Personvernerklæring for Optimalvask

Denne erklæringen forklarer hvilke personopplysninger Optimalvask behandler, hvorfor, hvem vi eventuelt deler dem med, og hvilke rettigheter du har. Den gjelder for alle som bruker tjenesten — utleiere/bedriftskunder, leietakere og besøkende som tar kontakt via nettsiden.

Erklæringen er skrevet ut fra en gjennomgang av hvordan Optimalvask faktisk er bygget og hvilke opplysninger systemet faktisk lagrer i dag — ikke en generisk mal. Der noe ikke er avklart ennå (f.eks. selskapsopplysninger eller lagringstider), står det tydelig merket som en åpen post under.

Denne erklæringen er atskilt fra salgsvilkårene, som regulerer selve kjøpet av abonnementet. Å godta salgsvilkårene er ikke det samme som å samtykke til personopplysningsbehandling — se punkt 6 om samtykke.

Hvilke opplysninger som gjelder deg avhenger av rollen din i systemet. Under er dette delt opp slik det faktisk er bygget.

3.1 For alle brukere med konto

• Navn, e-postadresse og (valgfritt) telefonnummer
• Pålogging og kontosikkerhet: e-post og passord håndteres av Supabase Auth (vår databehandler for autentisering) — vi lagrer aldri passord selv, verken i klartekst eller på annen måte
• Hvilken rolle du har (utleier, leietaker, administrator)
• Tidspunkt for kontoopprettelse og siste innlogging
• En øktnøkkel (tilgangstoken) lagres i nettleserens lokale lagring for å holde deg innlogget — se punkt 7 om dette
• Varsler du mottar i appen (tekst, tidspunkt, lest/ulest, hvilken bolig de gjelder)

3.2 For utleiere/bedriftskunder

• Kontoopplysninger som over
• Opplysninger om boligene dine: adresse, postnummer, by, boligtype, notater, bilde av boligen
• Oppgaver du oppretter, inkludert egne standardoppgaver (maler) du lagrer for gjenbruk, og din egen «boligstandard»-referanse (fritekst)
• Godkjenninger/avvisninger av oppgaver, og poeng du krediterer eller som trekkes automatisk ved forfalt frist
• Belønninger du oppretter, og innløsninger du behandler
• Innkjøp du registrerer
• Vedlikeholdsforespørsler du mottar og behandler fra leietakere
• Serviceleverandører du registrerer i systemet — navn, kontaktinformasjon, by og tjenestekategori for leverandøren (dette kan være personopplysninger om en enkeltpersonforetak-leverandør, ikke bare bedriftsinformasjon)
• Abonnementsopplysninger: hvilken plan, status, prøveperiode, og en avtale-ID fra Vipps (selve betalingskortet/kontoen din håndteres av Vipps, ikke lagret hos oss — se punkt 8)
• Meldinger du sender i den boligvise chatten eller som direktemeldinger til leietakere
• Konkurranser og guider du oppretter for boligene dine
• Utflyttingsrapporter (sjekkliste, avvik, eventuelt trekk i depositum) du registrerer for en leietaker

3.3 For leietakere

• Kontoopplysninger som over
• Hvilken bolig (og eventuelt rom/kollektiv) du er knyttet til, innflyttings- og eventuell utflyttingsdato
• Oppgaver tildelt deg, status på disse, og eventuell dokumentasjon du laster opp som bevis på utført oppgave (se punkt 4)
• Forespørsler om fristforlengelse på en oppgave
• Poeng du opptjener eller trekkes automatisk (med begrunnelse, f.eks. «forfalt frist for «Vask bad»»), og belønninger du løser inn
• Vedlikeholdsforespørsler du sender inn, inkludert bilder du legger ved
• Meldinger du sender i boligchat eller direktemeldinger
• «Jeg er usikker»-forespørsler du sender til utleier
• Hvor mye av en guide/video du har sett, og om du fullførte den
• Eventuell tid du selv logger på en oppgave
• Deltakelse i konkurranser utleier oppretter
• Utflyttingsrapporten som gjelder din bolig (se over)
• Hvis du registrerer deg via en invitasjonskode fra utleier: navn, e-post, telefon og selvvalgt passord du oppgir ved registrering

To felter i datamodellen — en «bokulturscore» på boligen og en tilsvarende score på leietakerforholdet — finnes i systemet, men brukes foreløpig ikke aktivt: de settes til en fast startverdi og endres ikke av noen funksjon i dagens versjon.

3.4 For besøkende som tar kontakt

Hvis du bruker kontaktskjemaet på «Hva er Optimalvask?»-siden, lagrer vi e-postadressen og den valgfrie meldingen din, slik at vi kan ta kontakt med deg. Denne henvendelsen sendes ikke videre på e-post automatisk — den lagres for at vi skal kunne følge den opp.

Systemet legger til rette for tre typer bildeopplasting:

• Boligbilder — utleier laster opp bilde av boligens fasade.
• Oppgavebilder — leietaker laster opp bilde som dokumentasjon på at en oppgave er utført. Disse bildene kan vise deler av hjemmet ditt.
• Vedlikeholdsbilder — leietaker laster opp bilde av en feil eller mangel som meldes til utleier.

Bildene lagres hos Supabase (se punkt 8) og er ikke offentlig tilgjengelige — kun utleieren og leietakeren til den aktuelle boligen har tilgang. Et profilbilde-felt finnes i datamodellen, men det finnes foreløpig ikke noe grensesnitt for å laste opp profilbilde, så dette samles ikke inn i praksis i dag.

Vi behandler opplysningene over for å kunne levere tjenesten du eller din utleier har inngått avtale om — administrere boliger, oppgaver, poeng, belønninger og kontakten mellom utleier og leietaker. Det rettslige grunnlaget er i all hovedsak:

• Oppfyllelse av avtale (GDPR art. 6(1)(b)) — kontoopplysninger, boliger, oppgaver, poeng, belønninger, meldinger og alt annet som er nødvendig for at tjenesten skal fungere for deg.
• Berettiget interesse (art. 6(1)(f)) — grunnleggende sikkerhetslogging, forebygging av misbruk, og oppfølging av henvendelser via kontaktskjemaet.
• Rettslig forpliktelse (art. 6(1)(c)) — dersom fakturering og regnskapsplikt blir tatt i bruk (se punkt 8 om at denne funksjonaliteten ikke er i aktiv drift ennå), vil bokføringsopplysninger behandles på dette grunnlaget.
• Samtykke (art. 6(1)(a)) — kun der dette faktisk brukes, se punkt 6.

Denne oversikten beskriver de rettslige grunnlagene som naturlig følger av hvordan systemet faktisk fungerer i dag. Den endelige, formelle vurderingen bør gjøres av [SELSKAPETS JURIDISKE RÅDGIVER] før erklæringen publiseres i produksjon.

Det meste av behandlingen i Optimalvask skjer ikke basert på samtykke, men fordi den er nødvendig for å levere tjenesten (se punkt 5). Å godta salgsvilkårene eller denne personvernerklæringen regnes derfor ikke som et samtykke til all behandling.

Det ene stedet i dagens løsning der du aktivt oppgir opplysninger utenfor en kundeforhold, er kontaktskjemaet på «Hva er Optimalvask?»-siden — der lagres opplysningene fordi du selv ber om å bli kontaktet.

Der Optimalvask i fremtiden innfører behandling som faktisk krever eksplisitt samtykke (for eksempel markedsføring på e-post), vil dette bli innhentet særskilt og kunne trekkes tilbake like enkelt som det ble gitt — ikke bundet sammen med bruksvilkårene.

Optimalvask bruker ikke analyse-cookies, markedsføringscookies eller sporingsteknologi fra tredjeparter.

For å holde deg innlogget lagrer nettleseren din en økt-/tilgangsnøkkel i lokal lagring (localStorage) — ikke i en cookie. Dette er teknisk nødvendig for at pålogging skal fungere, og fjernes når du logger ut eller sletter nettleserdata.

Siden laster inn skrifttypen «Instrument Sans» fra Google Fonts. Nettleseren din kobler seg da direkte til Googles servere, som i praksis mottar IP-adressen din som en del av den vanlige forespørselen — helt uavhengig av om du er innlogget. Dette er ikke en cookie, men er inkludert her for full åpenhet.

Vi selger aldri personopplysningene dine. Følgende mottar eller behandler opplysninger på våre vegne, i den grad funksjonen faktisk er i bruk:

• Supabase — leverandøren som drifter database, pålogging og fillagring for hele tjenesten. Praktisk talt alle opplysningene beskrevet over ligger hos Supabase som vår databehandler.
• Vipps MobilePay — behandler selve betalingen når en utleier tegner abonnement. Vi lagrer kun en avtale-/transaksjonsreferanse fra Vipps, aldri kortnummer eller kontonummer.
• Lovables e-posttjeneste — infrastrukturen for utsending av kvitterings-/fakturaepost er bygget inn i koden, men er per i dag ikke i aktiv drift (se merknad under). Blir den satt i drift, vil kvitteringer/fakturaer sendes gjennom denne tjenesten til den e-postadressen som er registrert for fakturering.
• Google Fonts — se punkt 7.

Merknad om fakturering: Kodegrunnlaget inneholder funksjonalitet for kundeopplysninger og fakturaer ved siden av abonnementet, men databasetabellene denne funksjonaliteten er avhengig av, finnes ikke i den nåværende driftsmiljøet. I praksis blir det derfor ikke opprettet eller sendt noen fakturaopplysninger i dag. Dette bør oppdateres i erklæringen samtidig med at funksjonen eventuelt settes i drift.

Serviceleverandører (f.eks. rengjørings- eller vedlikeholdsfirmaer) du velger å bruke via plattformen, er ikke vår databehandler. De er selvstendig behandlingsansvarlig for opplysningene de mottar når du eller din utleier faktisk tar kontakt med dem for å bestille en tjeneste — se også salgsvilkårenes punkt om markedsplass. Plattformen viser kun kontaktinformasjonen deres; selve bestillingen og eventuell informasjonsutveksling skjer utenfor systemet, direkte mellom dere.

Utleieren din vil naturlig se opplysninger om deg som leietaker (navn, oppgavestatus, poeng, meldinger, opplastede bilder mv.) for boligen dere deler — det er en grunnleggende del av hvordan tjenesten fungerer, og styres av tilgangskontroll i systemet slik at ingen utleier kan se en annen utleiers leietakere eller boliger.

I den grad Supabase, Vipps eller Google behandler eller lagrer data utenfor Norge/EØS, skal dette skje med et gyldig overføringsgrunnlag (f.eks. EUs standardklausuler). Nøyaktig datasenterregion for vår Supabase-instans er ikke fastsatt i kodegrunnlaget og må bekreftes av [SELSKAPET / TEKNISK ANSVARLIG]: [DATASENTERLOKASJON / SUPABASE-REGION].

Dagens løsning har ingen automatisk sletting eller definerte lagringstider for kontoer, boliger, oppgaver, meldinger, bilder eller andre opplysninger beskrevet over. Data blir liggende inntil de eventuelt fjernes manuelt.

Konkrete lagringstider (f.eks. «leietakerdata slettes N måneder etter avsluttet leieforhold», «bokføringsbilag oppbevares i 5 år etter bokføringsloven») er en forretnings- og juridisk beslutning som ikke er tatt ennå, og skal fastsettes og fylles inn her: [LAGRINGSTIDER PER DATAKATEGORI].

Følgende sikkerhetstiltak er verifiserbare i hvordan systemet faktisk er bygget:

• Radnivå-tilgangskontroll (Row Level Security) i databasen sikrer at en utleier kun kan se og endre sine egne boliger, leietakere og leverandører, og at en leietaker kun kan se sin egen bolig og sine egne data.
• Passord håndteres i sin helhet av Supabase Auth — Optimalvask lagrer aldri passord selv.
• Nøkler med utvidet tilgang (service-rollen som kan omgå radnivå-tilgangskontroll) brukes kun i serverkode og eksponeres aldri til nettleseren.
• Det offentlige API-et som en fremtidig, separat leietakerapp kan bruke, krever egen API-nøkkel i tillegg til vanlig pålogging.
• Tilgang til administrative funksjoner (kontoadministrasjon, plattformoversikt) er begrenset til egne roller, kontrollert både i grensesnittet og i serverkoden.

Vi gjør ingen ytterligere sikkerhetspåstander (f.eks. formelle sertifiseringer eller gjennomførte penetrasjonstester) utover det som faktisk kan verifiseres i løsningen slik den er i dag.

Du har følgende rettigheter etter personvernregelverket (GDPR):

• Innsyn — du kan be om å få vite hvilke opplysninger vi har lagret om deg.
• Retting — du kan be om at feil eller ufullstendige opplysninger rettes. Navn, e-post og telefon kan du selv oppdatere under Innstillinger.
• Sletting — du kan be om at opplysninger om deg slettes der det ikke er en lovlig grunn til å beholde dem (f.eks. et pågående leieforhold eller bokføringsplikt som gjør at fullstendig sletting ikke er mulig med én gang).
• Begrensning — du kan be om at behandlingen av opplysningene dine begrenses mens en henvendelse fra deg behandles.
• Protest — du kan protestere mot behandling som er basert på berettiget interesse.
• Dataportabilitet — der behandlingen er basert på avtale eller samtykke, kan du be om å få opplysningene du selv har oppgitt, utlevert i et maskinlesbart format.
• Trekke tilbake samtykke — der behandlingen faktisk er basert på samtykke (se punkt 6), kan du trekke det tilbake når som helst.

Slik bruker du rettighetene dine: Løsningen har i dag ikke noe eget selvbetjeningsverktøy for innsyn, eksport eller sletting av data. Send en henvendelse til post@optimalvask.no (eller [PERSONVERNKONTAKT]), så behandler vi den manuelt. Hvis du leier bolig gjennom en utleier som bruker Optimalvask, kan enkelte henvendelser også rettes direkte til utleieren din, siden de er behandlingsansvarlig for egne boliger og leietakere.

Du har også rett til å klage til Datatilsynet hvis du mener behandlingen av opplysningene dine bryter med regelverket.

Optimalvask er laget for utleiere/bedriftskunder og deres leietakere, og forutsetter at brukeren er myndig og i stand til å inngå leieforhold. Løsningen har ingen egen aldersverifisering, og er ikke rettet mot barn.

Vi kan oppdatere denne erklæringen etter hvert som tjenesten endrer seg — for eksempel når fakturering settes i drift, eller når lagringstider fastsettes. Datoen øverst og nederst på siden viser når den sist ble oppdatert. Ved vesentlige endringer vil vi gjøre dette synlig i produktet.