Tietosuojaseloste

Train with Forte Oy
Y-tunnus: 3648386-8
Osoite: Rovaniemi, Suomi
Yhteyshenkilö: Jari Tapio · jari.tapio@kehonhuoltamo.fi

FORTE-valmennussovelluksen asiakas- ja harjoitustietorekisteri.

Henkilötietoja käsitellään asiakassuhteen ja palvelun tuottamisen hoitamiseksi (GDPR 6(1)(b), sopimus). Tietoja käytetään:

• Personoitujen harjoitusohjelmien luomiseen
• Edistymisen seurantaan ja palautteen antamiseen
• Valmentajan ja asiakkaan väliseen viestintään
• Sovelluksen kehitykseen ja parantamiseen
• Laskutukseen

FORTE käsittelee GDPR 9 artiklan erityisryhmän (arkaluonteisia) tietoja vain kahdessa tapauksessa: kipuraportit ja kuukautiskierron tiedot. Suostumus näihin pyydetään silloin kun annat kyseisen tiedon, ei rekisteröitymisessä. Kaikki muu (perustiedot, tavoitteet, vammat, harjoitusdata) on tavallista henkilötietoa (GDPR 6 artikla).

• Perustiedot: nimi, sähköposti, ikä, sukupuoli, kehonpaino, pituus.
• Taustatiedot ohjelman mukauttamiseen: aiemmat vammat (olkapääkipu, selkäkipu jne.), tavoitteet, välineet ja kokemustaso. Näitä käsitellään palvelun tuottamiseksi (GDPR 6(1)(b)) osana antamaasi profiilia. Voit muokata tai poistaa ne asetuksista.
• Kipuraportit (arkaluonteisia, art. 9): jos merkitset treenin aikana että liike aiheuttaa kipua. Kuuluvat GDPR 9 artiklan "erityisiin henkilötietoryhmiin" ja niitä käsitellään yksinomaan nimenomaisen suostumuksesi pohjalta (GDPR 9(2)(a)). Suostumus pyydetään silloin kun kirjaat kivun ensimmäisen kerran, ei rekisteröitymisessä. Voit perua suostumuksen ja poistaa kiputiedot milloin tahansa asetuksista.
• Kuukautiskierron tiedot (arkaluonteisia, vapaaehtoinen): kierron säännöllisyys, edellisten kuukautisten alkamispäivä ja koettu vaikutus treeniin. Kuuluvat GDPR 9 artiklan erityisiin henkilötietoryhmiin. Tieto käsitellään vain jos olet alkukartoituksessa antanut nimenomaisen suostumuksen (GDPR 9(2)(a)) kysymykseen "Haluatko että ohjelma ottaa huomioon kuukautiskierron". Tieto talletetaan vain laitteesi paikalliseen muistiin (selaimen localStorage), ei lähetetä palvelimelle eikä jaeta valmentajalle. Käytetään yksinomaan ohjelman kevennysten ehdottamiseen valitsemiesi sääntöjen mukaisesti. Voit poistaa datan milloin tahansa asetuksista "Poista käytöstä ja tyhjennä tiedot" -painikkeella.
• Harjoitusdata: treenikohtaiset painot, toistot, RPE, fiilis.
• Viikkopalautteet: uni, stressi, motivaatio.
• Edistymiskuvat: valokuvat jotka asiakas itse lataa (vapaaehtoinen).
• Maksutiedot: Stripe-asiakas-ID. Korttitietoja ei tallenneta itse.
• Bugiraportit ja tekninen diagnostiikka: kun käyttäjä lähettää bugiraportin, tallennetaan viestin teksti, sivun URL jolla bug ilmeni sekä selaimen tunniste (user agent). Näiden avulla virheet voidaan paikantaa ja korjata. Käyttäjätunnus liitetään raporttiin vain jos käyttäjä on kirjautunut.

Säilytysajat tietoryhmittäin:

• Asiakastiedot, tilaus: asiakassuhteen keston ajan + 1 vuosi varmuuskopioissa
• Terveystiedot (vammat, kivut, sairaudet): tilauksen keston ajan; poistuvat välittömästi kun peruutat suostumuksen tai poistat tilin
• Kuukautiskierron tiedot: talletetaan vain selaimen paikalliseen muistiin; poistuvat välittömästi kun klikkaat "Poista käytöstä ja tyhjennä tiedot" asetuksista, tyhjennät selaimen tiedot tai poistat tilin
• Treenidata (sarjat, painot, RPE): tilauksen keston ajan
• Edistymiskuvat: kunnes itse poistat tai tilin poiston yhteydessä
• Maksutapahtumat: 6 vuotta (kirjanpitolaki 1336/1997, 2 luku 10 §)
• Bugiraportit: 12 kk korjauksen valmistumisen jälkeen, jonka jälkeen anonymisoidaan
• Sähköpostiloki (lähetetyt viestit): 24 kk

Asiakas voi milloin tahansa pyytää kaikkien tietojensa poistamista — "Poista tilini"-toiminto löytyy asetuksista. Poiston yhteydessä on 30 vrk grace period jolloin poiston voi peruuttaa ottamalla yhteyttä rekisterinpitäjään; sen jälkeen poisto on lopullinen.

Tietoja EI luovuteta kolmansille markkinointia varten. Tietoja käsittelevät alihankkijat (artikla 28, kaikkien kanssa on Data Processing Agreement):

• Supabase Inc. (EU-region, Frankfurt) — tietokanta, tiedostot ja autentikointi. Data sijaitsee EU-alueella. DPA: supabase.com/legal/dpa
• Vercel Inc. (EU-edge) — sovelluksen hosting. Käsittelee HTTP-pyyntöjä; ei pitkäaikaista tallennusta paitsi anonyymejä lokeja.
• Stripe Payments Europe (Irlanti) — maksunvälitys. Käsittelee korttitiedot — Forte ei näe eikä tallenna niitä itse. Ainoastaan Stripe-asiakas-ID jää Forteen.
• Resend (EU) — transaktio­sähköpostit (vahvistukset, viestit). Käsittelee sähköposti­osoitteen ja viestin sisällön.
• Anthropic PBC (USA) — työnantajaetu-kuittien automaattinen tarkistus (Claude-tekoäly). Kun lataat kuitin (Epassi/Smartum/Edenred), kuvan sisältö (nimi, summa, tapahtuma-tiedot) lähetetään Anthropicille tarkistusta varten. Kuvia ei käytetä tekoälyn kouluttamiseen. Kolmasmaasiirron peruste: EU:n komission vakiolausekkeet (SCC, artiklat 44–46). DPA: anthropic.com/legal

Kaikki yllä mainitut palveluntarjoajat on arvioitu tietosuoja­vaatimusten kannalta ja noudattavat GDPR:ää. Mahdollisista muutoksista ilmoitetaan tällä sivulla.

Sinulla on oikeus:

• Saada nähdä kaikki sinusta tallennetut tiedot
• Pyytää virheellisen tiedon korjausta
• Pyytää kaikkien tietojesi poistamista ("unohdettu olemisen oikeus")
• Ladata kaikki tietosi siirrettävässä muodossa (data portability)
• Peruuttaa suostumuksesi ja lopettaa palvelun käyttö
• Tehdä valituksen tietosuojavaltuutetulle

Pyydä toimintoja: asetuksista sovelluksessa tai jari.tapio@kehonhuoltamo.fi

FORTE käyttää algoritmia joka ehdottaa harjoitusohjelmia ja painon säätöjä. Käyttäjä tekee aina lopullisen päätöksen, kyseessä ei ole GDPR 22 artiklan tarkoittama puhdas automaattinen päätöksenteko.

Algoritmin logiikka pääpiirteissään:

• Ohjelman luonti: alkukartoituksen tiedot (kokemus, tavoitteet, välineet, vammat) määrittävät sessio­rakenteen, liikkeet ja volyymin. Vammat rajoittavat liikevalikoimaa (esim. olkapääkipu → ei pystypunnerrusta).
• Painon säätö: antamasi RPE-arvio (kuinka raskas sarja tuntui) ja toteutuneet toistot verrataan tavoitteeseen. Algoritmi ehdottaa painon muutosta ±2,5–5 kg seuraavaksi kerraksi.
• Kevennysjakso (deload): kolmen peräkkäisen raskaaksi kokemasi treenin jälkeen sovellus ehdottaa kevyempää viikkoa.
• Välietapit: harjoitus­historiastasi lasketut saavutukset (PR, treenimäärä­virstanpylväät).

Sinulla on oikeus saada ihmisen tekemä arviointi ohjelmastasi, ota yhteyttä valmentajaan tai sähköpostilla.

FORTE on tarkoitettu vähintään 16-vuotiaille. Alle 16-vuotiaat voivat käyttää palvelua huoltajan nimenomaisella suostumuksella (Suomen tietosuojalaki 5 §, GDPR 8 artikla). Ikä vahvistetaan rekisteröitymisen yhteydessä.

Kaikki tietoliikenne on salattua (TLS 1.3). Tietokanta käyttää Row Level Security (RLS)-politiikkoja — kukaan muu kuin sinä tai sinulle määritetty valmentaja ei pääse tietoihisi. Salasanat säilytetään hash-muodossa (bcrypt). Varmuuskopiot ovat salattuja.

Tietoturvaloukkauksen sattuessa rekisterinpitäjä ilmoittaa Tietosuoja­valtuutetun virastolle 72 tunnin sisällä havaitsemisesta (GDPR 33 artikla). Jos loukkaus aiheuttaa korkean riskin oikeuksillesi, ilmoitamme myös sinulle suoraan.

Väärinkäytön (esim. yritysten murtaa salasana tai ylikuormittaa palvelua) estämiseksi käsittelemme pyynnön lähde-IP-osoitteen lyhytaikaisesti muistissa nopeuden rajoittamiseen. IP-osoitetta ei tallenneta tietokantaan eikä yhdistetä käyttäjätiliisi. Peruste on oikeutettu etu (GDPR 6(1)(f)).

Pääsy tietoihisi on rajattu teknisesti, ei vain sääntönä. Tietokannassa on rivitason pääsynhallinta (Row Level Security): jokainen rivi on lukittu omistajalleen, joten yksikään toinen käyttäjä ei pääse tietoihisi. Valmentajasi näkee vain valmennukseen tarvittavat tiedot. Tämä on GDPR 25 artiklan mukainen sisäänrakennettu suojatoimi.

Sinulla on oikeus tehdä valitus Suomen tietosuoja­valtuutetun toimistolle jos koet että henkilötietojasi käsitellään lainvastaisesti:

Tietosuojavaltuutetun toimisto
Lintulahdenkuja 4, 00530 Helsinki
Puh. 029 566 6700 · tietosuoja.fi