Final Gravity — Integritetspolicy

Senast uppdaterad: 15 oktober 2026

Denna integritetspolicy beskriver hur Final Gravity (“tjänsten”, “appen”) behandlar personuppgifter. Policyn är utformad med hänsyn till EU:s dataskyddsförordning (GDPR) och svensk rätt. Detta är information till dig som användare; den utgör inte juridisk rådgivning.

1. Personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen är skaparna av Final Gravity. Frågor om personuppgifter kan ställas via tjänsten.

2. Vilka uppgifter vi behandlar

Beroende på hur du använder tjänsten kan vi behandla:

Kontouppgifter: e-post lagras som envägshash (HMAC) för inloggning/koppling — inte i klartext i databasen. Visningsnamn, användarnamn, roll, avatar-URL och tidpunkter för skapande/uppdatering.
Inloggning lokalt: lösenord lagras endast som kryptografisk hash (inte i klartext).
OAuth (Google/Facebook): leverantör och leverantörens användar-id; e-post från leverantören hashas på samma sätt och lagras inte i klartext.
Användarinnehåll: recept, mappar, inventarie, stilar, brygginställningar och liknande data du sparar i appen.
Delningslänkar: publika delningstoken för recept som du väljer att dela.
Tekniska uppgifter: JWT (sessions-token) i webbläsarens localStorage, kortlivad OAuth-state-cookie, samt språk-/temainställningar som sparas lokalt i din webbläsare.
AI-funktion: den fritextprompt du skickar för receptgenerering.
Egen Replicate-nyckel (BYOK): om du anger en API-nyckel lagras den krypterad i databasen och används endast för dina AI-anrop mot Replicate. Klartextnyckeln returneras aldrig till klienten.

3. Ändamål och rättslig grund

Personuppgifter används endast för att tillhandahålla och säkra kontot samt den begärda tjänsten:

Tillhandahålla tjänsten (konto, inloggning, recept, inventarie, delning) — avtal / berättigat intresse att leverera den begärda tjänsten.
Säkerhet och missbruksskydd — berättigat intresse.
AI-generering av recept — avtal / ditt begärda utförande av tjänsten.
Kommunikation om kontot (vid behov) — avtal eller berättigat intresse.

Vi säljer inte dina personuppgifter och använder dem inte för marknadsföring, profilering, tredjepartsannonsering eller andra sekundära ändamål. Plattformsinnehåll du sparar (t.ex. recept) kan användas enligt våra användarvillkor; personuppgifter används inte för sådana ändamål.

4. Mottagare och underbiträden

Google / Facebook: vid OAuth-inloggning behandlas uppgifter enligt respektive leverantörs villkor och privacy-policy.
Replicate: när du använder AI-receptgenerering skickas din prompt (och systeminstruktion) till Replicate för modellkörning, autentiserad med serverns nyckel eller din egen BYOK-nyckel. E-post eller användar-id ingår inte i den payload som appen skickar till Replicate.
Hosting / infrastruktur: den leverantör som driver servern och databasen kan tekniskt behandla data som teknisk infrastruktur.
CDN för vissa klientbibliotek: t.ex. HTMX kan laddas från tredjeparts-CDN.

Överföring utanför EU/EES kan förekomma via ovanstående leverantörer. Där så krävs ska lämpliga skyddsåtgärder (t.ex. standardavtalsklausuler) finnas hos leverantören.

5. Cookies och lagring i webbläsaren

Vi använder nödvändig teknik för inloggning och preferenser:

kortlivad cookie för OAuth-state,
JWT i localStorage för sessionshantering,
lokala inställningar (språk, tema m.m.).

Vi använder inte reklam- eller spårningscookies i den mening som typiskt kräver samtycke för marknadsföring. Om cookie-användningen utökas uppdateras denna policy.

6. Lagringstid

Kontouppgifter och användarinnehåll sparas så länge kontot är aktivt eller tills du raderar kontot i appen (Inställningar → Radera konto), om inte lag kräver längre lagring. Lokala tokens och preferenser finns tills du rensar dem i webbläsaren eller loggar ut (där utloggning tar bort token).

7. Dina rättigheter

Enligt GDPR har du rätt att begära tillgång, rättelse, radering, begränsning, dataportabilitet (där tillämpligt) och att invända mot behandling som bygger på berättigat intresse. Du kan också lämna klagomål till Integritetsskyddsmyndigheten (IMY), imy.se.

Du kan radera ditt konto själv under Inställningar (med bekräftelse). Kontakta oss via tjänsten för övriga rättigheter.

8. Säkerhet

Vi vidtar rimliga tekniska och organisatoriska åtgärder (t.ex. lösenordshashning, e-post som envägshash, åtkomstkontroll via JWT). Ingen metod är helt riskfri; du ansvarar för att skydda dina inloggningsuppgifter och enheter.

9. Barn

Tjänsten riktar sig inte till barn under 16 år. Om du tror att vi behandlar uppgifter om ett barn utan giltig grund, kontakta oss så att vi kan radera uppgifterna.

10. Ändringar

Vi kan uppdatera denna policy. Den aktuella versionen publiceras på denna sida med uppdaterat datum. Vid väsentliga ändringar strävar vi efter att informera på lämpligt sätt i tjänsten.

Last updated: 15 October 2026

This privacy policy describes how Final Gravity (the “service”, the “app”) processes personal data. It is drafted with regard to the EU GDPR and Swedish law. This is information for users; it is not legal advice.

1. Controller

The controller of the processing is the creators of Final Gravity. Questions about personal data may be raised through the service.

2. Data we process

Depending on how you use the service, we may process:

Account data: email stored as a one-way HMAC hash for sign-in/linking — not in clear text in the database. Display name, username, role, avatar URL, and created/updated timestamps.
Local login: passwords stored only as a cryptographic hash (never in clear text).
OAuth (Google/Facebook): provider and provider user id; email from the provider is hashed the same way and not stored in clear text.
User content: recipes, folders, inventory, styles, brewing settings and similar data you save in the app.
Share links: public share tokens for recipes you choose to share.
Technical data: JWT (session token) in the browser’s localStorage, a short-lived OAuth state cookie, and language/theme preferences stored locally in your browser.
AI feature: the free-text prompt you submit for recipe generation.
Your Replicate key (BYOK): if you provide an API key, it is stored encrypted in the database and used only for your AI calls to Replicate. The plaintext key is never returned to the client.

3. Purposes and legal bases

Personal data is used only to provide and secure the account and the requested service:

Providing the service (account, login, recipes, inventory, sharing) — contract / legitimate interest in delivering the requested service.
Security and abuse prevention — legitimate interest.
AI recipe generation — contract / performance of the service you request.
Account-related communication (when needed) — contract or legitimate interest.

We do not sell your personal data and do not use it for marketing, profiling, third-party advertising or other secondary purposes. Platform content you save (e.g. recipes) may be used under our terms of use; personal data is not used for those purposes.

4. Recipients and processors

Google / Facebook: for OAuth sign-in, data is processed under each provider’s terms and privacy policy.
Replicate: when you use AI recipe generation, your prompt (and system instruction) is sent to Replicate for model execution, authenticated with the server key or your own BYOK key. Email or user id is not included in the payload the app sends to Replicate.
Hosting / infrastructure: the provider operating the server and database may process data as technical infrastructure.
CDN for certain client libraries: e.g. HTMX may be loaded from a third-party CDN.

Transfers outside the EU/EEA may occur via the providers above. Where required, appropriate safeguards (e.g. standard contractual clauses) should be in place with the provider.

5. Cookies and browser storage

We use necessary technology for sign-in and preferences:

a short-lived cookie for OAuth state,
a JWT in localStorage for session handling,
local preferences (language, theme, etc.).

We do not use advertising or tracking cookies of the kind that typically requires consent for marketing. If cookie use expands, this policy will be updated.

6. Retention

Account data and user content are kept while the account is active or until you delete the account in the app (Settings → Delete account), unless law requires longer retention. Local tokens and preferences remain until you clear them in the browser or sign out (where sign-out removes the token).

7. Your rights

Under the GDPR you may request access, rectification, erasure, restriction, data portability (where applicable), and object to processing based on legitimate interest. You may also lodge a complaint with the Swedish Authority for Privacy Protection (IMY), imy.se.

You can delete your account yourself under Settings (with confirmation). Contact us through the service for other rights.

8. Security

We take reasonable technical and organisational measures (e.g. password hashing, one-way email hashing, JWT access control). No method is completely risk-free; you are responsible for protecting your credentials and devices.

9. Children

The service is not directed at children under 16. If you believe we process a child’s data without a valid basis, contact us so we can delete it.

10. Changes

We may update this policy. The current version is published on this page with an updated date. For material changes we aim to inform you appropriately in the service.