Personvernerklæring

1. Behandlingsansvarlig

Nabogård AS er behandlingsansvarlig for personopplysninger som behandles på plattformen. Kontakt for personvernspørsmål: kaja@nabogard.no.

Nabogård er en markedsplass som kobler lokale produsenter («selgere») med kjøpere gjennom REKO-ringsamlinger og gårdshenting. For enkelte behandlinger er andre selvstendige behandlingsansvarlige: Vipps MobilePay for innlogging via Vipps, og Stripe for betaling og utbetaling. Disse behandler dine opplysninger etter sine egne vilkår (lenket nedenfor).

2. Hvilke opplysninger vi samler inn — og hvorfra

Registrering med e-post

• E-postadresse og navn
• Passord (lagres aldri i klartekst — hashes og håndteres av Supabase Auth)
• Telefonnummer, dersom du oppgir det

Innlogging med Vipps

Logger du inn med Vipps, mottar vi fra Vipps ditt navn, verifiserte e-postadresse og telefonnummer. Vi lagrer i tillegg en teknisk Vipps-identifikator («vipps_sub») slik at vi kan gjenkjenne deg ved neste innlogging. Vipps er selvstendig behandlingsansvarlig for sin del og viser deg sitt eget samtykke-/aldersbekreftelsesskjermbilde (minst 15 år).

Selgere

• Gårds-/virksomhetsnavn, organisasjonsnummer og Mattilsynsnummer
• Adresse og geografisk posisjon (for kart og «nær meg»)
• Opplastede dokumenter (lagres i en privat lagringsbøtte, kun tilgjengelig for selgeren selv og Nabogårds administrasjon)
• Bankopplysninger håndteres av Stripe — Nabogård ser dem aldri

Kjøpere

• Ordrehistorikk, hentekoder og hentedata
• Områdeabonnement (varsling om nye ringer der du velger det)

Teknisk informasjon

IP-adresse brukes midlertidig for sikkerhet og rate-limiting. Vi bruker ikke sporings- eller reklameverktøy.

3. Betaling

Betaling skjer via Stripe (inkludert Vipps via Stripe). Kort- og bankopplysninger behandles av Stripe som betalingsbehandler og lagres ikke av Nabogård. Se Stripes personvernerklæring.

4. Behandlingsgrunnlag (GDPR art. 6)

• Avtale (art. 6.1.b): opprettelse av konto, gjennomføring av bestillinger, betaling, henting og kundeservice.
• Rettslig forpliktelse (art. 6.1.c): oppbevaring av salgs- og kjøpsdokumentasjon etter bokføringsloven.
• Berettiget interesse (art. 6.1.f): sikkerhet, forebygging av misbruk, drift og forbedring av plattformen, samt nødvendige driftsvarsler.
• Samtykke (art. 6.1.a): deling av opplysninger fra Vipps ved Vipps-innlogging, og publisering av «Møt produsenten»- innhold om en selger (kun når selgeren aktivt har gitt samtykke). Samtykke kan trekkes tilbake når som helst.

5. Lagringstid og sletting/anonymisering

Salgs- og kjøpsdokumentasjon (ordrer og bilag) oppbevares i fem år som følge av bokføringsloven. Derfor er sletting hos oss en anonymisering, ikke en fullstendig sletting: når du sletter kontoen din fjernes personopplysningene dine (navn settes til «Slettet bruker», telefonnummer fjernes, e-post byttes ut og innlogging deaktiveres), mens selve ordrelinjene beholdes i anonymisert form for å oppfylle regnskapsplikten. For selgere skjules profilen, produkter avpubliseres og bilder fjernes, mens ordre- og utbetalingshistorikk beholdes.

6. Dine rettigheter

Du har rett til å:

• Få innsyn i opplysningene vi har om deg
• Få rettet feilaktige opplysninger
• Få slettet/anonymisert kontoen din (via slett konto; bilag beholdes som beskrevet over)
• Be om dataportabilitet (utlevering av dine opplysninger)
• Protestere mot behandling og trekke tilbake samtykke
• Klage til Datatilsynet (datatilsynet.no)

For innsyn, retting, portabilitet eller andre henvendelser, kontakt kaja@nabogard.no. Innlogging med Vipps kan du når som helst trekke tilbake i Vipps-appen under innstillinger for innlogging og samtykker; etter tilbaketrekking kan du logge inn med e-post og passord i stedet.

7. Databehandlere og tredjeparter

Vi selger aldri personopplysninger. Vi deler nødvendige opplysninger med selgeren (navn og hentekode for å gjennomføre henting) og med følgende databehandlere/tjenester:

• Supabase — database, innlogging og fillagring (EU/Irland)
• Vercel — drift/hosting av nettsiden
• Stripe — betaling og utbetaling til selgere (internasjonal aktør; overføring utenfor EØS skjer på grunnlag av EUs standardavtaler)
• Vipps MobilePay — innlogging (Norge/EØS)
• Resend — utsending av e-post (bekreftelser, varsler)
• Mapbox — kart og posisjon på «finn nær meg»
• Sanity — innhold/artikler (f.eks. «Møt produsenten», ved selgers samtykke)
• Upstash — midlertidig lagring for rate-limiting

Enkelte av tjenestene over er etablert utenfor EØS. Overføringer skjer da på grunnlag av EUs standardavtaler (SCC) eller annet gyldig overføringsgrunnlag. Databehandleravtaler inngås med samtlige databehandlere.

8. Informasjonskapsler (cookies)

Nabogård bruker kun nødvendigeinformasjonskapsler: innloggings-/sesjonskapsler fra Supabase Auth, og kortvarige kapsler som beskytter Vipps-innloggingen mot forfalskning (state/nonce). Vi bruker ikke sporings-, analyse- eller reklamekapsler.

9. Sikkerhet og avvik

Opplysningene lagres på sikre servere med kryptering og tilgangskontroll (rad-nivå-sikkerhet i databasen). Ved et brudd på personopplysningssikkerheten som medfører risiko for dine rettigheter, melder vi fra til Datatilsynet uten ugrunnet opphold og senest innen 72 timer, og varsler deg der loven krever det.

10. Kontakt

Behandlingsansvarlig: Nabogård AS
E-post: kaja@nabogard.no