Personvernerklæring
Denne erklæringen forklarer hvilke personopplysninger «Bær her» behandler, hvorfor, hvor lenge, og hvilke rettigheter du har. Vi behandler så få personopplysninger som mulig, og vi bruker dem aldri til annonser eller sporing.
1. Behandlingsansvarlig
2. Hvilke opplysninger vi behandler
- E-post (varslingsliste), hvis du melder deg på for å bli varslet om sesong og modning.
- Konto-e-post og engangskode som vi bruker når du logger inn. Vi sender en 6-sifret engangskode på e-post; ingen passord lagres.
- Favoritter: områdene du lagrer, med et teknisk øyeblikksbilde av kartdataene for området, knyttet til kontoen din.
- Kjøp av sesongpass: ordrereferanse, beløp, status, tidspunkt og det tekniske svaret fra Vipps. Kort- og kontonummer ser vi aldri; de håndteres kun av Vipps.
- Opplysninger fra Vipps-profilen din ved kjøp uten konto: kjøper du uten å lage konto først, deler du e-postadressen din med oss gjennom Vipps sin egen samtykkeskjerm. Det er en forutsetning for kjøpet: uten den kan vi ikke levere passet eller sende kvitteringen, og betalingen fullføres ikke. Sammen med adressen mottar vi en pseudonym kundeidentifikator fra Vipps. Hvor mye Vipps spør om kan justeres uten ny utrulling av appen, og kan derfor også komme til å omfatte navn, telefonnummer, postadresse og fødselsdato, men vi bruker og lagrer bare det vi faktisk trenger for å levere passet til riktig person.
- Teknisk sperre mot misbruk ved kjøp uten konto: vi lagrer et enveis kryptografisk avtrykk (saltet SHA-256) av IP-adressen din sammen med ordren, slik at vi kan stoppe automatiserte kjøpsforsøk. Selve IP-adressen lagres ikke, og avtrykket kan ikke regnes tilbake til den.
- Posisjon, kun hvis du selv gir nettleseren tillatelse, og bare for å sentrere kartet der du er. Posisjonen sendes ikke til oss og lagres ikke.
- Tekniske data, som IP-adresse og enhets- og loggdata som oppstår når tjenesten leveres (hos våre databehandlere), brukt til drift og sikkerhet.
- Bruksstatistikk for kjøpssiden: vi måler hvordan kjøpssiden brukes, altså at den åpnes, at Betal trykkes, om kjøpet startes, og hva som eventuelt stoppet det. Målingen bruker et tilfeldig pseudonym som ligger i nettleseren din, ikke IP-adresse eller navn. Fullfører du et kjøp, lagres pseudonymet sammen med ordren, slik at vi kan se hele veien fram til salget. Da er det ikke lenger anonymt, men pseudonymt, og det slettes når du ber om det.
- Kampanjekilde på ordre: sammen med ordren lagrer vi hvilken kampanje eller lenke kjøpet kom fra (utm-merking), slik at vi ser hvilke kanaler som fungerer.
3. Formål og behandlingsgrunnlag
| Opplysning | Formål | Behandlingsgrunnlag (GDPR art. 6) |
|---|---|---|
| E-post på varslingsliste | Sende deg beskjed om sesong og modning | Samtykke, jf. art. 6(1)(a) |
| Konto-e-post + engangskode | Innlogging og drift av tjenesten | Avtale, jf. art. 6(1)(b) |
| Favoritter | Lagre og synkronisere områdene dine | Avtale, jf. art. 6(1)(b) |
| Modningsvarsler | Varsle deg når favorittene dine modnes | Avtale / samtykke, jf. art. 6(1)(b)/(a) |
| Ordre- og kjøpsdata | Levere og dokumentere sesongpasset | Avtale, jf. art. 6(1)(b) |
| E-post og kundeidentifikator fra Vipps-profilen (kjøp uten konto) | Levere passet og sende kvitteringen til riktig person | Avtale, jf. art. 6(1)(b): en forutsetning for å oppfylle kjøpet |
| Avtrykk av IP-adresse ved kjøp uten konto | Stoppe automatiserte kjøpsforsøk | Berettiget interesse, jf. art. 6(1)(f) |
| Regnskapsdata for kjøp | Lovpålagt bokføring | Rettslig forpliktelse, jf. art. 6(1)(c), bokføringsloven |
| Tekniske data / logg / IP | Drift, sikkerhet og levering av kartet | Berettiget interesse, jf. art. 6(1)(f) |
| Posisjon (om du tillater) | Sentrere kartet der du er | Samtykke (i nettleseren), jf. art. 6(1)(a) |
| Bruksstatistikk (kjøpssiden) | Forbedre kjøpsopplevelsen | Berettiget interesse, jf. art. 6(1)(f) |
| Kampanjekilde på ordre (utm) | Se hvilke kanaler som fungerer | Berettiget interesse, jf. art. 6(1)(f) |
4. Hvor lenge vi lagrer opplysningene
- Konto og favoritter: til du sletter kontoen eller ber oss slette dem.
- Varslingsliste: til du melder deg av eller trekker samtykket.
- Ordre- og regnskapsdata: så lenge bokføringsloven krever (for tiden 5 år), deretter slettet eller anonymisert. Disse opplysningene kan vi ikke slette på forespørsel før oppbevaringsplikten er utløpt.
- Tekniske logger: kort tid hos databehandleren, som regel dager til noen måneder.
- Bruksstatistikk (kjøpssiden): slettes automatisk etter 24 måneder.
- Avtrykk av IP-adresse ved kjøp uten konto: slettes automatisk 30 dager etter kjøpet. Sletter du kontoen din, fjernes det umiddelbart. Selve ordren består lenger, fordi bokføringsloven krever det, men avtrykket er da borte fra den.
5. Hvem vi deler opplysninger med
Vi selger aldri personopplysninger og deler dem ikke for markedsføring. Vi bruker disse leverandørene for å kunne levere tjenesten:
- Supabase (databehandler) for database, innlogging og lagring. Data lagres på servere i EU (Stockholm,
eu-north-1). - Vipps MobilePay AS håndterer betalingen og er selvstendig behandlingsansvarlig for selve betalingstransaksjonen. Se Vipps' personvernerklæring.
- E-postleverandør (databehandler) som sender innloggingskoder og ordrebekreftelser/kvitteringer til e-postadressen din.
- Kartverket leverer kartflisene i bakgrunnskartet. Når kartet lastes, kan tjenesten se IP-adressen din som en teknisk del av leveransen.
Skrifttyper er selvhostet, og vi bruker ingen tredjeparts skrift- eller sporings-CDN. Vi har databehandleravtaler med våre databehandlere der det kreves.
6. Overføring utenfor EØS
Kjernedataene dine (konto, favoritter, kjøp) lagres i EU/EØS (Supabase i Stockholm; Vipps i Norge), og vi velger e-post- og infrastrukturleverandører i EU/EØS. Skulle en overføring til et land utenfor EØS likevel skje, baseres den på EU-kommisjonens standardvilkår (SCC) eller en gyldig adekvansbeslutning.
7. Informasjonskapsler og lagring i nettleseren
Vi bruker ingen tredjeparts annonse- eller sporingskapsler. Vi lagrer kun det som er strengt nødvendig for at tjenesten skal virke, for eksempel din innloggingsøkt i nettleserens lokale lagring, slik at du slipper å logge inn på nytt hele tiden.
For aggregert statistikk om bruk av nettstedet benytter vi Vercel Web Analytics. Målingen er informasjonskapselfri: det settes ingen informasjonskapsler, og det lagres ingen opplysninger som identifiserer deg. Vercel opptrer som databehandler for denne målingen.
8. Dine rettigheter
Etter personvernforordningen (GDPR) har du rett til å:
- be om innsyn i opplysningene vi har om deg,
- få rettet uriktige opplysninger,
- få opplysningene slettet (med forbehold om lovpålagt oppbevaring, se punkt 4),
- be om begrensning av behandlingen,
- protestere mot behandling basert på berettiget interesse,
- få utlevert opplysningene dine i et maskinlesbart format (dataportabilitet),
- trekke tilbake samtykke når som helst, der behandlingen bygger på samtykke.
Send en e-post til thomas.larsen@assistancesystems.no, så ordner vi det.
9. Barn
Tjenesten retter seg ikke mot barn under 13 år, og vi samler ikke bevisst inn opplysninger om barn under denne alderen.
10. Endringer
Vi kan oppdatere denne erklæringen. Ved vesentlige endringer varsler vi på siden eller på e-post. Datoen øverst viser når den sist ble endret.