Personvernerklæring

Sist oppdatert: 14. oktober 2026

Behandlingsansvarlig:
Gruvman PT & Coaching ENK
Organisasjonsnummer: 915 079 954
E-post: support@novafitness.no

1. Innledning

Denne personvernerklæringen beskriver hvordan Nova ("vi", "oss", "vår") samler inn, bruker, lagrer og beskytter dine personopplysninger når du bruker Nova-appen og tilhørende tjenester ("Tjenesten").

Vi er forpliktet til å beskytte ditt personvern i samsvar med:

EUs personvernforordning (GDPR), Forordning (EU) 2016/679
Personopplysningsloven, Lov om behandling av personopplysninger (Norge)
Datatilsynets retningslinjer for behandling av helserelaterte data

2. Hvilke personopplysninger vi samler inn

2.1 Opplysninger du gir oss direkte

Kategori	Eksempler	Formål
Kontoinformasjon	Navn, e-post, passord (kryptert)	Opprette og administrere din konto
Profilinformasjon	Profilbilde, bio, kommune, kjønn	Tilpasse tjenesten og matching med trenere
Treningsmål	Mål (styrke, vekttap, etc.), erfaringsnivå	Anbefale passende trenere og programmer
Kommunikasjon	Meldinger, bilder, lydfiler i chat	Muliggjøre kommunikasjon med trener
Fødselsdato	Dag, måned og år du er født	Fødselsdatoen din brukes til å bekrefte at du er over aldersgrensen, til å regne ut kaloribehovet ditt, og til å sende bursdagshilsener.

2.2 Helserelaterte opplysninger (særlige kategorier)

Viktig: Følgende data regnes som særlige kategorier av personopplysninger under GDPR artikkel 9, og krever ditt uttrykkelige samtykke:

Kategori	Eksempler	Rettslig grunnlag
Treningsdata	Øvelser, vekt, repetisjoner, varighet	Samtykke (GDPR art. 9(2)(a))
Kroppsmålinger	Vekt, høyde, kroppsmål	Samtykke (GDPR art. 9(2)(a))
Fremgangsbilder	Bilder for å spore fysisk endring	Samtykke (GDPR art. 9(2)(a))

2.3 Automatisk innsamlede opplysninger

Enhetsinfo: Enhetstype, operativsystem, app-versjon
Bruksdata: Funksjoner brukt, tidspunkt, varighet
Krasjrapporter: Feilmeldinger for å forbedre stabilitet

Vi samler IKKE inn: GPS-posisjon, kontaktlister, samtalelogger, eller andre data fra din enhet uten eksplisitt samtykke.

2.4 Gjesteregistrering i gruppetime (uten konto)

Første gang du er på en gruppetime, kan du registrere oppmøtet med bare e-postadressen din – uten å opprette konto – hvis treneren tilbyr gratis prøvetime.

Hva vi lagrer: e-postadressen din, hvilken time og hvilken trener det gjelder, tidspunktet, språket ditt og at du har bekreftet at du er 18 år eller eldre. Vi spør ikke om navn, telefonnummer eller helseopplysninger.
Hvorfor: for å registrere oppmøtet ditt, sende deg én e-post om hvordan du kommer i gang med Nova, og koble oppmøtet til kontoen din hvis du senere oppretter konto med samme e-postadresse og bekrefter den. Grunnlaget er at du selv ber oss registrere oppmøtet (GDPR art. 6(1)(b)).
Hvor lenge: Blir ikke oppmøtet koblet til en ny konto innen 90 dager, sletter vi e-postadressen, og oppmøtet blir stående uten noe som kan knyttes til deg, slik at trenerens oppmøtetall stemmer. Oppmøtet kobles når du etter registreringen oppretter konto med samme e-postadresse og bekrefter den.
Hvem ser den: Treneren ser e-postadressen din i deltakerlisten for timen til oppmøtet er koblet til kontoen din eller adressen er slettet. E-posten sendes gjennom Mailjet, samme underleverandør som sender Novas andre e-poster (se 5.2).
Vern mot misbruk: For å hindre misbruk teller vi forsøk per IP-adresse og per e-postadresse. Vi lagrer bare en hashet verdi, aldri selve IP-adressen, og den slettes automatisk av den nattlige oppryddingen når tellingen ikke lenger trenger den.

3. Rettslig grunnlag for behandling

Vi behandler dine personopplysninger basert på følgende rettslige grunnlag (GDPR artikkel 6):

Grunnlag	Anvendelse
Avtale (art. 6(1)(b))	Levere tjenesten du har registrert deg for
Samtykke (art. 6(1)(a))	Helserelaterte data, markedsføring, fremgangsbilder
Berettiget interesse (art. 6(1)(f))	Forbedre tjenesten, forhindre svindel, sikkerhet
Rettslig forpliktelse (art. 6(1)(c))	Oppbevaring iht. bokføringsloven, skatteregler

4. Hvordan vi bruker dine opplysninger

Levere og vedlikeholde Tjenesten
Koble deg med passende personlige trenere
Spore treningsframgang og personlige rekorder
Sende varsler om treningsøkter og meldinger
Forbedre og utvikle nye funksjoner
Forhindre svindel og misbruk
Oppfylle juridiske forpliktelser

5. Deling av personopplysninger

5.1 Deling med trenere

Når du kobles med en personlig trener, deles følgende med treneren:

Navn og profilbilde
Treningsmål og erfaringsnivå
Treningshistorikk og fremgang
Meldinger i chatten mellom dere

Fremgangsbilder deles IKKE med trenere med mindre du eksplisitt velger dette.

5.2 Tredjepartsleverandører (databehandlere)

Leverandør	Formål	Lokasjon
Google Firebase	Autentisering, database, lagring	Database: EU (multiregion eur3: europe-west1/west4). Opplastede filer: USA (us-central1). Innlogging (Firebase Authentication): USA. Se 6.1
Google Cloud Platform	Hosting og infrastruktur	EU
Stripe	Betalingsbehandling	EU/USA (SCC)
Mailjet	E-postutsending	EU

Alle databehandlere er bundet av databehandleravtaler (DPA) i samsvar med GDPR artikkel 28.

5.3 Vi selger ALDRI dine data

Nova selger, leier eller bytter ikke dine personopplysninger til tredjeparter for markedsføringsformål.

5.4 Videoer fra YouTube og Vimeo

Treneren din kan legge en video fra YouTube eller Vimeo på en øvelse. Videoen ligger hos YouTube (Google) eller Vimeo, ikke hos Nova, og de behandler opplysningene de får, etter sine egne personvernregler.

På nettsiden lastes ingenting fra YouTube eller Vimeo før du starter videoen. Først da hentes spilleren fra YouTube (youtube-nocookie.com) eller Vimeo, og de får IP-adressen din, opplysninger om nettleseren din og at videoen vises på Nova. De kan også lagre informasjonskapsler eller lignende på enheten din.

I appen hentes forhåndsbildet til videoen fra YouTube eller Vimeo når øvelsen vises (da får de IP-adressen din), og selve videoen når du starter den.

Trenere ser forhåndsbildet i øvelsesbiblioteket sitt, og det hentes da fra YouTube eller Vimeo. Når en trener legger inn en Vimeo-lenke, spør Novas server Vimeo om forhåndsbildet; da sendes bare lenken. Nova deler ingen andre opplysninger om deg med YouTube eller Vimeo.

6. Lagring og sikkerhet

6.1 Hvor data lagres

Databasen vår – med blant annet profiler, treningsøkter, helseopplysninger, chatmeldinger og bookinger – lagres på servere innenfor EU/EØS (Google Cloud, multiregion eur3: europe-west1/west4). To deler behandles i USA. Filer som lastes opp – chatbilder, talemeldinger, fremgangsbilder, profilbilder, sertifikater, program- og øvelsesbilder og bilder på trenernes butikksider – lagres hos Google Cloud i USA (us-central1). Innlogging og brukerkontoer (Firebase Authentication, blant annet e-postadressen) behandles bare i Googles datasentre i USA. Firebase-tjenester der vi ikke kan velge lokasjon, blant annet krasjrapportering (Crashlytics), kan i tillegg behandle data i Googles datasentre utenfor EU/EØS. Overføringene til Google utenfor EU/EØS skjer etter Googles databehandlervilkår for Google Cloud og Firebase, som omfatter EU-kommisjonens standardkontraktsklausuler (SCC), og Google LLC er sertifisert under EU–US Data Privacy Framework. Vi planlegger å flytte filene til EU/EØS. Ved annen overføring utenfor EU/EØS bruker vi EU-kommisjonens standardkontraktsklausuler (SCC).

6.2 Sikkerhetstiltak

Kryptering under overføring (TLS 1.3)
Kryptering i hvile (AES-256)
Tilgangskontroll basert på minste privilegium
Regelmessige sikkerhetsrevisjoner
Firebase App Check for å forhindre misbruk

6.3 Lagringstid

Datatype	Lagringstid
Kontoinformasjon	Til du sletter kontoen + 30 dager
Treningshistorikk	Til du sletter kontoen
Chat-meldinger	Til du eller motparten sletter chatten
Fremgangsbilder	Til du sletter dem
Betalingsinformasjon	5 år etter siste transaksjon (bokføringsloven)
E-post fra gjesteregistrering i gruppetime	90 dager hvis oppmøtet ikke blir koblet til en ny konto med bekreftet e-postadresse – deretter slettes den, og oppmøtet anonymiseres

7. Dine rettigheter

I henhold til GDPR har du følgende rettigheter:

7.1 Rett til innsyn (art. 15)

Du har rett til å få bekreftet om vi behandler dine personopplysninger, og i så fall få tilgang til opplysningene.

7.2 Rett til retting (art. 16)

Du kan kreve at uriktige opplysninger om deg rettes.

7.3 Rett til sletting (art. 17)

Du kan kreve at vi sletter dine personopplysninger ("retten til å bli glemt").

7.4 Rett til begrensning (art. 18)

Du kan kreve at behandlingen av dine opplysninger begrenses.

7.5 Rett til dataportabilitet (art. 20)

Du kan kreve å få dine data utlevert i et strukturert, maskinlesbart format.

7.6 Rett til å protestere (art. 21)

Du kan protestere mot behandling basert på berettiget interesse.

7.7 Rett til å trekke samtykke

Du kan når som helst trekke tilbake samtykke du har gitt.

Hvordan utøve dine rettigheter

I appen: Innstillinger → Personvern → [Valg]
E-post: support@novafitness.no
Sletteforespørsel: Innstillinger → Konto → Slett konto

Vi besvarer alle forespørsler innen 30 dager.

8. Aldersgrense

Nova er bare for voksne. Du må være minst 18 år for å opprette konto, og vi ber om fødselsdatoen din ved registrering for å kontrollere det. Vi samler ikke bevisst inn personopplysninger fra barn. Oppdager vi at en konto tilhører noen under 18, sperres den.

9. Informasjonskapsler (cookies)

Nova-appen bruker ikke informasjonskapsler. Vår webapplikasjon bruker nødvendige tekniske informasjonskapsler for autentisering, sikkerhet og for å huske samtykkevalget ditt.

Nettsiden bruker i tillegg Google Analytics til bruksstatistikk — men kun hvis du samtykker i samtykkebanneret (GDPR artikkel 6 nr. 1 bokstav a). Uten samtykke lastes ingen analyseverktøy og settes ingen analyse-informasjonskapsler. Statistikken forteller oss hvilke sider som besøkes og hvilke funksjoner som brukes; vi bruker den ikke til annonsering.

Du kan når som helst trekke tilbake eller endre samtykket via lenken «Informasjonskapsler» nederst på siden. Trekker du det tilbake, stopper målingen umiddelbart og analyse-informasjonskapslene slettes.

I tillegg fører nettsiden helt anonym, aggregert besøksstatistikk: antall visninger per side, hvilket nettsted besøkende kom fra, og om det ble brukt mobil eller PC. Denne tellingen bruker ingen informasjonskapsler og ingen identifikatorer, lagrer eller leser ingenting på enheten din, og tallene kan ikke knyttes til deg. Behandlingsgrunnlaget er vår berettigede interesse i å forstå bruken av nettsiden (GDPR artikkel 6 nr. 1 bokstav f).

10. Endringer i personvernerklæringen

Vi kan oppdatere denne personvernerklæringen fra tid til annen. Ved vesentlige endringer vil vi varsle deg via e-post eller i appen minst 30 dager før endringene trer i kraft.

11. Klage til tilsynsmyndighet

Hvis du mener vi behandler dine personopplysninger i strid med regelverket, kan du klage til Datatilsynet:

Datatilsynet
Postboks 458 Sentrum
0105 Oslo, Norge
Telefon: 22 39 69 00
E-post: postkasse@datatilsynet.no
Web: www.datatilsynet.no

12. Kontakt oss

For spørsmål om denne personvernerklæringen eller vår behandling av dine personopplysninger, kontakt oss på:

Gruvman PT & Coaching ENK
E-post: support@novafitness.no
Svar innen 5 virkedager

13. Tjenester vi bruker

Nova bruker følgende tredjepartstjenester for å levere Tjenesten. Alle leverandører er bundet av databehandleravtaler (DPA) i samsvar med GDPR artikkel 28, og alle overføringer utenfor EU/EØS skjer under EU-kommisjonens standardkontraktsklausuler (SCC).

Firebase

Leverandør:: Google LLC
Formål:: Autentisering, database (Firestore), fillagring, analytics, krasjrapportering (Crashlytics) og Cloud Functions.
Data som deles:: E-postadresse, bruker-ID (uid), brukerdata og innhold du oppretter i appen, brukes til innlogging og synkronisering på tvers av enheter.
Databehandling:: Databasen (Firestore) i EU (multiregion eur3: europe-west1/west4) og serverfunksjonene (Cloud Functions) i EU (europe-west1). Opplastede filer (Cloud Storage) i USA (us-central1). Innlogging (Firebase Authentication) bare i USA. Analytics og krasjrapportering (Crashlytics) kan behandles der Google har datasentre, også utenfor EU/EØS. Se punkt 6.1.

Stripe

Leverandør:: Stripe, Inc.
Formål:: Betalingsbehandling, abonnementer og utbetalinger til trenere (Stripe Connect).
Data som deles:: E-postadresse, navn og betalingsmetadata (ikke fullstendig kortnummer, kortdata håndteres direkte av Stripe).
Databehandling:: Behandles i USA og EU i samsvar med Stripes databehandleravtale og SCC.

Polar

Leverandør:: Polar Electro Oy
Formål:: Valgfri synkronisering av helsedata, aktiveres kun hvis du selv kobler Polar-kontoen din til Nova.
Data som deles:: OAuth-token samt aktivitetsdata som puls, hjertefrekvensvariasjon (HRV) og søvndata.
Databehandling:: Servere i Finland (EU).

Apple Health / Health Connect

Leverandør:: Apple Inc. / Google LLC
Formål:: Valgfri lesing og skriving av treningsdata og helsemålinger på enheten din.
Data som deles:: On-device-tilgang, ingen helsedata sendes til Nova sine servere uten at du eksplisitt samtykker til synkronisering.
Databehandling:: Kun på din enhet (on-device).

Mailjet

Leverandør:: Sinch / Mailjet SAS
Formål:: Utsending av systemvarsler og transaksjonelle e-poster.
Data som deles:: Mottakerens e-postadresse og innholdet i varselet som sendes.
Databehandling:: Servere i EU.

Google Analytics (kun nettsiden, kun med samtykke)

Leverandør:: Google Ireland Limited
Formål:: Bruksstatistikk for nettsiden: sidevisninger og hendelser som registrering, quiz-bruk og klikk til app-butikkene. Aktiveres kun etter ditt samtykke i samtykkebanneret.
Data som deles:: Pseudonym klient-ID (informasjonskapsel), sidevisninger, hendelser og omtrentlig sted utledet av IP-adressen (GA4 lagrer ikke IP-adressen). Kobles ikke til navn eller e-post.
Databehandling:: Innsamling via EU-endepunkter; Google kan overføre data til USA under EU-U.S. Data Privacy Framework og standardkontraktsklausuler (SCC).

Du kan når som helst be om en fullstendig oversikt over våre databehandlere ved å kontakte support@novafitness.no.