den med en gang. For en delt posisjon beholder postkassen bare den nyeste.
• Påloggingsstatus: reléet forteller bare noen om du er pålogget hvis dere har lagt til hverandre, og bare hvis ingen av dere har blokkert den andre.
• Logger: bare antall, som hvor mange tilkoblinger som er åpne. Aldri ID-er, IP-adresser eller innhold.

Vi bruker disse dataene bare til å levere meldinger og til å beskytte reléet mot overbelastning. Rettslig grunnlag: vår berettigede interesse og avtalen vår med deg om at appen skal fungere.

4. Chat, grupper, spillrom og Nattkameraet

Chat og snaps

Chatmeldinger og snaps går om mulig via en direkte tilkobling mellom telefonene deres (WebRTC), ende-til-ende-kryptert. Det dere begge har sett, forsvinner når du lukker chatten. En snap kan vises én gang.

• For å sette opp en direkte tilkobling spør telefonen din vårt eget relé hvilken offentlig adresse den har (en STUN-forespørsel). Ingen annen part er involvert, og ingenting annet enn den krypterte tilkoblingen med vennen din forlater telefonen.
• Ved en direkte tilkobling ser telefonene deres hverandres IP-adresse. Slik funker peer-to-peer. Chat derfor bare med folk du stoler på.

Grupper

En gruppe bor på medlemmenes egne telefoner: gruppechatten, utfordringene og topplisten. Hver endring signeres av den som gjør den, og går kryptert til alle andre medlemmer, via reléet. Medlemmer som ikke er vennene dine, får også navnet ditt, fargen din og det du gjør i den gruppen.

Spillrom

Et spillrom er et midlertidig rom for et spill. Det finnes bare i minnet på telefonen til den som lager det; ingenting lagres. Medspillere ser bare hverandre som navn og farge. Hemmelig informasjon i et spill, som et ord eller en rolle, går bare til spilleren den er ment for. En egen quiz blir på telefonen til den som laget den. Rommet stenges når den som laget det avslutter, er borte i mer enn 2 minutter eller etter 3 timer.

Nattkamera

Med Nattkameraet tar gruppemedlemmer bilder i løpet av én kveld. De blir på telefonen til den som tar dem, og deles først etter fremkalling, direkte mellom gruppens telefoner, ende-til-ende-kryptert. Funker ikke en direkte tilkobling, sender reléet de krypterte delene videre live, uten å lagre dem eller legge dem i postkassen. Bildene inneholder ingen posisjon eller andre metadata og er ikke med i sikkerhetskopier. Du kan få dine egne bilder slettet for alle.

Merk: skjermbilder kan vi ikke stoppe. Send og del bare det du gjerne viser, og spør før du tar bilde av noen.

5. Radar og Venneradar

Alle i nærheten

Denne radaren er av til du selv slår den på, alltid med en timer fra 15 minutter til 2 timer. Etterpå slår den seg av automatisk.

• Telefonen din gjør posisjonen din om til en rute: Like ved (ca. 50 meter) eller Nabolaget (ca. 1 km). Bare den ruten går til reléet, og bare mens appen er åpen. Den nøyaktige posisjonen din forlater aldri telefonen.
• Lukker du appen, forblir du synlig i den siste ruten til timeren går ut. Du spores aldri i bakgrunnen.
• Andre i nærheten ser navnet ditt, trenernivået, fargen og sjeldenheten til det sjeldneste kortet ditt, med en midlertidig, tilfeldig kode. Den ekte ID-en din forblir skjult til dere begge vinker; da utveksler reléet ID-ene og de offentlige nøklene deres, slik at dere blir venner.
• Er det færre enn tre andre i nærheten, ser ingen noen. Folk du har blokkert, ser ikke deg, og du ser ikke dem.
• Reléet glemmer deg så snart timeren går ut eller du slår av radaren.

Venneradar

Med Venneradaren deler du posisjonen din med venner eller en gruppe du velger.

• Per person velger du Nøyaktig (ca. 10 meter) eller Omtrent (ca. 1 km), og hvor lenge: fra en time til to uker, til en dato, til gruppen slutter eller «alltid» med en ukentlig påminnelse.
• Å starte, legge til noen, velge Nøyaktig og dele lenge krever PIN-koden din, Face ID eller fingeravtrykket ditt.
• Posisjonen din sendes bare mens appen er åpen, ende-til-ende-kryptert per person. Reléet kan ikke lese den og beholder høyst den nyeste som ennå ikke er levert. Ingen lagrer en historikk.
• Under «Hvem ser meg?» ser du alltid hvem du deler med. «Skjul meg nå» stopper alt med ett trykk; de andre ser da bare at du har sluttet å dele.
• Innstillingene bor bare på telefonen din og er ikke med i en sikkerhetskopi, så delingen starter aldri igjen av seg selv.

Rettslig grunnlag for begge radarene: samtykket ditt, som du gir ved å slå dem på og trekker tilbake ved å slå dem av. Les også bruk radaren med omtanke.

6. Varsler

Varsler er av til du selv slår dem på. Et varsel sier bare at noe venter på deg (en melding, et vink, en match, radaren er av), aldri hva eller fra hvem. Det vet ikke reléet heller.

• Slår du på varsler, lagrer reléet ID-en din, telefonens varseladresse, to nøkler fra nettleseren din, når du sist fornyet den, og eventuelt et påminnelsestidspunkt. Ingenting annet. For at varsler skal fortsette å virke etter en omstart, kan dette lagres i en fil på serveren.
• Slår du av varsler, eller fornyer ikke telefonen din dem på 30 dager, slettes dette.
• Varselet går via telefonens tjeneste: Apple, Google eller Mozilla. De ser bare at et kryptert varsel av fast størrelse ble sendt, ikke hva det inneholder.
• På iPhone funker varsler bare når Hoekedex ligger på Hjem-skjermen (iOS 16.4 eller nyere).

Rettslig grunnlag: samtykket ditt.

Nyheter og spesialer. Slår du på dette varselet (det er av som standard), lagrer reléet ett flagg ved push-abonnementet ditt, slik at det noen ganger i året kan si fra når en Høytidsspesial begynner. Slår du det av, forsvinner flagget.

Høytidsspesialer. For å låse opp en spesial ber appen reléet om datoen, med en forespørsel signert med Hoekedex-ID-en din. Reléet sender tilbake et signert bevis og lagrer ikke noe annet.

7. Dette bestemmer du

• Applås: setter du en PIN-kode på appen, krypteres hvelvet ditt (AES-GCM, med en nøkkel utledet fra PIN-koden via PBKDF2 med 600 000 runder). Som standard låses appen igjen etter 5 minutter i bakgrunnen.
• Face ID eller fingeravtrykk: i tillegg til PIN-koden kan du åpne appen med Face ID, Touch ID eller fingeravtrykket ditt. Det funker med en tilgangsnøkkel (passkey) på telefonen din; nøklene blir på telefonen, og ingenting går til oss eller reléet. Merk: den som kommer forbi telefonens sikring, også med koden, kan da også åpne appen.
• Sikkerhetskopi: en .hoekedex-fil, kryptert med et eget passord for sikkerhetskopien. Du velger selv hvor den havner, for eksempel iCloud Drive, Google Disk eller Filer. Disse tjenestene ser bare en kryptert fil. Mister du passordet, kan ingen åpne sikkerhetskopien lenger, heller ikke vi.
• Blokkering: telefonen din kaster alt den personen sender, og reléet sender ingenting videre, deler ikke lenger påloggingsstatusen din og viser dere ikke for hverandre på radaren.
• Slett alt: med «Slett alt» i appen, ved å fjerne appen eller ved å slette appens nettstedsdata i nettleseren. Venner og gruppemedlemmer beholder det du allerede har delt med dem, til de sletter det selv; dine egne Nattkamera-bilder kan du først få fjernet overalt.

8. Spill, drikke og Ekstrem

Spillene har nivåer fra Uskyldig til Het. Ekstrem er av til en voksen slår det på i Innstillinger, og alle som spiller, bekrefter først. Drikkemodus og de valgte nivåene er innstillinger på telefonen din; vi behandler ingenting om dem. Spillinnhold, som spørsmål og konsekvenser, er bygget inn i appen; Parpakken leveres som en kryptert pakke og åpnes på telefonen din.

9. Kjøp

Betalte ekstra (temaer, Hoekedex Pro, Parpakken og Sommerpasset) kommer senere. Til da kan du ikke kjøpe noe i Hoekedex, og dette punktet gjelder ikke ennå.

• App Store og Google Play: Apple og Google håndterer betalingen etter sine egne personvernvilkår. Appen får bare vite hvilket produkt som er kjøpt, og lagrer det på telefonen din. Vi får ingen data fra din Hoekedex og ingen betalingsopplysninger fra dem.
• Lisenskoder: en kode sjekkes på telefonen din med en digital signatur. Appen rapporterer ingenting tilbake. Når du kjøper en kode, behandles e-postadressen din (for å sende koden) og betalingsopplysningene dine av betalingsleverandøren. Vi lagrer bare det vi etter loven må lagre for regnskapet.

10. Dette nettstedet og nedlastingene

Dette nettstedet bruker ingen informasjonskapsler, ingen analyse, ingen sporere og ingen skrifttyper eller skript fra andre parter. Det eneste det husker, i din egen nettleser, er om du har lukket språktipset. Nettstedet leveres via Cloudflare. Som enhver hostingleverandør behandler Cloudflare tekniske data som IP-adressen din for å levere sidene og nedlastingen av appen og for å stoppe angrep. Vi slår ikke på noen besøksstatistikk der.

11. Opplysninger om andre

På kortene dine noterer du opplysninger om andre. Så lenge de bare bor på din egen telefon og du bruker dem for deg selv, er det personlig bruk. Personvernforordningen (GDPR) gjelder som regel ikke for det (unntaket for rent personlige formål). Vi mottar aldri disse dataene.

Deler du opplysninger eller bilder av noen andre, for eksempel med et skjermbilde eller i Nattkameraet, er du ansvarlig for det. Gjør det bare med samtykke. Les også retningslinjene.

12. Hvor lenge ting lagres

13. Rettighetene dine

Etter GDPR har du rett til innsyn, retting, sletting, begrensning, protest og dataportabilitet. Fordi vi ikke har kontoer og ingen database, ligger nesten alle dataene dine på din egen telefon. Der kan du selv se, endre og slette dem. Det reléet holder i minnet en kort stund, kan vi ikke knytte til deg.

Spørsmål eller forespørsler sender du til info@hoekedex.net. Vi svarer innen en måned. Er du uenig med oss, kan du klage til datatilsynsmyndigheten i landet ditt; i Norge er det Datatilsynet.

Hoekedex er bare for personer som er 18 år eller eldre.

14. Sikkerhet

• Nøkler: ECDSA P-256 for signering og ECDH P-256 for nøkkelavtale, laget på din egen telefon.
• Meldinger, posisjoner og bilder mellom telefoner: AES-256-GCM med en nøkkel bare de to telefonene har (utledet med HKDF-SHA256).
• Grupper: hver hendelse signeres av den som lager den, og hver telefon sjekker signaturen.
• Nattkamera: hvert bilde sjekkes mot fingeravtrykket (SHA-256) i fotografens signerte melding.
• Kontrollkode: sammenlign den 24-sifrede koden ansikt til ansikt for å være sikker på at du snakker med rett person.
• Tilkoblingen til reléet er kryptert (TLS).

Ingen systemer er vanntette. Finner du et sikkerhetsproblem, meld det gjerne til info@hoekedex.net.

15. Endringer og kontakt

Endres noe i hvordan Hoekedex behandler data, oppdaterer vi denne erklæringen og setter den nye datoen øverst. Store endringer viser vi også i appen.

Kontakt: info@hoekedex.net.