Personvernerklæring

1. Hvem er vi?

Samhytte er en digital plattform for administrasjon av hytter. Vi hjelper hytteeiere med kalender, sjekklister, vedlikehold, utgiftsoversikt, dokumenthvelv og hyttelogg — alt samlet på ett sted. Tjenesten kan også brukes til å dele hytteadministrasjonen med familie og andre brukere.

Behandlingsansvarlig for personopplysningene som samles inn gjennom Samhytte er:

RedCherryAIStudio
E-post: personvern@samhytte.no

2. Hvilke opplysninger samler vi inn?

Kontoinformasjon

• E-postadresse — brukes til innlogging via engangskode (magic link) og for viktige varsler om tjenesten
• Navn — vises for andre medlemmer dersom du deler hytta med noen
• Profilbilde — valgfritt, vises for hyttemedlemmer

Hyttedata

• Bookinger — datoer og notater for hyttereservasjoner
• Sjekklister — oppgaver og hvem som har utført dem
• Hyttelogg — tekst og bilder fra besøk
• Vedlikeholdsoppgaver — planlagte og utførte oppgaver, påminnelser
• Utgifter — beløp, beskrivelse og fordeling mellom medlemmer
• Kvitteringer — bilder av kvitteringer som skannes for automatisk utfylling (OCR)
• Dokumenter — filer du laster opp til dokumenthvelvet (forsikringspapirer, kontrakter, osv.)
• iCal-eksport — kalenderdata gjøres tilgjengelig via en unik lenke til din kalenderapp

Tekniske opplysninger

• IP-adresse — brukes midlertidig for frekvensbegrensning (rate limiting) og misbruksvern. Lagres ikke permanent.
• Informasjonskapsler (cookies) — nødvendige informasjonskapsler for innlogging og sesjonshåndtering. Google Tag Manager kan sette informasjonskapsler for anonymisert analyse — se Googles personvernerklæring for detaljer.
• Anonyme bruksdata — Vercel Web Analytics samler anonymisert statistikk om sidevisninger uten bruk av informasjonskapsler og uten personidentifiserende informasjon. Google Tag Manager brukes for anonymisert trafikkanalyse.

3. Hvorfor samler vi inn dette?

Vi samler kun inn opplysninger som er nødvendige for å levere tjenesten.

• Levere tjenestens funksjoner (kalender, sjekklister, utgifter, vedlikehold, dokumenthvelv, hyttelogg) — GDPR art. 6(1)(b) — nødvendig for å oppfylle avtalen
• Innlogging via magic link — GDPR art. 6(1)(b) — nødvendig for å oppfylle avtalen
• Frekvensbegrensning og misbruksvern — GDPR art. 6(1)(f) — berettiget interesse i å beskytte tjenesten
• Sende varsler om vedlikehold og påminnelser — GDPR art. 6(1)(b) — del av tjenestens funksjonalitet
• Anonymisert trafikkanalyse (GTM, Vercel Analytics) — GDPR art. 6(1)(f) — berettiget interesse i å forbedre tjenesten
• Betalingsbehandling via Stripe — GDPR art. 6(1)(b) — nødvendig for å oppfylle avtalen
• Oppbevaring av utgiftsdata etter kontosletting — Bokføringsloven § 13 via GDPR art. 6(1)(c) — rettslig forpliktelse

Vi selger aldri dine data til tredjeparter.

4. Hvem behandler dataene?

Vi bruker følgende databehandlere for å levere tjenesten:

• Supabase (USA, datalagring i EU) — Database, autentisering, fillagring — AWS eu-central-1, Frankfurt
• Vercel (USA, databehandling i EU) — Hosting og kjøring av applikasjonen — EU (arn1)
• Resend (USA) — Sending av innloggingslenker og e-postvarsler — E-post prosesseres via Amazon SES, EU
• Stripe (USA, datalagring i EU) — Betalingsbehandling for abonnement — EU-infrastruktur for europeiske kunder
• Google (USA) — Anonymisert trafikkanalyse via Google Tag Manager — EU/USA

Alle databehandlere er bundet av databehandleravtaler (DPA) i henhold til GDPR artikkel 28. For tjenester med hovedkontor i USA er overføring sikret gjennom EU-U.S. Data Privacy Framework og/eller standard personvernbestemmelser (SCCs).

5. Overføring til land utenfor EU/EØS

Supabase, Vercel, Resend, Stripe og Google har hovedkontor i USA, men lagrer og behandler data i EU for europeiske kunder der det er mulig. I den grad personopplysninger likevel overføres til USA (f.eks. for support eller feilsøking), skjer dette med grunnlag i:

• EU-U.S. Data Privacy Framework (for sertifiserte selskaper)
• Standard personvernbestemmelser (SCCs) vedtatt av EU-kommisjonen

6. Hvor lenge beholder vi dataene?

• Kontoinformasjon (e-post, navn, profilbilde) — Slettes når du sletter kontoen din
• Bookinger, sjekklister, hyttelogg — Anonymiseres ved kontosletting — forfatter fjernes, data beholdes for hyttas historikk
• Vedlikeholdsoppgaver — Anonymiseres ved kontosletting
• Utgifter — Anonymiseres ved kontosletting, men beløp og beskrivelser beholdes i inntil fem år i henhold til bokføringsloven
• Dokumenter — Slettes ved kontosletting, med mindre andre hyttemedlemmer også har tilgang
• Kvitteringsbilder — Slettes ved kontosletting
• Betalingsinformasjon — Håndteres og lagres av Stripe. Samhytte lagrer ikke kortnumre eller betalingsdetaljer.
• IP-adresser (frekvensbegrensning) — Slettes automatisk etter maksimalt 24 timer

7. Hvem kan se dataene dine?

• Du selv — all informasjon du har lagt inn
• Medlemmer av samme hytte — kun dersom du aktivt har invitert dem eller akseptert en invitasjon. De kan se ditt navn, profilbilde, bookinger, utgifter, sjekklister, vedlikeholdsoppgaver og hyttebokinnlegg knyttet til den delte hytta
• Andre brukere — har ingen tilgang til dine opplysninger
• Samhytte-teamet — har tilgang til data kun for teknisk feilsøking og support, og kun når det er nødvendig

8. Sikkerhet

Vi tar sikkerhet på alvor og har implementert følgende tiltak:

• All dataoverføring skjer kryptert via HTTPS/TLS
• Innlogging via tidsbegrensede engangskoder (magic link)
• Frekvensbegrensning (rate limiting) på alle API-endepunkter for å hindre misbruk
• Row Level Security (RLS) i databasen — sikrer at brukere kun får tilgang til data de har rett til
• Content Security Policy (CSP) for å beskytte mot cross-site scripting (XSS)
• Betalinger håndteres av Stripe — vi lagrer aldri kort- eller betalingsinformasjon
• Regelmessige sikkerhetsgjennomganger og avhengighetsoppdateringer

9. Dine rettigheter

I henhold til GDPR har du følgende rettigheter:

• Innsyn — se alle data vi har om deg → Kontakt oss på personvern@samhytte.no, så sender vi en eksport
• Retting — oppdatere feil i dine data → Du kan endre navn og profilbilde i appen når som helst
• Sletting — fjerne kontoen og dine data → Slett kontoen fra profilsiden. Persondata fjernes, utgifter anonymiseres
• Dataportabilitet — få en kopi i maskinlesbart format → Kontakt oss, så sender vi en JSON-eksport
• Innsigelse — protestere mot behandling basert på berettiget interesse → Kontakt oss på personvern@samhytte.no
• Begrensning — be om at behandling begrenses midlertidig → Kontakt oss på personvern@samhytte.no

Vi svarer på henvendelser innen 30 dager.

10. Endringer i personvernerklæringen

Vi kan oppdatere denne personvernerklæringen ved vesentlige endringer i tjenesten eller regelverket. Ved større endringer varsler vi deg via e-post. Gjeldende versjon er alltid tilgjengelig på samhytte.no/personvern.

11. Kontakt og klage

Har du spørsmål om personvern, eller ønsker du å utøve dine rettigheter?

E-post: personvern@samhytte.no

Du har også rett til å klage til Datatilsynet dersom du mener at behandlingen av dine personopplysninger ikke er i samsvar med regelverket:

Datatilsynet
www.datatilsynet.no
postkasse@datatilsynet.no