Privatlivspolitik — Athlisto

1. Hvem er ansvarlig

Dataansvarlig er Athlisto (kontakt: emil.klit@gmail.com), Danmark. Spørgsmål og anmodninger om dine data: skriv til adressen ovenfor. Du kan også klage til Datatilsynet (www.datatilsynet.dk).

2. Hvad vi indsamler, og hvorfor

Kontooplysninger (e-mail, adgangskode gemt udelukkende som sikkert hash, sprog): for at levere din konto. Retsgrundlag: aftalen med dig (GDPR art. 6, stk. 1, litra b).

Kaldenavn: et offentligt navn, du vælger ved oprettelse. Det er påkrævet, så venner kan genkende dig, og andre brugere kan finde og tilføje dig med det. Det vises til dine venner og på venners ranglister. Retsgrundlag: aftale.

Invitationsstatus: mens appen er i lukket opstart med invitation, registrerer vi, at du tilmeldte dig med en invitation, og hvilken invitationskode du brugte, så vi kan styre den begrænsede opstart. Det indgår i din dataeksport. Retsgrundlag: vores legitime interesse i en kontrolleret opstart (GDPR art. 6, stk. 1, litra f).

Træningsdata (træninger, øvelser, sæt, vægte, distancer, sæt- og pausetider, mål, kropsvægt, private noter og gemte skabeloner): selve kernen i tjenesten. Dine private træningsnoter og gemte skabeloner ses kun af dig. Retsgrundlag: aftale.

Venner og sociale funktioner: hvis du tilføjer venner, kan de se din træningsaktivitet — træninger, øvelser, sæt, sæt- og pausetider, streaks og eventuelle fælles mål, I opretter sammen — sammen med dit kaldenavn og profilbillede. De kan aldrig se din kropsvægt, helbredsdata eller (når det senere tilføjes) menstruations- eller graviditetsdata. Det omfatter vennernes aktivitetsfeed, venners rangliste, kudos og fælles mål. Du bestemmer, hvem du tilføjer, og kan fjerne en ven når som helst. Du kan også dele et personligt invitationslink, som lader nogen sende dig en venneanmodning. Retsgrundlag: aftale (de sociale funktioner, du vælger at bruge).

Valgfri profiloplysninger (køn, fødselsdato): kun hvis du selv vælger at tilføje dem. Retsgrundlag: samtykke — du kan fjerne dem når som helst. Bemærk: hvis du angiver køn, kan dine venner udlede det af din standard-avatar.

Profilbillede (valgfrit): hvis du uploader et, fjernes billedets metadata (herunder eventuelle stedoplysninger) i din browser inden upload, og kun et lille, skaleret billede gemmes. Det vises til dine accepterede venner, som kan tage et skærmbillede eller gemme det — der er ingen indbygget download-knap, men intet billede på skærmen kan fuldt ud beskyttes mod at blive fanget. Det fjernes med det samme, når du sletter det, og når du sletter din konto. Retsgrundlag: samtykke.

Tekniske logfiler (IP-adresse, tidsstempler): for at beskytte mod angreb og misbrug. Retsgrundlag: legitim interesse (sikkerhed). Logfiler slettes efter 30 dage.

3. Hvad vi IKKE gør

Ingen reklamer, intet salg af data, ingen tredjeparts-trackere, ingen profilering til kommercielle formål. Vi bruger ingen marketingcookies — kun den strengt nødvendige sessionscookie, der holder dig logget ind. Anonym, cookiefri besøgsstatistik (selvhostet) kan bruges til at forstå den overordnede brug.

4. Hvem behandler data for os

Hetzner (Hetzner Online GmbH, Tyskland / Hetzner Finland Oy): serverhosting i Helsinki, Finland. Alle data opbevares i EU.

Brevo (Sendinblue SAS, Frankrig, EU): e-mail-levering. Modtager kun din e-mailadresse og indholdet af kontomails (bekræftelse, nulstilling af adgangskode). Data behandles inden for EU.

Begge fungerer som databehandlere under underskrevne databehandleraftaler. Vi tilføjer ingen nye databehandlere uden at opdatere denne politik.

5. Hvor længe vi gemmer data

Dine data gemmes, så længe din konto eksisterer. Når du sletter din konto, deaktiveres og anonymiseres den med det samme, og alle data slettes permanent fra driftsystemerne inden for 30 dage. Krypterede backups udløber inden for yderligere 35 dage. Tekniske logfiler: 30 dage.

6. Dine rettigheder

Du har ret til indsigt, berigtigelse, eksport, sletning og begrænsning af behandlingen af dine data samt til at trække samtykke tilbage. Det meste er selvbetjening: Indstillinger → “Download mine data” og “Slet min konto”. Alt andet: skriv til os — vi svarer inden for en måned.

7. Sikkerhed

Al trafik er krypteret (HTTPS). Adgangskoder hashes med argon2id og kan aldrig læses af nogen. Sessionstokens gemmes kun i hashet form. Serverne er bag firewall, adgang sker med nøgler, og backups er krypterede. Skulle et brud nogensinde udsætte dig for risiko, underretter vi dig og Datatilsynet som loven kræver (inden for 72 timer).

8. Børn

Tjenesten er ikke beregnet til børn under 16 år, og vi behandler ikke bevidst deres oplysninger.

9. Ændringer af denne politik

Vi registrerer, hvilken version af politikken du har accepteret. Ændrer vi den væsentligt, bliver du bedt om at gennemgå den igen. Gældende version: 2026-07-14.