01

Scope and status

This policy covers the Nettat iPhone app, its account and collaboration service, read-only secure Group and Expense pages, and the Nettat website. Nettat is offered in the European Union and is marketed primarily in Sweden. It describes the verified behavior of the source prepared for the next release and the services it can use.

Existing private items keep their original storage. New items use account-based collaboration; a pending invitation does not grant access. This policy does not reduce rights you have under applicable data-protection law or replace Apple’s terms for TestFlight, iCloud, or your Apple Account.

Alexander da Silva owns, runs, and maintains Nettat as a private individual based in Sweden and is the controller for personal data processed through Nettat’s collaboration service and website. The public privacy contact is hello@nettat.com.

Nettat is not directed or marketed to children and does not ask for a user’s age. Minors may use Nettat where permitted; a parent or guardian should assist when applicable law requires it.

02

Financial accuracy

Nettat is a record-keeping and calculation tool. It does not hold, send, receive, or confirm money.

• A Payment Plan is calculated from the Group’s or Expense’s recorded balances. It suggests how to bring them to zero.
• Record Payment is used only after a person confirms that money actually moved. Nettat does not infer a payment from a message, link, price, or intention.
• A Group or Expense is settled only when its recorded balances are zero. Editing or undoing an expense or payment recalculates the plan.
• Nettat keeps the original expense amount and its settlement-currency value visible. Rounding is an explicit Group or Expense setting and must remain balanced.

Nettat does not profile people or make automated decisions with legal or similarly significant effects. A Payment Plan is only a calculation based on the records in the Group or Expense.

03

What data is handled, and why

Private Groups and Expenses

Private Groups and Expenses use SwiftData on your device and may use your private iCloud and CloudKit storage when those Apple features are available and enabled. They do not require a Nettat collaboration identity and can work offline. On-device receipt recognition and optional Apple Intelligence refinement are not developer collection.

Collaborative Groups and Expenses

Every new Group and Expense uses collaboration. Existing private items are shared only when the owner enables sharing in the invitation flow. Nettat then processes the data needed to synchronize the Group or Expense and control access:

• a stable account identity, device sessions, recovery, and records of who made a change;
• display names, optional phone numbers, Group or Expense settings, roles and memberships;
• expenses, payers, splits, line items, currencies, balances, Payment Plans and recorded payments;
• size-limited receipt images and the records needed to authorize, attach, download and delete them; and
• limited records used for security, request limits, change history, and audits.

Accounts and invitations

The prepared account update prefers Continue with Apple, requires a verified phone number for new accounts, and offers SMS phone sign-in under Can’t use Apple? Phone-only signup and recovery remain disabled until separately activated. Existing email accounts retain email recovery. Apple provides an account identifier and may provide your name; Nettat does not request your Apple email address or phone number. We store a keyed Apple identifier and an encrypted credential for revoking authorization. Explicitly verified email addresses are encrypted and matched using keyed values; codes are stored only as keyed proofs in short-lived challenges. The email delivery provider receives your address and sign-in code, but no Groups, Expenses or receipts. Once phone-only recovery is activated, a successful SMS check alone can reopen the account linked to that verified number. Someone who takes control of that number, including through reassignment or a SIM takeover, could therefore gain account access. Nettat sends no automatic invitation texts.

When you request phone verification, Nettat sends the number you choose and the SMS code through its Cloudflare service to Descope for phone-possession verification. Descope and its messaging providers process the number and delivery information; they receive no Contacts directory, Groups, Expenses or receipts. Nettat asks before sending. The temporary provider user is deleted before the verified number is attached to your Nettat account. Failed, cancelled or abandoned attempts retain protected cleanup work until deletion succeeds. Deleting an active user does not erase provider security, abuse-prevention, delivery or audit records. The new app includes no phone-provider SDK. See Descope’s privacy information and subprocessors. Earlier test builds used Google Firebase; their service records remain subject to Google’s retention rules.

An invitation to a verified number appears directly in the intended account’s inbox when the phone service is activated; Join grants membership for the selected financial person. Without a verified address or proven account, a first contact connection uses a link you share yourself. After signing in, the recipient taps Join and sends their account name and identifier to the inviter. The inviter confirms that account against the selected financial person before membership is granted. Forwarding the link alone cannot grant access. Later invitations go directly to the proven account’s inbox; neither a name nor a phone match grants access. Pending invitations and connection requests appear in Nettat even when notifications are disabled. Being included in expense calculations does not grant app access. Legacy phone-addressed invitations stay restricted to their intended recipient. You can decline, cancel a request or block a person.

Apple, an explicitly verified email, iCloud Keychain and recovery codes can restore the same account. Existing authenticated installations attach sign-in without replacing their history or financial identities; conflicting accounts are not automatically combined. A saved contact or payment number is separate from sign-in and cannot identify an Apple account by itself. Legacy verified sign-in numbers remain encrypted for compatible invitations, and SMS proof can restore that account on a new installation once phone-only recovery is activated. The inviter can share an invitation link through their own messaging service.

Optional receiving details and payment services

If Swish is installed, Nettat can prefill an untouched receiving field with your verified Swedish account number. You can edit or clear it before saving; existing receiving choices are preserved. Installation does not confirm the number registered with Swish.

You can add a Swish receiving number, PayPal.Me handle, or personal Revolut.me link. These optional details are stored in your private profile and private Person records on your device and may sync through your private iCloud storage. When collaboration is active, your own profile details also sync to an owner-controlled directory in Cloudflare D1. You can clear them; deleting your collaboration identity removes its directory entry.

The directory is not included in ordinary Group sync, invitations, notifications, or Group Web Access. For a current Payment Plan transfer, Nettat can disclose the recipient’s receiving methods to the authenticated sender after checking that exact transfer. A recipient can also explicitly share their own Swish number through a single-payment link, as described below. Group membership alone does not give directory access, and admins cannot change or share another member’s private receiving details.

Opening a payment service is your choice. Swish receives the receiving number, amount and a return link; PayPal receives the recipient handle and supported amount and currency; Revolut receives the personal link. The provider controls its own profile, authentication, fees and payment approval and may receive ordinary connection metadata. Nettat does not read provider credentials or automatically record a payment when you return. You still confirm and use Record Payment after money has moved.

Public exchange rates

Automatic currency conversion can fetch the European Central Bank’s public daily reference rates directly over HTTPS. The request contains no Group, Expense, person, selected currency, amount, receipt, or Nettat identity. It still exposes ordinary network metadata, such as the apparent public IP address and request timing, to the network and the ECB. The app caches only public rates and their dates on your device; this cache is not synced to iCloud or Nettat’s collaboration service.

Optional collaboration notifications

If you enable notifications on a device, Nettat creates a random installation identifier and receives an opaque Apple Push Notification service token. The collaboration service links them to your Nettat collaboration identity only to notify that device about activity by another active member in a shared Group. The token is encrypted at rest and is not used for advertising, analytics, tracking, or device fingerprinting.

A notification may name the Group, the member who acted, an Expense title, or the people in a recorded payment. It never includes amounts, balances, phone numbers, collaboration codes, or receipt content. The notification carries only validated identifiers used to refresh authoritative Group data before Nettat opens an Expense, the Payment Plan, or the Group.

Nettat uses this data for app functionality, synchronization, collaboration, access control, security, recovery and support. It is not used for advertising, cross-app tracking, marketing profiles, or sale.

Legal bases

• Contract: processing is necessary to provide collaboration, recovery, secure Web Access, and the other features a user requests.
• Legitimate interests: Nettat processes limited data to keep the service secure, prevent abuse, answer support and privacy messages, maintain accurate shared-expense records, and handle details another member enters before a person joins. These interests are limited by data minimization, role-based access, and the correction and deletion controls described below.
• Legal obligation: data may be processed or retained when applicable law requires it.

Infrastructure

Nettat uses Apple, Cloudflare, and STRATO for its app and service infrastructure; the prepared phone service adds Descope when activated. The account release uses Cloudflare Email Service to deliver passwordless email codes. Cloudflare receives the destination address and code message and may retain delivery records under its service settings. Nettat does not log addresses or codes, and deleting the Nettat account does not delete messages from your inbox or the provider’s delivery records. See Cloudflare’s privacy information. Optional payment handoffs and public exchange-rate requests are described separately above. Apple provides sign-in, the App Store, TestFlight, private iCloud and CloudKit services, device Keychain features, on-device receipt services, Apple Push Notification service delivery, and the iCloud Mail inbox used for privacy contact. Cloudflare provides the website, account authentication and collaboration through Workers and D1, private R2 receipt storage, notification queues, secure pages, and request limiting. STRATO provides domain administration and does not receive Group or Expense content through Nettat. The app contains no advertising or product-analytics SDK.

Apple, Cloudflare, Descope and its messaging subprocessors may process data outside the EU or EEA. European SMS delivery does not mean that verification data stays in the EU. Nettat’s current phone-verification project uses Descope’s United States region. Descope’s Data Processing Amendment describes safeguards for international transfers, including Standard Contractual Clauses. See Descope’s Data Processing Amendment. Apple states that EEA personal data is controlled by Apple Distribution International in Ireland and that its international transfers use Standard Contractual Clauses. For developer-side data processed by Cloudflare, Nettat relies on Cloudflare’s Data Processing Addendum, including its EU Standard Contractual Clauses where required. Their current privacy and subprocessor information is available from Apple and Cloudflare.

Email contact

The website provides a direct email link to hello@nettat.com, not a web form. If you choose to email, your mail service sends your email address, message, and any name you include to Nettat’s Apple iCloud Mail inbox. Cloudflare serves the page and link but does not receive the email content from that link. Nettat does not write the message to D1, use it for marketing, or share it with Group or Expense members.

04

Contacts and receipts

Contacts

Add people displays Contacts permitted by iOS on your iPhone before you type. One name/number field searches those contacts and recent Nettat people locally. Nettat requests optional Contacts access only after you tap Show contacts. You can choose limited access and manage it through Apple’s native controls. A one-off picker remains a fallback when access is unavailable or the list cannot be loaded fully; manual entry is always available. Search results and queries stay on your device. Nettat adds only the name and chosen number to the financial person, and may retain the selected Contacts reference locally to reuse a confirmed account connection. The collaboration service never receives Contacts identifiers, a copy of your address book, search queries or a list of its contacts. Small contact pictures appear only on your iPhone and are not saved to financial records or uploaded. Known Nettat accounts use their chosen icon and background color; otherwise a local contact picture or colored initials appear. Account colors are shared with proven connections through the existing service and removed on account deletion.

Contact and payment numbers are optional. They can help with invitations and payment messages and may identify the recipient of a current transfer in a secure read-only page. These optional contact numbers are not verified sign-in numbers and cannot establish account ownership.

If you have not joined Nettat, a Group or Expense member may have entered your name, optional phone number, and share of an expense. That member is the source of the data. It is used only for the shared-expense record and related invitation or payment message, and you can request correction or deletion through the privacy contact.

A profile phone shared with the collaboration service is stored separately from Group contacts. Only current authenticated members of the same Group can read it. Leaving or removal revokes further reads. Profile phones are excluded from public links, notifications and audit payloads, and are deleted when the account is deleted.

Receipts

Receipt recognition uses Apple Vision on the iPhone. Apple Intelligence refinement starts only when you choose it for that receipt and stays on the device. Nettat keeps a size-limited copy of the receipt image with source metadata removed.

In a private Group or Expense, that derivative follows its local and optional private iCloud storage. In a collaborative Group or Expense, it is uploaded to a private R2 bucket so authorized members can view it through short-lived, membership-authorized URLs. If Web Access is active, anyone with that secure link can also open an attached receipt from the read-only expense details.

05

Collaboration, sharing and access

Each collaborative Group or Expense has roles and a rotatable code. A person who knows the current code can review the item and explicitly accept access; that acceptance creates or restores their membership without a separate owner or admin approval. Owners and admins can replace the code without changing existing members.

A secure read-only web link is a separate sharing choice. The link is reusable and forwardable. Anyone who receives it can read the limited set of Group or Expense details listed below until an owner or admin replaces or revokes the link, or archives the item.

The secure page can show display names, expense titles and dates, paid and share amounts, line-item details, attached receipt images, recorded payments, balances, and the selected Payment Plan. A current transfer may show the receiving person’s full stored phone number. It excludes notes, collaboration codes, memberships, authorship, receipt storage details, and internal identifiers.

The active secret is stored in the device Keychain, and the active service record stores a cryptographic hash that cannot be used to recover the link. To make a mutation safely replayable, an encrypted response can temporarily contain a newly issued link for up to seven days. Share a secure link only with the people who should read it.

Single-payment links

For one current transfer in a shared Payment Plan, the recipient, owner or admin can choose to create a separate seven-day payment link. Before sharing, Nettat explains that anyone with the link, including someone it is forwarded to, can see the sender and recipient display names, exact amount and currency, expiry and any included Swish number. The link does not give access to the Group, other transfers, receipts or history and cannot record a payment. The recipient may share their own configured Swish number; otherwise, only an eligible saved contact number can be included, without overriding cleared receiving preferences.

Message previews contain generic Nettat information, not payment details. The service stores only the link’s hash and transfer references, not a copy of its destination. The app and browser hold the token only in temporary memory; the browser removes it from the address bar. Your chosen message or sharing service can retain the link. Links stop working after expiry, revocation or relevant plan, access or receiving-detail changes. Expired link records are removed by scheduled cleanup. Cancellation of the native message composer requests revocation; cancelling another share sheet may leave a copied link active. Opening Swish is a separate confirmation and is never proof of payment. The web handoff sends no return link or Nettat access token to Swish.

06

Security commitments

• Production collaboration and secure-page URLs are required to use HTTPS.
• Recovery credentials, sessions, invitations, and secure-link access use long, randomly generated secrets. The service stores only keyed hashes or SHA-256 hashes.
• The collaboration recovery credential uses synchronizable iCloud Keychain. Sessions, pending invitation credentials, and Group Web Access links use device-local Keychain storage; single-payment links use temporary memory. Private and shared stores remain separate.
• Roles, version checks, change locks, size-limited uploads, short-lived member receipt URLs, and capability-checked no-store web receipt streams restrict access and conflicting changes.
• Secure-link and collaborator-lookup attempts use keyed connection or token values for rate limiting. Those attempt rows are deleted after 24 hours.
• The website email link opens the visitor’s chosen mail service and does not send message content through the Nettat website or collaboration service.
• Credentials, phone numbers and receipt URLs are excluded from audit logging.

No service can promise absolute security. During beta testing, suspected security or privacy problems should be reported through TestFlight feedback so they can be investigated.

07

Retention and deletion

• An active collaborative Group or Expense is retained while its owner keeps it. A deleted item has a 30-day recovery window. It is then permanently deleted with its people, invitations, expenses, receipts, and change records that contain phone numbers.
• Receipt objects queued for deletion remain inaccessible and are retried until storage deletion is confirmed. Pending or unattached uploads expire after 24 hours.
• Invitations expire after 14 days and can be revoked earlier. Secure-link and collaborator-lookup attempt rows expire after 24 hours.
• Completed mutation-replay records, including encrypted responses, expire after seven days. Incomplete processing records expire after 24 hours.
• Sessions expire after the configured session period, which is 30 days by default and can be set from 1 to 90 days. Expired session rows are removed after a further 30 days.
• Turning notifications off removes that device’s installation from Nettat without changing the iOS permission. Invalid Apple push tokens are removed immediately. Installations not seen for 180 days are deleted. Completed notification text is removed after seven days, and content-free delivery status is deleted after 30 days.
• Verification challenges expire within ten minutes. Hourly cleanup removes completed or expired records after any required provider-user cleanup succeeds; protected deletion work is retried until then. Completed SMS receipts can remain encrypted for one day after challenge expiry to make retries safe; pending provider cleanup remains until it succeeds. Anonymous send-attempt receipts and monthly totals remain independently of account deletion to enforce the service limit. Keyed request-limit records are removed after 24 hours. Invitations expire after 14 days; cleanup clears expired phone matching values and encrypted links, while retaining the restriction that prevents a forwarded invitation becoming public. Selected recent contacts remain on your device until account deletion. Blocking records and verified phone bindings are removed on account deletion.
• Deleting an account revokes any linked Apple authorization and removes verified phone and email bindings, Apple identifiers, extra recovery credentials, pending verification challenges after required provider cleanup, invitation delivery records and blocking records. Deleting an account first requires transferring or deleting Groups and Expenses it owns. The deletion revokes sessions and invitations, disables recovery, leaves joined items and anonymizes the profile. Non-personal financial and audit references may remain where recorded history requires them. The email delivery provider handles its own delivery-log retention; Nettat’s database deletion does not erase the recipient’s inbox or those provider records.
• Deleting a collaboration identity does not delete private iCloud Groups, Expenses, or receipts. Those remain under the app and Apple storage controls for the relevant devices and Apple Account.
• When a Group or Expense is archived, the service may temporarily retain only the secure-link hash needed to show a generic archived state to that exact link. Restoring the item deletes that row and does not reactivate the old link.
• Privacy and support emails are kept only while needed to handle the matter and are deleted within 12 months after it is closed. They may be kept longer only when needed for a legal obligation or legal claim.

Pending connection requests expire with their 14-day invitation. Confirmed request records are removed after 90 days; the reusable account connection lasts until account deletion. Account deletion removes connection requests and reusable account connections.

08

Your choices and rights

• Use Nettat privately and offline without enabling collaboration.
• Skip the notification prompt, enable it later for one device in Profile, turn it off for that device, or manage the iOS permission in Settings.
• Skip or cancel the one-off Contacts picker, choose only the person and phone property you want, or enter people manually.
• Edit Group or Expense data, correct expenses, undo recorded payments, remove optional phone numbers, and replace or revoke secure links when your role permits it.
• Leave a collaborative Group or Expense, or delete your collaboration identity. Saved financial history can require expenses or payments to be corrected first so the record remains accurate.
• Owners can transfer ownership or delete a collaborative Group or Expense.

Depending on applicable law, you may also have rights to information, access, correction, erasure, restriction, portability, objection and complaint. Email hello@nettat.com for a privacy request or privacy question. Nettat may request limited information to verify the requester and protect other people’s data, and normally responds within one month. You may lodge a complaint with Sweden’s privacy regulator, the Swedish Authority for Privacy Protection (IMY). Invited testers can also use TestFlight’s Send Beta Feedback.

09

Contact, accountability and changes

Nettat is owned, run, and maintained by Alexander da Silva as a private individual based in Sweden. He is the data controller for Nettat’s collaboration service and website. For privacy questions or requests, email hello@nettat.com. Invited testers can also use Send Beta Feedback from Nettat’s TestFlight page.

Nettat gives this policy a version and effective date whenever it changes. Material changes will be explained before they apply. If a change affects data already collected, Nettat will not quietly reduce the promises made here.

01

Omfattning och status

Policyn omfattar iPhone-appen Nettat, dess konto- och samarbetstjänst, skrivskyddade säkra sidor för Grupper och Utgifter samt Nettats webbplats. Nettat erbjuds i Europeiska unionen och marknadsförs främst i Sverige. Den beskriver det verifierade beteendet i källkoden som förbereds för nästa version och de tjänster som kan användas.

Privata Grupper och Utgifter använder andra tjänster än Grupper och Utgifter med samarbete. Vilka delar av policyn som gäller beror på vilka funktioner du aktiverar. Policyn begränsar inte rättigheter du har enligt tillämplig dataskyddslagstiftning och ersätter inte Apples villkor för TestFlight, iCloud eller ditt Apple-konto.

Alexander da Silva äger, driver och underhåller Nettat som privatperson med hemvist i Sverige och är personuppgiftsansvarig för personuppgifter som behandlas genom Nettats samarbetstjänst och webbplats. Den publika integritetskontakten är hello@nettat.com.

Nettat riktar sig eller marknadsförs inte till barn och frågar inte efter användarens ålder. Minderåriga får använda Nettat där det är tillåtet; en förälder eller vårdnadshavare bör hjälpa till när tillämplig lag kräver det.

02

Ekonomisk noggrannhet

Nettat är ett verktyg för dokumentation och beräkning. Nettat innehar, skickar, tar emot eller bekräftar inte pengar.

• En betalplan räknas fram från Gruppens eller Utgiftens registrerade saldon och visar hur de kan nå noll.
• Registrera betalning används först när en person bekräftar att pengar faktiskt har flyttats. Nettat drar aldrig slutsatsen att en betalning har skett utifrån ett meddelande, en länk, ett pris eller en avsikt.
• En Grupp eller Utgift är uppgjord först när de registrerade saldona är noll. Om en utgift eller betalning ändras eller ångras räknas planen om.
• Nettat visar både utgiftens originalbelopp och dess värde i avstämningsvalutan. Avrundning är ett uttryckligt val för Gruppen eller Utgiften och måste förbli balanserad.

Nettat profilerar inte personer och fattar inte automatiserade beslut med rättsliga eller liknande betydande följder. En betalplan är bara en beräkning som bygger på uppgifterna i Gruppen eller Utgiften.

03

Vilka uppgifter som hanteras och varför

Privata Grupper och Utgifter

Privata Grupper och Utgifter använder SwiftData på din enhet och kan använda din privata iCloud- och CloudKit-lagring när Apples funktioner är tillgängliga och aktiverade. De kräver ingen samarbetsidentitet i Nettat och kan fungera offline. Kvittotolkning på enheten och valfri förfining med Apple Intelligence är inte insamling av utvecklaren.

Grupper och Utgifter med samarbete

Varje ny Grupp och Utgift använder samarbete. Befintliga privata poster delas först när ägaren aktiverar delning i inbjudningsflödet. Nettat behandlar då de uppgifter som behövs för att synkronisera Gruppen eller Utgiften och styra åtkomst:

• en stabil kontoidentitet, enhetssessioner, återställning och uppgifter om vem som gjort en ändring;
• visningsnamn, valfria telefonnummer, inställningar för Gruppen eller Utgiften, roller och medlemskap;
• utgifter, betalare, fördelningar, kvittoposter, valutor, saldon, betalplaner och registrerade betalningar;
• storleksbegränsade kopior av kvittobilder och uppgifter som krävs för att godkänna, koppla, hämta och radera dem; och
• begränsade uppgifter för säkerhet, spärrar mot för många anrop, ändringshistorik och granskning.

Konton och inbjudningar

Den förberedda kontouppdateringen föredrar Fortsätt med Apple, kräver ett verifierat telefonnummer för nya konton och erbjuder sms-inloggning under Kan du inte använda Apple? Registrering och återställning med enbart sms är avstängda tills de aktiveras separat. Befintliga e-postkonton behåller återställning med e-post. Apple lämnar en kontoidentifierare och kan lämna ditt namn. Nettat begär inte din e-postadress eller ditt telefonnummer från Apple. Vi sparar en nyckelskyddad Apple-identifierare och en krypterad behörighet för återkallelse. Uttryckligen verifierade e-postadresser krypteras och matchas med nyckelskyddade värden. Koder sparas bara som nyckelskyddade bevis i kortlivade verifieringsförsök. Mejlleverantören får din adress och inloggningskod, men inga Grupper, Utgifter eller kvitton. När återställning med sms aktiveras räcker en godkänd sms-kod för att öppna kontot som är kopplat till det verifierade numret. Någon som tar över numret, till exempel genom att numret tilldelas på nytt eller ett SIM-kort kapas, kan därför få åtkomst till kontot. Nettat skickar inga automatiska inbjudnings-sms.

När du begär telefonverifiering skickar Nettat numret du väljer och sms-koden genom sin Cloudflare-tjänst till Descope för att verifiera att du har tillgång till numret. Descope och dess meddelandeleverantörer behandlar numret och leveransuppgifter, men får ingen kontaktlista, Grupper, Utgifter eller kvitton. Nettat frågar innan koden skickas. Det tillfälliga leverantörskontot raderas innan det verifierade numret kopplas till Nettat-kontot. Vid misslyckade, avbrutna eller övergivna försök sparas skyddat rensningsarbete tills raderingen lyckas. Radering av ett aktivt konto tar inte bort leverantörens säkerhets-, missbruks-, leverans- eller granskningsuppgifter. Den nya appen innehåller ingen SDK för telefonleverantören. Se Descopes integritetsinformation och underbiträden. Tidigare testversioner använde Google Firebase; deras tjänsteuppgifter omfattas fortsatt av Googles lagringsregler.

Varje ny Grupp och Utgift använder samarbete. Befintliga privata poster delas först när ägaren aktiverar delning i inbjudningsflödet. En inbjudan till ett verifierat nummer visas direkt i det avsedda kontots inkorg när telefontjänsten är aktiverad; Gå med ger medlemskap för den valda ekonomiska personen. Utan verifierad adress eller bekräftat konto använder den första kontokopplingen en länk som du delar själv. Mottagaren loggar in och trycker på Gå med, vilket skickar kontonamnet och identifieraren till den som bjöd in. Inbjudaren bekräftar kontot mot den valda ekonomiska personen innan medlemskap ges. Att vidarebefordra länken ger inte åtkomst. Senare inbjudningar går direkt till det bekräftade kontots inkorg; varken namn eller telefonnummer ger åtkomst. Väntande inbjudningar och kontoförfrågningar visas i Nettat även om notiser är avstängda. Att ingå i beräkningen ger inte åtkomst till appen. Äldre telefoninbjudningar är fortsatt begränsade till sin avsedda mottagare. Du kan tacka nej, avbryta en förfrågan eller blockera en person.

Apple, en uttryckligen verifierad e-postadress, iCloud-nyckelring och återställningskoder kan återställa samma konto. Befintliga autentiserade installationer kopplar inloggningen utan att ersätta historiken eller ekonomiska identiteter. Konton med motstridiga identiteter slås inte ihop automatiskt. Ett sparat kontakt- eller betalnummer är skilt från inloggningen och kan inte identifiera ett Apple-konto på egen hand. Äldre verifierade inloggningsnummer sparas krypterade för kompatibla inbjudningar. En godkänd sms-kod kan återställa kontot på en ny installation när återställning med sms har aktiverats. Den som bjuder in kan dela länken genom sin egen meddelandetjänst.

Valfria mottagaruppgifter och betaltjänster

Om Swish är installerat kan Nettat fylla i ett orört mottagarfält med ditt verifierade svenska telefonnummer. Du kan ändra eller tömma fältet innan du sparar. Befintliga mottagarval bevaras. Installationen bekräftar inte vilket nummer som är registrerat hos Swish.

Du kan lägga till ett mottagarnummer för Swish, ett PayPal.Me-användarnamn eller en personlig Revolut.me-länk. Dessa valfria uppgifter sparas i din privata profil och privata personposter på enheten och kan synkroniseras via din privata iCloud-lagring. När samarbete är aktivt synkroniseras även uppgifterna i din egen profil till ett ägarstyrt register i Cloudflare D1. Du kan tömma fälten; när du raderar din samarbetsidentitet tas dess registerpost bort.

Registret ingår inte i vanlig synkronisering av Grupper, inbjudningar, notiser eller Gruppens Webbåtkomst. För en aktuell överföring i Betalplanen kan Nettat lämna ut mottagarens betalmetoder till den autentiserade avsändaren efter kontroll av just den överföringen. En mottagare kan också uttryckligen dela sitt eget Swish-nummer via en länk för en enskild betalning, enligt beskrivningen nedan. Enbart medlemskap i Gruppen ger inte åtkomst till registret, och administratörer kan inte ändra eller dela en annan medlems privata mottagaruppgifter.

Du väljer själv om du vill öppna en betaltjänst. Swish får mottagarnummer, belopp och en returlänk; PayPal får mottagarens användarnamn samt belopp och valuta när det stöds; Revolut får den personliga länken. Leverantören ansvarar för sin egen profil, inloggning, avgifter och godkännande av betalningen och kan ta emot vanlig anslutningsinformation. Nettat läser inte leverantörens inloggningsuppgifter och registrerar inte automatiskt en betalning när du återvänder. Du bekräftar fortfarande att pengar har flyttats och använder Registrera betalning.

Offentliga växelkurser

Automatisk valutaomräkning kan hämta Europeiska centralbankens offentliga dagliga referenskurser direkt via HTTPS. Anropet innehåller ingen Grupp, Utgift, person, vald valuta, belopp, kvitto eller Nettat-identitet. Vanlig nätverksinformation, som den synliga offentliga IP-adressen och tidpunkten för anropet, exponeras fortfarande för nätverket och ECB. Appen mellanlagrar bara offentliga kurser och deras datum på enheten; denna cache synkroniseras inte till iCloud eller Nettats samarbetstjänst.

Valfria notiser om samarbete

Om du aktiverar notiser på en enhet skapar Nettat en slumpmässig installationsidentifierare och tar emot en ogenomskinlig token från Apples pushnotistjänst. Samarbetstjänsten kopplar dem till din samarbetsidentitet i Nettat endast för att meddela enheten om aktivitet som en annan aktiv medlem gör i en delad Grupp. Token krypteras vid lagring och används inte för reklam, analys, spårning eller identifiering av enheten i andra syften.

En notis kan visa Gruppens namn, medlemmen som gjorde ändringen, en Utgiftstitel eller personerna i en registrerad betalning. Den innehåller aldrig belopp, saldon, telefonnummer, samarbetskoder eller kvittoinnehåll. Notisen innehåller bara validerade identifierare som används för att uppdatera Gruppens auktoritativa uppgifter innan Nettat öppnar en Utgift, Betalplanen eller Gruppen.

Nettat använder uppgifterna för appens funktioner, synkronisering, samarbete, åtkomstkontroll, säkerhet, återställning och support. De används inte för reklam, spårning mellan appar, marknadsföringsprofiler eller försäljning.

Rättsliga grunder

• Avtal: behandlingen är nödvändig för att tillhandahålla samarbete, återställning, säker Webbåtkomst och andra funktioner som användaren begär.
• Berättigade intressen: Nettat behandlar begränsade uppgifter för att hålla tjänsten säker, förhindra missbruk, svara på support- och integritetsmeddelanden, bevara korrekta uppgifter om delade utgifter och hantera uppgifter som en annan medlem anger innan en person ansluter. Intressena begränsas genom uppgiftsminimering, rollstyrd åtkomst och de möjligheter till rättelse och radering som beskrivs nedan.
• Rättslig förpliktelse: uppgifter kan behandlas eller sparas när tillämplig lag kräver det.

Infrastruktur

Nettat använder Apple, Cloudflare och STRATO för appens och tjänstens infrastruktur; den förberedda telefontjänsten lägger till Descope när den aktiveras. Kontoversionen använder Cloudflare Email Service för att leverera lösenordsfria mejlkoder. Cloudflare får mottagarens e-postadress och kodmeddelandet och kan spara leveransuppgifter enligt tjänstens inställningar. Nettat loggar inte adresser eller koder. När Nettat-kontot raderas tas inte meddelanden i din inkorg eller leverantörens leveransuppgifter bort. Se Cloudflares integritetsinformation. Valfria övergångar till betaltjänster och hämtning av offentliga växelkurser beskrivs separat ovan. Apple tillhandahåller inloggning, App Store, TestFlight, privata iCloud- och CloudKit-tjänster, enhetens Nyckelring, kvittotjänster på enheten, leverans genom Apples pushnotistjänst och iCloud Mail-inkorgen för integritetskontakten. Cloudflare tillhandahåller webbplatsen, kontoautentisering och samarbete genom Workers och D1, privat R2-lagring för kvitton, notisköer, säkra sidor och anropsbegränsning. STRATO tillhandahåller domänadministration och tar inte emot innehåll från Grupper eller Utgifter genom Nettat. Appen innehåller inga SDK:er för reklam eller produktanalys.

Apple, Cloudflare, Descope och dess underbiträden för meddelanden kan behandla uppgifter utanför EU eller EES. Sms-leverans i Europa betyder inte att verifieringsuppgifterna stannar inom EU. Nettats nuvarande projekt för telefonverifiering använder Descopes region i USA. Descopes personuppgiftsbiträdesavtal beskriver skydd för internationella överföringar, inklusive standardavtalsklausuler. Se Descopes personuppgiftsbiträdesavtal. Apple uppger att personuppgifter från EES kontrolleras av Apple Distribution International i Irland och att internationella överföringar använder standardavtalsklausuler. För uppgifter som Cloudflare behandlar på Nettats vägnar förlitar sig Nettat på Cloudflares personuppgiftsbiträdesavtal, inklusive EU:s standardavtalsklausuler när de krävs. Aktuell information om integritet och underbiträden finns hos Apple och Cloudflare.

Kontakt via e-post

Webbplatsen har en direkt e-postlänk till hello@nettat.com, inte ett webbformulär. Om du väljer att mejla skickar din e-posttjänst din e-postadress, meddelandet och det namn du själv anger till Nettats inkorg hos Apple iCloud Mail. Cloudflare visar sidan och länken men tar inte emot innehållet i e-postmeddelandet från länken. Nettat skriver inte meddelandet till D1, använder det inte för marknadsföring och delar det inte med medlemmar i Gruppen eller Utgiften.

04

Kontakter och kvitton

Kontakter

Lägg till personer visar de kontakter som iOS tillåter på din iPhone innan du skriver. Ett gemensamt namn- och nummerfält söker lokalt i dessa kontakter och senaste Nettat-personer. Nettat ber om valfri kontaktåtkomst först när du trycker på Visa kontakter. Du kan välja begränsad åtkomst och hantera den med Apples inbyggda kontroller. Apples engångsväljare för Kontakter finns kvar som reserv när åtkomst saknas eller listan inte kan läsas in helt. Manuell inmatning finns alltid kvar. Sökningar och resultat stannar på enheten. Nettat lägger bara till namnet och det valda numret på den ekonomiska personen och kan behålla den valda kontaktreferensen lokalt för att återanvända en bekräftad kontokoppling. Samarbetstjänsten tar aldrig emot kontaktidentifierare, en kopia av din adressbok, sökningar eller en lista över kontakterna. Små kontaktbilder visas bara på din iPhone och sparas inte i ekonomiska poster eller laddas upp. Kända Nettat-konton använder sin valda ikon och bakgrundsfärg; annars visas en lokal kontaktbild eller initialer på färgad bakgrund. Kontofärger delas med bekräftade kontakter via den befintliga tjänsten och tas bort när kontot raderas.

Kontakt- och betalnummer är valfria. De kan hjälpa till med inbjudningar och betalningsmeddelanden och kan identifiera mottagaren av en aktuell överföring på en säker skrivskyddad sida. Dessa valfria kontaktnummer är inte verifierade inloggningsnummer och kan inte bevisa vem som äger kontot.

Om du inte har anslutit till Nettat kan en medlem i Gruppen eller Utgiften ha angett ditt namn, valfria telefonnummer och din andel av en utgift. Medlemmen är uppgifternas källa. Uppgifterna används bara för dokumentationen av den delade utgiften och en tillhörande inbjudan eller ett betalningsmeddelande, och du kan begära rättelse eller radering genom integritetskontakten.

Ett profilnummer som delas med samarbetstjänsten lagras separat från gruppkontakter. Endast nuvarande inloggade medlemmar i samma Grupp kan läsa det. Åtkomsten upphör när någon lämnar eller tas bort. Profilnummer ingår inte i offentliga länkar, notiser eller granskningsloggar och raderas när kontot raderas.

Kvitton

Kvittotolkning använder Apple Vision på iPhone. Förfining med Apple Intelligence startar bara när du väljer det för kvittot och stannar på enheten. Nettat sparar en storleksbegränsad kopia av kvittobilden där källans metadata har tagits bort.

I en privat Grupp eller Utgift följer bildversionen dess lokala och valfria privata iCloud-lagring. I en Grupp eller Utgift med samarbete laddas den upp till en privat R2-bucket så att behöriga medlemmar kan se den via kortlivade, medlemskontrollerade webbadresser. Om Webbåtkomst är aktiv kan alla med den säkra länken också öppna ett bifogat kvitto från utgiftens skrivskyddade detaljer.

05

Samarbete, delning och åtkomst

Varje Grupp eller Utgift med samarbete har roller och en kod som kan bytas. Den som känner till den aktuella koden kan granska posten och uttryckligen godkänna åtkomsten. Då skapas eller återställs medlemskapet utan ett separat godkännande från ägare eller administratör. Ägare och administratörer kan byta koden utan att ändra befintliga medlemmar.

En säker skrivskyddad webblänk är ett separat delningsval. Länken kan återanvändas och vidarebefordras. Den som får länken kan läsa de begränsade uppgifter om Gruppen eller Utgiften som räknas upp nedan tills en ägare eller administratör ersätter eller återkallar länken, eller arkiverar posten.

Den säkra sidan kan visa visningsnamn, utgiftstitlar och datum, betalda belopp och andelar, kvittopostdetaljer, bifogade kvittobilder, registrerade betalningar, saldon och den valda betalplanen. En aktuell överföring kan visa mottagarens fullständiga sparade telefonnummer. Sidan visar inte anteckningar, samarbetskoder, medlemskap, författarskap, kvittots lagringsuppgifter eller interna identifierare.

Den aktiva hemligheten lagras i enhetens Nyckelring och den aktiva tjänsteposten lagrar ett kryptografiskt hashvärde som inte kan användas för att återskapa länken. För att en ändring säkert ska kunna upprepas kan ett krypterat svar tillfälligt innehålla en ny länk i upp till sju dagar. Dela länken bara med dem som ska kunna läsa den.

Länkar för enskilda betalningar

För en aktuell överföring i en delad Betalplan kan mottagaren, ägaren eller en administratör välja att skapa en separat betalningslänk som gäller i sju dagar. Innan den delas förklarar Nettat att alla med länken, även den som får den vidarebefordrad, kan se avsändarens och mottagarens visningsnamn, exakt belopp och valuta, giltighetstid och eventuellt Swish-nummer. Länken ger inte åtkomst till Gruppen, andra överföringar, kvitton eller historik och kan inte registrera en betalning. Mottagaren kan dela sitt eget angivna Swish-nummer; annars kan endast ett sparat kontaktnummer som får användas tas med, utan att åsidosätta tömda mottagaruppgifter.

Förhandsvisningar av meddelanden innehåller allmän Nettat-information, inte betalningsuppgifter. Tjänsten sparar bara länkens hashvärde och referenser till överföringen, inte en kopia av mottagarnumret. Appen och webbläsaren håller hemligheten endast i tillfälligt minne; webbläsaren tar bort den från adressfältet. Den meddelande- eller delningstjänst du väljer kan behålla länken. Länkar slutar fungera när de löper ut, återkallas eller berörda uppgifter i planen, åtkomsten eller mottagaruppgifterna ändras. Utgångna länkposter tas bort vid schemalagd rensning. Om du avbryter det inbyggda meddelandefönstret begärs återkallelse; om du avbryter en annan delningsruta kan en kopierad länk förbli aktiv. Swish öppnas först efter en separat bekräftelse och det bevisar aldrig att betalningen har genomförts. Webböppningen skickar ingen returlänk eller Nettat-behörighet till Swish.

06

Säkerhetsåtaganden

• Produktionsadresser för samarbete och säkra sidor måste använda HTTPS.
• Återställningsuppgifter, sessioner, inbjudningar och säkra länkar använder långa, slumpmässigt genererade hemligheter. Tjänsten lagrar bara nycklade hashvärden eller SHA-256-hashar.
• Återställningsuppgiften för samarbete använder synkroniserad iCloud-nyckelring. Sessioner, väntande inbjudningsuppgifter och länkar för Gruppens Webbåtkomst använder enhetslokal Nyckelring; länkar för enskilda betalningar använder tillfälligt minne. Privata och delade datalager hålls åtskilda.
• Roller, versionskontroller, ändringslås, storleksbegränsade uppladdningar, kortlivade medlemsadresser för kvitton och behörighetskontrollerade kvittoströmmar utan cache begränsar åtkomst och samtidiga ändringar.
• Försök att öppna säkra länkar eller söka efter samarbetspartner använder nycklade anslutnings- eller tokenvärden för hastighetsbegränsning. Försöksraderna raderas efter 24 timmar.
• Webbplatsens e-postlänk öppnar besökarens valda e-posttjänst och skickar inte meddelandets innehåll genom Nettats webbplats eller samarbetstjänst.
• Behörigheter, telefonnummer och kvittoadresser utesluts från granskningsloggning.

Ingen tjänst kan lova absolut säkerhet. Under betatestningen ska misstänkta säkerhets- eller integritetsproblem rapporteras via TestFlight-feedback så att de kan utredas.

07

Lagring och radering

Verifieringsförsök löper ut inom tio minuter. Vid timvis städning tas slutförda eller utgångna försök bort när nödvändig rensning hos leverantören har lyckats; skyddat raderingsarbete försöks igen tills dess. Slutförda sms-verifieringsförsök kan sparas krypterade i ett dygn efter att de löpt ut så att säkra upprepningar fungerar; väntande leverantörsrensning sparas tills den lyckas. Anonyma poster för sändningsförsök och månadssummor behålls oberoende av kontoradering för att upprätthålla tjänstens gräns. Nyckelskyddade begränsningsuppgifter tas bort efter 24 timmar. Inbjudningar gäller i 14 dagar. Därefter rensas matchningsvärden och krypterade länkar, men mottagarbegränsningen behålls. Vid kontoradering återkallas kopplad Apple-behörighet och verifierade telefonnummer och e-postadresser, Apple-identifierare, extra återställningskoder, verifieringsförsök efter nödvändig leverantörsrensning, leveransuppgifter och blockeringar tas bort. Valda senaste kontakter tas bort från enheten. Mejlleverantören hanterar lagring av sina leveransuppgifter; Nettats databasradering tar inte bort mottagarens inkorg eller dessa leverantörsuppgifter.

• En aktiv Grupp eller Utgift med samarbete sparas så länge ägaren behåller den. En raderad post kan återställas i 30 dagar och raderas sedan permanent tillsammans med personer, inbjudningar, utgifter, kvitton och ändringsdata som innehåller telefonnummer.
• Kvittoobjekt som köats för radering förblir oåtkomliga och raderingen försöks igen tills lagringen bekräftar den. Väntande eller fristående uppladdningar löper ut efter 24 timmar.
• Inbjudningar löper ut efter 14 dagar och kan återkallas tidigare. Rader för försök att öppna säkra länkar eller söka efter samarbetspartner löper ut efter 24 timmar.
• Slutförda poster för säker upprepning av ändringar, inklusive krypterade svar, löper ut efter sju dagar. Ofullständiga bearbetningsposter löper ut efter 24 timmar.
• Sessioner löper ut efter den konfigurerade sessionstiden, som är 30 dagar som standard och kan ställas in från 1 till 90 dagar. Utgångna sessionsrader tas bort efter ytterligare 30 dagar.
• När notiser stängs av tas enhetens installation bort från Nettat utan att iOS-behörigheten ändras. Ogiltiga pushnotistoken från Apple tas bort omedelbart. Installationer som inte har setts på 180 dagar raderas. Texten i slutförda notiser tas bort efter sju dagar, och leveransstatus utan innehåll raderas efter 30 dagar.
• Innan en samarbetsidentitet raderas måste Grupper och Utgifter som identiteten äger överföras eller raderas. Raderingen återkallar sessioner och inbjudningar, stänger av återställning, lämnar anslutna poster och anonymiserar profilen. Icke-personliga ekonomi- och granskningsreferenser kan finnas kvar där den sparade historiken kräver det.
• Radering av ett konto raderar inte privata iCloud-Grupper, Utgifter eller kvitton. De förblir under appens och Apples lagringskontroller för berörda enheter och Apple-konto.
• När en Grupp eller Utgift arkiveras kan tjänsten tillfälligt behålla endast hashvärdet för den säkra länken som behövs för att visa ett generiskt arkiverat läge för exakt den länken. Om posten återställs raderas raden och den gamla länken aktiveras inte igen.
• Integritets- och supportmeddelanden via e-post sparas bara så länge de behövs för att hantera ärendet och raderas inom 12 månader efter att ärendet avslutats. De sparas längre endast om det krävs för en rättslig förpliktelse eller ett rättsligt anspråk.

Väntande kontoförfrågningar löper ut med inbjudan efter 14 dagar. Bekräftade förfrågningar tas bort efter 90 dagar; den återanvändbara kontokopplingen finns kvar tills kontot raderas. Kontoradering tar bort kontoförfrågningar och återanvändbara kontokopplingar.

08

Dina val och rättigheter

• Använd Nettat privat och offline utan att aktivera samarbete.
• Hoppa över notisfrågan, aktivera notiser senare för en enhet i Profil, stäng av dem för den enheten eller hantera iOS-behörigheten i Inställningar.
• Hoppa över eller avbryt engångsväljaren för Kontakter, välj bara den person och telefonegenskap du vill använda eller ange personer manuellt.
• Redigera data för Gruppen eller Utgiften, rätta utgifter, ångra registrerade betalningar, ta bort valfria telefonnummer och ersätt eller återkalla säkra länkar när din roll tillåter det.
• Lämna en Grupp eller Utgift med samarbete eller radera din samarbetsidentitet. Sparad ekonomisk historik kan kräva att utgifter eller betalningar rättas först så att dokumentationen förblir korrekt.
• Ägare kan överföra ägarskap eller radera en Grupp eller Utgift med samarbete.

Beroende på tillämplig lag kan du också ha rätt till information, tillgång, rättelse, radering, begränsning, dataportabilitet, invändning och klagomål. Skicka integritetsfrågor eller begäranden till hello@nettat.com. Nettat kan begära begränsade uppgifter för att verifiera den som frågar och skydda andra personers uppgifter och svarar normalt inom en månad. Du kan lämna klagomål till Sveriges integritetsmyndighet, Integritetsskyddsmyndigheten (IMY). Inbjudna testare kan också använda TestFlights Skicka betafeedback.

09

Kontakt, ansvar och ändringar

Nettat ägs, drivs och underhålls av Alexander da Silva som privatperson med hemvist i Sverige. Han är personuppgiftsansvarig för Nettats samarbetstjänst och webbplats. Skicka integritetsfrågor eller begäranden till hello@nettat.com. Inbjudna testare kan också använda Skicka betafeedback på Nettats TestFlight-sida.

Nettat får ett versionsnummer och giltighetsdatum varje gång policyn ändras. Väsentliga ändringar förklaras innan de börjar gälla. Om en ändring berör redan insamlade uppgifter försvagas inte löftena i policyn i det tysta.