Integritetspolicy

Den här policyn beskriver hur Traqeo behandlar dina personuppgifter när du använder vår tjänst, och vilka rättigheter du har enligt dataskyddsförordningen (GDPR) och svensk dataskyddslagstiftning. Vi har skrivit den för att vara begriplig — hör av dig om något är oklart.

1. Personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen är [FÖRETAGSNAMN], [ORG-/PERSONNUMMER], [POSTADRESS] (”Traqeo”, ”vi”, ”oss”). Det innebär att vi bestämmer varför och hur dina personuppgifter behandlas och ansvarar för att det sker enligt lag.

Kontakt i dataskyddsfrågor: hej@vasascience.ai. Vi har inte utsett något dataskyddsombud då vi inte är skyldiga till det, men ovanstående adress är din direktkanal för alla frågor och begäranden om dina uppgifter.

2. Vilka personuppgifter vi behandlar

Vi samlar in så lite som möjligt och bara det som behövs för att driva och anpassa träningstjänsten. Beroende på hur du använder appen kan följande kategorier behandlas:

• Kontouppgifter: e-postadress, valfritt namn/visnings­namn, samt en säkert hashad version av ditt lösenord (aldrig i klartext). Om du loggar in via en extern tjänst (t.ex. Google eller Apple) behandlas den identifierare och de kontouppgifter tjänsten lämnar.
• Profil- och onboardinguppgifter: mål-lopp och loppdatum, träningsbakgrund, tillgänglig utrustning, antal pass per vecka, och de fysiologiska mätvärden du själv anger — t.ex. ålder, kön, längd, vikt, maxpuls, tröskelpuls och uppskattad VO₂max.
• Tränings- och loggdata: genomförda och överhoppade pass, upplevd ansträngning (RPE), egna anteckningar, samt genererade träningsplaner och blockutvärderingar (upplevd känsla, energi, motivation, sömn).
• Hälso- och välmåendeuppgifter (se avsnitt 3): puls, pulsvariabilitet (HRV), vilopuls, sömn, samt sjuk- och skadeperioder med allvarlighetsgrad, symtom och anteckningar. Detta är känsliga uppgifter och behandlas bara med ditt uttryckliga samtycke.
• Uppgifter från anslutna tjänster: om du ansluter Strava (och framöver Garmin eller liknande) hämtar vi dina träningsaktiviteter — sporttyp, tid, distans, höjdmeter, puls- och effektdata samt pulskurvor — för att matcha dem mot din plan och finkalibrera zonerna. Vi lagrar då även krypterade åtkomst-tokens till den anslutna tjänsten.
• Betalningsuppgifter: vid prenumeration behandlas abonnemangsstatus och identifierare från vår betalleverantör Stripe (kund-, prenumerations- och prisidentifierare). Vi lagrar aldrig själva kortnumret — det hanteras direkt av Stripe.
• Uppgifter i ”Traqeo Gruppträning”: om du skapar eller går med i en träningsgrupp behandlas gruppmedlemskap, förslag och svar på gemensamma pass, samt — om du väljer att dela — din kalender och träningsprogress med gruppens medlemmar. Bjuder du in någon behandlas den e-postadress eller det telefonnummer du anger för inbjudan.
• Teknisk data och kommunikation: inställningar och notisval, coach-brev vi skickar till dig, samt teknisk drift- och säkerhetslogg. Vi loggar även metadata om AI-anropen (t.ex. tidsåtgång och tokenförbrukning) för kostnads- och kvalitetsuppföljning.

3. Känsliga uppgifter (hälsodata)

Flera av uppgifterna ovan — puls, HRV, sömn, vilopuls, samt sjuk- och skadeperioder — utgör uppgifter om hälsa och är en särskild kategori av personuppgifter enligt artikel 9 i GDPR. Vi behandlar dem endast för att kunna leverera och anpassa din träningsplan, och den rättsliga grunden är ditt uttryckliga samtycke (artikel 9.2 a). Du väljer själv om och vilka hälsouppgifter du anger, och du kan när som helst återkalla samtycket genom att sluta ange sådana uppgifter, koppla bort anslutna tjänster eller radera ditt konto. Ett återkallat samtycke påverkar inte lagligheten av behandling som redan skett.

4. Ändamål och rättslig grund

• Tillhandahålla tjänsten — skapa konto, generera och anpassa träningsplaner, visa progress och prognoser. Rättslig grund: fullgörande av avtalet med dig (art. 6.1 b), och för hälsouppgifter uttryckligt samtycke (art. 9.2 a).
• Hantera betalning och prenumeration. Rättslig grund: fullgörande av avtalet (art. 6.1 b) samt rättslig förpliktelse för bokföring (art. 6.1 c).
• Förbättra och säkra tjänsten — felsökning, missbruksförebyggande, samt utvärdering och förbättring av vår träningsmotor. Rättslig grund: vårt berättigade intresse (art. 6.1 f) av att driva en säker och fungerande tjänst. Vår kvalitetsutvärdering av motorn körs mot syntetiska testprofiler, inte mot dina personuppgifter.
• Kommunikation — svara på frågor och skicka tjänsterelaterade meddelanden och coach-brev. Rättslig grund: fullgörande av avtalet respektive berättigat intresse (art. 6.1 b/f).

5. Automatiserad behandling och AI

Dina träningsplaner tas fram med hjälp av artificiell intelligens i kombination med regelstyrda, deterministiska säkerhetskontroller. AI:n föreslår innehåll; du bestämmer själv om och hur du följer planen. Behandlingen utgör alltså ett beslutsstöd och inte ett sådant enbart automatiserat beslut med rättsliga följder eller på motsvarande sätt betydande inverkan som avses i artikel 22 i GDPR. De AI-leverantörer vi använder tränar inte sina modeller på dina uppgifter (se avsnitt 6). Om du vill ha en mänsklig kontakt kring hur planen tas fram kan du alltid höra av dig till oss.

6. Mottagare och underbiträden

Vi säljer aldrig dina personuppgifter och delar dem inte för marknadsföring. För att kunna driva tjänsten anlitar vi ett fåtal noggrant utvalda tjänsteleverantörer som behandlar uppgifter för vår räkning (personuppgiftsbiträden), var och en bunden av biträdesavtal:

• Neon — databashosting (lagring av all kontodata). Region: [NEON-REGION].
• Vercel — applikations- och webbhosting, samt lagring av eventuella gruppbilder du laddar upp.
• Anthropic — AI-modellen (Claude) som genererar plantexter. Uppgifter som skickas via API:et används enligt leverantörens villkor inte för att träna deras modeller.
• Stripe — betalning och prenumerationshantering.
• Resend — utskick av transaktionsmejl (inloggnings- och verifieringskoder, aviseringar).
• Inngest — körning av bakgrundsjobb (t.ex. plangenerering).
• Strava (och framöver andra tränings- och wearable-tjänster du själv ansluter) — hämtning av dina aktiviteter efter din uttryckliga anslutning.

Vi kan även lämna ut uppgifter om vi är skyldiga enligt lag eller myndighetsbeslut. Skulle verksamheten överlåtas (t.ex. vid företagsöverlåtelse) kan uppgifter komma att överföras till förvärvaren, som då blir bunden av denna policy.

7. Överföring till tredjeland

Några av leverantörerna ovan (bl.a. Anthropic, Stripe, Resend, Vercel och Strava) kan behandla uppgifter i länder utanför EU/EES, främst USA. När så sker säkerställer vi en skyddsnivå motsvarande GDPR genom lämpliga skyddsåtgärder — i första hand EU-kommissionens standardavtalsklausuler och, där tillämpligt, leverantörens certifiering under EU–US Data Privacy Framework. Du kan kontakta oss för mer information om skyddsåtgärderna.

8. Hur länge vi sparar uppgifterna

Vi sparar dina uppgifter så länge du har ett aktivt konto, för att kunna leverera tjänsten och din träningshistorik. Därutöver gäller:

• Vid radering av konto tas dina personuppgifter bort permanent inom 30 dagar från vår produktions- och säkerhetskopie­miljö.
• Bokföringsuppgifter kopplade till betalningar sparas så länge bokföringslagen kräver (i normalfallet sju år), även efter att kontot raderats.
• Begränsad säkerhets- och driftslogg kan sparas en kortare tid för att förebygga missbruk och fel.

9. Dina rättigheter

Enligt GDPR har du rätt att:

• få tillgång till de uppgifter vi behandlar om dig,
• få felaktiga uppgifter rättade,
• få uppgifter raderade (”rätten att bli bortglömd”),
• begära begränsning av eller invända mot viss behandling,
• få ut dina uppgifter i ett maskinläsbart format och flytta dem (dataportabilitet), och
• återkalla samtycke du lämnat, när som helst.

Du kan exportera dina uppgifter och radera ditt konto direkt i appen, eller höra av dig till hej@vasascience.ai. Vi besvarar din begäran utan onödigt dröjsmål, senast inom en månad. Om du anser att vi behandlar dina uppgifter felaktigt har du rätt att klaga hos Integritetsskyddsmyndigheten (IMY), imy.se.

10. Säkerhet

Vi vidtar tekniska och organisatoriska åtgärder för att skydda dina uppgifter. Lösenord lagras enbart som säkra hashar, åtkomst-tokens till anslutna tjänster krypteras i vila (AES-256-GCM), och all trafik sker över krypterad anslutning. Åtkomst till produktionsdata är begränsad. Inget system är helt riskfritt, men vi arbetar löpande med att hålla en hög skyddsnivå.

11. Cookies och lokal lagring

Vi använder endast nödvändiga, funktionella cookies och motsvarande lokal lagring i din webbläsare — för att hålla dig inloggad och komma ihåg dina inställningar. Vi använder inga tredjeparts-spårningscookies, inga annonsnätverk och ingen beteendeprofilering för marknadsföring.

12. Åldersgräns

Tjänsten riktar sig till vuxna och är inte avsedd för barn under 18 år. Vi samlar inte medvetet in uppgifter om barn. Om du är vårdnadshavare och tror att ett barn lämnat uppgifter till oss, kontakta oss så tar vi bort dem.

13. Ändringar av denna policy

Vi kan uppdatera policyn när tjänsten utvecklas eller lagkraven ändras. Vid väsentliga ändringar informerar vi dig i appen eller via e-post. Datumet ”Senast uppdaterad” högst upp visar när den nuvarande versionen började gälla.

14. Kontakt

Frågor om hur vi behandlar dina personuppgifter, eller för att utöva dina rättigheter: hej@vasascience.ai.