Personvernerklæring for Dugurd

1. Behandlingsansvarlig

Fossli Ventures AS er behandlingsansvarlig for behandlingen av personopplysninger i forbindelse med bruk av Dugurd-plattformen.

Vi har ikke oppnevnt et formelt personvernombud, men alle henvendelser vedrørende personvern håndteres av ledelsen. Kontakt oss på e-postadressen over.

2. Hvilke personopplysninger samler vi inn?

2.1 Opplysninger du gir oss direkte

Når du registrerer deg og bruker Dugurd, samler vi inn følgende opplysninger:

2.2 Opplysninger vi samler inn automatisk

• Teknisk informasjon: IP-adresse, nettlesertype, enhet, operativsystem
• Bruksdata: Hvilke sider du besøker, klikk, søk, tid brukt
• Lokasjonsdata: Omtrentlig lokasjon basert på IP (ikke presis GPS)
• Cookies og lignende teknologi: Se egen seksjon om cookies

2.3 Opplysninger fra tredjeparter

• Vipps: Bekreftelse på identitet og betalingsstatus
• Din arbeidsgiver: Bedriftsinformasjon, godtgjørelsesregler
• Restauranter: Bekreftelse på leveringsstatus

3. Hvorfor behandler vi personopplysningene dine?

3.1 Rettslig grunnlag

Vi behandler personopplysninger basert på følgende rettslige grunnlag i GDPR:

3.2 Spesifikke formål

Oppfylle avtalen med deg

• Behandle og levere matbestillinger
• Koordinere leveranser med restauranter
• Håndtere betalinger og fakturering
• Gi kundeservice og support
• Håndtere reklamasjoner

Sikre mattrygghet

• Beskytte deg mot allergener du har registrert
• Filtrere måltider basert på diettbehov
• Kommunisere allergener til restauranter

Forbedre tjenesten

• Analysere hvilke retter som er populære
• Forbedre brukeropplevelsen
• Fikse tekniske problemer
• Utvikle nye funksjoner

Overholde lovkrav

• Oppfylle bokføringsloven (5 års oppbevaringsplikt)
• Håndtere skatterapportering
• Etterleve mattrygghetsloven

4. Deling av personopplysninger

Viktig prinsipp: Vi selger aldri dine personopplysninger. Vi deler kun data som er nødvendig for å levere tjenesten, og kun med pålitelige partnere som er forpliktet til å beskytte dine data.

4.1 Hvem deler vi med?

Restauranter (databehandlere)

Når du bestiller mat, må vi dele følgende med restauranten:

• Navn (for levering)
• Leveringsadresse
• Telefonnummer (for leveringskoordinering)
• Bestillingsinformasjon (hva du bestilte)
• Allergier og spesielle behov (for mattrygghet)
• Spesielle instruksjoner

Betalingsleverandører

Vi bruker Vipps for autentisering og betaling. Vipps behandler:

• Vipps-ID og profil
• Betalingstransaksjoner

Se Vipps sin personvernerklæring for mer informasjon.

Teknologileverandører (databehandlere)

• Supabase: Database og autentisering (servere i EU)
• Vercel: Web hosting (servere i EU)
• Sentry: Feilrapportering (anonymisert)

Din arbeidsgiver

Vi deler rapporter med din arbeidsgiver om:

• Antall bestillinger per ansatt
• Totalt forbruk per ansatt
• Aggregert statistikk

Vi deler IKKE: Spesifikke måltider du bestiller, allergier, eller andre sensitive preferanser.

4.2 Overføring utenfor EU/EØS

Vi tilstreber å holde alle data innenfor EU/EØS. Dersom data overføres til land utenfor EU/EØS, sikrer vi at mottaker:

• Har et adekvat beskyttelsesnivå (EU-kommisjonen sin vurdering)
• Er sertifisert under EU-US Data Privacy Framework
• Har signert standard avtalevilkår (SCC) godkjent av EU-kommisjonen

5. Hvor lenge lagrer vi personopplysninger?

Vi følger prinsippet om lagringsbegrensning - vi lagrer kun data så lenge det er nødvendig.

5.1 Hva skjer når du sletter kontoen din?

Viktig informasjon om sletting:

Det som slettes umiddelbart:

• Innloggingsmulighet (du kan ikke lenger logge inn)
• Matpreferanser
• Lagrede adresser
• Markedsføringssamtykker
• Tekniske cookies

Det som IKKE kan slettes (lovpålagt oppbevaring):

• Bestillingshistorikk: Må oppbevares i 5 år (bokføringsloven)
• Fakturaer: Må oppbevares i 5 år (bokføringsloven, skatteloven)
• Betalingstransaksjoner: Må oppbevares i 5 år (hvitvaskingsloven)

Disse opplysningene blir anonymisert så langt det er mulig, men noen identifiserende opplysninger må beholdes for å overholde loven. Etter 5 år slettes alt.

Hvorfor kan vi ikke slette alt?

GDPR artikkel 17 (retten til sletting) har unntak når behandling er nødvendig for:

• Å overholde en rettslig forpliktelse (bokføringsloven, skatteloven)
• Å fastslå, gjøre gjeldende eller forsvare rettskrav (tvister om bestillinger/betaling)

6. Dine rettigheter

Du har følgende rettigheter i henhold til GDPR:

6.1 Rett til innsyn (Art. 15)

Du har rett til å få vite hvilke opplysninger vi har om deg. Du kan:

• Se dine opplysninger i kontoen din (under "Innstillinger")
• Be om en fullstendig kopi av alle data vi har om deg

Hvordan: Logg inn og gå til Innstillinger → Personvern → Last ned mine data

6.2 Rett til retting (Art. 16)

Du kan når som helst rette feil i dine opplysninger:

• Oppdater navn, e-post, telefon under "Innstillinger"
• Endre allergier og diettpreferanser
• Oppdatere leveringsadresse

6.3 Rett til sletting (Art. 17)

Du kan be om å få slettet dine personopplysninger, med visse unntak (se seksjon 5.1).

Hvordan: Innstillinger → Personvern → Slett konto

6.4 Rett til begrensning (Art. 18)

Du kan be om at vi midlertidig begrenser behandlingen av dine data dersom:

• Du bestrider riktigheten av opplysningene
• Behandlingen er ulovlig, men du ikke ønsker sletting
• Du har inngitt innsigelse mot behandlingen

6.5 Rett til dataportabilitet (Art. 20)

Du har rett til å motta dine personopplysninger i et strukturert, alminnelig anvendt format.

Hvordan: Innstillinger → Personvern → Last ned mine data (JSON-format)

6.6 Rett til innsigelse (Art. 21)

Du kan når som helst protestere mot behandling som er basert på berettiget interesse. Dette gjelder særlig:

• Direktemarkedsføring (kan avsluttes når som helst)
• Profilering og analyser

6.7 Rett til å trekke samtykke (Art. 7.3)

Når behandling er basert på samtykke, kan du når som helst trekke samtykket tilbake:

• Nyhetsbrev: Klikk "Avslutt abonnement" i e-posten
• Markedsføring: Innstillinger → Personvern → Markedsføringsvalg

6.8 Hvordan utøve dine rettigheter

6.9 Rett til å klage

Hvis du mener vi ikke håndterer dine personopplysninger riktig, har du rett til å klage til Datatilsynet:

7. Sikkerhet

Vi tar informasjonssikkerhet svært alvorlig og har implementert omfattende sikkerhetstiltak.

7.1 Tekniske sikkerhetstiltak

• Kryptering: All data krypteres i transitt (TLS 1.3) og i hvile (AES-256)
• Sikker autentisering: Via Vipps med tofaktorautentisering
• Tilgangskontroll: Strengt begrenset tilgang basert på minste privilegium-prinsippet
• Database-sikkerhet: Row Level Security (RLS) i Supabase
• Logging og overvåking: Kontinuerlig overvåking av mistenkelig aktivitet
• Regelmessige sikkerhetsoppdateringer: Automatiske oppdateringer av systemer
• Penetrasjonstesting: Jevnlige sikkerhetstester av eksterne eksperter

7.2 Organisatoriske sikkerhetstiltak

• Databehandleravtaler: Skriftlige avtaler med alle leverandører
• Opplæring: Alle ansatte får personvernopplæring
• Prosedyrer: Dokumenterte rutiner for håndtering av persondata
• Bakgrunnssjekk: Screening av personer med tilgang til sensitive data

7.3 Hva gjør vi ved databrudd?

Skulle et databrudd oppstå:

1. Vi varsler Datatilsynet innen 72 timer
2. Vi varsler berørte brukere uten ugrunnet opphold
3. Vi iverksetter tiltak for å begrense skaden
4. Vi dokumenterer hendelsen og lærer av den

8. Cookies og lignende teknologi

8.1 Hva er cookies?

Cookies er små tekstfiler som lagres på din enhet når du besøker nettsiden vår. Vi bruker cookies for å gjøre tjenesten bedre og mer brukervennlig.

8.2 Hvilke cookies bruker vi?

Nødvendige cookies (kan ikke avslås)

• Sesjon: Holder deg innlogget
• Sikkerhet: Beskytter mot angrep (CSRF-tokens)
• Preferanser: Husker språk og tema

Varighet: Sesjon eller opptil 30 dager

Funksjonelle cookies (valgfritt)

• Handlekurv: Husker hva du har lagt i handlekurven
• Søkehistorikk: Forbedrer søkefunksjonen

Varighet: Opptil 1 år

Analytiske cookies (valgfritt)

• Bruksstatistikk: Hvordan du bruker siden (anonymisert)
• Ytelse: Måler lastetid og feil

Varighet: Opptil 2 år

8.3 Administrere cookies

Du kan når som helst endre dine cookie-innstillinger:

• Innstillinger → Personvern → Cookie-preferanser
• Via din nettleser (instruksjoner: aboutcookies.org)

Merk: Hvis du blokkerer alle cookies, kan noen funksjoner slutte å virke.

9. Barn og unge

Dugurd er primært rettet mot bedrifter og ansatte. Vi samler ikke bevisst inn opplysninger fra personer under 18 år.

Hvis du er forelder og oppdager at ditt barn har gitt oss personopplysninger, vennligst kontakt oss på support@dugurd.com så vil vi slette opplysningene umiddelbart.

10. Endringer i personvernerklæringen

Vi kan oppdatere denne personvernerklæringen fra tid til annen for å reflektere endringer i:

• Vår praksis for behandling av personopplysninger
• Juridiske krav
• Nye funksjoner i tjenesten

10.1 Varsling om endringer

Ved vesentlige endringer vil vi:

• Sende deg en e-post minst 30 dager før endringen trer i kraft
• Vise en tydelig melding når du logger inn
• Be om fornyet samtykke hvis nødvendig

Ved mindre endringer (f.eks. presiseringer eller grammatiske rettelser) oppdaterer vi bare "sist oppdatert"-datoen øverst på denne siden.

11. Kontakt oss

Har du spørsmål om hvordan vi behandler dine personopplysninger? Vi ønsker å høre fra deg!

Relaterte dokumenter:

• Salgsvilkår for plattformen
• Vilkår for matkjøp