Privacy policy
This translation is for information. If there is any discrepancy, the original Catalan version prevails; you will find it at the end of this page.
Controller and contact
Braulio Megias is the controller of peakat. For any privacy matter, write to hola@peakat.app or use the support page.
Data we read from Strava
Only after you authorise peakat on Strava, through its API, do we read your basic profile and the activities available with the activity:read_all permission: names, dates, distances, moving times, elevation gain and GPS tracks of outdoor activities. We also keep the technical credentials needed to keep the connection while the account is active.
We also ask for the activity:write permission. Strava lets you grant or decline it separately on the connection screen, and you can turn it off at any time from Account. If it is on, we use it only to write, on each new activity we detect, one line for each peak reached: its number in your own Repte if it is the first time, or how many times you have climbed it if it is a repeat. We do not change or write anything on earlier activities.
COROS and Garmin data
If you connect COROS from Account and authorise access, we read your activity list and download FIT files for relevant activities to our server to detect peaks and cols and show your progress. We keep your COROS identifier and connection credentials, identifiers of activities reviewed and, for saved outings, the date, distance, moving time, elevation gain, detected peaks and a simplified track spanning the whole route, including its start and finish. We discard the original FIT file. COROS offers a permission that also allows writing training plans, but we only read data.
When you disconnect COROS from Account we delete the credentials, but saved outings and ascents remain. You can delete them using the imported data deletion options or delete your account; they do not expire through inactivity. We attempt to revoke the authorisation at COROS, but you can also withdraw it from your COROS account.
If you connect Garmin Connect from Account and allow it to share your activities, Garmin tells us when you finish a new activity and we download its complete file once, with your authorisation, and read it in our server's memory. We detect peaks and cols from it and keep a simplified route with the time and altitude of its points, like those of the files you import, until you delete the activity or your account; we do not keep the file (see “Activities you import”). Garmin only sends new activities after you connect; to bring earlier ones, import the export of your Garmin data. If you remove access or the permission on Garmin's side, Garmin tells us and we stop reading new activities. We only read: we write nothing to your Garmin account. Where we show activities that come from Garmin we say so.
When you disconnect Garmin from Account we ask Garmin to end the connection and delete our access credentials; the activities already saved remain until you delete them. If Garmin cannot be reached we keep retrying and show the connection as disconnecting. When you delete your account we delete your activities, their routes and our credentials, and ask Garmin to end the connection too.
Email and Google
If you sign in with your email or add one to your account, we keep the address, once you have confirmed it with the link we send you, so that we can recognise you when you come back. The links expire in ten minutes and we keep only a fingerprint of them, not the link itself. The address is kept until you change it or delete the account, with no inactivity expiry. Resend sends these emails on our behalf. We also write to this address when you earn or lose a milestone; you can turn this off in Account, and every email carries a link to do so.
Signing in with Google is another way to confirm the same address: Google tells us what it is and whether it has verified it, and we keep nothing else. We do not ask for access to anything else in your Google account.
Activities you import
When you import activity files with the archive enabled (FIT, GPX or TCX), we send them to our server, which reads them in memory and discards them: we keep neither the file nor any copy of it in any storage. For each activity we keep the date, distance, moving time, elevation gain and the peaks and cols detected, all computed on the whole file, and a simplified route from start to finish, within a 5-metre tolerance, which keeps the time and altitude of the points it retains. Sensor data (heart rate, power and the like) is not kept. The simplified route lets us analyse your history again when the catalogue or rules change; a result very close to the edge of a detection radius can differ from what the file would give. They remain until you delete the activity or account, without inactivity expiry; data obtained from the Strava API are excluded. Deleting removes them from the database.
Routes saved before this change may still lack their endpoints. Re-import the file to recover them; they cannot be reconstructed from the cropped route.
Several recordings of the same outing can be kept as independent recordings while showing one activity. Deleting a recording removes results supported only by that recording; independent data from an earlier import remain. Deleting the whole outing removes all its linked recordings.
When you delete an imported activity, we keep a minimal marker with the start time, distance and deletion time to stop an earlier process recreating it; this marker contains no route or data obtained from Strava and is removed with your account.
Purpose and retention
We use these data only to detect ascents of peaks in the Repte dels 100 Cims and to show you your personal progress. The legal basis is the consent you give when you connect Strava or COROS, on their authorisation screens, and the performance of the service you ask us for. Data derived from Strava are stored temporarily for at most 7 days from when we read them. While you use the app, we read them again from Strava before they expire, at most about once a week, and the new copy has its own 7 days; if you go more than 30 days without opening it or recording a new activity, they are not read again and expire. The account, imported data and identity you return with do not expire through inactivity. Connection credentials have a separate lifetime of up to a year from storage or renewal and are removed when authorisation is withdrawn; a background COROS sync does not extend their lifetime. An expired connection does not delete your account or activities independent of Strava. We also record when you last signed in and when you last opened the app, to know which accounts are in use; these are deleted with the account.
Sharing
We do not sell, pass on or use Strava data for advertising, analytics, AI training or comparisons between hikers. A hiker's data are shown only to that hiker, except for what they choose to share themselves (see below). Vercel hosts the app, Upstash stores the account and temporary data and Resend processes the email of support requests, solely to provide those services. If an imported or COROS activity has no altitude in its file, to draw its profile we query a public elevation model (OpenTopoData) with about fifty points of its track, with no identifier, date or name; the answer is kept for seven days. To title an imported or COROS activity with the name of the town where it starts and ends, we ask OpenStreetMap's public Nominatim service with the coordinates of its start and end points, rounded, with no identifier, date or name; the town name is kept on the activity. Strava routes are never sent to any third party.
The videos draw the terrain with images your browser requests directly from third parties: the orthophoto from the Institut Cartogràfic i Geològic de Catalunya (in Catalonia, Andorra and Northern Catalonia), the Instituto Geográfico Nacional of Spain (PNOA, in the rest of Spain) or the Institut national de l'information géographique et forestière of France (IGN, in France), swisstopo (in Switzerland), basemap.at (in Austria), the Bavarian survey office (in Bavaria) or Portugal's Directorate-General for the Territory (DGT, in Portugal), depending on where the col or peak is (where no open orthophoto exists, the relief is drawn from OpenStreetMap's land cover, with no photograph), the relief from a public archive hosted on Amazon Web Services, and place names and boundaries from OpenFreeMap, with OpenStreetMap data. These services see your IP address and which map tiles are requested, that is, the area; we send them no route, date or identifier. For any activity, whether imported, from COROS or from Strava, the tiles along its track are requested by your browser directly from these providers, and on a col's page your climb by a road the catalogue does not have is worked out in your browser from the relief tiles along the route to the top; those requests say only which area is in view. A Strava activity's route is shown only to you, in your own signed-in view, and never on a public or shared page: a film you share keeps the camera circling the peak.
When you share a video, peakat creates a public link and a video file, made on your device. Anyone with the public link sees the name you saved in peakat, the milestone, peak or activity it is about, the peaks that count towards it and, for activities imported or synced from COROS, the route with its first and last kilometre cropped, the date and the figures. The complete route is shown in your private signed-in view; a video file you choose to export may also include its start and finish. You decide whether to share that file. The public link never shows the route, date or figures of a Strava activity: the page and its preview keep the camera circling the peak. The video file is made in your own browser from your own signed-in view and handed to you, so when Strava activities are behind a milestone or peak it carries what you see, their route, date and figures, with the "Powered by Strava" mark; what you do with that file is up to you. The public link of a Strava activity shows only the peaks it reached, with the camera circling them; its video, made in your browser, carries the route, date and figures as you see them, with the "Powered by Strava" mark. The link stops working if you delete the activity or the account.
Vercel also counts page visits with Vercel Web Analytics, anonymously: the page address without any parameters, the page you came from, the country, and the type of device and browser. It uses no cookies and does not store your IP; it identifies the visit with a fingerprint of the request that is discarded after 24 hours, and we send it no Strava data.
Withdrawing access and deleting data
You can revoke peakat's access in your Strava account settings; when Strava tells us, we delete the credentials and data from its API. Your account, sign-in identity and imported or COROS activities remain until you delete them. If you are signed in, you can also delete them immediately from Account. You can ask for access to your data, or for its deletion, through support. Deleting the account also removes its activities, credentials and sign-in indexes. We retain a deletion marker linked to the old internal account identifier, without expiry, to prevent pending work from recreating it; it contains no email address, provider identifier or activity. We will confirm in writing that the request has been completed.
Your rights
You can ask for access to, rectification, erasure, restriction or portability of your data, and object to processing where applicable, by writing to hola@peakat.app. You can also withdraw your consent at any time, without affecting processing carried out before. If you believe we have not handled your request properly, you can lodge a complaint with the competent data protection authority.
Strava
How we comply with Strava's API Agreement and Policy, clause by clause, is on this page.
Strava may collect usage data from its platform under its API Policy. Its privacy policy applies separately to your Strava account.
Changes
We will update this policy if we change the data we process or the way we use them.
Original Catalan version
Responsable i contacte
Braulio Megias és el responsable de peakat. Per a qualsevol qüestió de privacitat, escriu a hola@peakat.app o utilitza la pàgina de suport.
Dades que llegim de Strava
Només després que autoritzis peakat a Strava, mitjançant la seva API, llegim el teu perfil bàsic i les activitats accessibles amb el permís activity:read_all: noms, dates, distàncies, temps en moviment, desnivells i traçats GPS d'activitats a l'aire lliure. També conservem les credencials tècniques necessàries per mantenir la connexió mentre el compte és actiu.
També et demanem el permís activity:write. Strava et deixa concedir-lo o denegar-lo per separat a la pantalla de connexió, i el pots desactivar en qualsevol moment des de Compte. Si el tens actiu, l'utilitzem únicament per escriure, en cada activitat nova que detectem, una línia per cada cim assolit: quin número fa en el teu propi Repte si és la primera vegada, o quantes vegades l'has fet si el repeteixes. No modifiquem ni escrivim res en activitats anteriors.
Dades de COROS i Garmin
Si connectes COROS des de Compte i autoritzes l’accés, llegim la llista de les teves activitats i descarreguem els fitxers FIT de les activitats pertinents al nostre servidor per detectar cims i colls i mostrar el teu progrés. Conservem l’identificador de COROS i les credencials de connexió, els identificadors de les activitats revisades i, per a les sortides desades, la data, distància, temps en moviment, desnivell, cims detectats i un traçat simplificat de tot el recorregut, inclosos l’inici i el final. Descartem el FIT original. COROS ofereix un permís que també permet escriure plans d’entrenament, però nosaltres només llegim dades.
En desconnectar COROS des de Compte eliminem les credencials, però les sortides i ascensions ja guardades es mantenen. Pots esborrar-les des de les opcions d’eliminació de dades importades o eliminar el compte; no caduquen per inactivitat. Intentem revocar l’autorització a COROS, però també la pots retirar des del teu compte de COROS.
Si connectes Garmin Connect des de Compte i li permets compartir les teves activitats, Garmin ens avisa quan acabes una activitat nova i en baixem el fitxer complet una sola vegada, amb la teva autorització, i el llegim a la memòria del nostre servidor. Hi detectem cims i colls i en conservem un recorregut simplificat amb l’hora i l’altitud dels punts, igual que dels fitxers que importes, fins que esborris l’activitat o el compte; no en guardem el fitxer (vegeu «Activitats que importes»). Garmin només envia les activitats noves des que connectes; per portar les anteriors, importa l’exportació de les teves dades de Garmin. Si retires l’accés o el permís a Garmin, Garmin ens ho comunica i deixem de llegir activitats noves. Només llegim: no escrivim res al teu compte de Garmin. Allà on mostrem activitats que venen de Garmin ho indiquem.
Quan desconnectes Garmin des de Compte demanem a Garmin que acabi la connexió i esborrem les nostres credencials d’accés; les activitats ja guardades es queden fins que les esborris. Si no podem contactar amb Garmin ho seguim intentant i mostrem la connexió com a «desconnectant». Quan esborres el compte esborrem les teves activitats, els seus recorreguts i les nostres credencials, i demanem també a Garmin que acabi la connexió.
Correu electrònic i Google
Si entres amb el correu o n'afegeixes un al teu compte, guardem l'adreça, un cop l'has confirmada amb l'enllaç que t'enviem, per poder-te identificar quan tornis. Els enllaços caduquen en deu minuts i només en guardem una empremta, no l'enllaç mateix. L'adreça es conserva fins que la canvies o elimines el compte, sense caducitat per inactivitat. Resend envia aquests correus en nom nostre. A aquesta adreça també t'escrivim quan guanyes o perds una fita; ho pots desactivar a Compte, i cada correu porta un enllaç per fer-ho.
Entrar amb Google és una altra manera de confirmar la mateixa adreça: Google ens diu quina és i si l'ha verificada, i no en guardem res més. No demanem accés a res més del teu compte de Google.
Activitats que importes
Si importes fitxers d’activitats amb l’arxiu activat (FIT, GPX o TCX), els enviem al nostre servidor, que els llegeix a la memòria i els descarta: no en guardem el fitxer ni cap còpia en cap emmagatzematge. De cada activitat conservem la data, la distància, el temps en moviment, el desnivell i els cims i colls detectats, calculats sobre el fitxer sencer, i un recorregut simplificat de l’inici al final, amb una tolerància de 5 metres, que manté l’hora i l’altitud dels punts que conserva. Les dades de sensors (pols, potència i semblants) no es conserven. El recorregut simplificat ens permet tornar a analitzar l’historial quan canviïn el catàleg o les regles; un resultat que quedi a l’escassa distància d’un radi de detecció pot diferir del que donaria el fitxer. Es mantenen fins que esborris l’activitat o el compte, sense caducitat per inactivitat; les dades obtingudes de l’API de Strava queden fora d’aquest arxiu. En esborrar, ho retirem de la base de dades.
Els recorreguts guardats abans d’aquest canvi poden continuar sense els extrems. Cal tornar a importar el fitxer per recuperar-los; no es reconstrueixen a partir de la ruta retallada.
Diverses gravacions d’una mateixa sortida es poden conservar com a gravacions independents i mostrar una sola activitat. Si elimines una gravació, es retiren els resultats que només en depenien; si ja havies importat l’activitat abans, les seves dades independents es mantenen. En eliminar la sortida completa, n’eliminem totes les gravacions associades.
Quan esborres una activitat importada, conservem una marca mínima amb l’hora d’inici, la distància i el moment de l’esborrament per impedir que un procés anterior la torni a crear; aquesta marca no conté el recorregut ni dades obtingudes de Strava i s’elimina amb el compte.
Finalitat i conservació
Fem servir aquestes dades exclusivament per detectar ascensions de cims del Repte dels 100 Cims i mostrar-te el teu progrés personal. La base jurídica és el consentiment que dones en connectar Strava o COROS, a les seves pantalles d’autorització, i l'execució del servei que ens demanes. Les dades derivades de Strava s'emmagatzemen temporalment durant un màxim de 7 dies des que les llegim. Mentre fas servir l'aplicació, com a molt un cop per setmana les tornem a llegir de Strava abans que caduquin, i la còpia nova té els seus propis 7 dies; si portes més de 30 dies sense obrir-la i sense cap activitat nova, no es tornen a llegir i caduquen. El compte, les dades importades i la identitat amb què hi tornes no caduquen per inactivitat. Les credencials de connexió tenen un termini separat, de fins a un any des que es desen o es renoven, i s'eliminen si es retira l'autorització; una sincronització COROS en segon pla no n'allarga el termini. La caducitat de la connexió no elimina el compte ni les activitats independents de Strava. També anotem quan vas iniciar sessió i quan vas obrir l'aplicació per última vegada, per saber quins comptes estan en ús; s'eliminen amb el compte.
Compartició
No venem, cedim ni utilitzem les dades de Strava per a publicitat, analítica, entrenament d'IA o comparacions entre hikers. Les dades d'un hiker només es mostren a aquell mateix hiker, tret del que ell mateix decideix compartir (vegeu més avall). Vercel allotja l'aplicació, Upstash proporciona l'emmagatzematge del compte i les dades temporals i Resend processa el correu de les consultes de suport, únicament per prestar aquests serveis. Si una activitat importada o de COROS no porta altitud al fitxer, per dibuixar-ne el perfil consultem un model d'elevació públic (OpenTopoData) amb uns cinquanta punts del seu traçat, sense cap identificador, data ni nom; la resposta es guarda set dies. Per titular una activitat importada o de COROS amb el nom de la població on comença i acaba, consultem el servei públic Nominatim d'OpenStreetMap amb les coordenades del punt d'inici i del punt final, arrodonides, sense cap identificador, data ni nom; el nom de la població es guarda a l'activitat. Les rutes de Strava no s'envien mai a cap tercer.
Els vídeos dibuixen el relleu amb imatges que el teu navegador demana directament a tercers: l'ortofoto a l'Institut Cartogràfic i Geològic de Catalunya (a Catalunya, Andorra i Catalunya Nord), a l'Instituto Geográfico Nacional d'Espanya (PNOA, a la resta d'Espanya) o a l'Institut national de l'information géographique et forestière de França (IGN, a França), a swisstopo (a Suïssa), a basemap.at (a Àustria), a l'Oficina de Topografia de Baviera (a Baviera) o a la Direcció General del Territori de Portugal (DGT, a Portugal), segons on és el coll o el cim (on no hi ha ortofoto oberta, el relleu es dibuixa amb el terreny d'OpenStreetMap, sense cap fotografia), el relleu a un arxiu públic allotjat a Amazon Web Services, i els noms de llocs i els límits a OpenFreeMap, amb dades d'OpenStreetMap. Aquests serveis veuen la teva adreça IP i quines peces del mapa es demanen, és a dir, la zona; no els enviem cap ruta, data ni identificador. En qualsevol activitat, importada, de COROS o de Strava, el teu navegador demana directament a aquests proveïdors les tessel·les al llarg del seu traçat, i a la pàgina d'un coll la teva pujada per una carretera que el catàleg no té es calcula al teu navegador amb les tessel·les de relleu de la ruta fins al cim; aquestes peticions només diuen quina zona es veu. La ruta d'una activitat de Strava es mostra només a tu, a la teva vista amb la sessió iniciada, i mai en una pàgina pública o compartida: un vídeo que comparteixes manté la càmera girant al voltant del cim.
Quan comparteixes un vídeo, peakat en crea un enllaç públic i un fitxer de vídeo, que es fa al teu dispositiu. Qui tingui l'enllaç públic hi veu el nom que has desat a peakat, la fita, el cim o l'activitat de què tracta, els cims que hi compten i, de les activitats importades o sincronitzades des de COROS, la ruta amb el primer i l'últim quilòmetre retallats, la data i les xifres. El recorregut complet es mostra a la teva sessió privada; el fitxer de vídeo que decideixes exportar pot incloure també l’inici i el final. Tu decideixes si comparteixes aquest fitxer. L'enllaç públic no mostra mai la ruta, la data ni les xifres d'una activitat de Strava: la pàgina i la seva vista prèvia mantenen la càmera girant al voltant del cim. El fitxer de vídeo es fa al teu navegador, des de la teva vista amb la sessió iniciada, i se't lliura a tu; per això, quan hi ha activitats de Strava darrere d'una fita o d'un cim, porta el que tu hi veus, la seva ruta, data i xifres, amb la marca «Powered by Strava»; el que facis amb aquest fitxer és cosa teva. L'enllaç públic d'una activitat de Strava ensenya només els cims que va assolir, amb la càmera girant al seu voltant; el seu vídeo, fet al teu navegador, porta la ruta, la data i les xifres tal com tu les veus, amb la marca «Powered by Strava». L'enllaç deixa de funcionar si esborres l'activitat o el compte.
Vercel també compta les visites a les pàgines amb Vercel Web Analytics, de manera anònima: l'adreça de la pàgina sense cap paràmetre, la pàgina d'on vens, el país i el tipus de dispositiu i navegador. No fa servir galetes ni guarda la teva IP, identifica la visita amb una empremta de la petició que es descarta al cap de 24 hores, i no hi enviem cap dada de Strava.
Retirar l'accés i eliminar dades
Pots revocar l'accés de peakat des de la configuració del teu compte de Strava; quan Strava ens ho comunica, eliminem les credencials i les dades procedents de la seva API. El compte, la identitat per tornar a iniciar sessió i les activitats importades o de COROS es mantenen fins que els eliminis. Si tens sessió oberta, també pots eliminar-les immediatament des de Compte. Pots demanar accés o eliminació de les teves dades des de suport. En eliminar el compte també se n'eliminen les activitats, les credencials i els índexs d'accés. Conservem, sense caducitat, una marca de supressió associada a l'antic identificador intern del compte, per impedir que una feina pendent el torni a crear; no conté cap adreça de correu, identificador de proveïdor ni activitat. Et confirmarem per escrit que la sol·licitud s'ha completat.
Els teus drets
Pots demanar accés, rectificació, supressió, limitació o portabilitat de les teves dades, i oposar-te al tractament quan correspongui, escrivint a hola@peakat.app. També pots retirar el consentiment en qualsevol moment, sense que això afecti el tractament previ. Si creus que no hem atès correctament la sol·licitud, pots presentar una reclamació davant l'autoritat de protecció de dades competent.
Strava
Com complim l'Acord i la Política d'API de Strava, apartat per apartat, és a aquesta pàgina (en anglès).
Strava pot recollir dades d'ús de la seva plataforma segons la seva Política d'API. La seva política de privacitat s'aplica de manera independent al teu compte de Strava.
Canvis
Actualitzarem aquesta política si canviem les dades que tractem o la manera com les fem servir.