Integritetspolicy

Senast uppdaterad: 15 augusti 2026

Den här policyn beskriver hur Vurmify behandlar dina personuppgifter och vilka rättigheter du har. Vi samlar in så lite som möjligt, säljer aldrig dina uppgifter och använder inga annonsspårare.

1. Vem ansvarar för dina uppgifter

Vurmify drivs gemensamt av Jacob Melin och Jonathan Yttergård, båda privatpersoner. Vi är gemensamt personuppgiftsansvariga (art. 26 GDPR) för behandlingen som beskrivs här. Du kan vända dig till vem som helst av oss, via kontaktadressen nedan, för att utöva dina rättigheter (se avsnitt 7).

• Kontakt: kontakt@vurmify.com
• Postadress lämnas på begäran via kontaktadressen ovan.

2. Vilka uppgifter vi samlar in

2.1 Kontouppgifter

Du kan skapa konto på två sätt: med e-postadress och lösenord, eller genom att logga in med Google.

Med e-post och lösenord: vi lagrar din e-postadress och ditt lösenord. Lösenordet lagras aldrig i klartext - det hanteras och lagras hashat av vår autentiseringsleverantör (Supabase). Vi kan inte se ditt lösenord.

2.2 Om du loggar in med Google

Väljer du "Fortsätt med Google" skickas du till Google för att logga in. Ditt Google-lösenord lämnar aldrig Google och når aldrig oss. När du godkänt inloggningen får vi tillbaka en begränsad uppsättning uppgifter från ditt Google-konto:

• din e-postadress och om Google har verifierat den
• ditt namn och länk till din Google-profilbild
• ett tekniskt konto-ID hos Google, som knyter ihop din inloggning med rätt konto hos oss

Uppgifterna lagras hos vår autentiseringsleverantör (Supabase) som en del av ditt konto, så att du kan logga in igen. Vi publicerar aldrig ditt riktiga namn eller din Google-profilbild. Topplistan visar bara ett visningsnamn som du själv väljer, och tills du valt ett står det "Anonym". Din Google-profilbild visas aldrig i tjänsten; avatarer är ritade figurer från vår egen server.

Vi ber Google om inget mer än detta. Vi får ingen åtkomst till din Gmail, dina kontakter, din kalender eller några andra Google-tjänster. Du kan när som helst dra tillbaka kopplingen under ditt Google-konto → Appar med åtkomst till kontot. Det tar inte bort ditt Vurmify-konto; det gör du i appen (se avsnitt 7).

2.3 Profiluppgifter

• Visningsnamn (valfritt; visas för andra användare på topplistor bara om du slagit på "Visa mig på topplistor", se avsnitt 3)
• Avatar - vi sparar bara ett kort textfrö (t.ex. Felix), inte en bild

2.4 Studiedata

För att kunna spara dina framsteg lagrar vi:

• Vilka lektioner du klarat och med vilket resultat
• Vilka prov du klarat och med vilket resultat
• XP, nuvarande svit (streak), längsta svit, senast spelade dag
• Din XP-historik per dag (för diagram och veckoliga)
• Ditt repetitionsschema samt framsteg i dagliga uppdrag och veckoutmaningar

2.5 Användningsstatistik

Vi loggar enkla händelser för att förstå var i tjänsten användare fastnar, t.ex. att appen öppnats eller att en lektion påbörjats eller slutförts.

• Är du inloggad kopplas händelsen till ditt konto.
• Är du utloggad sparas händelsen utan någon identifierare alls. Vi ser att något hänt, men aldrig att två händelser kommer från samma besökare, och vi sparar ingenting på din enhet för statistikändamål.

Vi samlar inte in IP-adresser, enhets-ID:n eller platsdata i vår egen statistik, och vi använder inga annonsspårare eller spårningskakor.

2.6 Information som lagras lokalt i din webbläsare

Vi sätter inga egna kakor (cookies). I stället använder vi localStorage för att tjänsten ska fungera:

Vår webbleverantör Cloudflare kan sätta en nödvändig säkerhetskaka (t.ex. __cf_bm) för att skydda sajten mot missbruk och automatiserad trafik. Sådana strikt nödvändiga kakor krävs inte samtycke för och används inte för att spåra dig mellan webbplatser. Klickar du "Fortsätt med Google" sätter Google sina egna kakor på Googles domän, som en del av inloggningen du själv startade. Vi sätter inga kakor på vår sida och kan inte läsa Googles.

Du kan när som helst rensa localStorage via webbläsarens inställningar. Då loggas du ut och lokalt sparade framsteg försvinner (framsteg som hunnit synkas till ditt konto finns kvar).

2.7 Måste du lämna uppgifterna?

För att kunna ha ett konto måste vi kunna identifiera dig. Registrerar du dig med e-post krävs e-postadress och lösenord; loggar du in med Google krävs de uppgifter Google skickar oss (avsnitt 2.2). Utan dem kan vi inte tillhandahålla tjänsten. Visningsnamn och avatar är helt frivilliga. Studie- och användningsdata skapas automatiskt när du använder tjänsten.

3. Varför vi behandlar uppgifterna och med vilken rättslig grund

Om topplistorna och samtycket. Topplistorna och ligan är publika: det som visas där kan läsas av vem som helst, även av besökare som inte är inloggade. Därför visas du inte på dem om du inte själv har sagt ja. Inställningen "Visa mig på topplistor" finns i din profil och är avstängd som standard - den är inte förikryssad, och ett nytt konto hamnar aldrig på en lista av sig självt. Slår du på den delar du ditt visningsnamn, din avatar, din XP och din svit. Du kan när som helst dra tillbaka ditt samtycke genom att stänga av samma inställning; då försvinner du direkt från topplistorna och ligan. Att tacka nej påverkar ingenting annat i tjänsten - alla lektioner, prov och framsteg fungerar precis likadant.

Vi säljer aldrig dina uppgifter och använder dem inte för annonsering.

4. Vem vi delar uppgifter med

Vi anlitar följande leverantörer (personuppgiftsbiträden och tredje parter). De får bara de uppgifter som behövs för sin funktion:

Notera särskilt: kontrollen mot läckta lösenord är byggd så att ditt lösenord aldrig lämnar din webbläsare. Endast ett kort hash-prefix skickas, vilket matchar tusentals olika lösenord samtidigt (s.k. k-anonymitet). Typsnitten, programbiblioteken (t.ex. animations- och inloggningsbiblioteken) och avatarbilderna hämtas från vår egen server - vi använder inte Google Fonts eller en extern avatartjänst, och skickar därför ingen data till dem. Undantaget är Cloudflare Turnstile (CAPTCHA), vars skript laddas från Cloudflare på inloggnings- och registreringssidan; utöver det laddar vi ingen kod från externa CDN:er.

Om Google: vi skickar ingen data till Google när du bara besöker eller använder Vurmify. Kontakt med Google uppstår enbart om du själv klickar "Fortsätt med Google", och sker då genom att du skickas till Googles egen inloggningssida. Vi laddar inget Google-skript på våra sidor. Väljer du e-post och lösenord i stället får Google aldrig veta att du använder Vurmify.

5. Var uppgifterna lagras och överföringar utanför EU/EES

Din konto- och studiedata lagras hos Supabase på servrar inom EU (Irland).

Resend (utskick av transaktionsmejl) lagrar konto- och metadata samt loggar i USA, oavsett vald sändningsregion - även om själva mejlutskicket sker från EU/Irland. Det är en bekräftad överföring till tredjeland. Överföringen sker med stöd av EU-kommissionens standardavtalsklausuler (SCC).

Google (endast om du väljer Google-inloggning): din motpart är Google Ireland Limited inom EU, men Google behandlar även uppgifter i USA. Google är anslutet till EU-U.S. Data Privacy Framework, som EU-kommissionen har beslutat ger en adekvat skyddsnivå, och tillämpar dessutom standardavtalsklausuler. Hur Google behandlar ditt Google-konto styrs av Googles egen integritetspolicy, inte av den här.

Övriga leverantörer (Cloudflare, Have I Been Pwned) kan behandla data, som IP-adress eller e-postadress, utanför EU/EES. Sådana överföringar sker med stöd av EU-kommissionens standardavtalsklausuler eller motsvarande skyddsåtgärder.

6. Hur länge vi sparar uppgifterna

• Kontodata och studiedata: så länge ditt konto finns. Raderar du kontot tas allt bort omedelbart och permanent (se avsnitt 7).
• Användningsstatistik: enskilda händelser (rådata) raderas löpande, senast efter cirka 30 dagar. Endast anonymiserad, aggregerad statistik per dag - utan koppling till dig som person - sparas längre för att kunna följa trender över tid.

7. Dina rättigheter

Enligt GDPR har du rätt att:

• Få tillgång till de uppgifter vi har om dig
• Rätta felaktiga uppgifter (visningsnamn och avatar ändrar du själv i profilen)
• Radera dina uppgifter - du kan göra detta själv direkt i appen: Profil → Radera konto. Ditt konto och dina framsteg raderas omedelbart och permanent. Statistik som varit kopplad till kontot avidentifieras i samma stund; kvarvarande anonym rådata rensas sedan löpande (se avsnitt 6). Vi tar inga säkerhetskopior av databasen, så det finns ingen kopia där dina uppgifter kan ligga kvar efter raderingen. Skulle vi börja ta säkerhetskopior uppdaterar vi den här policyn och anger hur länge en raderad uppgift kan finnas kvar i dem. Har du loggat in med Google försvinner kopplingen till ditt Google-konto i samma stund; själva Google-kontot rör vi inte.
• Invända mot behandling som sker med stöd av berättigat intresse
• Dra tillbaka ett samtycke när som helst (art. 7.3). Det gäller topplistorna och ligan: stäng av "Visa mig på topplistor" i profilen så slutar vi visa dig där. Att dra tillbaka samtycket påverkar inte det som var lagligt innan du gjorde det.
• Få ut dina uppgifter i ett maskinläsbart format (dataportabilitet)
• Begränsa behandlingen i vissa fall

Kontakta oss på kontakt@vurmify.com för att utöva dina rättigheter.

Är du missnöjd med hur vi behandlar dina uppgifter har du rätt att klaga till Integritetsskyddsmyndigheten (IMY), imy.se.

7.1 Automatiserat beslutsfattande och profilering

Vi använder inget automatiserat beslutsfattande som har rättsliga följder för dig eller på liknande sätt i betydande grad påverkar dig (art. 22 GDPR). XP, sviter och topplistor beräknas maskinellt, men det är enkel poängräkning som inte påverkar dina rättigheter eller möjligheter, och vi profilerar dig inte.

8. Hur vi skyddar uppgifterna

• All trafik går över HTTPS och tvingas till HTTPS (HSTS)
• Databasen skyddas av åtkomstregler på radnivå (Row Level Security) - varje användare kan tekniskt bara nå sina egna rader
• Lösenord lagras hashade, aldrig i klartext, och kontrolleras mot krav på längd och komplexitet
• Loggar du in med Google lagrar vi inget lösenord alls för dig, och ditt Google-lösenord når oss aldrig
• CAPTCHA skyddar registrering, inloggning och lösenordsåterställning
• Poäng och framsteg tilldelas av servern, inte av webbläsaren, för att förhindra manipulation

Skulle det trots detta inträffa en personuppgiftsincident som medför risk för dina rättigheter och friheter, anmäler vi den till Integritetsskyddsmyndigheten (IMY) inom 72 timmar från att vi fått kännedom om den, och informerar dig direkt när lagen kräver det.

9. Ålder

Vurmify riktar sig inte till barn under 13 år (åldersgränsen för samtycke till databehandling i Sverige). Du måste bekräfta att du är minst 13 år innan kontot kan användas, oavsett om du registrerar dig med e-post eller loggar in med Google. Kravet kontrolleras på vår server: registrerar du dig med e-post skapas inget konto utan bekräftelsen, och loggar du in med Google går tjänsten inte att använda förrän du bekräftat i appen. Om du är vårdnadshavare och tror att ditt barn skapat ett konto, kontakta oss så tar vi bort det.

10. Ändringar i denna policy

Vi kan komma att uppdatera policyn. Vid väsentliga ändringar informerar vi i appen. Datumet högst upp visar när den senast ändrades. Om den som ansvarar för tjänsten ändras (t.ex. om driften övergår till ett bolag) uppdaterar vi uppgifterna i avsnitt 1.

11. Kontakt

Jacob Melin och Jonathan Yttergård
kontakt@vurmify.com