Personvernerklæring

UTKAST PÅ STAGING – ikke endelige vilkår. Denne siden er til gjennomgang. Uavklarte punkter er merket i teksten.

Arbeidsutkast 28. september 2026. Ikke publiseringsklart. Beskrivelsen må bekreftes mot faktiske systemer, leverandører og rutiner. Hakeparenteser er avklaringspunkter, ikke ferdig kundetekst.

Hvem som er ansvarlig

Appos AS, organisasjonsnummer 935 835 216, er behandlingsansvarlig for egne kunde- og administrasjonsformål beskrevet her. Plastkortfabrikken er konseptet. Forretningsadresse: Appos avd. plastkortfabrikken, Jacob Kjødes veg 7, 5232 Paradis. Spørsmål om personvern kan sendes til post@plastkortfabrikken.no. Rollen ved produksjon på vegne av bedriftskunder må vurderes særskilt. [Avklar om virksomheten har personvernombud.]

Opplysninger, formål og rettslig grunnlag

Følgende er en foreløpig kartlegging, ikke en bekreftet beskrivelse:

Behandling	Opplysninger som må kartlegges	Aktuelt grunnlag som må bekreftes
Bestilling og levering	Navn, kontaktinformasjon, adresse, ordre og leveringsopplysninger	Avtale for person som selv er avtalepart; vurder berettiget interesse for kontaktperson hos bedriftskunde
Kundekonto og kundeservice	Kontodetaljer, ordrehistorikk og henvendelser	Avtale eller konkret vurdert berettiget interesse, avhengig av formål og kundeforhold
Regnskap	Faktura- og transaksjonsopplysninger	Rettslig plikt; oppgi relevant regelverk og oppbevaringsperiode
Produksjon av personlige kort	Navn, tekst, bilder, strekkoder, QR-koder og innsendte designfiler; konkret innhold varierer med bestillingen	Avklar om vi er databehandler for kunden eller selv behandlingsansvarlig
Drift og sikkerhet	Eventuelle IP-adresser og tekniske logger	Konkret vurdert berettiget interesse; beskriv interessen

[Bekreft hvilke opplysninger som er nødvendige, konsekvensen av å ikke oppgi dem, kildene og eventuell automatisert beslutningstaking/profilering. Ikke be om fødselsnummer eller legitimasjonskopier uten dokumentert behov og vurdert grunnlag.]

Leverandører og deling

Appos AS produserer selv. Betalingsløsningene er oppgitt som Vipps, Strex/kortbetaling og faktura, med mulighet for avtalt forhåndsbetaling. Posten/Bring er observert i staging.

Virksomheten har oppgitt følgende leverandører:

• Serve the World (oppgitt som «Servethewourld») og PRO ISP: hosting. PRO ISP leverer også e-post. [Bekreft juridiske leverandørnavn, fordelingen av hostingtjenester og hvor data og sikkerhetskopier behandles.]

• Fiken: regnskap. Fiken er også oppgitt i forbindelse med eventuell kredittvurdering. [Avklar om kredittvurdering faktisk gjennomføres, hvem som utfører den, hvilke personer/virksomheter som vurderes og om avgjørelser er automatiserte. Ikke presenter Fiken som bekreftet kredittopplysningsforetak.]

Kundens designfiler, bilder og øvrige produksjonsfiler lagres på lokale maskiner med adgangskontroll, ifølge virksomheten. Sikkerhetskopier av disse filene lagres også lokalt med adgangskontroll. [Kartlegg eventuell midlertidig lagring ved opplasting på nettstedet, e-postvedlegg og eventuell synkronisering. Lokal produksjonslagring og lokal sikkerhetskopiering betyr ikke at det ikke finnes kopier hos tekniske leverandører.]

[Bekreft juridiske leverandørnavn, dataflyt og roller samt rutiner for sikkerhetskopier og sletting.]

[Kartlegg lagring, underleverandører og fjernaksess utenfor EØS. Oppgi land, overføringsgrunnlag og hvordan kopi av garantier kan fås der dette er relevant. Ikke hev at alle data blir i Norge/EØS før dette er kontrollert.]

Lagring og sletting

Ønsket ordning er å beholde kundens materiale mens kundeforholdet består, og slette ved avslutning. Dette er foreløpig et ønske, ikke en bekreftet teknisk sletterutine.

Forslag til ordning som må avklares før publisering:

• Skill gjenbrukbare designmaler fra personbilder, navnelister og ferdige personlige kortfiler. Bevar ikke persondata bare fordi en konto fortsatt finnes.

• Tilby et tydelig valgt eller avtalt arkiv for gjenbestilling. Dokumenter formål, behandlingsgrunnlag, tilgang og slette-/inaktivitetsfrister. For persondata behandlet på kundens vegne må lagringen følge kundens dokumenterte instruks og databehandleravtalen.

• Ved sletting av konto slettes tilhørende arkivmateriale etter fastsatt rutine, med dokumenterte unntak for nødvendige rettslige krav og oppbevaringsplikt. Fakturaer og annen pålagt regnskapsdokumentasjon slettes ikke automatisk med kontoen.

• Fastsett separate frister for e-post, logger og sikkerhetskopier, og sørg for at slettede filer ikke blir aktive igjen ved gjenoppretting.

[Avklar frister for aktiv konto, inaktiv konto, gjestekjøp og sikkerhetskopier. Test sletting i nettbutikk, produksjonsmapper, e-post og andre kopier før teksten lover automatisk sletting.]

Informasjonskapsler

Besluttet retning: Nettstedet skal tilpasses til bare strengt nødvendig lagring/tilgang på kundens enhet, slik at en generell cookie-popup kan unngås. Den praktiske kontroll- og driftsrutinen står i personvern-driftsrutine.md. Ingen fullført teknisk kontroll av hele kjøpsløpet er dokumentert ennå.

Virksomheten opplyser at analyseverktøy, reklamesporing og markedsføringsutsendelser ikke brukes. Målet er en nettbutikk med bare strengt nødvendig lagring/tilgang på brukerens enhet, slik at et generelt samtykkebanner ikke trengs. Dette må verifiseres teknisk før det beskrives som et faktum på nettstedet.

[Kartlegg navn/leverandør, formål og varighet for faktisk brukte informasjonskapsler og annen lagring/sporing, også i kjøpsløpet og betalingsintegrasjonene. Dokumenter nødvendighetsvurderingen. Kontroller blant annet eventuell innebygd besøks-/ordretilskrivning i WooCommerce. Ikke endre WooCommerce eller betalingsoppsettet under denne dokumentgjennomgangen.]

[Publiseringstekst etter kontroll: beskriv de nødvendige funksjonene og deres informasjonskapsler i en tilgjengelig oversikt. Hvis samtykkekrevende teknologi likevel beholdes, må den vente på gyldig samtykke og ha mulighet for tilbaketrekking.]

Dine rettigheter

Du kan be om innsyn og retting og, når vilkårene er oppfylt, sletting, begrensning og dataportabilitet. Du kan protestere mot behandling basert på berettiget interesse. Dersom behandlingen bygger på samtykke, kan du trekke samtykket tilbake uten at det påvirker lovligheten av behandlingen før tilbaketrekkingen. Kontakt post@plastkortfabrikken.no. Du kan klage til Datatilsynet.

[Avklar rutine for rettighetsforespørsler, nødvendig identitetskontroll og informasjon til ansatte/kortholdere når opplysningene kommer fra en bedriftskunde.]