Innledning

AAMAAS Coaching er opptatt av å beskytte ditt personvern. Denne personvernerklæringen forklarer hvordan vi samler inn, bruker og beskytter dine personopplysninger når du bruker nettsiden, booker en økt eller bruker treningsportalen.

Hva treneren din ser

Treneren din ser alt som ligger om deg i systemet: planlagte og gjennomførte økter, kommentarene dere skriver til hverandre, dagsform og den frivillige velværeloggen din (alkohol, søvnkvalitet, stress, reise, sykdom og stølhet, hvis du har slått den på) – og blodgivning, hvis du i tillegg har slått på det separat under Innstillinger – skade- og sykdomsperioder treneren selv har ført, aktiviteter og helsedata fra klokken (hvilepuls, HRV og søvn) hentet fra intervals.icu, posisjonssporet (GPS) og høydeprofilen for en gjennomført utendørs økt – hentet direkte fra intervals.icu når du eller treneren åpner økta, uten at vi lagrer det, se eget punkt under «Tilkobling til intervals.icu» – rutene du har tegnet i rutebyggeren – inkludert startpunktet, som ofte er der du bor – bookingene dine og hva du har betalt, samt fødselsdato og kjønn hvis du selv har fylt dem ut i profilen din i portalen. I tillegg fører treneren interne notater om deg som du ikke ser selv. Ingen andre personer har tilgang til innholdet – se «Databehandlere og andre mottakere» under for hvem som drifter systemet.

Hvilke opplysninger samler vi inn?

Når du bruker kontaktskjemaet vårt, samler vi inn følgende opplysninger:

Navn – for å kunne henvende oss til deg personlig
E-postadresse – for å kunne svare på henvendelsen din
Telefonnummer (valgfritt) – for alternativ kontakt
Meldingsinnhold – for å forstå din henvendelse

Kontaktskjemaet lagres ikke i vår database. Henvendelsen sendes videre som e-post – se «Databehandlere og andre mottakere» under for hvor den faktisk havner.

Chat-assistenten på nettsiden

Bruker du chatten på de offentlige sidene, lagres det du skriver og assistentens svar i 30 dager, sammen med hvilken side du startet på, valgt språk og en e-postadresse hvis du sender en melding via chatten. Dette brukes til å svare deg og forbedre tjenesten, og bare Nikolai kan lese samtalene. Meldingene behandles av Anthropic, som leverer KI-modellen bak assistenten. Ikke del helseopplysninger eller andre sensitive opplysninger i chatten. Samtalen slettes automatisk etter 30 dager, og du kan be om at den slettes tidligere ved å sende e-post til kontakt@aamaascoaching.no.

Opplysninger ved booking

Når du booker en økt, lagrer jeg følgende for å kunne gjennomføre og følge opp avtalen:

Navn, e-postadresse og telefonnummer
Hvilken økt du har booket, tidspunkt, sted og pris
Eventuell melding du selv skriver i bookingskjemaet
Om økten er gjennomført og fakturert, inkludert fakturareferanse og eventuelt internt notat
Tidspunkt, IP-adresse og nettleserinformasjon for samtykkene du gir – dette lagres som dokumentasjon på at samtykket faktisk ble gitt
En logg over hvilke bekreftelses- og påminnelses-e-poster som er sendt til deg, når, og om utsendingen lyktes
Et unikt token i avlysningslenken din, som lar deg avlyse bookingen uten å logge inn

Opplysninger i treningsportalen

Har du fått tilgang til treningsportalen, lagres i tillegg:

Treningsplaner og øktbeskrivelser treneren har laget til deg
Gjennomførte økter, egenrapportert anstrengelse (RPE) og varighet eller distanse du selv har fylt inn
Dagsform, samt alkoholinntak, opplevd søvnkvalitet, stress, reise, sykdom og stølhet (alle 1–5), hvis du har slått på den frivillige loggføringen – se eget punkt under
Kommentartråden mellom deg og treneren. Den kan i dag ikke slettes fra portalen, uansett hvem som skrev den
Skade- og sykdomsperioder du eller treneren har registrert
Ferie- og begrensningsnotater, og konkurranser du har lagt inn
Trenerens interne infopanel om deg – i motsetning til de private notatene på kundekortet ditt, kan du lese dette selv
Fødselsdato og kjønn, hvis du selv har fylt dem ut i profilen din
Manuelle målinger du eller treneren registrerer per drag i en gjennomført økt – for eksempel laktatverdier og tredemøllefart – merket med hvem som registrerte dem
Ruter du tegner i rutebyggeren: punktene du plasserer i kartet, linja som beregnes mellom dem, samlet distanse, høydemeter hvis du ber om å få dem beregnet, samt navnet og sporten du gir ruta. Punktene er posisjonsdata – starter du ruta hjemmefra, viser startpunktet omtrent hvor du bor

Innloggingskontoen din

Får du tilgang til treningsportalen, opprettes det en innloggingskonto for deg hos vår leverandør av innlogging, Supabase Auth. Du kan sette et passord, eller logge inn med en engangslenke tilsendt på e-post. En slik lenke ER en innlogging – del den aldri videre. Kommer den på avveie, ta kontakt umiddelbart.

Tilkobling til intervals.icu

Er tilkoblingen mellom treningsportalen og intervals.icu satt opp for deg, gjelder følgende:

API-nøkkelen din lagres kryptert (AES-256-GCM) hos oss, med krypteringsnøkkelen kun i vår serverdrift – aldri i databasen eller i koden
Et tyveri av selve nøkkelen hos intervals.icu gir ikke innsyn i noe hos oss, men gir skrive- og etter alt å dømme slettetilgang til intervals.icu-kontoen din, siden nøkkelen fungerer som en pålogging der
Vi henter aktivitetsdata: idrett, tidspunkt, varighet, distanse, fart, watt, puls, høydemeter og – når du åpner en gjennomført økt – posisjonsdata (GPS-spor), se eget punkt under. I tillegg henter vi daglige helsemålinger fra klokken din: hvilepuls, HRV (hjertefrekvensvariabilitet) og sovetid, når intervals.icu-kontoen din har dem
Vi lagrer i tillegg hele det opprinnelige svaret fra intervals.icu for hver aktivitet, ikke bare de utvalgte målingene over. Det kan inneholde aktivitetstittel og -beskrivelse i fritekst, enhetsnavn og potensielt posisjonsdata, avhengig av hva du selv har lagt inn eller aktivert der
Du kan når som helst trekke tilbake nøkkelen hos intervals.icu selv, uavhengig av oss
Av det daglige helsesvaret fra intervals.icu lagrer vi kun de tre målingene over – hvilepuls, HRV og sovetid. Resten forkastes ved henting. Helsesvar hentet før denne endringen ble lagret i sin helhet; disse slettes.
Åpner du en gjennomført økt med GPS-spor i portalen, henter vi posisjonssporet og høydedataene for akkurat den økta direkte fra intervals.icu, for å vise dem i et kart og en høydeprofil. Sporet hentes på nytt hver gang du åpner økta, og lagres ikke hos oss – det ligger kun midlertidig i nettleseren din mens siden er åpen. Treneren din kan se det samme kartet, for dine egne økter, på samme måte som resten av treningsdataene dine

Kalenderabonnement

Portalen gir deg en personlig kalenderadresse for treningsplanen din. Adressen inneholder et hemmelig token – en bærer-legitimasjon i URL-en, på samme måte som et passord. Alle som får adressen kan se treningsplanen din. Du kan rotere den til en ny adresse under innstillinger når som helst. Abonnerer du på adressen i en kalenderapp (Apple, Google, Outlook eller lignende), henter og lagrer den leverandøren treningsplanen din selv.

Trenings- og testdata

Testresultater, treningsdata og notater fra øktene dine kan regnes som helseopplysninger. Det samme gjelder målinger fra klokken eller pulsbeltet ditt, hentet via intervals.icu – hvilepuls, HRV og sovetid er blant de klareste eksemplene. Slike opplysninger er en særlig kategori personopplysninger etter personvernforordningen artikkel 9, og behandles derfor bare på grunnlag av ditt uttrykkelige samtykke. Samtykket gir du når du booker, eller ved første innlogging i treningsportalen dersom treneren har invitert deg direkte. Det er nødvendig for å kunne levere oppfølging, rapporter og utviklingsmåling. Du kan trekke det tilbake når som helst.

Frivillig loggføring – dagsform og velvære

Frivillig loggføring er atskilt fra det obligatoriske samtykket over, og krever et eget, frivillig samtykke som ikke er forhåndsavkrysset. Under dette samtykket kan du registrere dagsform, og seks enkeltmål for hver dag – alkoholinntak, opplevd søvnkvalitet, stress, reise, sykdom og stølhet – alle på en skala fra 1 til 5. Alkohol og sykdom er særlige kategorier personopplysninger etter personvernforordningen artikkel 9. Under Innstillinger kan du i tillegg, separat, slå på registrering av blodgivning (ja/nei per dag) – også dette er en særlig kategori personopplysning, og feltet er av som standard helt til du selv slår det på. Treneren din ser det du registrerer her, på samme måte som resten av treningsdataene dine – se «Hva treneren din ser» øverst på siden. Portalen fungerer fullt ut uten det – kalender, øktdetaljer, kommentarer, booking og resten er upåvirket. Du kan slå det av når som helst under innstillinger i portalen. Slår du det av, slettes samtlige verdier du allerede har logget under dette samtykket – dagsform, de seks velværemålene og blodgivning – med én gang. De skjules ikke bare.

Behandlingsgrunnlag

Behandlingen bygger på ulike grunnlag avhengig av hva opplysningene brukes til:

Gjennomføring av avtalen (art. 6 nr. 1 bokstav b) for booking, kontaktinformasjon og gjennomføring av økten
Uttrykkelig samtykke (art. 9 nr. 2 bokstav a) for trenings- og testdata, gitt ved booking eller ved første innlogging i portalen
Fritt gitt samtykke (art. 6 nr. 1 bokstav a) for den frivillige loggføringen (dagsform, søvnkvalitet, stress, reise og stølhet), og i tillegg uttrykkelig samtykke (art. 9 nr. 2 bokstav a) for alkohol, sykdom og – hvis du har slått det på separat under Innstillinger – blodgivning, innenfor samme frivillige logg, siden dette er særlige kategorier personopplysninger. Atskilt fra samtykket over og uten betydning for resten av tjenesten
Rettslig forpliktelse (art. 6 nr. 1 bokstav c) for regnskaps- og fakturaopplysninger

Hvordan bruker vi opplysningene?

Vi bruker opplysningene dine til å:

Svare på henvendelser og spørsmål
Levere coachingstjenester du har etterspurt
Forbedre våre tjenester og nettside

Hvordan beskytter vi dataene dine?

Vi tar datasikkerhet på alvor og implementerer passende tekniske og organisatoriske tiltak for å beskytte dine personopplysninger mot uautorisert tilgang, endring, avsløring eller ødeleggelse.

Konkrete sikkerhetstiltak

Noen tekniske tiltak, konkret:

Radnivå-sikkerhet (RLS) er slått på i databasen for hver eneste tabell som inneholder opplysninger om deg – tilgang styres av hvem du er, ikke av grensesnittet
intervals.icu-nøkkelen din er kryptert (AES-256-GCM) med en nøkkel som kun finnes i vår serverdrift, aldri i databasen, koden eller en logg
Treneren har den bredeste tilgangen av alle, se «Hva treneren din ser» øverst på siden – det er tilsiktet, siden AAMAAS Coaching er én persons virksomhet der treneren følger deg opp direkte

Dine rettigheter

I henhold til personvernforordningen (GDPR) har du følgende rettigheter:

Rett til innsyn – du kan be om en kopi av opplysningene vi har om deg
Rett til retting – du kan be om at feilaktige opplysninger rettes
Rett til sletting – du kan be om at opplysningene dine slettes
Rett til begrensning – du kan be om begrenset behandling
Rett til dataportabilitet – du kan be om å få overført opplysningene dine
Rett til å protestere – du kan protestere mot visse typer behandling

Hvor lenge opplysningene lagres

Opplysninger lagres ikke lenger enn nødvendig. Sletting skjer i all hovedsak manuelt, på forespørsel til treneren – med ett unntak markert under:

Bookinger og fakturaopplysninger oppbevares i fem år etter regnskapsårets slutt, slik bokføringsloven krever. Ber du om full sletting av kundeforholdet, beholdes derfor bookinghistorikken din i denne perioden – men navn, e-post, telefon og notater på kunderaden din anonymiseres i stedet for å slettes
Trenings- og portaldata (planer, kommentarer, dagsform, velværeloggen, aktiviteter og helsedata fra klokken hentet via intervals.icu, ruter du har tegnet, med mer) lagres til du ber om sletting, eller som utgangspunkt inntil tre år etter siste økt – dette er en policy, ikke en automatisk jobb i systemet
Kontaktopplysninger på kunderaden din slettes eller anonymiseres på forespørsel, med mindre de inngår i regnskapsmateriale som nevnt over
Henvendelser via kontaktskjemaet på forsiden lever kun som e-post, ikke i databasen vår, og slettes eller beholdes etter vanlig e-postpraksis når de er besvart
Samtykkeloggen (hva du samtykket til, når, og fra hvilken IP-adresse og nettleser) forblir koblet til kunderaden og bookinghistorikken din selv om kundeforholdet ditt avsluttes og kunderaden anonymiseres. Den inneholder ikke navn eller e-post i seg selv – bare tidspunkt, samtykketype, IP-adresse og nettleserinformasjon – og er nettopp derfor beviset på hvem som samtykket til hva
IP-adresser og andre identifikatorer knyttet til hastighetsbegrensning på innlogging, booking og chat-assistenten slettes automatisk av en jobb som kjører hver time, senest ett døgn etter at de ble lagret
Samtaler med chat-assistenten slettes automatisk av den samme timesjobben 30 dager etter at samtalen startet

Å be om sletting

Det finnes ingen selvbetjent sletting i portalen – du ber treneren om det direkte, for eksempel på e-post:

Kontaktopplysninger og trenings-/portaldata slettes eller anonymiseres
Bookinger og fakturagrunnlag beholdes i fem år som beskrevet over. Kunderaden din anonymiseres i stedet for å slettes, slik at bookinghistorikken (regnskapsmateriale) består uten lenger å være knyttet til navnet ditt
Samtykkeloggen beholdes som dokumentasjon og forblir knyttet til den anonymiserte kunderaden din – den inneholder ikke navn eller e-post selv, kun tidspunkt, samtykketype, IP-adresse og nettleserinformasjon, se punktet om oppbevaringstid over
Vi svarer normalt innen 30 dager

Databehandlere og andre mottakere

Jeg bruker noen leverandører som behandler opplysninger på mine vegne, og noen tredjeparter som mottar opplysninger på en annen måte. Ikke alt er innenfor EU/EØS, og ikke alt er dekket av en bekreftet databehandleravtale – se forbeholdet under listen:

Supabase – database for bookinger, kundeopplysninger og treningsportalen
Vercel – drift av nettsiden, bookingløsningen og portalen. Funksjonsloggene kan inneholde tekniske detaljer som feilmeldinger, ruter og id-er ved feilsøking – aldri innholdet i notater, kommentarer eller meldinger. Vercel lager også anonym, samlet besøksstatistikk for de offentlige sidene uten informasjonskapsler (Vercel Web Analytics). Adminpanelet og treningsportalen telles ikke, og adresser registreres uten parametere, slik at bookinglenker og koder aldri kommer med
Resend – utsending av bekreftelser og påminnelser på e-post. Resend er et amerikansk selskap
intervals.icu – kobler du portalen til intervals.icu, sender vi API-nøkkelen din dit og henter aktivitetene dine tilbake, se eget punkt over
Kalenderleverandøren din (Apple, Google, Outlook eller lignende) – abonnerer du på et kalenderfeed, henter og lagrer den leverandøren treningsplanen din
Kontaktskjemaet på forsiden sender henvendelsen din videre til en e-postkonto hos Google (Gmail), i tillegg til at Resend håndterer selve utsendingen
Bruker du rutebyggeren i portalen, går det to atskilte dataflyter til Mapbox: (1) Nettleseren din sender kartutsnittet du ser på og IP-adressen din direkte til Mapbox, hver gang kartet vises – dette skjer uansett om du tegner ruta manuelt eller lar oss beregne den. (2) Når ruta beregnes eller du ber om å få høydemeter beregnet, sender VÅR SERVER – ikke nettleseren din – selve koordinatene til Mapbox: waypointene dine i rutet modus, og ved høydemeterberegning opptil 100 punkter langs hele ruta, også for en manuelt tegnet rute. I dette andre tilfellet er det serverens IP-adresse Mapbox ser, ikke din egen. Mapbox er et amerikansk selskap. Åpner du en gjennomført økt med GPS-spor, gjelder det samme som i (1): nettleseren din sender kartutsnittet og IP-adressen din til Mapbox mens kartet vises – men verken sporet eller høydedataene sendes til Mapbox i dette tilfellet. Høydeprofilen for en gjennomført økt bygger på tallene fra klokken din, ikke på et terrengestimat fra Mapbox
Anthropic: KI-modellen bak chatten på de offentlige sidene (nettsidens KI-agent). Det du skriver i chatten, og agentens tidligere svar i samme samtale, sendes til Anthropic for å lage et svar. Anthropic er et amerikansk selskap

Supabase og Vercel oppgir at data for dette prosjektet lagres innenfor EU/EØS. Resend, intervals.icu, Mapbox, Google og Anthropic er internasjonale selskaper, og en fullstendig bekreftelse av overføringsgrunnlag for hver av dem er ikke gjort på det tidspunktet denne teksten ble skrevet. Opplysningene dine selges aldri, og deles ikke med andre til markedsføring.

Trekke tilbake samtykke til trenings- og testdata

Du kan når som helst trekke tilbake samtykket til behandling av trenings- og testdata ved å sende en e-post. Da stanser jeg den videre oppfølgingen med rapporter og utviklingsmåling. Å trekke samtykket påvirker ikke lovligheten av behandlingen som er gjort fram til da. Vil du i tillegg be om at opplysningene slettes, se «Å be om sletting» over – det skjer ikke automatisk bare ved at du trekker samtykket.

Informasjonskapsler og lokal lagring

Nettsiden bruker ikke informasjonskapsler (cookies). Språkvalget ditt lagres lokalt i nettleseren (localStorage), ikke i en informasjonskapsel. Logger du inn i adminpanelet eller treningsportalen, lagres på samme måte en innloggingsøkt lokalt i nettleseren din (localStorage), slik at du forblir innlogget. Sikkerhetsoppsettet i nettleseren er likevel forberedt på enkelte tredjepartsverktøy vi kan ta i bruk senere – dette er ikke en permanent garanti om at ingen tredjepartsskript noensinne vil kjøre.

Kontakt oss

Hvis du har spørsmål om denne personvernerklæringen eller ønsker å utøve dine rettigheter, kan du kontakte oss.

E-post: kontakt@aamaascoaching.no

Personvernerklæring