Personvernerklæring
Versjon 2.2 · Gjelder fra 2026-09-08
1. Behandlingsansvarlig
Setlist («vi», «oss») er behandlingsansvarlig for dine personopplysninger. Kontakt: hello@setlist.no Du kan til enhver tid henvende deg til oss med spørsmål om personvern eller for å utøve dine rettigheter etter GDPR.
2. Hvilke data vi samler inn
Vi samler inn følgende kategorier av personopplysninger: Profildata: Brukernavn, visningsnavn, e-postadresse, profilbilde. Fødselsdato: Ved registrering oppgir du fødselsdato for å bekrefte at du er 16 år eller eldre — denne oppgis kun til aldersberegningen og lagres ikke. Du kan i tillegg, valgfritt, legge inn fødselsdato i profilinnstillingene for å få mer nøyaktig beregning av pulssoner og kalorier; denne varianten lagres på kontoen din til du sletter den eller kontoen. Treningsdata: Treningsøkter med varighet, distanse, intensitet og interaksjoner (gitt kudos, kommentarer, lagrede sett). Lokaliseringsdata (GPS): Dersom du bruker en utendørsaktivitet og gir tillatelse, registrerer vi GPS-koordinater, hastighet og høyde under trening. Vi kan be om tillatelse til posisjon «alltid» (bakgrunn) for mer pålitelig GPS-sporing under en pågående økt, men vi registrerer aldri posisjonsdata i bakgrunnen utenfor en aktiv treningsøkt. Helsedata (med ditt samtykke): Pulsdata og andre biometriske data kan registreres via tilkoblet pulsmåler eller importeres fra Apple Helse / Google Health Connect. Disse behandles kun med ditt uttrykkelige samtykke (GDPR artikkel 9). Innloggingsdata fra tredjepart: Dersom du registrerer deg eller logger inn med Sign in with Apple eller Google, mottar vi navn og e-postadresse fra henholdsvis Apple og Google for å opprette og identifisere kontoen din. Se punkt 6 for detaljer om denne delingen. Tekniske data: IP-adresse (ved innlogging), enhetstype og -identifikator, app-versjon og anonyme bruksdata (PostHog). Push-varslingstoken (via Expo Push Service). Vi bruker ikke annonseidentifikatorer (som IDFA på iOS eller GAID på Android), og dataene dine brukes aldri til annonsesporing eller retargeting. Innhold du oppretter: Intervallsett, bilder tilknyttet treningsøkter, kommentarer, gruppeinnlegg og beskrivelser.
3. Rettslig grunnlag (GDPR)
Vi behandler personopplysninger på følgende rettslige grunnlag: Avtale (artikkel 6(1)(b)): Profildata og treningsdata som er nødvendig for å levere tjenesten. Samtykke (artikkel 6(1)(a) og 9(2)(a)): Puls- og andre helsedata. GPS-sporing. Push-varsler. Bruksanalyse og krasjrapportering. Du kan trekke samtykket tilbake når som helst i Innstillinger. Legitime interesser (artikkel 6(1)(f)): Sikkerhet, forebygging av misbruk. Rettslig forpliktelse (artikkel 6(1)(c)): Dersom vi er forpliktet til å oppbevare eller utlevere data etter norsk lov.
4. Formål og bruk av data
Vi bruker dataene dine til å: • Levere og forbedre trenings- og intervalltreningsfunksjoner • Vise din aktivitetshistorikk, statistikk og fremgang • Muliggjøre sosiale funksjoner (følg brukere, grupper, utfordringer) • Sende push-varsler du har aktivert • Analysere produktbruk anonymt for å forbedre tjenesten, med ditt samtykke (PostHog, EU-servere) • Håndtere abonnement og fakturering (RevenueCat, EU-server) • Forebygge misbruk og opprettholde sikkerheten Vi bruker aldri trenings- eller helsedata til markedsføring rettet mot tredjeparter, og vi selger aldri personopplysningene dine.
5. Automatisert coaching og anbefalinger (AI)
Setlist bruker en intern anbefalingsmotor («CoachingEngine») som analyserer treningshistorikken din — fullførte økter, intensitet, pulsdata (kun dersom du har gitt samtykke) og måloppnåelse — for å generere: • Personlig tilpassede treningsforslag og progresjon i treningsplaner • Prediksjoner for løpstider og formkurve • Forklarende tilbakemeldinger og innsikt etter fullført økt Dette er rådgivende anbefalinger, ikke automatiserte avgjørelser med rettsvirkning for deg (jf. GDPR artikkel 22). Du bestemmer alltid selv om du følger et forslag, og kan alltid velge en annen treningsplan eller se bort fra anbefalingen. Beregningene gjøres ut fra dine egne treningsdata og deles ikke med tredjeparter.
6. Databehandlere og deling
Vi deler aldri personopplysninger med tredjeparter for deres egne markedsføringsformål. Vi benytter følgende databehandlere som behandler data på vegne av oss: Supabase (EU — Irland): Databaselagring, autentisering og fillagring. Alle data lagres primært i EU. RevenueCat (EU-server): Abonnementshåndtering. Behandler kun transaksjonsdata. PostHog (EU): Anonym produktanalyse. Ingen direkte personidentifiserbare data deles. Sentry (USA): Krasjrapportering. Ikke aktivert per i dag — ingen data sendes til Sentry ennå. Vil kun bli aktivert med ditt samtykke dersom/når krasjrapportering tas i bruk. Expo (USA): Vi registrerer enheten din for en push-token via Expo Push Service, slik at vi kan sende deg varsler du har aktivert. Mottar kun push-tokenet, ikke innholdet i varselet ditt. Merk: levering av varsler kan for tiden være upålitelig mens denne funksjonen ferdigstilles. Apple / Google (som databehandlere): Betalinger via App Store / Google Play. Dersom du bruker Sign in with Apple eller Google, opptrer disse også som selvstendige behandlingsansvarlige for autentiseringsdataene (navn, e-post) de selv håndterer — se deres egne personvernerklæringer. Google Maps: Kartvisning i appen. Google mottar tekniske forespørsler om karttiler (ingen posisjonsdata sendes med mindre du selv navigerer i kartet).
7. Overføring til tredjeland
Noen av databehandlerne våre (Expo, samt Apple og Google som selvstendige behandlingsansvarlige for innloggingsdata) er lokalisert i eller overfører data til USA. Disse overføringene er sikret ved hjelp av EUs Standard Contractual Clauses (SCC), jf. GDPR artikkel 46, eventuelt supplert av EU-US Data Privacy Framework der leverandøren er sertifisert. Sentry (også USA-basert) vil bli lagt til denne listen dersom/når krasjrapportering aktiveres. Alle primærdata (treningsøkter, GPS, profil) lagres på Supabase-servere i EU (Irland). RevenueCat og PostHog behandler også data på EU-servere.
8. Lagringstid
Vi lagrer personopplysninger så lenge kontoen din er aktiv. Treningsdata og GPS-spor beholdes i hele kontoens levetid, da dette er kjernen i tjenestens verdi for deg. Dersom du sletter kontoen din, slettes alle personopplysninger innen 30 dager, jf. GDPR artikkel 17. Anonymiserte aggregerte statistikker kan beholdes for tjenesteforbedring. Push-varslingstoken slettes når du logger ut eller deaktiverer varsler. Bruksanalysedata (PostHog) beholdes i inntil 12 måneder, deretter anonymiseres de automatisk av leverandøren. Logger for sikkerhet og misbruksforebygging beholdes i inntil 90 dager.
9. Dine rettigheter (GDPR artikkel 15–22)
Du har følgende rettigheter: Innsyn (artikkel 15): Rett til å vite hvilke opplysninger vi har om deg. Bruk «Eksporter mine data» i Innstillinger → Personvern og data. Retting (artikkel 16): Rett til å korrigere uriktige opplysninger. Gjøres direkte i appen via Rediger profil. Sletting (artikkel 17): Rett til å slette alle dine data. Gjøres via Innstillinger → Personvern og data → Slett konto. Begrensning (artikkel 18): Rett til å begrense behandlingen i visse tilfeller. Kontakt oss. Dataportabilitet (artikkel 20): Rett til å motta dataene dine i maskinlesbart format (JSON). Gjøres via Innstillinger → Personvern og data → Eksporter mine data. Innsigelse (artikkel 21): Rett til å protestere mot behandling basert på legitime interesser, inkludert å reservere deg mot at CoachingEngine bruker treningsdataene dine (du kan fortsatt bruke appen uten personlig tilpassede anbefalinger). Kontakt oss. Tilbakekall av samtykke (artikkel 7): Du kan trekke tilbake samtykke til helsedata, GPS-sporing, bruksanalyse og krasjrapportering under Innstillinger → Personvern og data. For å utøve dine rettigheter, kontakt hello@setlist.no. Vi besvarer henvendelser innen 30 dager.
10. Sporing, analyse og lokal lagring
Vi bruker PostHog for å analysere hvordan appen brukes, kun med ditt samtykke — anonymisert og uten direkte personidentifiserende opplysninger, kjørende på EU-servere. Krasjrapportering via Sentry er forberedt i appen, men ikke aktivert per i dag; når den aktiveres vil den også kreve ditt samtykke, og Sentry er lokalisert i USA (se punkt 7 om overføring til tredjeland). Du kan deaktivere både bruksanalyse og krasjrapportering samlet under Innstillinger → Personvern og data → Bruksanalyse. Appen bruker ikke informasjonskapsler (cookies) i tradisjonell nettleser-forstand, men lagrer tilsvarende data lokalt på enheten din: autentiseringstoken (sikkert, via enhetens Keychain/Keystore), språkvalg, midlertidig treningsdata for offline bruk, og en anonym analyse-ID. Denne lokale lagringen er nødvendig for at appen skal fungere og slettes når du avinstallerer appen eller sletter kontoen. Vi bruker ikke annonseidentifikatorer og deler ikke data med annonsenettverk eller datameglere.
11. Barns personvern
Setlist er ikke beregnet på barn under 16 år. Vi samler ikke bevisst inn personopplysninger fra barn under 16 år, og bekrefter alder ved registrering. Dersom du er forelder og tror barnet ditt har registrert seg, kontakt oss på hello@setlist.no, så sletter vi kontoen umiddelbart.
12. Sikkerhetsbrudd
Dersom vi oppdager et personvernbrudd som innebærer risiko for dine rettigheter og friheter, vil vi varsle deg uten ugrunnet opphold og senest innen 72 timer etter at vi ble kjent med bruddet, jf. GDPR artikkel 33–34.
13. Endringer i personvernerklæringen
Vi kan oppdatere denne Personvernerklæringen ved behov. Du varsles via push-varsel eller e-post ved vesentlige endringer, med minst 14 dagers varsel. Gjeldende versjon er alltid tilgjengelig i appen under Innstillinger → Vilkår og personvern.
14. Klagerett i Norge/EU/EØS
Du har rett til å klage til Datatilsynet (www.datatilsynet.no) dersom du mener vi behandler personopplysningene dine i strid med GDPR. Datatilsynet Postboks 458 Sentrum, 0105 Oslo Tlf: 22 39 69 00 Bor du i et annet EU-/EØS-land, kan du også klage til ditt lands tilsynsmyndighet.
15. Dine rettigheter i Storbritannia (UK GDPR)
Dersom du bor i Storbritannia, behandler vi personopplysningene dine i samsvar med UK GDPR og Data Protection Act 2018, som gir deg de samme rettighetene som beskrevet i punkt 9. Du har rett til å klage til det britiske tilsynsorganet dersom du mener vi behandler personopplysningene dine i strid med gjeldende lov: Information Commissioner's Office (ICO) Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF ico.org.uk / Tlf: +44 303 123 1113 Overføringer av dine data ut av Storbritannia (til vår EU-baserte databehandler Supabase, mv.) er sikret gjennom mekanismer godkjent under UK GDPR, herunder EUs Standard Contractual Clauses tilpasset britisk regelverk (UK IDTA/Addendum).
16. Dine rettigheter i California, USA (CCPA/CPRA)
Dersom du er bosatt i California, gir California Consumer Privacy Act (CCPA), som endret ved California Privacy Rights Act (CPRA), deg følgende rettigheter i tillegg til de som er beskrevet i punkt 9: Rett til å vite: Hvilke kategorier personopplysninger vi har samlet inn om deg de siste 12 månedene, og formålet med innsamlingen — se punkt 2 og 4 for en fullstendig oversikt over kategorier og formål. Rett til sletting: Som beskrevet i punkt 9 (Sletting). Rett til korrigering: Som beskrevet i punkt 9 (Retting). Rett til å ikke bli diskriminert: Vi tilbyr samme tjeneste og kvalitet uavhengig av om du utøver dine personvernrettigheter. Vi selger eller deler ikke personopplysningene dine til tredjeparter for pengeverdi eller for tredjeparters egne annonseformål, og har ikke gjort det de siste 12 månedene. Setlist har derfor ingen «Do Not Sell or Share My Personal Information»-mekanisme å tilby, siden det ikke finnes noe salg eller slik deling å reservere seg mot. Vi behandler ikke sensitive personopplysninger (som helsedata) for noe annet formål enn å levere tjenesten du ber om, og bruker dem aldri til å utlede karakteristikker om deg til andre formål. For å utøve dine CCPA/CPRA-rettigheter, kontakt hello@setlist.no. Vi kan be om identitetsbekreftelse før vi behandler forespørselen, i tråd med loven.
17. Dine rettigheter i Australia (Privacy Act)
Dersom du er bosatt i Australia, behandler vi personopplysningene dine i tråd med Australian Privacy Principles (APP) under Privacy Act 1988 (Cth), som gir deg tilgang, korrigerings- og klagerettigheter tilsvarende de som er beskrevet i punkt 9. Dersom vi opplever et datasikkerhetsbrudd som med rimelighet kan forårsake alvorlig skade for deg, varsler vi deg og det australske informasjonskommissærkontoret i tråd med Notifiable Data Breaches-ordningen (se også punkt 12 om varslingsfrister). Du kan klage til Office of the Australian Information Commissioner (OAIC) dersom du mener vi ikke overholder APP: Office of the Australian Information Commissioner GPO Box 5288, Sydney NSW 2001 oaic.gov.au Overføringer av dine data ut av Australia (til vår EU-baserte databehandler Supabase, mv.) skjer kun til leverandører som er kontraktsmessig forpliktet til et beskyttelsesnivå som er vesentlig tilsvarende APP.
18. Kontakt
For spørsmål om personvern eller for å utøve dine rettigheter, kontakt: E-post: hello@setlist.no Vi besvarer henvendelser innen 30 dager.