Personvernerklæring

1. Behandlingsansvarlig

Den behandlingsansvarlige for dine personopplysninger er selskapet bak Pulse AI Coach.

TIAN PILEBERG (enkeltpersonforetak)
Org.nr. 937 797 591
Augestadveien 31, 1413 Tårnåsen
E-post: tian@pulsecoach.no

2. Personopplysninger vi behandler

Vi behandler følgende kategorier av personopplysninger:

Profildata

• Navn og e-postadresse (oppgitt ved registrering)
• Alder og kjønn (oppgitt i onboarding)
• Treningsmål, treningsdager per uke og erfaringsnivå
• Valgt treningsløp (f.eks. styrke, løping)

Trenings- og aktivitetsdata

• Loggede treningsøkter (øvelser, sett, repetisjoner, vekt)
• Genererte treningsprogrammer
• Fremgangsdata per øvelse over tid

Data fra klokke og apper (Apple Health, Strava, Whoop)

• Treningsøkter: aktivitetstype, starttid, varighet, distanse og snittpuls. Øktene legges i treningsloggen din merket med hvor de kom fra.
• Søvn per natt (samlet varighet)
• Hvilepuls (dagsverdi)
• Pulsvariabilitet, HRV (dagsverdi)
• For Whoop også recovery-score (0–100)

Dette skjer kun hvis du selv kobler til en klokke eller app. Vi lagrer ikke pulskurver eller rådata sekund for sekund, bare oppsummeringen per økt og per dag. Koblingen kan slås av når som helst: Apple Health via bryteren under Innstillinger → Klokke og apper i appen, eller i Helse-appen på telefonen; Strava og Whoop via «Koble fra» under Innstillinger → Klokke og apper. Se avsnitt 3 og 4 for hvordan disse dataene brukes.

Kommunikasjonsdata

• Chat-historikk med AI-coachen
• AI-genererte oppsummeringer og «hukommelse» fra samtaler

Enhetsdata

• Push-token (en anonym enhets-identifikator) — lagres kun hvis du selv slår på varsler i mobilappen, og brukes utelukkende til å sende deg påminnelser om treningen din
• Hvor du kom fra og hva slags enhet du brukte da du registrerte deg (for eksempel lenken fra TikTok og «iPhone»). Kilden ligger i nettleserens øktlagring til du registrerer deg, og besøk på nettsiden telles anonymt med Vercel Web Analytics, uten informasjonskapsler.

Helserelaterte opplysninger (særlig kategori)

• Skader, begrensninger og andre helseopplysninger du oppgir til AI-coachen i samtale eller onboarding
• Søvn, hvilepuls, HRV og recovery-score fra klokke og apper du selv har koblet til (se over)

Helserelaterte opplysninger behandles utelukkende på grunnlag av ditt eksplisitte samtykke (GDPR art. 9 nr. 2 bokstav a). Ved registrering må du aktivt krysse av for at Pulse kan behandle opplysninger om skader, smerter og fysiske begrensninger for å tilpasse treningsprogrammet ditt. Samtykket lagres med tidsstempel. Du kan trekke det tilbake ved å slette kontoen din under Innstillinger → Slett konto. For data fra klokke og apper gir du samtykke idet du kobler til, og trekker det tilbake ved å koble fra.

Vi lagrer ikke kostholdsplaner, kaloriregnskap eller vektlogging.

3. Apple Health

I mobilappen kan du velge å koble til Apple Health. Da leser Pulse treningsøkter, distanse, puls, hvilepuls, søvn og pulsvariabilitet (HRV) fra Helse-appen på telefonen din. Vi leser bare — Pulse skriver aldri noe tilbake til Helse.

Data fra Apple Health brukes utelukkende til to ting: å logge treningsøktene dine automatisk, og å tilpasse treningsplanen og coachens råd til hvordan kroppen din har det. Dataene deles aldri med tredjeparter, brukes aldri til reklame, markedsføring eller datainnsamling utover dette, og selges aldri. Vi bruker dem heller ikke til å trene modeller.

Vi lagrer ikke Apple Health-data i iCloud. Oppsummeringen per økt og per dag lagres hos Supabase i EU (Frankfurt), sammen med resten av treningsdataene dine, og er kun tilgjengelig for deg. Du kan koble fra når som helst via bryteren «Apple Health» under Innstillinger → Klokke og apper i appen, eller ved å fjerne Pulse sin tilgang i Helse-appen på telefonen. Da stopper all videre lesing.

4. Strava og Whoop

Du kan velge å koble Pulse til Strava og Whoop under Innstillinger → Klokke og apper. Koblingen skjer ved at du logger inn hos tjenesten og gir Pulse lesetilgang; vi ser aldri passordet ditt. Fra Strava henter vi treningsaktiviteter (tid, distanse og snittpuls). Fra Whoop henter vi i tillegg søvn, hvilepuls, HRV og recovery-score.

Disse dataene leses kun for deg som eier av kontoen. De vises aldri til andre brukere, brukes aldri i evalueringer eller tester av coachen, og brukes aldri til å trene modeller. Tilgangsnøklene (tokens) som gjør koblingen mulig lagres kryptert i hvile hos Supabase, og slettes umiddelbart når du kobler fra eller sletter kontoen din.

Strava og Whoop er selvstendige behandlingsansvarlige for sine egne tjenester. Hvordan de behandler dataene dine hos seg, styres av deres egne personvernerklæringer og vilkår. Du kan også trekke Pulse sin tilgang direkte i innstillingene hos Strava eller Whoop. Strava gir oss beskjed, og da sletter vi tilgangsnøklene med en gang. Whoop varsler ikke; da slettes nøklene neste gang vi forsøker å bruke dem og Whoop avviser dem, og senest når du kobler fra i Innstillinger eller sletter kontoen.

5. Formål med behandlingen

• Levere og tilpasse treningsprogram og AI-coaching
• Gi AI-coachen kontekst fra tidligere samtaler («hukommelse»)
• Logge treningsøkter automatisk og tilpasse planen din etter søvn, hvilepuls og HRV, dersom du har koblet til klokke eller app (Apple Health, Strava, Whoop)
• Vise fremgang og historikk til deg i appen
• Administrere din konto, pålogging og abonnement
• Sende deg påminnelser om treningen din som push-varsel, dersom du har slått på varsler i mobilappen
• Forbedre tjenesten basert på aggregert, anonymisert bruk

6. Rettslig grunnlag

• Art. 6(1)(b) — Avtaleoppfyllelse: Behandling som er nødvendig for å levere tjenesten du har registrert deg for (konto, treningsprogram, fremgangsvisning).
• Art. 6(1)(a) — Samtykke: Behandling av opplysninger som ikke er strengt nødvendig for tjenesten, der vi ber om ditt samtykke — for eksempel push-varsler, som du selv slår på i mobilappen og når som helst kan skru av igjen i innstillingene på telefonen.
• Art. 9(2)(a) — Eksplisitt samtykke (helsedata): Helserelaterte opplysninger du oppgir (skader, begrensninger) behandles kun på grunnlag av ditt eksplisitte samtykke.
• Data fra klokke og apper — Samtykke (art. 6(1)(a) og art. 9(2)(a)): Data fra Apple Health, Strava og Whoop behandles kun på grunnlag av samtykket du gir når du selv kobler til. Søvn, puls, HRV og recovery-score er helseopplysninger, og behandles derfor på grunnlag av ditt eksplisitte samtykke. Du trekker samtykket tilbake ved å koble fra; da stopper all videre innhenting.

7. Underleverandører og databehandlere

Vi benytter følgende underleverandører som behandler personopplysninger på vegne av oss:

• Anthropic (USA) — AI-plattform som prosesserer innholdet i chat-meldinger og genererer treningsprogram. Data kan overføres til USA.
• Supabase — Datalagring og autentisering. Data lagres i EU (Frankfurt).
• Vercel (USA) — Hosting av applikasjonen. Data kan overføres til USA.
• Stripe (USA/Irland) — Betalingsbehandling og abonnementsadministrasjon. Vi lagrer aldri kortnummeret ditt selv. Data kan overføres til USA.
• RevenueCat (USA) — Administrasjon av abonnement kjøpt i App Store. Mottar bruker-id-en din og hvilket abonnement du har, og er kilden vi bruker til å avgjøre om abonnementet ditt er aktivt. Selve betalingen håndteres av Apple, og vi lagrer aldri kortnummeret ditt selv. Data kan overføres til USA.
• Resend (USA) — Utsending av e-post (velkomst, varsler om prøveperiode og betaling). Data kan overføres til USA.
• Expo (USA) — Formidling av push-varsler til mobilappen. Mottar push-tokenet ditt og innholdet i varselet, og videreformidler det til Apple. Brukes kun hvis du har slått på varsler. Data kan overføres til USA.

Alle underleverandører er bundet av databehandleravtaler som sikrer forsvarlig behandling av dine opplysninger.

Tjenester du selv velger å koble til

Følgende tjenester er ikke underleverandører for oss. De behandler ikke data på vegne av Pulse, og de mottar ingen data fra oss. Når du selv kobler til, henter vi data fra dem til din konto hos Supabase i EU. Hver av dem er selvstendig behandlingsansvarlig for sin egen tjeneste:

• Strava (USA) — Treningsaktiviteter. Kobles til og fra under Innstillinger → Klokke og apper.
• WHOOP (USA) — Treningsaktiviteter, søvn, hvilepuls, HRV og recovery-score. Kobles til og fra under Innstillinger → Klokke og apper.

8. Overføring til tredjeland

Noen av våre underleverandører (Anthropic, Vercel, Stripe, RevenueCat, Resend, Expo) er lokalisert i USA. Overføring skjer på grunnlag av EUs standard kontraktsbestemmelser (Standard Contractual Clauses, SCC) i henhold til GDPR art. 46(2)(c).

Kobler du til Strava eller Whoop, hentes data fra dem til din konto hos Supabase i EU. Vi sender ingen personopplysninger til Strava eller Whoop; den eneste overføringen den veien er tilgangsnøkkelen som brukes til å hente dataene dine.

9. Lagringstid

• Profildata og treningsdata: Lagres så lenge kontoen er aktiv. Ved sletting av konto slettes data innen 30 dager.
• Chat-historikk og AI-hukommelse: Lagres så lenge kontoen er aktiv, eller til du sletter tråden selv.
• Backup: Slettede data kan ligge i backup i inntil 30 dager etter sletting.
• Push-token: Lagres så lenge du har varsler påslått. Slettes sammen med kontoen din, og fjernes automatisk hvis du skrur av varsler eller avinstallerer appen.
• Data fra klokke og apper: Økter, søvn, hvilepuls, HRV og recovery-score lagres så lenge kontoen er aktiv, og slettes sammen med kontoen. Kobler du fra, stopper all videre innhenting; det som allerede er logget blir liggende i loggen din som annen treningshistorikk til du sletter det eller kontoen.
• Tilgangsnøkler (Strava, Whoop): Slettes umiddelbart når du kobler fra eller sletter kontoen. Trekker du tilgangen hos tjenesten selv, slettes de når vi får beskjed (Strava) eller når nøklene avvises neste gang vi bruker dem (Whoop).
• Betalingsdata: Oppbevares i 5 år i henhold til bokføringsloven.

10. Dine rettigheter

Du har følgende rettigheter etter GDPR:

• Innsyn (art. 15): Du kan be om en kopi av opplysningene vi har om deg.
• Retting (art. 16): Du kan be oss rette feilaktige opplysninger.
• Sletting (art. 17): Du kan be om at vi sletter dine opplysninger («retten til å bli glemt»).
• Dataportabilitet (art. 20): Du kan be om å få dine data i et maskinlesbart format.
• Begrensning (art. 18): Du kan be om at behandlingen av dine opplysninger begrenses i visse situasjoner.
• Tilbaketrekking av samtykke: Der behandlingen er basert på samtykke, kan du trekke dette tilbake når som helst.
• Klage til Datatilsynet: Du har rett til å klage til Datatilsynet dersom du mener vi behandler dine opplysninger i strid med GDPR.

Send forespørsler om rettighetsutøvelse til kontaktadressen angitt i avsnitt 14.

11. Automatiserte avgjørelser og profilering

Pulse bruker AI til å generere treningsprogrammer automatisk basert på opplysningene du oppgir. Dette innebærer en form for automatisert behandling, jf. GDPR art. 22.

Programmene som genereres er anbefalinger — ikke juridisk bindende vedtak eller avgjørelser med vesentlige konsekvenser for deg. Du har likevel rett til å:

• Be om menneskelig vurdering av et generert program
• Uttrykke ditt syn og bestride AI-ens anbefalinger
• Bruke eller ignorere programmene etter eget skjønn

Ved skader, sykdom eller helseutfordringer skal du alltid konsultere lege eller fysioterapeut. Pulse erstatter ikke medisinsk veiledning.

12. Informasjonskapsler og lokal lagring

Vi bruker informasjonskapsler (cookies) og lokal lagring i begrenset omfang:

• Autentiseringstokens: Nødvendige for å holde deg innlogget (satt av Supabase). Disse kan ikke deaktiveres uten at tjenesten slutter å fungere.
• Lokal lagring (localStorage): Treningslogg, chat-historikk og temavalg lagres lokalt i nettleseren for rask tilgang.

Pulse bruker ikke analyse-, sporings- eller markedsføringskapsler. Dersom dette endres i fremtiden, vil erklæringen oppdateres og du vil bli varslet i henhold til gjeldende regelverk.

13. Sikkerhetstiltak

Vi iverksetter tekniske og organisatoriske tiltak for å beskytte dine personopplysninger, herunder:

• Kryptering av data under overføring (TLS/HTTPS)
• Kryptering av data i hvile hos Supabase, inkludert tilgangsnøkler til Strava og Whoop
• Tilgangskontroll basert på autentisert bruker-ID
• Begrenset tilgang til produksjonsdata

14. Kontakt og personvernhenvendelser

Har du spørsmål om denne erklæringen eller ønsker å utøve dine rettigheter, kontakt oss på:

tian@pulsecoach.no