Personvernerklæring
Sist oppdatert: 18. september 2026 · Versjon 2026-09-18
1. Behandlingsansvarlig
Fresh'n Up Studentbedrift, org.nr. 937 292 511, Høgskolen i Østfold, B R A veien 4, 1783 Halden, er behandlingsansvarlig for personopplysningene som samles inn gjennom tjenesten. Kontakt oss på kontakt@freshnup.no ved spørsmål om personvern.
2. Hva vi behandler, hvorfor og hvor lenge
| Opplysninger | Formål | Grunnlag | Lagringstid |
|---|---|---|---|
| Konto og profil (navn, e-post, mobil, fødselsdato, adresse, og kjønn hvis du oppgir det) | Levere tjenesten: pålogging, bestillinger, kommunikasjon, aldersgrense. Kjønn er frivillig, og brukes bare til å tilpasse innhold og til intern statistikk | Avtale (GDPR art. 6 nr. 1 b) | Til kontoen slettes; deretter anonymiseres kontoen |
| Bestillinger og betalinger | Gjennomføre bestilling og betaling, kvitteringer, refusjoner | Avtale (art. 6 nr. 1 b); oppbevaring av regnskapsmateriale i 5 år: rettslig plikt (art. 6 nr. 1 c, bokføringsloven) | Regnskapsmateriale i 5 år; beholdes anonymisert etter kontosletting |
| Meldinger (tekst, bilder og talemeldinger), vurderinger og innhold du publiserer | Levere meldings-, vurderings- og gallerifunksjonene | Avtale (art. 6 nr. 1 b) | Meldingstråder slettes 24 måneder etter siste aktivitet; annet innhold til du sletter det eller kontoen |
| E-post- og SMS-utsendinger | Bekreftelser, engangskoder og varsler | Avtale (art. 6 nr. 1 b) | E-postlogg 180 dager; SMS-logg (mottakernummer og leveringsstatus, aldri innholdet) 180 dager |
| Enhets- og appinformasjon (plattform, appversjon, enhetsmodell og OS-versjon) | Kundestøtte og feilsøking: vite hvilken app-versjon og enhet en henvendelse gjelder | Berettiget interesse (art. 6 nr. 1 f) | Én oppføring per plattform, overskrives ved neste app-start; slettes med kontoen |
| Supporthenvendelser og saksnotater | Kundestøtte, klagebehandling og dokumentasjon | Avtale (art. 6 nr. 1 b) og berettiget interesse (art. 6 nr. 1 f) | Så lenge det er nødvendig for saken og for å dokumentere behandlingen av den |
| Feed-logg (hvilke innlegg vi viste deg, i hvilken rekkefølge og hva du trykket på) | Rangere feeden og måle om det den viser fører til bestillinger | Berettiget interesse (art. 6 nr. 1 f) | Knyttet til deg eller økten i 90 dager, deretter anonymisert |
| Venteliste og betatesting for Android-appen (Gmail-adressen du oppgir) | Invitere deg til Android-appen gjennom Google Plays testliste | Tiltak du har bedt om før en avtale (art. 6 nr. 1 b) | Venteliste uten konto: slettes når appen er ute for alle på Google Play, og senest 12 måneder etter påmelding. Fra innstillingene i appen: slettes med kontoen |
| Sikkerhets- og misbrukslogger (hendelser, hashet IP) | Drift, sikkerhet, misbruksforebygging, dokumentasjon av samtykker | Berettiget interesse (art. 6 nr. 1 f): interesseavveining er dokumentert | Besøksdata 90 dager, e-postlogger 180 dager, revisjonslogg med hashet IP |
| Kampanje- og verveattribusjon (hvilken lenke eller kode du kom fra) | Knytte registrering eller bestilling til riktig kampanje eller verver | Berettiget interesse (art. 6 nr. 1 f) | Kampanjeklikk 90 dager; koden på enheten din i inntil 30 dager |
| Kommersiell bruksanalyse (trenddata): engasjement i feeden, søk i behandlerkatalogen (inkludert søketeksten) og produktinteresse | Forstå trender og forbedre hva feeden og søket viser deg først; selges kun som aggregert, anonymisert statistikk, aldri enkeltsøk. Krever fylte 18 år | Uttrykkelig samtykke (art. 6 nr. 1 a): frivillig, kan trekkes når som helst | Pseudonymisert; slettes eller anonymiseres fullstendig når samtykket trekkes |
| Markedsføring på e-post og SMS (tilbud, nyheter og tips) | Sende deg markedsføring du selv har bedt om | Samtykke (art. 6 nr. 1 a), jf. markedsføringsloven § 15: frivillig, gis separat fra vilkårene og kan trekkes når som helst | Til du trekker samtykket; selve valget dokumenteres så lenge kontoen finnes |
For behandlere behandler vi i tillegg profil-, tjeneste- og utbetalingsinformasjon (avtalegrunnlag). Vi behandler ingen særlige kategorier av personopplysninger og treffer ingen avgjørelser med rettsvirkning basert utelukkende på automatisert behandling. Opplysningene du oppgir ved registrering er nødvendige for å opprette konto; uten dem kan vi ikke levere tjenesten.
Velger du å logge inn med Vipps, mottar vi navn, mobilnummer, e-postadresse, fødselsdato, adresse og kjønn fra Vipps MobilePay, basert på det du godkjenner i Vipps-appen. Vi bruker opplysningene til å opprette kontoen din eller logge deg inn (avtale, art. 6 nr. 1 b); e-postadressen og mobilnummeret regnes da som bekreftet. Sier du samtidig ja til markedsføring på samtykkeskjermen i Vipps, registreres det som ditt markedsføringssamtykke hos oss, og du kan trekke det når som helst i innstillingene. Vi lagrer også en identifikator fra Vipps som knytter kontoen din til Vipps-innloggingen. Mangler kontoen din noen av opplysningene vi mottar fra Vipps, for eksempel fødselsdato eller adresse, fylles de inn; opplysninger du allerede har registrert, endres ikke. Vipps MobilePay AS er selvstendig behandlingsansvarlig for behandlingen som skjer i Vipps-tjenesten, se Vipps' personvernerklæring.
Velger du å logge inn med Google eller Apple, mottar vi navn og e-postadresse fra innloggingstjenesten, sammen med en identifikator som knytter kontoen din til innloggingen; e-postadressen regnes da som bekreftet. Fra Apple kan e-postadressen være en skjult videresendingsadresse Apple oppretter for deg. Google og Apple er selvstendig behandlingsansvarlige for behandlingen som skjer i sine innloggingstjenester, se Googles personvernerklæring og Apples personvernerklæring.
3. Trenddata: hva vi selger og ikke selger
Med ditt uttrykkelige samtykke samler vi pseudonymisert bruksdata (hva som vises og likes i feeden, hva du søker etter i behandlerkatalogen og hvilke produkter du ser nærmere på, i tillegg til hva som bestilles) for å lage trendstatistikk, for eksempel «bestillinger av hårklipp i Halden økte i juni». Det vi eventuelt selger til tredjeparter er utelukkende aggregert og anonymisert statistikk som ikke kan knyttes til deg; statistikk publiseres bare for grupper som er store nok til at ingen enkeltperson kan gjenkjennes. Vi selger aldri opplysninger om enkeltpersoner. Samtykket er frivillig, gis separat (aldri som del av vilkårene) og kan trekkes når som helst i innstillingene. Da slettes eller anonymiseres de innsamlede hendelsene dine fullstendig.
4. Mottakere og overføring til tredjeland
Vi deler kun det som er nødvendig med våre databehandlere og tjenesteleverandører:
| Leverandør | Hva de gjør for oss | Data |
|---|---|---|
| Stripe | Betaling og utbetaling. Stripe er også selvstendig behandlingsansvarlig for sin lovpålagte kundekontroll, se Stripes personvernerklæring | Betalings- og utbetalingsopplysninger |
| Amazon Web Services | E-postutsending (Amazon SES) | E-postadresse og innholdet i e-posten |
| Resend | E-postutsending (reserveløsning) | E-postadresse og innholdet i e-posten |
| Twilio | SMS-utsending (engangskoder og varsler) | Mobilnummer og meldingstekst |
| Cloudflare | Medielagring, CDN og krypterte sikkerhetskopier av databasen | Opplastede medier; sikkerhetskopiene omfatter databasen |
| Designblokk Opti | Maskinoversettelse av innhold, meldinger og varsler | Teksten som oversettes |
| Anthropic | KI-assistent som hjelper administrasjonen og kundestøtten med å finne informasjon og formulere svar | Opplysninger assistenten trenger i den konkrete saken, for eksempel navn, kontaktinformasjon, bestillings- og saksinnhold |
| Push-varsler til Android og nettleser (Firebase Cloud Messaging), og testlisten på Google Play for Android-venteliste og betatesting | Enhets-token og varselinnhold; Gmail-adressen du har meldt på | |
| Apple | Push-varsler til iOS (APNs) | Enhets-token og varselinnhold |
Databehandleravtaler er inngått med alle. Enkelte leverandører behandler data i USA; overføringen er sikret med EU-U.S. Data Privacy Framework eller EUs standardkontraktsvilkår (SCC). Vi utleverer ellers ikke personopplysninger til tredjeparter, med unntak av aggregert, anonymisert statistikk som beskrevet i punkt 3. Produktinformasjon fra behandlere (ikke kundedata) kan sendes til Googles produktfeed for at produktene skal kunne finnes i søk.
Noen funksjoner henter data direkte fra enheten din hos eksterne tjenester, som da ser IP-adressen din: adressesøket bruker Kartverkets åpne adresse-API (geonorge.no), og kartvisningen henter kartfliser fra OpenStreetMap. Vi sender ingen kontoopplysninger til disse. Innlogging med Vipps skjer hos Vipps MobilePay AS som selvstendig behandlingsansvarlig; vi mottar bare opplysningene beskrevet i punkt 2 og sender ingen opplysninger tilbake til Vipps. Det samme gjelder innlogging med Google og Apple: de er selvstendig behandlingsansvarlige for sine innloggingstjenester, og vi sender ingen kontoopplysninger tilbake til dem.
5. Hva behandleren din ser
Når du bestiller hos en behandler, får behandleren se opplysningene som trengs for å levere bestillingen: navn, kontaktinformasjon, alder, by, bestillingene dine hos vedkommende, klippekort-status og vurderinger du har fått av behandlere. Behandlerens oppslag i kundeinformasjon logges, og behandleren har etter behandlervilkårene taushetsplikt og kan ikke bruke opplysningene til egen markedsføring uten ditt samtykke. Bruker behandleren kalenderabonnement (for eksempel Google- eller Apple-kalender), overføres navnet ditt og tidspunktet dit som del av avtaleoppføringen.
6. Informasjonskapsler og lagring på enheten
Hva som lagres og leses på enheten din, og hvilke valg du har, er beskrevet i oversikten over informasjonskapsler og lokal lagring. Nødvendig lagring (pålogging, sikkerhet, dine egne valg) krever ikke samtykke; all annen lagring skjer først etter at du har samtykket, og du kan ombestemme deg når som helst.
7. Dine rettigheter
Du har rett til innsyn, retting, sletting, begrensning, dataportabilitet og til å protestere mot behandling basert på berettiget interesse. Innsynsretten omfatter også interne notater og merknader vi har om deg, med de begrensningene som følger av personopplysningsloven. Samtykker kan trekkes når som helst, like enkelt som de ble gitt, uten at det påvirker lovligheten av behandlingen frem til da. Du kan selv laste ned alle dataene dine (maskinlesbart format) og slette kontoen fra kontoinnstillingene (se også slett konto) eller kontakte oss på kontakt@freshnup.no. Vi svarer senest innen én måned. Du har også rett til å klage til Datatilsynet (datatilsynet.no).
Ved sletting fjernes eller anonymiseres opplysningene dine. Bestillings- og betalingshistorikk vi må oppbevare etter bokføringsloven beholdes i anonymisert form.
8. Barn og unge
Fresh'n Up har 15-årsgrense (et avtalevilkår, se vilkårene punkt 2). Er du under 18, anbefaler vi at du leser denne siden sammen med en voksen. Kort fortalt: vi bruker opplysningene dine til å levere tjenesten du har bedt om, vi selger aldri opplysninger om deg som person, og du kan alltid si nei til (eller angre på) analyse-samtykket uten at tjenesten blir dårligere.
9. Endringer
Vesentlige endringer i denne erklæringen varsles i tjenesten før de trer i kraft. Denne versjonen gjelder fra 18. september 2026.