Personvernerklæring

1. Behandlingsansvarlig

Skjld Labs AS, organisasjonsnummer 937 025 955, Langes gate 8, 3210 Sandefjord, er behandlingsansvarlig for personopplysninger som samles inn via Kursportalen (kurs.skjldlabs.com). Henvendelser om personvern sendes til [email protected].

2. Hvilke opplysninger vi samler inn

Vi samler inn følgende kategorier av personopplysninger:

• Konto- og kjøpsdata: Navn, e-postadresse og telefonnummer. Telefonnummer er påkrevd når du melder deg på et gratiskurs, og lagres på kontoen din. Oppgir du telefonnummer i Vipps-flyten, lagres det på ordren.
• Påmelding til gratiskurs: Svaret ditt på «Hva håper du å lære?», hvis du velger å fylle det ut. Feltet er valgfritt, og du bestemmer selv hva du skriver.
• Betalingsinformasjon: Vi mottar bekreftelse på fullført betaling og en referanse fra Vipps eller Stripe. Vi lagrer aldri kortnumre eller Vipps-PIN.
• Kursdata: Hvilke kurs du har kjøpt, hvilke leksjoner du har sett, quiz-resultater og fremdrift.
• Teknisk informasjon: IP-adresse, nettlesertype, enhet og operativsystem. Brukes til sikkerhet, feilsøking og misbruksforebygging.
• Logger: Tidspunkt for innlogging, sidevisninger og handlinger i kursportalen.

3. Formål med behandlingen

Vi bruker opplysningene til å:

• Levere kurs og administrere brukerkontoer
• Behandle betalinger og sende kvitteringer
• Utstede kursbevis og sertifikater
• Forbedre tjenesten og fikse feil
• Forebygge misbruk, svindel og brudd på vilkårene
• Sende driftsrelatert e-post (ordrebekreftelser, kursoppdateringer, sikkerhetsvarsler)
• Ringe deg for å følge opp gratiskurset du har meldt deg på
• Forstå hva påmeldte ønsker å lære, så vi kan gjøre kursene bedre

4. Rettslig grunnlag

Behandlingen er basert på følgende rettslige grunnlag i personvernforordningen (GDPR):

• Art. 6 nr. 1 bokstav b (avtale), for å levere kurset du har kjøpt og oppfylle vilkårene.
• Art. 6 nr. 1 bokstav c (rettslig forpliktelse), for bokføring og oppbevaring av kjøpsbevis (regnskapsloven).
• Art. 6 nr. 1 bokstav f (berettiget interesse), for sikkerhet, feilsøking og produktforbedring. Vi balanserer alltid mot dine interesser.
• Telefonnummer: Vi bruker telefonnummeret ditt til å ringe deg og følge opp gratiskurset: om du har fått sett det, hva du syntes, og om det er noe mer du vil lære. Grunnlaget er vår berettigede interesse i å følge opp deltakerne (art. 6 nr. 1 bokstav f). Vi ringer ikke privatpersoner som har reservert seg mot telefonmarkedsføring i Reservasjonsregisteret. Du kan protestere etter art. 21 eller be oss fjerne nummeret.
• Svar på «Hva håper du å lære?»: Svaret er frivillig. Vi bruker det til å forbedre kursene, og våre medarbeidere kan se det og bruke det når de følger deg opp. Vi sender det ikke til annonseplattformer. Grunnlaget er vår berettigede interesse (art. 6 nr. 1 bokstav f).

5. Lagringstid

• Kontodata og kursfremdrift: Så lenge du har en aktiv konto. Ber du oss slette kontoen din (send forespørsel til [email protected]), anonymiserer vi opplysningene dine innen 30 dager, med unntak av kjøpsdokumentasjon vi må beholde etter bokføringsloven, og utstedte kursbevis, som forblir verifiserbare.
• Kjøpsdokumentasjon (bilag): Oppbevares i 5 år etter regnskapsårets slutt, jf. bokføringsloven §13.
• Tekniske logger: Inntil 90 dager.
• E-postkommunikasjon: Inntil 24 måneder, eller lenger ved aktiv tvist.
• Telefonnummer og svar fra påmeldingsskjemaet: Så lenge du har en aktiv konto, på samme måte som resten av kontodataene. Ber du oss slette kontoen, fjernes både telefonnummeret og svaret ditt innen 30 dager. Svaret slettes selv om selve påmeldingen må bli stående av hensyn til kursbevis.

6. Dine rettigheter

Du har rett til:

• Innsyn i hvilke opplysninger vi har om deg
• Retting av uriktige opplysninger
• Sletting (med forbehold for rettslige oppbevaringsplikter)
• Begrensning av behandlingen
• Dataportabilitet. Du kan når som helst laste ned dine egne opplysninger i maskinlesbart format fra profilsiden din
• Å protestere mot behandling basert på berettiget interesse

For å utøve rettighetene, kontakt [email protected]. Du kan også klage til Datatilsynet hvis du mener vi behandler opplysningene dine i strid med regelverket.

7. Databehandlere og tredjeparter

Vi bruker følgende leverandører som behandler personopplysninger på våre vegne under databehandleravtaler:

• Vipps MobilePay AS (Norge), betalingsbehandling (Vipps)
• Stripe Payments Europe Ltd. (Irland), betalingsbehandling (kort)
• Postmark / ActiveCampaign (USA), utsending av transaksjons-e-post. Dataoverføring til USA skjer under EUs standardklausuler (SCC).
• Hetzner Online GmbH (Tyskland), hosting av applikasjon og database
• Cloudflare R2 / Bunny.net (EU), video- og filhåndtering
• LiveKit (selvhostet, EU), sanntidsvideo for live-sesjoner
• Meta Platforms Ireland Ltd. (Irland), annonsemåling via Meta Pixel og Conversions API. Se eget avsnitt nedenfor.

Stripe Payments Europe Ltd. behandler kortdataene som vår databehandler ved vanlige kjøp, men kan i tillegg opptre som selvstendig behandlingsansvarlig for personopplysninger de behandler for egne formål, for eksempel svindelovervåkning, hvitvaskingskontroll (AML/KYC) og produktutvikling. For denne behandlingen er det Stripe sin egen personvernerklæring som gjelder. Vi deler bare det kassen trenger for å gjennomføre kjøpet: kursnavn og kontaktinformasjonen du oppgir (navn, e-post og eventuelt telefonnummer).

Kassen tilbyr også Link, Stripes akselererte betalingsløsning. Betaler du med Link, opprettes en Link-konto hos Stripe med lagrede betalingsmetoder, navn, kontaktinformasjon og transaksjonshistorikk på tvers av selgere. For Link-kontoen er Stripe/Link selvstendig behandlingsansvarlig etter Link sin egen personvernerklæring; behandlingsgrunnlaget er din egen avtale med Link, og Link kan bruke transaksjonsdata til gjenkjøpstilbud og sammarkedsføring mot deg som tilbakevendende kunde. Når du betaler med Link, mottar vi navn, kontaktinformasjon, betalingsinformasjon og transaksjonsdata fra Link, og vi behandler disse som behandlingsansvarlig for kjøpet hos oss.

Link-kontoen er ikke en del av kontoen din hos oss. Forespørsler om innsyn, retting eller sletting av Link-kontoen må derfor rettes Stripe på [email protected]. Når vi sletter kontoen din hos oss, fjerner vi ikke Link-kontoen eller dataene Stripe lagrer der.

8. Informasjonskapsler

Vi bruker nødvendige informasjonskapsler for innlogging, sesjonshåndtering og CSRF-beskyttelse. Disse er strengt nødvendige og kan ikke skrus av. I tillegg setter vi analyse- og annonsemålingscookies (se neste avsnitt). Disse aktiveres kun etter at du har gitt samtykke i cookie-banneret. Innstillinger finner du i footeren.

9. Analyseverktøy og Meta Pixel

Vi bruker Meta sin Pixel-teknologi for å måle effekten av annonsering. Hashede versjoner av kontaktinformasjon (e-post, navn, telefonnummer) kan deles med Meta for å matche besøkende med Meta-brukere. Du kan kontrollere dette i innstillingene dine på Facebook/Instagram.

Pixelen suppleres av Meta sin Conversions API, der vi sender samme målingsdata server-side så ad-blockere ikke svekker statistikken. Begge metoder bruker samme samtykke som over. Sporing slås ikke på før du har samtykket. Dataoverføring til USA skjer under EUs standardklausuler (SCC) og Meta sin EU-US Data Privacy Framework-sertifisering.

10. Sikkerhet

Vi gjør passende tekniske og organisatoriske tiltak for å beskytte personopplysningene: kryptert overføring (TLS), kryptert lagring av API-nøkler og hemmeligheter, tilgangskontroll, logging og regelmessige sikkerhetskopier. Ved brudd på personopplysningssikkerheten varsler vi Datatilsynet og berørte brukere i tråd med GDPR.

11. Endringer

Vi kan oppdatere denne erklæringen. Vesentlige endringer varsles via e-post og/eller varsel i kursportalen.