UR Spår — Integritetspolicy / Privacy notice

Version 1.0 — senast uppdaterad / last updated: 2026-09-23

The Swedish text comes first because the pilot region is Stockholm. The English text below it says the same thing.

Svenska

Kort version

Du kan titta på spår och spårstatus utan konto. Vi sparar då ingenting om dig.
Loggar du en tur sparas den som privat som standard. Du väljer själv privat, följare eller publik när du sparar.
Av varje inspelat GPS-spår klipps som standard ca 200 meter bort i båda ändarna innan det sparas. Ett spår varken börjar eller slutar därför på din exakta position. Du väljer själv avståndet under Inställningar (av, 200, 500 eller 1000 meter), och det du väljer gäller likadant för privata och publika turer. Stänger du av skyddszonen sparas spåret precis som det spelades in.
Spårrapporter är alltid publika och går inte att redigera i efterhand. En position som följer med en rapport avrundas till ca 100 meter.
Ingen reklam, ingen analysmjukvara, ingen spårning mellan appar eller webbplatser. Vi frågar aldrig om position i bakgrunden.
Du kan hämta ut all din data och ta bort ditt konto direkt i appen, under Inställningar.

Vem är ansvarig

Personuppgiftsansvarig för behandlingen som beskrivs här är:

Kristoffer Nordström, enskild firma Organisationsnummer 970309-0358 Sverige E-post: kristoffer.nordstrom@outlook.com

E-postadressen är den kanal vi bevakar och besvarar. Vill du ha den registrerade postadressen, till exempel för ett formellt brev eller ett klagomål, skickar vi den på begäran till e-postadressen ovan.

Du har alltid rätt att klaga hos Integritetsskyddsmyndigheten (IMY), imy.se, om du anser att vi behandlar dina personuppgifter felaktigt.

Vad vi samlar in och varför

Om du bara tittar. Inget konto behövs. Vi lagrar ingen profil om dig. Kartan hämtar kartrutor från OpenFreeMap, som då ser din IP-adress och vilket område du tittar på. Vill appen visa spår nära dig frågar den om position — du kan säga nej och ändå använda kartan.

Konto. Inloggning är anonym som standard: du får ett slumpmässigt konto-id utan namn eller e-post. Väljer du att registrera dig med e-post och lösenord sparar Firebase Authentication din e-postadress, ett lösenordshash och tidpunkter för när kontot skapades och senast användes. Vi ser aldrig ditt lösenord.

Profil. Ett visningsnamn (standard: "Skier"), eventuellt en profilbild och en valfri hemregion. Profiler är läsbara för alla, eftersom flödet visar vem som lagt upp vad. Detsamma gäller vilka du följer och vilka turer du gett applåder.

Turer du loggar. Starttid och sluttid, sträcka, tid, teknik (klassisk eller skate), valfri titel och kommentar, och det inspelade spåret som en kodad linje. Spåret klipps enligt din skyddszon innan det sparas, som standard ca 200 m i varje ände. Sträcka och tid räknas ut på hela turen, så siffrorna påverkas inte. Blir det inget kvar efter klippningen sparas ingen tur alls. Du väljer synlighet vid sparandet — privat är standard och står först i listan.

Spårrapporter. Vilket spår och vilken sträcka rapporten gäller, ditt konto-id, om du har en verifierad roll (spårvärd eller klubbadmin), tidpunkt, förhållanden, spårning, snödjup, temperatur och en valfri notering. Har du gett appen tillgång till position läggs en avrundad position till (ca 100 m). Rapporter är publika, för att de är hela poängen med tjänsten, och de kan inte ändras i efterhand — en rättelse är en ny rapport. Du kan däremot ta bort din egen rapport.

Kommentarer och applåder. Ditt konto-id, tidpunkt och texten du skrev. Kommentarer och applåder syns för samma personer som får se turen de hör till. Kommentarer kan inte redigeras, bara tas bort.

Spårvärdar. Uppdaterar du en sträckas status som verifierad spårvärd sparas ditt konto-id tillsammans med tidpunkten på den sträckan, publikt. Det är så andra skidåkare kan se att uppgiften kommer från någon med ansvar för spåret.

Anmälningar och blockeringar. Anmäler du innehåll sparas vad du anmälde, skälet, ditt konto-id och tidpunkt. Anmälan syns bara för oss som granskar, aldrig för andra användare, och raderas när den är hanterad. Blockerar du någon sparas det i ditt konto och syns bara för dig.

Rättslig grund, i vanliga ord

För att kunna leverera det du bett om (artikel 6.1 b): ditt konto, dina loggade turer, ditt visningsnamn i flödet, de du följer, de spår du följer.
Ditt samtycke (artikel 6.1 a): position, profilbild, hemregion. Du kan säga nej, och du kan ta tillbaka ditt ja — säg nej till positionsbehörigheten i telefonens inställningar, eller ta bort uppgiften i appen.
Berättigat intresse (artikel 6.1 f): att kunna spåra missbruk och hålla status trovärdig — därför sparas författar-id på rapporter, kontots ålder och vem som senast uppdaterade en sträcka. Du kan invända mot detta; skriv till adressen ovan.

Att lämna uppgifter är frivilligt. Du kan använda kartan utan att lämna något.

Hur länge vi sparar

Profil och följare: så länge kontot finns, eller till du tar bort dem.
Spårrapporter: 12 månader. En rapport om snödjup är oanvändbar efter några dagar; ett år finns bara så att en hel säsong går att se i efterhand.
Rapporter om rullskidunderlag: 6 månader. Asfalt har ingen säsong att minnas: det som låg på vägen förra våren säger inget om den här. Appen slutar dessutom lita på en sådan rapport efter fyra månader.
Bekräftelser av rullskidrutter: så länge kontot finns. En bekräftelse är ett påstående om att rutten fungerar, inte en observation som blir gammal. Du kan ta tillbaka den, och den försvinner när du tar bort kontot.
Loggade turer: 24 månader. Längre än rapporter, eftersom din träningshistorik är något du faktiskt vill ha kvar — men inte för alltid.
Oanvända anonyma konton: 90 dagar. Har ett anonymt konto varken loggat en tur, skrivit en rapport eller satt ett namn är det inte en användare, utan en rad vi skapade när appen öppnades. Vi raderar då all profildata vi lagrar om kontot. En viktig precisering: själva inloggningsuppgiften hos vår inloggningsleverantör kan finnas kvar utan någon data kopplad till sig, eftersom vårt gallringsverktyg bara når databasen. Vill du att även den tas bort, använd "Radera mitt konto" i appen, som tar bort båda.
Ärligt om hur det görs: vi har ingen server som kan städa automatiskt varje natt, så gallringen körs manuellt minst en gång i månaden. Gränserna ovan är alltså verkliga åtaganden, men raderingen sker i omgångar och inte på minuten. Vill du inte vänta raderar du själv — via Ta bort mitt konto eller genom att ta bort en enskild tur. Det sker direkt.

Vilka vi delar med

Google (Firebase) — personuppgiftsbiträde. Firestore-databasen och inloggningen. Google behandlar uppgifterna på våra instruktioner enligt ett personuppgiftsbiträdesavtal.
OpenFreeMap — kartrutor. Får din IP-adress och vilka rutor du hämtar, alltså vilket område du tittar på.
Apple App Store / Google Play — distribution och testning. De hanterar konto- och kraschdata enligt sina egna villkor.
Expo — byggtjänst för appen. Ingen användardata om vi inte aktiverar uppdateringar över nätet, och i så fall uppdateras den här texten först.
Alla, om du väljer det. Publika turer, alla rapporter, profiler, kommentarer och vilka du följer är läsbara för vem som helst på internet, även utan konto.

Vi säljer ingen data och lämnar inte ut den till annonsörer. Det finns inget annonsnätverk, ingen analys-SDK och ingen kraschrapportering i appen.

Var uppgifterna lagras

Databasen ligger i Google Firestore, EU-multiregionen eur3: Belgien (europe-west1) och Nederländerna (europe-west4).

Undantaget, som vi inte tänker dölja: Firebase Authentication är inte låst till en region. Inloggningsuppgifter — e-postadress, lösenordshash, inloggningstider och Googles egna säkerhetsloggar — kan därför behandlas utanför EU, bland annat i USA. Vi kan inte välja region för den tjänsten. Överföringen vilar på EU–US Data Privacy Framework (adekvansbeslutet för certifierade amerikanska organisationer) och på standardavtalsklausulerna (SCC) i Googles databehandlingsavtal, så att skyddet inte hänger på ett enda instrument.

Allt annat — turer, spår, rapporter, profiler — lagras i EU.

På din telefon: medan du spelar in ett pass sparas rutten löpande i telefonen, så att inspelningen inte går förlorad om appen stängs ner mitt i. Den kopian skickas aldrig någonstans, den är inte beskuren av skyddszonen — beskärningen sker när passet sparas — och den tas bort så snart passet är sparat eller kastat. En inspelning som är äldre än tolv timmar erbjuds inte tillbaka utan raderas. Appen sparar också en kopia av spårinformationen i telefonen så att den fungerar utan täckning; det är samma öppna information som alla andra ser.

Dina rättigheter

Du har rätt att:

få tillgång till dina uppgifter — Inställningar → Exportera mina uppgifter ger en JSON-fil med allt vi har kopplat till dig, plus en GPX-fil per tur,
flytta dem — samma export; GPX läses av Garmin, Strava och de flesta andra,
rätta dem — visningsnamn och turers titel, kommentar och synlighet ändrar du i appen. Rapporter och kommentarer kan inte redigeras, så en rättelse innebär att du tar bort den och skriver en ny,
radera — Inställningar → Ta bort mitt konto tar bort dina turer och spår, dina rapporter, dina kommentarer, vilka du följer, dina prenumerationer, din profil och till sist själva inloggningen. Det går inte att ångra,
begära begränsning av behandlingen — enklast direkt: sätt dina turer till privat. Skriv till oss om du vill att vi pausar behandlingen medan något är under utredning,
invända mot behandling som vilar på berättigat intresse, och
klaga till Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy@imy.se — du kan alltid vända dig dit, och du behöver inte fråga oss först.

Det finns ingen profilering och inget automatiserat beslutsfattande i appen.

Gränserna för vår radering, ärligt beskrivna. Vi kör raderingen från din telefon, utan server, och några saker når den inte:

Applåder du gett andras turer lagras under ditt konto-id och kan inte sökas fram från appen. De slutar peka på dig när kontot är borta, men dokumentet finns kvar.
Kommentarer du lämnat på andras turer tas bort om databasens index för dem finns. Saknas indexet får du ett tydligt meddelande om att de inte togs bort, och då hjälper vi dig manuellt.
Applåder och kommentarer som andra lämnat på dina turer kan vi inte ta bort åt dem.
Uppdaterade du sträckstatus som spårvärd står ditt konto-id kvar där tills någon annan uppdaterar samma sträcka.
Google behåller sina egna säkerhetsloggar för inloggningar (IP-adresser, enhetsuppgifter) en tid som vi inte styr över.
Vi sparar en minimal notering om att en radering genomförts, utan uppgifter som pekar tillbaka på dig, som bevis på att vi gjort det.

Är du inloggad anonymt finns ingen e-post kopplad till kontot. Vi kan då inte identifiera dig om du hör av dig från en annan telefon — gör exporten och raderingen från den enhet du använder appen på.

Hittat en säkerhetsbrist?

Mejla kristoffer.nordstrom@outlook.com med SECURITY först i ämnesraden. Vi bekräftar att vi tagit emot din rapport inom 72 timmar.

Rapporterar du i god tro och utan att utnyttja bristen mer än vad som behövs för att visa den, kommer vi inte att vidta rättsliga åtgärder mot dig, och vi tackar dig gärna offentligt om du vill det. Ladda inte ner andras uppgifter för att bevisa din poäng — en beskrivning och en skärmbild från ditt eget konto räcker.

Åldersgräns: 13 år

UR Spår är avsett för användare som är 13 år eller äldre. Vi frågar inte om din ålder, och vi vill vara tydliga med vad det innebär: vi kan inte kontrollera gränsen, utan vi sätter den. Anledningen till att vi ändå sätter den är att appen kan spara en position, och en publicerad tur kan säga något om var någon rör sig. Det är inte något vi vill hantera för barn.

Är du förälder och tror att ett barn under 13 har lagt upp något här, mejla oss på adressen ovan så tar vi bort det. Vi behöver inget kontobevis; en beskrivning av turen eller rapporten räcker.

Kartdata

Spårens geometri kommer från OpenStreetMap och används under Open Database Licence (ODbL). © OpenStreetMap contributors. Kartrutor från OpenFreeMap.

Ändringar

Ändrar vi något av betydelse uppdaterar vi versionsnumret och datumet högst upp och berättar om det i appen. Frågor: kristoffer.nordstrom@outlook.com

English

In short

You can browse trails and conditions without an account. We store nothing about you then.
If you record a session it is saved as private by default. You choose private, followers or public when you save it.
By default, roughly 200 m is trimmed from both ends of every recorded GPS track before it is stored, so a track neither begins nor ends at your exact location. You choose the distance yourself in Settings (off, 200, 500 or 1000 m), and your choice applies the same way to private and public sessions. If you switch the zone off, the track is stored exactly as recorded.
Condition reports are public and cannot be edited afterwards. Any location attached to one is rounded to about 100 m.
No advertising, no analytics SDK, no tracking across apps or websites. We never ask for background location.
You can export all your data and delete your account from inside the app, under Settings.

Who is responsible

The data controller for the processing described here is:

Kristoffer Nordström, sole trader (enskild firma) Swedish company registration number 970309-0358 Sweden Email: kristoffer.nordstrom@outlook.com

That email address is the channel we monitor and answer. If you want the registered postal address — for a formal letter or a complaint, for instance — ask at the address above and we will send it.

You always have the right to complain to the Swedish Authority for Privacy Protection (IMY), imy.se, if you believe we handle your personal data wrongly.

What we collect, and why

If you only browse. No account needed. We store no profile for you. The map fetches tiles from OpenFreeMap, which therefore sees your IP address and the area you are looking at. To show trails near you the app asks for location — you can say no and still use the map.

Account. Sign-in is anonymous by default: you get a random account id with no name and no email. If you choose to register with email and password, Firebase Authentication stores your email address, a password hash and the times the account was created and last used. We never see your password.

Profile. A display name (default: "Skier"), an optional photo and an optional home region. Profiles are readable by anyone, because the feed shows who posted what. The same is true of who you follow and which sessions you applauded.

Sessions you record. Start and end time, distance, duration, technique (classic or skate), an optional title and note, and the recorded track as an encoded line. The track is trimmed according to your privacy zone before storage, by default about 200 m at each end. Distance and duration are computed from the whole session, so the numbers stay correct. If nothing is left after trimming, no session is saved at all. You pick the visibility when saving — private is the default and comes first in the list.

Condition reports. Which trail and which stretch the report is about, your account id, whether you hold a verified role (groomer or club admin), the time, the conditions, grooming state, snow depth, temperature and an optional note. If you have given the app location access, a rounded position (about 100 m) is added. Reports are public, because that is the point of the service, and they cannot be changed afterwards — a correction is a new report. You can delete your own report.

Comments and applause. Your account id, the time and the text you wrote. They are visible to the same people who can see the session they belong to. Comments cannot be edited, only deleted.

Groomers. If you update a stretch's status as a verified groomer, your account id is stored publicly on that stretch along with the timestamp. That is how other skiers can tell the update came from someone responsible for the trail.

Reports and blocks. If you report content we store what you reported, the reason, your account id and the time. Reports are visible only to us as reviewers, never to other users, and are deleted once handled. A block is stored in your account, visible only to you.

Lawful basis, in plain words

To deliver what you asked for (Art. 6(1)(b)): your account, the sessions you record, your display name in the feed, the people you follow.
Your consent (Art. 6(1)(a)): location, profile photo, home region, trail subscriptions. You can decline, and you can withdraw — revoke location permission in your phone settings, or remove the detail in the app.
Legitimate interest (Art. 6(1)(f)): tracing abuse and keeping trail status trustworthy — which is why reports carry an author id, accounts carry a creation date, and stretches record who last updated them. You can object; write to the address above.

Providing data is voluntary. You can use the map without providing any.

How long we keep things

Profile and follows: as long as the account exists, or until you delete them.
Condition reports: 12 months. A snow-depth note is useless within days; a year exists only so a full season stays visible for context.
Rollerski surface reports: 6 months. Asphalt has no season to remember: what was on the road last spring says nothing about this spring. The app also stops trusting such a report after four months.
Rollerski route confirmations: as long as the account exists. A confirmation is a statement that the route works, not an observation that ages. You can withdraw it, and it goes when you delete the account.
Recorded sessions: 24 months. Longer than reports, because your training history is something you actually want to keep — but not forever.
Unused anonymous accounts: 90 days. An anonymous sign-in that never recorded a session, filed a report or set a name is not a user; it is a row we created when the app was opened. We delete all profile data we hold for it. One precision worth stating: the sign-in credential itself may remain at our authentication provider with no data attached to it, because our clear-out tool reaches only the database. If you want that removed too, use "Delete my account" in the app, which removes both.
Honestly, about how this is done: we have no server that can tidy up automatically every night, so the clear-out is run by hand at least once a month. The limits above are real commitments, but deletion happens in batches rather than to the minute. If you would rather not wait, delete it yourself — via Delete my account or by removing an individual session. That is immediate.

Who we share with

Google (Firebase) — our processor. The Firestore database and sign-in. Google processes the data on our instructions under a data processing agreement.
OpenFreeMap — map tiles. Receives your IP address and which tiles you fetch, meaning the area you are looking at.
Apple App Store / Google Play — distribution and testing. They handle account and crash data under their own terms.
Expo — the build service for the app. No user data unless we enable over-the-air updates, and we would update this notice first.
Everyone, if you choose it. Public sessions, all reports, profiles, comments and follow lists are readable by anyone on the internet, with or without an account.

We sell no data and hand none to advertisers. There is no ad network, no analytics SDK and no crash reporting in the app.

Where the data is stored

The database is Google Firestore, EU multi-region eur3: Belgium (europe-west1) and the Netherlands (europe-west4).

The exception, which we are not going to hide: Firebase Authentication is not pinned to a region. Sign-in data — email address, password hash, sign-in times and Google's own security logs — may therefore be processed outside the EU, including in the United States. We cannot choose a region for that service. The transfer relies on the EU–US Data Privacy Framework (the adequacy decision covering certified US organisations) and on the Standard Contractual Clauses in Google's data processing addendum, so the protection does not hang on a single instrument.

Everything else — sessions, tracks, reports, profiles — is stored in the EU.

On your phone: while you record a session the route is saved on the phone as it goes, so the recording is not lost if the app is shut down mid-run. That copy is never sent anywhere, it is not trimmed by your privacy zone — trimming happens when the session is saved — and it is deleted as soon as the session is saved or discarded. A recording more than twelve hours old is never offered back; it is deleted. The app also keeps a copy of track information on the phone so it works without coverage, which is the same public information everyone else sees.

Your rights

You have the right to:

access your data — Settings → Export my data produces a JSON file with everything we hold linked to you, plus one GPX file per recorded session,
port it — the same export; GPX is read by Garmin, Strava and most others,
rectify it — display name, and a session's title, note and visibility, are editable in the app. Reports and comments are immutable, so correcting one means deleting it and writing a new one,
erase — Settings → Delete my account removes your sessions and tracks, your reports, your comments, your follows, your subscriptions, your profile and finally the sign-in itself. It cannot be undone,
restrict processing — the quickest form is in your hands: set your sessions to private. Write to us if you want processing paused while something is disputed,
object to processing based on legitimate interest, and
complain to the Swedish Authority for Privacy Protection, Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, imy@imy.se — you may go straight to them without asking us first.

There is no profiling and no automated decision-making in the app.

The limits of our deletion, described honestly. We run deletion from your phone, with no server, and a few things are out of its reach:

Applause you gave to other skiers' sessions is stored under your account id and cannot be searched for from the app. It stops pointing at you once the account is gone, but the record remains.
Comments you left on other skiers' sessions are deleted if the database index for them exists. If the index is missing you get a clear message saying they were not deleted, and we will help you manually.
Applause and comments other people left on your sessions are theirs, not ours to remove.
If you updated a stretch's status as a groomer, your account id stays there until someone else updates the same stretch.
Google keeps its own sign-in security logs (IP addresses, device details) for a period we do not control.
We keep a minimal record that a deletion was carried out, without details that point back to you, as evidence that we did it.

If you are signed in anonymously there is no email attached to the account. We cannot then identify you if you contact us from a different phone — run the export and the deletion from the device you use the app on.

Found a security problem?

Email kristoffer.nordstrom@outlook.com with SECURITY at the start of the subject line. We will confirm we received your report within 72 hours.

If you report in good faith and do not exploit the problem beyond what is needed to demonstrate it, we will not pursue you, and we will credit you publicly if you want that. Please do not download other people's data to prove a point — a description and a screenshot from your own account is enough.

Age limit: 13

UR Spår is intended for people aged 13 or older. We do not ask your age, and we would rather be plain about what that means: we do not verify the limit, we set it. The reason we set one at all is that the app can store a position, and a published session can say something about where a person moves. That is not something we want to handle for children.

If you are a parent and believe a child under 13 has posted something here, email us at the address above and we will remove it. We do not need proof of the account; a description of the session or report is enough.

Map data

Trail geometry comes from OpenStreetMap and is used under the Open Database Licence (ODbL). © OpenStreetMap contributors. Map tiles by OpenFreeMap.

Changes

If we change anything that matters we update the version and date at the top and say so in the app. Questions: kristoffer.nordstrom@outlook.com