Personvernerklæring

1. Behandlingsansvarlig

Behandlingsansvarlig: TindraFit (enkeltpersonforetak, Norge). Spørsmål om personvern kan rettes til toreolav@furreness.no.

2. Hvilke data vi samler inn og hvorfor

TindraFit samler inn treningsdata og helserelaterte data utelukkende for å gi deg et personlig treningsdashboard. Under følger en oversikt over datakategorier, kilde og rettslig grunnlag.

2a. Aktivitetsdata fra Garmin (via intervals.icu)

• Data: Økt-eksistens, varighet, distanse, sport, GPS-aggregater (ikke rå GPS-track), HRV, søvn, hvilepuls, readiness-score.
• Formål: Beregne form- og fatiguekurve (CTL/ATL/TSB), readiness-innsikt og ukentlig treningssammendrag.
• Rettslig grunnlag: Avtale (GDPR art. 6(1)(b)) — du har eksplisitt koblet til intervals.icu og bedt om synkronisering.
• Lagringstid: Slettes ved frakobling eller sletting av konto.

2b. Strava (valgfri tilkobling)

intervals.icu (§2a) er primærkilden til aktivitetsdata. Strava-tilkobling er valgfri og behandles ulikt avhengig av om du også er koblet til intervals.icu:

• Konto koblet til intervals.icu: Vi henter ingen ny aktivitetsdata løpende fra Strava — intervals.icu er eneste aktive kilde. Aktiviteter hentet fra Strava før overgangen til intervals.icu (juli 2026) kan fortsatt ligge lagret inntil du kobler fra.
• Konto UTEN intervals.icu (Strava-only): Vi henter og viser kun de siste 7 dagene med aktivitetsdata fra Strava. Eldre rå og avledet Strava-data slettes automatisk ved hver synkronisering (rullerende 7-dagers-vindu). Dashbordet er begrenset til dette vinduet — ingen lang form-/fatiguekurve uten intervals.icu.
• Data: Tilgangstoken fra Stravas OAuth-flyt, samt (kun for Strava-only-kontoer) aktivitetsdata for siste 7 dager (distanse, varighet, type, soner, makspuls, utstyr).
• Formål: Kontotilkobling, samt (Strava-only) begrenset aktivitetsvisning, gear/slitasje og relative effort.
• Rettslig grunnlag: Samtykke (GDPR art. 6(1)(a)) — du har autorisert TindraFit via Stravas OAuth-flyt.
• Strava-origin data holdes UTENFOR KI-pipelinen (se §4 under).
• Lagringstid: Tilgangstoken og eventuelle lagrede Strava-origin-aktiviteter slettes ved frakobling (innen 48 timer) eller sletting av konto. Strava-only-data eldre enn 7 dager slettes automatisk løpende (se over), uavhengig av frakobling.

2c. Readiness og helse (daglige målinger)

• Data: HRV, søvnkvalitet, søvnlengde, hvilepuls (fra intervals.icu / Garmin), laktatmålinger (selvregistrerte laktattester), subjektiv dagsform (selvregistrert).
• Skade- og tretthetshistorikk: Selvregistrert fritekst om tidligere skader (hva, hvordan og status i dag) og eventuelle perioder med vedvarende tretthet — samlet inn frivillig gjennom KI-trenerens onboarding-samtale eller i Innstillinger, kun med ditt eksplisitte samtykke. Brukes til å gi deg og en eventuell coach kontekst for roligere perioder og skånsomme anbefalinger — ikke til diagnose. Historikken sendes ikke til KI-treneren — hverken i chatten, i de automatiske øktforslagene eller i den ukentlige innsikten. Vondt-/plage-notat per treningsøkt behandles som samme kategori — frivillig og kun med det samme eksplisitte samtykket — og sendes ALDRI til KI-treneren.
• Formål: Readiness-vurdering — hjelpe deg å tilpasse treningsbelastning til dagsform.
• Rettslig grunnlag: Samtykke (GDPR art. 9(2)(a) for helsedata; art. 6(1)(a) for øvrig).
• Lagringstid: Inntil kontoen slettes. Trekker du tilbake helsedata-samtykket i Innstillinger, sletter vi umiddelbart treningsdataene og helsedataene dine (ikke bare koblingen) — se §5.

2d. Kontodata

• Data: E-postadresse, navn (valgfritt), makspuls-baseline, hvilepuls-baseline, vekt, FTP.
• Formål: Autentisering og personlig kalibrering av TRIMP-beregninger.
• KI-trenerprofil (selvregistrert): Du kan fylle ut langsiktig mål, måldato, kortsiktig mål, utdypende måltekst, antall år med trening, idretter, nivåbeskrivelse, timer per uke, tilgjengelige dager, foretrukket tidspunkt, utstyr og tilgang og kommunikasjonsstil i KI-trenerprofilen (onboarding eller Innstillinger). Feltene er selvregistrert fritekst/valg og sendes som skrevet til Anthropic i én eller flere av KI-trenerens tre deler (chat, øktforslag og ukentlig innsikt) — hvilke felt som inngår varierer mellom de tre. Se §3 og §4.
• Samles inn, men sendes ikke til KI-treneren: livssituasjonsnotat og varslingspreferanse fra KI-trenerprofilen — se også §2c for skade- og tretthetshistorikk.
• Rettslig grunnlag: Avtale (GDPR art. 6(1)(b)) for kontodata. Overføring av KI-trenerprofilen til Anthropic bygger på ditt uttrykkelige samtykke (art. 9(2)(a) / 6(1)(a)) — se §3 og §4.
• Lagringstid: Inntil kontoen slettes. Trekker du tilbake helsedata-samtykket i Innstillinger, slettes hele KI-trenerprofilen umiddelbart — se §5.

2e. Egne notater på økta (selvregistrert)

• Data: Fritekst-notat, avviksgrunn, underlag, temperatur og luftfuktighet — alt selvregistrert av deg på øktdetaljsiden.
• Formål: Din egen treningsdagbok og trendvisning. Sendes ikke til KI-treneren.
• Rettslig grunnlag: Avtale (GDPR art. 6(1)(b)) — samme grunnlag som øvrig treningsdata i §2a.
• Lagringstid: Inntil kontoen slettes. For Strava-only-kontoer slettes notatet sammen med økta etter 7 dager (se §2b).

3. Tredjeparter og databehandlere

Vi deler data med følgende databehandlere:

• Supabase Inc. (USA / EU) — databasehosting og autentisering. Data lagres på servere i EU (eu-north-1/Stockholm). Overføringer ut av EØS (f.eks. til Vercel og Anthropic under) baseres på EUs standardavtaleklausuler (SCC); formalisering av databehandleravtalene pågår.
• Vercel Inc. (USA) — hostingplattform og anonym, cookie-fri bruksstatistikk (se §6a). Loggdata kan prosesseres utenfor EU. Standard Contractual Clauses benyttes.
• Anthropic, PBC (USA) — KI-treningsassistent (interaktiv KI-trener-samtale, øktforslag og ukentlig treningsinnsikt). Til den automatiske innsikt-/forslags-pipelinen sender vi aggregerte, pseudonymiserte trenings- og helsemetrikker (ikke rå GPS; ikke Strava-origin data). Kontoidentifikatorer som e-post og navn sendes aldri — men mål-, nivå- og rammetekst som du selv har skrevet i KI-trenerprofilen sendes som skrevet, også i denne pipelinen (se §2d for oppregningen av profilfeltene — ikke alle inngår i denne pipelinen). Spørsmål du selv skriver i KI-trener-chatten sendes derimot som skrevet — se §4. Behandlingen bygger på ditt uttrykkelige samtykke (GDPR art. 9(2)(a)) for helsedata. Se §4.
• intervals.icu — primær treningsdatakilde (Garmin-integrering). Vi henter data via godkjent partner-API.
• Strava, Inc. — valgfri tilkobling. Vi lagrer tilgangstoken via Stravas OAuth-flyt etter din autorisasjon; for Strava-only-kontoer henter vi i tillegg aktivitetsdata for siste 7 dager (se §2b).

4. KI-assistent og datasikkerhet

TindraFit har en valgfri KI-treningsassistent («KI-treneren»), drevet av Claude (Anthropic), med tre deler: en interaktiv chat der du kan stille spørsmål, øktforslag og ukentlig treningsinnsikt.

For øktforslagene og den ukentlige innsikten sender vi aggregerte, pseudonymiserte trenings- og helsemetrikker — som HRV, søvn, hvilepuls, treningsbelastning og form (CTL/ATL/TSB) — til Anthropic. Vi sender aldri rå GPS-data og aldri Strava-origin aktivitetsdata. Kontoidentifikatorer som e-post og navn sendes aldri i denne automatiske pipelinen — men mål-, nivå- og rammetekst som du selv har skrevet i KI-trenerprofilen sendes som skrevet, også her (se §2d for oppregningen av profilfeltene — ikke alle inngår i denne pipelinen).

Chatten er annerledes: spørsmål du selv skriver til KI-treneren sendes som skrevet til Anthropic for å kunne besvares. Unngå å oppgi navn eller andre identifiserende detaljer i fritekst-spørsmål.

Dette er helsedata (særkategori personopplysninger). Vi behandler dem kun på grunnlag av ditt uttrykkelige samtykke (GDPR art. 9(2)(a)), gitt ved en aktiv, ikke-forhåndshuket bekreftelse i Innstillinger. KI-treneren er valgfri — dashbord, grafer og historikk fungerer helt uten den. Du kan trekke samtykket når som helst i Innstillinger. Overføringer til Anthropic i USA baseres på EUs standardavtaleklausuler (SCC); formalisering av databehandleravtalen pågår.

5. Dine rettigheter

Du har etter GDPR rett til å:

• Få innsyn i hvilke data vi lagrer om deg (art. 15)
• Kreve retting av uriktige data (art. 16)
• Kreve sletting («rett til å bli glemt», art. 17)
• Protestere mot eller begrense behandlingen (art. 18–21)
• Trekke tilbake samtykke (for Strava-integrering og KI-funksjonen) uten at det påvirker lovligheten av behandling foretatt før tilbaketrekking. Trekker du helsedata-samtykket tilbake i Innstillinger, sletter vi umiddelbart trenings- og helsedataene dine — dette skjer i tillegg til, og uavhengig av, full kontosletting.
• Klage til Datatilsynet (datatilsynet.no) dersom du mener vi behandler dine personopplysninger i strid med GDPR

Henvendelser om personvernrettigheter rettes til toreolav@furreness.no.

6. Informasjonskapsler (cookies)

TindraFit bruker kun nødvendige informasjonskapsler for sesjonshåndtering (Supabase Auth). Vi bruker ikke sporings- eller markedsføringskapsler.

6a. Anonym bruksstatistikk

På de offentlige sidene (forsiden, tidlig tilgang-siden, kom i gang-guidene og onboarding — ikke sider bak innlogging) bruker vi Vercel Web Analytics til å måle grov bruksstatistikk: hvilken side som besøkes, henvisende nettsted, samt grov enhets-/nettlesertype og grov geografisk region på landnivå.

Målingen er cookie-fri og uten identifikator — den kan ikke kobles til deg som person eller til andre besøk du gjør. Rettslig grunnlag er berettiget interesse (GDPR art. 6(1)(f)): å forstå hvordan de offentlige sidene fungerer, uten å spore enkeltbesøkende. Behandler er Vercel Inc. (se §3).

7. Endringer i erklæringen

Vesentlige endringer varsles via e-post til registrerte brukere. Dato for siste oppdatering fremgår øverst på denne siden.