Personvernerklæring

Om piloten og hvem som er ansvarlig

SkrittLotto er et proof of concept – en pilot med en liten gruppe inviterte deltakere. Det er ingen pengeinnsats og ingen reelle premier: premiepotten og kommunestatistikken du ser i appen er illustrasjoner av hvordan et fullskala-konsept kunne sett ut. Skrittene, loddene og den ukentlige trekningen er derimot helt ekte – og det samme er tallene på resultatsiden, som bygges av deltakernes faktiske innsendinger.

Denne erklæringen forklarer hvilke data som finnes, hvor de bor, og hvilke valg du selv styrer.

Behandlingsansvarlig

• Navn: Thomas Glomsrød
• E-post: thomas@skrittlotto.no
• Nettside: skrittlotto.no

Behandlingsgrunnlag

Når du deltar, bygger behandlingen på ditt samtykke (personvernforordningen art. 6 nr. 1 bokstav a): du velger selv å be om invitasjon, installere appen, gi tilgang til skrittdata og aktivt sende inn hver ukesrapport. Skrittall kan si noe om helsen din. Vi behandler dem derfor like varsomt som helseopplysninger: de deles bare med ditt uttrykkelige samtykke, altså når du selv sender inn ukens lodd. Du kan når som helst ombestemme deg: slutt å sende inn, og be om at det som er sendt, blir slettet.

Chatboten, tellerne mot misbruk, driftsloggene, trafikkloggene, appens feilrapportering og Play Integrity-bekreftelsen bygger ikke på samtykke, men på vår berettigede interesse i å svare på spørsmål, holde tjenesten stabil og avdekke og hindre misbruk (personvernforordningen art. 6 nr. 1 bokstav f). Du kan protestere mot dette, se «Dine rettigheter».

Hva sendes inn – og når?

Skritt, lodd, spiller-ID, navn og kommune forlater telefonen din kun når du aktivt sender inn ukesrapporten i appen. Frem til da lagrer appen ingenting utenfor telefonen din – med to tekniske unntak. Delingsbryterne i innsendingsdialogen styrer om navn, kommune og dag-for-dag-historikk blir med. Spiller-ID, lodd, ukesum og noen tekniske felt følger alltid med (se lista under).

Ved første oppstart oppretter appen en anonym innloggings-ID hos Google (Firebase Authentication), som appen trenger for å kunne sende inn – en tilfeldig teknisk nøkkel uten navn eller skrittdata. Og appens feilrapportering (Firebase Crashlytics) sender litt teknisk informasjon til Google, blant annet en kort melding når appen åpnes og en feilrapport med teknisk feilinformasjon hvis appen krasjer eller får en alvorlig teknisk feil. Informasjonen omfatter enhetsmodell, OS-versjon og en pseudonym teknisk installasjons-ID, men aldri navn, spiller-ID, sikkerhetskode eller skrittdata. Feilrapportene oppbevares hos Google i 90 dager, og innloggings-ID-en slettes når piloten avsluttes.

I tillegg legger appen ved en bekreftelse fra Google (Play Integrity) når den er i kontakt med Firebase, blant annet når den sender inn og når den sjekker om det er trukket en vinner (søndag kveld og én gang hver morgen). Bekreftelsen skal vise at det er den ekte SkrittLotto-appen på en ekte telefon. Google lager den ut fra opplysninger om telefonen og appen, og den inneholder verken navn, spiller-ID eller skrittdata.

Sendes alltid med en innsending

• Anonym spiller-ID (formatet SL-XXXXXXXX, f.eks. SL-2E7D9A4B) – identifiserer loddene dine uten navn. Presist sagt er ID-en et pseudonym: den er tilfeldig og sier ingenting om deg, men den er den samme for alle dine lodd
• Ukens lodd-datoer og antall – hvilke dager du tjente lodd, og hvor mange
• Ukesum av skritt – ett samlet tall for uken
• Ukestart og innsendingstidspunkt – hvilken uke rapporten gjelder, og når den ble sendt inn
• Kvitteringsnummer – brukes til å annonsere vinneren
• Teknisk eier-ID – fra anonym Firebase-innlogging, slik at bare din app kan endre din rapport
• Fingeravtrykk av sikkerhetskoden – en SHA-256-hash, aldri selve koden

Valgfritt – du velger med av/på-brytere

• Navn – hvis av, vises du som «Anonym bruker»
• Kommune – hvis av, registreres «Privat»
• Dag-for-dag-historikk – hvis av, sendes kun ukesummen

Hva sendes aldri?

• Sikkerhetskoden i klartekst – appen sender kun fingeravtrykket (SHA-256-hashen). Selve koden oppgir du bare når du selv bekrefter et vinnerlodd på nettsiden
• Posisjonsdata – appen har ingen posisjonstilgang og henter ingen stedsdata fra telefonen. Den eneste stedsopplysningen er kommunen du selv velger, og den deles bare hvis delingsbryterne står på
• Kontaktinformasjon – finnes ikke i appen; ingen kontoregistrering med navn, e-post eller telefonnummer (om e-postadressen du brukte til invitasjonen: se under)

Invitasjonen

Appen deles ut via Googles Firebase App Distribution, ikke Google Play. Der ligger e-postadressen du oppga, Google-kontoen du godtok invitasjonen med, og eventuelt navnet ditt og tekniske ID-er for telefonen. Thomas ser e-postadressen i testerlista, og Google behandler opplysningene på hans vegne. De er ikke koblet til spiller-ID-en eller loddene dine. Thomas fjerner deg som tester hvis du ber om det, og senest når piloten avsluttes. Har du fått lenken på e-post eller skrevet til Thomas, har han adressen din i innboksen.

Hva lagres kun lokalt på telefonen?

Dette bor på telefonen din, ikke hos oss:

• Hele skritthistorikken – inntil 365 dager (kun ukesummer, og eventuelt dag-for-dag hvis du velger det, sendes ved innsending)
• Sikkerhetskoden din – lagres kun på din egen telefon; du oppgir den selv bare hvis du vinner, for å bekrefte loddet
• Navn og kommune – bor på telefonen; blir bare med i en innsending hvis delingsbryterne dine står på
• Innstillinger og all teknisk loggføring fra sensoren
• Dager på rad og trofeer – det appen regner ut av skrittene dine
• Profilen din – avatar, og eventuelt kjønn, høyde og vekt. Brukes bare i appen, blant annet til anslag over distanse og kalorier, og sendes aldri

Tilgang til skrittdata

Appen leser skrittdata kun etter at du har gitt eksplisitt samtykke gjennom Androids egne systemdialoger – enten via Health Connect eller telefonens innebygde skritteller. Før appen spør, forklarer den på norsk hvorfor den trenger tilgangen. Skrittene brukes til å beregne lodd og til appens egne visninger, som dager på rad, trofeer og anslag over distanse. Alt dette regnes ut lokalt på telefonen. Utover dette spør appen bare om lov til å sende varsler (valgfritt – brukes til påminnelser, feiringer og vinnervarselet). Den har aldri tilgang til posisjon, kamera, mikrofon eller kontakter.

Hvor lagres innsendte data?

Innsendte ukesrapporter lagres i EU (Google Firebase/Firestore, region europe-west1), med kryptert overføring og lagring.

• Strenge tilgangsregler: ingen kan endre andres rapporter, og ingen kan liste alle rapporter. Kjenner noen spiller-ID-en din, kan de slå opp lodd- og skrittsummene dine – aldri navn eller sikkerhetskode
• Statistikk (totaler og kommunetoppen) vedlikeholdes av serverfunksjoner, ikke av brukerne
• Nettsiden viser aggregerte tall offentlig – enkeltrapporter kan kun slås opp med spiller-ID (se «Hva vises offentlig?»)
• Lagringstid: innsendte rapporter beholdes ut pilotperioden og slettes av prosjekteieren ved pilotslutt

Fingeravtrykket av sikkerhetskoden brukes til én ting: når en trekning er gjort, kan vinneren bevise at loddet er sitt ved å oppgi koden sin. Koden sjekkes på serveren (fingeravtrykket kan ikke leses av besøkende), og svaret er kun ja eller nei. Det beviser hvem som eier vinnerloddet – ikke noe mer.

Hvor behandles dataene?

Rapportene selv blir i EU, men deler av serverbehandlingen skjer hos Google utenfor EØS: serverfunksjonene (statistikk, rapportoppslag, vinnerverifisering) kjører i USA (us-central1), og chatbot-meldinger behandles av Googles AI-tjeneste Gemini. Innloggings-ID-en ligger hos Google i USA, og feilrapporteringen, trafikkloggene, invitasjonen og Play Integrity-bekreftelsen går gjennom Googles globale tjenester. Overføringen til USA er omfattet av EU–USA-rammeverket for dataoverføring (Data Privacy Framework), som Google er sertifisert under. Til andre land bruker Google EUs standardkontrakter der det trengs.

Hva vises offentlig?

Nettsiden har ingen innloggingsvegg – åpenhet er en del av pilotens design. Dette er synlig for alle:

• Samlede tall: totale skritt og lodd, og kommunetoppen (kun summer – aldri enkeltpersoner)
• Pilotens puls: et aggregert øyeblikksbilde over komplette uker (rapporter, lodd og skritt per uke, og antall kommuner) – kun summer; hodetall per kommune publiseres ikke
• Ukens vinner: vinnerloddets kvitteringsnummer – aldri navn. (Nummeret inneholder teknisk sett spiller-ID-en, så lodd- og ukesummene til en vinner kan slås opp av den som kjenner formatet – en kjent pilotbegrensning)
• Rapportoppslag: den som kjenner en spiller-ID kan se dens lodd, ukesummer og innsendingstidspunkt. Spiller-ID-en din er nøkkelen – del den bare med folk du vil skal se loddene dine

Nettsiden skrittlotto.no

Ingen innlogging for deltakere

Som deltaker trenger du aldri logge inn eller oppgi e-post på nettsiden: resultater og rapportoppslag er åpne. Innlogging finnes kun for administrator av piloten.

AI-chatbot

Chatboten på nettsiden er en støttefunksjon som svarer på spørsmål om SkrittLotto. Meldingen din sendes til Googles AI-tjeneste Gemini sammen med de siste meldingene i samtalen, og Gemini lager svaret. SkrittLotto tar ikke vare på teksten du skriver: den havner verken i databasen eller i loggene våre. Ifølge Googles vilkår brukes den ikke til å forbedre Googles produkter. Google oppbevarer den i 55 dager for å avdekke misbruk, og autoriserte ansatte hos Google kan lese meldinger som blir flagget. Ikke skriv personopplysninger i chatten – den trenger dem ikke for å hjelpe deg.

Tekniske hjelpedata (antallsbegrensning)

For å begrense misbruk teller nettsiden antall chatbot-spørsmål, rapportoppslag og verifiseringsforsøk per dag. Chat-spørsmål telles med en tilfeldig chat-ID som lagres i nettleseren din. Rapportoppslag og verifiseringsforsøk telles med IP-adressen din. Ingen av delene brukes til profilering. Tellerne er merket for automatisk sletting etter sju dager. I serverens driftslogg står blant annet IP-adressen din og, for chatten, chat-ID-en og meldingens lengde, men ikke innholdet. Driftsloggen slettes etter 30 dager.

Som på de fleste nettsteder får Googles servere IP-adressen din når du bruker nettsiden, chatten eller appen. Den kan stå i Googles vanlige trafikklogger fra noen uker til noen måneder.

Hva lagres i nettleseren din?

Nettsiden bruker ingen informasjonskapsler (cookies), men legger igjen noen små tekniske oppføringer i nettleseren. En tilfeldig chat-ID lages første gang du sender en melding i chatten. Et merke om at chat-boblen er vist, ligger der til du lukker fanen. På sidene som henter tall fra databasen, legger Googles Firebase-bibliotek igjen programversjon og dato, uten noen ID som peker på deg. Alt kan slettes under nettstedsdata for skrittlotto.no i nettleserens innstillinger.

Robotvern (reCAPTCHA) – satt på pause

Nettsiden har støtte for Googles reCAPTCHA Enterprise (Firebase App Check), som i bakgrunnen hjelper til å skille ekte nettlesere fra roboter – uten at du noen gang får oppgaver å løse. Mekanismen er for øyeblikket satt på pause og lastes ikke i nettleseren din. Blir den aktivert igjen, gjelder Googles personvernregler (åpner i ny fane) og vilkår (åpner i ny fane) for den, og denne teksten oppdateres.

Ingen sporing

• Ingen annonser
• Ingen sporing på tvers av nettsteder
• Ingen tredjeparts analyseverktøy – unntaket er appens feilrapportering (Firebase Crashlytics), det ene av de to tekniske unntakene beskrevet i «Hva sendes inn – og når?» ovenfor

Dine rettigheter

Du har rett til:

• Innsyn – få vite hvilke data som er registrert om deg. Raskeste vei: «Min rapport» på resultatsiden viser loddene og ukesummene dine uten innlogging – bevisst uten navn, kommune eller sikkerhetskode
• Retting – få rettet opplysninger som er feil
• Sletting – få slettet dataene dine; sletting av en innsendt rapport gjøres på forespørsel. Har et av loddene dine vunnet, beholder trekningsarkivet kvitteringsnumrene for ukene du vant – sporet av at trekningene faktisk skjedde (nummeret inneholder teknisk sett spiller-ID-en, jf. «Ukens vinner» over)
• Trekke samtykket – når som helst: slutt å sende inn, og be om sletting av det som er sendt
• Protestere – mot det som bygger på berettiget interesse (se «Behandlingsgrunnlag» øverst). I praksis betyr det å la være å bruke chatten, rapportoppslaget og vinnerbekreftelsen, eller å avinstallere appen. Du kan også skrive til Thomas
• Begrensning og dataflytting – få rapportene dine utlevert i en vanlig datafil, eller be om at de ikke brukes mens noe avklares. Ved begrensning tas de ut av databasen og oppbevares som fil til saken er avklart
• Klage – du kan klage på behandlingen til Datatilsynet (åpner i ny fane)

Kontakt thomas@skrittlotto.no for å bruke rettighetene dine. Oppgi helst spiller-ID-en din (SL-…, står på Profil-skjermen i appen), så går det raskere å finne dataene dine. Det er Thomas som svarer.

Et ærlig ord om piloten

Endringer og kontakt

Denne erklæringen oppdateres ved behov, og vesentlige endringer varsles til deltakerne. Spørsmål om personvern? Send en e-post til thomas@skrittlotto.no.