Personvernerklæring og brukervilkår

1 Innledning

Denne personvernerklæringen beskriver hvilke personopplysninger som behandles ved bruk av tjenesten KontorProfeten (heretter «Tjenesten»), tilgjengelig via www.kontorprofeten.no, samt vilkårene som regulerer bruken av Tjenesten.

Ved å opprette en profetrunde eller delta i en eksisterende profetrunde, bekrefter brukeren å ha lest, forstått og akseptert disse vilkårene. Aksept gis eksplisitt ved avkrysning av samtykkefeltet ved registrering.

2 Tjenestens karakter

KontorProfeten er et ikke-kommersielt hobbyprosjekt utviklet for å demonstrere webutvikling og tilrettelegge uformelt sosialt samhold rundt fotball-VM 2026. Tjenesten leveres «som den er», gratis, uten økonomiske eller funksjonelle garantier og uten kommersielle interesser.

Tjenesten er beregnet for uformell intern bruk blant kollegaer, venner og vennegjenger, og er ikke egnet for formell eller kommersiell drift. Brukere bør vurdere om tjenesten er hensiktsmessig for sitt formål.

Tjenesten innebærer ikke pengespill i henhold til lov om pengespill (LOV-2022-03-18-12). Det forekommer ingen pengepremier, innskudd, odds eller annen form for kommersiell utbetaling. Konkurranseelementet er begrenset til intern «bragging rights» blant deltakerne i en profetrunde.

3 Behandlingsansvarlig

For personopplysninger som behandles innenfor en gitt profetrunde, er admin — den fysiske personen som har opprettet profetrunden — å betrakte som behandlingsansvarlig overfor deltakerne i den aktuelle runden. Admin er ansvarlig for å:

• Informere deltakerne om at de deltar i runden og om deres rettigheter
• Besvare henvendelser om innsyn, retting og sletting fra deltakerne
• Slette profetrunden når formålet er oppnådd eller etter ønske fra deltakerne
• Ikke misbruke opplysningene eller dele dem med uvedkommende

For tjenesteinfrastrukturen opptrer utvikleren av KontorProfeten som databehandler i en uformell, ikke-kommersiell rolle. Rammene for forholdet mellom admin (behandlingsansvarlig) og tjenesteleverandøren (databehandler) er fastsatt i punkt 10 — Databehandleravtale. Utvikleren har teknisk tilgang for vedlikehold, men benytter ikke opplysninger til andre formål enn drift av Tjenesten.

4 Personopplysninger som behandles

4.1 For admin (oppretter av profetrunde)

• E-postadresse, brukt til innlogging og funksjonell kommunikasjon
• Passord, lagret som hash (bcrypt via Supabase Auth) — aldri i klartekst
• Navn på profetrunden og delbar URL-slug
• Valgfri bedriftslogo (opplastet bilde)

4.2 For deltakere

• Navn (oppgis ved registrering)
• Avdeling eller team (valgfritt)
• Lag valgt som VM-vinner
• Tidspunkt for registrering

4.3 Hva Tjenesten ikke samler inn

Tjenesten benytter ingen tredjeparts analyseverktøy, sporingsskript, annonseringspiksler eller markedsføringscookies. Det settes ingen cookies utover det som er strengt nødvendig for sesjonshåndtering og sikkerhet.

5 Formål og behandlingsgrunnlag

Behandlingen av personopplysninger har grunnlag i personvernforordningen (GDPR) artikkel 6:

• Artikkel 6 nr. 1 bokstav a — samtykke gitt ved avkrysning av vilkår
• Artikkel 6 nr. 1 bokstav b — nødvendig for å oppfylle avtalen om bruk av Tjenesten
• Artikkel 6 nr. 1 bokstav f — berettiget interesse i å levere og forbedre Tjenesten

Formålene er begrenset til:

• Levere Tjenesten i samsvar med brukerens valg og deltakelse
• Vise navn, avdeling, lagvalg og poeng for andre i samme profetrunde
• Vedlikeholde, sikre og videreutvikle Tjenestens funksjonalitet

6 Mottakere og deling av opplysninger

Personopplysninger selges ikke, og deles ikke med kommersielle tredjeparter. Følgende kategorier av mottakere har tilgang i forbindelse med tjenesteleveransen:

• Andre deltakere i samme profetrunde — navn, eventuell avdeling, lagvalg og poengstilling er synlig for personer med tilgang til den delte lenken til runden
• Admin — har full oversikt over deltakerne i sin egen profetrunde
• Databaseinfrastruktur (Supabase Inc.) — hoster databasen i datasenter lokalisert i Irland, innenfor EU/EØS-området
• football-data.org — ekstern kampdata-API benyttet for henting av kampprogram og resultater. Ingen personopplysninger overføres til denne tjenesten

Det skjer ingen overføring av personopplysninger til land utenfor EU/EØS.

7 Lagringstid

Personopplysninger lagres kun så lenge formålet med behandlingen er aktivt — dvs. så lenge profetrunden er i bruk. Admin kan slette profetrunden eller enkeltdeltakere når som helst, hvilket medfører permanent sletting av tilhørende personopplysninger. Deltakere kan, uavhengig av rundens status, kreve at admin sletter deres opplysninger.

Formålet med Tjenesten er knyttet til fotball-VM 2026. Senest 90 dager etter at fotball-VM 2026 er avsluttet, slettes alle profetrunder og tilhørende personopplysninger automatisk av tjenesteleverandøren, med mindre admin har slettet runden tidligere. Dette skjer uten varsel.

Tjenesteleverandøren forbeholder seg i tillegg retten til å slette inaktive profetrunder underveis, eller i tilfeller hvor Tjenesten benyttes i strid med disse vilkårene.

8 Sikkerhet

Følgende tekniske og organisatoriske tiltak er på plass:

• All trafikk mellom bruker og Tjenesten er kryptert med TLS (HTTPS)
• Passord hashes med bcrypt før lagring og kan ikke leses i klartekst
• Data lagres hos Supabase i datasenter i Irland (EU/EØS, GDPR-kompatibel infrastruktur)
• Tilgangskontroll på databasenivå via Row Level Security (RLS)
• Standard sikkerhetshoder konfigurert: HSTS, X-Frame-Options, Referrer-Policy, Permissions-Policy
• Tjenesten driftes på en plattform med automatiske sikkerhetsoppdateringer

9 Dine rettigheter

I henhold til personvernforordningen (GDPR) har du som registrert følgende rettigheter:

• Innsyn (artikkel 15) — rett til å få bekreftet hvilke personopplysninger som er registrert om deg
• Retting (artikkel 16) — rett til å korrigere uriktige opplysninger
• Sletting (artikkel 17) — rett til å bli glemt
• Begrensning av behandling (artikkel 18)
• Dataportabilitet (artikkel 20) — rett til å motta opplysningene dine i strukturert form
• Innsigelse (artikkel 21) — rett til å motsette deg behandling basert på berettiget interesse
• Tilbakekall av samtykke — rett til når som helst å trekke tilbake et tidligere gitt samtykke

Henvendelser om opplysninger i en konkret profetrunde rettes til admin for den aktuelle runden, som er behandlingsansvarlig overfor deltakerne i runden (jf. punkt 3).

Dersom du mener at behandlingen av personopplysninger er i strid med personvernforordningen, har du i tillegg rett til å klage til Datatilsynet, jf. GDPR artikkel 77.

10 Databehandleravtale (GDPR art. 28)

Denne seksjonen utgjør en databehandleravtale mellom admin (heretter «behandlingsansvarlig») og tjenesteleverandøren av KontorProfeten (heretter «databehandler»), i tråd med personvernforordningen artikkel 28. Avtalen aksepteres ved at admin krysser av samtykkefeltet ved opprettelse av en profetrunde.

10.1 Behandlingens art, formål og varighet

• Art: Lagring og fremvisning av deltakerinformasjon, beregning av poeng basert på lagvalg og kampresultater, generering av poengtavle og oppsummeringer.
• Formål: Gjennomføring av en uformell profetrunde knyttet til fotball-VM 2026.
• Varighet: Frem til admin sletter runden, eller senest 90 dager etter at fotball-VM 2026 er avsluttet (jf. punkt 7).

10.2 Kategorier av personopplysninger og registrerte

Registrerte: Admin og deltakere i profetrunden. Kategorier:

• For admin: e-postadresse, hashet passord, navn på profetrunden, eventuell bedriftslogo
• For deltakere: navn, avdeling (valgfritt), lagvalg, tidspunkt for registrering

Det behandles ingen særlige kategorier av personopplysninger (GDPR art. 9), og heller ikke personopplysninger om barn under 13 år.

10.3 Databehandlers forpliktelser

Databehandleren forplikter seg til å:

• Behandle personopplysninger kun etter dokumenterte instrukser fra behandlingsansvarlig, eller når lovgivning krever det
• Sikre at personer som behandler opplysninger er underlagt taushetsplikt
• Iverksette egnede tekniske og organisatoriske sikkerhetstiltak (jf. punkt 8)
• Bistå behandlingsansvarlig med å oppfylle deltakernes rettigheter (jf. punkt 9), i den utstrekning det er teknisk praktisk gjennom Tjenestens admin-panel
• Slette eller tilbakelevere alle personopplysninger ved opphør av tjenesteforholdet
• Gjøre tilgjengelig nødvendig informasjon for å dokumentere etterlevelse av artikkel 28

10.4 Underdatabehandlere

Behandlingsansvarlig samtykker til at følgende underdatabehandlere benyttes:

• Supabase Inc. — databasevertskap og autentisering, lokalisert i Irland (EU/EØS). Følger egen GDPR-kompatibel personvernerklæring og databehandleravtale.
• Vercel Inc. — vertskap av frontend (statiske filer), med edge-noder innen EU/EØS. Behandler ingen personopplysninger direkte.
• football-data.org — kampdata-API. Mottar ingen personopplysninger.

Bytte av underdatabehandlere kan skje uten forhåndsvarsel, forutsatt at samme nivå av databeskyttelse opprettholdes. Ved vesentlige endringer oppdateres dette dokumentet og versjonsnummeret bumpes.

10.5 Overføring til tredjeland

Det skjer ingen overføring av personopplysninger til land utenfor EU/EØS. All lagring og behandling finner sted innenfor EU/EØS-området.

10.6 Brudd på personopplysningssikkerheten

Ved kjennskap til brudd på personopplysningssikkerheten vil databehandleren, så snart det er praktisk mulig, varsle berørte admin via den e-postadressen som er registrert i Tjenesten. Admin er deretter ansvarlig for eventuell videre rapportering til Datatilsynet (innen 72 timer, jf. GDPR art. 33) og til berørte deltakere.

10.7 Tilbakelevering og sletting

Ved opphør av tjenesteforholdet — enten ved at admin sletter runden, eller automatisk etter fotball-VM 2026 (jf. punkt 7) — slettes alle personopplysninger permanent fra databasen. Sikkerhetskopier som er nødvendige for normal drift overskrives gjennom løpende rotasjon.

10.8 Vederlag

Tjenesten leveres vederlagsfritt. Det utveksles ingen økonomisk kompensasjon mellom partene under denne avtalen.

10.9 Avtalens varighet

Avtalen trer i kraft når admin aksepterer vilkårene, og gjelder så lenge profetrunden er aktiv. Den opphører automatisk når runden slettes, eller når personopplysninger slettes etter punkt 7.

11 Ansvarsfraskrivelse

Tjenesten leveres «som den er» («as is») og «som tilgjengelig» («as available»), uten uttrykkelige eller underforståtte garantier om kvalitet, tilgjengelighet, funksjonalitet eller egnethet for et bestemt formål. Tjenesten er et privat hobbyprosjekt og ikke en kommersiell tjeneste. Tjenesteleverandøren fraskriver seg, innenfor rammen av gjeldende lovgivning, ansvar for:

• Avbrudd, nedetid, datatap eller andre tekniske feil
• Konsekvenser av at Tjenesten benyttes utover sin tiltenkte uformelle bruk
• Innhold, opplysninger eller beslutninger som admin eller deltakere selv legger inn eller foretar i Tjenesten
• Eventuell uenighet, konflikt eller misbruk mellom admin og deltakere — partsforholdet i en profetrunde består mellom admin og deltakerne, ikke mellom tjenesteleverandøren og deltakerne
• Indirekte tap, følgeskader, omdømmetap eller tap av fortjeneste
• Handlinger eller unnlatelser fra tredjeparts databehandlere (Supabase, football-data.org) ut over det som er rimelig å forvente av seriøse leverandører

All bruk av Tjenesten skjer på brukerens eget ansvar. Tjenesteleverandørens samlede ansvar er, så langt det er tillatt etter gjeldende rett, begrenset til null kroner, ettersom Tjenesten tilbys vederlagsfritt og uten kommersielle interesser.

Henvendelser om personopplysninger i en konkret profetrunde rettes til admin for runden, som er behandlingsansvarlig (jf. punkt 3).

12 Endringer i vilkårene

Tjenesteleverandøren forbeholder seg retten til å endre denne personvernerklæringen og vilkårene. Gjeldende versjon er angitt øverst i dokumentet med versjonsnummer og dato. Ved vesentlige endringer vil dette annonseres på forsiden av Tjenesten der det er praktisk mulig.

Fortsatt bruk av Tjenesten etter at endringer er publisert, anses som aksept av de nye vilkårene.