Personvernerklæring

Webkompaniet AS (org.nr. 999 529 860 MVA), Akershusstranda 15, Skur 35, 0150 Oslo, er behandlingsansvarlig for personopplysningene som behandles på russeoutfit.no og i tilknyttede tjenester (kundeklubb, designverktøy, e-post).

Har du spørsmål om personvern, kontakt oss på kontakt@russeoutfit.no eller +47 21 38 66 13.

• Kontaktopplysninger: navn, e-postadresse, telefonnummer, leveringsadresse, når du bestiller, sender kontaktskjema eller ber om tilbud.
• Ordreopplysninger: hva du har kjøpt, størrelser, priser, ordrenummer, leverings- og betalingsstatus, korrespondanse om ordren.
• Betalingsopplysninger: fakturagrunnlag, beløp, forfall, betalingsreferanser og betalingsstatus. Kortbetaling via Stripe er i drift for bestillinger uten trykk. Bestillinger med trykk betales med faktura etter godkjent visualisering. Vi lagrer ikke hele kortnummeret eller sikkerhetskoden. Vipps er ikke i drift.
• Designfiler og logoer: bilder, tekst, navn og design du laster opp eller lager i designverktøyet, samt utkast du lagrer med e-postadressen din.
• Kundeklubb og innlogging: e-post, navn, eventuell skole/kull, medlemsnummer, rabattkode, passordhash hvis du har passord, hash av engangslenker og sesjoner lagret i databasen med tidspunkt, utløp og tilbakekalling.
• Nyhetsbrev: e-postadresse, tidspunkt for påmelding, samtykke og avmelding.
• Anmeldelser: navn/kallenavn, tekst og vurdering du velger å publisere.
• Tekniske logger: IP-adresse, tidspunkt, nettlesertype, feilmeldinger og forespørsler til serveren, for drift, sikkerhet og misbruksforebygging.

• Portaldialog: meldingsinnhold, avsender, tidspunkt, vedlegg, lesemarkører og sakens status. Ansatte kan skrive interne notater for å følge opp saken; disse vises ikke i kundesamtalen.
• Portalvedlegg: filnavn, filtype, størrelse, opplaster, tilknyttet sak og SHA-256-kontrollsum som brukes til å kontrollere at filinnholdet er uendret. Nye portalvedlegg og portalens korrekturfiler lagres privat med tilgangskontroll. Eldre filer delt med offentlige lenker blir ikke automatisk private.
• Godkjenningslogg: faktisk godkjenners navn, e-post, bruker og rolle/fullmakt, serverens tidspunkt, visualiseringsversjon, låst produksjonsgrunnlag, filenes kontrollsummer, nøyaktig bekreftelsestekst, versjonsreferanse for godkjenningsteksten og lagrede leveringsvilkår. IP-adresse, user-agent (nettleseropplysninger) og tidspunkt for fersk innlogging lagres som støttende dokumentasjon.
• Varsler: mottaker, hendelse, lest-status og teknisk leveringsstatus, inkludert feil, returmeldinger og klager på e-postlevering. Varsler om nye portalmeldinger inneholder lenke, ikke selve samtalen eller vedleggene.

Vi mottar også opplysninger fra andre: kontaktpersonen kan registrere gruppemedlemmers navn, størrelser og trykkønsker, og betalings- og leverandørtjenester gir oss statusopplysninger. Vi bruker ikke sporing på tvers av nettsteder eller analyse-/markedsføringsverktøy som profilerer deg.

• Gjennomføre kjøp, produksjon og levering, kundeservice og reklamasjoner, rettslig grunnlag: avtale med deg (GDPR art. 6 nr. 1 bokstav b).
• Bokføring og regnskap: rettslig forpliktelse (art. 6 nr. 1 bokstav c). Fakturaer og nødvendig bokføringsgrunnlag oppbevares normalt i 5 år etter regnskapsårets slutt; dette gjelder ikke automatisk hele dialogen.
• Nyhetsbrev, medlemsfordeler og tilbud på e-post: samtykke (art. 6 nr. 1 bokstav a). Du kan trekke samtykket når som helst via avmeldingslenken eller ved å kontakte oss.
• Min side, ordredialog og nødvendige e-postvarsler om avtalen: avtale (art. 6 nr. 1 bokstav b), uavhengig av samtykke til nyhetsbrev. Markedsføring er adskilt; du beholder tilgang til bestillingen selv om du takker nei til markedsføring.
• Lagring av designutkast og logoer slik at du kan fortsette der du slapp og vi kan produsere bestillingen: avtale/forberedelse til avtale.
• Drift, sikkerhet, feilsøking og forebygging av misbruk (tekniske logger): berettiget interesse (art. 6 nr. 1 bokstav f) i å holde tjenesten trygg og stabil.
• Godkjent produksjonsgrunnlag og bekreftelsestekst dokumenterer og oppfyller avtalen (art. 6 nr. 1 bokstav b). Bevaring for reklamasjon og rettskrav, samt IP/user-agent som støttebevis, bygger på vår berettigede interesse i å dokumentere hva som ble avtalt og håndtere tvister (bokstav f).
• Opplysninger om gruppemedlemmer og inviterte personer som ikke selv er avtalepart: berettiget interesse (bokstav f) i å gjennomføre gruppebestillingen og gi avklart tilgang. Vi begrenser opplysningene til det som trengs; kontaktpersonens avtale er ikke automatisk en avtale med alle gruppemedlemmene.
• Publisering av anmeldelser du selv sender inn: samtykke.

Vi selger aldri personopplysninger. Leverandører som behandler opplysninger på våre vegne, er databehandlere og skal ha databehandleravtale. Enkelte mottakere er selvstendige behandlingsansvarlige:

• Stripe Payments Europe Ltd., kortbetaling, betalingsstatus og forebygging av betalingssvindel. Stripe er også selvstendig behandlingsansvarlig for egne betalings- og lovpålagte formål; se stripe.com/privacy.
• Resend: ordrebekreftelser, engangslenker, portalvarsler, godkjenningsbekreftelser og nyhetsbrev, samt status for e-postlevering.
• Supabase: database i EU-region og fillagring der denne er konfigurert. Private portalfiler kan også lagres på vår server hos Hetzner i EU.
• Hetzner Online GmbH / egen server i EU: drift av nettstedet og lagring av opplastede filer.
• Trustpilot: anmeldelser-widget som lastes kun etter at du har akseptert tredjeparts-innhold i samtykkebanneret.
• Fraktselskap: navn, adresse, telefon og e-post for levering og sporing.
• Regnskapsfører/revisor og offentlige myndigheter når loven krever det.

Der en leverandør behandler opplysninger utenfor EØS (f.eks. Stripe, Resend, Trustpilot), skjer det med grunnlag i EU-kommisjonens standardavtaler (SCC) eller EU-US Data Privacy Framework.

Kontaktpersonen har tilgang til egen ordre, dialog og avtalegrunnlag. Andre får portaltilgang etter særskilt tildelte rettigheter. En betaler/forelder kan få ordrestatus og økonomiopplysninger, men får ikke automatisk privat dialog eller rett til å godkjenne. En delegert godkjenner får tilgang til grunnlaget som skal kontrolleres, inkludert navn og størrelser som inngår i visualiseringen, og til dialog når dette er tildelt. Det at noen er forelder til en myndig kunde gir ikke i seg selv innsyn.

Designverktøyets delingslenke kan brukes av alle som får lenken, også hvis den videresendes. Den deler designet for visning og kopiering, og kan vise navn, størrelser og tekst som inngår i designet. Den gir ikke i seg selv tilgang til ordre, faktura eller godkjenning. Del derfor bare design med personopplysninger når de berørte er informert. Kontakt oss for hjelp med tilgang og deling.

Registrerer du andre gruppemedlemmers opplysninger, informer dem først og del denne erklæringen. Oppgi bare navn, størrelser og andre opplysninger som er nødvendige for bestillingen; unngå helseopplysninger i fritekst. Webkompaniet AS har fortsatt ansvar for at de registrerte får nødvendig informasjon etter GDPR artikkel 14, normalt senest innen én måned, eller tidligere ved første kontakt eller utlevering. Gruppedeltakere kan kontakte oss direkte om egne opplysninger.

Fristene nedenfor skiller lovpålagt oppbevaring og nødvendig avtaledokumentasjon fra sletteplanen for øvrige data. Automatisk sletting etter sletteplanen er ennå ikke fullt innført; opplysninger kan derfor ligge lenger enn planlagt. Dette gir oss ikke grunnlag for å beholde dem uten behov. Kontakt oss om sletting, så vurderer vi opplysningene konkret.

• Fakturaer og nødvendig bokføringsgrunnlag: normalt 5 år etter regnskapsårets slutt. Bare opplysninger som trengs for bokføringen omfattes av denne fristen.
• Godkjent produksjonsgrunnlag og godkjenningslogg: så lenge reklamasjonsansvaret løper, normalt 2 år fra levering, eller 5 år for varer ment å vare vesentlig lenger enn 2 år. Nødvendige bevis kan beholdes lenger for en konkret pågående reklamasjon eller et rettskrav; behovet vurderes særskilt.
• Sletteplan for vanlig dialog og tilhørende vedlegg: 24 måneder etter avsluttet sak. Nødvendig avtale- eller reklamasjonsdokumentasjon skilles ut og følger fristen for sitt formål.
• Sletteplan for ubrukte designutkast og logoer: 24 måneder uten aktivitet. Medlemsopplysninger beholdes mens medlemskapet varer; ved utmelding vurderes hva som kan slettes og hva som fortsatt trengs for avtaler eller lovpålagte plikter.
• Nyhetsbrev: til du melder deg av. Vi beholder e-postadressen i en sperreliste slik at du ikke får e-post ved en feil.
• Sletteplan for tekniske drifts- og sikkerhetslogger: 90 dager. IP og nettleseropplysninger knyttet til en godkjenning er del av godkjenningsdokumentasjonen og vurderes etter formålet ovenfor, ikke som vanlige driftslogger.

Du har rett til å:

• få innsyn i hvilke opplysninger vi har om deg,
• få rettet uriktige opplysninger,
• få slettet opplysninger vi ikke lenger har grunnlag for å beholde,
• få begrenset behandlingen,
• få utlevert opplysningene dine i et maskinlesbart format (dataportabilitet),
• protestere mot behandling som bygger på berettiget interesse,
• trekke tilbake samtykke når som helst, uten at det påvirker lovligheten av behandlingen før samtykket ble trukket.

Send forespørselen til kontakt@russeoutfit.no. Vi svarer uten ugrunnet opphold, normalt senest innen én måned. Ved behov for lovlig fristforlengelse får du beskjed innen den første måneden med begrunnelse. Vi kan be deg bekrefte identiteten din før vi utleverer opplysninger.

Er du uenig i hvordan vi behandler opplysningene dine, vil vi gjerne høre fra deg først. Du har uansett rett til å klage til Datatilsynet (datatilsynet.no, Postboks 458 Sentrum, 0105 Oslo).

Tjenestene våre retter seg mot russ, som normalt er 18-19 år. Vår egen aldersgrense for selvstendig påmelding til nyhetsbrev og kundeklubb er 16 år; under denne grensen krever vi foresattes samtykke. Dette er vår policy, ikke en generell lovbestemt 16-årsgrense eller rett til å inngå kjøpsavtaler. Blir vi oppmerksomme på at vi har samlet inn opplysninger om barn under 16 år uten gyldig samtykke, sletter vi dem.

Nettstedet bruker HTTPS. Ansattes tilgang til kundeopplysninger er begrenset etter arbeidsoppgaver. Personlig admin-innlogging støtter engangslenke på e-post (magic-link) og passord; passordinnlogging fra en ukjent enhet krever e-postbasert enhetsgodkjenning. Portalens sesjoner lagres i databasen og kan tilbakekalles.

Kundeøkter varer 24 timer uten «husk meg», eller 30 dager glidende med «husk meg», maksimalt 90 dager fra innlogging. Adminøkter varer 12 timer. Utløp av tilgang betyr ikke automatisk sletting av sesjonsraden. Godkjenning av visualisering krever fersk innlogging, høyst 15 minutter gammel. Stripe håndterer kortbetalingen; vi lagrer ikke hele kortnummeret eller sikkerhetskoden.

Hvilke informasjonskapsler og lokal lagring vi bruker, står i cookie-erklæringen på russeoutfit.no/cookies. Skrifttypene serveres fra nettstedet vårt; nettleseren din kontakter ikke Google Fonts for å laste dem.

Vi oppdaterer erklæringen ved behov, for eksempel når vi tar i bruk nye leverandører. Vesentlige endringer varsles på nettsiden. Gjeldende versjon ligger alltid her.