Integritetspolicy

Senast uppdaterad: 7 november 2026

Den här policyn har två delar: en för appen Hanzi By Heart och en för webbplatsen och väntelistan.

App

Den här integritetspolicyn gäller iPhone-appen Hanzi By Heart.

Personuppgiftsansvarig

Konstantin Moritz van Megen, Pionierstraße 12, 40215 Düsseldorf, Tyskland. E-post: support@hanzibyheart.com.

Ålder

Hanzi By Heart är avsett för personer från 16 år. Vi samlar inte medvetet in data från barn under 16 år. Den frivilliga användningsanalysen kan du bara tillåta om du är 16 år eller äldre. Om en förälder eller vårdnadshavare kontaktar oss raderar vi data om ett barn under 16 år på begäran.

På din enhet

Appen sparar inställningar och inlärningsframsteg, bland annat kortstatus, repetitionshistorik och väntande synkåtgärder. Som gäst stannar inlärningsdata på din enhet så länge du inte skapar ett konto eller loggar in. Du kan använda de viktigaste inlärningsfunktionerna som gäst. Den här lagringen på din enhet är absolut nödvändig för att appen ska fungera (§ 25 Abs. 2 Nr. 2 TDDDG); den kräver inget samtycke.

Konto- och synkdata

Om du använder ett konto behandlar Supabase din e-postadress, Apple-inloggningsreferens eller ditt Google-konto-ID, ett internt användar-ID, autentiseringsuppgifter, inställningar, kortstatus, repetitionshistorik, synkversioner och tidsstämplar. Detta behövs för att autentisera dig, återställa ditt konto och synkronisera inlärningsframsteg mellan enheter. Supabase och Resend behandlar också din e-postadress och tekniska leveransdata för att skicka bekräftelse- och återställningsmeddelanden från no-reply@auth.hanzibyheart.com. Om du väljer att logga in med Google bekräftar Google (Google Ireland Limited för användare i EES och Schweiz, annars Google LLC, USA) din identitet och skickar oss din e-postadress och ett ID för ditt Google-konto; lösenord, namn och profilbild får vi inte. Google behandlar inloggningen som självständigt personuppgiftsansvarig enligt sin egen integritetspolicy och får därmed veta att du använder Hanzi By Heart. Du kan när som helst ta bort kopplingen i ditt Google-konto.

Köp och abonnemang

När appen startar och varje gång du öppnar den igen kontrollerar den via RevenueCat om din enhet eller ditt konto har åtkomst, även som gäst och före ett köp. Utan den här kontrollen kan appen inte avgöra om den ska visa inlärningsinnehållet eller köpskärmen (§ 25 Abs. 2 Nr. 2 TDDDG). Apple behandlar betalnings- och faktureringsuppgifter. Vi tar inte emot dina fullständiga kortuppgifter. RevenueCat behandlar ett pseudonymt appanvändar-ID, produkt-, behörighets-, transaktions- och kvittouppgifter samt statusuppgifter och begränsad app- och enhetsdiagnostik, så att appen kan erbjuda, verifiera och återställa köp och mäta köpresultat. Det integrerade köp-SDK:t skickar också Apples leverantörsspecifika enhetsidentifierare (IDFV) i tekniska förfrågningar; detta är ingen reklamidentifierare. RevenueCat tilldelar först ett slumpmässigt, pseudonymt appanvändar-ID. När du loggar in kopplar appen ditt interna konto-ID till den RevenueCat-kunden så att behörigheter kan följa ditt konto. RevenueCat lagrar dessa uppgifter i USA.

Support och ordrapporter

När du kontaktar supporten behandlar vi uppgifterna du skickar och din e-postadress. När du medvetet skickar en ordrapport lagrar Supabase dess kategori, ordkontext, valfri kommentar och exempelmening samt appversion, iOS-version och appspråk. Rapporter från inloggade konton använder ditt interna användar-ID; rapporter från gäster sparar en svarsadress endast om du anger en och tillåter kontakt. Ett supportmejl från appen innehåller även app- och iOS-version. En dataförfrågan från Inställningar innehåller dessutom dina pseudonyma analys- och köp-ID:n och, om du är inloggad, din kontoe-postadress; du ser och kan redigera allt innan du skickar. Skriv inte känsliga personuppgifter i fritextfält.

Frivillig användningsanalys

Endast efter ditt samtycke behandlar PostHog ett slumpmässigt installations-ID som inte är kopplat till ditt konto; händelser för installation, uppdatering, appstart och bakgrund; steg i introduktionen och demofasen; visade avsnitt; studieläge, betyg, tidigare inlärningsfas, ångra-åtgärder och sammanställda sessionsantal; källa till betalväggen, visad version av betalväggen och vald plankategori; resultat av köp och återställning samt köpmiljö; och app- och byggversion, iOS-version, enhetsmodell och enhetsklass samt appspråk. E-post-, konto-, Supabase-, RevenueCat-, transaktions- eller kvitto-ID:n, exakta priser, specifika ord, Hanzi/Pinyin, sökningar, inskrivna svar och annat fritt innehåll är uteslutna. Dessutom ingår status som gäst eller konto utan kontots identitet, enhetens regionala inställningar, sessions-ID, aktiva HSK-nivåer och studielägen, om ett provdatum är inställt, intervall för målet för nya ord, intervall för söklängd och antal träffar samt användning av att studera i förväg. Dessa händelser är pseudonyma, inte anonyma.

Biträden och överföringar till tredjeland

Konto-, synk- och rapportdata finns hos Supabase (Supabase, Inc., USA) i Frankfurt, Tyskland; åtkomst från den amerikanska leverantören är möjlig. Inloggningsmejl skickas av Resend (Plus Five Five, Inc., USA); Resend lagrar meddelandeinnehåll och leveransloggar i USA. Köpdata behandlas av RevenueCat, Inc. i USA. Frivilliga analysdata finns hos PostHog (PostHog, Inc., USA) på servrar i EU; åtkomst från USA är möjlig. Vi har personuppgiftsbiträdesavtal med var och en av dem. Överföringar till USA stöds av EU:s standardavtalsklausuler (artikel 46.2 c i GDPR) och, där leverantören är certifierad, dessutom av EU-U.S. Data Privacy Framework (artikel 45 i GDPR). Du kan begära en kopia av dessa skyddsåtgärder på support@hanzibyheart.com. Apple behandlar App Store-, Apple-konto- och TestFlight-data som egen personuppgiftsansvarig enligt sin egen integritetspolicy.

Användare utanför EU

Vi behandlar dina uppgifter inom EU och hos de leverantörer som anges under Biträden och överföringar till tredjeland. Vissa länder kräver ytterligare information:

Republiken Korea: vi överför de uppgifter som beskrivs i denna policy utomlands (konto-, synkroniserings-, köp- och supportuppgifter samt, med ditt samtycke, analysuppgifter). Uppgifterna överförs via krypterade anslutningar varje gång du använder den aktuella funktionen, till Supabase (servrar i Tyskland, leverantör från USA), Resend (USA), RevenueCat (USA) och, med ditt samtycke, PostHog (servrar i EU, leverantör från USA), i samtliga fall för det ändamål och under den lagringstid som anges ovan. Du kan avstå från överföringen genom att inte skapa ett konto och inte tillåta analys; du kan fortfarande studera på din enhet.

Thailand: överföringar utanför Thailand grundas på de skyddsåtgärder som beskrivs ovan och, för analys, på ditt samtycke.

Vietnam: vi behandlar personuppgifter om användare i Vietnam i enlighet med lag nr 91/2025/QH15 och lämnar in den konsekvensbedömning för gränsöverskridande överföringar som krävs till ministeriet för allmän säkerhet.

Singapore: vårt dataskyddsombud är Konstantin Moritz van Megen, support@hanzibyheart.com.

Nya Zeeland: vissa uppgifter får vi från andra, nämligen från Apple om köp, återbetalningar och TestFlight samt när du loggar in med Apple, och från Google när du loggar in med Google. Denna policy beskriver vilka uppgifter vi får, varför vi använder dem och vilka rättigheter du har; detta är vårt meddelande enligt Information Privacy Principle 3A.

Japan: vi behandlar personuppgifter om användare i Japan enligt Act on the Protection of Personal Information (APPI). Leverantörerna som nämns ovan har sitt säte i USA; Supabase lagrar dina uppgifter i Tyskland och PostHog i EU. Japan erkänner att EU erbjuder en likvärdig skyddsnivå. USA har ingen allmän federal dataskyddslag; skyddet kommer från federala lagar för särskilda sektorer och från delstatslagar. Våra avtal med dessa leverantörer (personuppgiftsbiträdesavtal och EU:s standardavtalsklausuler) förpliktar dem att skydda dina uppgifter på en nivå som uppfyller APPI; vi kontrollerar detta regelbundet och informerar dig om dessa åtgärder på begäran. För utlämnande, rättelse, avbrytande av användning eller radering och för klagomål: support@hanzibyheart.com.

Betatest med TestFlight

Om du testar appen via TestFlight ger Apple oss information enligt sina villkor, till exempel kraschrapporter, användningsinformation som sessions- och kraschantal, installerad version, installationsdatum och din återkoppling. Om vi bjöd in dig via e-post ser vi också ditt namn och din e-postadress. Vi använder dessa data bara för att åtgärda fel och förbättra appen och delar dem inte vidare (artikel 6.1 b och f i GDPR). Köp i testversionen körs i Apples sandbox och kostar inga riktiga pengar.

Ändamål och rättslig grund

Konto, synk, support som du begär och köpfunktioner behandlas för att fullgöra appavtalet eller vidta åtgärder på din begäran (artikel 6.1 b i GDPR). Tjänstesäkerhet, missbruksskydd, felsökning och en proportionerlig mätning av köpresultat grundar sig på våra berättigade intressen av en säker, tillförlitlig och ekonomiskt hållbar app (artikel 6.1 f i GDPR). Frivillig analys och den åtkomst till information på din enhet som krävs för det grundar sig på ditt samtycke (artikel 6.1 a i GDPR och § 25 Abs. 1 TDDDG). Lagstadgade bevarandekrav grundar sig på artikel 6.1 c i GDPR. Vi använder inte automatiserat beslutsfattande, inbegripet profilering, i den mening som avses i artikel 22 i GDPR.

Samtycke och återkallelse

Analysen är frivillig och endast möjlig om du är 16 år eller äldre. Appen erbjuder valet under introduktionen eller senare under Inställningar > Integritet. PostHog-SDK:t startar inte förrän du samtycker. Du kan avböja utan att förlora funktioner och ändra ditt val när som helst. En återkallelse stoppar framtida insamling direkt och kastar händelser som ännu inte har skickats; behandlingen fram till dess är fortfarande laglig. Redan överförda händelser raderar vi på begäran utan onödigt dröjsmål och senast inom en månad. Det snabbaste sättet är Inställningar > Mer om integritet > Skicka dataförfrågan: då innehåller e-postmeddelandet redan ditt pseudonyma analys-ID. Om du stänger av och sätter på analysen igen får du ett nytt ID; vi kan bara matcha ID:n som du skickar till oss. Om riktad radering inte är tekniskt möjlig raderar vi alla analysdata från testfasen.

Ingen reklam och ingen spårning mellan appar

Vi använder varken Apples reklam-ID (IDFA), reklam, datahandlare eller spårning i andra företags appar och på deras webbplatser. PostHogs autocapture, registrering av godtyckliga tryck, personprofiler, sessionsåteruppspelning och automatiska felrapporter är avstängda. Skärmstorlek, nätverkstyp, tidszon och enhetsnamn tas bort före sändning; IP-baserad geolokalisering är avstängd.

Lagringstid

Konto- och synkdata sparas så länge ditt konto finns. Kontoknutna ordrapporter raderas med kontot; övrig supportkorrespondens och gästrapporter sparas bara så länge det behövs för att lösa och förebygga det rapporterade problemet eller för att uppfylla lagkrav. Köpdata som behövs för att tillhandahålla behörigheter sparas så länge det är nödvändigt för det ändamålet och enligt tillämpliga lagkrav. Vi behåller pseudonyma analysdata så länge vi behöver dem för att förstå användningsmönster, upptäcka hinder och fatta produktbeslut. Vi granskar detta regelbundet och raderar data som vi inte längre behöver; på begäran raderar vi dem tidigare (se Samtycke och återkallelse). Lokala data finns kvar tills du raderar dem eller appen, i enlighet med iOS. Leveransloggar för inloggningsmejl och leverantörernas säkerhetsloggar kan löpa ut senare inom begränsade raderingscykler eller enligt lagkrav.

Radering

Du kan radera ditt konto i Inställningar. Det tar bort Supabase-inloggningen och kontoknutna inlärnings- och rapportdata permanent och inleder återkallelse av en kopplad Apple-auktorisering. Lokala gästframsteg kan du radera med ”Radera alla framsteg”. Att radera ett konto avslutar inte ett Apple-abonnemang; hantera abonnemang i ditt Apple-konto. RevenueCats behörighetsregister och redan skickade analysdata omfattas inte automatiskt av Supabase-kontoraderingen. För separat radering, använd Inställningar > Mer om integritet > Skicka dataförfrågan; e-postmeddelandet innehåller då redan de pseudonyma ID:na för analys och köp. Vi sparar säkerhetskopior hos en molnlagringsleverantör i USA (på grundval av EU-U.S. Data Privacy Framework) och raderar dem efter 30 dagar. När du har raderat ditt konto kan dina data därför finnas kvar i dessa säkerhetskopior i upp till 30 dagar.

Tillhandahållande av uppgifter

Du är inte skyldig att lämna personuppgifter till oss. Ett konto är frivilligt; utan konto finns inlärningsfunktionerna och dina framsteg kvar på din enhet. Utan de uppgifter som krävs för inloggning (e-postadress, Apple-inloggningsreferens eller Google-konto-ID) kan du inte använda synkronisering eller återställa kontot. För köp krävs verifiering via Apple och RevenueCat; utan den kan vi inte låsa upp åtkomst. Användningsanalysen är frivillig; om du avböjer har det inga nackdelar.

Dina rättigheter

Under de lagliga förutsättningarna har du rätt till tillgång, rättelse, radering, begränsning och dataportabilitet. Du kan när som helst återkalla ett samtycke med verkan för framtiden; behandling som utförts före återkallelsen är fortfarande laglig. Du kan också klaga hos en tillsynsmyndighet för dataskydd.

Rätt att invända

Du kan när som helst invända, av skäl som rör din särskilda situation, mot behandling som grundar sig på våra berättigade intressen (artikel 6.1 f i GDPR; i appen: tjänstesäkerhet, missbruksskydd, felsökning och mätning av köpresultat). Vi behandlar då inte längre dina uppgifter för dessa ändamål, om vi inte kan visa tvingande skyddsvärda skäl som väger tyngre än dina intressen, eller om behandlingen behövs för att fastställa, utöva eller försvara rättsliga anspråk. Skriv till support@hanzibyheart.com.

Tillsynsmyndighet

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Tyskland, www.ldi.nrw.de.

Kontakt

Mejla oss vid integritetsfrågor eller förfrågningar. Vi kan behöva tillräcklig information för att kontrollera att en förfrågan gäller dig.

Webbplats och väntelista

Personuppgiftsansvarig

Konstantin Moritz van Megen, Hanzi By Heart, Pionierstraße 12, 40215 Düsseldorf, Tyskland. E-post: support@hanzibyheart.com, telefon: +49 177 6922060.

Besök på webbplatsen

Webbplatsen levereras via Cloudflare (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA). När du besöker den behandlar Cloudflare de uppgifter som krävs för det: IP-adress, tidpunkt, begärd adress, uppgifter om webbläsare och enhet samt, när en sådan skickas, sidan du kom från. Ändamålet är att leverera webbplatsen och skydda den mot angrepp och missbruk. Den rättsliga grunden är artikel 6.1 f i EU:s dataskyddsförordning (GDPR); vårt berättigade intresse är en säker och stabil webbplats.

Cloudflare är vårt personuppgiftsbiträde för detta. När Cloudflare behandlar uppgifter för egna ändamål, till exempel för att skydda sitt nätverk, är Cloudflare personuppgiftsansvarig för den behandlingen; se Cloudflares integritetspolicy. Uppgifter kan överföras till USA. Cloudflare är certifierat enligt EU-U.S. Data Privacy Framework, och dess personuppgiftsbiträdesavtal grundar sig på detta för dessa överföringar (artikel 45 i GDPR). När inget beslut om adekvat skyddsnivå tillämpas gäller EU:s standardavtalsklausuler som ingår i avtalet (artikel 46.2 c i GDPR). Du kan läsa dessa skyddsåtgärder via länken eller begära en kopia från oss.

Vi sparar inga egna åtkomstloggar; loggningen i vårt webbprogram är avstängd. Den räkning som beskrivs under Sidvisningar utan cookies sparar inga IP-adresser. Enligt sin dokumentation behåller Cloudflare säkerhetshändelser och tekniska säkerhetsanalysdata i upp till 31 dagar i vår plan. När Cloudflare behöver ytterligare uppgifter för att driva sin tjänst, utreda konkreta angrepp eller uppfylla rättsliga skyldigheter beror lagringstiden på det ändamålet och på de tillämpliga skyldigheterna. Cloudflare beskriver dessa kriterier i sin integritetspolicy.

Väntelista

När du anmäler dig begär du ett bekräftelsemejl och samtycker till ett mejl när appen lanseras. För detta behandlar vi din e-postadress och sidans språk. Bekräftelselänken är krypterad och giltig i sju dagar. Vi lägger bara till dig i väntelistan efter att du uttryckligen har bekräftat på sidan som öppnas (dubbel opt-in). Före det finns din adress i bekräftelsemejlet och i vår leverantörs leveranslogg, men den sparas inte som kontakt i väntelistan.

Den rättsliga grunden för dessa begärda mejl och för väntelistan är ditt samtycke (artikel 6.1 a i GDPR). Det är frivilligt att ange sin adress och det krävs varken enligt lag eller avtal. Utan den kan du fortfarande använda webbplatsen men får inget lanseringsmejl. Vi skickar inga andra marknadsföringsmejl.

Du kan när som helst återkalla ditt samtycke genom att mejla support@hanzibyheart.com och via avregistreringslänken i bekräftelsemejlet och i lanseringsmejlet. Återkallelsen påverkar inte lagligheten av tidigare behandling. Vi spärrar då din adress för fortsatta mejl och tar bort den från den aktiva väntelistan. Vi stänger den aktiva väntelistan senast 30 dagar efter lanseringsmejlet, eller om vi överger den planerade lanseringen.

För att kunna styrka ditt samtycke sparar vi också tidpunkten för anmälan och bekräftelse, språket och versionen av samtyckestexten tillsammans med kontakten. Efter återkallelsen eller det sista mejlet behåller vi dessa bevis, inklusive adressen, spärrade för utskick till slutet av det tredje följande kalenderåret, och raderar dem därefter. Detta grundar sig på vårt berättigade intresse att kunna styrka samtycken och försvara eventuella anspråk (artikel 6.1 f jämförd med artikel 7.1 i GDPR). Om en konkret rättstvist uppstår behåller vi endast de bevis som behövs för den, till dess att tvisten är avslutad. Vi sparar inte IP-adressen som bevis för samtycke.

Vi använder Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) som vårt personuppgiftsbiträde för e-post och väntelistan. Enligt leverantören lagras meddelandeinnehåll och leveransloggar i USA i 30 dagar; säkerhetskopior finns kvar i sju dagar. Kontaktuppgifterna finns kvar tills vi raderar dem. Överföringarna omfattas av EU:s standardavtalsklausuler i personuppgiftsbiträdesavtalet (artikel 46.2 c i GDPR). Du kan läsa skyddsåtgärderna där eller begära en kopia från oss.

För att förhindra missbruk av anmälningar behandlar Cloudflare kortvarigt IP-adressen och en hash av e-postadressen. Räknarna för denna begränsning omfattar var sitt fönster på 60 sekunder. Den rättsliga grunden är artikel 6.1 f i GDPR; vårt berättigade intresse är att skydda formuläret och mottagarna mot missbruk. Avsnittet Besök på webbplatsen tar upp Cloudflares ytterligare säkerhetsdata.

Kontakt via e-post

När du skriver till oss behandlar vi ditt meddelande och dina kontaktuppgifter för att kunna svara. Vårt berättigade intresse är att hantera din förfrågan (artikel 6.1 f i GDPR); när den avser ett avtal eller åtgärder som du begär innan ett avtal ingås gäller artikel 6.1 b i GDPR. STRATO GmbH i Berlin driftar våra mejlkonton som vårt personuppgiftsbiträde. Det är frivilligt att lämna uppgifter; utan en kontaktväg kan vi inte svara dig. Vi raderar korrespondensen när förfrågan är avslutad. När lagstadgade bevarandekrav gäller, till exempel för affärskorrespondens eller bokföringsunderlag, behåller vi endast de nödvändiga dokumenten under den föreskrivna perioden.

Sidvisningar utan cookies

För att se vilka sidor som läses och varifrån besökarna kommer räknar vårt webbprogram sidvisningar på servern. För varje sida som levereras sparar det sidadressen, webbplatsen du kom från (endast dess domän, till exempel reddit.com), landet som härleds från din anslutning och en enhetsklass (mobil, dator eller automatiserad). Det sparar inte din IP-adress, sätter inga cookies och läser eller lagrar ingenting på din enhet; inget skript körs för detta. Enskilda besökare går inte att skilja åt. När du bekräftar en anmälan till väntelistan räknar programmet också sidan där du använde formuläret, med land och enhetsklass, men aldrig din e-postadress. Räkningen lagras i Cloudflare Workers Analytics Engine som en del av Cloudflares behandling för vår räkning (se Besök på webbplatsen) och raderas efter tre månader. Den rättsliga grunden är artikel 6.1 f i GDPR; vårt berättigade intresse är att förbättra våra sidor och guider.

Vi sätter inga egna cookies och använder inga tjänster för reklam eller spårning. Bara om du använder knappen mellan ljust och mörkt läge sparar din webbläsare det valet i sin lokala lagring, så att nästa sida öppnas likadant. Valet stannar på din enhet och skickas aldrig till oss; att spara det är nödvändigt för den funktion du själv har bett om (§ 25 Abs. 2 Nr. 2 TDDDG). Sidinnehåll och typsnitt laddas från vår egen domän. Bläckanimationen beräknas lokalt i din webbläsare. Spårning av öppningar och klick är också avstängd i våra bekräftelsemejl.

Cloudflare kan använda strikt nödvändiga cookies vid en säkerhetskontroll, till exempel cf_clearance för att registrera en godkänd kontroll (inställd på 30 minuter för vår webbplats) eller __cf_bm för botskydd (upphör efter 30 minuters inaktivitet). Dessa stöder en säker leverans, inte reklam. Den nödvändiga åtkomsten till webbläsaren grundar sig på § 25 Abs. 2 Nr. 2 TDDDG och den tillhörande behandlingen av uppgifter på artikel 6.1 f i GDPR. Se Cloudflares cookiedokumentation för detaljer; avsnittet Besök på webbplatsen tar upp mottagare, överföringar och ytterligare lagring.

Dina rättigheter

Om de lagstadgade förutsättningarna är uppfyllda har du rätt till tillgång, rättelse, radering, begränsning av behandlingen och dataportabilitet. Du kan när som helst återkalla ditt samtycke med framtida verkan, utan att det påverkar lagligheten av tidigare behandling. Skriv till support@hanzibyheart.com.

Din rätt att invända

Du kan när som helst invända, av skäl som rör din särskilda situation, mot behandling som grundar sig på artikel 6.1 f i GDPR. Detta omfattar leverans och säkring av webbplatsen, hantering av förfrågningar och lagring av bevis för samtycke. Skriv till support@hanzibyheart.com. När uppgifter behandlas för direktmarknadsföring kan du invända när som helst utan att ange skäl.

Du kan också klaga hos en dataskyddsmyndighet, till exempel Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Tyskland, www.ldi.nrw.de.

Vi fattar inga automatiserade beslut i den mening som avses i artikel 22 i GDPR.