Personvern og vilkår

Personvernerklæring

1. Behandlingsansvarlig

Behandlingsansvarlig for personopplysningene beskrevet i denne erklæringen er:

Asapp! AS
Org.nr: 935 112 397
Dybwads gate 3, 0367 Oslo
E-post: hello@asapp.tech

2. Innledning

Asapp! AS ("vi", "oss", "vår") respekterer ditt personvern og er forpliktet til å beskytte dine personopplysninger. Denne personvernerklæringen forklarer hvordan vi samler inn, bruker og beskytter dine personopplysninger når du bruker våre tjenester.

Vi tar personvern på alvor. Alle personopplysninger behandles i tråd med gjeldende lovverk, inkludert EUs personvernforordning (GDPR) og den norske personopplysningsloven.

3. Rettslig grunnlag for behandling

Vi behandler personopplysninger basert på følgende rettsgrunnlag (GDPR artikkel 6):

• Avtale (art. 6(1)(b)) – Behandling som er nødvendig for å utføre leveringstjenesten du har bestilt: kontaktinfo, adresser, betalingsdata og kommunikasjon om leveransen.
• Rettslig forpliktelse (art. 6(1)(c)) – Oppbevaring av bestillings- og betalingsdata i 5 år iht. bokføringsloven.
• Berettiget interesse (art. 6(1)(f)) – Behandling av mottakers navn, telefonnummer og adresse (mottaker er ikke part i avtalen med oss, men behandlingen er nødvendig for å gjennomføre leveransen du har bestilt), samt forbedring av tjenestene, feilsøking, sikkerhet og aggregert analyse. Du kan protestere mot slik behandling.
• Samtykke (art. 6(1)(a)) – Analyse-cookies (Google Analytics) og markedsføringscookies (HubSpot, Google Ads). Du kan trekke tilbake samtykket når som helst via cookie-innstillingene.

4. Hvilke opplysninger vi samler inn

Vi kan samle inn følgende typer personopplysninger:

• Kontaktinformasjon (navn, e-post, telefonnummer, adresse)
• Bedriftsinformasjon for avsender og mottaker (firmanavn, organisasjonsnummer)
• Leveringsinformasjon (adresser, leveringsinstruksjoner)
• Betalingsinformasjon (behandles av vår betalingsleverandør)
• Bruksinformasjon (logg over bruk av våre tjenester)
• GPS-data for levering og sporing
• Lokalt lagrede opplysninger i nettleseren (se seksjon 11 om informasjonskapsler)

5. Hvordan vi bruker opplysningene

Vi bruker dine personopplysninger til:

• Å levere og administrere våre tjenester
• Å kommunisere med deg om leveranser
• Å fakturere og håndtere betalinger
• Å forbedre våre tjenester
• Å overholde juridiske forpliktelser

6. Deling av opplysninger med tredjeparter

For å levere våre tjenester deler vi nødvendige personopplysninger med følgende tredjeparter. Vi har inngått databehandleravtaler (DPA) med alle tredjeparter som behandler personopplysninger på våre vegne, i tråd med GDPR artikkel 28.

• Oslo Taxi AS – Vår transportpartner mottar hente- og leveringsadresse, avsenders telefonnummer og eventuelle leveringsinstruksjoner for å utføre leveransen.
• Heroku (Salesforce) – Driftsplattform for ordresystemet vårt. Ordre- og leveringsopplysninger lagres kryptert i EU (Irland).
• Google Maps – Adressesøk og beregning av kjøretid. Bare adresser deles, ikke navn eller telefonnummer.
• Stripe – Vår betalingsleverandør behandler betalingsinformasjon (kortnummer, beløp). Alle betalinger krever BankID/3D Secure-verifisering. Asapp lagrer ikke kortopplysninger. Se Stripes personvernpolicy.
• LinkMobility – Mottakers telefonnummer deles for å sende SMS-varsling om leveransen, inkludert sporingslenke.
• Resend – E-postleverandør som sender ordrebekreftelser og kvitteringer til avsenders oppgitte e-postadresse.
• HubSpot – CRM-system som lagrer kontaktinformasjon (navn, e-post, telefon, bedrift) for bestillingshåndtering og kundeoppfølging. Denne CRM-bruken er basert på rettsgrunnlaget avtaleoppfyllelse (art. 6(1)(b)). HubSpot aktiveres i tillegg for markedsføring og analyse på nettsiden etter ditt samtykke (se seksjon 11).
• Digtective – Vårt annonsebyrå som mottar anonymisert konverteringsdata fra Google Ads for optimalisering av markedsføringskampanjer. Ingen direkte personopplysninger deles.
• HappyPath – Adresseoppslag for presis navigasjon til leveringssted. Ingen personopplysninger deles, kun adressesøk.
• Google Ads – Konverteringssporing via anonymiserte klikk-IDer (gclid). Aktiveres kun etter samtykke (se seksjon 11).
• Netlify – Vår hostingleverandør som distribuerer nettsiden globalt via sitt CDN-nettverk. Netlify prosesserer tilgangslogger som kan inneholde IP-adresser og bruker-agent-strenger. Data behandles i USA og EU.

Vi deler aldri personopplysninger med tredjeparter for deres egne markedsføringsformål. Deling skjer kun når det er nødvendig for å utføre tjenesten du har bestilt, eller når vi er pålagt av lov.

7. Overføring av data utenfor EU/EØS

Følgende tredjepartsleverandører kan behandle personopplysninger utenfor EU/EØS:

For leverandører sertifisert under EU-US Data Privacy Framework (DPF) skjer overføring i henhold til denne ordningen. For øvrige overføringer utenfor EU/EØS benyttes EUs standardkontraktsklausuler (SCCs) som overføringsgrunnlag, i tråd med GDPR kapittel V.

8. Oppbevaringstid

Vi oppbevarer personopplysninger kun så lenge det er nødvendig for formålet de ble samlet inn for:

• Mottakeropplysninger (mottakers navn, telefonnummer, e-post og leveringsadresse, og beskjed til sjåføren) – Anonymiseres automatisk 12 måneder etter bestillingen.
• Regnskapsopplysninger (ordrenummer, beløp, tidspunkt og opplysninger om avsender/betaler) – Oppbevares i 5 år etter levering, i tråd med bokføringsloven.
• Betalingsinformasjon – Behandles av Stripe og oppbevares ikke hos oss.
• Kontaktinformasjon for leads – Oppbevares i inntil 24 måneder etter siste kontakt, med mindre du ber om sletting.
• Markedsføringsdata (cookies) – Slettes i henhold til cookie-innstillingene dine og leverandørens retningslinjer (se cookie-tabell i seksjon 11).
• Lokalt lagret avsenderinfo – Lagres i nettleseren til du fjerner den manuelt eller sletter nettleserdata.
• Sikkerhetskopier – Slettes automatisk etter kort tid. Opplysninger som er anonymisert, forsvinner derfor også fra sikkerhetskopiene.

9. Sikkerhet

Vi implementerer hensiktsmessige tekniske og organisatoriske tiltak for å beskytte dine personopplysninger:

• All kommunikasjon mellom din nettleser og våre servere er kryptert med TLS/HTTPS
• Personopplysninger og sikkerhetskopier lagres kryptert
• Daglige sikkerhetskopier for å hindre tap av data
• Bare et fåtall ansatte har tilgang, alle med totrinnsinnlogging
• Tilgang og endringer logges
• Vi har en rutine for sikkerhetsbrudd. Ved brudd som kan gi risiko for deg, varsler vi Datatilsynet innen 72 timer, og deg direkte hvis risikoen er høy
• Tilgangskontroll med rollebasert sikkerhet på alle databasetabeller
• Hastighetsbegrensning på alle API-endepunkter for å forhindre misbruk
• Betalingsdata håndteres utelukkende av Stripe (PCI DSS-sertifisert) – vi lagrer aldri kortopplysninger
• Personopplysninger maskeres i offentlig tilgjengelige responser
• Sikkerhetshoder (X-Frame-Options, X-Content-Type-Options, Referrer-Policy) er konfigurert på alle sider

10. Dine rettigheter

I henhold til GDPR og den norske personopplysningsloven har du rett til å:

• Få innsyn i dine personopplysninger
• Rette feil i opplysningene
• Slette dine opplysninger
• Begrense behandlingen
• Protestere mot behandling
• Flytte dine data (dataportabilitet)

Vi besvarer alle henvendelser om personvern innen én måned, med mulighet for forlengelse ved komplekse saker, i tråd med GDPR artikkel 12(3). Dersom du mener at vi ikke behandler personopplysningene dine i samsvar med regelverket, har du rett til å klage til Datatilsynet (Norges uavhengige tilsynsmyndighet for personvern). Du kan kontakte Datatilsynet på www.datatilsynet.no.

11. Informasjonskapsler og lokal lagring

Vi bruker informasjonskapsler (cookies) for å sikre at nettsiden fungerer korrekt, og – etter ditt samtykke – for analyse og markedsføring. Tracking- og markedsføringsskript lastes ikke før du har gitt samtykke via vårt cookie-banner. Ingen tredjepartstjenester kontaktes før samtykke er gitt.

Oversikt over informasjonskapsler

Google Fonts: Vi bruker ikke Google Fonts. Nettsiden benytter selvhostede fonter og systemfonter, slik at ingen data overføres til Google for skriftlasting.

Du kan til enhver tid endre dine cookie-innstillinger ved å klikke på «Endre cookies» nederst på siden.

12. Personvernkonsekvenser (DPIA)

Vår nåværende behandling omfatter ikke systematisk overvåking av store områder eller spesielle kategorier personopplysninger. Vi har derfor ikke gjennomført en formell DPIA etter GDPR artikkel 35. Dersom vi senere tar i bruk behandlinger som kan innebære høy risiko for de registrertes rettigheter og friheter, vil vi gjennomføre en slik vurdering før behandlingen starter.

13. Slett lokale data

Du kan slette alle lokalt lagrede opplysninger (avsenderinfo, cookie-valg og midlertidige skjemadata) ved å klikke på knappen nedenfor. Dette påvirker ikke data som allerede er sendt til oss eller våre partnere.

14. Kontakt

Hvis du har spørsmål om vår personvernerklæring eller ønsker å utøve dine rettigheter, kan du kontakte oss på:

E-post: hello@asapp.tech
Adresse: Asapp! AS, Dybwads gate 3, 0367 Oslo

15. Shopify-appen «Asapp! Delivery»

Når en butikk installerer appen vår i Shopify, behandler vi disse opplysningene:

• Om butikken: butikkens Shopify-adresse (myshopify.com-domenet), en tilgangsnøkkel fra Shopify og butikkens Asapp!-konto og API-nøkkel. Tilgangsnøkkelen lagres kryptert.
• Om ordrer med Asapp!-levering: ordrenummer, mottakerens navn, telefonnummer, e-postadresse og leveringsadresse. Opplysningene brukes bare til å beregne pris, bestille bil og levere pakken, på samme måte som for andre nettbutikkordrer (se avsnitt 4–6).

Butikken er behandlingsansvarlig for sine kunders opplysninger. Asapp! AS er databehandler for leveringen.

Opplysningene lagres hos Heroku (Salesforce) i EU. Ved prisberegning og bestilling deles adressen med Google (adressesøk og kjøretid) og Oslo Taxi (transport), som beskrevet i avsnitt 6.

Sletting:

• Mottakeropplysningene anonymiseres uansett 12 måneder etter bestillingen (se avsnitt 8).
• Når butikken avinstallerer appen, sletter vi koblingen til butikken og tilgangsnøkkelen.
• Når Shopify ber oss slette en kundes opplysninger, anonymiserer vi mottakeropplysningene på de aktuelle ordrene.
• Når Shopify ber oss slette en butikks opplysninger, anonymiserer vi mottakeropplysningene på alle butikkens ordrer.
• Ordrenummer, pris og tidspunkt beholdes så lenge bokføringsloven krever det.

Butikker og deres kunder kan be om innsyn eller sletting ved å skrive til hello@asapp.tech.