INTEGRITETSPOLICY

Senast uppdaterad: september 2026

1. VILLKOR OCH INLEDNING

Luna krypterar dina registreringar och dagboksanteckningar på din enhet (AES-256) innan de lagras på våra servrar eller synkroniseras — av dessa lagrar vi bara oläsbar chiffertext, förutom enstaka uppgifter för påminnelser och synkronisering (se avsnitt 4). I standardläget förvarar vi dessutom en krypterad säkerhetskopia av din nyckel, så att vi kan ge dig åtkomst igen om du glömmer ditt lösenord; tekniskt sett kan vi därmed dekryptera dina uppgifter. I Max Privacy-läget har vi ingen kopia av din nyckel som vi kan öppna: på våra servrar lagras den bara krypterad, så att endast ditt lösenord eller en enhet där du är inloggad, eller din Recovery-Key, kan låsa upp den. Din Recovery-Key är din enda väg tillbaka om du förlorar ditt lösenord eller åtkomsten till dina enheter. För den valfria AI-coachningen behandlas utvalda hälsouppgifter och i chatten även dina meddelanden i läsbar form på våra servrar och hos vår AI-leverantör i EU; din dagbokstext tas inte med automatiskt (se avsnittet ”AI-stödd coachning”).

Som personuppgiftsansvarig i den mening som avses i dataskyddsförordningen (GDPR) (nedan ”APPEN”, ”företaget”, ”vi”) vidtar vi lämpliga åtgärder för att säkerställa säkerheten och skyddet av dina personuppgifter när du använder APPEN. Vi agerar som personuppgiftsansvarig eftersom vi beslutar om ändamålen och medlen för behandlingen av dina personuppgifter. Denna integritetspolicy förklarar hur vi samlar in, använder, lagrar och delar dina personuppgifter när du besöker våra webbplatser eller interagerar med någon av våra tjänster.


2. DEN PERSONUPPGIFTSANSVARIGE

Personuppgiftsansvarig för behandlingen av personuppgifter enligt dataskyddsförordningen (GDPR) är:

ICOSO CONSULTING S.L. („Luna FemTech")
Ägare och verkställande direktör: Daniel Osorio Fernandez
Calle Juan de Herrera, Núm 18, Planta 4 y 5
39002 Santander (Cantabria), España
Momsregistreringsnummer: ES B55469902
Handelsregister Santander, Blad S-37849
www.luna-femtech.com
Dataskyddskontakt: privacy@icoso.es
Användarsupport: support@luna-femtech.com
(c) 2026 Alla rättigheter förbehållna.


3. KONTAKTUPPGIFTER TILL DATASKYDDSOMBUDET (DPO)

Ett dataskyddsombud (DPO) har utsetts och kan nås på följande adress:
dpdcadiz@prodat.es

Utnämningen av ett dataskyddsombud är obligatorisk enligt art. 37.1 c GDPR, eftersom kärnverksamheten består i omfattande behandling av särskilda kategorier av personuppgifter (hälsodata).


4. BEHANDLING AV PERSONUPPGIFTER

Vi behandlar användarnas personuppgifter endast när detta är nödvändigt för en korrekt drift. Insamlingen och behandlingen sker först efter att användaren har lämnat sitt samtycke. Ett undantag föreligger när det är omöjligt att inhämta detta samtycke innan behandlingen blir nödvändig, samt vid rättsligt eller myndighetsmässigt fastställda skyldigheter.

• Identitets-/kontaktuppgifter: e-postadress, visningsnamn/användarnamn, OAuth-identitet (inloggning via Apple/Google).
• Prenumerationsuppgifter: pseudonym (SHA-256) prenumerationsidentifierare och prenumerationsstatus. Betalningshanteringen sker uteslutande via respektive butik (Apple/Google); vi erhåller inga bank-, kort- eller faktureringsuppgifter.
• Tekniska uppgifter: IP-adress (max. 7 dagar för attackdetektering), enhets-/operativsysteminformation (endast i rensade kraschrapporter).
• Användningsuppgifter: information om hur du använder vår app samt våra produkter och tjänster.
• App-inställningar: språk, färgschema, metadata för påminnelselogiken.
• Hälsodata: dina hälsodata såsom cykel, symtom, sinnesstämningar, basaltemperatur, dagbok, hormonvärden, självrapporterade sjukdomar, läkemedel, kostform, allergier, preventivmetod och kroppsmått omfattas av ett särskilt högt skydd. De krypteras på din enhet (AES-256-GCM) innan de överförs — på vår server lagras de endast som chiffertext. Undantag gäller för enstaka uppgifter som för närvarande lagras i läsbar form för påminnelser, synkronisering och administration: för läkemedel typ (preventivmedel eller annat läkemedel), förpackningsstorlek, pausdagar, startdatum för förpackningen, intagsschema, den första påminnelsetiden och påminnelseinställningarna (på/av, snooze, varning om ny förpackning); för varje intag status (tagen, överhoppad, försenad) med datum och klockslag; i profilen om frågorna om preventivmedel har besvarats och när medicinska upplysningar har bekräftats; dessutom datum för dagboksanteckningar och hormontester, status för dina samtycken samt tidpunkterna då registreringar skapas, ändras eller raderas. Utifrån dessa uppgifter samt antalet, tidpunkten och storleken på krypterade registreringar kan vissa slutsatser dras om din hälsa. För den valfria AI-coachningen behandlas utvalda uppgifter ur dessa i läsbar form (se avsnitt 5).
• Uppgifter om sexualliv: om du registrerar dem, sexuell aktivitet och preventivmetod. De krypteras på din enhet på samma sätt som hälsouppgifterna och utgör tillsammans med dem särskilda kategorier av personuppgifter (art. 9 GDPR) som åtnjuter förstärkt skydd.

För behandlingen av hälsodata gäller följande principer:
◦ Samtycke: hälsodata får i regel endast behandlas om den registrerade uttryckligen samtycker.
◦ Ändamålsbegränsning: uppgifterna får endast användas för det på förhand fastställda ändamålet (t.ex. cykelspårning och självobservation för wellnessändamål).
◦ Uppgiftsminimering: endast så mycket uppgifter som är absolut nödvändigt får samlas in.
◦ Säkerhet: hälsodata måste lagras och skyddas särskilt säkert (t.ex. genom kryptering).

Vi behandlar dina uppgifter bland annat genom direkta interaktioner (du ställer uppgifter till vårt förfogande när du skapar ett konto, använder funktioner, kontaktar oss eller skickar oss feedback) samt genom automatiserad insamling av tekniska uppgifter vid driften av appen.

Hantering och återkallande av samtycke: Lämnade samtycken kan du återkalla när som helst. Samtycket till den valfria AI-coachningen (”Sofía”) hanterar du i appen under Inställningar; behörigheten för hälsoimporten (Apple HealthKit / Google Health Connect) återkallar du i din enhets operativsysteminställningar; din dataskyddsrättsliga region hanterar du i appen under Inställningar. Återkallandet gäller för framtiden och påverkar inte lagligheten av den behandling som utförts fram till dess.

Samtycke till behandling av hälsouppgifter och uppgifter om sexualliv: innan du använder funktioner som kräver hälsouppgifter eller uppgifter om ditt sexualliv ber Luna om ditt uttryckliga samtycke genom en tydlig bekräftande handling — frivilligt, specifikt, informerat och otvetydigt (art. 9.2 a GDPR). Att godkänna användarvillkoren eller denna integritetspolicy ersätter inte detta uttryckliga samtycke. Du kan när som helst återkalla det; återkallelsen påverkar inte lagligheten av den behandling som skett dessförinnan, men den kan innebära att du inte längre kan använda de funktioner som kräver dessa uppgifter.


5. AI-STÖDD KOST- OCH LIVSSTILSCOACHNING (”SOFÍA”)

I den mån du använder den valfria funktionen för AI-coachning behandlar vi, på grundval av ditt uttryckliga samtycke (art. 6.1 a, art. 9.2 a GDPR), hälsorelaterade uppgifter för att tillhandahålla dig individuella, cykelmedvetna kost- och livsstilstips. För detta överför din enhet, beroende på funktion, utvalda hälso- och profiluppgifter: kategorier (t.ex. cykelfas, livsfas, kostform, allergier, sjukdomar som fasta kategorier, läkemedel som verksamma substansklasser, preventivmetod som kategori, mål, åldersgrupp), sammanfattade värden (t.ex. vanliga symtom, veckogenomsnitt för importerade data såsom sömn, vilopuls, hjärtfrekvensvariabilitet och aktivitet) och enskilda mätvärden såsom hormonvärden tillsammans med antalet dagar som har gått sedan mätningen. Sådana relativa tidsuppgifter kan göra det möjligt att dra slutsatser om den aktuella kalenderdagen. En region eller bostadsort som du har angett i din profil använder vi för regionala tips och recept. Namn, e-postadress och användaridentifierare för ditt konto överförs inte till AI-modellen; dagbokstexter samt preparat- eller varumärkesnamn från dina registreringar tas inte med automatiskt. Modellbehandlingen sker via Amazon Web Services (AWS Bedrock) med Claude-modeller från Anthropic i AWS-regioner inom EU; någon överföring av innehållet till USA sker inte. Inmatningarna lagras inte varaktigt hos AWS och används inte för träning av AI-modellerna.

Om du skriver till Sofía i chatten överförs dessutom ditt meddelande och upp till fem tidigare meddelanden i samtalet, inklusive tidigare svar från Sofía, som fritext; mycket långa meddelanden kortas ned. Innan de vidarebefordras till AWS ersätter ett automatiskt filter på våra servrar vissa identifierade e-postadresser, telefonnummer och IBAN-nummer i dina egna meddelanden. Filtret tar inte bort alla personuppgifter: det du själv skriver, till exempel namn, datum eller uppgifter om din hälsa, kan ingå i det överförda meddelandet. Dina förfrågningar vidarebefordras via våra servrar i läsbar form men lagras inte där; din chatthistorik lagrar vi krypterad endast på din enhet, tills du raderar den i chatten. För att säkerställa kvaliteten på AI-svaren lagrar vi för varje chattförfrågan en granskningslogg utan samtalsinnehåll och utan hälsouppgifter (t.ex. språk, antal ersatta uppgifter, tecken på otillåtna hälsopåståenden), som kan kopplas till ditt konto via en pseudonym identifierare. Rättslig grund för detta är vårt berättigade intresse av en verifierbart säker AI-funktion (art. 6.1 f GDPR); du kan när som helst invända mot detta. Posterna raderas efter 90 dagar.

Luna och Sofía tjänar uteslutande wellness-, livsstils- och självobservationsändamål. De är inte avsedda för diagnos, behandling, prevention eller förutsägelse av sjukdomar. Sofía är ett AI-stött system; svar genereras automatiserat och kan vara ofullständiga, oriktiga eller olämpliga för din individuella situation. Sofía ersätter ingen medicinsk, psykologisk eller kostmedicinsk rådgivning.

Något uteslutande automatiserat beslutsfattande i den mening som avses i art. 22 GDPR, som får rättslig verkan gentemot dig eller på liknande sätt i betydande grad påverkar dig, förekommer inte. Förutsägelser, hänvisningar och AI-svar tjänar uteslutande självobservation och wellnessstöd.


6. ANVÄNDNING AV DINA UPPGIFTER

Dina kontaktuppgifter (e-postadress) lämnas under inga omständigheter vidare till tredje part. Vi behandlar användnings- och tekniska uppgifter för att tillhandahålla och förbättra appens funktionalitet, identifiera och åtgärda problem samt säkerställa tjänsternas stabilitet och säkerhet. För vidareutvecklingen samlar vi in och analyserar feedback och användningsuppgifter i aggregerad form.

• Fullgörande av avtalsförpliktelser: Vi behandlar dina uppgifter för att fullgöra våra avtal och säkerställa en korrekt användning av våra tjänster.
• Kundtjänst: För att tillhandahålla support behandlar vi ditt namn, dina kontaktuppgifter, din kommunikationshistorik och innehållet i dina förfrågningar.
• Kontohantering: Vi behandlar din e-postadress och dina inloggningsuppgifter för att autentisera ditt konto och ge dig en säker åtkomst.
• Efterlevnad av rättsliga föreskrifter: Vi behandlar dina uppgifter för att uppfylla rättsliga, skattemässiga och bokföringsmässiga skyldigheter.

Aviseringar: Påminnelser (t.ex. om cykel- eller intagshändelser) planeras och utlöses uteslutande lokalt på din enhet. Vi driver för detta ingen extern push-tjänst och lagrar inga push-tokens; inställningarna för läkemedelspåminnelser synkroniseras dock med ditt konto (se avsnitt 4). Du kan när som helst inaktivera aviseringar i appen eller i din enhets systeminställningar.

Hälsoimport (Apple HealthKit / Google Health Connect): I den mån du aktiverar denna valfria funktion importerar vi passiva hälsosignaler (t.ex. sömn, vilopuls, kroppstemperatur) som krypterade sammanfattningar för att förbättra cykelinsikterna (art. 9.2 a). Behörigheten kan när som helst återkallas i enhetsinställningarna.

Streckkodsfunktion (Premium): Vid valfri skanning av en produktstreckkod överförs uteslutande streckkodsnumret (EAN) via vår server till produktdatabasen Open Food Facts för att slå upp produktnamnet. Därvid överförs inga hälsodata och ingen användaridentifierare.

Ingen GPS-positionering: Luna registrerar inte din enhets position (GPS). En region eller bostadsort som du själv anger i din profil använder vi för regionala tips och recept (se avsnitt 5). Vid den valfria platssökningen (t.ex. stadssökning) överförs via vår server uteslutande den av dig inmatade söktermen till karttjänsten Nominatim (OpenStreetMap). Din dataskyddsrättsliga region härleder vi från den inställda enhetsregionen (landskod), inte från din exakta plats.


7. RADERING AV UPPGIFTER OCH LAGRINGSTID

Dina personuppgifter raderas eller får sin användning begränsad så snart behovet av att lagra dem inte längre föreligger. De kan dock lagras längre om detta krävs enligt gällande EU-rätt eller nationell rätt.

När du raderar ditt konto (Inställningar → Konto → Radera konto permanent) tas dina uppgifter omedelbart bort från de aktiva systemen. Restkopior i krypterade tekniska säkerhetskopior raderas inom 7 dagar i samband med den rullande säkerhetskopieringscykeln. Ett internt raderingsprotokoll säkerställer att uppgifter som under tiden raderats inte återuppstår ens vid en eventuell återställning av en säkerhetskopia.

Konton utan inloggning: om du inte loggar in på 24 månader raderar vi ditt konto och de tillhörande uppgifterna. Före raderingen meddelar vi dig via e-post till den registrerade adressen — 30 dagar och på nytt 7 dagar i förväg. Varje inloggning startar om fristen.

Bevis för samtycken: när du raderar ditt konto bevaras registret över dina samtycken (dokument, version, datum, språk, appversion) spärrat och pseudonymiserat — utan din e-postadress och utan ditt användar-ID i klartext — i fem år, så att vi kan visa att samtycket inhämtades (art. 7.1 GDPR, art. 32 LOPDGDD). Därefter raderas det slutgiltigt.

• Behandling på grundval av ett samtycke eller ett berättigat intresse: Uppgifterna lagras så länge tills du förklarar återkallande eller invändning av dem och/eller det berättigade intresset upphör.
• Avtalsuppgifter: Dessa lagras under avtalsförhållandets varaktighet och därefter så länge som lagstadgade lagringsskyldigheter föreligger (t.ex. 10 år på grund av skatte- och handelsrättsliga bestämmelser). Skattemässigt relevanta underlag (t.ex. avseende den pseudonyma prenumerationsidentifieraren) lagras i den lagstadgade omfattningen. De egentliga fakturerings-/betalningsuppgifterna ligger uteslutande hos respektive butik (Apple/Google) och inte hos oss.


8. UPPGIFTER, COOKIES, LOGGFILER OCH TREDJE PART

När du besöker vår webbplats eller APP överför din enhet automatiskt loggdata till våra servrar (t.ex. vid inloggning eller vid uppladdning/nedladdning av information). Insamlade loggdata: enhetens IP-adress, systemkonfiguration, datum och tidpunkt för åtkomsten. IP-adresser lagras i upp till 7 dagar för att upptäcka och förhindra attacker; därefter raderas eller anonymiseras de. Dessa uppgifter behandlas på servrarna hos Hetzner Online GmbH (EU).

Cookies och lokal lagring: Appen själv använder inga cookies. Webbplatsen luna-femtech.com använder uteslutande tekniskt nödvändig lokal lagring (localStorage) för att lagra ditt språkval — vi använder inga spårningscookies, inga räknepixlar och ingen analys.

Personuppgiftsbiträden och underbiträden: Detaljerad information om överföringen av uppgifter till våra personuppgiftsbiträden och underbiträden finner du i vår alltid aktuella lista på www.luna-femtech.com/sub.


9. DINA RÄTTIGHETER

Du har enligt GDPR rätt till tillgång (art. 15), rättelse (art. 16), radering (art. 17), begränsning (art. 18), invändning (art. 21), dataportabilitet (art. 20), återkallande av samtycket (art. 7.3) samt att lämna in klagomål till en tillsynsmyndighet.

Tillgång och export (art. 15/20) kan du initiera direkt i appen (Mitt utrymme → Data → Ladda ner min data; maskinläsbar JSON-export). Raderingen sker omedelbart via Inställningar → Konto → Radera konto permanent. Beviset för lämnade samtycken protokollförs; vid versionsändringar av policyerna inhämtas ett förnyat samtycke.

För att utöva dessa rättigheter kan du vända dig till dataskyddsombudet (dpdcadiz@prodat.es) eller till privacy@icoso.es. Din begäran måste göra det möjligt för oss att bekräfta din identitet; ytterligare underlag begär vi bara när det behövs för att hindra att någon annan får tillgång till dina uppgifter.

a) Rätt till tillgång: Du kan när som helst och kostnadsfritt erhålla information om de personuppgifter som lagras om dig samt en kopia av dessa uppgifter.
b) Rätt till rättelse: Du kan begära rättelse av oriktiga eller ofullständiga uppgifter.
c) Rätt till radering: Du kan begära radering av dina personuppgifter om det inte föreligger några andra rättsliga grunder för behandlingen.
d) Rätt till begränsning av behandlingen: Du kan begära begränsning av behandlingen av dina uppgifter.
e) Rätt att göra invändningar: Du kan när som helst invända mot behandling som grundar sig på berättigade intressen.
f) Rätt till dataportabilitet: Du kan erhålla de uppgifter du har tillhandahållit i ett vanligt format och överföra dem till andra tjänsteleverantörer.
g) Rätt att återkalla samtycket: Du kan när som helst återkalla ditt samtycke med verkan för framtiden (se avsnitt 4).
h) Rätt att klaga: Du har rätt att lämna in ett klagomål till en tillsynsmyndighet. Behörig tillsynsmyndighet är Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, España, www.aepd.es. Oberoende av detta kan du även vända dig till dataskyddstillsynsmyndigheten på din hemvist eller arbetsplats.


10. RÄTTSLIG GRUND FÖR DATABEHANDLINGEN

Behandlingsåtgärderna grundar sig på följande rättsliga grunder enligt GDPR:
• Fullgörande av ett avtal (art. 6.1 b): Behandlingen är nödvändig för att fullgöra ett avtal med dig eller för att vidta åtgärder innan avtalet ingås.
• Samtycke (art. 6.1 a; för hälsodata art. 9.2 a): När du ger oss ditt uttryckliga samtycke får vi behandla dina uppgifter för de överenskomna ändamålen.
• Berättigade intressen (art. 6.1 f): Säkerhet och bedrägeribekämpning, stabilitet samt teknisk förbättring av produkter, tjänster och app — förutsatt att dina grundläggande rättigheter och friheter inte väger tyngre.
• Rättslig förpliktelse (art. 6.1 c): Fullgörande av rättsliga, skattemässiga och bokföringsmässiga föreskrifter.


11. UTLÄMNANDE OCH ÖVERFÖRING AV DINA UPPGIFTER TILL TREDJE PART

För att fullgöra rättsliga förpliktelser kan vi lämna ut uppgifter till offentliga organ, rättsliga myndigheter eller andra officiella instanser. Personuppgiftsbiträden och underbiträden agerar som personuppgiftsbiträden och måste förfoga över lämpliga skyddsåtgärder.

Hosting och Sofías textbehandling sker inom EU. En överföring till USA sker uteslutande till OpenAI (bildgenerering; endast söktermer), RevenueCat (pseudonym prenumerationsidentifierare) samt Apple/Google (betalning) — vardera säkrad genom EU:s standardavtalsklausuler. Detaljer finns i underbiträdeslistan (www.luna-femtech.com/sub).


12. UPPDATERINGAR OCH AVTALSSPRÅK

Vi förbehåller oss rätten att uppdatera denna integritetspolicy från tid till annan, framför allt för att anpassa den till lagändringar. Den vid var tid gällande versionen offentliggörs på www.luna-femtech.com/data och träder i kraft vid offentliggörandet. Vid avvikelser mellan den tyska och den spanska texten har den spanska versionen företräde på grund av platsen för tjänstens tillhandahållande.


13. RÄTTSLIG INFORMATION OCH ANVÄNDNINGSVILLKOR

I våra användningsvillkor (www.luna-femtech.com/terms) finner du all rättslig information samt utgivningsuppgifterna. Användningen av Luna förutsätter en lägsta ålder på 16 år. Personrelaterade begrepp avser alla möjliga kön, orienteringar, rättsformer eller juridiska personer.