Personvernerklæring

Behandlingsansvarlig for opplysningene som samles inn via TITU-appen og nettstedet titu.app, er:

KAWLET, entreprise unipersonnelle à responsabilité limitée — selskap etter fransk rett — med forretningsadresse 15 Square Rameau, 59000 Lille (Frankrike), registrert i foretaksregisteret for Lille Métropole under nummer 993 159 250 (heretter «TITU» eller «vi»).

Kontakt ved alle spørsmål om personvern og for å utøve rettighetene dine: yo@titu.app

Du kan også skrive til oss per post til forretningsadressen.

KAWLET er ikke forpliktet til å utpeke et personvernombud etter artikkel 37 i personvernforordningen. Henvendelser behandles direkte av selskapets ledelse.

Kompetent tilsynsmyndighet: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr. Bor du i en annen stat i Den europeiske union, kan du henvende deg til tilsynsmyndigheten i landet du bor i.

Denne erklæringen gjelder:

• TITU-mobilappen (iOS og Android), som er produktet forbeholdt medlemmene;
• nettstedet titu.app, som omfatter de offentlige sidene, invitasjonsløypa /j/{code} og katalogen over baner og klubber.

Den er skrevet i samsvar med forordning (EU) 2016/679 (personvernforordningen) og den franske loven nr. 78-17 av 6. januar 1978 med senere endringer, kalt «Informatique et Libertés».

Aldersgrense: 16 år. TITU er ikke ment for personer under 16 år, og vi samler ikke bevisst inn opplysninger om dem. Å opprette en konto forutsetter at du har fylt 16 år. Har du foreldreansvar og oppdager at en mindreårig under 16 år har opprettet en konto, skriv til kontaktadressen vår: kontoen blir slettet.

To kategorier registrerte omfattes av denne erklæringen:

1. medlemmene, som har opprettet en TITU-konto;
2. tredjeparter hvis opplysninger et medlem taster inn — en «+1» som inviteres til en økt, eller en holdt plass som tildeles etter telefonnummer. Punkt 6 er viet dem særskilt.

Løftene nedenfor er ikke intensjoner: de kan etterprøves i måten tjenesten er bygget på.

• Vi selger ingen opplysninger, til ingen, i noen form.
• Ingen atferdsbasert reklame, ingen reklameprofilering, ingen datameglere, ingen annonsenettverk.
• Ingen automatiserte avgjørelser etter artikkel 22 i personvernforordningen.
• Ingen sporere fra tredjeparter for bruksmåling legges på enheten din: ingen Google Analytics, ingen piksel, ingen reklame-SDK, ingen sesjonsopptak.
• Appen ber verken om tilgang til kontaktlista, bildegalleriet, kameraet eller mikrofonen din. Ingen programbibliotek som gir slik tilgang, er lagt inn i appen. Den eneste valgfrie tillatelsen vi ber om, ved siden av varsler, er posisjon, og bare for å sentrere banekartet på der du er — posisjonen blir da verken overført eller lagret.
• Færrest mulig identifikatorer. Vi samler ikke inn noen e-postadresse: autentiseringen skjer med telefonnummer, og det finnes verken passord eller innlogging via sosiale nettverk. Ingen av TITUs applikasjonstabeller inneholder IP-adresse eller nettleseragent.
• Den følsomme logikken bor på serveren. Reglene som verner opplysningene (hvem ser hva, hvem kan skrive hva), håndheves av selve databasen og ikke av appen: de kan ikke omgås fra en telefon.

Dette punktet er ryggraden i denne erklæringen. Hver behandling er beskrevet for seg, med det rettslige grunnlaget som tillater den etter artikkel 6 i personvernforordningen.

De tekniske mottakerne som er felles for alle behandlingene (hostingleverandører, databehandlere), er beskrevet i punkt 12. Der «Supabase» er nevnt nedenfor, vises det til databaseleverandøren vår, som ligger i Den europeiske union.

4.1 — Oppretting av konto og autentisering

• Opplysninger: telefonnummer; fornavn eller visningsnavn; profilbilde (valgfritt); kontoens språk; opprettelsesdato.
• Teknisk presisering: telefonnummeret ditt lagres i autentiseringstjenesten (auth.users), og ikke i applikasjonstabellen for profilen din. Ingen av TITUs forretningstabeller inneholder nummeret ditt.
• Formål: å gjøre det mulig for deg å opprette en konto, å logge inn med engangskode (OTP) mottatt på SMS, og å bli gjenkjent av lagkameratene dine.
• Rettslig grunnlag: oppfyllelse av avtalen (art. 6.1.b) — uten konto finnes det ingen tjeneste.
• Lagringstid: så lenge kontoen finnes. Slettet eller anonymisert ved sletting av kontoen (punkt 16).
• Mottakere: Supabase (hosting og autentiseringstjeneste); SMS-leverandøren som er satt opp i autentiseringstjenesten (Twilio), for å frakte engangskoden. Fornavnet og bildet ditt er synlige for medlemmene i gruppene dine, avhengig av synlighetsinnstillingen på spillersiden din.

4.2 — Økter, kø og oppmøte

• Opplysninger: at du tar en plass, bekreftelse, avbud, plassering i køen, opprykk, laget du får ved låsing, uteblivelser uten avbud («no-shows»), hendelsesloggen for en økt.
• Formål: å få gruppens mekanikk til å virke — den reserverte plassen, den aktive bekreftelsen, køen etter førstemann til mølla, låsingen før avspark.
• Rettslig grunnlag: oppfyllelse av avtalen (art. 6.1.b).
• Lagringstid: så lenge kontoen finnes. Ved sletting fjernes linjene for kommende kamper og plassen gis tilbake til gruppen; linjene for kamper som alt er spilt, beholdes i anonymisert form (punkt 16).
• Mottakere: de aktive medlemmene i gruppen din; Supabase.

4.3 — Resultat, tabell og banens beste

• Opplysninger: kampresultat, mål, målgivende pasninger, selvmål, stemmer (banens beste, det fineste øyeblikket, kampens tabbe), gruppens beregnede tabell.
• Formål: å holde styr på resultatet, tabellen og utmerkelsene i gruppen.
• Rettslig grunnlag: oppfyllelse av avtalen (art. 6.1.b).
• Lagringstid: så lenge kontoen finnes, deretter beholdt i anonymisert form — et kampresultat tilhører også de andre spillerne som var på banen.
• Mottakere: de aktive medlemmene i gruppen din; Supabase.
• Særlig garanti — gjensidighetssperren: du ser de andres stemmer bare hvis du selv har stemt. Denne regelen håndheves ikke av appen: den er skrevet inn i sikkerhetspolicyen på radnivå i databasen (policyen votes_select_reciprocal, funksjonen has_voted). En forespørsel som sendes fra en modifisert klient, kan derfor ikke omgå den.

4.4 — Fotballprofil, utstyr og klubber du følger

• Opplysninger: posisjon, beste fot, oppgitt nivå, nåværende klubb, lagnavn, skostørrelse, favorittmerke, historikk og meritter du selv skriver inn; oppgitt utstyr (kategori, størrelse, status, notat, valgfritt bilde); klubber du følger; kommentarer og reaksjoner publisert i gruppen.
• Formål: å fylle ut spillersiden din og skape liv i gruppen. Alle disse opplysningene er valgfrie.
• Rettslig grunnlag: oppfyllelse av avtalen (art. 6.1.b) — disse funksjonene er en del av tjenesten du ber oss levere.
• Lagringstid: til du endrer eller sletter dem; slettes når kontoen slettes.
• Mottakere: de personene synlighetsinnstillingen din tillater; Supabase.

4.5 — Synligheten til spillersiden din

• Opplysninger: to innstillinger — rekkevidden til siden din (vestiaire: du selv og de aktive medlemmene i gruppene dine; members: enhver innlogget TITU-konto) og om seriestatistikken din vises eller ikke.
• Formål: å la deg bestemme hvem som ser hva.
• Rettslig grunnlag: oppfyllelse av avtalen (art. 6.1.b), og samtykke (art. 6.1.a) for visning av seriestatistikken, som er slått av som standard.
• Standardinnstillinger: rekkevidde vestiaire, seriestatistikk skjult. Nivået «synlig for alle, også utenfor TITU» finnes ikke: tjenesten avviser denne verdien ved skriving.
• Lagringstid: så lenge kontoen finnes.

4.6 — «+1»-ene: opplysninger om en tredjepart

Denne behandlingen er beskrevet i punkt 6, som vi viser til.

• Opplysninger: fornavnet til +1-en; valgfritt telefonnummer; identiteten til medlemmet som er vert.
• Rettslig grunnlag: berettiget interesse (art. 6.1.f).

4.7 — Holdte plasser (utpekte startspillere)

• Opplysninger: telefonnummeret som lederen av gruppen taster inn, et valgfritt veiledende fornavn, identiteten til den som sendte invitasjonen.
• Formål: å la grunnleggeren av en gruppe holde av plassen til spillerne i den faste stammen før de i det hele tatt har en konto, og å gi dem plassen når de registrerer seg.
• Rettslig grunnlag: berettiget interesse (art. 6.1.f) — å sette sammen gruppen av spillere som allerede kjenner hverandre og spiller sammen.
• Lagringstid: automatisk minimering. En holdt plass som ingen har krevd, slettes av serveren når laguttaket låses (som standard to timer før avspark). Nummeret til en tredjepart som aldri har registrert seg, overlever altså ikke kampen. En plass som er krevd, forsvinner når den som opprettet den, sletter kontoen sin.
• Mottakere: medlemmene i gruppen (som ser den holdte plassen); Supabase.

4.8 — Geografisk tilgjengelighet («Ledig i nærheten»)

• Opplysninger: et geografisk punkt du selv setter på et kart (og ikke GPS-posisjonen din), en radius fra 1 til 30 km, en av/på-markør og datoen for den siste innkallingen du fikk.
• Formål: å få beskjed når en gruppe i nærheten mangler en spiller for å bli fulltallig.
• Rettslig grunnlag: samtykke (art. 6.1.a). Funksjonen er slått av som standard og slås på med en uttrykkelig bryter i profilen din. Du kan slå den av når som helst, uten begrunnelse; tilbaketrekkingen gjelder framover.
• Rammer: søket utelukker systematisk personer som allerede er knyttet til gruppen; samme spiller kan ikke innkalles mer enn én gang per 20 timer; én innkalling når høyst 30 personer, de nærmeste først. Disse grensene håndheves av serveren.
• Lagringstid: til funksjonen slås av eller kontoen slettes. Linja slettes når kontoen slettes, og markøren settes til av når kontoen settes på pause.
• Mottakere: ingen tredjepart mottar punktet ditt. Gruppen som innkaller deg, ser bare en avrundet avstand.

4.9 — Krav på identitet i offentlige kampresultater fra konkurransene

Denne behandlingen er beskrevet i punkt 7, som vi viser til.

• Rettslig grunnlag: samtykke (art. 6.1.a), tidsstemplet og versjonert.

4.10 — Push-varsler

Nærmere beskrevet i punkt 8.

• Opplysninger: enhetens varslingstoken, plattform (iOS/Android), tokenets språk; køen av varsler som skal sendes.
• Rettslig grunnlag: oppfyllelse av avtalen (art. 6.1.b) for innholdet i varslene, som er rent funksjonelt; systemtillatelsen kan når som helst trekkes tilbake i innstillingene på telefonen din.

4.11 — Bruksmåling

Nærmere beskrevet i punkt 9.

• Rettslig grunnlag: berettiget interesse (art. 6.1.f) — å forstå om produktet virker, uten sporere og uten profilering.

4.12 — Været under en kamp

• Opplysninger: banens koordinater og klokkeslettet for avspark. Ingen opplysninger om deg overføres.
• Formål: å vise været slik det var da kampen ble spilt, i gruppens historikk.
• Rettslig grunnlag: oppfyllelse av avtalen (art. 6.1.b).
• Mottaker: Open-Meteo, en europeisk tjeneste som spørres uten nøkkel og uten konto. Tjenesten mottar et geografisk punkt og en dato, aldri en spiller-ID.
• Lagringstid: været lagres én gang sammen med kampen og beholdes med gruppens historikk.

4.13 — Katalogen over baner og klubber, og klikk til et partnertilbud

Nærmere beskrevet i punkt 10.

• Rettslig grunnlag: berettiget interesse (art. 6.1.f). På de besøkendes side gjelder denne behandlingen ingen personopplysninger.

4.14 — Sikkerhet, forebygging av misbruk og tekniske logger

• Opplysninger: tellere for søk og identitetskrav per konto, over et rullerende vindu på 24 timer (30 søk, 5 krav); logg over forespørsler om krav; autentiseringsloggen som autentiseringstjenesten fører, og som inneholder IP-adressen og nettleseragenten for sesjonene.
• Formål: å hindre misbruk, særlig at identitetssøket vris om til et middel for å avdekke identiteten til tredjeparter; å sikre kontoene.
• Rettslig grunnlag: berettiget interesse (art. 6.1.f) — å sikre tjenesten og verne personer hvis opplysninger ellers kunne bli eksponert.
• Lagringstid: tellerne nullstilles ved hvert nytt vindu på 24 timer. Disse registreringene slettes når kontoen slettes, også autentiseringsloggen, som tømmes både etter konto-ID og etter telefonnummer.
• Mottakere: Supabase; vi selv, av sikkerhetshensyn.

4.15 — Sporbarhet for avgjørelser om kontoens livsløp

• Opplysninger: en logg som bare kan legges til, og som registrerer pauser, reaktiveringer og slettinger, med dato, hendelsestype og tellere (antall plasser som er gitt tilbake, antall +1 som er fjernet, antall enheter som er koblet fra). Den beholder kontoens tekniske ID, men ingen identifiserende egenskap etter en sletting.
• Formål: å kunne bevise at et krav om sletting faktisk er gjennomført, og å feilsøke en hendelse.
• Rettslig grunnlag: berettiget interesse (art. 6.1.f) og rettslig forpliktelse (art. 6.1.c, artikkel 5.2 i personvernforordningen: ansvarlighet).
• Lagringstid: beholdes uten tidsbegrensning, i ikke-identifiserende form. Denne loggen er verken tilgjengelig for anon eller for innloggede kontoer: bare tjenesterollen har tilgang.

4.16 — Svar på henvendelsene dine

• Opplysninger: innholdet i meldingen din og det som trengs for å identifisere deg.
• Formål: å behandle kravene dine om å utøve rettigheter og henvendelsene dine til brukerstøtten.
• Rettslig grunnlag: rettslig forpliktelse (art. 6.1.c) for krav om å utøve rettigheter; berettiget interesse (art. 6.1.f) for brukerstøtten.
• Lagringstid: 3 år fra siste kontakt, som dokumentasjon på at henvendelsen er behandlet.

Løftene nedenfor holdes av databasens struktur, og ikke av en intern instruks. De avhenger verken av god utviklingsskikk eller av en innstilling noen kunne glemme å sette tilbake: opplysningene de forbyr, har ingen steder å bli skrevet.

5.1 — Ingen personer i konkurransedataene. Databasetabellene som tar imot forbundenes offentlige data (klubber, baner, konkurranser, lag, påmeldinger, terminlister, resultater, tabeller), har ingen kolonne som kan ta imot et personnavn, et telefonnummer, en e-postadresse, en fødselsdato, en dommer eller en navngitt lagoppstilling. Kolonnene som heter «navn», viser der utelukkende til klubber, lag, baner, konkurranser eller runder. Disse 56 tabellene er dessuten helt lukket: sikkerhet på radnivå er slått på uten en eneste tilgangsregel, og ingen rettigheter er gitt til den anonyme og den autentiserte rollen. Ingen offentlig forespørsel kan lese dem.

5.2 — Profilbildene er ikke offentlige. Lagringsområdet for profilbilder er privat. Tjenesten returnerer aldri en offentlig bildeadresse, bare en sti; visningen går gjennom en signert lenke med kort varighet (5 minutter), som bare utstedes dersom tilgangsreglene tillater det — det vil si til deg selv eller til et aktivt medlem i en gruppe dere deler. En modifisert klient kan ikke gi seg selv rett til å se et ansikt.

5.3 — «+1»-ene står utenfor tabellen av konstruksjon. Gjestene lagres i en egen databasetabell, atskilt fra den som holder lagoppstillingene. Tabellen, resultatene og den individuelle statistikken beregnes utelukkende fra lagoppstillingene. En +1 kan derfor ikke dukke opp på tabellen, ikke fordi et filter utelukker vedkommende, men fordi vedkommende ikke finnes der.

5.4 — En identitet ingen har gjort krav på, har ingen steder å bli skrevet. I databasetabellen som tar imot en spilleridentitet, er konto-ID-en primærnøkkel. Det er strukturelt umulig å lagre der opplysningene om en person som ikke har en TITU-konto og ikke har bekreftet at det er vedkommende selv.

5.5 — Ikke noe innhold fra Google Places kommer inn i dataene våre. Fra denne tjenesten beholder vi bare en ugjennomsiktig identifikator, i en egen databasetabell hvis skranker ikke godtar noen annen leverandør og heller ikke noe annet formål enn å knytte et sted. Ikke noe innhold fra Places (navn, omtaler, bilde, beskrivelse) mater banesidene våre eller noen automatisert tekstproduksjon.

5.6 — Ingen IP-adresse i applikasjonsdataene. Ingen av TITUs forretningstabeller har en kolonne for IP-adresse eller nettleseragent. Disse opplysningene finnes bare i loggen til autentiseringstjenesten, av hensyn til kontosikkerheten, og tømmes når kontoen slettes.

Dette er det ømtåligste punktet i tjenesten, og vi dokumenterer det fullt ut.

Hva som skjer. Når en økt mangler spillere, kan et medlem føre opp en «+1»: en venn som ikke har TITU-konto. Medlemmet taster da inn fornavnet hans eller hennes og, valgfritt, telefonnummeret. Dette er opplysninger om en person som ikke har inngått noen avtale med oss, og som i det øyeblikket kanskje ikke vet at fornavnet står oppført på en kamprapport.

Rettslig grunnlag: berettiget interesse (art. 6.1.f i personvernforordningen). Interessen som forfølges, er å organisere en kamp mellom folk som allerede kjenner hverandre: vertsmedlemmet inviterer en venn det allerede er avtalt spill med. Opplysningene det gjelder, er minimale (et fornavn, eventuelt et nummer), behandlingen er kortvarig, og den fører verken til profilering, markedsføring eller overføring til en tredjepart. Vi har foretatt en interesseavveining og mener at inngrepet i privatlivet til +1-en er begrenset til det strengt nødvendige.

Informasjon til den registrerte. Ved å føre opp en +1 forplikter vertsmedlemmet seg til å ha informert personen om at vedkommende føres opp på en TITU-økt, og til å ha samtykke til å oppgi nummeret. Er du ført opp som +1 og ikke ønsker det, har du to veier: å be medlemmet som førte deg opp om å fjerne deg, eller å skrive direkte til kontaktadressen vår — da sletter vi opplysningene.

Hva som gjøres, og hva som ikke gjøres:

• En +1 er aldri med på tabellen. Vedkommende lagres i en egen databasetabell (se punkt 5.3): vedkommende kan ikke dukke opp i de individuelle resultatene, i statistikken eller på gruppens tabell. Det er ikke et visningsvalg, det er slik dataene er bygget.
• Nummeret brukes bare til én ting: gjenkjenning ved registrering. Oppretter personen senere en TITU-konto med dette nummeret, kjenner tjenesten igjen treffet og knytter +1-oppføringen til kontoen: vedkommende får tilbake sporet etter kampene som faktisk er spilt. Nummeret brukes aldri til å sende en melding, en invitasjon eller en purring.
• Nummeret normaliseres (bare sifrene beholdes), og det samme nummeret kan ikke føres opp to ganger på samme økt.
• Rammer satt av serveren. En +1 kan bare legges til dersom det faktisk finnes ledige plasser, dersom køen er tom (ingen som venter, skal forbigås) og innenfor taket gruppen har satt. Disse reglene håndheves av databasen, ikke av appen.
• Uteblivelse uten avbud fra en +1 belastes verten, ikke gjesten.

Lagringstid. Fornavnet til en +1 står på gruppens kamprapport og blir stående der, fordi det er en del av den felles historikken til de andre spillerne. Telefonnummeret slettes derimot i disse tilfellene: når vertsmedlemmet sletter kontoen sin; når +1-en oppretter en konto og blir fullverdig medlem; eller på forespørsel til kontaktadressen vår. For full åpenhet: når en vert fjerner en +1 fra en økt, merkes linja som fjernet, men det sletter ikke nummeret i seg selv — et krav om sletting må rettes til oss, og vi følger det opp.

Innkalling fra fellesskapet. Når en spiller blir med på en økt gjennom oppropet til fellesskapet (punkt 4.8), lagres vedkommende i den samme egne databasetabellen, med angivelse av hvor vedkommende kom fra. Vedkommende er ikke medlem av gruppen og kommer ikke med på gruppens tabell.

TITU lar deg, om du ønsker det, knytte til kontoen din statistikken til en spiller som er funnet i offentlige kampresultater fra konkurransene.

⚠️ Vesentlig og utvetydig presisering: ingen forbund overfører data til oss, og vi har ingen avtale om dataoverføring med noe forbund. Vi leser bare kampresultater som er offentlig publisert, i det øyeblikket du ber oss om det. Enhver formulering som skulle antyde noe annet, ville være uriktig.

Rettslig grunnlag: ditt samtykke (art. 6.1.a i personvernforordningen), innhentet før behandlingen, tidsstemplet og versjonert. Samtykketeksten har et versjonsnummer (per i dag 2026-07-30.1) som lagres sammen med bekreftelsen din. Det er serveren som gjelder: har teksten endret seg siden den ble vist, avvises kravet, og samtykket må gis på nytt på den oppdaterte versjonen. Funksjonen er helt valgfri; å ikke gjøre noe er et fullgodt svar.

Slik virker det, steg for steg:

1. På forespørsel, aldri på forhånd. Ingenting leses før du selv har meldt inn klubben din. Det finnes ingen forhåndsbygde spillerprofiler, ingen base med identiteter som venter på å bli krevd.
2. Søket lagrer ingenting. De offentlige lagoppstillingene leses i samme øyeblikk av en egen funksjon som ikke skriver til noen database. Dens eneste tilstand er en avgrenset hurtigbuffer i arbeidsminnet på 5 minutter, som forsvinner med prosessen. Ingen fil, ingen rad, ingen spor etter personer som ikke er deg.
3. Kandidatene du får foreslått, er anonymisert. Du ser aldri det fulle navnet til en tredjepart: bare fornavnet fulgt av forbokstaven i etternavnet («Luca A.»), fødselsåret når kilden publiserer det, og sportslige opplysninger (lag, konkurranse, sesong, kamper, mål, draktnummer). Den virkelige forbunds-ID-en kommer aldri ut i klartekst.
4. Lenka til en kandidat er kryptert, kortvarig og personlig. Hver kandidat som foreslås, følges av et kryptert token som inneholder den virkelige ID-en, din konto-ID og en utløpstid på 10 minutter. Et token som er foreslått til noen andre, avvises; et utløpt token avvises. Du kan bare gjøre krav på det som er blitt foreslått nettopp deg, og innen ti minutter.
5. Vi beholder bare deg. Etter bekreftelsen din lagres bare din oppføring. De andre kandidatene har, strukturelt sett, ingen steder å bli skrevet: i databasetabellen som tar imot en identitet, er konto-ID-en primærnøkkel (punkt 5.4).
6. Én identitet, én konto. Den samme spilleridentiteten kan bare knyttes til én TITU-konto.

Opplysninger som beholdes etter bekreftelsen din: etternavn og fornavn slik kilden publiserer dem, konkurransens ID, klubb og lag, kildens adresse, samtykkeversjonen, datoen for kravet; samt statistikken din per sesong (konkurranse, nivå, lag, nummer, kamper, mål, kort, dato for første og siste kamp).

Fødselsdato: den beholdes bare for den som har bekreftet at det er vedkommende selv. For de andre kandidatene finnes årstallet bare så lenge visningen varer, og lagres aldri. Publiserer kilden bare året, lagrer vi bare året — vi finner ikke opp en 1. januar. På siden din vises bare året, aldri en full dato. På datoen for denne erklæringen publiserer ingen av kildene som er koblet til, dato eller år for fødsel: det samles derfor faktisk ikke inn noen fødselsopplysning.

Visning: seriestatistikken din er skjult som standard. For at den skal vises på siden din, kreves en ekstra innstilling som du slår på uttrykkelig (punkt 4.5).

Dekning: funksjonen er bare tilgjengelig for land der en offentlig kilde er støttet. Har landet ditt ingen, sier tjenesten det til deg, og ingenting leses.

Tilbaketrekking når som helst. En knapp i profilen din kobler identiteten fra. Frakoblingen sletter umiddelbart identitetsoppføringen din og hele seriestatistikken din, uten arkivering, uten kopi, uten papirkurv. I den interne loggen over krav nullstilles identifikatoren som peker på en person; det står bare igjen sporet etter en hendelse (et krav skjedde på den datoen, i det forbundet, for den klubben), uten navn.

Innsigelse. Mener du at en konto har knyttet seg til din identitet, skriv til kontaktadressen vår: vi kan merke identiteten som omstridt — noe som umiddelbart tar den ut av visningen — og deretter koble den fra.

Vern mot misbruk. En konto er begrenset til 30 søk og 5 krav per 24 timer. Denne grensen stenger med hensikt en misbruksmulighet: å kreve og angre om og om igjen for å få fram et fullt navn hver gang.

Hva vi lagrer: for hver enhet et varslingstoken, plattformen (iOS eller Android) og tokenets språk. Ingen reklame-ID, ingen maskinvare-ID.

Når tillatelsen blir bedt om. Den blir aldri bedt om ved første oppstart av appen. Den blir bedt om etter at du har opprettet eller blitt med i en gruppe, altså i det øyeblikket et varsel endelig gir mening for deg. Å si nei har ingen følger for resten av tjenesten.

Innholdet i varslene settes sammen på serveren vår, på språket til mottakerenheten, ut fra en intern kø. Et varsel kan inneholde gruppens navn, banens navn, kampens dato og, etter omstendighetene, fornavnet til en spiller (for eksempel når en plass er reservert til deg, eller når en spiller har blitt med på økta).

Mottakere: den ferdige meldingen og enhetens token overføres til Google (Firebase Cloud Messaging) for frakt, og på iOS til Apple (APNs). Dette er standardmåten mobilvarsler fraktes på; det finnes ingen måte å levere et push-varsel på uten å gå gjennom disse tjenestene.

Lagringstid: et token beholdes så lenge appen er installert og kontoen er aktiv. Det slettes umiddelbart dersom du setter kontoen din på pause eller sletter den, og det fjernes automatisk når frakttjenesten melder til oss at det ikke lenger er gyldig.

Tilbaketrekking: du kan når som helst trekke tilbake tillatelsen i innstillingene til operativsystemet ditt. Innstillinger-skjermen i TITU viser gjeldende status for tillatelsen og peker veien tilbake.

Vi bruker PostHog, i regionen Den europeiske union, for å forstå om produktet virker.

Hva vi gjør:

• Bare navngitte hendelser, utløst uttrykkelig av koden vår. Det finnes ingen automatisk registrering av det du gjør, ingen sesjonsopptak («session replay»), ingen varmekart, ingen sporing av det du taster.
• Hendelseslista er kort og lukket. I appen: group_created, group_joined, place_taken, slot_confirmed, absence_declared, score_submitted, motm_voted, guest_added, community_opened, community_joined, card_shared, push_permission. På nettstedet: web_join_viewed, web_otp_sent, web_otp_verified, web_group_joined, web_lang_switch, web_confirm, web_declare_absence, web_undo_absence, web_pass_offer, web_take_place, web_submit_score.
• Hver hendelse følges av minimale tekniske egenskaper: ID-en til objektet det gjelder (en økt, en gruppe), plattformen og miljøet. Ikke noe av det du taster inn, overføres.
• Når du er innlogget, knyttes hendelsene til den tekniske ID-en til kontoen din (en UUID). Før innlogging sendes de under identifikatoren anon.
• Ingen informasjonskapsel for bruksmåling, ingen lagring på enheten din, ingen reklame-ID. Sendingen er en enkel, direkte HTTP-forespørsel; vi legger ikke inn utviklingssettet til PostHog. Behandlingen innebærer derfor verken tilgang til eller lagring av informasjon i terminalen din i betydningen artikkel 82 i den franske loven «Informatique et Libertés», og krever dermed ikke innhenting av samtykke på det grunnlaget.
• Som ved enhver nettverksforespørsel ser PostHogs server IP-adressen kallet kommer fra. Vi lagrer den ikke på vår side og kobler den ikke til noen annen behandling.

Rettslig grunnlag: berettiget interesse (art. 6.1.f). Du kan når som helst protestere mot denne behandlingen ved å skrive til kontaktadressen vår.

Lagringstid: vi forplikter oss til ikke å beholde disse hendelsene lenger enn 25 måneder.

Uten konfigurasjonsnøkkel er målingen helt inaktiv: koden sender ingenting.

Nettstedet titu.app publiserer en katalog over fotballbaner og klubber, bygget på offentlige data (offentlige åpne data, offentlige registre, opplysninger publisert av forbundene). Disse sidene inneholder ingen personopplysninger: de beskriver steder, anlegg, klubber og konkurranser. Klubbledere, navngitte kontaktpersoner og navngitte lagoppstillinger er utelukket av konstruksjon (punkt 5.1).

Å bla i katalogen. Å bruke katalogen krever verken konto eller sporingsinformasjonskapsel. Ingen av databasetabellene våre beholder IP-adressen til en besøkende.

Klikk til et bookingtilbud fra en partner. Når du klikker på et bookingtilbud, går du gjennom en teknisk videresending som teller opp en teller. Denne telleren inneholder nøyaktig: tilbudets ID, dagens dato, flaten klikket kom fra (baneside, byside eller kart), antall klikk og tidsstemplene for dagens første og siste klikk. Verken IP-adresse, informasjonskapsel, konto, spiller-ID eller nettleseravtrykk. Det er derfor umulig, ut fra denne telleren, å vite hvem som klikket.

Videresendingen er dessuten satt opp til ikke å sende noen referrer til partnerens nettsted, og den utgående lenken har attributtene nofollow sponsored noopener noreferrer. Partneren vet altså ikke hvilken TITU-side du kom fra.

Posisjon på kartet. Knappen «i nærheten» på banekartet bruker enhetens posisjon bare til å sentrere visningen. Denne posisjonen blir verken sendt til en server eller lagret. Den er noe annet enn punktet for geografisk tilgjengelighet som er beskrevet i punkt 4.8, som du selv setter, og som lagres med samtykket ditt.

TITU setter verken reklameinformasjonskapsler eller informasjonskapsler for bruksmåling. Derfor finnes det ikke noe samtykkebanner, fordi det ikke er noe å samtykke til.

De eneste elementene som legges i nettleseren din, er strengt nødvendige for at nettstedet skal virke, og unntatt fra kravet om samtykke etter artikkel 82 i den franske loven «Informatique et Libertés»:

I mobilappen lagres de tilsvarende innstillingene lokalt på enheten og forsvinner når appen avinstalleres.

Opplysningene dine blir aldri solgt, leid ut eller overdratt. De er tilgjengelige for autoriserte personer hos KAWLET, strengt etter behov, og for de tekniske databehandlerne som er listet opp nedenfor. Hver av dem handler på våre instrukser og er bundet av en databehandleravtale i samsvar med artikkel 28 i personvernforordningen.

Overføringer ut av Den europeiske union. Kjernen i opplysningene dine — konto, grupper, økter, resultater, spillersider — lagres i Den europeiske union. Overføringene til USA er begrenset til det som er teknisk uunngåelig: distribusjonen av nettstedets sider, frakten av en SMS og frakten av et push-varsel. De er rammet inn av mekanismene i kapittel V i personvernforordningen (beslutning om tilstrekkelig beskyttelsesnivå, standard personvernbestemmelser).

Andre mulige mottakere: de andre medlemmene i gruppene dine, innenfor rammene som er beskrevet i punkt 4; og eventuelt retts- eller forvaltningsmyndigheter etter lovlig pålegg.

Åpenhet på dette punktet: utenom de tilfellene der en lagringstid er uttrykkelig angitt ovenfor, beholdes opplysningene knyttet til kontoen din så lenge kontoen din finnes. Vi kjører ingen automatisk sletting etter alder; det er pausen og slettingen, beskrevet i punkt 15 og 16, som avgjør hva som skjer med dem.

I samsvar med artikkel 32 i personvernforordningen gjennomfører vi følgende tiltak:

• Kryptering av kommunikasjonen med TLS på all trafikk, i appen og på nettstedet.
• Kryptering av data i ro hos hostingleverandøren vår.
• Sikkerhet på radnivå i databasen. Hver følsom tabell har tilgangsregler som databasemotoren vurderer: en klient kan bare lese det regelen tillater, uansett hvilken forespørsel den sender. Det er denne mekanismen som holder gjensidighetssperren for stemmene (punkt 4.3) og fortroligheten rundt profilbildene (punkt 5.2).
• Alle følsomme operasjoner er transaksjonelle og kjøres på serversiden. Å ta en plass, melde avbud, bekrefte, gjøre krav på en identitet, slette en konto: klienten kaller, den bestemmer ikke.
• Overgangene i tid (åpning av køen, låsing, utløp av et tilbud) utløses av en planlagt jobb på serveren, aldri av enheten: å endre klokka på telefonen har ingen virkning.
• Skille av konkurransedataene: sikkerhet på radnivå er slått på uten tilgangsregler, og ingen rettigheter er gitt til de offentlige rollene.
• Begrensning av forespørselsraten på de følsomme funksjonene, og revisjonslogg for identitetskrav.
• Privat lagringsområde for bildene, tilgang med en signert lenke som varer 5 minutter.

Ved et brudd på personopplysningssikkerheten som kan medføre en risiko for dine rettigheter og friheter, varsler vi CNIL innen 72 timer (artikkel 33 i personvernforordningen) og informerer deg direkte når risikoen er høy (artikkel 34).

Pausen er et reversibelt grep som tar deg ut av sirkulasjon uten å ødelegge historikken din. Den settes i gang fra Innstillinger › Faresone › Pause.

Hva som skjer umiddelbart:

1. Plassene dine på kommende kamper gis tilbake til gruppen — påmeldingene dine til framtidige økter frigis, og neste reserve blir kalt inn. Det samme gjelder «+1»-ene du var vert for, og øktene du var blitt med på gjennom oppropet til fellesskapet.
2. Din geografiske tilgjengelighet slås av (linja beholdes for å kunne gi den tilbake til deg).
3. Varslingstokenene dine slettes: du mottar ingenting mer.
4. Varslene som ennå ikke er sendt og som var ment for deg, slettes.
5. Spillersiden din blir ikke lenger synlig for de andre.

Hva som bevares: fornavnet ditt, bildet ditt, språket ditt, medlemskapene dine i gruppene, kamphistorikken din, plasseringen din på tabellen, fotballprofilen din, utstyret ditt, kommentarene dine, og spilleridentiteten din dersom du har gjort krav på en.

Hva som er sperret under pausen: du kan ikke lenger ta eller bekrefte en plass, bli med i en gruppe, legge til en «+1», stemme, kommentere, reagere eller endre den geografiske tilgjengeligheten din. Ethvert forsøk avvises av selve databasen, med en tydelig melding.

Å komme tilbake skjer med ett grep, fra den samme skjermen. Den geografiske tilgjengeligheten din slås på igjen bare dersom den var på før pausen. Derimot kommer ikke plassene du ga fra deg tilbake: noen kan ha spilt i ditt sted, og vi fratar ingen noe.

Ett forbehold: en spiller som er siste leder i en gruppe med andre medlemmer, kan ikke sette seg på pause før nøklene er gitt videre. Det er ingen hindring for rettighetene dine: overleveringen tar to grep fra garderobeskjermen.

Slettingen settes i gang fra Innstillinger › Faresone › Slett kontoen min, med en uttrykkelig bekreftelse. Den er umiddelbar, endelig og uten papirkurv: det finnes verken nådefrist, sikkerhetskopi eller mulighet for gjenoppretting. En slettet konto kan ikke aktiveres på nytt.

Før noe fryses, gis plassene dine tilbake. Det er den første operasjonen, og den dekker alle formene for plass en konto kan holde: påmeldingene dine til framtidige økter, «+1»-ene du var vert for, øktene du var blitt med på gjennom oppropet til fellesskapet, og de holdte plassene du hadde opprettet eller som var ment for deg. Glemmes bare én av disse formene, blir det stående igjen en spøkelsesplass: en gruppe som tror den er ti og spiller ni. Det er ingen detalj i visningen — det er andre menneskers data vi ville ha ødelagt.

Hva som SLETTES, uten kopi og uten arkiv:

• telefonnummeret ditt, også i autentiseringsloggen — en logg som ingen teknisk kobling knytter til kontoen din, og som slettingen av kontoen derfor ikke når av seg selv: den tømmes uttrykkelig, både etter ID og etter nummer;
• profilbildet ditt: referansen slettes umiddelbart, og filen fjernes fra lagringsområdet av en automatisk jobb som kjører hvert femte minutt;
• språket ditt, fotballprofilen din, utstyret ditt, klubbene du følger;
• kommentarene og reaksjonene dine;
• punktet ditt for geografisk tilgjengelighet og radiusen;
• enhetstokenene dine og varslingskøen din — også varslene til andre som nevnte deg ved navn;
• hendelsesloggen for økta som hadde fornavnet ditt i klartekst («den og den tok en plass»), og, i de samme tekstene, fornavnet til en «+1» du hadde tatt med;
• spilleridentiteten din og hele statistikken din, samt loggen over krav som gjelder deg;
• de holdte plassene du hadde opprettet, og de som bar nummeret ditt;
• telefonnummeret til enhver «+1» du hadde tatt med;
• autentiseringsidentiteten din og alle sesjonene og tokenene dine.

Hva som ANONYMISERES og beholdes:

Profilen din blir et skall uten en eneste identifiserende egenskap: visningsnavnet ditt erstattes av et teknisk pseudonym uten mening (på formen #a3f91c), og bildet og språket nullstilles.

Fra da av peker linjene som pekte mot deg, bare mot en naken identifikator, og er dermed anonymisert i ett grep:

• lagoppstillingene fra kamper som alt er spilt;
• målene, pasningene og statistikken fra disse kampene;
• stemmene du har avgitt og dem du har fått;
• kamprapportene der en «+1» du hadde tatt med sto oppført — fornavnet blir stående, fordi det ikke er din opplysning: det er opplysningen til en tredjepart som er ført opp på kamprapporten til en gruppe som har rett til å beholde sin egen historikk.

Hvorfor ikke slette alt? Fordi et kampresultat ikke er din opplysning alene. Det tilhører også de ni andre som var på banen. Å slette linja ville lemleste historikken, tabellen og resultatene deres. Vi ødelegger derfor koblingen til deg, noe som tar disse linjene ut av forordningens virkeområde, framfor å ødelegge en gruppes felles minne.

Ett forbehold, det samme som ved pause: en spiller som er siste leder i en gruppe med andre medlemmer, må først gi fra seg nøklene. Overleveringen tar to grep fra garderobeskjermen. Får du det ikke til, skriv til oss: vi utfører slettingen.

To punkter om åpenhet:

1. I et teknisk reservetilfelle der autentiseringslinja ikke skulle kunne slettes i samme operasjon, blir kontoen utestengt før ethvert forsøk på tømming: innlogging blir umulig selv om tømmingen mislykkes. Denne rekkefølgen er garantien, og vi fullfører selv slettingen av restene.
2. Sletting av kontoen er bare tilgjengelig i mobilappen. Har du ikke lenger tilgang til appen, skriv til kontaktadressen vår: vi utfører slettingen.

Du har følgende rettigheter over personopplysningene dine:

• Rett til innsyn (art. 15) — å få bekreftet at vi behandler opplysningene dine, og å få en kopi av dem.
• Rett til retting (art. 16) — å få rettet en uriktig eller ufullstendig opplysning. De fleste opplysningene dine kan du endre direkte i appen.
• Rett til sletting (art. 17) — å få opplysningene dine slettet. Retten utøves direkte ved å slette kontoen (punkt 16), eller på forespørsel.
• Rett til begrensning av behandlingen (art. 18).
• Rett til å protestere (art. 21) — å motsette deg en behandling som bygger på vår berettigede interesse, særlig bruksmålingen.
• Rett til dataportabilitet (art. 20) — å få opplysningene du har gitt oss, i et strukturert og maskinlesbart format.
• Rett til å trekke tilbake samtykket ditt når som helst, like enkelt som du ga det, for de behandlingene som bygger på det: den geografiske tilgjengeligheten (en bryter i profilen), identitetskravet (en frakoblingsknapp i profilen), visningen av seriestatistikken, og push-varslene (innstillingene i systemet ditt). Tilbaketrekkingen rokker ikke ved lovligheten av den behandlingen som er utført før den.
• Rett til å gi instrukser om hva som skal skje med opplysningene dine etter din død (artikkel 85 i den franske loven «Informatique et Libertés»).

Hva appen lar deg gjøre alene, med én gang: se og endre profilen din, spillersiden din, utstyret ditt og synlighetsinnstillingene dine; slå den geografiske tilgjengeligheten på eller av; koble fra en spilleridentitet, noe som sletter den tilhørende statistikken; sette kontoen på pause; slette kontoen, med en oversikt over hva som slettes og hva som anonymiseres.

⚠️ Hva appen ennå IKKE lar deg gjøre, helt ærlig: det finnes ingen funksjon for automatisk eksport av opplysningene dine til en maskinlesbar fil, og det finnes ingen enkeltskjerm som oppsummerer alle opplysningene vi har, og alle samtykkene du har gitt. Retten til innsyn (art. 15) og til dataportabilitet (art. 20) utøves derfor på forespørsel til yo@titu.app; vi sender deg da en eksport i et strukturert format. Vi later ikke som noe annet, og denne funksjonen står på utviklingsplanen vår.

Slik utøver du rettighetene dine: skriv til yo@titu.app, fra en kanal som gjør det mulig å identifisere deg, og oppgi hva du ber om. Vi kan be om legitimasjon ved rimelig tvil. Vi svarer innen én måned, som kan forlenges med to måneder ved en komplisert henvendelse, og da sier vi fra om det.

Er du en «+1» som et medlem har tastet inn fornavnet og eventuelt nummeret til, uten at du selv er medlem: rettighetene dine er de samme. Skriv til kontaktadressen vår, eller be medlemmet som førte deg opp om å fjerne deg.

Klage: mener du at rettighetene dine ikke blir respektert, kan du klage til CNIL (cnil.fr/plaintes) eller til tilsynsmyndigheten i landet du bor i.

Denne erklæringen kan endre seg, blant annet for å gjenspeile en ny funksjon, et bytte av databehandler eller en endring i regelverket.

Ved en vesentlig endring informerer vi deg med en melding i appen eller på nettstedet før endringen trer i kraft. Gjelder endringen en behandling som bygger på samtykket ditt, ber vi om et nytt samtykke — det gjelder særlig identitetskravet, der teksten har et versjonsnummer som lagres sammen med bekreftelsen din og kontrolleres av serveren ved hvert krav.

Gjeldende versjon er alltid tilgjengelig fra nettstedet titu.app og fra innstillingene i appen. Datoen for siste oppdatering står øverst i dokumentet.

Versjon 1.0 — gjelder fra 30. juli 2026.