Personvernerklæring

1. Behandlingsansvarlig

Fresh'n Up Studentbedrift, org.nr. 937 292 511, Høgskolen i Østfold, B R A veien 4, 1783 Halden, er behandlingsansvarlig for personopplysningene som samles inn gjennom tjenesten. Kontakt oss på kontakt@freshnup.no ved spørsmål om personvern.

2. Hva vi behandler, hvorfor og hvor lenge

Opplysninger	Formål	Grunnlag	Lagringstid
Konto og profil (navn, e-post, mobil, fødselsdato, adresse)	Levere tjenesten: pålogging, bestillinger, kommunikasjon, aldersgrense	Avtale (GDPR art. 6 nr. 1 b)	Til kontoen slettes; deretter anonymiseres kontoen
Bestillinger og betalinger	Gjennomføre bestilling og betaling, kvitteringer, refusjoner	Avtale (art. 6 nr. 1 b); oppbevaring av regnskapsmateriale i 5 år: rettslig plikt (art. 6 nr. 1 c, bokføringsloven)	Regnskapsmateriale i 5 år; beholdes anonymisert etter kontosletting
Meldinger (tekst, bilder og talemeldinger), vurderinger og innhold du publiserer	Levere meldings-, vurderings- og gallerifunksjonene	Avtale (art. 6 nr. 1 b)	Meldingstråder slettes 24 måneder etter siste aktivitet; annet innhold til du sletter det eller kontoen
E-post- og SMS-utsendinger	Bekreftelser, engangskoder og varsler	Avtale (art. 6 nr. 1 b)	E-postlogg 180 dager; SMS-logg (mottakernummer og leveringsstatus, aldri innholdet) 180 dager
Supporthenvendelser og saksnotater	Kundestøtte, klagebehandling og dokumentasjon	Avtale (art. 6 nr. 1 b) og berettiget interesse (art. 6 nr. 1 f)	Så lenge det er nødvendig for saken og for å dokumentere behandlingen av den
Sikkerhets- og misbrukslogger (hendelser, hashet IP)	Drift, sikkerhet, misbruksforebygging, dokumentasjon av samtykker	Berettiget interesse (art. 6 nr. 1 f): interesseavveining er dokumentert	Besøksdata 90 dager, e-postlogger 180 dager, revisjonslogg med hashet IP
Kampanje- og verveattribusjon (hvilken lenke eller kode du kom fra)	Knytte registrering eller bestilling til riktig kampanje eller verver	Berettiget interesse (art. 6 nr. 1 f)	Kampanjeklikk 90 dager; koden på enheten din i inntil 30 dager
Kommersiell bruksanalyse (trenddata)	Forstå trender og forbedre feed-rangeringen; selges kun som aggregert, anonymisert statistikk. Krever fylte 18 år	Uttrykkelig samtykke (art. 6 nr. 1 a): frivillig, kan trekkes når som helst	Pseudonymisert; slettes eller anonymiseres fullstendig når samtykket trekkes

For behandlere behandler vi i tillegg profil-, tjeneste- og utbetalingsinformasjon (avtalegrunnlag). Vi behandler ingen særlige kategorier av personopplysninger og treffer ingen avgjørelser med rettsvirkning basert utelukkende på automatisert behandling. Opplysningene du oppgir ved registrering er nødvendige for å opprette konto; uten dem kan vi ikke levere tjenesten.

3. Trenddata: hva vi selger og ikke selger

Med ditt uttrykkelige samtykke samler vi pseudonymisert bruksdata (hva som vises, likes og bestilles) for å lage trendstatistikk, for eksempel «bestillinger av hårklipp i Halden økte i juni». Det vi eventuelt selger til tredjeparter er utelukkende aggregert og anonymisert statistikk som ikke kan knyttes til deg; statistikk publiseres bare for grupper som er store nok til at ingen enkeltperson kan gjenkjennes. Vi selger aldri opplysninger om enkeltpersoner. Samtykket er frivillig, gis separat (aldri som del av vilkårene) og kan trekkes når som helst i innstillingene. Da slettes eller anonymiseres de innsamlede hendelsene dine fullstendig.

4. Mottakere og overføring til tredjeland

Vi deler kun det som er nødvendig med våre databehandlere og tjenesteleverandører:

Leverandør	Hva de gjør for oss	Data
Stripe	Betaling og utbetaling. Stripe er også selvstendig behandlingsansvarlig for sin lovpålagte kundekontroll, se Stripes personvernerklæring	Betalings- og utbetalingsopplysninger
Resend	E-postutsending	E-postadresse og innholdet i e-posten
Twilio	SMS-utsending (engangskoder og varsler)	Mobilnummer og meldingstekst
Cloudflare	Medielagring, CDN og krypterte sikkerhetskopier av databasen	Opplastede medier; sikkerhetskopiene omfatter databasen
Designblokk Opti	Maskinoversettelse av innhold, meldinger og varsler	Teksten som oversettes
Anthropic	KI-assistent som hjelper administrasjonen og kundestøtten med å finne informasjon og formulere svar	Opplysninger assistenten trenger i den konkrete saken, for eksempel navn, kontaktinformasjon, bestillings- og saksinnhold
Google	Push-varsler til Android og nettleser (Firebase Cloud Messaging)	Enhets-token og varselinnhold
Apple	Push-varsler til iOS (APNs)	Enhets-token og varselinnhold

Databehandleravtaler er inngått med alle. Enkelte leverandører behandler data i USA; overføringen er sikret med EU-U.S. Data Privacy Framework eller EUs standardkontraktsvilkår (SCC). Vi utleverer ellers ikke personopplysninger til tredjeparter, med unntak av aggregert, anonymisert statistikk som beskrevet i punkt 3. Produktinformasjon fra behandlere (ikke kundedata) kan sendes til Googles produktfeed for at produktene skal kunne finnes i søk.

Noen funksjoner henter data direkte fra enheten din hos eksterne tjenester, som da ser IP-adressen din: adressesøket bruker Kartverkets åpne adresse-API (geonorge.no), og kartvisningen henter kartfliser fra OpenStreetMap. Vi sender ingen kontoopplysninger til disse.

5. Hva behandleren din ser

Når du bestiller hos en behandler, får behandleren se opplysningene som trengs for å levere bestillingen: navn, kontaktinformasjon, alder, by, bestillingene dine hos vedkommende, klippekort-status og vurderinger du har fått av behandlere. Behandlerens oppslag i kundeinformasjon logges, og behandleren har etter behandlervilkårene taushetsplikt og kan ikke bruke opplysningene til egen markedsføring uten ditt samtykke. Bruker behandleren kalenderabonnement (for eksempel Google- eller Apple-kalender), overføres navnet ditt og tidspunktet dit som del av avtaleoppføringen.

6. Informasjonskapsler og lagring på enheten

Hva som lagres og leses på enheten din, og hvilke valg du har, er beskrevet i oversikten over informasjonskapsler og lokal lagring. Nødvendig lagring (pålogging, sikkerhet, dine egne valg) krever ikke samtykke; all annen lagring skjer først etter at du har samtykket, og du kan ombestemme deg når som helst.

7. Dine rettigheter

Du har rett til innsyn, retting, sletting, begrensning, dataportabilitet og til å protestere mot behandling basert på berettiget interesse. Innsynsretten omfatter også interne notater og merknader vi har om deg, med de begrensningene som følger av personopplysningsloven. Samtykker kan trekkes når som helst, like enkelt som de ble gitt, uten at det påvirker lovligheten av behandlingen frem til da. Du kan selv laste ned alle dataene dine (maskinlesbart format) og slette kontoen fra kontoinnstillingene (se også slett konto) eller kontakte oss på kontakt@freshnup.no. Vi svarer senest innen én måned. Du har også rett til å klage til Datatilsynet (datatilsynet.no).

Ved sletting fjernes eller anonymiseres opplysningene dine. Bestillings- og betalingshistorikk vi må oppbevare etter bokføringsloven beholdes i anonymisert form.

8. Barn og unge

Fresh'n Up har 15-årsgrense (et avtalevilkår, se vilkårene punkt 2). Er du under 18, anbefaler vi at du leser denne siden sammen med en voksen. Kort fortalt: vi bruker opplysningene dine til å levere tjenesten du har bedt om, vi selger aldri opplysninger om deg som person, og du kan alltid si nei til (eller angre på) analyse-samtykket uten at tjenesten blir dårligere.

9. Endringer

Vesentlige endringer i denne erklæringen varsles i tjenesten før de trer i kraft. Denne versjonen gjelder fra 14. juli 2026.