Fullständig text om integritet (Integritetspolicy GDPR)

Integritetspolicy för RoburformaAI

Senast uppdaterad: 2026-10-06

Den här policyn beskriver hur RoburformaAI behandlar dina personuppgifter, enligt artikel 13 i dataskyddsförordningen (GDPR). RoburformaAI behandlar hälsouppgifter, som är känsliga personuppgifter enligt artikel 9. Läs policyn innan du skapar ett konto.

1. Personuppgiftsansvarig

• Namn: Anders Sjöberg (privatperson)
• E-post för dataskyddsfrågor: anders@andrix.se

Det finns inget dataskyddsombud.

2. Vilka uppgifter vi behandlar

Kontouppgifter

• E-postadress.
• Födelsedatum. Du måste vara minst 18 år för att använda RoburformaAI. Åldern i profilen räknas fram ur födelsedatumet.
• Lösenordet lagras aldrig. Vi sparar bara en Argon2id-hash av det och de krypterade nycklar som låser upp dina data.
• Inställningar för tvåfaktorsinloggning (MFA). Hemligheten och reservkoderna är krypterade.
• Vilka samtycken du har gett eller återkallat, med version och tidpunkt.

Profil (det du själv anger eller som hämtas från dina datakällor)

• Kön, ålder, längd, vikt, midjemått, vilopuls, maxpuls, kroppssammansättning och blodtryck.
• Träningsmål och kända skador eller begränsningar.
• Hemort (för väder), språk, vald AI-motor och eventuell egen Gemini API-nyckel.

Hälso- och träningsdata från datakällor du ansluter (Garmin Connect, Strava, Withings, Fitbit, Whoop, Hevy)

• Sömn, HRV, stress, Body Battery, puls, steg, kaloriförbrukning, vikt, kroppssammansättning och blodtryck.
• Träningspass med typ, tid, distans, puls och kalorier.
• Du väljer själv vad som hämtas. Under Datakällor finns för varje källa en lista över

datakategorier (t.ex. sömn, kroppssammansättning, blodtryck). Avstängda kategorier hämtas aldrig. Ditt val sparas krypterat tillsammans med när du gjorde det.

• Garmin Connect: kategorierna är träningspass (krävs), dygnet (steg, våningar, intensitetsminuter,

kalorier), puls, sömn och återhämtning, prestation (VO2max, träningsstatus, loppprognoser, tröskelvärden, rekord), kropp (vikt, kroppssammansättning, blodtryck, vätska), passdetaljer, GPS, Health Snapshot, kostlogg, planerad träning, klockor och utrustning samt menscykel och graviditet. Från Garmin sparas svaren krypterat i garmin_raw i syfte att möjliggöra återberäkning av träningsbelastning, pulsintervall, återhämtningsmodeller och sömnanalyser när beräkningsmodeller uppdateras eller användaren justerar sina zoner. Rådata gallras automatiskt i enlighet med vald historiklängd eller raderas omedelbart vid kontoavslut. När du stänger av en Garmin-kategori kan du välja att även radera det som redan hämtats i den. Garmin Connect ansluts via klientinloggning utan officiellt partneravtal med Garmin; lösenordet sparas inte, men användaren ansvarar för att anslutningen är förenlig med Garmins villkor.

• Position: GPS-data (karta och start- och målposition för pass från Strava, GPS-spår och

originalfiler från Garmin) sparas bara om du själv slår på kategorin GPS. Den är avstängd från början, och utan den tas alla positionsfält bort innan något sparas.

• Menscykel och graviditet (Garmin) hämtas bara om du själv slår på kategorin och bekräftar det.

Den är avstängd från början.

• Fitbit: appen begär bara behörigheterna sömn och profil (ålder, kön, längd) – inte aktivitet, puls,

position, kost eller vikt. Har du anslutit Fitbit tidigare med bredare behörighet minskar den när du ansluter på nytt.

Kost: måltider, drycker och kostmål som du loggar.

AI-coachen: dina meddelanden, coachens svar och den dagliga återhämtningsanalysen.

AI-tränare och personlig träningsplanering: dina träningsmål, rullande 14-dagars träningspass, anpassningar efter återhämtning och sömn, samt återkoppling efter pass (RPE, kommentar, smärta ja/nej). Allt lagras strikt krypterat med din unika användarnyckel (DEK). Vid anslutning till Garmin eller MyWhoosh speglas planerade pass till dina konton hos dessa tjänster (märkt med RoburformaAIs ID; RoburformaAI rör aldrig externa händelser).

Onboarding och coach-intervju: uppgifter om mål och tävlingsdatum, idrottsbakgrund och tillgänglig träningstid, utrustning, kroppsmått och puls, kända skador samt allmänna screeningfrågor (PAR-Q: läkarrestriktioner, bröstsmärta eller yrsel vid ansträngning), samt sömn, kost och vardagsaktivitet. Vi samlar inte in medicinska diagnoser, läkemedel eller allergier (dataminimering). Utkastet sparas krypterat under intervjun och raderas när onboardingen slutförs och uppgifterna flyttas till din krypterade profil. Alla onboardinguppgifter ingår i dataexporten.

Coachens minne: korta fakta om dig som AI-coachen ska komma ihåg mellan samtalen, till exempel mål, skador, preferenser och träningsbakgrund. Coachen sparar dem automatiskt utifrån chatten (bara bestående fakta, inte humör eller enstaka mätvärden), och du kan när som helst ta bort varje minne under Profil & konto → Profil. Du kan också lägga till minnen själv. Minnet krypteras med din nyckel som övriga hälsodata. Tidigare okrypterade kopior kan finnas kvar i säkerhetskopior i upp till 30 dagar efter migreringen.

Återkoppling: hur ansträngande du tyckte att ett pass var (RPE 1–10) och en valfri kommentar, och tumme upp eller ner med valfri motivering på AI-svar (de första 300 tecknen av svaret sparas med). Krypteras som övriga hälsodata och används för att anpassa coachens råd.

Måltidsfoton: en bild du tar eller väljer av en måltid skickas till AI-motorn för att tolka vad du åt. Bilden förminskas och platsuppgifter och annan metadata (EXIF) tas bort innan den skickas. Den sparas inte – bara de livsmedel du själv sparar i kostloggen.

AI-förbrukning: hur många AI-anrop och tokens (textmängd) varje AI-funktion har använt per dag och månad, och vilken AI-tjänst och modell som svarade. Inget av innehållet i frågor eller svar sparas här. Uppgiften används för att räkna förbrukningen i profilen, se hur tjänsten används och hålla nere kostnaden.

Anslutningar till datakällor: inloggningstokens, klient-id och klienthemligheter samt API-nycklar. Ditt Garmin-lösenord skickas vidare till Garmin vid inloggningen men sparas inte.

Tekniska uppgifter, kakor och lokal lagring

• Sessions-id i en nödvändig cookie (session_token, HttpOnly, SameSite=Lax) för inloggning.
• Språkval i cookien lang (livslängd 1 år) för att komma ihåg valt visningsspråk.
• healthchat_lang i webbläsarens localStorage för gränssnittets språkladdning.
• healthchat_remember_login och healthchat_saved_email i localStorage (endast om du kryssat i "Kom ihåg mig").
• healthchat_last_position i localStorage (senast sparad koordinat om du tillåtit platsdelning).
• IP-adress, som används för missbruksskydd och ibland för att uppskatta din position för väderkortet (se avsnitt 4).
• Din position, men bara om du tillåter platsdelning i webbläsaren för väderkortet.

3. Varför vi behandlar uppgifterna och med vilket stöd

Samtycket till AI-coachen kan du slå av och på under Profil & konto. Samtycket till behandling av hälsodata återkallar du genom att radera kontot, eftersom appen inte fungerar utan det.

4. Vem som får uppgifterna

Dina hälsodata lagras krypterade med en nyckel som bara låses upp med ditt lösenord. Ingen, inte heller den som driver servern, kan läsa dem i databasen. Medan du är inloggad finns nyckeln i serverns arbetsminne, så att appen kan visa dina data.

Följande mottagare får uppgifter:

• AI-motor, lokal (Ollama): körs på egen hårdvara i Sverige som den personuppgiftsansvarige driver själv. Tar emot din hälsokontext, dina meddelanden och coachens minne. Ingen tredje part är inblandad.
• AI-motor, Google Gemini: används bara om du väljer Gemini under Profil & konto. Tar emot din hälsokontext, inklusive kända skador, och dina meddelanden. Google LLC finns i USA (tredjelandsöverföring), och överföringen sker med stöd av EU–US Data Privacy Framework, där Google LLC är certifierat. För Gemini API gäller Googles villkor för betaltjänster för den som använder tjänsten inom EES, vilket innebär att Google inte använder frågor och svar för att förbättra sina produkter. Anger du en egen Gemini API-nyckel gäller ditt eget avtal med Google.
• Garmin, Strava, Withings, Fitbit, Whoop, Hevy: bara de tjänster du själv ansluter. Vi hämtar data från dem och skickar dina inloggningsuppgifter eller tokens till dem. Deras egna villkor gäller för det du har lagrat hos dem.
• Telegram (Telegram Messenger): bara om du själv kopplar en Telegram-bot under Datakällor. Tar emot

korta notiser om synkronisering, samt notiser från AI-tränaren om dagens pass eller ändrade pass (om du slagit på detta). Inga hälsovärden (puls, HRV, sömn, vikt) skickas någonsin i notiserna. Om Telegram inte är kopplat skickas inga notiser alls från AI-tränaren (Web Push används inte för tränaren); all information visas då enbart i appen. Telegram lagrar meddelandena på sina servrar, även utanför EU. Din bot-token sparas krypterad hos oss.

• MyWhoosh: bara om du ansluter MyWhoosh. Schemalagda cykelpass speglas till din MyWhoosh-kalender. Om du slår på kategorin för profilskrivning kan din senast uppmätta vikt och längd skrivas till MyWhoosh för korrekt simulering (kräver separat samtycke). MyWhoosh saknar OAuth, varför dina inloggningsuppgifter sparas krypterat på samma säkra sätt som övriga datakällor för att möjliggöra återanslutning. Importerade FIT-turer kan valfritt vidarebefordras till Garmin Connect om du uttryckligen aktiverat detta i båda tjänsterna.
• Open-Meteo (api.open-meteo.com och geocoding-api.open-meteo.com): tar emot position eller hemort för att hämta väder.
• BigDataCloud (api.bigdatacloud.net): tar emot position för att visa ortens namn.
• ipwho.is: tar emot din IP-adress för att uppskatta position för väderkortet, men bara när varken platsdelning eller hemort finns.
• E-post (SMTP2GO): tar emot din e-postadress och innehållet i mejl vi skickar – aktiveringslänkar och meddelanden om inaktivering och radering av konton som inte används. Inga hälsouppgifter. SMTP2GO Ltd finns i Nya Zeeland, som EU-kommissionen har beslutat har en adekvat skyddsnivå.
• Drift: servern, databasen och säkerhetskopiorna står på egen hårdvara i Sverige som den personuppgiftsansvarige driver själv. Ingen driftleverantör har tillgång till dem.

Vi säljer inte uppgifter och använder dem inte för reklam.

5. Hur länge uppgifterna sparas

6. Radering av kontot

Du raderar kontot själv under Profil & konto → Radera konto och bekräftar med ditt lösenord. Ett konto som inte har använts på 3 månader raderas automatiskt på samma sätt (se avsnitt 5). Raderingen sker direkt och omfattar:

• kontot, profilen och samtyckesuppgifterna,
• alla hälsodata, träningspass, kostloggar och kostmallar,
• chatthistoriken i databasen och i serverns minne,
• coachens minne och din återkoppling på pass och AI-svar,
• anslutningar till datakällor med alla tokens och nycklar,
• AI-förbrukningen (månadsräknaren och historiken per dag och funktion),
• alla inloggade sessioner, på alla enheter,
• det appen har sparat i din webbläsare (sparad e-postadress, äldre chatthistorik och senast kända position).

Data som redan finns hos Garmin, Strava och de andra tjänsterna raderas inte, eftersom den ligger hos dem. Koppla bort RoburformaAI i respektive tjänst om du vill att även deras åtkomst ska upphöra. Raderade uppgifter försvinner ur säkerhetskopiorna inom 30 dagar.

7. Dina rättigheter

Du har rätt att:

• få veta vilka uppgifter vi har om dig och få en kopia (art. 15),
• få felaktiga uppgifter rättade (art. 16). Det mesta kan du ändra själv i profilen,
• få uppgifterna raderade (art. 17), vilket du gör själv enligt avsnitt 6,
• begära att behandlingen begränsas (art. 18),
• få ut uppgifterna i ett maskinläsbart format (art. 20),
• invända mot behandling som bygger på berättigat intresse (art. 21),
• återkalla ett samtycke när som helst. Det påverkar inte behandling som redan skett.

Under Profil & konto → Samtycke & Integritet finns knappen Ladda ner mina uppgifter. Den ger en kopia av allt vi sparar om dig som en JSON-fil: profil, samtycken, hälsodata, matdagbok, coachens minne, återkoppling, chatthistorik och kopplade datakällor. Lösenord, inloggningsnycklar och API-nycklar ingår inte. Du kan också kontakta oss på adressen i avsnitt 1.

Vi fattar inga beslut om dig som enbart grundar sig på automatiserad behandling och som har rättsliga följder (art. 22). AI-coachens råd är förslag som du själv väljer att följa eller inte.

8. Säkerhet

• Hälsodata krypteras med AES-256-GCM och en nyckel som härleds ur ditt lösenord med Argon2id.
• Undantaget är coachens minne, som skyddas av serverns filrättigheter och diskkryptering (se avsnitt 4).
• All trafik går över HTTPS.
• Tvåfaktorsinloggning finns som tillval.
• Se README för en teknisk beskrivning.

Om du tappar både lösenordet och återställningsnyckeln går dina data inte att återskapa.

9. Medicinsk information

RoburformaAI ger allmänna träningsråd och ersätter inte medicinsk bedömning. Kontakta vården vid symtom, smärta eller skada. Se även MDR_ASSESSMENT.md.

10. Klagomål

Du kan klaga till Integritetsskyddsmyndigheten (IMY), www.imy.se, om du anser att vi behandlar dina uppgifter fel. Bor du i ett annat EU-land kan du också klaga hos tillsynsmyndigheten där. Kontakta gärna oss först.

11. Ändringar

Ändras policyn på ett sätt som påverkar vad du har samtyckt till, ber vi om ett nytt samtycke. Datumet överst visar när policyn senast ändrades.

Privacy Policy for RoburformaAI

Last updated: 2026-10-06

This policy describes how RoburformaAI processes your personal data, in accordance with Article 13 of the General Data Protection Regulation (GDPR). RoburformaAI processes health data, which is a special category of personal data under Article 9. Please read the policy before you create an account.

This is a translation of the Swedish original (PRIVACY.md). If the two differ, the Swedish version applies.

1. Controller

• Name: Anders Sjöberg (private individual)
• Email for data protection questions: anders@andrix.se

There is no data protection officer.

2. What data we process

Account details

• Date of birth. You must be at least 18 years old to use RoburformaAI. The age in the profile is calculated from it.
• Email address.
• Your password is never stored. We keep only an Argon2id hash of it and the encrypted keys that unlock your data.
• Two-factor sign-in (MFA) settings. The secret and the backup codes are encrypted.
• Which consents you have given or withdrawn, with version and time.

Profile (what you enter yourself or what is fetched from your data sources)

• Sex, age, height, weight, waist, resting heart rate, maximum heart rate, body composition and blood pressure.
• Training goals and known injuries or limitations.
• Home town (for the weather), language, chosen AI engine and any Gemini API key of your own.

Health and training data from data sources you connect (Garmin Connect, Strava, Withings, Fitbit, Whoop, Hevy)

• Sleep, HRV, stress, Body Battery, heart rate, steps, calories burned, weight, body composition and blood pressure.
• Workouts with type, time, distance, heart rate and calories.
• You choose what is fetched. Under Data Sources each source has a list of data categories

(e.g. sleep, body composition, blood pressure). Categories that are switched off are never fetched. Your choice is stored encrypted together with when you made it.

• Garmin Connect: the categories are workouts (required), the day (steps, floors, intensity minutes,

calories), heart rate, sleep and recovery, performance (VO2max, training status, race predictions, thresholds, records), body (weight, body composition, blood pressure, hydration), workout details, GPS, Health Snapshot, food log, planned training, watches and gear, and menstrual cycle and pregnancy. From Garmin the responses are stored encrypted in garmin_raw in order to allow recalculation of training load, HR zones, recovery models and sleep analyses when calculation algorithms are updated or when the user adjusts their zones. Raw data is automatically purged in accordance with chosen history retention or deleted immediately upon account closure. When you switch a Garmin category off you can choose to also delete what has already been fetched in it. Garmin Connect is connected via client login without an official partner agreement with Garmin; your password is not stored, but the user is responsible for ensuring compliance with Garmin's terms of service.

• Location: GPS data (map and start and end position of Strava activities, GPS tracks and

original files from Garmin) is only stored if you switch on the GPS category yourself. It is off from the start, and without it every position field is removed before anything is stored.

• Menstrual cycle and pregnancy (Garmin) are only fetched if you switch the category on and confirm it yourself.

It is off from the start.

• Fitbit: the app asks only for the sleep and profile permissions (age, sex, height) – not activity, heart rate,

location, nutrition or weight. If you connected Fitbit earlier with broader permissions, they are reduced when you connect again.

Nutrition: meals, drinks and nutrition goals that you log.

The AI coach: your messages, the coach's answers and the daily recovery analysis.

Onboarding and coach interview: information about goals and race dates, sports background and available training time, equipment, body metrics and heart rate, known injuries, general screening questions (PAR-Q: physician restrictions, chest pain or dizziness during exertion), as well as sleep, diet, and daily activity. We do not collect medical diagnoses, medications, or allergies (data minimization). The draft is stored encrypted during the interview and deleted when onboarding is completed and transferred to your encrypted profile. All onboarding data is included in the data export.

Coach memory: short facts about you that the AI coach should remember between conversations, such as goals, injuries, preferences and training background. The coach saves them automatically from the chat (only lasting facts, not moods or one-off measurements), and you can delete each memory at any time under Profile & Account → Profile. You can also add memories yourself. The memory is encrypted with your key like your other health data. Previous unencrypted copies may remain in backups for up to 30 days after the migration.

Feedback: how hard you found a workout (RPE 1–10) and an optional comment, and thumbs up or down with an optional reason on AI answers (the first 300 characters of the answer are saved with it). Encrypted like your other health data and used to tailor the coach's advice.

Meal photos: a photo of a meal that you take or choose is sent to the AI engine to read what you ate. The photo is shrunk and location data and other metadata (EXIF) are removed before it is sent. It is not stored – only the foods you choose to save in the food log.

AI usage: how many AI calls and tokens (amount of text) each AI function has used per day and month, and which AI service and model answered. None of the content of questions or answers is stored here. It is used to count usage on the profile page, to see how the service is used and to keep the cost down.

Connections to data sources: sign-in tokens, client IDs and client secrets, and API keys. Your Garmin password is passed on to Garmin when you sign in but is not stored.

Technical data, cookies and local storage

• Session ID in a necessary cookie (session_token, HttpOnly, SameSite=Lax) for signing in.
• Language choice in the lang cookie (1 year lifetime) to remember chosen display language.
• RoburformaAI_lang in browser localStorage for UI language loading.
• RoburformaAI_remember_login and RoburformaAI_saved_email in localStorage (only if you checked "Remember me").
• RoburformaAI_last_position in localStorage (latest saved coordinates if you allowed location sharing).
• IP address, used for abuse protection and sometimes to estimate your position for the weather card (see section 4).
• Your position, but only if you allow location sharing in the browser for the weather card.

3. Why we process the data and on what legal basis

You can switch the consent to the AI coach off and on under Profile & Account. You withdraw the consent to processing of health data by deleting the account, since the app does not work without it.

4. Who receives the data

Your health data is stored encrypted with a key that is only unlocked with your password. No one, not even whoever runs the server, can read it in the database. While you are signed in, the key is held in the server's working memory so that the app can show your data.

The following recipients receive data:

• AI engine, local (Ollama): runs on own hardware in Sweden that the controller operates personally. Receives your health context, your messages and the coach memory. No third party is involved.
• AI engine, Google Gemini: used only if you choose Gemini under Profile & Account. Receives your health context, including known injuries, and your messages. Google LLC is located in the USA (transfer to a third country); the transfer relies on the EU–US Data Privacy Framework, under which Google LLC is certified. For the Gemini API, Google's terms for paid services apply to use within the EEA, which means Google does not use prompts and responses to improve its products. If you enter your own Gemini API key, your own agreement with Google applies.
• Garmin, Strava, Withings, Fitbit, Whoop, Hevy: only the services you connect yourself. We fetch data from them and send your credentials or tokens to them. Their own terms apply to what you have stored with them.
• Telegram (Telegram Messenger): only if you connect a Telegram bot yourself under Data Sources. Receives

short notices that a sync has finished or failed, for example "Garmin Connect synced – 12 days". No health values are sent. You choose which events send a notice and can disconnect at any time. Telegram stores the messages on its servers, also outside the EU. Your bot token is stored encrypted by us.

• Open-Meteo (api.open-meteo.com and geocoding-api.open-meteo.com): receives your position or home town to fetch the weather.
• BigDataCloud (api.bigdatacloud.net): receives your position to show the name of the place.
• ipwho.is: receives your IP address to estimate your position for the weather card, but only when neither location sharing nor a home town is available.
• Email (SMTP2GO): receives your email address and the content of emails we send – activation links and notices about deactivation and deletion of unused accounts. No health data. SMTP2GO Ltd is based in New Zealand, which the European Commission has found to provide an adequate level of protection.
• Hosting: the server, the database and the backups run on own hardware in Sweden that the controller operates personally. No hosting provider has access to them.

We do not sell data and do not use it for advertising.

5. How long the data is kept

6. Deleting the account

You delete the account yourself under Profile & Account → Delete account and confirm with your password. An account that has not been used for 3 months is deleted automatically in the same way (see section 5). The deletion happens immediately and covers:

• the account, the profile and the consent records,
• all health data, workouts, food logs and meal templates,
• the chat history in the database and in the server's memory,
• the coach memory and your feedback on workouts and AI answers,
• connections to data sources with all tokens and keys,
• the AI usage (the monthly counter and the history per day and function),
• all signed-in sessions, on all devices,
• what the app has stored in your browser (saved email address, older chat history and last known position).

Data that is already held by Garmin, Strava and the other services is not deleted, since it is stored with them. Disconnect RoburformaAI in each service if you want their access to end as well. Deleted data disappears from the backups within 30 days.

7. Your rights

You have the right to:

• know what data we hold about you and get a copy (Art. 15),
• have incorrect data corrected (Art. 16). You can change most of it yourself in the profile,
• have the data deleted (Art. 17), which you do yourself as described in section 6,
• request that processing is restricted (Art. 18),
• get the data in a machine-readable format (Art. 20),
• object to processing based on legitimate interest (Art. 21),
• withdraw a consent at any time. This does not affect processing that has already taken place.

Under Profile & Account → Consent & Privacy there is a Download my data button. It gives you a copy of everything we store about you as a JSON file: profile, consents, health data, food log, coach memory, feedback, chat history and connected data sources. Passwords, tokens and API keys are not included. You can also contact us at the address in section 1.

We make no decisions about you based solely on automated processing that have legal effects (Art. 22). The AI coach's advice consists of suggestions that you choose whether or not to follow.

8. Security

• Health data is encrypted with AES-256-GCM and a key derived from your password with Argon2id.
• The exception is the coach memory, which is protected by the server's file permissions and disk encryption (see section 4).
• All traffic goes over HTTPS.
• Two-factor sign-in is available as an option.
• See the README for a technical description.

If you lose both your password and your recovery key, your data cannot be recovered.

9. Medical information

RoburformaAI gives general training advice and does not replace medical assessment. Contact a healthcare provider if you have symptoms, pain or an injury. See also MDR_ASSESSMENT.md.

10. Complaints

You can complain to the Swedish Authority for Privacy Protection (Integritetsskyddsmyndigheten, IMY), www.imy.se, if you think we process your data incorrectly. If you live in another EU country, you can also complain to the supervisory authority there. Please contact us first.

11. Changes

If the policy changes in a way that affects what you have consented to, we will ask for a new consent. The date at the top shows when the policy was last changed.

Polityka prywatności RoburformaAI

Ostatnia aktualizacja: 2026-10-06

Niniejsza polityka opisuje, jak RoburformaAI przetwarza Twoje dane osobowe, zgodnie z art. 13 ogólnego rozporządzenia o ochronie danych (RODO). RoburformaAI przetwarza dane dotyczące zdrowia, które są szczególną kategorią danych osobowych w rozumieniu art. 9. Przeczytaj politykę, zanim założysz konto.

To jest tłumaczenie szwedzkiego oryginału (PRIVACY.md). W razie rozbieżności obowiązuje wersja szwedzka.

1. Administrator danych

• Nazwa: Anders Sjöberg (osoba prywatna)
• E-mail w sprawach ochrony danych: anders@andrix.se

Nie wyznaczono inspektora ochrony danych.

2. Jakie dane przetwarzamy

Dane konta

• Adres e-mail.
• Data urodzenia. Musisz mieć co najmniej 18 lat, aby korzystać z RoburformaAI. Wiek w profilu jest obliczany na jej podstawie.
• Hasło nigdy nie jest przechowywane. Zapisujemy tylko jego skrót Argon2id oraz zaszyfrowane klucze, które odblokowują Twoje dane.
• Ustawienia logowania dwuskładnikowego (MFA). Sekret i kody zapasowe są zaszyfrowane.
• Jakie zgody wyraziłeś lub wycofałeś, wraz z wersją i czasem.

Profil (to, co podajesz sam lub co jest pobierane z Twoich źródeł danych)

• Płeć, wiek, wzrost, waga, obwód talii, tętno spoczynkowe, tętno maksymalne, skład ciała i ciśnienie krwi.
• Cele treningowe oraz znane urazy lub ograniczenia.
• Miejscowość (dla pogody), język, wybrany silnik AI i ewentualny własny klucz API Gemini.

Dane zdrowotne i treningowe ze źródeł danych, które połączysz (Garmin Connect, Strava, Withings, Fitbit, Whoop, Hevy)

• Sen, HRV, stres, Body Battery, tętno, kroki, spalone kalorie, waga, skład ciała i ciśnienie krwi.
• Treningi z rodzajem, czasem, dystansem, tętnem i kaloriami.
• Sam wybierasz, co jest pobierane. W Źródłach danych każde źródło ma listę kategorii danych

(np. sen, skład ciała, ciśnienie krwi). Wyłączone kategorie nigdy nie są pobierane. Twój wybór jest zapisywany w postaci zaszyfrowanej wraz z datą jego dokonania.

• Garmin Connect: kategorie to treningi (wymagane), doba (kroki, piętra, minuty intensywności,

kalorie), tętno, sen i regeneracja, wydolność (VO2max, status treningowy, prognozy wyników, progi, rekordy), ciało (waga, skład ciała, ciśnienie krwi, nawodnienie), szczegóły treningów, GPS, Health Snapshot, dziennik żywienia, planowane treningi, zegarki i sprzęt oraz cykl menstruacyjny i ciąża. Z Garmina odpowiedzi są zapisywane w postaci zaszyfrowanej w garmin_raw w celu umożliwienia ponownego przeliczania obciążenia treningowego, stref tętna, modeli regeneracji i analiz snu po aktualizacji algorytmów obliczeniowych lub zmianie stref przez użytkownika. Dane surowe są automatycznie usuwane zgodnie z wybranym okresem retencji lub natychmiast przy usunięciu konta. Gdy wyłączysz kategorię Garmina, możesz wybrać, by usunąć także to, co już w niej pobrano. Połączenie z Garmin Connect odbywa się przez logowanie klienta bez oficjalnej umowy partnerskiej z Garmin; hasło nie jest zapisywane, lecz użytkownik odpowiada za zgodność połączenia z warunkami Garmin.

• Lokalizacja: dane GPS (mapa oraz pozycja startu i mety treningów ze Stravy, ślady GPS i

pliki oryginalne z Garmina) są zapisywane tylko, jeśli sam włączysz kategorię GPS. Jest ona domyślnie wyłączona, a bez niej wszystkie pola lokalizacji są usuwane, zanim cokolwiek zostanie zapisane.

• Cykl menstruacyjny i ciąża (Garmin) są pobierane tylko, jeśli sam włączysz kategorię i to potwierdzisz.

Jest ona domyślnie wyłączona.

• Fitbit: aplikacja prosi tylko o uprawnienia sen i profil (wiek, płeć, wzrost) – nie o aktywność, tętno,

lokalizację, żywienie ani wagę. Jeśli wcześniej połączyłeś Fitbit z szerszymi uprawnieniami, zostaną one ograniczone przy ponownym połączeniu.

Żywienie: posiłki, napoje i cele żywieniowe, które zapisujesz.

Coach AI: Twoje wiadomości, odpowiedzi coacha i codzienna analiza regeneracji.

Wdrożenie i wywiad trenerski: informacje o celach i terminach zawodów, doświadczeniu sportowym i dostępnym czasie, sprzęcie, parametrach ciała i tętnie, znanych urazach, ogólnych pytaniach przesiewowych (PAR-Q: zalecenia lekarskie, ból w klatce piersiowej lub zawroty głowy przy wysiłku), a także śnie, diecie i aktywności codziennej. Nie zbieramy diagnoz medycznych, leków ani alergii (minimalizacja danych). Wersja robocza jest szyfrowana w trakcie wywiadu i usuwana po jego zakończeniu, gdy dane trafiają do zaszyfrowanego profilu. Wszystkie dane wdrożeniowe znajdują się w eksporcie danych.

Pamięć coacha: krótkie fakty o Tobie, które coach AI ma pamiętać między rozmowami, np. cele, kontuzje, preferencje i doświadczenie treningowe. Coach zapisuje je automatycznie na podstawie czatu (tylko trwałe fakty, nie nastroje ani pojedyncze pomiary), a każde wspomnienie możesz w dowolnym momencie usunąć w Profil i konto → Profil. Możesz też samodzielnie dodawać wspomnienia. Pamięć jest szyfrowana Twoim kluczem, tak jak pozostałe dane zdrowotne. Wcześniejsze niezaszyfrowane kopie mogą pozostać w kopiach zapasowych przez okres do 30 dni po migracji.

Opinie: jak ciężki był dla Ciebie trening (RPE 1–10) i opcjonalny komentarz oraz kciuk w górę lub w dół z opcjonalnym uzasadnieniem przy odpowiedziach AI (zapisywane jest pierwsze 300 znaków odpowiedzi). Szyfrowane jak pozostałe dane zdrowotne i używane do dopasowania porad coacha.

Zdjęcia posiłków: zdjęcie posiłku, które zrobisz lub wybierzesz, jest wysyłane do silnika AI, aby odczytać, co zjadłeś. Zdjęcie jest pomniejszane, a dane o lokalizacji i inne metadane (EXIF) są usuwane przed wysłaniem. Nie jest przechowywane – tylko produkty, które sam zapiszesz w dzienniku żywienia.

Zużycie AI: ile wywołań AI i tokenów (ilości tekstu) użyła każda funkcja AI dziennie i miesięcznie oraz która usługa i model AI odpowiedziały. Nie jest tu zapisywana żadna treść pytań ani odpowiedzi. Służy to do liczenia zużycia w profilu, obserwowania, jak usługa jest używana, i ograniczania kosztów.

Połączenia ze źródłami danych: tokeny logowania, identyfikatory i sekrety klienta oraz klucze API. Twoje hasło do Garmina jest przekazywane do Garmina przy logowaniu, ale nie jest zapisywane.

Dane techniczne, pliki cookie i pamięć lokalna

• Identyfikator sesji w niezbędnym pliku cookie (session_token, HttpOnly, SameSite=Lax) do logowania.
• Wybór języka w pliku cookie lang (ważność 1 rok), aby zapamiętać wybrany język wyświetlania.
• RoburformaAI_lang w pamięci localStorage przeglądarki do ładowania języka interfejsu.
• RoburformaAI_remember_login oraz RoburformaAI_saved_email w localStorage (tylko jeśli zaznaczono "Zapamiętaj mnie").
• RoburformaAI_last_position w localStorage (ostatnie zapisane współrzędne, jeśli zezwolono na udostępnianie lokalizacji).
• Adres IP, używany do ochrony przed nadużyciami, a czasem do oszacowania Twojej pozycji dla karty pogody (zob. sekcja 4).
• Twoja pozycja, ale tylko jeśli zezwolisz w przeglądarce na udostępnianie lokalizacji dla karty pogody.

3. Dlaczego przetwarzamy dane i na jakiej podstawie prawnej

Zgodę na coacha AI możesz włączać i wyłączać w Profil i konto. Zgodę na przetwarzanie danych zdrowotnych wycofujesz, usuwając konto, ponieważ aplikacja bez niej nie działa.

4. Kto otrzymuje dane

Twoje dane zdrowotne są przechowywane w postaci zaszyfrowanej kluczem, który odblokowuje tylko Twoje hasło. Nikt, także osoba prowadząca serwer, nie może ich odczytać w bazie danych. Gdy jesteś zalogowany, klucz znajduje się w pamięci roboczej serwera, aby aplikacja mogła wyświetlać Twoje dane.

Dane otrzymują następujący odbiorcy:

• Silnik AI, lokalny (Ollama): działa na własnym sprzęcie w Szwecji, który administrator prowadzi osobiście. Otrzymuje Twój kontekst zdrowotny, Twoje wiadomości i pamięć coacha. Żadna strona trzecia nie jest zaangażowana.
• Silnik AI, Google Gemini: używany tylko, jeśli wybierzesz Gemini w Profil i konto. Otrzymuje Twój kontekst zdrowotny, w tym znane urazy, oraz Twoje wiadomości. Google LLC ma siedzibę w USA (przekazanie do państwa trzeciego); przekazanie odbywa się na podstawie ram ochrony danych UE–USA (EU–US Data Privacy Framework), w których Google LLC jest certyfikowane. Dla Gemini API przy korzystaniu w EOG obowiązują warunki Google dla usług płatnych, co oznacza, że Google nie wykorzystuje zapytań i odpowiedzi do ulepszania swoich produktów. Jeśli podasz własny klucz API Gemini, obowiązuje Twoja własna umowa z Google.
• Garmin, Strava, Withings, Fitbit, Whoop, Hevy: tylko usługi, które sam połączysz. Pobieramy z nich dane i przesyłamy do nich Twoje dane logowania lub tokeny. Do tego, co u nich przechowujesz, mają zastosowanie ich własne warunki.
• Telegram (Telegram Messenger): tylko jeśli sam połączysz bota Telegram w Źródłach danych. Otrzymuje

krótkie powiadomienia o zakończeniu lub niepowodzeniu synchronizacji, np. „Garmin Connect zsynchronizowany – 12 dni”. Nie są wysyłane żadne wartości zdrowotne. Wybierasz, które zdarzenia wysyłają powiadomienie, i możesz się w każdej chwili odłączyć. Telegram przechowuje wiadomości na swoich serwerach, także poza UE. Twój token bota jest przechowywany u nas w postaci zaszyfrowanej.

• Open-Meteo (api.open-meteo.com i geocoding-api.open-meteo.com): otrzymuje pozycję lub miejscowość, aby pobrać pogodę.
• BigDataCloud (api.bigdatacloud.net): otrzymuje pozycję, aby wyświetlić nazwę miejscowości.
• ipwho.is: otrzymuje Twój adres IP, aby oszacować pozycję dla karty pogody, ale tylko gdy nie ma ani udostępnionej lokalizacji, ani miejscowości.
• E-mail (SMTP2GO): otrzymuje Twój adres e-mail i treść wysyłanych przez nas wiadomości – linki aktywacyjne oraz powiadomienia o dezaktywacji i usunięciu nieużywanych kont. Bez danych zdrowotnych. SMTP2GO Ltd ma siedzibę w Nowej Zelandii, wobec której Komisja Europejska stwierdziła odpowiedni stopień ochrony.
• Hosting: serwer, baza danych i kopie zapasowe działają na własnym sprzęcie w Szwecji, który administrator prowadzi osobiście. Żaden dostawca hostingu nie ma do nich dostępu.

Nie sprzedajemy danych i nie wykorzystujemy ich do reklamy.

5. Jak długo dane są przechowywane

6. Usunięcie konta

Konto usuwasz sam w Profil i konto → Usuń konto i potwierdzasz hasłem. Konto nieużywane przez 3 miesiące jest usuwane automatycznie w ten sam sposób (zob. sekcja 5). Usunięcie następuje natychmiast i obejmuje:

• konto, profil i zapisy zgód,
• wszystkie dane zdrowotne, treningi, dzienniki żywienia i szablony posiłków,
• historię czatu w bazie danych i w pamięci serwera,
• pamięć coacha oraz Twoje opinie o treningach i odpowiedziach AI,
• połączenia ze źródłami danych wraz ze wszystkimi tokenami i kluczami,
• zużycie AI (licznik miesięczny i historię na dzień i funkcję),
• wszystkie aktywne sesje na wszystkich urządzeniach,
• to, co aplikacja zapisała w Twojej przeglądarce (zapisany adres e-mail, starszą historię czatu i ostatnią znaną pozycję).

Dane, które znajdują się już w Garminie, Stravie i innych usługach, nie są usuwane, ponieważ są przechowywane u nich. Odłącz RoburformaAI w każdej z usług, jeśli chcesz, aby także ich dostęp wygasł. Usunięte dane znikają z kopii zapasowych w ciągu 30 dni.

7. Twoje prawa

Masz prawo do:

• informacji, jakie dane o Tobie przechowujemy, i otrzymania ich kopii (art. 15),
• sprostowania nieprawidłowych danych (art. 16). Większość możesz zmienić sam w profilu,
• usunięcia danych (art. 17), co robisz sam zgodnie z sekcją 6,
• żądania ograniczenia przetwarzania (art. 18),
• otrzymania danych w formacie nadającym się do odczytu maszynowego (art. 20),
• sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie (art. 21),
• wycofania zgody w dowolnym momencie. Nie wpływa to na przetwarzanie, które już miało miejsce.

W Profil i konto → Zgody i prywatność znajduje się przycisk Pobierz moje dane. Daje on kopię wszystkiego, co o Tobie przechowujemy, jako plik JSON: profil, zgody, dane zdrowotne, dziennik żywienia, pamięć coacha, oceny, historię czatu i połączone źródła danych. Hasła, tokeny i klucze API nie są dołączone. Możesz też skontaktować się z nami pod adresem z sekcji 1.

Nie podejmujemy wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne (art. 22). Porady coacha AI to sugestie, które sam decydujesz, czy zastosować.

8. Bezpieczeństwo

• Dane zdrowotne są szyfrowane algorytmem AES-256-GCM kluczem wyprowadzonym z Twojego hasła za pomocą Argon2id.
• Wyjątkiem jest pamięć coacha, chroniona uprawnieniami plików i szyfrowaniem dysku serwera (zob. sekcja 4).
• Cały ruch odbywa się przez HTTPS.
• Logowanie dwuskładnikowe jest dostępne jako opcja.
• Techniczny opis znajduje się w README.

Jeśli utracisz zarówno hasło, jak i klucz odzyskiwania, Twoich danych nie da się odtworzyć.

9. Informacje medyczne

RoburformaAI udziela ogólnych porad treningowych i nie zastępuje oceny medycznej. W razie objawów, bólu lub urazu skontaktuj się z placówką opieki zdrowotnej. Zob. także MDR_ASSESSMENT.md.

10. Skargi

Możesz złożyć skargę do szwedzkiego organu ochrony danych (Integritetsskyddsmyndigheten, IMY), www.imy.se, jeśli uważasz, że przetwarzamy Twoje dane nieprawidłowo. Możesz też złożyć skargę do organu nadzorczego w swoim kraju, w Polsce do Prezesa Urzędu Ochrony Danych Osobowych (UODO). Prosimy, skontaktuj się najpierw z nami.

11. Zmiany

Jeśli polityka zmieni się w sposób, który wpływa na to, na co wyraziłeś zgodę, poprosimy o nową zgodę. Data na górze pokazuje, kiedy polityka została ostatnio zmieniona.