Personvernerklæring

Peilar AS er behandlingsansvarlig for personopplysninger som samles inn via Peilar.no.

Peilar AS, org.nr. 937 806 892, registrert i Foretaksregisteret (Brønnøysundregistrene).

Forretningsadresse: Mobekkvegen 499, 2232 Tobøl

Postadresse: Peilar AS, Mobekkvegen 499, 2232 Tobøl

Personvernhenvendelser: personvern@peilar.no

E-post: hei@peilar.no

Tjenesten er ikke underlagt krav om å utnevne et personvernombud (DPO) etter GDPR art. 37.

Vi behandler personopplysninger basert på følgende rettslige grunnlag i GDPR artikkel 6(1):

Berettiget interesse (art. 6(1)(f)) — interesseavveining: For sikkerhetsformål forfølger vi den konkrete interesse i å forhindre uautorisert tilgang til brukerkontoer, misbruk av betalingssystemet og misbruk av vervingsordningen, og i å identifisere og avhjelpe tekniske feil. For tjenesteforbedring forfølger vi interessen i å forstå hvilke adressetyper og regioner som søkes hyppigst for å prioritere datakvalitet og utvikling. Vi har vurdert at disse interessene i begge tilfeller veier tyngre enn inngrep i ditt personvern, da behandlingen er begrenset i omfang, data anonymiseres der det er mulig, og du har rett til å gjøre innsigelse (se § 8, innsigelse etter art. 21). Du kan lese mer om interesseavveiingen ved å kontakte oss på personvern@peilar.no.

Risikorapportene genereres helautomatisk basert på adressens geografiske koordinater sammenholdt med offentlige datasett. Ingen menneskelig vurdering inngår i genereringen av den individuelle rapporten.

Logikken bak automatisert beregning: For hver adresse behandles data fra 400+ datalag fra offentlige og lisensierte kilder (NVE, NGU, Kartverket, MET, SSB mfl.). Rapporten er et informasjonsprodukt om eiendommens geografiske beliggenhet, ikke en avgjørelse om deg som person. Beregningsmetoden er beskrevet nærmere på metodikksiden.

Vi benytter IKKE automatisert behandling som har rettsvirkning for deg eller i betydelig grad påvirker deg på tilsvarende måte (jf. GDPR artikkel 22). Risikorapporten fatter ingen beslutninger om din kredittverdighet, forsikringsvilkår, ansettelsesforhold eller lignende. Du har likevel rett til menneskelig overprøving av risikoberegningen dersom du mener den berører deg rettslig — kontakt oss på personvern@peilar.no.

Vi bruker ikke dine søk eller kjøp til å bygge personprofiler for prisdiskriminering. Har du samtykket til markedsføring (§ 5, «Merk om Meta»), sender vi en kjøpsbekreftelse til Meta ved fullført kjøp — kun hashet e-postadresse, kjøpsbeløp og valuta — som Meta bruker til å måle og optimalisere sine egne annonsekampanjer. Vi bygger ingen egne personprofiler av dette; det er Metas bruk av dataen, ikke vår.

Vi deler personopplysninger med følgende tredjeparter. Databehandleravtale (DPA) er inngått med alle leverandører som opptrer som databehandlere.

Merk om Stripe: Stripe Payments Europe Ltd. er selvstendig behandlingsansvarlig for betalingsopplysningene de behandler. Det betyr at Stripe har egne plikter overfor deg under GDPR, og at du kan utøve personvernrettigheter direkte overfor Stripe for betalingsdata. Har du samtykket til analyse, sender vi i tillegg en analyse-ID fra PostHog sammen med betalingen, slik at vi kan se hvilke besøk som fører til kjøp. Se Stripes personvernerklæring på stripe.com/privacy.

Merk om Vipps: Vipps MobilePay AS er selvstendig behandlingsansvarlig for betalingsopplysningene de behandler, på samme måte som Stripe. Det betyr at Vipps har egne plikter overfor deg under GDPR, og at du kan utøve personvernrettigheter direkte overfor Vipps for betalingsdata. Kobler du Vipps til brukerkontoen din, er Vipps i tillegg en kilde til personopplysninger om deg: vi mottar da e-postadresse, telefonnummer og en fast identifikator fra Vipps, og lagrer disse på kontoen din. Opplysningene slettes når brukerkontoen slettes. E-postadressen Vipps oppgir, er ikke verifisert av Vipps. Vi behandler den derfor ikke som bevis på hvem du er: en Vipps-kobling gir ingen tilgang til kjøp som er gjort på en annen konto, selv om e-postadressen er den samme. Se personvernerklæringen til Vipps på vipps.no/personvern.

Merk om Meta: Meta Platforms Ireland Ltd. er selvstendig behandlingsansvarlig for dataen de mottar gjennom Meta-piksel og Conversions API, på samme måte som Stripe og Vipps. Det betyr at Meta har egne plikter overfor deg under GDPR, og at du kan utøve personvernrettigheter direkte overfor Meta. Vi sender ingenting til Meta uten ditt aktive samtykke til markedsføring, og kjøpsbekreftelsen vi sender ved fullført kjøp inneholder aldri e-postadressen din i klartekst — bare en ensrettet SHA-256-hash av den, sammen med kjøpsbeløp og valuta. Se Metas personvernerklæring på facebook.com/privacy/policy.

Merk om AI-analyse: Når du laster opp en salgsoppgave, sendes innholdet til Anthropic og Google for å hente ut felter og skrive analysen. Salgsoppgaver kan inneholde navn på megler og boligselskap. Ikke last opp dokumenter med personopplysninger du ikke vil ha behandlet av disse leverandørene. Vi bruker ikke innholdet til å trene AI-modeller.

Offentlige datakilder (NVE, NGU, Kartverket, MET, SSB osv.) mottar ingen personopplysninger fra oss. Vi sender kun anonyme geografiske koordinater til offentlige API-er for å hente risikodata.

Dersom vi endrer databehandlere eller legger til nye underleverandører, oppdaterer vi denne siden. Ved vesentlige endringer varsles registrerte brukere per e-post.

Databasen driftes på våre egne servere innenfor EØS. Supabase Inc. er ikke databehandler for oss og har ingen tilgang til dataene dine.

Hetzner Online GmbH drifter serverne våre i Tyskland og Finland. All lagring av kontoer, kjøp og rapporter skjer på disse maskinene, altså innenfor EØS. Ingen overføring til tredjeland skjer via Hetzner.

Anthropic PBC og Google behandler innholdet i salgsoppgaver du laster opp, for å hente ut felter og skrive analysen. Behandlingen kan skje på servere i USA. Overføringen skjer på grunnlag av EUs standardkontraktsklausuler (SCC, Modul 2), inntatt i databehandleravtalen med den enkelte leverandøren.

Resend Inc. sender e-post på våre vegne og behandler e-postadressen din. PostHog Inc. lagrer bruksstatistikk i EU. Før du har svart på samtykkebanneret, kjører PostHog i en informasjonskapselfri modus som ikke lagrer noe på enheten din, med berettiget interesse som grunnlag (art. 6(1)(f)). Velger du «Bare nødvendige», stopper målingen; samtykker du til analyse, går den over til vanlig lagring.

Meta Platforms Ireland Ltd. behandler data fra Meta-piksel og Conversions API, dersom du har samtykket til markedsføring. Meta er etablert i Irland (EØS), men kan behandle data videre på servere i USA. Overføringen skjer på grunnlag av EUs standardkontraktsklausuler, som inngår i Metas egne vilkår for databehandling.

Vi har gjennomgått leverandørenes Transfer Impact Assessments (TIA-er) og konkludert med at de kontraktsmessige, tekniske og organisatoriske tiltakene — herunder kryptering i hvile (AES-256) og under transport (TLS 1.2 eller nyere) — gir et tilstrekkelig beskyttelsesnivå tilsvarende det som garanteres i EØS, jf. EDPB Recommendations 01/2020.

Stripe Payments Europe Ltd. er etablert i Irland og behandler betalingsdata i EØS. Stripe kan overføre data til sitt amerikanske morselskap på grunnlag av standardkontraktsklausuler.

Fullstendige databehandleravtaler er tilgjengelig etter forespørsel til personvern@peilar.no.

Når oppbevaringstiden utløper, slettes eller anonymiseres dataene automatisk. Anonymiserte og aggregerte data (f.eks. statistikk over hvilke kommuner som søkes hyppigst) er ikke personopplysninger og kan oppbevares uten tidsbegrensning.

Om kjøpte rapporter: Rapportinnhold og tilgang til kjøpte rapporter følger brukerkontoen. Sletter du kontoen, opphører tilgangen, og kjøps- og rapportdata som er knyttet til kontoen, slettes eller kobles fra deg. Vi oppbevarer ikke selve rapportinnholdet i 5 år: femårsfristen gjelder bare kjøpsbilagene som bokføringsloven pålegger oss å oppbevare, se avsnittet nedenfor. Slettede data kan finnes i backup i inntil 30 dager.

Om bokføringsloven: Kjøpsbilag underlagt oppbevaringsplikt etter bokføringsloven kan ikke slettes etter begjæring, selv ved bruk av retten til sletting etter GDPR art. 17. Oppbevaringsplikten gjelder 5 år regnet fra utgangen av det regnskapsåret transaksjonen ble bokført, jf. bokføringsloven § 13 andre ledd.

Om backup: Data du ber oss slette fra aktiv database, kan teknisk sett finnes i serverbackup hos Hetzner i inntil 30 dager. Etter denne perioden er dataene permanent slettet fra alle systemer.

Om inaktive kontoer: Kontoer uten innlogging i 3 år vil bli varslet per e-post og deretter slettet etter 30 dagers varsel, med unntak av data vi er rettslig forpliktet til å oppbevare.

Etter GDPR kapittel III og personopplysningsloven har du følgende rettigheter. Utøv dem ved å kontakte oss på personvern@peilar.no. Vi svarer innen 30 dager (kan forlenges med 60 dager ved komplekse forespørsler, jf. GDPR art. 12(3)).

• Innsyn (art. 15) — få kopi av alle personopplysninger vi har om deg, inkludert formål, kategorier, mottakere og oppbevaringstid. Kopien leveres i et forståelig format.
• Retting (art. 16) — korrigere uriktige eller ufullstendige opplysninger uten ugrunnet opphold.
• Sletting (art. 17) — be om at opplysningene slettes. Unntak: vi kan ikke slette data bokføringsloven pålegger oss å oppbevare (kjøpsbilag i 5 år fra regnskapsårets slutt). Slettede data kan finnes i backup i inntil 30 dager (se § 7).
• Begrensning (art. 18) — be om at vi begrenser behandlingen (lagrer men ikke aktivt bruker opplysningene) der du bestrider riktigheten, behandlingen er ulovlig men du motsetter deg sletting, vi ikke lenger trenger opplysningene men du trenger dem til et rettskrav, eller du har fremsatt innsigelse etter art. 21.
• Dataportabilitet (art. 20) — motta dine data i et strukturert, maskinlesbart format (JSON/CSV). Gjelder data du selv har oppgitt, behandlet automatisert med grunnlag i avtale eller samtykke.
• Innsigelse (art. 21) — protestere mot behandling basert på berettiget interesse (art. 6(1)(f)). Vi vil da vurdere om vår interesse veier tyngre enn din. Innsigelse mot behandling for direkte markedsføring medfører umiddelbar opphør.
• Automatiserte avgjørelser (art. 22) — Peilar.no benytter automatiserte algoritmer for beregning av risikonivåer for eiendommer. Dersom du mener en slik beregning berører deg rettslig eller på tilsvarende måte i vesentlig grad, kan du be om menneskelig overprøving, fremsette ditt syn og bestride resultatet ved å kontakte oss.
• Trekke samtykke (art. 7(3)) — trekke samtykke for ikke-nødvendige informasjonskapsler når som helst, uten at det påvirker lovligheten av tidligere behandling.
• Klage til Datatilsynet (art. 77) — se § 9.

For å verifisere din identitet ved rettighetsforespørsler kan vi be deg bekrefte e-postadressen knyttet til kontoen. Alle forespørsler er gratis. Vi kan kun ilegge gebyr eller avslå ved åpenbart grunnløse eller overdrevne forespørsler, jf. art. 12(5) — vi bærer da bevisbyrden for dette.

Dersom du mener at vi behandler personopplysninger i strid med regelverket, har du rett til å klage til Datatilsynet, jf. GDPR art. 77:

• Datatilsynet
• Postboks 458 Sentrum, 0105 Oslo
• Telefon: 22 39 69 00
• E-post: postkasse@datatilsynet.no
• Nettside: datatilsynet.no

Dersom du er bosatt i et annet EØS-land, kan du velge å klage til tilsynsmyndigheten i ditt bostedsland, som da vil samarbeide med Datatilsynet. En oversikt over europeiske tilsynsmyndigheter finnes på edpb.europa.eu.

Vi anbefaler at du kontakter oss på personvern@peilar.no først slik at vi kan forsøke å løse forholdet.

Vi melder brudd på personopplysningssikkerheten til Datatilsynet uten ugrunnet opphold og, der det er mulig, senest innen 72 timer etter at vi fikk kjennskap til bruddet (GDPR art. 33).

Dersom bruddet sannsynligvis vil medføre høy risiko for dine rettigheter og friheter, vil vi varsle deg direkte per e-post uten ugrunnet opphold (GDPR art. 34).

• Vi fører et internt avviksregister over alle brudd på personopplysningssikkerheten, inkludert brudd som ikke er meldepliktige, jf. art. 33(5).
• Våre databehandlere (Hetzner, Stripe, Anthropic, Google, Resend) er kontraktsmessig forpliktet til å varsle oss uten ugrunnet opphold ved brudd på sine systemer, jf. art. 33(2).

Meld om mulige sikkerhetsbrudd til: personvern@peilar.no

Peilar.no er rettet mot voksne over 18 år (myndighetsalder etter avtaleloven).

Dersom vi oppdager at vi har samlet inn data fra en person under 18 år, vil vi stenge tilgang umiddelbart og slette alle personopplysninger innen 14 dager. Foresatte kan kontakte oss på personvern@peilar.no for å be om sletting.

Vi har implementert tekniske og organisatoriske sikkerhetstiltak tilpasset risikoen forbundet med behandlingen, jf. GDPR art. 32 og art. 25.

Denne personvernerklæringen kan oppdateres. Oppdatert dato vises øverst. Ved vesentlige endringer — for eksempel nye formål, nye databehandlere, endringer i overføringsgrunnlag eller endringer i oppbevaringsperioder — varsler vi registrerte brukere per e-post minst 14 dager før endringen trer i kraft.