Personvernerklæring

1. Behandlingsansvarlig

Behandlingsansvarlig for personopplysningene som samles inn gjennom plattformen naboboden.no er TYMEX AS, registrert i Foretaksregisteret med organisasjonsnummer 937 484 275, med forretningsadresse Kvennstøa 37, 2500 Tynset. Spørsmål om personvern kan rettes til hei@naboboden.no.

2. Hvilke data vi samler inn

Vi samler inn følgende personopplysninger:

• Kontoinformasjon: Vipps-ID, navn, e-postadresse, telefonnummer og, hvis du velger å dele dem i Vipps, adresse og fødselsdato. Adresse og fødselsdato brukes til å forhåndsutfylle utleiers registrering hos Stripe. Adressen brukes også til å forhåndsutfylle leietakers fakturaadresse hos Stripe.
• Alderskontroll: Du må være minst 18 år for å bruke Naboboden. Ved hver Vipps-innlogging kontrollerer vi alderen din med fødselsdatoen fra Vipps, og vi lagrer tidspunktet da alderen sist ble bekreftet. Har du trukket tilbake samtykket til å lagre adresse og fødselsdato (punkt 4), lagrer vi bare dette tidspunktet, ikke fødselsdatoen. Viser fødselsdatoen at du er under 18 år, blir du ikke logget inn, og vi oppretter ingen konto. Uten bekreftet alder kan du ikke sende bookingforespørsler, registrere deg for utbetalinger eller publisere annonser.
• Annonseinformasjon: Adresse, bilder og beskrivelser knyttet til lagringsplasser du legger ut.
• Betalingsdata: Betalingsinformasjon behandles av Stripe. Kortnumre og fullstendige bankdetaljer lagres ikke hos Naboboden — disse håndteres av Stripe i samsvar med PCI-DSS. Vi lagrer Stripe-kunde-ID, betalingsmetode-ID, betalingsreferanser, beløp, status og refusjonsinformasjon knyttet til bookingen. Vi lagrer også hele hendelsesmeldinger fra Stripe i databasen. De kan inneholde navn, e-postadresse, telefonnummer, adresse, beløp, korttype, de fire siste sifrene i kortnummeret og betalingsstatus. Meldingene brukes til bokføring, avstemming og til å sikre at samme betalingshendelse ikke behandles flere ganger.
• Klargjøring av kortlagring: Når du åpner bookingsiden som innlogget leietaker, klargjør vi kortlagring hos Stripe og oppretter en kundeprofil på utleiers Stripe-konto hvis du ikke allerede har en der. Navn, e-postadresse, telefonnummer og eventuell adresse fra Vipps deles dermed med Stripe og utleier, som er betalingsmottaker. Dette skjer før du sender en bookingforespørsel, også hvis du ender med å ikke sende den.
• Utbetalingsopplysninger: Dersom du skal motta utbetaling som utleier, oppretter du en Stripe Connect Express-konto. Identitets- og bankkontoinformasjon (KYC) registreres direkte hos Stripe gjennom Stripes egen onboarding-flyt. For Stripe-kontoen lagrer Naboboden en referanse til Stripe-kontoen din (Stripe account ID) og status for om kontoen er klar til å motta utbetalinger.
• Skatteopplysninger: Som utleier oppgir du fødselsnummer/d-nummer for privatpersoner eller organisasjonsnummer for foretak direkte til Naboboden. Opplysningene samles inn for lovpålagt rapportering av leieinntekter til Skatteetaten som formidler, jf. skatteforvaltningsloven § 7-11. Behandlingsgrunnlaget er rettslig forpliktelse (GDPR art. 6 nr. 1 bokstav c). Numrene lagres kryptert og vises aldri i klartekst etter lagring; kun de fire siste sifrene vises, mens resten er maskert. Identifikasjonsopplysningene og opplysninger om leieinntekter rapporteres årlig til Skatteetaten. Opplysningene oppbevares så lenge rapporteringsplikten og bokføringsloven krever, minst 5 år etter siste rapportering.
• Kommunikasjon: Meldinger sendt gjennom plattformens chat-funksjon.
• Offentlig profil og vurderinger: Visningsnavnet ditt, profilbildet ditt, Vipps-verifisering, når du ble medlem og vurderingene dine vises offentlig på annonsene dine og på profilsiden din. Vurderinger du skriver, vises offentlig med visningsnavnet ditt, antall stjerner og teksten. Alle som besøker naboboden.no, kan se dette.
• Innsigelser mot kortbetalinger: Hvis en kortbetaling bestrides (chargeback), lagrer vi dokumentasjon om bookingen og betalingen, for eksempel navn, e-postadresse, bookingdetaljer, dokumentasjon av aksept og relevante meldinger. Dokumentasjonen sendes til Stripe, som videresender den til kortutstederen.
• Dokumentasjon av aksept: Når du sender en bookingforespørsel, lagrer vi tidspunkt, IP-adresse og opplysninger om nettleser (user agent), sammen med hvilke vilkårs- og provisjonsversjoner du har akseptert. Dette dokumenterer samtykket og avtalen.
• Teknisk data: IP-adresse, nettlesertype og bruksdata for å forbedre tjenesten.

3. Formål med behandlingen

Vi behandler personopplysninger for følgende formål:

• Opprette og administrere din brukerkonto.
• Kontrollere at brukere er minst 18 år, som vilkårene krever.
• Publisere og vise lagringsannonser.
• Håndtere bookinger mellom utleiere og leietakere.
• Gjennomføre kortbetalinger, utbetalinger via Stripe Connect og eventuelle refusjoner.
• Sende viktige varsler om bookinger og kontoen din.
• Forbedre plattformen basert på bruksdata.

4. Rettslig grunnlag

Vi behandler personopplysninger basert på følgende rettslige grunnlag:

• Avtale (GDPR art. 6 nr. 1 bokstav b): Konto, annonser, offentlig profil og vurderinger, bookinger, betalinger, chat og e-poster om tjenesten. Dette omfatter også klargjøring av kortlagring når du åpner bookingsiden, som et tiltak på din forespørsel før avtaleinngåelse, dokumentasjon av hvilke vilkår du har akseptert, og alderskontrollen, fordi avtalen bare kan inngås med personer over 18 år.
• Rettslig forpliktelse (GDPR art. 6 nr. 1 bokstav c): Skatterapportering som beskrevet under skatteopplysninger i punkt 2, og bokføring etter bokføringsloven, inkludert betalingsopplysninger og hendelsesmeldinger fra Stripe.
• Berettiget interesse (GDPR art. 6 nr. 1 bokstav f): Sikkerhet, forebygging av misbruk, avstemming og vern mot at samme betalingshendelse behandles flere ganger, håndtering av innsigelser mot kortbetalinger for å ivareta utleiers og Nabobodens rettskrav, samt samlet måling av bruk og ytelse for å forbedre tjenesten.
• Samtykke (GDPR art. 6 nr. 1 bokstav a): Valgfri deling av adresse og fødselsdato fra Vipps til forhåndsutfylling hos Stripe. Du kan trekke tilbake samtykket når som helst under Profil i dashbordet («Trekk tilbake samtykket og slett») eller ved å kontakte hei@naboboden.no. Da sletter vi adressen og fødselsdatoen vi har lagret, og vi lagrer dem ikke igjen ved senere Vipps-innlogginger før du selv tillater det igjen samme sted. Opplysninger som allerede er brukt til å forhåndsutfylle en registrering eller kundeprofil hos Stripe, endres ikke. Alderskontrollen bygger ikke på samtykket: fødselsdatoen leses også etter at du har trukket det tilbake, men da lagrer vi bare at alderen er bekreftet.

5. Deling med tredjeparter

Vi deler personopplysninger med følgende tredjeparter, kun i den grad det er nødvendig for å levere tjenesten eller oppfylle rettslige forpliktelser:

• Vipps MobilePay: Autentisering og identitetsverifisering. Vipps benyttes utelukkende til innlogging (Vipps Login) og henting av identitetsopplysninger fra BankID-verifisering — Vipps-ID, navn, e-post, telefonnummer og, hvis du velger å dele dem, adresse og fødselsdato. Fødselsdatoen trengs for alderskontrollen. Vipps benyttes ikke til betalingsbehandling eller refusjoner på plattformen.
• Stripe (Stripe Payments Europe Ltd., Irland): Betalingsbehandling, KYC-verifisering av utleiere via Stripe Connect Express, kortlagring, månedlige abonnementer, utbetalinger og refusjoner. Kundeprofilen din opprettes på utleiers Stripe-konto allerede ved klargjøring av kortlagring, som beskrevet i punkt 2. Overføringer til Stripe, Inc. i USA skjer under EUs standardkontraktsklausuler (SCC) og EU–US Data Privacy Framework.
• Skatteetaten: Årlig rapportering av utleieres fødselsnummer/d-nummer eller organisasjonsnummer og leieinntekter for å oppfylle vår lovpålagte rapporteringsplikt som formidler.
• Supabase: Database, lagring av bilder og brukerautentisering i EU (Frankfurt).
• Vercel: Hosting og serverfunksjoner i EU (Frankfurt). Vercel Inc. er et amerikansk selskap. Eventuell tilgang fra USA ved support, drift og telemetri er regulert av EUs standardkontraktsklausuler (SCC) og EU–US Data Privacy Framework. Vercel Web Analytics og Speed Insights gir oss samlet måling av sidevisninger og ytelse uten informasjonskapsler.
• Resend: Utsending av transaksjonsbaserte e-poster (bookingbekreftelser, varsler). Resend behandler data primært i USA under Standard Contractual Clauses. E-postmetadata (mottaker, emnefelt, leveringstidspunkt) lagres i 30 dager.
• Google Maps: Kartvisning og adressesøk. Når kartet eller adressesøket lastes, sender nettleseren din IP-adressen din til Google. Det du skriver i adressesøket, sendes også til Google. Tjenesten leveres av Google Ireland Ltd. / Google LLC i USA, med overføringer under EU–US Data Privacy Framework og EUs standardkontraktsklausuler (SCC).
• Kartverket: Når du publiserer en annonse, slår vi opp adressen i Kartverkets adresse-API for å finne posisjonen på kartet.

Vi selger aldri dine personopplysninger til tredjeparter.

6. Oppbevaring og sletting av konto

Vi oppbevarer dine personopplysninger så lenge kontoen din er aktiv og det er nødvendig for å levere tjenesten. Regnskapsmateriale — betalinger, refusjoner og saker om bestridte kortbetalinger — oppbevares i minst 5 år etter utgangen av regnskapsåret det tilhører, slik bokføringsloven krever. Deretter slettes det ved en årlig gjennomgang hver januar. Samtidig fjerner vi dokumentasjonen av aksept (IP-adresse og nettleser) fra bookinger som ble avsluttet så lenge før. Selve bookingen (hvem som leide hvilken bod, når, og referansene til betalingen hos Stripe) hører til kontohistorikken og beholdes så lenge kontoen er aktiv; se under om sletting av konto. Hendelsesmeldinger fra Stripe slettes automatisk når 5 år er gått etter utgangen av regnskapsåret meldingen ble behandlet i.

Slik sletter du kontoen: Send en forespørsel om sletting til hei@naboboden.no fra e-postadressen som er knyttet til kontoen. Vi behandler forespørselen innen 30 dager. Har du en booking som ikke er avsluttet, et abonnement som fortsatt løper, eller en åpen innsigelse mot en kortbetaling, må dette avsluttes først. Da sier vi fra om hva som gjenstår.

• Dette slettes eller anonymiseres: Navnet ditt erstattes med «Slettet bruker». E-postadresse, telefonnummer, adresse, fødselsdato, alderskontrollen, profilbilde og Vipps-ID slettes, og Vipps-verifiseringen fjernes fra profilen. Annonsene dine avpubliseres, og bildene av dem slettes. Teksten i chatmeldinger du har sendt, erstattes med «Meldingen er slettet.», også i samtalen hos den andre parten.
• Kontoen kan ikke lenger brukes: Innloggingen slettes, så du kan ikke logge inn på kontoen igjen. Logger du inn med Vipps senere, får du en ny, tom konto.
• Bookinger og betalinger beholdes: Bookinger, betalinger og refusjoner (beløp, datoer, Stripe-referanser, annonsens tittel og adresse og dokumentasjonen av at vilkårene ble akseptert) beholdes knyttet til den anonymiserte kontoen i minst 5 år etter utgangen av regnskapsåret, fordi bokføringsloven krever det (rettslig forpliktelse, GDPR art. 6 nr. 1 bokstav c). Deretter slettes de ved den årlige gjennomgangen.
• Skatteopplysninger: Har du mottatt leieinntekter gjennom Naboboden, eller leid ut med månedlig trekk som fortsatt kan bli betalt, beholdes fødselsnummer/d-nummer eller organisasjonsnummer kryptert så lenge rapporteringsplikten etter skatteforvaltningsloven § 7-11 og bokføringsloven krever (rettslig forpliktelse, GDPR art. 6 nr. 1 bokstav c). Ellers slettes det.
• Innsigelser mot kortbetalinger: Dokumentasjon i saker om bestridte kortbetalinger beholdes like lenge som regnskapsmaterialet, for å kunne fastsette, gjøre gjeldende eller forsvare rettskrav (GDPR art. 17 nr. 3 bokstav e).
• Vurderinger: Vurderinger du har skrevet eller fått, blir stående med navnet «Slettet bruker», slik at andre brukeres omdømme på plattformen fortsatt stemmer (berettiget interesse, GDPR art. 6 nr. 1 bokstav f).
• Hos Stripe: Kundeprofiler, kvitteringer og betalingsopplysninger hos Stripe, også på utleiers Stripe-konto, slettes ikke av oss. Stripe oppbevarer dem etter sine egne lovpålagte krav.

7. Dine rettigheter

I henhold til GDPR har du følgende rettigheter:

• Innsyn: Du kan be om innsyn i hvilke personopplysninger vi har om deg.
• Retting: Du kan kreve at uriktige opplysninger rettes.
• Sletting: Du kan be om at dine personopplysninger slettes. Punkt 6 beskriver hva som slettes, og hva vi må beholde.
• Begrensning (art. 18): Du kan be om at behandlingen begrenses når vilkårene for dette er oppfylt, for eksempel mens vi undersøker om opplysningene er riktige.
• Protest (art. 21): Du kan protestere mot behandling som bygger på berettiget interesse, ut fra din særlige situasjon.
• Trekke tilbake samtykke: Når behandlingen bygger på samtykke, kan du når som helst trekke tilbake samtykket. Det påvirker ikke lovligheten av behandlingen før tilbaketrekkingen.
• Dataportabilitet: Du kan få utlevert opplysninger du selv har gitt oss, og som vi behandler automatisk på grunnlag av samtykke eller avtale, i et maskinlesbart format.
• Klage: Du har rett til å klage til Datatilsynet dersom du mener at vi behandler dine personopplysninger i strid med regelverket.

For å utøve dine rettigheter, kontakt oss på hei@naboboden.no. Vi vil svare innen 30 dager.

8. Informasjonskapsler (cookies)

Naboboden bruker informasjonskapsler og lokal lagring slik:

• Nødvendige sesjonskapsler: Supabase bruker informasjonskapsler for innlogging. Disse er påkrevd for at tjenesten skal fungere.
• Vipps-innlogging: Når du logger inn med Vipps, setter vi nødvendige informasjonskapsler som bare serveren kan lese: vipps_state og vipps_nonce beskytter mot forfalskede og gjentatte innlogginger, vipps_verifier (PKCE) sikrer at innloggingen fullføres i samme nettleser, og vipps_redirect husker hvilken side du skal tilbake til (settes bare når det trengs). De slettes når innloggingen er fullført, og utløper uansett etter 15 minutter.
• Måling uten informasjonskapsler: Vercel Web Analytics og Speed Insights måler sidevisninger og ytelse uten informasjonskapsler.
• Lokal lagring: Annonseutkast lagres i localStorage og utkastbilder i IndexedDB, slik at de kan gjenopprettes etter Vipps-innlogging og betalingsoppsett. En påbegynt booking lagres i sessionStorage for å kunne fortsette etter kortbekreftelse. Disse lokale kopiene blir på enheten din.
• Google Maps: Google kan bruke egne informasjonskapsler og lokal lagring når kartet lastes.

At du har lukket meldingen om informasjonskapsler, lagres i nettleseren din (localStorage), slik at meldingen ikke vises igjen. Naboboden bruker ikke informasjonskapsler til analyse eller markedsføring, så meldingen gir ingen valg og endrer ikke hvilke kapsler vi selv setter.

Du kan administrere informasjonskapsler i nettleserens innstillinger. Merk at blokkering av nødvendige kapsler kan påvirke tjenestens funksjonalitet.

9. Kontakt

Dersom du har spørsmål om vår behandling av personopplysninger eller ønsker å utøve dine rettigheter, ta kontakt: