Persónuverndarstefna 360 Heilsu
Útgáfa: 26. september 2026. Ábyrgðaraðili: 360 slf., Rafn Franklín Johnson, Hreyfing Heilsulind, Glæsibær, Reykjavík, rafn@360heilsa.is.
1. Hver ber ábyrgð
360 slf. (Rafn Franklín Johnson) er ábyrgðaraðili vinnslunnar. Spurningar um persónuvernd: rafn@360heilsa.is.
2. Hvaða upplýsingar og hvers vegna
- Aðgangur: nafn, netfang, lykilorð (dulkóðað), sími ef þú gefur hann upp. Til að reka aðganginn og hafa samband.
- Umsókn: markmið, æfingasaga, meiðsli, aðstaða, af hverju núna, hvar þú heyrðir af okkur, svör við heilsuspurningum. Til að meta hvort þjónustan henti og til að byggja þjálfunina.
- Þjálfunargögn: æfingaprógrömm, skráðar æfingar, viðmið um líðan fyrir æfingu, verkir og takmarkanir, vikuleg svör, skilaboð og talskilaboð í spjallinu, ljósmyndir sem þú sendir (líkamsstöðumat, framvindumyndir), sjálfsmælingar, og ef þú tengir það sjálf/ur, gögn úr Strava. Til að veita þjálfunina.
- Greiðslur: áskriftarstaða, tímabil og auðkenni hjá Rapyd. Kortanúmer eru geymd hjá Rapyd, aldrei hjá 360 Heilsu.
- Notkun og öryggi: innskráningar, villuboð og atburðaskrá (audit) með tímastimplum. Til að reka og verja kerfið.
Heilsufarsupplýsingar (meiðsli, verkir, svör við heilsuspurningum, myndir af líkama, líðan) eru viðkvæmar persónuupplýsingar samkvæmt 9. gr. GDPR. Þær eru unnar eingöngu til að þjálfa þig og aðeins með sérstöku, skýru samþykki þínu, sem þú gefur í umsókn eða við innskráningu og getur dregið til baka hvenær sem er.
3. Lagagrundvöllur
- Samningur (6. gr. 1. b GDPR): aðgangur, þjálfunin sjálf, greiðslur.
- Skýrt samþykki (9. gr. 2. a GDPR): allar heilsufarsupplýsingar. Án þess getur þjónustan ekki verið veitt.
- Lögmætir hagsmunir (6. gr. 1. f): öryggi kerfisins, varnir gegn misnotkun, atburðaskrá.
- Lagaskylda (6. gr. 1. c): bókhald og skattaskil vegna greiðslna.
4. Gervigreind
Gervigreind (Claude frá Anthropic) les þjálfunargögnin þín, þar með talið heilsufarsupplýsingar, myndir og skilaboð, til að byggja drög að æfingaprógrammi, svara í spjallinu, senda áminningar og taka saman vikuna. Hún tekur ekki ákvarðanir sem hafa réttaráhrif á þig: Rafn samþykkir hvert prógramm og les það sem fer út í hans nafni. Anthropic vinnur gögnin sem vinnsluaðili samkvæmt viðskiptaskilmálum sínum; samkvæmt þeim eru gögn úr þjónustunni ekki notuð til að þjálfa líkön Anthropic. Talskilaboð eru aldrei umrituð í texta; þau eru hljóðskrár sem aðeins þú og Rafn heyra.
5. Hverjir fá upplýsingarnar (vinnsluaðilar)
360 Heilsa selur aldrei upplýsingar. Eftirtaldir aðilar vinna þær fyrir hönd 360 Heilsu samkvæmt vinnslusamningi:
- Supabase (Írland, ESB): gagnagrunnur, innskráning og skráageymsla (myndir, talskilaboð).
- Vercel (vefþjónar; kerfið er stillt á Frankfurt, Þýskalandi): keyrsla appsins.
- Anthropic (Bandaríkin): gervigreindin, sjá 4. lið. Flutningur út fyrir EES byggir á stöðluðum samningsákvæðum ESB.
- Rapyd (greiðsluþjónusta): áskrift og kortagreiðslur.
- Resend (tölvupóstur): kvittanir og tilkynningar.
- Hetzner (Þýskaland): dulkóðuð afrit af gagnagrunninum.
- RapidAPI / ExerciseDB: uppflettingar á æfingaheitum; engar persónuupplýsingar eru sendar.
- YouTube (Google): æfingamyndbönd sem birtast í appinu; Google getur skráð að myndbandið var spilað.
- Strava: aðeins ef þú tengir Strava-aðganginn þinn sjálf/ur.
- Tilkynningaþjónustur vafra (Apple, Google, Mozilla): aðeins ef þú kveikir á tilkynningum; þær fá textann í tilkynningunni og ópersónugreinanlegt auðkenni tækisins.
6. Hversu lengi
Gögnin eru geymd meðan þú ert í þjónustunni og í allt að tólf mánuði eftir að henni lýkur, svo þú getir komið aftur án þess að byrja frá grunni. Að þeim tíma liðnum eyðir 360 Heilsa þeim; eyðingin er framkvæmd af Rafni á grundvelli yfirlits yfir óvirka aðganga þar til hún verður sjálfvirk. Þú getur eytt aðganginum og öllu sem honum fylgir hvenær sem er í stillingum appsins; greiðslufærslur eru geymdar eins og bókhaldslög krefjast (sjö ár), án heilsufarsupplýsinga. Umsókn sem er hafnað er geymd í þrjá mánuði.
7. Réttindi þín
Þú átt rétt á að fá afrit af gögnunum þínum (Stillingar, "Take a copy"), að láta leiðrétta þau, að láta eyða þeim (Stillingar, "Delete account"), að draga samþykki til baka (sem lýkur þjónustunni), að takmarka eða andmæla vinnslu, og að flytja gögnin. Beiðnir sem appið sinnir ekki sjálft: rafn@360heilsa.is, svarað innan 30 daga. Þú getur kvartað til Persónuverndar, Rauðarárstíg 10, 105 Reykjavík, personuvernd.is.
8. Öryggi
Gögn eru dulkóðuð í flutningi og í geymslu; aðgangur að gagnagrunninum er takmarkaður með aðgangsreglum eftir hverjum skjólstæðingi; myndir og talskilaboð eru í lokaðri geymslu og aðeins aðgengileg með tímabundnum hlekkjum eftir eigandaathugun; afrit eru tekin daglega og geymd dulkóðuð. Verði öryggisbrestur sem varðar þig færðu tilkynningu án ótilhlýðilegrar tafar.
9. Vafrakökur
Vefurinn notar aðeins nauðsynlegar vafrakökur: innskráningu og innri stillingar (tungumál, þema, samþykki). Engar rakningarkökur eða auglýsingakökur.
10. Breytingar
Breytingar á stefnunni eru birtar hér með nýrri dagsetningu; efnislegar breytingar eru tilkynntar í appinu og þú beðin/n að samþykkja á ný.