Personvern

1. Introduksjon og omfang

Denne personvernerklæringen («Erklæringen») beskriver hvordan Sportsbutikk.net («vi», «oss», «vår») behandler personopplysninger som samles inn gjennom nettsiden sportsbutikk.net og tilhørende underdomener (sammen «Nettsiden» eller «Tjenesten»).

Vi tar personvern på alvor og forplikter oss til å beskytte dine personopplysninger i samsvar med EUs personvernforordning (GDPR), Personopplysningsloven og annen gjeldende personvernlovgivning. Vi behandler personopplysninger lovlig, rettferdig og transparent, og kun til spesifikke, angitte formål.

Erklæringen gjelder for alle besøkende, brukere og kunder som tilgjør Nettsiden fra Norge, EØS og andre jurisdiksjoner. Ved å bruke Nettsiden godtar du behandlingen beskrevet her. Vi oppdaterer Erklæringen ved behov for å reflektere endringer i praksis, nye tjenester eller lovendringer.

2. Behandlingsansvarlig

Behandlingsansvarlig for personopplysninger som samles inn og behandles via Nettsiden er:

Som behandlingsansvarlig har vi ansvar for å sikre at behandlingen oppfyller personvernlovgivningen, innhente nødvendig juridisk grunnlag og håndtere forespørsler fra den registrerte (deg) om dine rettigheter.

3. Definisjoner

Personopplysninger betyr ethvert informasjon som direkte eller indirekte kan knyttes til en identifisert eller identifiserbar fysisk person (GDPR artikkel 4(1)). Dette inkluderer blant annet navn, e-postadresse, IP-adresse, enhetsidentifikatorer og bruksdata som kan føre tilbake til deg.

Behandling betyr enhver operasjon eller sett av operasjoner som utføres på personopplysninger, som innsamling, registrering, organisering, lagring, tilpasning, henting, innsyn, bruk, videreformidling, spredning eller på annen måte tilgjengeliggjøring, sammenstilling, begrensning, sletting eller destruksjon (GDPR artikkel 4(2)).

Behandlingsansvarlig er den som avgjør formålet med og midlene for behandlingen (GDPR artikkel 4(7)).

Databehandler er den som behandler personopplysninger på vegne av behandlingsansvarlig (GDPR artikkel 4(8)).

Den registrerte er den fysiske personen som personopplysningene gjelder.

4. Hvilke personopplysninger samler vi inn?

Vi samler inn personopplysninger kun når det er nødvendig for å levere Tjenesten, oppfylle våre forpliktelser eller når du gir oss informasjon frivillig. Vi bruker prinsippet om dataminimering – vi samler bare det vi faktisk trenger.

4.1 Data du oppgir aktivt

• Kontaktskjema: Navn, e-postadresse og melding når du sender henvendelser via kontakt-skjemaet. Vi bruker disse kun til å svare på din henvendelse.
• Nyhetsbrev (ved aktivering): E-postadresse for å sende deg oppdateringer, tilbud eller nyheter. Samtykke kreves før innsamling.

4.2 Data som samles inn automatisk

• Tekniske data: IP-adresse, nettlesertype, operativsystem, enhetsinformasjon, referrerende nettsted (Referer), URL-sidestier og tidsstempler ved besøk.
• Sesjons- og bruksdata: Klikk på produktlenker, besøkte sider, varighet på besøk, rekkefølge på bruk for å forbedre tjenesten og måle effekt av affiliate-samarbeid.
• Cookies og lignende teknologier: Se vår cookieerklæring for detaljert oversikt over cookies, localStorage og sessionStorage.

4.3 Server-side logging og IP-hashing

Ved klikk på produktlenker til våre samarbeidspartnere logger vi klikk på serversiden for å måle effekt og forhindre misbruk. Vi lagrer ikke rå IP-adresser. IP-adressen hashes med SHA-256 og et hemmelig salt før lagring, slik at dataene ikke kan gjengis til din person. Hashet IP brukes kun til å beregne unike klikk og oppdage avvik.

4.4 Data vi ikke samler inn

Vi samler ikke bevisst inn særlige kategorier personopplysninger (GDPR artikkel 9), som helsedata, etniske opprinnelse, politiske meninger, religionsutøvelse eller biometrisk data. Vi ber ikke om fødselsnummer, kredittkortnummer eller andre sensitive opplysninger via Nettsiden.

5. Formål med behandlingen og juridisk grunnlag

Behandlingen er basert på ett eller flere av følgende juridiske grunnlag i henhold til GDPR artikkel 6:

• (a) Samtykke – du har gitt uttrykkelig samtykke til behandlingen
• (b) Kontraktsutførelse – behandlingen er nødvendig for å oppfylle en avtale du er part i
• (c) Lovpålagt forpliktelse – behandlingen er nødvendig for å oppfylle lovpålagte forpliktelser (f.eks. bokføring, skatt)
• (f) Berettiget interesse – behandlingen er nødvendig for våre berettigede interesser (f.eks. drift av nettsiden, sikkerhet, forbedring av tjenesten), med forbehold om at dine interesser ikke oppveier dette

Behandlingsaktivitetstabell

Oversikten under beskriver våre hovedbehandlingsaktiviteter, formål, juridiske grunnlag og oppbevaringstider, i tråd med GDPR artikkel 30 (behandlingsprotokoll).

6. Databehandlere og mottakere av personopplysninger

Vi deler ikke personopplysninger med tredjeparter for markedsføring uten samtykke. Vi bruker imidlertid leverandører som behandler data på våre vegne (databehandlere). Disse er kontraktsfestet til å kun behandle data i tråd med våre instruksjoner og personvernlovgivningen.

• Supabase: Database og eventuell autentisering. Data lagres i EU (e.g. Frankfurt). Supabase inngår Data Processing Agreement (DPA) i henhold til GDPR.
• Vercel (eller tilsvarende host): Hosting, CDN og serverless-funksjoner. Tjenesten kan logge IP-adresser og tekniske data for drift og sikkerhet. Data behandles i EU/USA med passende sikring (se § 8).
• Adtraction: Affiliate-nettverk for sporing av klikk og konverteringer. Adtraction kan motta cookies og enhetsdata i sin rolle som egen behandlingsansvarlig i noen tilfeller. Les Adtractions personvernregler.
• E-posttjenester: Ved bruk av e-posttjenester for henvendelser eller nyhetsbrev. Leverandører velges med hensyn til personvern og DPA.

Vi selger ikke, bytter ikke eller utleier personopplysninger til tredjeparter for markedsføringsformål.

7. Internasjonale overføringer

Enkelte databehandlere kan ha servere eller behandling utenfor EØS (f.eks. USA). I slike tilfeller sikrer vi at overføringene skjer i tråd med GDPR artikkel 44–50, blant annet gjennom:

• Kommisjonens tilslutningsbeslutninger (tilstrekkelighetserklæringer) for tredjeland
• Standardkontraktsklausuler (SCC) godkjent av EU-kommisjonen
• Binding Corporate Rules (BCR) hvor aktuelt
• EU-US Data Privacy Framework eller tilsvarende supplerende tiltak

Du kan be om informasjon om hvilke garantier som benyttes for en bestemt overføring ved å ta kontakt med oss.

8. Oppbevaring og sletting

Vi oppbevarer personopplysninger ikke lenger enn nødvendig for formålet de ble samlet inn for. Oppbevaringstid varierer etter behandlingsaktivitet (se tabellen i § 5). Etter utløp slettes eller anonymiseres data på en sikker måte.

Ved slettingsforespørsler (se § 11) sletter vi personopplysninger innen rimelig tid, med unntak når lov krever eller tillater lengre oppbevaring (f.eks. bokføringsloven).

9. Sikkerhet og konfidensialitet

Vi har implementert tekniske og organisatoriske tiltak for å beskytte personopplysninger mot uønsket tilgang, tap, endring eller destruksjon, i tråd med GDPR artikkel 32:

• Pseudonymisering og kryptering: IP-adresser hashes før lagring; sensitiv data krypteres ved overføring (TLS/HTTPS).
• Tilgjengelighet og integritet: Tilgang begrenses til personer med behov; passord og API-nøkler håndteres sikkert.
• Databehandleravtaler: Vi inngår DPA med databehandlere som beskriver sikkerhetskrav og subprosessorer.
• Oppdateringer og patching: Systemer holdes oppdatert for å redusere sårbarheter.
• Bevisstgjøring: Behandlingen gjennomgås ved behov for å sikre at tiltakene er tilstrekkelige.

Ved databrud som sannsynligvis medfører høy risiko for dine rettigheter og friheter, vil vi varsle Datatilsynet innen 72 timer og deg uten ugrunnet opphold, i henhold til GDPR artikkel 33–34.

10. Automatiserte avgjørelser og profilering

Vi bruker ikke fullt automatiserte avgjørelser som har juridiske virkninger eller tilsvarende vesentlig innvirkning på deg (GDPR artikkel 22). Vi driver ikke systematisk profilering for å bygge brukerprofiler som brukes til individuelle avgjørelser.

Affiliate- og analytikkdata brukes til aggregerte statistikk og forbedring av tjenesten, ikke til individualisert reklame eller automatiserte beslutninger om deg som person.

11. Dine rettigheter

I henhold til GDPR og Personopplysningsloven har du følgende rettigheter:

• Rett til innsyn (art. 15): Du kan be om en kopi av de personopplysninger vi har om deg. Vi svarer innen 30 dager.
• Rett til retting (art. 16): Du kan be om at feilaktige eller ufullstendige personopplysninger rettes.
• Rett til sletting – «retten til å bli glemt» (art. 17): Du kan be om sletting av personopplysninger, med visse unntak (f.eks. lovpålagt oppbevaring).
• Rett til begrensning av behandling (art. 18): Du kan be om at behandlingen begrenses under visse forhold, f.eks. mens du bestrider nøyaktigheten av data.
• Rett til dataportabilitet (art. 20): Du kan be om å motta personopplysninger du har gitt oss i et strukturert, vanlig brukt og maskinlesbart format (f.eks. JSON, CSV).
• Rett til å protestere (art. 21): Du kan protestere mot behandling basert på berettiget interesse. Vi vil da stoppe behandlingen med mindre vi har overveiende berettigede grunner.
• Rett til å tilbakekalle samtykke (art. 7(3)): Når behandlingen er basert på samtykke, kan du når som helst tilbakekalle det. Tilbakekalling påvirker ikke lovligheten av behandling før tilbakekalling.
• Rett til å protestere mot automatiserte avgjørelser og profilering (art. 22):Du kan kreve menneskelig inngrep og uttrykke din synspunkt.

For å utøve rettighetene dine, send en forespørsel via kontaktskjemaet. Oppgi emne som «Personvern» eller «GDPR-forespørsel» og beskriv hva du ønsker. Vi kan be deg om å verifisere identiteten din for å beskytte andre fra uautorisert tilgang til personopplysninger.

Vi svarer uten ugrunnet opphold og senest innen 30 dager. Ved kompleksitet kan vi forlenge med inntil 60 dager og varsle deg om dette.

12. Klage til tilsynsmyndighet

Du har rett til å klage til Datatilsynet dersom du mener at behandlingen av dine personopplysninger er i strid med personvernlovgivningen:

Vi oppfordrer deg til å ta kontakt med oss først slik at vi kan prøve å løse eventuelle uenigheter.

13. Barn

Nettsiden er ikke rettet mot barn under 16 år. Vi samler ikke bevisst inn personopplysninger fra barn uten foreldres eller verges samtykke. Hvis du oppdager at et barn har gitt oss personopplysninger uten slikt samtykke, vennligst kontakt oss slik at vi kan slette informasjonen.

14. Endringer i denne Erklæringen

Vi kan oppdatere denne Erklæringen ved endringer i vår praksis, nye tjenester, lovendringer eller revisjoner. Vi angir «Sist oppdatert»-datoen øverst i dokumentet.

Ved vesentlige endringer vil vi varsle deg via en tydelig melding på Nettsiden eller per e-post der det er relevant. Vi oppfordrer deg til å lese Erklæringen jevnlig. Fortsatt bruk av Tjenesten etter at endringen trer i kraft innebærer aksept av den oppdaterte Erklæringen.

15. Kontakt oss

For spørsmål om personvern, denne Erklæringen eller for å utøve dine rettigheter:

• Bruk vår kontaktside og velg emne «Personvern» eller «GDPR-forespørsel»
• Behandlingsansvarlig: Deles Are Terjesen, org.nr. 925 992 720, Ørland, Norge

Vi tar alle forespørsler på alvor og svarer innen rimelig tid.