Personvernerklæring

Denne erklæringen forklarer hvilke personopplysninger «Bær her» behandler, hvorfor, hvor lenge, og hvilke rettigheter du har. Vi behandler så få personopplysninger som mulig, og vi bruker dem aldri til annonser eller sporing.

1. Behandlingsansvarlig

2. Hvilke opplysninger vi behandler

• E-post (varslingsliste), hvis du melder deg på for å bli varslet om sesong og modning.
• Konto-e-post og engangskode som vi bruker når du logger inn. Vi sender en 6-sifret engangskode på e-post; ingen passord lagres.
• Favoritter: områdene du lagrer, med et teknisk øyeblikksbilde av kartdataene for området, knyttet til kontoen din.
• Rapporterte funn: velger du å rapportere et funn (art, bær eller sopp, sted, mengde, modenhet for bær, dato, eventuelt et notat og opptil tre bilder), lagres det på kontoen din. Det gjelder også tomme funn, altså at du ikke fant noe. Bildene skaleres ned og komprimeres i nettleseren din før de lastes opp, og posisjonsdata i selve bildefila (EXIF) fjernes; stedet vi lagrer er området du rapporterte for. Funnene er private og deles ikke med andre brukere; vi bruker dem samlet (aggregert) til å forbedre modningsmodellen og soppkartet, inkludert soppværet, og bildene bare til å etterprøve art og modenhet i funnene. Du kan slette egne funn når som helst, med bilder. Sletter du kontoen, anonymiseres funnene i stedet for å slettes: koblingen til deg og notatet fjernes, mens art, sted, mengde, modenhet, dato og bilder beholdes som del av datagrunnlaget. Vil du at de skal bort helt, slett dem selv før du sletter kontoen.
• Kjøp av sesongpass: ordrereferanse, beløp, status, tidspunkt og det tekniske svaret fra Vipps. Kort- og kontonummer ser vi aldri; de håndteres kun av Vipps.
• Opplysninger fra Vipps-profilen din ved kjøp uten konto: kjøper du uten å lage konto først, deler du e-postadressen din med oss gjennom Vipps sin egen samtykkeskjerm. Det er en forutsetning for kjøpet: uten den kan vi ikke levere passet eller sende kvitteringen, og betalingen fullføres ikke. Sammen med adressen mottar vi en pseudonym kundeidentifikator fra Vipps. Hvor mye Vipps spør om kan justeres uten ny utrulling av appen, og kan derfor også komme til å omfatte navn, telefonnummer, postadresse og fødselsdato, men vi bruker og lagrer bare det vi faktisk trenger for å levere passet til riktig person.
• Teknisk sperre mot misbruk ved kjøp uten konto: vi lagrer et enveis kryptografisk avtrykk (saltet SHA-256) av IP-adressen din sammen med ordren, slik at vi kan stoppe automatiserte kjøpsforsøk. Selve IP-adressen lagres ikke, og avtrykket kan ikke regnes tilbake til den.
• Posisjon, kun hvis du selv gir nettleseren tillatelse, og bare for å sentrere kartet der du er. Posisjonen sendes ikke til oss og lagres ikke.
• Tekniske data, som IP-adresse og enhets- og loggdata som oppstår når tjenesten leveres (hos våre databehandlere), brukt til drift og sikkerhet.
• Bruksstatistikk for kjøpssiden: vi måler hvordan kjøpssiden brukes, altså at den åpnes, at Betal trykkes, om kjøpet startes, og hva som eventuelt stoppet det. Målingen bruker et tilfeldig pseudonym som ligger i nettleseren din, ikke IP-adresse eller navn. Fullfører du et kjøp, lagres pseudonymet sammen med ordren, slik at vi kan se hele veien fram til salget. Da er det ikke lenger anonymt, men pseudonymt, og det slettes når du ber om det.
• Kampanjekilde og henvisende nettsted på ordre: sammen med ordren lagrer vi hvilken kampanje eller lenke kjøpet kom fra (utm-merking), og hvilket nettsted du eventuelt kom fra. Av henvisningen lagrer vi bare vertsnavnet, for eksempel «nrk.no» eller «chatgpt.com», aldri hele adressen med sti eller søkeord. Formålet er å se hvilke kanaler som fungerer.

3. Formål og behandlingsgrunnlag

4. Hvor lenge vi lagrer opplysningene

• Konto og favoritter: til du sletter kontoen eller ber oss slette dem.
• Rapporterte funn, inkludert bilder: til du sletter dem selv. Sletter du kontoen, anonymiseres de (koblingen til deg og notatet fjernes) og beholdes som datagrunnlag uten kobling til en person.
• Varslingsliste: til du melder deg av eller trekker samtykket.
• Ordre- og regnskapsdata: så lenge bokføringsloven krever (for tiden 5 år), deretter slettet eller anonymisert. Disse opplysningene kan vi ikke slette på forespørsel før oppbevaringsplikten er utløpt.
• Tekniske logger: kort tid hos databehandleren, som regel dager til noen måneder.
• Bruksstatistikk (kjøpssiden): slettes automatisk etter 24 måneder.
• Avtrykk av IP-adresse ved kjøp uten konto: slettes automatisk 30 dager etter kjøpet. Sletter du kontoen din, fjernes det umiddelbart. Selve ordren består lenger, fordi bokføringsloven krever det, men avtrykket er da borte fra den.

5. Hvem vi deler opplysninger med

Vi selger aldri personopplysninger og deler dem ikke for markedsføring. Vi bruker disse leverandørene for å kunne levere tjenesten:

• Supabase (databehandler) for database, innlogging og lagring. Data lagres på servere i EU (Stockholm, eu-north-1).
• Vipps MobilePay AS håndterer betalingen og er selvstendig behandlingsansvarlig for selve betalingstransaksjonen. Se Vipps' personvernerklæring.
• E-postleverandør (databehandler) som sender innloggingskoder og ordrebekreftelser/kvitteringer til e-postadressen din.
• Kartverket leverer kartflisene i bakgrunnskartet. Når kartet lastes, kan tjenesten se IP-adressen din som en teknisk del av leveransen.
• Mapbox leverer satellittbildene i flyfotolaget, som følger med sesongpasset. Laget er avslått som standard: velger du det ikke, sendes ingenting til Mapbox. Slår du det på, hentes bildene direkte fra Mapbox til enheten din, og Mapbox kan da se IP-adressen din og hvilket kartutsnitt du ser på, som en teknisk del av leveransen. Mapbox er et amerikansk selskap, se punkt 6.

Skrifttyper er selvhostet, og vi bruker ingen tredjeparts skrift- eller sporings-CDN. Vi har databehandleravtaler med våre databehandlere der det kreves.

6. Overføring utenfor EØS

Kjernedataene dine (konto, favoritter, kjøp) lagres i EU/EØS (Supabase i Stockholm; Vipps i Norge), og vi velger e-post- og infrastrukturleverandører i EU/EØS. Skulle en overføring til et land utenfor EØS likevel skje, baseres den på EU-kommisjonens standardvilkår (SCC) eller en gyldig adekvansbeslutning.

Ett unntak er verdt å nevne konkret: velger du flyfoto i kartlagsvelgeren, hentes satellittbildene fra Mapbox, som er et amerikansk selskap. Da ser Mapbox IP-adressen din og hvilket område du ser på. Laget er avslått som standard, og de øvrige kartlagene berøres ikke: velger du det ikke, skjer ingen slik overføring.

7. Informasjonskapsler og lagring i nettleseren

Vi bruker ingen tredjeparts annonse- eller sporingskapsler. Vi lagrer kun det som er strengt nødvendig for at tjenesten skal virke, for eksempel din innloggingsøkt i nettleserens lokale lagring, slik at du slipper å logge inn på nytt hele tiden.

For aggregert statistikk om bruk av nettstedet benytter vi Vercel Web Analytics. Målingen er informasjonskapselfri: det settes ingen informasjonskapsler, og det lagres ingen opplysninger som identifiserer deg. Vercel opptrer som databehandler for denne målingen.

8. Dine rettigheter

Etter personvernforordningen (GDPR) har du rett til å:

• be om innsyn i opplysningene vi har om deg,
• få rettet uriktige opplysninger,
• få opplysningene slettet (med forbehold om lovpålagt oppbevaring, se punkt 4),
• be om begrensning av behandlingen,
• protestere mot behandling basert på berettiget interesse,
• få utlevert opplysningene dine i et maskinlesbart format (dataportabilitet),
• trekke tilbake samtykke når som helst, der behandlingen bygger på samtykke.

Send en e-post til thomas.larsen@assistancesystems.no, så ordner vi det.

9. Barn

Tjenesten retter seg ikke mot barn under 13 år, og vi samler ikke bevisst inn opplysninger om barn under denne alderen.

10. Endringer

Vi kan oppdatere denne erklæringen. Ved vesentlige endringer varsler vi på siden eller på e-post. Datoen øverst viser når den sist ble endret.