Personvern

Kort fortalt har vi en kort liste med tekniske ting. Ingenting av det er hva barnet ditt sier, og ingenting av det er navnet deres.

Denne erklæringen beskriver hva Rilo-appene og Rilo-serveren gjør med personopplysninger. Den er skrevet for å leses, ikke for å overleves. Der det står vi aldri, er det en beskrivelse av hvordan programvaren er bygget, og den tekniske siden viser databasetabellene det følger av.

Dette er et grundig utkast, ikke juridisk rådgivning, og det er ennå ikke gjennomgått av en advokat. Det den sier om programvaren stemmer. Om den oppfyller hver lov som gjelder for den, er en vurdering vi ennå ikke har fått gjort.

Hvem som er ansvarlig

Behandlingsansvarlig for opplysningene som er beskrevet her, i GDPRs forstand, er:

Behandlingsansvarlig: Small Victories - BE 0793.301.929
Forretningsadresse: Mellestraat 303, 9090 Merelbeke-Melle.
E-post: hello@rilotalk.com

Hva vi lagrer

Hele listen, tabell for tabell og kolonne for kolonne, står på den tekniske siden. Den lages fra den samme filen serveren kjører, så de to kan ikke gli fra hverandre. Den er kort fordi serveren presenterer folk for hverandre i stedet for å stå imellom. Den introduserer to enheter for hverandre og går så ut av veien.

En tilfeldig konto-id: Laget på enheten. Den er ikke utledet av navnet ditt, telefonnummeret ditt eller noe annet om deg, og den er det eneste navnet serveren kjenner deg som.
En offentlig nøkkel: Den offentlige halvdelen av et nøkkelpar enheten din lagde og beholder. Det er den som lar den andre telefonen være sikker på at den virkelig snakker med deg.
Ingen navn i det hele tatt: Det finnes ingen navnekolonne noe sted på serveren vår, verken for voksne eller for barn. Navn og ansikter velges på hver telefon og reiser direkte mellom telefonene det gjelder, inni en QR-kode eller forseglet slik at bare den andre telefonen kan åpne dem. Vi kunne ikke fortalt deg hva barnet ditt kaller bestemoren sin.
Et push-token: Adressen Apple eller Google bruker for å vekke telefonen din når det kommer en samtale. Den utstedes av dem, ikke av oss, og den endrer seg av seg selv.
Foresatte, og introduksjoner som pågår: At en konto har en foresatt. Og, bare mens en introduksjon fortsatt er uferdig, de to kontoene den går mellom. Ikke navn, men konto-id-er. Så snart begge telefonene har den ferdige kontakten, slettes den raden, så det finnes ingen liste over hvem som får ringe hvem.
Et tidspunkt for siste aktivitet: Slik at en konto ingen har brukt på lenge kan ryddes bort i stedet for å bli stående for alltid.
En e-postadresse, kort: Bare for voksne, bare ved registrering, og bare for å sjekke at en voksen er en voksen. Den lesbare kopien ødelegges så snart den er bekreftet. Det kontoen beholder er den adressen forseglet til grunnleggerens frakoblede nøkkel, som er juridisk bevis på samtykke som ingen server kan åpne. Se nedenfor, inkludert e-postleverandøren den går gjennom på vei til deg.
Krasjrapporter, uten navn på: Når appen krasjer eller fryser, sender den oss hvor i koden det gikk i stykker, appens versjon og versjonen av iOS eller Android. Ingen konto, ingen telefonmodell, ingen melding og ikke noe navn, så en rapport kan ikke spores tilbake til en familie. Det betyr også at vi ikke kan finne din hvis du ber oss om den. Hver rapport er en fil på serveren vår og slettes etter 90 dager.

Det er alt. Det finnes ingen profil, ingen adressebok, ingen historikk over hvem som ringte hvem, og ingen oversikt over hva som ble sagt.

Hva vi aldri lagrer

Dette er ikke ting vi har valgt å ikke se på. Det er ting programvaren ikke kan lage:

Hva som blir sagt. Både samtaler og meldinger er ende-til-ende-kryptert mellom de to telefonene. Nøklene forlater aldri enhetene, så serveren frakter forseglet trafikk den ikke kan åpne.
Kontaktlisten til barnet ditt. Hvem som får ringe hvem avgjøres på telefonene og blir liggende der. Vi kan se at to konto-id-er er koblet sammen. Vi kan ikke se at de er barnet ditt og bestemoren deres.
Posisjon. Appene spør aldri om den og sender den aldri.
Reklame-id-er. Det er ingen reklame i Rilo, ingen analyse, og ingen sporingskode fra tredjeparter i noen av appene.
Noe som helst til salgs. Vi selger, leier ut eller deler ikke personopplysninger med noen for deres egne formål.

Betalisten dette nettstedet hadde

Én ting her hører ikke til appen i det hele tatt. Til Rilo kom i App Store, lenket dette nettstedet til en betaliste, og det gjør det ikke lenger. Meldte du deg på, ga du oss en e-postadresse og ingenting annet. Ingen navn, ingen telefonnummer, og ingenting om et barn. Vi bruker den til å si fra når det er noe å prøve, og til ingenting annet. Listen drives av Tally og ikke av serveren vår, og derfor navngir denne siden dem nedenfor. Grunnlaget er samtykket ditt, gitt ved at du skriver inn adressen, og én linje til hello@rilotalk.com fjerner den. Ingenting i den listen er knyttet til en Rilo-konto, for det er ingenting i en konto å knytte den til.

Hvorfor vi har lov til å lagre det

Det rettslige grunnlaget er GDPR artikkel 6 nr. 1 bokstav b. Opplysningene er det som trengs for å levere tjenesten en forelder ba oss om. Det ene unntaket er betalisten over, som hviler på samtykket ditt etter artikkel 6 nr. 1 bokstav a og varer nøyaktig så lenge du vil. Ingenting hviler på berettiget interesse i profilering, for det finnes ingen profilering.

For abonnementet er grunnlaget den samme avtalen. Selve betalingen håndteres av Apple eller Google, som er selgeren og har kortopplysningene. Vi ser dem aldri.

Barn

Rilo er laget for barn fra omtrent fire til ti, og et barns konto kan bare finnes fordi en voksen lagde den. En barnekonto er et sertifikat signert med en forelders nøkkel. Et barn har ingen måte å lage en alene, og det finnes ingen innstilling et barn kan endre for å bli voksen.

Fordi tjenesten leveres etter en avtale med forelderen, og hver barnekonto opprettes og godkjennes av den forelderen på deres egen enhet, er samtykke etter artikkel 8 ikke grunnlaget vi bygger på. Godkjenningen fra forelderen er en kryptografisk handling, ikke en avkryssingsboks.

Vi beholder ingen lesbar oversikt over adressen. Den bekreftes og ødelegges i samme steg, og det som blir igjen hos kontoen er den samme adressen forseglet til grunnleggerens frakoblede nøkkel, som ingen server kan åpne. Det som beviser at en forelder sa ja er signaturen. Kontoen til et barn er et sertifikat signert med forelderens nøkkel, og det viser at en voksen opprettet og godkjente kontoen uten å fortelle oss hvem den voksne er.

Hvem andre er involvert

Seks andre selskaper er nødvendigvis innom deler av dette. Ingen av dem får noe om barnet ditt, og ingen av dem får opplysninger for sine egne formål.

Apple: Leverer varsler om samtaler og meldinger til iPhone, og håndterer abonnementer kjøpt på iOS. Apple ser et push-token og at det ble sendt et varsel, ikke innholdet i det.
Google: Det samme, for Android, gjennom Firebase Cloud Messaging, og Google Play håndterer abonnementer kjøpt på Android med betalingsbiblioteket sitt i appen. Appen spør også Google Play om en aldersgruppe, som leses på telefonen og aldri lagres eller sendes til oss. Ingen komponent fra Google eller Firebase i appen driver med analyse, krasjrapportering eller reklame.
Cloudflare: Leverer mellomleddet noen samtaler trenger når to hjemmenett nekter å snakke direkte. Mellomleddet sender videre krypterte pakker det ikke kan lese, og brukes bare når en direkte forbindelse mislykkes. Cloudflare svarer også på spørsmålet hver samtale stiller først: “Hva er min egen adresse på internett?” Så de ser at en telefon starter en samtale, og hvorfra, også når samtalen deretter går direkte.
Oracle: Er vert for signalserveren, i Den europeiske union. De er vertsleverandøren vår og behandler ingenting for egen regning.
Brevo: Sender den ene e-posten dette produktet noen gang sender, koden som bekrefter en voksen ved registrering. Adressen din går gjennom dem for å nå deg, og ligger derfor i loggene deres så lenge lagringstiden deres sier, selv om den aldri ligger i våre. Det er det ene stedet en Rilo-adresse finnes utenfor din egen innboks, og vi navngir det heller enn å la setningen over antyde noe annet.
Tally: Har betalisten dette nettstedet lenket til. Det de har, er adressene folk skrev inn i skjemaet, og ingenting annet. Det er aldri i berøring med appen eller serveren.

Det står ingen analyseleverandør, ingen reklamenettverk, ingen kundedataplattform og ingen AI-tjeneste på denne listen, for det finnes ingen av dem i produktet.

Hvor lenge vi beholder det

Kontoopplysninger varer så lenge kontoen gjør det. Den lesbare kopien av e-posten som bekrefter deg, ødelegges i det øyeblikket den har gjort jobben sin. Det forseglede, uleselige beviset som er beskrevet over blir liggende hos kontoen. Meldinger som venter på en telefon som er slått av, lagres kryptert og slettes når de er levert, eller etter en kort frist hvis de aldri blir hentet. De er klumper vi uansett ikke kan lese.

Du kan fjerne kontoen din når som helst inne i appen, og da går alt som henger i den med. Slettesiden sier hvor det er og hva som fortsatt er mulig når telefonen er borte. Vi holder på med en automatisk opprydding av familier som har sluttet å bruke Rilo helt. Til den er slått på, forsvinner ingenting her av seg selv.

Ett unntak fra det. Databasen sikkerhetskopieres hver natt, kryptert, slik at en maskinvarefeil ikke er slutten på kontaktene til familien din. Og en sikkerhetskopi tatt før du slettet noe, inneholder det fortsatt. Slike kopier beholdes i 30 dager og ødelegges så, slik at en sletting blir sann overalt i løpet av en måned. Det er det samme vinduet vi beholder en ulevert melding i, og vi sier det heller enn å la setningen over lyde mer absolutt enn den er.

Rettighetene dine

Etter GDPR kan du be oss om å:

fortelle deg hva vi har om deg, og gi deg en kopi;
rette det, hvis det er feil;
slette det;
gi det fra oss i en overførbar form;
stanse behandlingen, eller protestere mot en bestemt bruk.

Appen er veien for det meste av dette. Hva serveren vår vet i Innstillinger lister opp hver kolonne serveren har, og Slett kontoen min under den sletter uten å spørre oss i det hele tatt. Skriv til adressen over for alt appen ikke kan gjøre. Den ubehagelige delen, sagt rett ut: vi har ingen navn, ingen e-postadresse og ingen passord, så det står som regel ingenting i et brev vi kan koble til en konto. Artikkel 11 i GDPR handler nettopp om dette. En behandlingsansvarlig som ikke kan identifisere en person ut fra det den har, bør si det i stedet for å gjette. Er telefonen borte, forklarer slettesiden hva som fortsatt er mulig.

Du kan også klage til det belgiske datatilsynet (Gegevensbeschermingsautoriteit / Autorité de protection des données), eller til tilsynsmyndigheten der du bor.

Endringer

Endrer denne erklæringen seg på en måte som påvirker hva vi lagrer eller hvem som ser det, sier appene fra før endringen trer i kraft, i stedet for at vi stille publiserer denne siden på nytt.

Sist oppdatert 14. september 2026. Denne erklæringen er ennå ikke gjennomgått av en jurist.

Tilbake til starten