Privatlivspolitik

Vevja AS, org. nr. 938 295 735, Sagrønningen 1, 3271 Larvik, Norge ("vi," "os" eller "vores") er dataansvarlig for personoplysninger, der indsamles gennem vores platform og autentificeringstjeneste, i overensstemmelse med EU's databeskyttelsesforordning (GDPR) og den norske personoplysningslov (Personopplysningsloven). For personoplysninger, der behandles på vegne af vores kunder (hjemmesideejere, der bruger Vevja), fungerer Vevja som databehandler, og kunden fungerer som dataansvarlig. Denne behandling er reguleret af vores databehandleraftale, som er tilgængelig på https://login.vevja.no/dpa. Kontakt: support@vevja.no

Vi indsamler følgende kategorier af personoplysninger: Kontooplysninger: - Fornavn og efternavn - E-mailadresse - Telefonnummer (verificeret via SMS under registreringen) - Sikkert hashet adgangskode (gemmes aldrig i klartekst) - Kontorolle og tilladelser Autentificerings- og sikkerhedsdata: - Enhedsverifikationsdata, herunder et enheds-fingeraftryk, der bruges til at genkende betroede enheder (til tofaktorgodkendelse) - IP-adresse (hashet til analyseformål, gemmes ikke i klartekst) - Autentificeringslogfiler og tidsstempler - Loginhistorik og 2FA-verifikationsregistreringer Brugsdata: - Besøgte sider i administrationspanelet - Mønstre for brug af funktioner - Browsertype og operativsystem (til analyseformål) Butiksdata (hvis relevant): - Ordrehistorik og transaktionsregistreringer - Modtageroplysninger for forsendelser (navn, adresse, telefonnummer) - Identifikatorer for betalingsmetoder (behandles af vores betalingsudbydere, gemmes ikke af os) Domæneregistreringsdata (hvis du registrerer et domæne gennem Tjenesten): - Registrantens kontaktoplysninger (navn, adresse, e-mail, telefon), som kræves af domæneregistre Mobilappdata (hvis du installerer Vevjas medarbejderapp): - Enhedens push-notifikationstoken (bruges til at levere notifikationer til din enhed) Medarbejderdata (tidsregistreringsmodulet, hvis relevant — behandles på vegne af din arbejdsgiver, som er dataansvarlig; se afsnit 13): - Tidsstempler for ind- og udstempling - Pauseregistreringer - Vagtplaner og historik over vagtbytter - Ferie- og fraværsregistreringer - Aflønningsgrundlag og indstillinger for arbejdstidsaftaler - Fødselsdato (hvor det kræves af arbejdstidsreglerne) - En-til-en-chatbeskeder mellem medarbejdere sendt via mobilappen

Vi behandler dine personoplysninger på følgende retsgrundlag efter GDPR artikel 6: Opfyldelse af kontrakt (Art. 6(1)(b)): - Behandling af kontooplysninger for at levere Tjenesten - Behandling af betalings- og ordredata for butikstransaktioner - Behandling af registrantoplysninger for at registrere domæner på dine vegne - Administration af dit abonnement og din fakturering Legitim interesse (Art. 6(1)(f)): - Privatlivsvenlig analyse for at forbedre Tjenesten - Sikkerhedsovervågning og forebyggelse af svindel - Enhedsverifikation til tofaktorgodkendelse Samtykke (Art. 6(1)(a)): - Markedsføringskommunikation (kun ved tilvalg) - Ikke-nødvendige cookies (hvis nogen) Retlig forpligtelse (Art. 6(1)(c)): - Skatte- og regnskabsbilag for butikstransaktioner - Overholdelse af de norske bogføringskrav (Bokføringsloven, den norske bogføringslov)

Vi bruger dine personoplysninger til at: - Levere, vedligeholde og forbedre Tjenesten. - Autentificere din identitet og sikre din konto. - Behandle transaktioner gennem webshoppen. - Sende transaktionelle e-mails og SMS-beskeder (kontoverifikation, nulstilling af adgangskode, 2FA-links, ordrebekræftelser). - Sende push-notifikationer til din mobile enhed, hvis du installerer medarbejderappen og aktiverer notifikationer (for eksempel vagtændringer og chatbeskeder mellem medarbejdere; chatnotifikationer indeholder afsenderens navn og en kort forhåndsvisning af beskeden). - Generere privatlivsvenlig statistik (med hashede IP-adresser, ingen sporingscookies). - Levere AI-drevet oversættelse af indhold og billedsøgning (se afsnit 5). - Overvåge og sikre Tjenestens sikkerhed. - Overholde retlige forpligtelser. Vi sælger ikke dine personoplysninger. Vi bruger ikke dine oplysninger til profilering eller automatiserede afgørelser med retsvirkning.

Vi bruger kunstig intelligens til følgende funktioner: Oversættelse af indhold: Vi bruger Mistral AI (et fransk selskab med EU-baseret behandling) til at oversætte hjemmesideindhold til de understøttede sprog. Indholdet, der indsendes til oversættelse, sendes, som det er; hvis en side indeholder personoplysninger (for eksempel et navn eller kontaktoplysninger offentliggjort på siden), vil disse oplysninger indgå i det indhold, der sendes til oversættelse. Billedsøgning: Vi bruger AI-tjenester til at analysere uploadede billeder og generere søgbare beskrivelser. Billedanalysedata gemmes lokalt i din konto. Indhold, der indsendes til AI-udbydere, bruges udelukkende til at levere disse funktioner og er omfattet af en databehandleraftale. Vi sender ikke kontooplysninger, kundeoptegnelser eller andre gemte personoplysninger til AI-udbydere — kun det indhold, du vælger at oversætte, eller de billeder, du uploader til analyse.

Vi deler kun personoplysninger med følgende kategorier af modtagere, og kun i det omfang det er nødvendigt: Betalingsudbydere: - Vipps MobilePay (Norge) — betalingsbehandling og, hvor det er aktiveret, Vipps Login til kundelogin - Stripe (behandling i EU/EØS via Stripe Payments Europe) - Klarna (Sverige) Disse udbydere håndterer betalingsdata efter deres egne privatlivspolitikker. Kommunikation: - Bird — leverer vores transaktionelle e-mails og SMS-beskeder (modtager e-mailadresser, telefonnumre og beskedindhold) - Expo (USA) — leverer mobile push-notifikationer for medarbejderappen (modtager enhedens push-tokens og notifikationsindhold, herunder afsenderens navn og en kort forhåndsvisning af beskeden ved chatnotifikationer). Afhængigt af din enhed sendes notifikationer også via Apple Push Notification service eller Google Firebase Cloud Messaging. Infrastrukturudbydere: - Bunny.net — content delivery network og DNS - Serverhosting- og cloud-lagringsudbydere (til drift af Tjenesten og opbevaring af krypterede databasebackups) Geolokalisering: - ipinfo.io — omtrentlig IP-baseret geolokalisering til sikkerheds- og regionale funktioner Domæneregistrering: - Akkrediterede domæneregistratorer og -registre (modtager registrantens kontaktoplysninger, når du registrerer et domæne) AI-tjenester: - Mistral AI (oversættelse af indhold og billedanalyse, som beskrevet i afsnit 5) Billedsøgning: - Unsplash (modtager kun søgetermer, når du søger i deres billedbibliotek fra administrationspanelet) Integrationer, du aktiverer (data deles kun, når hjemmesideejeren tilslutter dem): - Regnskabs- og lønsystemer: Fiken, PowerOffice, Tripletex, Conta, Finago, Visma (modtager kundenavne, kontaktoplysninger og ordredata til fakturering og bogføring; hvor lønintegrationen er aktiveret, modtager de også medarbejderes løndata såsom arbejdstimer og løngrundlagslinjer) - Fragtfirmaer: Bring/Posten, PostNord, Helthjem (modtager modtagerens navn, adresse og telefonnummer til fragtlabels, priser og sporing) Vi deler ikke dine personoplysninger med annoncører, datamæglere eller andre tredjeparter til markedsføringsformål. Alle tredjepartsdatabehandlere er bundet af databehandleraftaler i overensstemmelse med GDPR artikel 28. Den aktuelle liste over underdatabehandlere fremgår også af vores databehandleraftale på https://login.vevja.no/dpa.

Dine oplysninger behandles og opbevares primært på servere i Europa, med krypterede sikkerhedskopier opbevaret i EU (Tyskland). Visse tjenester indebærer overførsler til USA — navnlig levering af mobile push-notifikationer (Expo, Apple, Google). Hvor data overføres til lande uden for EØS (for eksempel når en tredjepartsudbyder behandler data i udlandet), sikrer vi, at der er passende garantier på plads, herunder: - EU's standardkontraktbestemmelser (SCC'er) - Tilstrækkelighedsafgørelser fra Europa-Kommissionen, herunder EU-U.S. Data Privacy Framework for certificerede amerikanske udbydere - Yderligere tekniske foranstaltninger såsom kryptering Databasebackups er krypterede og opbevares med adgang begrænset til autoriseret personale.

Vi opbevarer kun dine personoplysninger, så længe det er nødvendigt til de formål, der er beskrevet i denne politik: - Kontooplysninger: Opbevares, mens din konto er aktiv, plus 30 dage efter sletning. - Autentificeringslogfiler: Opbevares i 90 dage af sikkerhedshensyn. - Administrative revisionslogfiler: Opbevares i 90 dage. - Analysedata: Aggregeres og anonymiseres; rådata opbevares i 12 måneder. - Butikstransaktionsdata: Opbevares i 5 år i overensstemmelse med den norske bogføringslov (Bokføringsloven). - Tidsregistreringsdata: Opbevares i den periode, som norsk arbejdsret kræver. Efter opbevaringsperioden slettes eller anonymiseres oplysningerne på sikker vis.

Vevja har en privatlivsvenlig tilgang til sporing: - Vi bruger ikke tredjeparts sporingscookies. - Vi bruger ikke reklamecookies. - Vores analysesystem bruger hashede IP-adresser og er ikke afhængigt af cookies. - Vi bruger kun nødvendige sessionscookies til autentificeringsformål. Nødvendige cookies kan ikke deaktiveres, da de er påkrævet, for at Tjenesten kan fungere. Disse omfatter: - Sessionscookies til at opretholde din login-tilstand. - Sikkerhedscookies til verifikation af forespørgsler.

Som registreret har du følgende rettigheder efter databeskyttelsesforordningen (GDPR) og norsk databeskyttelseslovgivning: Ret til indsigt (Art. 15): Du kan anmode om en kopi af alle personoplysninger, vi har om dig. Ret til berigtigelse (Art. 16): Du kan anmode om rettelse af unøjagtige personoplysninger. Ret til sletning (Art. 17): Du kan anmode om sletning af dine personoplysninger ("retten til at blive glemt"), med forbehold for lovpligtige opbevaringskrav. Du kan også anmode om sletning af din konto direkte fra dine kontoindstillinger. Ret til begrænsning (Art. 18): Du kan anmode om, at vi begrænser behandlingen af dine oplysninger. Ret til dataportabilitet (Art. 20): Du kan anmode om at få dine oplysninger i et struktureret, maskinlæsbart format. Ret til indsigelse (Art. 21): Du kan gøre indsigelse mod behandling baseret på legitim interesse. Ret til at trække samtykke tilbage (Art. 7(3)): Hvor behandlingen er baseret på samtykke, kan du til enhver tid trække det tilbage. For at udøve nogen af disse rettigheder kan du kontakte os på support@vevja.no. Vi svarer uden unødig forsinkelse og senest inden for en måned, som krævet af GDPR.

Vi implementerer passende tekniske og organisatoriske foranstaltninger for at beskytte dine personoplysninger, herunder: - Adgangskoder hashes sikkert (gemmes aldrig i klartekst). - Tofaktorgodkendelse med enhedsverifikation. - Sikker token-baseret autentificering med kortlivede sessioner. - Krypterede sikkerhedskopier med automatiserede opbevaringspolitikker. - Rollebaseret adgangskontrol med detaljerede tilladelser. - Dataisolering, der sikrer adskillelse mellem kunder. - Løbende sikkerhedsovervågning og hændelseshåndtering. På trods af disse foranstaltninger er intet system fuldstændig sikkert. Hvis vi bliver opmærksomme på et brud på persondatasikkerheden, der sandsynligvis vil indebære en risiko for dine rettigheder og frihedsrettigheder, underretter vi det norske datatilsyn (Datatilsynet) inden for 72 timer, som krævet af GDPR artikel 33, og vi underretter dig uden unødig forsinkelse, hvor bruddet sandsynligvis vil indebære en høj risiko for dine rettigheder, som krævet af GDPR artikel 34.

Brugere skal være mindst 15 år gamle for at oprette en konto på egen hånd; brugere mellem 13 og 15 år skal have samtykke fra en forælder eller værge. Dette alderskrav er vores egen politik og er strengere end den minimumsalder på 13 år, hvor børn kan give samtykke til behandling af deres personoplysninger i forbindelse med informationssamfundstjenester efter den norske personoplysningslov (Personopplysningsloven §5). Vi indsamler ikke bevidst personoplysninger fra børn under 13 år. Hvis vi bliver opmærksomme på, at vi har indsamlet personoplysninger fra et barn under 13 år uden forældresamtykke, sletter vi straks disse oplysninger.

Hver kunde på Vevja-platformen har et isoleret miljø: - Kundedata opbevares adskilt og sikkert. - Kunder kan ikke tilgå andre kunders data. - Når en kunde indsamler data fra sine hjemmesidebesøgende, er kunden dataansvarlig, og Vevja er databehandler, som fastsat i vores databehandleraftale (https://login.vevja.no/dpa). - Kunderne er ansvarlige for deres egne privatlivspolitikker og GDPR-overholdelse for data, de indsamler fra deres besøgende.

Hvis du mener, at dine databeskyttelsesrettigheder er blevet krænket, har du ret til at indgive en klage til det norske datatilsyn: Datatilsynet Postboks 458 Sentrum 0105 Oslo, Norway Hjemmeside: www.datatilsynet.no E-mail: postkasse@datatilsynet.no Du har også ret til at indgive en klage til tilsynsmyndigheden i det EU/EØS-medlemsland, hvor du har din sædvanlige bopæl eller dit arbejdssted.

Vi kan fra tid til anden opdatere denne privatlivspolitik for at afspejle ændringer i vores praksis, teknologi eller retlige krav. Vi underretter dig om væsentlige ændringer via e-mail eller gennem Tjenesten mindst 30 dage, før de træder i kraft. Den aktuelle version af denne privatlivspolitik er altid tilgængelig på denne side.

Hvis du har spørgsmål til denne privatlivspolitik eller ønsker at udøve dine databeskyttelsesrettigheder, kan du kontakte os: Vevja AS, org. nr. 938 295 735 Sagrønningen 1, 3271 Larvik, Norge E-mail: support@vevja.no Hjemmeside: https://vevja.no For henvendelser om databeskyttelse kan du også kontakte vores databeskyttelsesteam direkte på privacy@vevja.no.