Personvernerklæring
Her forklarer vi hvordan NossenCoaching behandler personopplysningene dine, både når du søker om plass på nettsiden og når du bruker appen som klient. Vi følger personopplysningsloven og personvernforordningen (GDPR).
1. Behandlingsansvarlig
NossenCoaching v/Vetle Nossen, Norge.
Kontakt: vetle.d.nossen@gmail.com
2. Hva vi behandler
Når du søker om plass via skjemaet på nettsiden: navn, e-post, det du skriver om målene dine, hvilket tilbud du eventuelt er interessert i og eventuelt telefonnummer. Vi lagrer også hvilken sesong du søker til, og om du står på ventelisten.
Når du er klient:
- Konto og profil: navn, e-post, alder, kjønn og svarene dine i oppstartsskjemaet, også det du skriver med egne ord.
- Helseopplysninger (særlige kategorier, GDPR art. 9): vekt, kroppsmål, kroppsfett, muskelmasse, skader, allergier, sjekk-inn (søvn, stress, energi, sult), humør og kosthold. Har du Kapasitetsprofilen, også PAR-Q+-skjemaet (helsespørsmål før testing) og testresultatene dine.
- Trening og kosthold: programmer, økter, øvelser, rekorder, HYROX-plan, måltidsplaner og logger.
- Bilder og video: framgangsbilder, videoer til formsjekk og bilder eller video du sender i chatten.
- Kommunikasjon: chatmeldinger mellom deg og coach.
- WHOOP (frivillig, bare hvis du kobler til): recovery, hjertefrekvensvariabilitet (HRV), hvilepuls, søvn, strain og treningsøkter. Regnes som helseopplysninger.
- Apple Health (frivillig, bare hvis du setter opp synk fra iPhone): målinger og aktiviteter du velger å sende fra Helse-appen. Regnes som helseopplysninger.
- Teknisk: IP-adresse, enhetstype og, hvis du tillater varsler, et push-token for enheten din.
3. Hvorfor, og med hvilket grunnlag
- Svare på søknaden din: for å kunne svare deg og avklare om coaching passer, før en eventuell avtale (GDPR art. 6.1.b). Står du på ventelisten, bruker vi e-posten til å gi deg beskjed før opptaket åpner for alle.
- Levere coachingen: avtale (GDPR art. 6.1.b).
- Bruke helseopplysninger til personlig oppfølging: uttrykkelig samtykke (GDPR art. 9.2.a).
- AI-støtte i coachingen (se punkt 4): eget, uttrykkelig samtykke (GDPR art. 9.2.a). Det er frivillig, og du kan bruke tjenesten uten.
- Push-varsler: samtykke. Du kan slå dem av når du vil.
4. Slik bruker vi AI
Vi bruker Claude, en AI-modell fra Anthropic, som hjelpemiddel for coach. Slik fungerer det:
- Frivillig, og bare med samtykke. AI brukes bare på dine data hvis du har gitt eget samtykke til det. Serveren sjekker samtykket ditt før hvert AI-kall. Du velger ja eller nei når du starter, og kan gi eller trekke samtykket når som helst i appen, under Personvern. Trekker du samtykket, stopper det.
- Uten AI. Sier du nei, bruker du tjenesten som vanlig. Vetle lager treningsprogram og kostholdsplan selv og følger deg opp i chatten. Da får du ikke ukerapporten, vurderingen av dagsformen eller AI-forslag når du bytter måltid.
- Coach godkjenner først. Det AI foreslår (treningsprogram, kostholdsplan, ukerapport, justering av dagens økt og utkast til chatsvar), går til Vetle først. Du ser det bare når han har gått gjennom det, og eventuelt endret det. Unntaket er når du selv ber om å bytte et måltid: da får du AI-forslagene direkte og velger selv.
- Hva som sendes: alder, kjønn, høyde, vekt og mål, treningsmål, skader, allergier, kostholdspreferanser, søvn, stress og alkoholvaner, samt trenings- og kostlogger og sjekk-inn fra de siste 28 dagene. Tekst du selv har skrevet (for eksempel motivasjon, notater og kommentarer) sendes også. Når dagens økt justeres, sendes i tillegg WHOOP-data og humør. Ber du om vurdering av et treningsbilde, sendes bildet. Når AI lager utkast til chatsvar, sendes de siste chatmeldingene deres.
- Hva som fjernes: navn, e-post og opplysninger om jobb sendes ikke. AI-en ser deg som en tilfeldig ID. Dette er pseudonymisering, ikke anonymisering: det du skriver med egne ord, kan fortsatt si noe om hvem du er.
- Sensitive meldinger: hvis AI vurderer at en chatmelding handler om noe som smerte, sykdom eller psykisk helse, får du en fast, automatisk beskjed om at Vetle svarer deg selv. Selve svaret kommer fra ham.
Vi selger ikke opplysningene dine, og vi bruker dem ikke til markedsføring.
5. Hvem som har tilgang, og hvem vi deler med
Vetle Nossen (coach) har tilgang til opplysningene dine. Andre klienter har ikke det. I tillegg bruker vi disse leverandørene:
- Google (Firebase): nettsted, database, innlogging, fillagring, push-varsler og serverfunksjonene som kjører koden vår. Google er databehandler for oss etter Googles databehandlervilkår (Google Cloud DPA). Serverfunksjonene kjører i USA (se punkt 6).
- Anthropic PBC (Claude), USA: behandler opplysningene som er beskrevet i punkt 4 når AI-funksjonene brukes. Avtalegrunnlaget med Anthropic (databehandleravtale og grunnlag for overføring til USA) er ennå ikke endelig dokumentert. Vi oppdaterer erklæringen når det er på plass.
- WHOOP, Inc., USA (bare hvis du kobler til): kilden til WHOOP-dataene dine. Du kobler til via WHOOPs egen innlogging, så vi ser aldri passordet ditt. Du kan koble fra når som helst, og da stopper synkingen. For WHOOPs egen tjeneste gjelder WHOOPs personvernerklæring.
- Apple (bare hvis du bruker Apple Health eller Apple-enhet): Apple Health er kilden til dataene du selv sender fra iPhone. Push-varsler til Apple-enheter leveres via Apples varslingstjeneste.
- Skriptbiblioteker: appen laster programkode fra Google (gstatic.com), jsDelivr og cdnjs. Disse ser IP-adressen din når koden lastes, men får ingen av dataene du legger inn.
6. Overføring til land utenfor EU/EØS
Serverfunksjonene våre (Google Cloud Functions) kjører i dag i Googles region us-central1 i USA. Når de behandler dataene dine, for eksempel ved AI-kall, WHOOP-synk og push-varsler, overføres personopplysninger, også helseopplysninger, til USA. Det samme gjelder opplysningene som sendes til Anthropic og WHOOP, som begge holder til i USA. Databasen (Google Cloud Firestore) ligger også i USA. Bilder og filer (Google Cloud Storage) lagres i Googles region europe-west1 i Belgia.
7. Hvor lenge vi lagrer
Vi lagrer opplysningene dine så lenge du er klient. Når kundeforholdet er avsluttet, sletter vi dem innen 30 dager, eller tidligere hvis du ber om det. Slettingen gjøres manuelt, ikke automatisk. Noen opplysninger ligger i dag utenfor den vanlige slettefunksjonen, blant annet søknaden din, PAR-Q+-skjemaet, Apple Health-aktiviteter, HYROX-planen og interne logger. Dem sletter vi for hånd, og vi gir deg beskjed når alt er slettet. Har du søkt uten å bli klient, sletter vi søknaden når du ber om det.
8. Rettighetene dine
Du har rett til:
- Innsyn i hvilke opplysninger vi har om deg (art. 15)
- Retting av feil (art. 16)
- Sletting (art. 17)
- Begrensning av behandlingen (art. 18)
- Dataportabilitet, altså å få dataene dine utlevert (art. 20)
- Å protestere mot behandlingen (art. 21)
- Å trekke samtykke når som helst. AI-samtykket kan du gi og trekke selv i appen, under Personvern.
Send en e-post til vetle.d.nossen@gmail.com, så svarer vi innen én måned. I appen kan du også laste ned en kopi av dataene dine (JSON). Den kopien er ikke fullstendig i dag. Blant annet mangler PAR-Q+, Apple Health-aktiviteter, HYROX-planen og selve bilde- og videofilene. Vil du ha alt, ber du om fullt innsyn på e-post. Sletting ber du også om på e-post.
9. Klage
Mener du at vi behandler opplysningene dine i strid med regelverket, kan du klage til Datatilsynet: www.datatilsynet.no. Ta gjerne kontakt med oss først, så prøver vi å rydde opp.
10. Sikkerhet
Vi bruker krypterte forbindelser (HTTPS) og tilgangsregler som styrer hvem som kan lese hva. API-nøkler lagres i Google Cloud Secret Manager, ikke i koden.
11. Informasjonskapsler og lagring i nettleseren
Vi bruker ingen informasjonskapsler til sporing, analyse eller reklame. Nettsiden lagrer programfiler i nettleseren din slik at appen laster raskt og virker uten nett, og innloggingen din huskes på enheten.
Nettsidene teller besøk anonymt: hvor mange som ser forsiden, prisene og hver av de andre sidene (om Vetle, appen, laget, HYROX og kolleksjonen), hvor mange som går videre fra kolleksjonen til coachingen, og hvor mange som begynner på og sender søknaden. Vi teller også om besøket kom direkte, fra et søk, fra sosiale medier eller annet sted. Tellingen bruker ingen informasjonskapsler og ingen ID, lagrer ingen IP-adresse eller andre personopplysninger, og går ikke via noen tredjepart, bare til vår egen database hos Firebase. Vi ser bare summer per dag. Har du logget inn i appen på enheten, telles du ikke.
12. Endringer
Ved vesentlige endringer i erklæringen gir vi deg beskjed. Mindre presiseringer kan skje uten varsel. Versjon og dato for siste endring står øverst.