Personvernerklæring

1. Behandlingsansvarlig og databehandler

Åsane Rideklubb er behandlingsansvarlig for personopplysningene som behandles gjennom denne tjenesten. Det betyr at klubben bestemmer hvorfor og hvordan opplysningene behandles.

Kjern - Rødseth (org.nr. 937 449 089), https://kjern.no, er databehandler. Kjern leverer, drifter og vedlikeholder løsningen på vegne av Åsane Rideklubb, og behandler kun personopplysninger etter dokumenterte instrukser fra klubben. Det er inngått databehandleravtale mellom partene i henhold til personvernforordningen (GDPR) artikkel 28, signert 08.09.2026.

2. Hvilke opplysninger vi behandler

Tjenesten er laget for å samle inn så lite som mulig. Innsending er alltid anonym. Vi spør verken om navn, telefonnummer eller e-postadresse, og det finnes ingen felter der du kan oppgi det.

To ulike koder mot spam, og hvorfor

En stall er et sted der mange besøkende ofte deler samme offentlige IP-adresse, for eksempel over ett felles WiFi. Bruker vi kun IP-adressen til å begrense antall innsendinger, ville én persons spam kunne stenge alle andre på samme nett ute. Derfor bruker vi to uavhengige koder:

• En øktbasert kode er den strenge grensen, og skiller deg fra andre besøkende uansett hvilket nettverk dere deler. Den er knyttet til en tilfeldig verdi i den samme kapselen som holder skjemaet fungerende (se informasjonskapsler), ikke til IP-adressen din.
• Den IP-baserte koden er en løsere bakstopper som kun fanger opp en uvanlig stor mengde innsendinger fra samme nettverk, for eksempel fra en robot som ikke tar vare på kapsler. Terskelen er satt romslig nok til at flere ekte besøkende bak samme WiFi ikke rammes av den.

Vi lagrer aldri IP-adressen eller øktidentifikatoren i lesbar form. Begge omgjøres umiddelbart til en enveis, saltet kode (BLAKE2-nøkkelhash) som ikke kan regnes tilbake til det opprinnelige. Ingen av kodene brukes til noe annet enn spam- og dublettvern, og ingen av dem kan kobles til deg som person.

Opplysninger om klubbens administratorer

Dette avsnittet gjelder ikke deg som sender inn et ønske, men de få personene i Åsane Rideklubb som har fått en administratorbruker. Om dem behandles i tillegg:

Opplysning	Formål	Grunnlag
Brukernavn, navn, rolle og hash av passordet	Å gi tilgang til dashbordet	Berettiget interesse (artikkel 6 nr. 1 bokstav f)
Logg over administrative handlinger, med tidspunkt	Sporbarhet og informasjonssikkerhet	Berettiget interesse, jf. artikkel 32
«Husk denne nettleseren»: en tilfeldig nøkkel og et enkelt navn på enheten, for eksempel «iPhone, Safari»	Slippe å logge inn på nytt på egen enhet	Samtykke (artikkel 6 nr. 1 bokstav a), gitt ved avkryssing
Push-adresse fra nettleserens varseltjeneste	Sende varsel om nye ønsker	Samtykke, gitt ved å slå på varsler

Begge samtykkene kan trekkes tilbake når som helst fra Enheter og varsler i dashbordet, uten at det påvirker noe annet. Push-adressen er utstedt av nettleserleverandøren, for eksempel Apple eller Google, og identifiserer en installasjon, ikke en person. Selve varselet inneholder kun produktnavn og kategori.

Opplysninger vi ikke samler inn

• Vi bruker ingen analyseverktøy, statistikkverktøy eller reklamenettverk.
• Vi bruker ingen informasjonskapsler til sporing eller profilering.
• Vi selger, deler eller utleverer aldri opplysninger til tredjeparter for markedsføring.
• Vi tar ingen automatiserte avgjørelser og driver ingen profilering etter GDPR artikkel 22.

3. Rettslig grunnlag

• Ønsket, kategorien, kommentaren og tidspunktet behandles på grunnlag av berettiget interesse, jf. GDPR artikkel 6 nr. 1 bokstav f. Klubbens berettigede interesse er å kunne tilby et vareutvalg medlemmene faktisk ønsker seg. Vi har vurdert at dette ikke går ut over dine rettigheter, siden opplysningene er få, frivillige og kan sendes anonymt.
• De hashede kodene fra IP-adressen og øktidentifikatoren behandles på grunnlag av berettiget interesse, jf. GDPR artikkel 6 nr. 1 bokstav f, for å sikre tjenesten mot misbruk, jf. også GDPR artikkel 32 om informasjonssikkerhet.

4. Hvem har tilgang

Innsendte ønsker er kun tilgjengelige for personer i Åsane Rideklubb som har fått tildelt en administratorbruker, normalt styret og de som fyller automaten. Alle administratorer logger inn med personlig brukernavn og passord, og all administrativ aktivitet loggføres.

Klubbens administratorer ser selve ønsket, kategorien, kommentaren og tidspunktet. De får ikke tilgang til IP-adresser, øktkoder eller andre tekniske koder som brukes til spamvern. De er kun tilgjengelige for Kjern - Rødseth som databehandler, og finnes uansett bare i hashet form.

Kjern - Rødseth har teknisk tilgang i den grad det er nødvendig for drift, feilretting, sikkerhetsoppdateringer og sikkerhetskopiering, og er underlagt taushetsplikt.

5. Lagring og overføring

All data lagres og behandles på servere som fysisk står i Norge og driftes av Kjern - Rødseth. Det skjer ingen overføring av personopplysninger til land utenfor EØS. Sikkerhetskopier lagres på samme måte, i Norge.

6. Hvor lenge vi lagrer

• Ønsker slettes automatisk 365 dager etter innsending. Klubben kan slette dem tidligere, for eksempel når et ønske er ferdig behandlet.
• Tekniske sperrelister mot spam slettes senest etter 24 timer.
• Administrasjonslogg (hvem har gjort hva i dashbordet) lagres i inntil 180 dager av sikkerhetshensyn.
• «Husk denne nettleseren» slettes automatisk etter 30 dager, og med en gang administratoren logger ut eller glemmer enheten.
• Push-adresser for varsler lagres så lenge varsler er slått på, og slettes straks de slås av, eller når nettleserleverandøren melder at adressen ikke lenger finnes.

7. Sikkerhet

Vi har innført tekniske og organisatoriske tiltak i tråd med GDPR artikkel 32, blant annet:

• Kryptert overføring (HTTPS/TLS) mellom nettleseren din og serveren.
• Passord lagres kun som saltede hashverdier (scrypt), aldri i klartekst.
• Beskyttelse mot forfalskede skjemainnsendinger (CSRF) og innholdsinjeksjon (CSP).
• Automatisk sperring av kontoer og IP-koder ved gjentatte mislykkede forsøk.
• Tilgangsstyring med personlige brukere, samt loggføring av administrative handlinger.
• Regelmessige sikkerhetsoppdateringer og sikkerhetskopier utført av databehandler.

Ved et personvernbrudd som medfører risiko for dine rettigheter, varsler Åsane Rideklubb Datatilsynet innen 72 timer, og deg direkte dersom risikoen er høy, jf. GDPR artikkel 33 og 34.

8. Barn og unge

Tjenesten er åpen for alle som besøker stallen, også barn. Fordi innsending alltid er anonym, og fordi vi ikke ber om navn eller kontaktopplysninger, samler vi normalt ikke inn personopplysninger om barn. Foresatte kan når som helst kontakte oss for å få slettet noe som er sendt inn.

9. Dine rettigheter

Etter GDPR kapittel III har du rett til å:

• Få innsyn i hvilke opplysninger vi har om deg (artikkel 15).
• Få rettet opplysninger som er feil eller ufullstendige (artikkel 16).
• Få slettet opplysninger om deg (artikkel 17).
• Begrense behandlingen (artikkel 18).
• Dataportabilitet: få utlevert opplysningene i et maskinlesbart format (artikkel 20).
• Protestere mot behandling basert på berettiget interesse (artikkel 21).
• Trekke tilbake samtykke når som helst, uten at det påvirker lovligheten av behandlingen før tilbaketrekkingen (artikkel 7 nr. 3).

Send henvendelsen til kontakt@kjern.no. Kjern - Rødseth håndterer alle personvernhenvendelser på vegne av Åsane Rideklubb, siden det er Kjern som drifter og lagrer dataene. Du trenger altså ikke kontakte klubben om dette.

Vi svarer normalt innen 30 dager. Fordi ønsker kan sendes inn anonymt, kan vi i noen tilfeller trenge tilleggsopplysninger for å finne igjen akkurat din innsending. Oppgi gjerne omtrentlig tidspunkt og hva du skrev.

10. Klage til Datatilsynet

Mener du at vi behandler personopplysningene dine i strid med regelverket, kan du klage til Datatilsynet. Vi setter pris på om du kontakter kontakt@kjern.no først, slik at vi får mulighet til å rette opp.

Datatilsynet, Postboks 458 Sentrum, 0105 Oslo. datatilsynet.no

11. Endringer

Vi kan oppdatere denne erklæringen, for eksempel ved endringer i tjenesten eller i regelverket. Gjeldende versjon er alltid tilgjengelig på denne siden, med dato for siste oppdatering øverst. Ved vesentlige endringer informerer vi tydelig på forsiden.