Personvernerklæring

1. Behandlingsansvarlig

EUROSPAR Moa drives av MOA MAT AS (org.nr. 995 711 907, Langelandsvegen 25, 6010 Ålesund), som er behandlingsansvarlig for personopplysninger som samles inn via denne nettsiden.

Kontakt oss på eurospar.moa@spar.no eller telefon 70 17 81 81 ved spørsmål om personvern.

2. Hvilke opplysninger vi samler inn

Vi samler inn følgende opplysninger:

• Kontaktskjema: Navn, e-post, telefon, emne og melding som du oppgir frivillig. Velger du emnet «Bestilling / Catering», sendes henvendelsen (navn, e-post, telefon, melding og IP-adressen din) videre til Gange-Rolv Catering, som svarer deg.
• Kundeklubb: E-postadresse (påkrevd), navn (valgfritt) og fødselsdato (påkrevd for aldersverifisering). Fødselsdato brukes kun til å bekrefte at du er minst 18 år og lagres ikke. Dersom du samtykker separat til bursdagsgave, lagres kun dag og måned for å sende deg en kupong på bursdagen din.
• Jobbsøknader: Navn, e-post, telefon (valgfritt), søknadstekst og CV (valgfritt) ved søknad på ledige stillinger.
• Vern mot misbruk: Når du sender kontaktskjema, jobbsøknad eller melder deg på kundeklubben, lagrer vi IP-adressen din kortvarig i en teller som stopper automatiserte masseutsendelser. Telleren gjelder i et kort tidsvindu og slettes automatisk, senest etter to døgn.
• Feilovervåking: Tekniske feildata (feilmelding, side og nettleser) sendes til Sentry for å oppdage og rette feil.
• Endringslogg i admin: Når en ansatt endrer innhold i administrasjonen, lagres hvem som gjorde det og hva som ble endret. Gjelder ansatte, ikke besøkende.

3. Formål med behandlingen

Vi bruker opplysningene til:

• Besvare henvendelser via kontaktskjemaet
• Rette feil og holde nettsiden sikker og i drift
• Sende nyhetsbrev, kuponger og tilbud til kundeklubb-medlemmer
• Verifisere at medlemmer er minst 18 år (aldersgrense iht. markedsføringsloven)
• Sende bursdagsgave til medlemmer som har gitt separat samtykke til dette
• Behandle jobbsøknader og kontakte aktuelle kandidater

4. Rettslig grunnlag

Vi behandler personopplysninger basert på følgende grunnlag (GDPR artikkel 6):

• Samtykke (art. 6(1)(a)): Registrering i kundeklubben, mottak av nyhetsbrev, og bursdagsgave er basert på ditt frivillige samtykke. Du kan når som helst trekke samtykket tilbake.
• Pre-kontraktuelle tiltak (art. 6(1)(b)): Behandling av jobbsøknader for å vurdere søkere til ledige stillinger.
• Berettiget interesse (art. 6(1)(f)): Aldersverifisering for å overholde markedsføringsloven og beskytte mindreårige. Besvare henvendelser via kontaktskjemaet, beskytte skjemaene mot misbruk, rette feil (Sentry) og føre endringslogg i administrasjonen. Vi beholder også e-postadressen til en som har meldt seg av nyhetsbrevet, slik at vi ikke sender til den igjen (se punkt 6).

5. Databehandlere og overføring til tredjeland

Vi bruker følgende tjenesteleverandører som behandler personopplysninger på våre vegne. Noen av disse er basert i USA. Overføring til USA er basert på EU-kommisjonens standardkontraktbestemmelser (SCC) og/eller EU-US Data Privacy Framework (DPF).

• Supabase Inc. (USA / lagring i EU, Stockholm): Databaselagring. Persondata lagres på servere i EU (eu-north-1).
• Vercel Inc. (USA): Hosting av nettsiden. Overføring basert på SCC + DPF.
• Resend / Plus Five Five, Inc. (USA): E-postutsending av nyhetsbrev, kuponger og transaksjons-e-post. Overføring basert på SCC.
• Cloudflare, Inc. (USA), Turnstile: Beskyttelse mot automatiserte innsendinger i kontaktskjemaet, leverandørskjemaet og jobbsøknaden. Når du sender inn et skjema, vurderer Cloudflare om du er et menneske, og får da IP-adressen din og informasjon om nettleseren din. Grunnlaget er vår berettigede interesse i å sikre nettsiden mot misbruk (GDPR art. 6 nr. 1 bokstav f). Overføring til USA er basert på SCC og/eller DPF.
• Google LLC (USA) og YouTube: Kart (Google Maps) og video (YouTube) lastes først etter at du har samtykket til markedsføringskategorien i cookie-banneret. Da får Google IP-adressen din og informasjon om nettleseren din.
• Google LLC (USA), Google Translate: Språkvelgeren i toppen av siden oversetter sidens innhold i nettleseren din. Funksjonen lastes først etter at du har samtykket til preferansekategorien i cookie-banneret. Da sendes teksten på siden du ser på til Google for å bli oversatt, og Google får IP-adressen din og informasjon om nettleseren din. Oversettelsen gjelder sidens tekst. Uten samtykke lastes ingenting fra Google, og siden vises på norsk.
• Functional Software, Inc. / Sentry (USA): Feilovervåking. Overføring til USA er basert på SCC og/eller DPF.
• OpenAI (USA): Ansatte kan bruke et AI-verktøy til å lage utkast til svar til jobbsøkere. Da sendes søkerens navn, stillingstittel og de første 300 tegnene av søknadsteksten til OpenAI (USA), som lager et forslag. Forslaget leses, endres og sendes av en ansatt; det blir ikke sendt automatisk. Ansatte kan også bruke OpenAI til å lage tekst til nyhetsbrev, uten personopplysninger om mottakere. Overføring til USA skjer etter reglene i GDPR kapittel V.
• Gange-Rolv Catering: Mottar henvendelser som sendes med emnet «Bestilling / Catering» (se punkt 2).
• Usercentrics A/S / Cookiebot (Danmark, EØS): Samtykkehåndtering (cookie-banner). Lagrer dokumentert samtykkelogg.

Der leverandøren er databehandler for oss, behandler den opplysningene bare etter våre instrukser.

6. Oppbevaring og sletting

• Kundeklubb-data: Lagres så lenge du er aktivt medlem. Ved avmelding slettes navn, dag/måned og samtykkedata umiddelbart. E-postadressen blir stående som en sperreliste (markert som avmeldt), slik at du ikke får nyhetsbrev igjen ved en feil. Det skjer fordi vi har en berettiget interesse i å respektere avmeldingen din. Vil du at også e-postadressen slettes, bruker du «slett permanent» på avmeldingssiden eller kontakter oss.
• Permanent sletting: Etter avmelding kan du velge å slette alle dine data permanent, inkludert e-postadresse, via knappen på avmeldingssiden eller ved å kontakte oss (GDPR art. 17).
• Kontaktskjema: Henvendelser oppbevares i inntil 12 måneder, deretter slettes de.
• Jobbsøknader: Søknader og CV slettes automatisk 6 måneder etter innsending. Endrer vi statusen på søknaden (behandlet), regnes de 6 månedene fra da. Slettingen kjøres en gang i måneden. Vi lagrer ikke lenger uten at vi ber om samtykke. Du kan når som helst be om sletting ved å kontakte oss.
• Kupongdata: Innløste kuponger er knyttet til medlemmet og slettes sammen med medlemmet når e-postadressen slettes permanent.
• Misbruksteller (IP-adresse): Slettes automatisk, senest etter to døgn.
• Endringslogg i admin: Slettes automatisk etter 24 måneder.

7. Informasjonskapsler (cookies)

Nettsiden bruker et cookie-banner levert av Cookiebot (Usercentrics A/S) for å innhente og dokumentere ditt samtykke. Du velger selv hvilke kategorier informasjonskapsler du aksepterer:

• Nødvendige: Kreves for at siden skal fungere. Krever ikke samtykke.
• Preferanser (språkvalg): Hvis du slår på oversettelse, lagrer Google Translate språket du valgte i en cookie (googtrans) i nettleseren din. Den lastes og settes bare etter samtykke til preferansekategorien, og fjernes når du velger norsk eller trekker samtykket tilbake.
• Eksternt innhold (Google Maps, YouTube): Kart og videoer lastes først etter at du har samtykket til markedsføringskategorien. Før det vises bare en lenke.

Du kan når som helst endre eller trekke tilbake samtykket via cookie-innstillingene nederst på siden, eller ved å slette informasjonskapslene i nettleseren din.

8. Dine rettigheter

Etter GDPR og personopplysningsloven har du rett til å:

• Be om innsyn i dine personopplysninger (art. 15)
• Be om retting av uriktige opplysninger (art. 16)
• Be om sletting av dine opplysninger — kundeklubb-data kan du slette selv via avmeldingssiden, øvrige forespørsler sendes til oss (art. 17)
• Be om begrensning av behandlingen (art. 18)
• Trekke tilbake samtykke — f.eks. avmelde deg fra kundeklubben via lenke i e-postene (art. 7)
• Protestere mot behandling basert på berettiget interesse (art. 21)
• Klage til Datatilsynet dersom du mener vi behandler opplysninger i strid med regelverket (art. 77)

Send forespørsler til eurospar.moa@spar.no. Vi svarer innen 30 dager.

9. Sikkerhet

Vi tar sikkerhet på alvor og bruker kryptert forbindelse (HTTPS), sikre lagringsløsninger med radnivå-sikkerhet (RLS), tidssikre sammenligninger og tilgangskontroll for å beskytte dine opplysninger.