Personvernerklæring

Peilar AS, org.nr. [XXX XXX XXX], registrert i Foretaksregisteret, er behandlingsansvarlig for personopplysninger som samles inn via Peilar.no.

Forretningsadresse: Mobekkvegen 499, 2232 Tobøl

Postadresse: Peilar AS, Mobekkvegen 499, 2232 Tobøl

Kontaktpunkt for personvernhenvendelser (rettigheter, klager, forespørsler):

• E-post: personvern@peilar.no
• Generell kontakt: hei@peilar.no

Tjenesten er ikke underlagt krav om å utnevne et personvernombud (DPO) etter GDPR art. 37. Vi behandler ikke personopplysninger i stor skala, er ikke offentlig myndighet, og foretar ikke systematisk, storskala overvåking av enkeltpersoner eller behandling av særlige kategorier av personopplysninger.

Vi behandler personopplysninger basert på følgende rettslige grunnlag i GDPR artikkel 6(1):

Berettiget interesse (art. 6(1)(f)) — interesseavveining: For sikkerhetsformål forfølger vi den konkrete interesse i å forhindre uautorisert tilgang til brukerkontoer og misbruk av betalingssystemet, og i å identifisere og avhjelpe tekniske feil. For tjenesteforbedring forfølger vi interessen i å forstå hvilke adressetyper og regioner som søkes hyppigst for å prioritere datakvalitet og utvikling. Vi har vurdert at disse interessene i begge tilfeller veier tyngre enn inngrep i ditt personvern, da behandlingen er begrenset i omfang, data anonymiseres der det er mulig, og du har rett til å gjøre innsigelse (se § 8 f). Du kan lese mer om interesseavveiingen ved å kontakte oss på personvern@peilar.no.

Risikorapportene genereres helautomatisk basert på adressens geografiske koordinater sammenholdt med offentlige datasett. Ingen menneskelig vurdering inngår i genereringen av den individuelle rapporten.

Logikken bak automatisert beregning: For hver adresse hentes data fra 60+ offentlige kilder (NVE, NGU, Kartverket, MET, SSB mfl.). Hvert datasett sammenholdes med adressens koordinater ved hjelp av geografisk analyse (punkt-i-polygon og bufferanalyser). Resultatet kategoriseres i risikoskalaer (f.eks. lav/middels/høy) basert på forhåndsdefinerte terskler fastsatt av oss. Rapporten er et informasjonsprodukt om eiendommens geografiske beliggenhet, ikke en avgjørelse om deg som person.

Vi benytter IKKE automatisert behandling som har rettsvirkning for deg eller i betydelig grad påvirker deg på tilsvarende måte (jf. GDPR artikkel 22). Risikorapporten fatter ingen beslutninger om din kredittverdighet, forsikringsvilkår, ansettelsesforhold eller lignende. Du har likevel rett til menneskelig overprøving av risikoberegningen dersom du mener den berører deg rettslig — kontakt oss på personvern@peilar.no.

Vi bruker ikke dine søk eller kjøp til å bygge personprofiler for markedsføring, prisdiskriminering eller målretting.

Vi deler personopplysninger med følgende tredjeparter. Databehandleravtale (DPA) er inngått med alle leverandører som opptrer som databehandlere.

Merk om Vipps: Vipps MobilePay AS er selvstendig behandlingsansvarlig for betalingsopplysningene de behandler. Det betyr at Vipps har egne plikter overfor deg under GDPR, og at du kan utøve personvernrettigheter direkte overfor Vipps for betalingsdata. Se Vipps' personvernerklæring på vipps.no/personvern.

Offentlige datakilder (NVE, NGU, Kartverket, MET, SSB osv.) mottar ingen personopplysninger fra oss. Vi sender kun anonyme geografiske koordinater til offentlige API-er for å hente risikodata.

Dersom vi endrer databehandlere eller legger til nye underleverandører, oppdaterer vi denne siden. Ved vesentlige endringer varsles registrerte brukere per e-post.

Supabase Inc. lagrer databasen utelukkende i EU-regionen (Frankfurt, Tyskland / AWS eu-central-1). Personopplysninger forlater ikke EØS-området via Supabase for primærlagring. Supabase benytter EUs standardkontraktsklausuler (SCC, 2021-versjonen) som overføringsgrunnlag for eventuell tilgang fra Supabase-ansatte utenfor EØS. Supabase har publisert en Transfer Impact Assessment (TIA) i samsvar med EDPB Recommendations 01/2020.

Vercel Inc. drifter en global edge-infrastruktur. Tekniske data (IP-adresse, forespørselsmetadata) prosesseres av Vercels nærliggende edge-noder, som kan befinne seg utenfor EØS. Disse overføringene skjer på to kumulative grunnlag:

1. EU-US Data Privacy Framework (DPF): Vercel Inc. er sertifisert under EUs tilstrekkelighetsbeslutning for EU-US Data Privacy Framework, vedtatt av EU-kommisjonen 10. juli 2023 (Commission Implementing Decision (EU) 2023/1795). Sertifiseringen er offentlig tilgjengelig på dataprivacyframework.gov. DPF gir EU-borgere klageadgang via Data Protection Review Court (DPRC) og er underlagt tilsyn av U.S. Federal Trade Commission.
2. EUs standardkontraktsklausuler (SCC): Som supplerende mekanisme benytter vi de oppdaterte SCC-ene vedtatt 4. juni 2021 (Commission Implementing Decision 2021/914, Modul 2), inntatt i databehandleravtalen med Vercel.

Vi har gjennomgått leverandørenes Transfer Impact Assessments (TIA-er) og konkludert med at de kontraktsmessige, tekniske og organisatoriske tiltakene — herunder kryptering i hvile (AES-256) og under transport (TLS 1.2 eller nyere) — gir et tilstrekkelig beskyttelsesnivå tilsvarende det som garanteres i EØS, jf. EDPB Recommendations 01/2020.

Vipps MobilePay AS behandler betalingsdata utelukkende innenfor Norge og EØS. Ingen overføring til tredjeland skjer via Vipps.

Fullstendige databehandleravtaler er tilgjengelig etter forespørsel til personvern@peilar.no.

Når oppbevaringstiden utløper, slettes eller anonymiseres dataene automatisk. Anonymiserte og aggregerte data (f.eks. statistikk over hvilke kommuner som søkes hyppigst) er ikke personopplysninger og kan oppbevares uten tidsbegrensning.

Om bokføringsloven: Kjøpsbilag underlagt oppbevaringsplikt etter bokføringsloven kan ikke slettes etter begjæring, selv ved bruk av retten til sletting etter GDPR art. 17. Oppbevaringsplikten gjelder 5 år regnet fra utgangen av det kalenderåret transaksjonen ble bokført, jf. bokføringsloven § 13 første ledd.

Om backup: Data du ber oss slette fra aktiv database, kan teknisk sett finnes i Supabase-sikkerhetskopier i inntil 30 dager. Etter denne perioden er dataene permanent slettet fra alle systemer.

Om inaktive kontoer: Kontoer uten innlogging i 3 år vil bli varslet per e-post og deretter slettet etter 30 dagers varsel, med unntak av data vi er rettslig forpliktet til å oppbevare.

Etter GDPR kapittel III og personopplysningsloven har du følgende rettigheter. Utøv dem ved å kontakte oss på personvern@peilar.no. Vi svarer innen 30 dager (kan forlenges med 60 dager ved komplekse forespørsler, jf. GDPR art. 12(3)).

• Innsyn (art. 15) — få kopi av alle personopplysninger vi har om deg, inkludert formål, kategorier, mottakere og oppbevaringstid. Kopien leveres i et forståelig format.
• Retting (art. 16) — korrigere uriktige eller ufullstendige opplysninger uten ugrunnet opphold.
• Sletting (art. 17) — be om at opplysningene slettes. Unntak: vi kan ikke slette data bokføringsloven pålegger oss å oppbevare (kjøpsbilag i 5 år fra regnskapsårets slutt). Slettede data kan finnes i backup i inntil 30 dager (se § 7).
• Begrensning (art. 18) — be om at vi begrenser behandlingen (lagrer men ikke aktivt bruker opplysningene) der du bestrider riktigheten, behandlingen er ulovlig men du motsetter deg sletting, vi ikke lenger trenger opplysningene men du trenger dem til et rettskrav, eller du har fremsatt innsigelse etter art. 21.
• Dataportabilitet (art. 20) — motta dine data i et strukturert, maskinlesbart format (JSON/CSV). Gjelder data du selv har oppgitt, behandlet automatisert med grunnlag i avtale eller samtykke.
• Innsigelse (art. 21) — protestere mot behandling basert på berettiget interesse (art. 6(1)(f)). Vi vil da vurdere om vår interesse veier tyngre enn din. Innsigelse mot behandling for direkte markedsføring medfører umiddelbar opphør.
• Automatiserte avgjørelser (art. 22) — Peilar.no benytter automatiserte algoritmer for beregning av risikonivåer for eiendommer. Dersom du mener en slik beregning berører deg rettslig eller på tilsvarende måte i vesentlig grad, kan du be om menneskelig overprøving, fremsette ditt syn og bestride resultatet ved å kontakte oss.
• Trekke samtykke (art. 7(3)) — trekke samtykke for ikke-nødvendige informasjonskapsler når som helst, uten at det påvirker lovligheten av tidligere behandling.
• Klage til Datatilsynet (art. 77) — se § 9.

For å verifisere din identitet ved rettighetsforespørsler kan vi be deg bekrefte e-postadressen knyttet til kontoen. Alle forespørsler er gratis. Vi kan kun ilegge gebyr eller avslå ved åpenbart grunnløse eller overdrevne forespørsler, jf. art. 12(5) — vi bærer da bevisbyrden for dette.

Dersom du mener at vi behandler personopplysninger i strid med regelverket, har du rett til å klage til Datatilsynet, jf. GDPR art. 77:

• Datatilsynet
• Postboks 458 Sentrum, 0105 Oslo
• Telefon: 22 39 69 00
• E-post: postkasse@datatilsynet.no
• Nettside: datatilsynet.no

Dersom du er bosatt i et annet EØS-land, kan du velge å klage til tilsynsmyndigheten i ditt bostedsland, som da vil samarbeide med Datatilsynet. En oversikt over europeiske tilsynsmyndigheter finnes på edpb.europa.eu.

Vi anbefaler at du kontakter oss på personvern@peilar.no først slik at vi kan forsøke å løse forholdet.

Vi har plikt til å melde brudd på personopplysningssikkerheten til Datatilsynet uten ugrunnet opphold og — der det er mulig — senest innen 72 timer etter at vi fikk kjennskap til bruddet (GDPR art. 33). Fristen regnes fra det tidspunkt vi ble kjent med at et brudd har skjedd. Ufullstendig melding kan ettersendes i trinn, jf. art. 33(4).

Dersom bruddet sannsynligvis vil medføre høy risiko for dine rettigheter og friheter, vil vi varsle deg direkte per e-post uten ugrunnet opphold (GDPR art. 34).

• Vi fører et internt avviksregister over alle brudd på personopplysningssikkerheten, inkludert brudd som ikke er meldepliktige, jf. art. 33(5).
• Våre databehandlere (Supabase, Vercel) er kontraktsmessig forpliktet til å varsle oss uten ugrunnet opphold ved brudd på sine systemer, jf. art. 33(2).

Meld om mulige sikkerhetsbrudd til: personvern@peilar.no

Peilar.no er rettet mot voksne over 18 år. Aldersgrensen er satt av kontraktsrettslige årsaker (myndighetsalder etter avtaleloven) og er strengere enn den personvernrettslige grensen for barns samtykke til informasjonssamfunnstjenester etter GDPR art. 8.

Dersom vi oppdager at vi har samlet inn data fra en person under 18 år, vil vi stenge tilgang umiddelbart og slette alle personopplysninger innen 14 dager. Foresatte kan kontakte oss på personvern@peilar.no for å be om sletting.

Vi har implementert tekniske og organisatoriske sikkerhetstiltak tilpasset risikoen forbundet med behandlingen, jf. GDPR art. 32 og prinsippet om innebygd personvern og personvern som standard (art. 25).

Denne personvernerklæringen kan oppdateres. Oppdatert dato vises øverst. Ved vesentlige endringer — for eksempel nye formål, nye databehandlere, endringer i overføringsgrunnelag eller endringer i oppbevaringsperioder — varsler vi registrerte brukere per e-post minst 14 dager før endringen trer i kraft.