Utkast: lagringstider och leverantörsavtal behöver verifieras före publicering. Draft: retention periods and supplier agreements must be verified before
publication.
Dina personuppgifter i Kuta
Senast uppdaterad:
Kuta hjälper dig att samla och analysera dina löppass. Här beskriver vi hur
personuppgifter behandlas när du besöker webbplatsen, använder appen eller kontaktar oss.
1. Vem ansvarar för uppgifterna?
Hack ska du ha AB, organisationsnummer 559369-2287, är personuppgiftsansvarig för Kuta.
Simon Aunér är kontaktperson för integritetsfrågor. Kontakta oss på
privacy@kutaapp.com.
2. Vilka uppgifter behandlar vi?
Konto: e-postadress, visningsnamn, användar-id och uppgifter för
inloggning, lösenordsåterställning och sessioner. Lösenord hanteras av vår
autentiseringsleverantör Supabase.
Träning: de uppgifter du skriver in eller laddar upp, till exempel
titel, aktivitetstyp, tidpunkt, distans, tid, GPS-rutt, höjd, tempo, kadens, temperatur,
varv och klockmodell. Vi behandlar också de taggar och den utrustning du registrerar,
inklusive utrustningens användningstid och distans. Vi beräknar statistik och personliga
rekord.
Puls och samtycke: pulsdata när du uttryckligen samtyckt, samt uppgift
om ditt samtycke. En uppladdad FIT-fil kan innehålla puls och andra uppgifter från
klockan. Originalfilen sparas därför bara med pulssamtycke. Utan samtycke behandlas
filen tillfälligt för att läsa ut övriga passuppgifter, men puls sparas inte.
Tekniska uppgifter: IP-adress, webbförfrågningar och felinformation som
behövs för drift och säkerhet. IP-adressen används också till en ungefärlig bedömning av
om svenska ska vara standardspråk, utan ett externt IP-uppslag.
Kontakt: din e-postadress och de uppgifter du lämnar när du kontaktar
oss.
Vi får uppgifterna från dig, din webbläsare och de aktivitetsfiler och arkivexporter du
väljer att ladda upp. Du kan importera din egen arkivexport från Strava; Kuta ansluter
inte till Stravas API. Vi hämtar inte din position löpande från telefonen.
3. Varför och med vilket stöd?
Fullgöra avtalet med dig (artikel 6.1 b GDPR): skapa och hantera konto,
logga in, skicka kontomejl och tillhandahålla de passvyer, kartor och beräkningar du
använder. E-postadress och inloggningsuppgifter behövs för konto; träningsuppgifter
behövs för de träningsfunktioner du väljer.
Uttryckligt samtycke (artiklarna 6.1 a och 9.2 a): spara och visa
pulsdata och spara originalfiler som kan innehålla hälsouppgifter. Detta är frivilligt.
Du kan använda Kuta utan att spara puls.
Berättigat intresse (artikel 6.1 f): hålla tjänsten säker och
fungerande, motverka missbruk, välja ett första språk och besvara frågor. Vårt intresse
är att kunna erbjuda en säker och användbar tjänst.
Rättslig förpliktelse (artikel 6.1 c): hantera skyldigheter enligt
dataskyddslagstiftningen och bindande myndighetskrav.
Vi säljer inte personuppgifter och använder dem inte för riktad reklam eller för att träna
AI-modeller. Rekord och statistik beräknas automatiskt, men vi fattar inga enbart
automatiserade beslut som har rättsliga eller motsvarande betydande följder för dig.
4. Garmin Connect
Automatisk anslutning till Garmin Connect är planerad och är ännu inte tillgänglig. I dag
väljer du själv vilka filer du laddar upp. Om en Garminanslutning införs uppdaterar vi
denna information innan funktionen börjar samla in uppgifter, med vilka data som överförs,
hur du godkänner anslutningen och hur du kopplar från den. Garminanslutning och Kutas
pulssamtycke är separata val.
5. Vem får tillgång?
Dina pass är privata och visas i den nuvarande appen bara för dig. Behörig personal kan
behöva tillgång för drift, support eller säkerhet. Vi använder följande leverantörer:
Fly.io: driver webbplatsen och API:t och behandlar webbförfrågningar
och uppgifter som passerar appservern. Servern är placerad i Stockholm.
Supabase: databas, autentisering och privat fillagring för
aktivitetsfiler. Kutas projekt är placerat i Stockholm.
Scaleway Transactional Email: skickar kontomejl och behandlar
mottagaradress, mejlinnehåll och leveransinformation. Tjänsten behandlar dessa uppgifter
i Frankrike.
Cloudflare Email Routing och Google Gmail: inkommande mejl till
privacy@kutaapp.com vidarebefordras via Cloudflare till ett privat Gmail-konto. Det
innebär behandling av avsändare, mottagare, innehåll och eventuella bilagor. Denna
mejllösning är under översyn; en företagsinkorg med tillämpligt biträdesavtal och dess
lagringsvillkor behöver fastställas före publicering.
OpenFreeMap: levererar kartbilder när du öppnar en passkarta. Din
webbläsare skickar IP-adress och förfrågningar om kartområden direkt till leverantören.
Det kan avslöja ungefär var passet gick; själva rutten ritas i din webbläsare.
Placering i Sverige innebär inte att all behandling sker enbart i Sverige. Internationella
leverantörer och deras underleverantörer kan behandla uppgifter utanför EU/EES. Vilka
överföringar och skyddsåtgärder som gäller för Kutas avtal behöver verifieras före
publicering av denna policy.
6. Hur länge sparas uppgifterna?
Konto och träningshistorik sparas medan du har kvar ditt konto och vill behålla
uppgifterna. Du kan radera enskilda eller alla pass i appen; tillhörande tidsserier,
rekord och sparade originalfiler tas då också bort. Kontakta oss för kontoradering.
Du kan återkalla pulssamtycket under Inställningar. Då raderas sparad puls och alla
sparade originalfiler; övriga passuppgifter finns kvar. Återkallelsen påverkar inte
lagligheten i behandlingen före återkallelsen.
Sessionens giltighet upphör efter 30 dagars inaktivitet och senast efter 180 dagar. Det är
en giltighetstid för inloggningen, inte ett löfte om att sessionsrader automatiskt raderas
då. Uppgifter kan behöva bevaras längre för rättsliga skyldigheter eller rättsliga
anspråk. Automatisk städning av sessionsrader saknas. Lagringstider och raderingsrutiner
för dessa rader och supportmejl återstår att besluta och införa före publicering.
Fly.io anger sju dagars lagring för sökbara applikationsloggar. Scaleway behåller
mejlmetadata, till exempel mottagare, ämne och leveransstatus, medan mejldomänen är aktiv;
enskilda poster kan begäras raderade via deras support. Mejlinnehåll raderas normalt när
leveransen avslutas, med särskilda tider för leveransfel, spam och blockerade domäner,
samt sju dagars lagring av krypterade säkerhetskopior enligt
Scaleways information. Kuta har ännu ingen egen backup. Supabases faktiska logg- och backuptider samt
mejlvidarebefordringens lagring behöver fortfarande kontrolleras.
7. Kakor och lokal lagring
Vi använder nödvändiga kakor för inloggning, skydd av formulär och lösenordsåterställning.
Inloggningen gäller enligt tiderna ovan och återställningskakan högst 15 minuter;
formulärskyddets kaka är en sessionskaka. Ditt uttryckliga språkval sparas i webbläsarens
lokala lagring tills du ändrar eller rensar det. Om du installerar webbappen kan dess
filer sparas lokalt för att appen ska fungera. Vi använder inga annonskakor eller externa
analysverktyg. Du kan rensa lagringen i webbläsaren, men behöver då logga in och välja
språk igen.
8. Dina rättigheter
Du kan begära tillgång och en kopia av dina uppgifter, rättelse, radering, begränsning
och, när villkoren är uppfyllda, dataportabilitet. Du kan invända mot behandling som
grundas på berättigat intresse och återkalla samtycke när som helst.
Mejla privacy@kutaapp.com för att använda dina
rättigheter eller begära export eller kontoradering. Vi kan behöva verifiera din
identitet. Vi svarar normalt inom en månad. Du har också rätt att klaga hos
Integritetsskyddsmyndigheten (IMY)
eller din lokala tillsynsmyndighet inom EU/EES.
Planerad rutin, ännu inte färdig: målet är att genomföra export och kontoradering inom sju
dagar från begäran. Detta är ännu inte ett verifierat servicelöfte och innebär inte att
alla leverantörsloggar eller säkerhetskopior raderas inom sju dagar.
9. Ändringar
Vi uppdaterar policyn när behandlingen ändras. Datumet ovan visar den senaste versionen.
Vid väsentliga ändringar informerar vi dig i appen eller via e-post innan ändringen börjar
gälla och ber om nytt samtycke när det behövs.
Your personal data in Kuta
Last updated:
Kuta helps you collect and analyse your running activities. This policy explains how
personal data is processed when you visit our website, use the app or contact us.
1. Who is responsible?
Hack ska du ha AB, Swedish company registration number 559369-2287, is the data controller
for Kuta. Simon Aunér is the contact person for privacy matters. Contact us at
privacy@kutaapp.com.
2. What data do we process?
Account: email address, display name, user ID and information needed
for sign-in, password recovery and sessions. Passwords are handled by our authentication
provider, Supabase.
Activities: information you enter or upload, such as title, activity
type, start time, distance, duration, GPS route, elevation, pace, cadence, temperature,
laps and device model. We also process the tags and equipment you register, including
equipment usage time and distance. We calculate statistics and personal records.
Heart rate and consent: heart rate data with your explicit consent, and
a record of that consent. Uploaded FIT files may contain heart rate and other device
data. We therefore store original files only with heart rate consent. Without consent,
files are processed temporarily to extract other activity data, but heart rate is not
stored.
Technical information: IP address, web requests and error information
needed for operations and security. Your IP address is also used to estimate whether
Swedish should be the initial language, without an external IP lookup.
Correspondence: your email address and information you provide when
contacting us.
We receive data from you, your browser and the activity files and archive exports you
choose to upload. You can import your own Strava archive export; Kuta does not connect to
the Strava API. We do not continuously collect your phone's location.
3. Purposes and legal bases
Performance of our contract with you (GDPR Article 6(1)(b)): creating
and managing your account, signing you in, sending account emails and providing the
activity views, maps and calculations you use. Email and credentials are required for an
account; activity data is needed for the training features you choose.
Explicit consent (Articles 6(1)(a) and 9(2)(a)): storing and displaying
heart rate data and storing original files that may contain health data. This is
optional. You can use Kuta without storing heart rate.
Legitimate interests (Article 6(1)(f)): operating and protecting the
service, preventing abuse, choosing an initial language and responding to enquiries. Our
interest is to provide a secure and usable service.
Legal obligations (Article 6(1)(c)): complying with data protection
duties and binding requests from authorities.
We do not sell personal data or use it for targeted advertising or to train AI models.
Records and statistics are calculated automatically, but we do not make solely automated
decisions that produce legal or similarly significant effects on you.
4. Garmin Connect
Automatic Garmin Connect integration is planned and is not yet available. Currently, you
choose the files to upload. If we introduce a Garmin connection, we will update this
information before it starts collecting data, explaining what is transferred, how you
authorise the connection and how to disconnect. Connecting Garmin and giving Kuta heart
rate consent are separate choices.
5. Who receives data?
Your activities are private and are currently shown only to you in the app. Authorised
personnel may need access for operations, support or security. We use these providers:
Fly.io: hosts the website and API, processing web requests and
information passing through the application server. The server is located in Stockholm,
Sweden.
Supabase: provides the database, authentication and private activity
file storage. Kuta's project is located in Stockholm, Sweden.
Scaleway Transactional Email: sends account emails and processes
recipient addresses, email content and delivery information. This service processes that
data in France.
Cloudflare Email Routing and Google Gmail: incoming emails to
privacy@kutaapp.com are forwarded through Cloudflare to a personal Gmail account. This
involves processing sender, recipient, message content and any attachments. This
arrangement is under review; a business mailbox with applicable data processing terms
and its retention arrangements must be established before publication.
OpenFreeMap: provides map tiles when you open an activity map. Your
browser sends your IP address and requests for map areas directly to the provider. This
may reveal the approximate activity location; the route itself is drawn in your browser.
Hosting in Sweden does not mean all processing takes place exclusively in Sweden.
International providers and their subprocessors may process data outside the EU/EEA. The
transfers and safeguards applicable to Kuta's agreements must be verified before this
policy is published.
6. How long do we keep data?
Account and training history are kept while you retain your account and wish to keep the
data. You can delete individual activities or all activities in the app, which also
removes their streams, records and stored original files. Contact us to request account
deletion.
You can withdraw heart rate consent in Settings. This deletes stored heart rate data and
all stored original files; other activity data remains. Withdrawal does not affect the
lawfulness of processing before withdrawal.
Sign-in expires after 30 days of inactivity and no later than 180 days. These are sign-in
validity periods, not a promise that session database records are automatically deleted
then. Information may need to be retained longer for legal obligations or legal claims.
Automatic cleanup of session records is not implemented. Retention periods and deletion
procedures for those records and support emails still need to be decided and implemented
before publication.
Fly.io states a seven-day retention period for searchable application logs. Scaleway
retains email metadata, such as recipient, subject and delivery status, while the email
domain remains active; individual records can be requested for deletion through support.
Email content is normally deleted when delivery processing ends, with separate periods for
delivery failures, spam and blocked domains, and seven-day retention for encrypted backups
as described in
Scaleway's information. Kuta does not yet operate its own backups. Supabase's actual log and backup retention
and the email forwarding service's retention still need to be checked.
7. Cookies and local storage
We use necessary cookies for sign-in, form security and password recovery. Sign-in lasts
as described above, the recovery cookie lasts up to 15 minutes and the form security
cookie is a session cookie. Your explicit language choice is saved in local browser
storage until you change or clear it. Installing the web app may store app files locally
so it can function. We use no advertising cookies or external analytics tools. You can
clear browser storage, but will need to sign in and choose your language again.
8. Your rights
You can request access and a copy of your data, correction, erasure, restriction and,
where applicable, data portability. You can object to processing based on legitimate
interests and withdraw consent at any time.
Email privacy@kutaapp.com to exercise your rights
or request an export or account deletion. We may need to verify your identity. We normally
respond within one month. You can also complain to the
Swedish Authority for Privacy Protection (IMY)
or your local EU/EEA supervisory authority.
Planned procedure, not yet complete: our aim is to carry out exports and account deletion
within seven days of a request. This is not yet a verified service commitment and does not
mean that all provider logs or backups are deleted within seven days.
9. Changes
We update this policy when our processing changes. The date above identifies the latest
version. We will notify you of material changes in the app or by email before they take
effect and seek new consent when required.
