Personvernerklæring

Velstyrt er et verktøy for styrer i norske foreninger, herunder velforeninger, borettslag, sameier og idrettslag. Denne personvernerklæringen forklarer hvilke personopplysninger vi behandler, hvorfor vi behandler dem, og hvilke rettigheter du har. Behandlingen skjer i samsvar med personopplysningsloven og personvernforordningen (GDPR).

Behandlingsansvarlig er Velstyrt. Spørsmål om personvern kan rettes til hei@velstyrt.org.

Hvilke opplysninger vi behandler

Vi behandler to hovedkategorier av personopplysninger: opplysninger om styremedlemmer som har konto hos oss, og opplysninger om beboere og husstander som registreres av styret i tjenesten.

Styremedlemmer med konto

Når et styremedlem oppretter konto og bruker Velstyrt, behandler vi navn, e-postadresse, passord (lagret som kryptografisk hash), hvilken forening kontoen er tilknyttet, og tekniske data som IP-adresse og innloggingstidspunkt. Ved betalt abonnement behandler betalingsleverandøren vår også faktureringsopplysninger på våre vegne.

Beboere og husstander registrert av styret

Styret kan registrere kontaktopplysninger om husstander og beboere i foreningen, typisk navn, adresse, e-postadresse og telefonnummer, samt interne notater og informasjon om årsavgift. Disse personene er også registrerte hos oss selv om de ikke selv har opprettet kontoen. Det er styret i foreningen som er behandlingsansvarlig for disse opplysningene; Velstyrt er databehandler og behandler opplysningene kun etter instruks fra styret.

Innhold lagt inn i tjenesten

Møtereferater, oppgaver, notater og andre tekstfelter styret fyller inn, kan inneholde personopplysninger. Vi behandler dette innholdet for å kunne levere tjenesten, men leser det ikke rutinemessig.

Formål og rettslig grunnlag

Vi behandler personopplysninger for følgende formål, med angitt rettslig grunnlag:

Levering av tjenesten til styremedlemmet (kontohåndtering, innlogging, lagring av data): oppfyllelse av avtale, jf. GDPR art. 6 nr. 1 b.

Fakturering og regnskap ved betalt abonnement: oppfyllelse av avtale samt rettslig forpliktelse etter bokføringsloven, jf. GDPR art. 6 nr. 1 b og c.

Sikkerhet, feilsøking og forebygging av misbruk: berettiget interesse i å drifte en trygg tjeneste, jf. GDPR art. 6 nr. 1 f.

Sending av nødvendige driftsmeldinger (for eksempel om kontoendringer eller vesentlige endringer i tjenesten): berettiget interesse og oppfyllelse av avtale.

Anonymisert bruksstatistikk og maskerte sesjonsopptak for å forstå hvordan nettsiden og produktet brukes, og for å forbedre tjenesten: berettiget interesse i å utvikle og drifte Velstyrt, jf. GDPR art. 6 nr. 1 f.

Behandling av opplysninger om beboere og husstander som styret registrerer: dette skjer på grunnlag av styrets eget behandlingsgrunnlag overfor medlemmene (typisk berettiget interesse eller avtale knyttet til medlemskap i foreningen). Velstyrt fungerer her som databehandler.

Databehandlere

Vi bruker følgende underleverandører som behandler personopplysninger på våre vegne. Alle er underlagt databehandleravtaler:

• Supabase leverer autentisering og database. Data lagres i EU. Rolle: databehandler.
• Resend sender transaksjonelle e-poster fra tjenesten, som innloggingsvarsler og invitasjoner. Rolle: databehandler.
• Stripe håndterer betaling for abonnement. Rolle: databehandler.
• Vercel leverer hosting av applikasjonen og kan samle inn aggregert, anonymisert ytelses- og sidevisningsdata som del av hostingen. Rolle: databehandler.
• Umami (selvhostet på analytics.sollie.io) leverer anonymisert besøksstatistikk og maskerte sesjonsopptak. Umami er satt til moderat personvernsmaske, som betyr at innhold i alle inndatafelter maskeres i opptakene. Rolle: databehandler.

Vi overfører ikke personopplysninger til land utenfor EØS uten tilstrekkelig beskyttelsesnivå.

Informasjonskapsler (cookies)

Vi bruker informasjonskapsler som er nødvendige for at tjenesten skal fungere, først og fremst en sesjonscookie som holder deg innlogget.

For anonymisert bruksstatistikk bruker vi Umami (selvhostet). Dette kan inkludere en førsteparts informasjonskapsel for å skille besøk uten å identifisere deg personlig. For å forstå hvordan nettsiden og produktet brukes kan vi også lagre maskerte sesjonsopptak. Umami er satt til moderat personvernsmaske, som betyr at innhold i alle inndatafelter ikke fanges opp i opptakene.

Vercel kan i tillegg sette informasjonskapsler eller lignende teknologi for aggregert, anonymisert ytelsesmåling som del av hostingen.

Vi bruker ikke reklamecookies eller tredjeparts sporingsnettverk for markedsføring.

Lagringstid

Kontodata og tilhørende foreningsdata lagres så lenge abonnementet er aktivt. Når en konto slettes, fjernes personopplysningene fra våre produksjonssystemer innen 30 dager. Data kan ligge igjen i krypterte sikkerhetskopier inntil disse rullerer ut, normalt innen 90 dager.

Regnskapsopplysninger oppbevares så lenge bokføringsloven krever det, typisk fem år.

Dine rettigheter

Etter personvernforordningen har du rett til innsyn i opplysningene vi behandler om deg, retting av feil, sletting, dataportabilitet, begrensning av behandlingen og å protestere mot behandling basert på berettiget interesse. Du kan også trekke tilbake samtykke der behandlingen bygger på samtykke.

Hvis du er beboer registrert av et styre og ønsker å utøve rettighetene dine, bør du normalt kontakte styret i foreningen først, siden de er behandlingsansvarlig for disse opplysningene. Vi bistår styret ved slike henvendelser.

Du har rett til å klage til Datatilsynet dersom du mener behandlingen er i strid med personvernregelverket.

Kontakt

Henvendelser om personvern sendes til hei@velstyrt.org. Vi svarer så raskt vi kan, og innen én måned i henhold til GDPR.