Personvernerklæring

1. Behandlingsansvarlig

Zuprize AS er behandlingsansvarlig for personopplysningene som samles inn gjennom zuprize.no.

Zuprize AS
Org.nr. 935 435 102
post@zuprize.no
Daglig leder: Guro Forseth Smith

Henvendelser om personvern - innsyn, retting, sletting, klager - sendes til post@zuprize.no. Vi svarer normalt innen 30 dager.

2. Hvilke personopplysninger vi behandler

Vi samler inn personopplysninger på tre måter: opplysninger du gir oss selv, opplysninger som genereres når du bruker plattformen, og opplysninger vi mottar fra våre samarbeidspartnere.

Opplysninger du gir oss selv

• Konto: Navn, e-postadresse, telefonnummer og fødselsdato ved registrering.
• Annonser: Bilder, beskrivelser, priser og andre opplysninger du legger inn i annonser.
• Meldinger: Innholdet i meldinger du sender til andre brukere gjennom plattformens meldingssystem.
• Kundeservice: Henvendelser til kundeservice og innhold du oppgir der.
• Frakt og betaling: Leveringsadresse og betalingsinformasjon ved kjøp og salg. Som kjøper kan du velge å lagre et betalingskort for fremtidige kjøp. Kortet lagres da hos vår betalingspartner Stripe, ikke hos Zuprize.
• Utbetalinger: Bankkonto eller utbetalingsinformasjon når du som selger mottar oppgjør.
• Profil: Profilbilde, bio-tekst eller annet innhold du selv velger å dele.

Opplysninger som genereres når du bruker tjenesten

• Transaksjonsdata: tidspunkt, beløp, betalingsmetode, motpart og status.
• Bruksdata: hvilke sider du besøker, hva du søker etter, hvilke filtre du bruker.
• Teknisk informasjon: IP-adresse, enhetstype, nettleser, operativsystem.
• Lokasjon: Geografisk område utledet fra IP-adresse (overordnet, ikke nøyaktig posisjon).
• Informasjonskapsler: og lignende teknologi — se egen erklæring om informasjonskapsler.

Opplysninger fra tredjeparter

• Vipps Login: navn, e-post og bekreftet identitet fra Vipps.
• Stripe (betaling): bekreftelse på fullført transaksjon.
• Posten (frakt): leveringsstatus og sporingsinformasjon.

3. Formål og rettslig grunnlag

Vi behandler personopplysninger til klart definerte formål, og hver behandling har et rettslig grunnlag etter GDPR artikkel 6.

• Opprette og drifte konto — Oppfyllelse av avtale med deg (GDPR art. 6(1)(b)).
• Gjennomføre kjøp og salg, inkludert betaling og frakt — Oppfyllelse av avtale med deg (GDPR art. 6(1)(b)).
• Kommunikasjon mellom kjøper og selger — Oppfyllelse av avtale med deg (GDPR art. 6(1)(b)).
• Kundeservice og håndtering av reklamasjoner — Oppfyllelse av avtale og berettiget interesse (GDPR art. 6(1)(b) og (f)).
• DAC7-rapportering til Skatteetaten (selgere som passerer terskel) — Rettslig forpliktelse (GDPR art. 6(1)(c)).
• Bokføring og regnskapsføring — Rettslig forpliktelse (GDPR art. 6(1)(c)).
• Forebygge svindel og misbruk av plattformen — Berettiget interesse (GDPR art. 6(1)(f)).
• Forbedring av plattformen og tjenesten — Berettiget interesse (GDPR art. 6(1)(f)).
• Markedsføring og nyhetsbrev — Samtykke (GDPR art. 6(1)(a)) – kan trekkes tilbake når som helst.
• Analyse av brukeratferd via informasjonskapsler — Samtykke (GDPR art. 6(1)(a)) – håndteres via cookie-banner.
• Personlig tilpasning av tjenesten (anbefalt innhold) — Berettiget interesse eller samtykke, avhengig av tjenestens omfang (GDPR art. 6(1)(a) eller (f)).

I dag tilbyr ikke Zuprize automatisert personlig tilpasning utover at du selv kan filtrere og søke. Dersom slike funksjoner innføres senere, vil du bli varslet og personvernerklæringen oppdatert tilsvarende.

4. Hvem vi deler personopplysninger med

Zuprize selger ikke personopplysninger til tredjeparter. Vi deler kun det som er nødvendig for å levere tjenesten og oppfylle våre rettslige forpliktelser.

Andre brukere på plattformen

Når du registrerer en konto, vil ditt brukernavn og dine annonser være synlige for andre brukere. Ved gjennomført kjøp deles leveringsadressen din med selger slik at varen kan sendes. Selger ser ikke betalingsinformasjon eller andre kontoopplysninger.

Brukere som mottar personopplysninger om andre brukere – for eksempel navn og leveringsadresse for å sende en vare – har et selvstendig ansvar etter GDPR. Opplysningene kan kun brukes til å gjennomføre handelen, og skal slettes når denne er sluttført. De kan ikke brukes til markedsføring, videresalg eller andre formål. Misbruk kan medføre stenging av kontoen og rapportering til Datatilsynet.

Våre databehandlere

Vi bruker tredjeparts tjenester som behandler personopplysninger på våre vegne. Hver av disse har inngått databehandleravtale med Zuprize i tråd med GDPR artikkel 28.

• Betalingsleverandør (Stripe) — Betalingsbehandling og utbetaling til selgere.
• Fraktleverandør (Posten) — Frakt og levering.
• Pålogging (Vipps) — Innlogging og identitetsbekreftelse.
• Plattform- og hostingleverandør — Drift av plattformen og lagring av data.
• Leverandør av e-postutsendelse — Nyhetsbrev og kundekommunikasjon.
• Innholdsleverandør — Redaksjonelt innhold.
• Kontor- og samarbeidsverktøy — E-post og dokumenthåndtering.

Personopplysningene dine lagres i hovedsak på servere innenfor EU/EØS. Enkelte av våre underleverandører har selskaper eller systemer som medfører overføring av personopplysninger til land utenfor EU/EØS. Overføringer skjer på grunnlag av EU-USA Data Privacy Framework eller EUs standard personvernbestemmelser (SCC), som sikrer et tilfredsstillende beskyttelsesnivå. Du kan be om mer detaljert informasjon om enkelte leverandører ved å kontakte oss på post@zuprize.no.

Stripe opptrer som selvstendig behandlingsansvarlig for sin egen behandling av betalingsdata, inkludert vurdering av svindelrisiko og oppfyllelse av egne rettslige forpliktelser. Vipps opptrer som selvstendig behandlingsansvarlig for sin behandling av innloggings- og identitetsdata. Deres behandling er regulert av deres egne personvernerklæringer, tilgjengelig på stripe.com/privacy og vipps.no/personvern.

Offentlige myndigheter

Vi deler personopplysninger med Skatteetaten i tråd med DAC7 (rådsdirektiv 2021/514) for selgere som passerer terskelverdien på over 30 transaksjoner eller mer enn 2 000 euro i salg per kalenderår. Vi kan også dele opplysninger med politi eller andre myndigheter ved lovpålagt utleveringsplikt.

5. Hvor lenge vi lagrer personopplysninger

Vi lagrer personopplysninger kun så lenge det er nødvendig for formålet de er samlet inn for, eller så lenge vi er pålagt å gjøre det etter lov.

• Kontoopplysninger: så lenge kontoen er aktiv. Kontoer som har vært inaktive i 36 måneder varsles på e-post, og slettes eller anonymiseres dersom du ikke logger inn på nytt innen 60 dager.
• Transaksjonsdata: 5 år etter regnskapsårets utløp, som krevd av bokføringsloven.
• Skatterapportering (DAC7): 7 år, som krevd av norsk skattelovgivning.
• Meldinger mellom brukere: 24 måneder, deretter slettet med mindre de er knyttet til en pågående tvist eller reklamasjon.
• Henvendelser til kundeservice: 24 måneder etter at saken er løst.
• Markedsføringspreferanser: så lenge samtykket gjelder, eller til du melder deg av.

6. Dine rettigheter

Etter GDPR har du flere rettigheter knyttet til behandlingen av dine personopplysninger.

• Innsyn — Du kan be om å få vite hvilke personopplysninger vi har om deg, og hvordan de behandles. Henvendelse sendes til post@zuprize.no.
• Retting — Hvis vi har feil eller utdaterte opplysninger om deg, har du rett til å få dem rettet. Du kan også oppdatere mye av dette selv i kontoinnstillingene.
• Sletting — Du kan be om at vi sletter personopplysningene dine. Vær oppmerksom på at vi i noen tilfeller må beholde opplysninger for å oppfylle rettslige forpliktelser, for eksempel bokføringsplikt og skatterapportering.
• Begrensning av behandling — Du kan be om at behandlingen av personopplysningene dine begrenses i visse situasjoner, for eksempel mens vi behandler en innsigelse fra deg.
• Dataportabilitet — Du kan be om å få personopplysningene dine utlevert i et strukturert, vanlig brukt og maskinlesbart format, og overført til en annen tjeneste.
• Innsigelse mot behandling — Hvis vi behandler personopplysninger basert på berettiget interesse, kan du gjøre innsigelse mot behandlingen ut fra din særlige situasjon. Du har alltid rett til å motsette deg behandling for direkte markedsføring.
• Tilbaketrekking av samtykke — Hvor behandlingen er basert på samtykke, kan du trekke samtykket tilbake når som helst. Tilbaketrekkingen påvirker ikke lovligheten av behandlingen som er gjort før samtykket ble trukket tilbake.
• Klage til tilsynsmyndighet — Hvis du mener at Zuprize bryter personopplysningsloven eller GDPR, kan du klage til Datatilsynet. Mer informasjon finnes på datatilsynet.no.

7. Sikkerhet

Zuprize bruker tekniske og organisatoriske tiltak for å beskytte personopplysninger mot uautorisert tilgang, endring, sletting eller spredning.

• All trafikk mellom enheten din og våre servere er kryptert med TLS.
• Passord lagres aldri i klartekst – kun som krypterte hashverdier.
• Betalingsinformasjon håndteres av Stripe og lagres ikke på Zuprize sine servere. Dette gjelder også kort du som kjøper velger å lagre for fremtidige kjøp – disse lagres hos Stripe i et sikkert miljø, og du kan når som helst fjerne dem under betalingsinnstillingene på profilen din.
• Tilgang til personopplysninger er begrenset til personer som trenger det for å utføre arbeidet sitt.
• Vi gjennomgår rutinemessig sikkerheten i plattformen og oppdaterer tiltak etter behov.

Ved alvorlige brudd på personopplysningssikkerheten vil vi varsle Datatilsynet og berørte personer i tråd med GDPR artikkel 33 og 34.

Innhold publisert av brukere

Som markedsplassoperatør har Zuprize et selvstendig ansvar for personopplysninger som publiseres i annonser. Vi bruker derfor systematiske kontroller for å forhindre at sensitive personopplysninger – som ansiktsbilder av andre personer, helseopplysninger eller andre opplysninger publisert uten samtykke – havner på plattformen.

Selgere er ansvarlige for at bilder og tekst i egne annonser ikke krenker tredjeparters rettigheter. Mistanke om misbruk meldes til post@zuprize.no, og slikt innhold fjernes uten ugrunnet opphold.

8. Personer under 18 år

Zuprize er kun ment for personer over 18 år. Vi behandler ikke bevisst personopplysninger om barn. Hvis vi blir oppmerksomme på at en konto er opprettet av en person under 18 år, vil kontoen bli stengt og personopplysningene slettet.

9. Endringer i personvernerklæringen

Zuprize kan oppdatere denne personvernerklæringen. Vesentlige endringer som påvirker dine rettigheter eller hvordan vi behandler personopplysninger, varsles på e-post eller plattformen minst 14 dager før de trer i kraft.

Den til enhver tid gjeldende versjon er tilgjengelig på zuprize.no. Vi anbefaler at du leser personvernerklæringen jevnlig.