Personvernerklæring

Eggedal Turlag tar personvernet ditt på alvor. Denne erklæringen beskriver hvilke personopplysninger vi samler inn om deg, hvorfor vi gjør det, og hvilke rettigheter du har.

1. Behandlingsansvarlig

Styreleder er ansvarlig for behandlingen av personopplysninger.

2. Hvilke personopplysninger samler vi inn?

2.1 Når du blir medlem

• Navn (fornavn og etternavn)
• E-postadresse
• Telefonnummer (valgfritt)
• Hytteområde (valgfritt)
• Familiemedlemmer (kun ved familiemedlemskap)

2.2 Når du betaler

Betalingsinformasjon behandles av Stripe — vi lagrer ikke kortdata selv. Vi lagrer kun en referanse til transaksjonen og hva du har betalt for.

2.3 Når du bruker nettsiden

• IP-adresse (kun ved bruk av kontaktskjema, slettes etter 30 dager)
• Nettlesertype (kun ved bruk av kontaktskjema, slettes etter 30 dager)
• Innloggingstidspunkt (audit-logg, slettes etter 12 måneder)

2.4 Når du handler i butikken

• Navn, leveringsadresse, kontaktinfo
• Ordrehistorikk (hva du har kjøpt, beløp, status)

2.5 Når du melder deg på SMS-varsling

• Mobilnummer (lagres normalisert)
• Tidspunkt for samtykke
• Historikk over sendte SMS (innhold slettes etter 30 dager, øvrig metadata beholdes for fakturasjekk)

3. Hvorfor samler vi inn dette?

Formål	Rettslig grunnlag
Føre medlemsregister	Avtale (medlemskap)
Sende ut medlemskommunikasjon	Berettiget interesse
Behandle ordrer i nettbutikken	Avtale (kjøp)
Sende ut løypemeldinger	Berettiget interesse
Sende ut SMS-varslinger	Samtykke (kan trekkes når som helst)
Sende nyhetsbrev til påmeldte uten medlemskap (e-postadresse)	Samtykke, bekreftet via lenke i e-post (kan trekkes når som helst)
Svare på henvendelser	Berettiget interesse
Forebygge svindel og misbruk	Berettiget interesse
Oppfylle regnskapsplikt	Lovpålagt

4. Hvor lenge oppbevarer vi dataene?

Datatype	Oppbevaring
Aktivt medlemskap	Mens du er medlem + 24 måneder etter
Ordrehistorikk	5 år (regnskapsplikt)
Kontaktmeldinger	12 måneder
IP-adresser fra kontaktskjema	30 dager
SMS-meldinger (innhold)	30 dager
Påmelding til nyhetsbrev	Til du melder deg av. Påmeldinger som ikke bekreftes, slettes etter 7 dager
Avmeldte e-poster	Permanent (for å sikre at du forblir avmeldt)
Audit-logg	12 måneder

Du kan be om sletting tidligere ved å kontakte oss — se rettighetene dine nedenfor.

5. Hvem deler vi dataene med?

Vi deler IKKE dine data med tredjeparter for markedsføring. Vi bruker imidlertid følgende databehandlere:

Tjeneste	Hva de gjør	Hvor de er
Vercel	Hoster nettsiden og teller besøk anonymt	USA + EU
Vipps MobilePay	Innlogging og betaling med Vipps	Norge
Supabase	Database og innlogging	EU (Frankfurt)
Stripe	Betalingsbehandling	USA + EU
Resend	E-postutsending	USA + EU
Sveve	SMS-utsending	Norge

Vi har inngått databehandleravtaler med disse leverandørene. For amerikanske selskaper overføres data under EU-US Data Privacy Framework, som sikrer beskyttelse på samme nivå som i EU.

6. Dine rettigheter

Du har følgende rettigheter etter GDPR:

Rett til innsyn

Du kan be om kopi av alle personopplysninger vi har om deg. Logg inn på Min side og klikk "Last ned mine data".

Rett til retting

Hvis du oppdager feil i dine opplysninger, kan du selv rette dem på Min side, eller kontakte oss.

Rett til sletting

Du kan be om at alle dine personopplysninger slettes. Logg inn på Min side og klikk "Slett kontoen min". NB: Vi må beholde noen data for å oppfylle regnskapsplikten — ordrehistorikk slettes ikke før etter 5 år.

Rett til dataportabilitet

Du kan få dataene dine i et maskinlesbart format (JSON) som du kan ta med til en annen tjeneste.

Rett til å trekke samtykke

Hvis vi behandler dine data basert på samtykke (f.eks. SMS-varsling), kan du trekke samtykket når som helst på Min side.

Rett til å klage

Du kan klage til Datatilsynet hvis du mener vi behandler dine data i strid med personvernregelverket.

7. Sikkerhet

• All trafikk krypteres med HTTPS/TLS
• Passord lagres som irreversible hash-er (bcrypt)
• Tilgang begrenset etter prinsippet om "minst nødvendig privilegium"
• Admin-kontoer er beskyttet med tofaktor-autentisering
• Daglige backups av databasen
• Logging av administrative handlinger

8. Bruk av lokal lagring og informasjonskapsler

Vi lagrer bare det som trengs for at nettsiden skal virke:

• Innlogging: når du logger inn, lagres en innloggingsnøkkel i nettleseren din (localStorage), så du forblir innlogget.
• Innlogging med Vipps: en kortlivet informasjonskapsel holder rede på innloggingen mens du går via Vipps. Den slettes når innloggingen er ferdig.

Dette er nødvendig for tjenesten du ber om, og krever derfor ikke samtykke. Vi bruker ikke informasjonskapsler for sporing, statistikk eller annonser, verken egne eller fra Google, Facebook eller andre.

Besøksstatistikk: vi teller besøk med Vercel Web Analytics for å se hvilke sider som brukes. Det brukes ingen informasjonskapsler, ingenting lagres på enheten din, og vi kan ikke se hvem du er. Besøk telles med en anonym kode som byttes ut hver dag.

Du kan slette dataene i nettleserinnstillingene når som helst. Da blir du logget ut.

9. Endringer i denne erklæringen

Vi kan oppdatere denne erklæringen ved behov. Større endringer varsles via e-post til medlemmene.

10. Kontakt oss