Privacybeleid

TrainCurve wordt beheerd door een klein bedrijf in Barcelona, Spanje. Voor privacyvragen kun je schrijven naar privacy@traincurve.app.

Om de dienst te leveren verzamelen we:

• Accountgegevens: e-mail, weergavenaam, wachtwoord (gehasht met bcrypt, nooit in leesbare tekst).
• Trainingsgegevens: trainingen die je logt of uploadt (FIT/TCX/GPX-bestanden, Strava-syncgegevens, handmatig ingevoerde sessies).
• Atletenprofiel: FTP, drempeltempo, max HF, gewicht — wat je ook kiest om in te voeren.
• AI-gespreksgeschiedenis: berichten die je naar de AI-coach stuurt en ontvangen antwoorden. Opgeslagen zodat je ze kunt terugkijken.
• BYOK-sleutels: je AI-provider API-sleutels, in rust versleuteld met AES-256-GCM. We kunnen ze niet in leesbare tekst lezen.

• We verkopen je gegevens nooit aan derden. Punt.
• We gebruiken je gegevens nooit om AI-modellen te trainen.
• We loggen nooit je ontsleutelde provider-sleutels.
• We delen je gespreksgeschiedenis nooit met andere gebruikers.
• We gebruiken geen third-party advertenties of cross-site tracking.

Je trainingsgegevens en gesprekken staan in onze database (gehost in de EU bij Cloudflare / Neon Postgres). Wanneer je met de AI-coach chat, wordt de prompt naar jouw AI-provider gestuurd (Anthropic, OpenAI of Google — welke je ook hebt gekoppeld), samen met relevante context (recente trainingen, metrics). Hun privacybeleid is op die gegevens van toepassing:

• Privacybeleid van Anthropic
• Privacybeleid van OpenAI
• Privacybeleid van Google

We gebruiken één analytics-provider — Plausible — die privacyvriendelijk, cookieloos is en geen individuen volgt. We loggen paginaweergaven geaggregeerd. Geen cookies, geen fingerprinting, geen cross-site tracking.

Je hebt het recht om:

• Alle gegevens die we over je hebben in te zien (Instellingen → Exporteren)
• Je account en alle bijbehorende gegevens te verwijderen (Instellingen → Account verwijderen)
• Onjuiste gegevens te rectificeren (bewerk je profiel op elk moment)
• Bezwaar te maken tegen verwerking (we nemen geen geautomatiseerde besluiten op basis van je gegevens)
• Je gegevens te porteren (export als JSON)

We bewaren je gegevens zolang je account actief is. Verwijder je je account, dan wissen we je trainingsgegevens en gesprekken binnen 30 dagen. Back-ups kunnen tot 90 dagen bewaard blijven voordat ze worden overschreven. Versleutelde API-sleutels worden direct bij accountverwijdering gewist.

AES-256-GCM-versleuteling voor gevoelige velden (BYOK-sleutels). Wachtwoorden gehasht met bcrypt. TLS in transit, versleuteling in rust. We voeren elk kwartaal security reviews uit en hebben een responsible-disclosure-programma op security@traincurve.app.

We stellen je minstens 30 dagen vooraf per e-mail op de hoogte van materiële wijzigingen. De geldende versie is altijd op deze URL beschikbaar, met de “Laatst bijgewerkt”-datum bovenaan.