Personvernerklæring

Askeladden & Co Operations AS, org. nr. 924 463 260, Parkveien 12, 0350 Oslo (heretter «vi»), leverer Favor. «Favor» er navnet på tjenesten, ikke på en avtalepart.

Ansvaret er delt i to. Vi er behandlingsansvarlige for opplysninger om besøkende på nettstedet, om kontaktpersoner og brukere hos virksomheter som bruker Favor og om potensielle kunder. For dem som kjøper eller mottar et gavekort, er virksomheten som selger det behandlingsansvarlig; der er vi databehandler og behandler opplysningene på virksomhetens vegne og etter virksomhetens instrukser. Den rollen gjelder bare de opplysningene, ikke dem vi selv er behandlingsansvarlige for.

På nettstedet er vi behandlingsansvarlige. Sender du inn kontaktskjemaet, behandler vi det du oppgir: bedriftsnavn, navn, e-postadresse, om virksomheten selger gavekort i dag, eventuelt forventet gavekortomsetning og en eventuell melding. Henvendelsen sendes på e-post via Resend (Plus Five Five, Inc.) til salgsinnboksen vår, og brukes til å svare på den og følge opp en eventuell salgsdialog. Resend behandler henvendelsen på våre vegne, er lokalisert i USA og bundet av EUs standard personvernbestemmelser (SCC).

I backoffice og innløsningsappen, som bare virksomhetens egne ansatte logger inn på, er vi behandlingsansvarlige. Vi behandler kontakt- og brukeropplysninger — navn, jobb-e-postadresse, telefonnummer, rolle, pålogging og tilganger — opplysninger om virksomheten selv, og tekniske logger: IP-adresse, enhets- og nettleseropplysninger, tidspunkter og utførte handlinger. Feil logges, og det gjøres opptak av økten for feilsøking.

I checkout behandler vi på virksomhetens vegne det som hører til kjøpet: navn og e-postadresse til kjøper og mottaker, en eventuell hilsen, ordre- og betalingsopplysninger uten fullstendige kortnumre, opplysninger om gavekortet og bruken av det, leveringsstatus for e-posten, og tekniske opplysninger.

Behandlingen vi gjør som behandlingsansvarlige, bygger på avtalen med virksomheten, på vår berettigede interesse i å holde tjenesten sikker og i drift og i å følge opp en salgsdialog, på rettslige forpliktelser som bokføringsplikten, og på samtykke der markedsføringsloven krever det. For opplysningene vi behandler på virksomhetens vegne, er det virksomheten som fastsetter behandlingsgrunnlaget.

Dette nettstedet setter ingen informasjonskapsler — ingen analyseverktøy, ingen sporingspiksler — og har derfor ingen samtykkeboks.

I produktet er bildet et annet. Innlogging og betaling krever informasjonskapsler som er strengt nødvendige. I tillegg måles bruken av checkout, det gjøres opptak av økten for feilsøking, og leveringsstatus for gavekort-e-posten rapporteres. Den sporingen er ikke strengt nødvendig, og den får ikke bare anonym telemetri: opplysninger som identifiserer kjøperen og mottakeren kan inngå.

Det innhentes ikke samtykke til denne sporingen, og det finnes ingen mekanisme for å reservere seg. Etter ekomloven kreves samtykke for sporing som ikke er strengt nødvendig, jf. Datatilsynets veiledning om de nye reglene.

Vi bruker leverandører som behandler personopplysninger på våre vegne, etter våre instrukser og bundet av databehandleravtaler. Der vi selv er databehandler for en virksomhet, er de samme leverandørene underdatabehandlere.

Leverandører utenfor EØS er omfattet av EUs standard personvernbestemmelser (SCC).

Virksomheten kan i tillegg koble til sine egne verktøy for analyse og annonsering. Da sendes opplysninger om kjøpet dit, sammen med identifikatorene fra annonsenettverk, jf. punkt 4. Det skjer i virksomhetens egne kontoer: virksomheten bestemmer hva som kobles til, svarer for det, og navngir verktøyene i sin egen personvernerklæring. De er derfor ikke våre underdatabehandlere.

Personopplysninger lagres ikke lenger enn nødvendig for formålet, med mindre lov krever noe annet.

Henvendelser gjennom kontaktskjemaet ligger i salgsinnboksen. Fører de ikke til et kundeforhold, slettes de innen to år.

Ordre- og transaksjonsopplysninger:oppbevares i fem år etter regnskapsårets slutt, jf. bokføringsloven § 13.

Gavekortopplysninger:beholdes så lenge gavekortet kan brukes, og deretter så lenge et krav kan gjøres gjeldende.

Konto- og påloggingsopplysninger:slettes 90 dager etter at avtalen med virksomheten opphører, eller etter at brukerens tilgang er fjernet.

Produktanalyse:hendelsesdataene fra checkout beholdes i 90 dager.

Feilrapporter, sesjonsopptak og tekniske logger:feilrapporter og sesjonsopptak beholdes i 90 dager, tekniske logger i 30.

Vi gjennomfører tekniske og organisatoriske tiltak tilpasset risikoen, jf. personvernforordningen artikkel 32. Opplysningene krypteres under overføring og i lagring, og tilgang gis bare til dem som trenger den for å levere tjenesten. Vi har en rutine for å håndtere brudd på personopplysningssikkerheten. Oppdager du en sårbarhet eller et mulig sikkerhetsbrudd, hører vi gjerne fra deg på adressen i punkt 8.

Du har rett til innsyn, retting, sletting, begrensning av behandlingen og dataportabilitet, til å protestere mot behandling som bygger på berettiget interesse og mot direkte markedsføring, og til å trekke tilbake et samtykke.

Rettighetene bruker du ved å ta kontakt på tech@askeladden.co. Vi svarer uten ugrunnet opphold, og senest innen én måned. Vi er ikke pålagt å ha personvernombud: vi er ikke et offentlig organ, og kjernevirksomheten består verken i monitorering i stor skala eller i behandling av særlige kategorier av personopplysninger.

Gjelder henvendelsen et gavekort du har kjøpt eller mottatt, er virksomheten som solgte det behandlingsansvarlig, jf. punkt 1, og henvendelsen rettes dit. Kommer den til oss, videreformidler vi den.

Mener du at behandlingen er i strid med personvernregelverket, kan du klage til Datatilsynet.