Vi ser inte samtalen. Ingen ser dem.

Alva (org.nr under registrering), Stockholm. Kontakt: hej@hejalva.se.

Alva går ännu inte att installera. Det enda vi samlar in idag är det du själv fyller i på startsidan: din e-postadress, vem du vill skydda, om personen råkat ut för ett bedrägeriförsök det senaste året, och om du kan tänka dig ett kort samtal.

• Rättslig grund: ditt samtycke (GDPR art 6.1 a). Du kryssar i det aktivt, och du kan ta tillbaka det när som helst.
• Ändamål: att höra av oss om lanseringen, och att förstå vilka behov som är vanligast. Inget annat.
• Mottagare: anmälan skickas som en notis till grundarens telefon via Telegram. Ingen annan får den.
• Lagringstid: tills du ber oss radera den, eller senast tolv månader efter lansering.
• Radering: svara på vilket mejl som helst från oss, eller mejla hej@hejalva.se. Vi raderar inom 30 dagar.

Adressen säljs aldrig vidare och används inte för annan marknadsföring.

Alva delar datan i tre klasser efter känslighet:

• K1, Guld (lämnar aldrig telefonen). Rå-ljud från samtal, mail-body, kontaktlista, BankID-kontext. Detta transkriberas och klassificeras enbart på förälderns telefon. Alva-servern ser aldrig innehållet.
• K2, Metadata (backend, 90 dagars retention). Klassificerings-verdict (scam/uncertain/clean), score, motivering, telefon-nummer (hashat), avsändar-domän, timing, provider-metadata. Sparas för audit och för att vi ska kunna svara på "varför flaggade Alva detta?"
• K3, Aggregat (långsiktig). Crowd-sourced scam-nummer-databas, anonymiserad scam-mönster-korpus. Ingen personuppgift.

Behandling baseras på ditt (och din förälders) samtycke enligt art 6.1 (a) GDPR. Röstdata behandlas som biometri enligt art 9. Därför att den aldrig lämnar telefonen är vi utanför den strängare hanteringen.

Du har rätt att:

• Få ut all data om dig (art 20). Knapp finns i dashboarden.
• Bli glömd (art 17). Knapp finns i dashboarden.
• Rätta felaktig data (art 16).
• Återkalla samtycke när som helst.
• Lämna klagomål till Integritetsskyddsmyndigheten (IMY).

• K1 (rå-innehåll): lagras aldrig på servern.
• K2 (metadata + audit): 90 dagar rullande, sen automatisk radering.
• K3 (anonymiserat aggregat): långsiktigt.
• Vid uppsägning: all data raderas inom 30 dagar. Backups roteras ut inom 90 dagar.

All data lagras hos leverantörer inom EU (Fly.io Frankfurt eller Supabase EU-region). LLM-anrop går till leverantörer inom EU/EES när möjligt, annars USA under Data Privacy Framework.

Endast underleverantörer som är nödvändiga för att leverera tjänsten. Samtliga som behandlar användardata i tjänsten har ett Data Processing Agreement (DPA) med oss. Undantaget är Telegram, se noteringen nedan.

• Supabase (Auth, EU-Stockholm). Hanterar magic-link-inloggningen. Ser din email + IP vid login.
• Cloudflare (EU-edge). CDN, DDoS-skydd, DNS för hejalva.se. Ser IP + request-metadata.
• Loopia (SE). Registrar för hejalva.se. Endast domän-administration, ingen behandling av användardata.
• Telegram (Dubai). Tar emot notisen när någon fyller i intresseformuläret: e-postadress plus tre svarsfält. Används inte för någon data från appen, och ersätts av en EU-lagrad tabell inför lansering. Telegram erbjuder ingen standard-DPA; vi använder dem ändå i detta smala fall eftersom en push inte kan sluta fungera i tysthet, och tar bort dem så snart backend har ett permanent hem.
• Fly.io (hosting, EU, kommer inför alfa)
• Groq / Google (LLM-inferens, endast metadata, kommer)
• 46elks (SMS-notiser till barnet, kommer)
• Stripe (betalning, kommer)
• Resend (transaktions-mail, kommer)

Full lista med data-kategori och region finns i vår publika sub-processor-tabell (uppdateras när nya leverantörer läggs till). Vi säljer aldrig data till tredje part. Punkt.

Alva-dashboarden använder endast tekniskt nödvändiga cookies för inloggning (Supabase auth-session, HttpOnly + SameSite=Lax). Inga analys- eller marknadsförings-cookies.

Frågor om integritet? Mejla hej@hejalva.se. Vi svarar inom 5 arbetsdagar.