Personvernerklæring

Sist oppdatert 26. oktober 2026.

Denne erklæringen gjelder appen Humleskogen for iPhone og iPad og nettsiden humleskogen.app. Den forklarer hvilke opplysninger som behandles, hvorfor, hvor lenge og hvem som får dem. Den bygger på personvernforordningen (GDPR) og personopplysningsloven.

1. Hvem som er ansvarlig

Behandlingsansvarlig er Greve Digital Labs (enkeltpersonforetak, org.nr. 933 146 162, Åmundsdalen 79, 5115 Ulset, Norge). Spørsmål om personvern og bruk av rettighetene dine sendes til hallo@humleskogen.app. Vi har ikke personvernombud; det er ikke påkrevd for en virksomhet av vår størrelse og type.

2. Kort fortalt

Appen har ingen konto, ingen innlogging, ingen reklame, ingen analyseverktøy og ingen sporing.
Barnas navn, leggetid, kveldsrutine og hva barna har hørt, lagres på telefonen.
Appen spør aldri om alder, fødselsdato, etternavn, bilde, posisjon, kamera eller mikrofon.
Noe sendes bare til oss når en voksen selv velger det: et ønske om et nytt fornavn, eller frivillig familiedeling mellom familiens telefoner (av som standard). Navn i familiedelingen er kryptert slik at vi ikke kan lese dem.
Prøveperioden og abonnementet håndteres på telefonen og hos Apple. Vi får ingen betalingsopplysninger.

3. Barn og foreldreansvar

Humleskogen er laget for barn fra 3 til 7 år, men brukes og styres av en voksen. Barnet oppgir ingenting til oss. Alt som sender noe ut av telefonen, lenker ut av appen eller gjelder kjøp, ligger i foreldresonen bak en foreldresperre. Sperren holder barn ute, men er ikke i seg selv et samtykke. Derfor ber appen i tillegg den voksne om å bekrefte før et navneønske sendes og før familiedeling slås på. Barn under 13 år kan ikke selv samtykke til slike tjenester (personopplysningsloven § 5); samtykket gis av en forelder.

4. Opplysninger som bare lagres på telefonen

Om dere bruker appen med ett eller to barn, navnene dere har valgt og hvordan de vises, valgt navneopptak, leggetid, kveldsrutine og rekkefølge, språk, lydnivå, hvilke historier som er hørt eller lest, kveldens fremdrift, navn dere har ønsket og venter på, og tidspunktet prøveperioden startet, lagres i appens eget område på telefonen. Vi har ikke tilgang til det, og det sendes ikke til oss eller andre, med unntak av det dere selv velger i punkt 6 og 7.

Prøveperioden: tidspunktet den startet, og det seneste tidspunktet appen har sett, lagres også i telefonens nøkkelring (Keychain). Det gjør at prøveperioden ikke starter på nytt bare fordi appen installeres på nytt. Opplysningen sendes ikke fra telefonen og er ikke knyttet til noen identitet. Den kan bli liggende i nøkkelringen etter at appen er slettet, og fjernes hvis telefonen tilbakestilles.
Sletting: sletter dere appen, slettes appens data på telefonen (med unntak av nøkkelringen over).
Sikkerhetskopier: hvis telefonen sikkerhetskopieres til iCloud eller en datamaskin, kan appens lokale data være med i kopien. Det styres av dere og Apple, ikke av oss.

5. Nedlasting av historier, navnebiblioteket og kveldslyd

Når appen åpnes med nett, henter den en felles oversikt over historier, navn og lydfiler fra serveren vår. Alle telefoner henter den samme oversikten, og forespørselen inneholder ikke barnas navn eller noe annet om familien.

Lydfilene for navn ligger i lydpakker. Så lenge navnebiblioteket er lite (under ca. 25 MB), henter alle telefoner alle pakkene, og ingen forespørsel sier noe om hvilket navn dere bruker. Blir biblioteket stort, henter telefonen bare pakkene for navnene dere har valgt eller lytter til. Forespørselen inneholder da ingen navn, bare en kode for pakken, men serveren kan i prinsippet se at en IP-adresse har hentet pakken som hører til et bestemt navn. Vår egen kode lagrer ikke hvilke pakker som hentes, og kobler det ikke til noe annet.

Formål: å levere historier, navneopptak og kveldslyd til appen, og å holde tjenesten sikker og i drift.
Opplysninger: IP-adresse og vanlige tekniske opplysninger i forespørselen (tidspunkt, hvilken fil, appversjon). Ingen navn eller identitet.
Rettslig grunnlag: berettiget interesse i å levere innholdet appen trenger og å verne tjenesten mot misbruk (art. 6 nr. 1 f).
Mottakere: driftsleverandørene i punkt 10 (Rork og Cloudflare). De behandler IP-adressen for å kunne levere filene.
Lagringstid: vår egen kode lagrer ikke IP-adresser fra nedlastinger. Driftsleverandørene kan føre tekniske logger med IP-adresse for sikkerhet og feilsøking; slike logger lagres etter leverandørenes egne rutiner, normalt i kort tid.
Overføring utenfor EØS: ja, se punkt 10.

Automatisk nedlasting skjer ikke i Lav datamodus og aldri mens en kveld pågår.

6. Frivillige ønsker om nye navn og navnekombinasjoner

En voksen kan ønske et fornavn som mangler i navnebiblioteket, eller en kombinasjon av to fornavn for søsken (for eksempel «Emil og Nora»). Før noe sendes, viser appen nøyaktig hva som sendes, og den voksne må bekrefte det. Lagrede navn sendes aldri automatisk. Den voksne kan også melde fra om at et opptak uttales feil.

Formål: å vurdere og spille inn navnet eller kombinasjonen, slik at det kan bli tilgjengelig for alle som bruker appen, og å vise status for ønsket i appen.
Opplysninger: fornavnet (eller de to fornavnene) slik det er skrevet og i normalisert form, et frivillig uttalehint, om navnet skal tas i bruk automatisk eller godkjennes først, om appen er i prøveperiode eller har abonnement, tidspunkt og behandlingsstatus, og hvilke opptak den voksne har godkjent. Ønsket knyttes til en tilfeldig kode som telefonen (eller familien, hvis familiedeling er på) har laget, aldri til navn, e-post, telefonnummer, enhets-ID eller IP-adresse. Ved melding om feil uttale: navnet, hvilken setning det gjelder og en frivillig kommentar.
Rettslig grunnlag: samtykke fra den voksne (art. 6 nr. 1 a), gitt i appen før sending. Et fornavn alene identifiserer normalt ingen, men vi behandler det likevel som en mulig personopplysning. Samtykket kan trekkes tilbake ved å trekke ønsket tilbake i appen eller kontakte oss.
Mottakere: oss og driftsleverandørene i punkt 10. Andre familier ser aldri hvem som har ønsket et navn eller hva som står i hintet. Når vi spiller inn et ønsket navn, skriver vi fornavnet manuelt inn i talestudioet ElevenLabs for å lage lydfilen, uten opplysninger om hvem som ønsket det. Appen selv har ingen kontakt med ElevenLabs eller andre taletjenester.
Lagringstid: private ønsker slettes senest 90 dager etter at de er avsluttet (publisert, avvist eller trukket tilbake), og ubehandlede ønsker senest etter 12 måneder. Meldinger om feil uttale slettes senest 180 dager etter at de er behandlet, og ellers etter 12 måneder. Tellere for hvor mange ønsker en kode har sendt samme døgn, slettes etter ett døgn. Publiserte navn blir en del av navnebiblioteket uten kobling til noen som har ønsket dem.
Overføring utenfor EØS: ja, se punkt 10. Fornavnet som skrives inn i ElevenLabs, behandles også i USA.

Vern mot misbruk: for å begrense hvor mange navneforslag som kan sendes fra samme sted, lager serveren en kort kode av IP-adressen: en SHA-256-hash av IP-adressen, datoen og appens offentlige nøkkel, forkortet til 20 tegn. Koden holdes bare i serverens minne og forsvinner senest når timen er omme. Den lagres aldri. Fordi nøkkelen i hashen er offentlig, regner vi koden som pseudonym, ikke anonym.

7. Familiedeling (frivillig)

Familiedeling lar flere voksne (for eksempel to foreldre, besteforeldre eller barnevakt) fortsette der barnet slapp, på hver sin telefon. Funksjonen er av som standard og slås på i foreldresonen. Appen virker fullt ut uten den.

Formål: å holde historiefremdriften, og med eget samtykke barnas navn og valgt navneopptak, lik på familiens telefoner.
Opplysninger: tilfeldige koder for familien, hvert barn og hver telefon; en hash av hver telefons hemmelige nøkkel (aldri selve nøkkelen); en betegnelse på telefonen som den voksne selv skriver (for eksempel «Mammas telefon»); rollen (administrator eller omsorgsperson); hvilke barn hver telefon har tilgang til; hvilken versjon av samtykket telefonen har godtatt; når telefonen sist synkroniserte; hendelser av typen «barn-kode X hørte (eller leste) historie Y på tidspunkt Z, på telefon-kode T»; og barnas navn og navnevalg i kryptert form (se under). Barnas alder, fødselsdato, innstillinger, e-post og telefonnummer sendes ikke.
Rettslig grunnlag: samtykke fra den voksne (art. 6 nr. 1 a), gitt i appen når familiedeling slås på eller en invitasjon godtas. Telefoner som ble med før 24. oktober 2026, blir spurt én gang om de godtar at navnene holdes like.
Mottakere: bare telefonene i familien, og hver telefon ser bare barna den har fått tilgang til. Administratoren ser listen over telefoner og kan fjerne dem. Driftsleverandørene i punkt 10 lagrer dataene for oss.
Lagringstid: til en telefon forlater familien eller fjernes (da slettes telefonens kobling straks), til administratoren sletter familien (da slettes alt om familien straks), eller senest når ingen i familien har synkronisert på 400 dager (da slettes familien automatisk). Invitasjoner slettes når de brukes, trekkes tilbake eller utløper etter 48 timer.
Overføring utenfor EØS: ja, se punkt 10.

Slik er navnene kryptert: når en ny telefon inviteres, følger barnas navn og familiens nøkkel med inne i invitasjonen, kryptert med AES-256-GCM og en nøkkel som er avledet av engangskoden. Koden sendes aldri til oss; den voksne gir den videre selv, for eksempel i Meldinger. Senere navneendringer krypteres på en administratortelefon med familiens nøkkel (256 bit, laget på telefonen og lagret i nøkkelringen på familiens telefoner). Serveren lagrer bare den krypterte pakken, barnets tilfeldige kode og et versjonsnummer, og vi kan ikke lese navnene. Selve historiefremdriften (hvilken historie, når) er ikke kryptert, men er bare knyttet til tilfeldige koder.
Vern mot misbruk: når en familie opprettes eller en telefon blir med, lager serveren en kort kode av IP-adressen (SHA-256 av IP-adresse, dato og appens offentlige nøkkel, forkortet til 24 tegn) for å telle forsøk. Koden lagres sammen med en teller og slettes automatisk senest innen 48 timer, normalt etter ett døgn. Den brukes ikke til noe annet. Koden er pseudonym, ikke anonym.
Trekke tilbake: en telefon kan når som helst forlate familien i appen. Fremdriften og navnene på telefonen beholdes lokalt.
Abonnement: familiedeling deler fremdrift, ikke abonnementet. Om abonnementet kan deles via Apples Familiedeling, avgjøres av Apple og abonnementsinnstillingene.

8. Prøveperiode og abonnement

Prøveperioden på 72 timer telles på telefonen (se punkt 4). Ingenting om den sendes til oss. Abonnementet kjøpes, betales, fornyes og sies opp hos Apple. Appen spør Apple direkte på telefonen om det finnes et gyldig kjøp, og bruker svaret bare til å åpne innholdet. Vi mottar ikke navn, e-post, Apple-ID eller betalingsopplysninger, og vi bruker ingen tredjeparts kjøpstjeneste. Apple er selvstendig behandlingsansvarlig for kjøpet; se Apples personvernerklæring.

9. Når du kontakter oss

Formål: å svare på spørsmål, hjelpe med appen og behandle henvendelser om personvern.
Opplysninger: e-postadressen din, navnet ditt slik det står i e-posten, og det du skriver.
Rettslig grunnlag: berettiget interesse i å svare deg (art. 6 nr. 1 f), og rettslig plikt når du bruker rettighetene dine (art. 6 nr. 1 c).
Mottakere: e-post til hallo@humleskogen.app videresendes av Cloudflare (Cloudflare Email Routing) til vår e-postkonto hos Google (Gmail).
Lagringstid: vi sletter henvendelser senest 12 måneder etter at saken er avsluttet, med mindre loven krever at vi oppbevarer dem lenger.
Overføring utenfor EØS: ja, Cloudflare og Google kan behandle e-posten i USA, se punkt 10.

10. Leverandører og overføring utenfor EØS

Rork, Inc. (USA) drifter plattformen som serveren og nettsiden kjører på. Rork bruker Cloudflare som underleverandør.
Cloudflare, Inc. (USA) leverer serverinfrastruktur, lagring, levering av filer og videresending av e-post.
Google (Gmail) lagrer e-post vi mottar og sender.
Apple står for App Store, kjøp og abonnement som selvstendig behandlingsansvarlig.
ElevenLabs brukes bare av oss til å lage lydfiler på forhånd. Appen og nettsiden sender ingen opplysninger dit.

Opplysningene kan derfor behandles i USA. Cloudflare og Google er sertifisert under EU–US Data Privacy Framework, som EU-kommisjonen har godkjent som et tilstrekkelig beskyttelsesnivå. For Rork arbeider vi med å få på plass en skriftlig databehandleravtale med EU-kommisjonens standard personvernbestemmelser. Inntil videre begrenser vi det som sendes til serveren, til det som er beskrevet i punkt 5–7: tilfeldige koder, krypterte navn, fremdrift og frivillige navneønsker. Leverandørenes gjenopprettingsdata kan inneholde slettede opplysninger i inntil 30 dager før de overskrives.

11. Nettsiden og informasjonskapsler

Nettsiden lagrer bare én ting i nettleseren din: valget ditt om informasjonskapsler (i nettleserens lokale lagring, under navnet «humleskogen-consent»). Det er nødvendig for å huske valget og krever ikke samtykke. Når du besøker nettsiden, behandler driftsleverandørene i punkt 10 IP-adressen din for å levere sidene (berettiget interesse, art. 6 nr. 1 f).

Nettsiden bruker i dag ingen statistikk-, annonse- eller sporingsverktøy. Tar vi slike verktøy i bruk senere, spør vi først, og denne erklæringen oppdateres.

12. Sikkerhet

Forbindelsen mellom appen og serveren er kryptert (HTTPS). Telefonens hemmelige nøkler og familiens nøkkel ligger i nøkkelringen og følger ikke med i sikkerhetskopier til andre telefoner. Serveren lagrer bare en hash av telefonens nøkkel. Administrasjonsverktøyet er bare tilgjengelig for oss, bak egen innlogging. Vår egen kode skriver ikke barnas navn eller IP-adresser til logger.

13. Dine rettigheter

Du har rett til innsyn, retting, sletting og begrensning, til å protestere mot behandling som bygger på berettiget interesse, til dataportabilitet der det gjelder, og til å trekke tilbake et samtykke når som helst uten at det påvirker behandlingen før det. Skriv til hallo@humleskogen.app, så svarer vi innen én måned.

Fordi appen ikke har konto, vet vi normalt ikke hvem som står bak et navneønske eller en familie. Vi kan da ikke finne opplysningene dine uten hjelp (art. 11). Familiedeling kan dere selv se, forlate og slette i appen. Et bestemt navneønske eller en bestemt navnekombinasjon kan vi slette på forespørsel.

Mener du at vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet (datatilsynet.no). Vi setter pris på om du tar kontakt med oss først.

14. Endringer

Vi oppdaterer erklæringen når appen eller nettsiden endres. Datoen øverst viser siste endring. Vesentlige endringer varsles på denne siden og, der det passer, i appen. Ny behandling som krever samtykke, starter ikke før du har samtykket.