Personvernerklæring - Shopilo Norge

1. Behandlingsansvarlig

Behandlingsansvarlig etter artikkel 4 nr. 7 i GDPR for behandlingen av personopplysninger på no.shopilo.com er:

1.1 Personvernombud

Etter vår vurdering er utpeking av et personvernombud etter artikkel 37 i GDPR for tiden ikke obligatorisk for vår virksomhet. Alle personvernhenvendelser rettes til [email protected].

1.2 Hva vi IKKE samler inn

Shopilo-mobilappen samler i tillegg ikke inn mobile annonseidentifikatorer (Apple IDFA / Google Advertising ID) og inneholder verken annonse-SDK-er eller tredjeparts analyse-SDK-er. Google Analytics 4 og Meta Pixel kjører bare på nettstedet, ikke i appen.

2. Hvilke opplysninger behandler vi og hvorfor?

Tabellen nedenfor gir en oversikt over alle behandlingsaktiviteter på no.shopilo.com:

2.1 Berettigede interesser (artikkel 6 nr. 1 bokstav f i GDPR)

Berettiget interesse brukes bare som rettslig grunnlag for behandling på serversiden som ikke innebærer at det lagres eller leses informasjon på enheten din – for eksempel sikkerhetslogging og aggregert feildiagnostikk. Våre berettigede interesser består i å kunne drive tjenesten teknisk stabilt og brukervennlig, å oppdage og forhindre misbruk, og å videreutvikle tjenesten på grunnlag av aggregert statistikk. I interesseavveiningen har vi lagt vekt på at opplysningene anonymiseres på serversiden (IP-forkorting via EU-proxy), og at ingen opplysninger overføres til tredjeparter for deres egne formål. Informasjonskapselbasert analyse med Google Analytics 4 bygger derimot utelukkende på ditt samtykke etter ekomloven § 3-15 og artikkel 6 nr. 1 bokstav a i GDPR (se avsnitt 5).

2.2 Prisvarsler og nyhetsbrev – forhåndssamtykke og dobbel bekreftelse

Prisvarsler krever ditt uttrykkelige samtykke gjennom en dobbel bekreftelsesprosedyre (double opt-in) i samsvar med artikkel 6 nr. 1 bokstav a i GDPR. Skulle vi i fremtiden tilby et nyhetsbrev, gjelder det samme: Elektronisk markedsføring til norske brukere skjer bare med uttrykkelig forhåndssamtykke etter markedsføringsloven § 15 (LOV-2009-01-09-2), sammenholdt med artikkel 6 nr. 1 bokstav a i GDPR. Berettiget interesse er uttrykkelig utelukket som rettslig grunnlag for e-postmarkedsføring. Dobbel bekreftelse benyttes som dokumentasjon av samtykket, i tråd med Datatilsynets anbefalte praksis.

2.3 Mindreårige

No.shopilo.com retter seg ikke mot barn. Etter personopplysningsloven § 5 (den norske nasjonale tilpasningen av artikkel 8 i GDPR) er aldersgrensen for barns samtykke til informasjonssamfunnstjenester i Norge 13 år; for barn under 13 år kreves samtykke fra den som har foreldreansvaret. Vi samler ikke bevisst inn personopplysninger fra barn under 13 år. Blir vi kjent med at slike opplysninger er samlet inn, sletter vi dem umiddelbart.

Shopilo-mobilappen — ytterligere behandling

I tillegg til behandlingen beskrevet ovenfor gjelder følgende når du bruker Shopilo-mobilappen (iOS og Android). Innlogging i appen skjer uten passord: en engangskode eller en magisk lenke sendes til e-postadressen din. Kontoen din, butikkene du følger og nyhetsbrevpreferansene dine er de samme kontodataene som på nettstedet (se kategori D ovenfor).

Behandlingen som utføres i appen på grunnlag av berettiget interesse (artikkel 6 nr. 1 bokstav f i GDPR), omfatter: den stabile appinstallasjonsidentifikatoren som brukes til å tilby gjesteøkter og sikker API-tilgang, attestasjonen av enhetsintegritet som utføres via Apple App Attest og Google Play Integrity for å beskytte tjenestene våre mot misbruk og automatiserte angrep, samt krasj- og feildiagnostikk som brukes til å holde appen stabil. Krasjdiagnostikk behandles utelukkende på vår egen selvdriftede infrastruktur for feilovervåking (Sentry, driftet av DontPayFull SRL på servere under vår kontroll). Ingen av disse opplysningene brukes til markedsføring eller profilering.

3. Databehandlere og mottakere

Vi bruker følgende databehandlere i samsvar med artikkel 28 i GDPR. Det er inngått databehandleravtaler med alle databehandlere:

Andre tredjeparter mottar personopplysningene dine bare når det er lovpålagt (f.eks. etter anmodning fra politi- eller påtalemyndighet med gyldig rettslig beslutning), eller når du uttrykkelig har samtykket.

Shopilo-mobilappen — ytterligere mottakere

Hvis du aktiverer push-varsler i Shopilo-mobilappen, genereres et push-token via Expo Push Service (650 Industries, Inc., USA), og varslene leveres gjennom varslingstjenesten til enhetsplattformen din — Apple Push Notification service (Apple Inc.) på iOS eller Firebase Cloud Messaging (Google LLC) på Android. Push-tokenet er en teknisk rutingsidentifikator; det brukes ikke til markedsføring eller sporing på tvers av apper. For å beskytte API-et vårt mot misbruk verifiserer appen integriteten til enheten og appinstallasjonen ved hjelp av Apple App Attest (iOS) og Google Play Integrity API (Android); i forbindelse med denne kontrollen mottar Apple eller Google en teknisk attestasjonsforespørsel fra enheten din. Appen ser også jevnlig etter appoppdateringer via Expos tjeneste EAS Update, noe som teknisk innebærer at IP-adressen din overføres til Expos servere.

4. Internasjonale overføringer av opplysninger

Noen av våre databehandlere holder til utenfor Det europeiske økonomiske samarbeidsområdet (EØS). For slike overføringer til tredjeland sikrer vi beskyttelsesnivået som kreves etter artikkel 44 flg. i GDPR slik:

4.1 Google LLC og Meta Platforms Inc. – EU-US Data Privacy Framework

Google LLC og Meta Platforms Inc. er sertifisert under EU-US Data Privacy Framework (DPF), anerkjent av EU-kommisjonen ved adekvansbeslutning av 10. juli 2023 (C(2023) 4745), som også gjelder for Norge gjennom EØS-avtalen. Overføringen til USA er dermed tillatt etter artikkel 45 i GDPR. Gjeldende sertifiseringer kan kontrolleres på dataprivacyframework.gov.

4.2 Google Analytics 4 – ytterligere tekniske beskyttelsestiltak

4.3 Cloudflare Inc. – DPF og standard personvernbestemmelser

Cloudflare er også sertifisert under EU-US DPF. I tillegg er det avtalt standard personvernbestemmelser (SCC) etter artikkel 46 nr. 2 bokstav c i GDPR. Størstedelen av databehandlingen skjer via europeiske Points of Presence (PoP-er) innenfor EØS.

4.4 Hetzner Online GmbH og CookieScript – innenfor EU/EØS

Hetzner Online GmbH (Tyskland) og CookieScript (EU) behandler opplysninger utelukkende innenfor EØS. For disse databehandlerne kreves ingen særskilte garantier for overføring til tredjeland.

Apple Inc. og 650 Industries, Inc. (Expo) — mobilapp

For Shopilo-mobilappen er Apple Inc. (Apple Push Notification service, App Attest) og Google LLC (Firebase Cloud Messaging, Play Integrity) sertifisert under EU-US Data Privacy Framework (DPF); overføringer til USA er dermed tillatt etter artikkel 45 i GDPR. 650 Industries, Inc. (“Expo”, USA) behandler push-tokens og forespørsler om appoppdateringer; disse overføringene sikres gjennom standard personvernbestemmelser (SCC) etter artikkel 46 nr. 2 bokstav c i GDPR, inngått som en del av Expos databehandleravtale.

5. Informasjonskapsler og sporing

Shopilo-mobilappen setter selv ingen informasjonskapsler og inneholder ingen tredjeparts SDK-er for sporing, annonsering eller analyse. Dette avsnittet gjelder bare nettstedet.

5.1 Administrasjon av samtykke via CookieScript

Ved ditt første besøk på no.shopilo.com vises et cookie-banner fra CookieScript. Der kan du gi eller avslå samtykke for enkelte kategorier av informasjonskapsler. Preferansene dine lagres og kan når som helst trekkes tilbake eller endres via lenken «Cookie-innstillinger» i bunnteksten. Tilbaketrekkingen påvirker ikke lovligheten av behandlingen som bygget på det tidligere samtykket.

5.2 Kategorier av informasjonskapsler

Strengt nødvendige informasjonskapsler (samtykke kreves ikke, unntaket i ekomloven § 3-15): Disse er uunnværlige for driften av tjenesten, f.eks. for å lagre samtykkevalget ditt (CookieScript) eller sikre grunnleggende sikkerhetsfunksjoner (Cloudflare).

Analysekapsler (samtykke etter ekomloven § 3-15 + art. 6 nr. 1 bokstav a GDPR): Google Analytics 4 – aktiveres først etter at du har akseptert kategorien «Analyse» i cookie-banneret.

Markedsføringskapsler (samtykke etter ekomloven § 3-15 + art. 6 nr. 1 bokstav a GDPR): Meta Pixel – utelukkende aktiv når du uttrykkelig har samtykket.

5.3 Affiliate-kapsler

No.shopilo.com setter selv ingen affiliate-sporingskapsler. Når du klikker på en forhandlerlenke og besøker forhandlerens nettsted, kan forhandleren eller det aktuelle affiliate-nettverket sette informasjonskapsler på sine egne domener. Disse reguleres utelukkende av personvernerklæringen til den aktuelle forhandleren eller nettverket, ikke av denne erklæringen.

5.4 Reservasjon mot Google Analytics 4

I tillegg til samtykkeadministrasjonen via CookieScript kan du deaktivere datainnsamling fra Google Analytics 4 med Googles nettlesertillegg: tools.google.com/dlpage/gaoptout

Detaljert informasjon om alle informasjonskapsler som brukes, deres varighet og leverandører finner du i våre retningslinjer for informasjonskapsler.

6. Lagringstid

Personopplysninger slettes eller anonymiseres så snart formålet med behandlingen har falt bort og ingen lovpålagte oppbevaringsplikter er til hinder for det. Tabellen nedenfor oppsummerer fristene:

Lovpålagte oppbevaringsplikter (f.eks. skatterettslige oppbevaringsplikter etter rumensk skatterett) kan i enkelttilfeller begrunne lengre lagringstid. I slike tilfeller begrenses behandlingen til det som er lovpålagt.

7. Dine rettigheter

Som registrert har du følgende rettigheter overfor DontPayFull SRL. For å utøve rettighetene dine kontakter du [email protected]. Vi besvarer henvendelsen din innen én måned (artikkel 12 nr. 3 i GDPR).

7.1 Rettigheter etter GDPR (artikkel 15-22)

7.2 Utfyllende regler for brukere bosatt i Norge

7.3 Ingen plikt til å oppgi opplysninger

Bruk av grunnfunksjonene på no.shopilo.com krever ikke at du oppgir personopplysninger. Der bruk av bestemte funksjoner (konto, prisvarsel) krever at du oppgir opplysninger, blir du gjort oppmerksom på det ved registreringen. Konsekvensen av ikke å oppgi opplysningene er bare at den aktuelle funksjonen ikke kan brukes.

8. Tilsynsmyndigheter

Du har rett til å klage til en tilsynsmyndighet for personvern over vår behandling av personopplysningene dine (artikkel 77 i GDPR, som gjelder i Norge gjennom EØS-avtalen).

8.1 Ledende tilsynsmyndighet (one-stop-shop)

Den ansvarlige ledende tilsynsmyndigheten etter artikkel 56 i GDPR (one-stop-shop-mekanismen) er den rumenske datatilsynsmyndigheten:

8.2 Lokal tilsynsmyndighet for norske brukere

Brukere i Norge kan i tillegg henvende seg til Datatilsynet:

Datatilsynets avgjørelser kan påklages til Personvernnemnda. Retten til å klage til en tilsynsmyndighet berører ikke andre rettsmidler.

9. Kontakt og personvernhenvendelser

For alle spørsmål om personvern, utøvelse av rettighetene dine eller andre henvendelser om personvern kan du kontakte:

Vi besvarer personvernhenvendelser kostnadsfritt innen én måned (artikkel 12 nr. 3 i GDPR). Ved komplekse eller mange henvendelser kan vi forlenge fristen med ytterligere to måneder; i så fall varsler vi deg på forhånd.

9.1 Identitetskontroll ved henvendelser fra registrerte

For å beskytte opplysningene dine mot uautorisert tilgang kan vi ved henvendelser fra registrerte kreve rimelig dokumentasjon av identitet. Identifikasjonsopplysningene brukes utelukkende til å behandle henvendelsen din og slettes deretter.

9.2 Endringer i denne personvernerklæringen

Vi forbeholder oss retten til å oppdatere denne personvernerklæringen når regelverk, tekniske forhold eller tjenesten vår endres. Vesentlige endringer varsles minst 14 dager før de trer i kraft gjennom et tydelig varsel på no.shopilo.com eller, der det er mulig, per e-post til registrerte brukere. Endringene anses ikke som akseptert gjennom fortsatt bruk av tjenesten; vi vil be deg om en aktiv bekreftelse. Datoen for siste oppdatering øverst på siden justeres tilsvarende.

Ytterligere juridisk informasjon finner du i vår juridiske informasjon, i brukervilkårene og i retningslinjene for informasjonskapsler.