Personvernerklæring for Kantega Lommebok

Om Kantega Lommebok

Kantega Lommebok er laget av Kantega AS. Vi leverer lommeboktjenester inn i Digitaliseringsdirektoratets sandkasse for digitale bevis: utstedelse, verifisering, bevishåndtering og lommebøker for iOS, Android og web.

Løsningene våre bygger på de europeiske standardene for digital identitet (eIDAS 2.0 og EUDI Wallet). Lommebøkene bruker OpenID4VCI 1.0 til utstedelse og OpenID4VP 1.0 til fremvisning, og er bygget for å virke sammen med andre løsninger etter OpenID4VC High Assurance Interoperability Profile (HAIP) 1.0. Utstedertjenesten vår følger FAPI 2.0 Security Profile og testes mot OpenID Foundations testsuite.

Vi vil gi det nordiske markedet lommeboktjenester av høy kvalitet, fra de første forsøkene til løsninger klare for produksjon.

Viktig: Kantega Lommebok er ikke en godkjent eller sertifisert EUDI-lommebok, og bevisene i den er ikke gyldig legitimasjon. Ikke legg inn ekte personopplysninger, og ikke bruk bevis som gjelder i virkeligheten.

Vil du samarbeide, utforske digitale bevis eller lage din egen lommebok? Ta kontakt på post@kantega.no eller på kantega.id.

Kort fortalt

Kantega samler ikke inn personopplysninger om deg gjennom denne appen. Alt appen lagrer, ligger lokalt på din egen enhet. Kantega AS driver ingen tjener som tar imot bevisene, aktivitetsloggen eller PIN-koden din. Vi kan ikke se dem, og vi kan ikke hente dem ut.

Opplysninger forlater enheten bare når du selv henter eller deler et bevis — og da til den utstederen eller verifikatoren du har valgt, aldri til oss.

Appen har ingen analyseverktøy, ingen annonser og ingen reklame-ID, og vi samler ikke inn bruksstatistikk.

Vi anbefaler ikke på noen måte å bruke skarpe data i Kantega Lommebok. Ikke legg inn ekte personopplysninger, og ikke bruk bevis som gjelder i virkeligheten.

Hvem er behandlingsansvarlig

Kantega AS er ansvarlig for appen og for denne erklæringen. Kontakt: post@kantega.no.

Siden ingen opplysninger fra appen kommer fram til oss, behandler vi i praksis ingen personopplysninger om deg som bruker av lommeboken. Deler du et bevis, er det mottakeren — den utstederen eller verifikatoren du valgte — som er ansvarlig for det de mottar, etter sine egne vilkår.

Hva appen lagrer på enheten din

• Bevisene du mottar, med de opplysningene beviset inneholder (for eksempel navn, fødselsdato og andre attributter).
• Private nøkler til bevisene, som brukes til å signere når du henter eller deler et bevis. De genereres på enheten, og de forlater den aldri.
• Navnet du oppgir i onboardingen, som brukes til å lage et lokalt eksempelbevis.
• PIN-koden din, lagret som en saltet, enveis nøkkel — aldri som tallene du tastet.
• Aktivitetslogg over hva du har mottatt og delt, når, og med hvem.
• Diagnostikklogg med tekniske protokollhendelser, til feilsøking.
• Innstillinger, som språkvalg, visningsvalg og av/på-brytere.

Ingenting av dette sendes til Kantega.

Hvordan det er beskyttet på enheten

Lommeboken bruker sikkerhetsmekanismene operativsystemet selv tilbyr, ikke egne påfunn:

• Nøklene ligger i enhetens sikre maskinvare — Secure Enclave på iOS, Android Keystore (StrongBox der enheten har det) på Android. Nøkkelen kan brukes til å signere, men den kan ikke leses ut, heller ikke av appen. Nøkler til bevis er i tillegg bundet til brukerautentisering, slik at enheten krever Face ID, Touch ID, fingeravtrykk eller skjermlåskoden før en signatur lages. To unntak er verdt å kjenne til: bevis som ble utstedt i eldre versjoner av appen kan ha nøkler uten den bindingen (bevisdetaljene viser hva som gjelder for hvert bevis), og på en enhet uten skjermlås kan operativsystemet ikke stille kravet i det hele tatt. På iOS gjelder bindingen SD-JWT-bevis; mDoc-sporet bruker et bibliotek som ikke kan uttrykke det samme kravet.
• PIN-koden lagres aldri i klartekst. Den lagres som en saltet nøkkel avledet med PBKDF2-HMAC-SHA256 (210 000 iterasjoner), sammen med parameterne som ble brukt. Appen har også forsøksbegrensning, slik at gjetting bremses. PIN-koden er en bekvemmelighetslås for skjermbildene; den egentlige beskyttelsen av nøklene er enhetens egen autentisering.
• Innholdet sikkerhetskopieres ikke til skyen. På iOS lagres bevis og nøkler slik at de bare finnes på denne enheten, og aktivitetsloggen er merket for å holdes utenfor sikkerhetskopier. På Android er sikkerhetskopiering slått av for appen, så innholdet kopieres verken til Google Drive eller over til en ny telefon.

Hva som forlater enheten din, og når

Data forlater enheten bare når du selv starter en handling:

• Når du henter et bevis kontakter appen den utstederen du har fått et tilbud fra, og utveksler det protokollen krever for å utstede beviset til deg.
• Når du deler et bevis ser du hvem som spør og hvilke opplysninger de ber om, og du velger om du vil dele. Deler du, sendes de valgte opplysningene til den mottakeren — og bare til den.

All slik trafikk går kryptert (HTTPS/TLS). Kantega ser ikke denne trafikken og mottar ikke bevisene dine.

Hvem mottar opplysningene

Mottakeren er den utstederen eller verifikatoren du selv velger, ved å skanne en QR-kode eller åpne en lenke. Som regel er dette EU-kommisjonens offentlige testmiljøer (issuer.eudiw.dev, verifier.eudiw.dev) eller testmiljøer hos Digitaliseringsdirektoratet. Det er de som behandler opplysningene du sender dit, etter sine egne vilkår — ikke Kantega.

Dette er nok en grunn til at vi ikke anbefaler skarpe data: ekte personopplysninger ville da bli sendt til et testmiljø, ikke til en tjeneste med driftsavtale.

Kamera

Appen bruker kameraet til å lese QR-koder. Bildene behandles i sanntid i appen. Ingen bilder lagres, og ingen bilder sendes noe sted.

Biometri

Face ID, Touch ID og fingeravtrykk håndteres av operativsystemet. Appen ber om en bekreftelse og får bare svaret «godkjent» eller «avvist» tilbake — aldri biometrien din, som blir liggende i enhetens sikre maskinvare.

Bluetooth og deling i nærheten

Standarden for å vise fram et bevis til en leser i nærheten (ISO 18013-5) bruker Bluetooth.

• På iOS er funksjonen tilgjengelig, og Bluetooth brukes bare når du selv starter en slik deling.
• På Android ber appen om Bluetooth-tillatelse fordi funksjonen er planlagt, men den er ikke i bruk i dag, og ingen data deles over Bluetooth.

Diagnostikk og statistikk

Appen fører en lokal diagnostikklogg og en lokal driftsstatistikk, begge på enheten din:

• Diagnostikkloggen inneholder tekniske protokollhendelser. Innhold som kan være sensitivt — tokens, engangsverdier og feilmeldingskropper fra utsteder eller verifikator — maskeres før det skrives. Loggen forlater aldri telefonen med mindre du selv velger å dele den fra Innstillinger → Diagnostikk.
• Driftsstatistikken teller hvor mange utstedelser, delinger og lagringsoperasjoner som lyktes eller feilet, og hvilken feiltype det var. Den inneholder tellere og feilkoder, ikke bevisinnhold, adresser eller identifikatorer, og det finnes ingen kode i appen som sender den noe sted. Du ser den samme statistikken selv under Innstillinger → Diagnostikk.
• Operativsystemets egne krasjdiagnoser leses inn i den lokale loggen: på iOS via MetricKit (krasj-, heng- og avslutningsdiagnoser for appen selv), på Android via systemets oversikt over hvorfor forrige prosess tok slutt (krasj, ANR, minnedrap). Dette er metadata om appens prosess, ikke om deg.

I tillegg gir plattformene oss aggregert krasjstatistikk når du selv har slått på deling av diagnose- og bruksdata i enhetens innstillinger: «App Store Connect» på iOS og «Android vitals» på Google Play. Det er plattformfunksjoner fra Apple og Google, du styrer dem i enhetsinnstillingene og ikke i appen, og vi ser bare aggregerte tall — aldri knyttet til deg.

Valgfrie funksjoner du selv slår på

Noen eksperimentelle funksjoner er avslått som standard og kontakter andre tjenester først når du slår dem på i Innstillinger. Den viktigste er lommebokattestering, der appen ber en wallet provider (i dag EU-kommisjonens testmiljø wallet-provider.eudiw.dev) om en attestasjon på at den er en ekte lommebok-installasjon. Er bryteren av, skjer ingen slik kontakt.

På Android kan appen dessuten be Google Play-tjenestene om en Play Integrity-vurdering av installasjonen. Funksjonen krever en prosjektkonfigurasjon som ikke er satt i den publiserte appen, og er derfor inaktiv.

Hvor lenge lagres opplysningene, og hvordan sletter du dem

Så lenge du selv lar dem ligge. Du har tre måter å slette på:

1. Slett et enkelt bevis i bevisdetaljene.
2. Innstillinger → Nullstill lommeboken fjerner alle bevis, nøkler, PIN-koden og aktivitetsloggen fra enheten. Den krever to bekreftelser og kan ikke angres.
3. Avinstaller appen, eller slett appens data i enhetens innstillinger, så forsvinner alt sammen med den.

Diagnostikkloggen blir ikke berørt av nullstillingen — at den irreversible handlingen står loggført er hele grunnen til at loggen finnes. Den tømmes separat under Innstillinger → Diagnostikk.

Fordi vi ikke har kopier, kan ikke slettede bevis gjenopprettes — de må utstedes på nytt. Og fordi ingenting lagres hos oss, finnes det ingen hos Kantega å be om innsyn i eller sletting av. Har du sendt opplysninger til et testmiljø ved å dele et bevis, må en slik henvendelse rettes til den som driver miljøet.

Dine rettigheter

Du har rettighetene som følger av personvernforordningen (GDPR), blant annet innsyn, retting og sletting. Siden Kantega ikke lagrer opplysninger fra appen, gjelder de i praksis overfor mottakerne du har delt med. Har du spørsmål, kontakt oss på post@kantega.no. Mener du at personopplysninger om deg behandles i strid med regelverket, kan du klage til Datatilsynet.

Endringer

Endrer vi hva appen lagrer eller sender, oppdaterer vi denne erklæringen og datoen øverst.