Personvernerklæring

1. Om denne erklæringen

Denne erklæringen forklarer hva vi samler inn, hvorfor, hvilket rettslig grunnlag vi har, hvor lenge vi lagrer det, og hvilke rettigheter du har.

1.1 Hvem som er behandlingsansvarlig

Gründerfabrikken AS (org.nr. 934 053 044) eier, utvikler og drifter Julenisse.no, og er behandlingsansvarlig for hele plattformen: kontoer, bookinger, aktørprofiler, meldinger, anmeldelser, tvister, bookingbetaling, annonsørdata og driftslogger. Det gjelder enten du bestiller en nisse eller kjøper annonseplass — det er samme selskap du inngår avtale med, og samme selskap som fakturerer deg. Fram til 10. august 2026 sto Vic&Thom AS som behandlingsansvarlig for kunde- og kreatørdata. Selskapet er nå én av aktørene på plattformen, og er behandlingsansvarlig bare for opplysningene i sine egne oppdrag — som enhver annen aktør. Oversikten under viser hvem som svarer for hver enkelt behandling.

1.2 Behandlingsansvar etter strukturendringen 10. august 2026

Julenisse.no eies og drives nå av Gründerfabrikken AS alene. Selskapet bestemmer formål og midler for plattformen, og er behandlingsansvarlig for den. Vic&Thom AS er én av aktørene på plattformen og behandler kundeopplysninger i egne oppdrag på samme grunnlag som enhver annen aktør. Med bare én som bestemmer over plattformen faller grunnlaget for felles behandlingsansvar etter GDPR art. 26 bort. Konklusjonen bør bekreftes av jurist før den framstilles som endelig, siden selskapene har samme eier.

Erklæringen er generert direkte fra vår behandlingsprotokoll etter personvernforordningen (GDPR) artikkel 30. Det betyr at oversikten under er den samme som den vi selv styrer etter internt — ikke en forenklet versjon.

2. Hva vi behandler, og hvorfor

Tabellene under viser hver behandling vi gjør, ett punkt av gangen. Lagringstiden er ulik for hvert formål — det er derfor den står oppført per behandling og ikke som én felles frist.

Vi selger aldri personopplysninger, og vi bruker dem ikke til automatiserte avgjørelser med rettsvirkning for deg etter GDPR art. 22.

3. Databehandlere og andre mottakere

Vi bruker leverandører som behandler personopplysninger på våre vegne. Alle er bundet av databehandleravtale, og ingen av dem kan bruke opplysningene til egne formål.

I tillegg deles opplysninger med den nissen eller kunden du inngår avtale med (kun det som trengs for å gjennomføre oppdraget), med vår regnskapsfører, og med offentlige myndigheter der vi er rettslig forpliktet til det.

4. Overføring til land utenfor EØS

Kjernedataene våre ligger i EU (Supabase, Frankfurt). Noen av leverandørene våre — Vercel, Stripe og Resend — har selskaper eller infrastruktur i USA, og opplysninger kan derfor bli behandlet utenfor EØS. Overføringen skjer i så fall på grunnlag av EU-kommisjonens standard personvernbestemmelser (SCC), og for de amerikanske leverandørene i tillegg EU-US Data Privacy Framework. Du kan be om innsyn i overføringsgrunnlaget ved å kontakte oss.

5. Informasjonskapsler (cookies)

Nødvendige informasjonskapsler — innloggingssesjon, sikkerhets- og spamvern-token, og visningsvalg — settes uten samtykke. De er strengt nødvendige for tjenesten du selv har bedt om, jf. ekomloven § 3-15 andre ledd. Spamvernet på skjemaene våre kjører på våre egne servere og sender ingen data til tredjepart.

Annonser og sporingskapsler. Annonsene du ser på Markedsplassen er våre egne (Annonsetorget): de lastes fra våre servere, setter ingen informasjonskapsler og følger deg ikke videre. Vi teller hvor mange ganger en annonse er vist og klikket — som et samlet tall på kampanjen, ikke knyttet til deg.

Google AdSense er under aktivering (eierskapsmeta google-adsense-account, manuelle plasser i kode). Vi laster adsbygoogle.js kun når funksjonen er skrudd på i drift (NEXT_PUBLIC_ADSENSE_ENABLED) og du har gitt samtykke via Google Funding Choices (CMP) / Consent Mode. Uten samtykke lastes ikke scriptet, og det settes ingen annonsecookies. Betalte magasinartikler bærer aldri AdSense eller andres reklame. Google Analytics er ikke installert. Se også docs/ADSENSE-PLASSERINGER.md i kildekoden.

Besøksstatistikk uten cookies. Vi bruker Vercel Web Analytics for å se aggregert trafikk (sidevisninger, land, referrere). Tjenesten setter ikke informasjonskapsler; besøkende identifiseres med en hash som nullstilles hver dag. Behandlingen er beskrevet under «Nettstedsanalyse» i oversikten over, med rettslig grunnlag i GDPR art. 6 (1) f.

6. Dine rettigheter

Du har følgende rettigheter etter personvernforordningen:

Du bruker rettighetene dine ved å sende inn en personvernforespørsel eller ved å skrive til julenisse@julenisse.no. Vi svarer innen 30 dager, jf. GDPR art. 12 nr. 3. Er forespørselen kompleks, kan fristen forlenges med inntil to måneder — vi gir deg i så fall beskjed innen den første måneden.

7. Sikkerhet

Data lagres kryptert hos Supabase i EU (Frankfurt). All trafikk går over HTTPS. Innlogging beskyttes med moderne autentisering, og vi lagrer aldri passord i klartekst. Administratorhandlinger logges, slik at det er sporbart hvem som har gjort hva.

8. Endringer

Vesentlige endringer i denne erklæringen varsles registrerte brukere på e-post. Erklæringen oppdateres samtidig med behandlingsprotokollen, slik at de to alltid sier det samme.