Personvernerklæring for Mëso Shqip

Versjon 1.0 · Utkast av 10. august 2026 · Gjelder app-versjon 3.15.0 og senere

⚠️ Dette er et utkast som må gjennomgås av en jurist før publisering. Det er skrevet av en ikke-jurist, forankret i hva koden faktisk gjør. Se docs/juridisk/00-LES-FORST.md for spørsmålene som gjenstår, og for avvikene mellom denne teksten og koden slik den står i dag.

---

Det korte svaret

Bruker du appen gratis, sender vi ingenting noe sted. Det finnes ingen konto, ingen innlogging og ingen server å sende til. Alt barnet gjør — hvert ord, hver medalje, hver rekke — ligger på enheten og blir der. Vi kan ikke se det, fordi vi aldri får det.

Det er ikke en tilfeldighet eller en midlertidig tilstand. Det er det viktigste designvalget i hele appen, og det ble tatt fordi appen brukes av barn på tre til tolv år. Barn under 13 (16 i Tyskland, 14 i Østerrike) kan ikke samtykke selv til noe som helst, og den enkleste måten å behandle et barns personopplysninger riktig på, er å ikke ha dem.

Kjøper du full versjon, oppretter du én konto — din, ikke barnets. Vi trenger din e-postadresse for å knytte kjøpet til deg og for å synkronisere fremgangen mellom familiens enheter. Barnet får fortsatt bare et kallenavn som dere velger selv. Vi spør aldri om barnets fulle navn, fødselsdato, alder, e-postadresse eller posisjon.

Resten av dette dokumentet er detaljene.

---

1. Hvem er behandlingsansvarlig

Skriv til oss om hva som helst i dette dokumentet. Vi svarer på norsk, tysk, engelsk og albansk, og vi svarer innen én virkedag på vanlige spørsmål og senest innen 30 dager på formelle forespørsler etter kapittel 3 i personvernforordningen.

---

2. Gratisversjonen: ingen personopplysninger forlater enheten

Uten kjøp gjør appen ingen nettverkskall til oss i det hele tatt. Ikke ved oppstart, ikke ved bruk, ikke i bakgrunnen.

Alt innhold — 999 ord, 186 setninger, 36 bokstaver, 1 216 lydklipp og 999 tegninger — ligger inne i appen fra første oppstart. Ingenting lastes ned. Appen er komplett i flymodus.

Dette lagres lokalt på enheten, i nettleserens localStorage og — i app-utgaven — speilet inn i operativsystemets egen nøkkellagring, slik at fremgangen overlever at systemet rydder plass:

Vi er ikke behandlingsansvarlige for disse dataene, fordi vi hverken har tilgang til dem eller bestemmer over dem. De er dine, på din enhet, på samme måte som et bilde du har tatt. Avinstallerer du appen, er de borte.

Den firesifrede PIN-koden forlater aldri enheten. Heller ikke når du kjøper full versjon. Se punkt 5.

---

3. Ved kjøp: én konto, og den tilhører deg

Kontoen dukker opp ett sted og én gang: når en voksen har løst regnestykket i foreldreporten og valgt å kjøpe. Det finnes ingen innloggingsknapp på startskjermen, ingen «registrer deg», og ingenting om konto eller pris noe sted i barnets grensesnitt.

Innlogging skjer med magisk lenke. Du oppgir e-postadressen din, får en lenke, trykker på den. Ingen passord. Ingen «Logg inn med Google», «Logg inn med Facebook» eller «Logg inn med Apple» — vi har ingen tredjepartsinnlogging i det hele tatt, og deler derfor ikke noe med noen identitetsleverandør.

3.1 Hva vi behandler, hvorfor, og med hvilket grunnlag

3.2 Ingen automatiske avgjørelser, ingen profilering i lovens forstand

Appen tilpasser seg barnet: ord som sitter dukker opp sjeldnere, ord som ikke sitter kommer oftere, og dagens mål flytter seg litt opp eller ned med hvor mye barnet orker. Hele det regnestykket kjøres på enheten, i engine/srs.js og engine/mastery.js, av tall som ligger i profilen. Vi bruker ingen sentral modell, ingen sammenligning mellom barn, og ingen opplysninger fra andre kilder. Det treffer ingen avgjørelse med rettsvirkning eller lignende vesentlig betydning for barnet, jf. artikkel 22.

---

4. Det vi aldri samler inn

Dette er ikke en høflighetsfrase. Hvert punkt er et felt som ikke finnes i databasen, og appen viser den samme lista til deg inne i foreldreområdet.

• Barnets PIN-kode. Se punkt 5.
• Fødselsdato eller alder. Ingen steder i skjemaet.
• Barnets fulle navn. Vi ber om et kallenavn, og sier det i klartekst når profilen opprettes. Feltet er fritekst og maks 14 tegn; vi kan ikke hindre at noen skriver noe annet, men vi ber ikke om det og trenger det ikke.
• Barnets e-postadresse. Barn har ingen konto her.
• Posisjon. Appen ber aldri om stedstjenester. Nettutgaven blokkerer det i tillegg med Permissions-Policy: geolocation=().
• Mikrofon, kamera, bilder eller kontakter. «Si det høyt»-modusen ber barnet snakke — men appen lytter ikke. Det finnes ingen opptaksfunksjon og ingen talegjenkjenning. Barnet sier ordet til rommet; appen hører ingenting.
• Reklame-id (IDFA/AAID) eller sporing på tvers av apper. Vi ber aldri om App Tracking Transparency-tillatelse, fordi vi ikke har noe å be om den til.
• Analyseverktøy fra tredjepart. Ingen Firebase Analytics, Google Analytics, Mixpanel, Amplitude, PostHog, Segment eller attribusjons-SDK. Ingen krasjrapportering fra tredjepart.
• Reklame. Ingen annonse-SDK, ingen annonser, aldri.
• Informasjonskapsler til sporing. Appen setter ingen. Nettutgavens Content-Security-Policy har connect-src 'self', som i praksis gjør det umulig for appen å ringe en tredjepart selv om noen skulle prøve.

---

5. PIN-koden lagres aldri hos oss — heller ikke hashet

Du kan gi en barneprofil en firesifret PIN. Den beskytter mot én ting: at en storesøster tar iPaden og tuller med lillesøsters profil. Trusselen er i rommet, og den løses av at enheten kjenner koden.

Vi lagrer den derfor ikke. Ikke i klartekst, og ikke som hash. Serveren vet bare at det finnes en PIN, slik at appen kan si fra på en ny enhet at det bør settes en der også.

Grunnen til at vi ikke bare hasher den: nøkkelrommet er 10 000. En hash gir en forsinkelse mot en angriper som allerede har databasen, ikke sikkerhet — og den må kjøres hver gang et barn taster feil og prøver igjen. Å lagre koden ville lagt til en angrepsflate på barnedata uten å forbedre det den finnes for. GDPR artikkel 5(1)(c) om dataminimering peker samme vei.

Det er håndhevet i fire lag, ikke ett: klienten utelater feltet når profilen deles opp, lagrefunksjonen på serveren fjerner det, en databasetrigger avviser enhver rad som inneholder pin, pinHash eller pin_hash — også fra vår egen administratorrolle — og importen fra det gamle systemet tar den ikke med. Automatiske tester sjekker at ordet ikke finnes i noen rad i databasen.

Prisen er ærlig: en ny iPad viser profilen ulåst til en voksen setter en PIN der. Det mener vi er riktig bytte.

---

6. Hvor dataene ligger, og hvem som behandler dem

Alle data lagres i EU — Frankfurt, Tyskland (eu-central-1). Regionen er låst ved opprettelsen av prosjektet og kan ikke endres uten å flytte alt manuelt. Appen viser området til deg i foreldreområdet, hentet fra serveren, så det ikke kan bli stående en tekst som ikke lenger stemmer.

Databehandlere — navngitt

Supabase sin til enhver tid gjeldende liste over sine egne underleverandører er en del av databehandleravtalen deres. supabase.com/legal/customer-resources/subprocessor-list — sist oppdatert av Supabase 1. juni 2026, kontrollert av oss 11. august 2026. Vi kontrollerer den ved hver publisering av denne erklæringen.

6.1 Apple og Google er selgeren, ikke vi

Kjøper du gjennom App Store eller Google Play, er det Apple eller Google som er selger (merchant of record). De tar imot betalingen, krever inn og betaler merverdiavgiften, og de eier kundeforholdet om betaling.

Vi får aldri kortnummeret ditt, kontonummeret ditt eller faktureringsadressen din. Vi får en kvittering med en transaksjons-id, et produktnavn og en utløpsdato.

Hvordan Apple og Google behandler dine opplysninger som selger, er deres eget ansvar og styres av deres egne personvernerklæringer.

6.2 Microsoft er ikke en databehandler for oss

Lydklippene i appen er laget på forhånd, med Microsoft Azure AI Speech, før appen ble lagt ut. Det som ble sendt til Microsoft var den albanske ordlista — ingen brukerdata, fordi det ikke fantes noen brukere ennå.

Appen inneholder ingen taletjeneste og gjør ingen kall til Microsoft under bruk. Klippene ligger som filer i appen.

Fortellerstemmen er syntetisk tale, ikke et menneske. Vi sier det fordi Microsofts vilkår krever at det opplyses — og fordi de uttrykkelig ber om at opplysningen gis til foreldre når produktet retter seg mot barn, slik at du kan ta et informert valg på barnets vegne. Stemmen er tydelig, vennlig og maskinlaget.

---

7. Overføring ut av EØS

Dataene lagres i EU. Men to av leverandørene våre er amerikanske selskaper, og personellet deres kan i støttetilfeller få tilgang til data som ligger i Frankfurt. Det regnes som en overføring.

Overføringen skjer på grunnlag av EUs standard personvernbestemmelser (SCC), modul to og tre, slik de er inntatt i Supabase sin databehandleravtale versjon 1 av 1. august 2026 Vi har i tillegg vurdert behovet for supplerende tiltak, og de tiltakene som er iverksatt står i docs/juridisk/07-informasjonssikkerhet.md.

Du kan be om en kopi av garantiene ved å skrive til oss.

---

8. Hvor lenge vi lagrer

GDPR artikkel 5(1)(e) og den amerikanske COPPA-forskriften slik den ble endret i 2025 krever begge konkrete frister. «Så lenge det er nødvendig» er ikke et svar. Her er tallene.

---

9. Hva som skjer når abonnementet løper ut

Ingenting av det barnet har oppnådd, forsvinner.

Det finnes ingen kobling i databasen fra rettigheten til fremgangen — det er et bevisst skille, ikke en tilfeldighet. Et abonnement som løper ut, lukker en dør; det stjeler ikke.

• Medaljer, XP, rekke, repetisjon og mestringsnivå står som de er.
• De kategoriene som er gratis, fungerer som før, i det uendelige.
• Kategoriene utenfor gratisnivået blir utilgjengelige. De vises ikke med hengelås i barnets grensesnitt — de er der bare ikke, fordi markedsføringsloven § 20 forbyr kjøpsoppfordringer rettet mot barn.
• Kontoen din blir stående, slik at et nytt kjøp gir tilgangen tilbake med én gang, og slik at synkroniseringen mellom enhetene fortsetter å virke.
• Etter 730 dager uten innlogging slettes kontoen automatisk, som beskrevet i punkt 8. Du kan slette den når som helst før det.

Appen har i tillegg et nådevindu på 14 dager for enheter som ikke får kontakt med oss — flymodus, fjellet, veien til Kosova uten dekning. Da tror appen på det siste svaret den fikk. Et nei fra serveren gjelder derimot med én gang.

---

10. Dine rettigheter, og hvordan du faktisk bruker dem

Du har rett til innsyn (art. 15), retting (16), sletting (17), begrensning (18), dataportabilitet (20) og til å protestere (21). Der vi bygger på berettiget interesse — punktene 6, 7, 8 og 10 i tabellen over — kan du protestere, og vi må da vise at våre grunner veier tyngre enn dine.

Du utøver rettighetene på vegne av barnet ditt for det som gjelder barnet.

Slik gjør du det i appen

1. Trykk For foreldre på startskjermen.
2. Løs regnestykket. (Porten finnes for at et barn ikke skal kunne gjøre dette. Den lages på nytt hver gang, og fasiten ligger aldri i skjermbildet.)
3. Trykk 🔐 Dine data. Skjermen viser to ting, og den skiller dem:

• Dette ligger på denne enheten — og det gjør det uansett om du har konto: hvert barns kallenavn og dyresymbol, hvor mange ord og setninger som er øvd, XP og medaljer, om barnet har en firesifret kode, innstillingene for enheten, og hvor mange kilobyte det fyller til sammen.
• Kontoen din, hvis du har en: e-postadressen din, når kontoen ble laget, hvert barns kallenavn og dyresymbol, når profilen sist ble endret, hvor mange byte fremgangen fyller, hvilket abonnement du har, hvilket område dataene ligger i, og serverens egen liste over det den ikke lagrer.

Knappene, med navnet de faktisk har på skjermen:

• ⬇️ Last ned dataene gir deg én fil med alt appen har lagret på enheten, og — hvis du har konto — serverens kopi ved siden av. Formatet er det samme appen selv bruker, så fila fungerer også som sikkerhetskopi. Barnas firesifrede koder er ikke med.
• 🗑️ Slett alt på denne enheten fjerner hver eneste ting appen har lagret her, og starter appen på nytt som en fersk installasjon. Har du ingen konto — og det har du ikke på gratisnivået — er dette den slettingen som gjelder deg, og den er fullstendig: det finnes ingen kopi noe annet sted.
• 🗑️ Slett kontoen og alt i den vises bare når du er logget inn. Da fjernes konto, alle barneprofiler, all fremgang, rettighet og kvitteringer i samme operasjon, på alle enheter. Innloggingen forsvinner innen 30 dager. Det kan ikke angres.

Begge slettingene krever at du skriver ordet SLETT i et felt. En knapp kan trykkes ved et uhell, og «er du sikker?» med to knapper er nettopp den dialogen folk klikker seg gjennom uten å lese.

Samme skjerm har personvernerklæringen som tekst i appen (📄 Personvernerklæringen) og barnets eget personvernvarsel (🧒 Til barnet: hva appen vet om deg). Begge virker uten nett.

⚠️ Merknad til utkastet, skal fjernes før publisering: skjermen er bygget (js/minedata.js), og begge tilstandene er i drift. Uten konto — som er gratisnivået — viser den hva som ligger på enheten og tilbyr eksport og lokal sletting, uten ett eneste nettverkskall. Med konto stiller den de samme spørsmålene til serveren gjennom js/sky.js: konto_innsyn, konto_eksport og konto_slett. Kontoslettingen er bevist mot det ekte prosjektet — se backend/README.md § 13.

Slik gjør du det på e-post

Skriv til personvern@mesoshqip.eu fra den e-postadressen kontoen står på. Vi svarer innen 30 dager. Er forespørselen komplisert, kan vi forlenge med to måneder og sier i så fall fra innen den første måneden. Kan vi ikke bekrefte at det er deg, må vi be om noe mer — vi ber aldri om legitimasjon fra et barn.

Er du misfornøyd med hvordan vi håndterte det, kan du klage:

Norge — Datatilsynet Postboks 458 Sentrum, 0105 Oslo postkasse@datatilsynet.no · +47 22 39 69 00 · datatilsynet.no

Storbritannia — Information Commissioner's Office (ICO) Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF +44 303 123 1113 · ico.org.uk

Bor du i et annet EØS-land, kan du klage til tilsynet der du bor. For Tyskland er det datatilsynet i din delstat; for Østerrike Datenschutzbehörde.

---

11. Sikkerhet

Kort utgave. Det fullstendige og skriftlige sikkerhetsprogrammet står i docs/juridisk/07-informasjonssikkerhet.md.

• Ingen applikasjonsserver mellom appen og databasen. Tilgangen styres av radsikkerhet i databasen: en innlogget forelder ser sin egen konto og ingenting annet. Reglene er skrevet én gang og testet av en testfil som er skrevet som en angriper — rått SQL, gjettede id-er, kall på andres barn, uinnlogget økt. 43 påstander, og alle er forsøk som skal mislykkes.
• Ingen kan skrive sin egen rettighet. Alt som gjelder betaling går gjennom serveren.
• Hastighetsgrenser per konto, også på lesing, slik at én konto ikke kan trekke ut data i det uendelige eller stenge ute en annen familie.
• Alt over HTTPS. Nettutgaven har en streng Content-Security-Policy som blokkerer tredjepartskall fullstendig.
• PIN-koder finnes ikke på serveren. Se punkt 5.
• Sikkerhetskopier ingen sikkerhetskopi på gjeldende plan.

Skjer det likevel et brudd som sannsynligvis medfører risiko for barnets rettigheter, melder vi det til Datatilsynet innen 72 timer, og til deg direkte dersom risikoen er høy.

---

12. Barn og samtykke

Appen er laget for barn fra rundt tre til tolv år, og selges til foreldre.

Aldersgrensen for at et barn selv kan samtykke til en digital tjeneste er 13 år i Norge, 16 i Tyskland, 14 i Østerrike og 16 i Sveits' naboland ellers. Hvert eneste barn som bruker appen, er under grensen i sitt eget land.

Vi bygger derfor slik at samtykke fra barnet aldri er nødvendig. Kontoen er forelderens, avtalen er med forelderen, og det eneste barnet bidrar med er et kallenavn familien har valgt og fremgang i en øvingsapp. Grunnlaget vårt er avtalen med forelderen, ikke samtykke fra barnet, jf. GDPR artikkel 8.

Vi har skrevet en egen personvernbeskjed til barnet, med korte setninger og bilder, som kan leses høyt. Den er ikke et sammendrag av dette dokumentet — den er skrevet for en annen leser. Den britiske barnekodeksen (Age Appropriate Design Code) krever nettopp det.

Og: det finnes ingenting i barnets grensesnitt som handler om penger. Ingen priser, ingen hengelåser med en pris bak, ingen «spør mamma». Innhold utenfor gratisnivået er ikke skjult — det er ikke der. Dette er strengere enn Apple krever, og det er fordi markedsføringsloven § 20 forbyr både kjøpsoppfordringer rettet mot barn og oppfordringer til å mase på en voksen.

---

13. Utskrift, papir og dagens oppdrag

Fremgangsrapporten, ordkortene, ordlista og diplomet lages i nettleseren på din egen enhet, av data som allerede ligger der. Ingenting sendes til en tjener, og vi bruker ingen PDF-tjeneste. Skriver du ut et diplom med barnets kallenavn på, er det din skriver som får det, ikke oss.

Dagens oppdrag — «si et ord til bestemor» — velges av enheten ut fra datoen og hvilke ord barnet har møtt. Ingen kontrollerer avhukingen, og den sendes ingen steder.

---

14. Endringer i denne erklæringen

Endrer vi noe som betyr noe, oppdaterer vi versjonsnummeret øverst og sier fra i appen neste gang du åpner foreldreområdet. Gjelder endringen noe som krever ditt samtykke, spør vi før den trer i kraft. Tidligere versjoner er tilgjengelige på forespørsel.

---

Vedlegg: rettighetene i appen, med de tekniske navnene

For den som vil kontrollere at dette stemmer, eller som skriver en databehandleravtale med oss:

Protokollen over behandlingsaktiviteter etter artikkel 30 står i docs/juridisk/06-ropa.md. Personvernkonsekvensvurderingen etter artikkel 35 står i docs/juridisk/03-dpia.md. Begge utleveres til Datatilsynet på forespørsel.