Personvernerklæring

1. Behandlingsansvarlig

Ansvarlig for behandlingen av personopplysninger på dette nettstedet er:
Tim Schneider
TradeDay&Night (Einzelunternehmen)
Cranachstr. 2
64546 Mörfelden-Walldorf
Tyskland
kontakt@tradedaynight.de

Det er ikke oppnevnt noe personvernombud. De lovbestemte tersklene i § 38 BDSG (den tyske personopplysningsloven) er ikke nådd.

2. Hvilke opplysninger vi behandler

Ved driften av plattformen behandles følgende opplysninger:

• Kontoopplysninger: e-postadresse, brukernavn, passord (lagret bare som hashverdi), tidspunktet for registreringen og for innloggingen. Brukernavnet velger du selv ved registreringen (3 til 20 tegn, kan endres høyst hver 30. dag). Det er offentlig synlig – for eksempel ved bordet ditt, på vurderinger og i chatten – og bør derfor verken inneholde det fulle navnet ditt eller kontaktopplysninger. Fødselsdatoen din spør vi bare om ved registreringen for å kontrollere at du er myndig; vi lagrer bare tidspunktet for denne bekreftelsen, ikke datoen.
• Innlogging med Google eller Apple: Logger du inn med Google-kontoen din, sender Google oss e-postadressen din, navnet ditt og en identifikator for Google-kontoen din; med dette oppretter vi kontoen din eller logger deg inn. Passordet ditt hos Google får vi ikke vite. Leverandør er Google Ireland Limited (Irland); overføring til Google LLC (USA) er mulig. Innlogging med Apple (Apple Distribution International Ltd., Irland) tilbyr vi så snart den er aktivert; der kan du skjule e-postadressen din. Rettsgrunnlaget er oppfyllelse av brukeravtalen (art. 6 nr. 1 bokstav b GDPR).
• Profilopplysninger: forhandlerstatus, medlemskapsstatus, vurderinger.
• Innhold: annonser, produktbilder, chatmeldinger, pris- og byttetilbud mellom brukerne. Endrer noen prisen på et kort, legger ut et nytt kort eller sletter et, lagrer vi kortets tittel, prisen – ved en endring den gamle og den nye, ved et slettet kort den siste –, hvem som gjorde det og når; bare eieren av bordet kan se dette. Etter tolv måneder sletter vi disse oppføringene automatisk.
• Chatter og hvor lenge vi oppbevarer dem: Meldinger, tilbud og bilder i chatten til en forespørsel ser bare de involverte – hos forhandleren også de ansatte forhandleren har gitt tilgang. Med «Skjul for meg» fjerner du en avsluttet chat fra listen din. Chatter uten betalt kjøp sletter vi så snart alle involverte har skjult dem, ellers sju dager etter at de ble avsluttet. Ved et betalt kjøp sletter vi innholdet i chatten (meldinger og bilder) tolv måneder etter siste endring av bestillingen; forespørsel, bestilling, vurdering og linjen med det godtatte tilbudet blir bevart som dokumentasjon. Så lenge et problem eller en tvist er åpen eller en rapport om chatten ennå ikke er avgjort, sletter vi ikke. Rettsgrunnlaget er art. 6 nr. 1 bokstav b GDPR (gjennomføring av handelen) og bokstav f GDPR (dokumentasjon ved tilbakeføringer og krav fra kjøpet). En chat uten kjøp der ingenting har skjedd på 30 dager, regnes også som avsluttet; slettingen varsler vi på forhånd i chatten. Om nye meldinger, tilbud og forespørsler i chatten varsler vi deg i tillegg på e-post. Disse e-postene kan du når som helst melde deg av – under «Min konto» → «Varsler» eller via lenken i hver av disse e-postene; for dette lagrer vi en tilfeldig kode per konto, som vi sletter sammen med kontoen. Varsler i appen berøres ikke, og e-post om bestillinger, betalinger, frister og sikkerheten til kontoen din får du fortsatt.
• Bilder og videoer: Ved opplasting gjør vi bilder mindre og fjerner innebygde opplysninger som kamera, opptakstidspunkt og opptakssted; fra videoer fjerner vi opptaksstedet. Bilder og videoer av kortene dine er offentlig synlige så lenge kortet tilbys.
• Leveringsadresse: fornavn, etternavn, gate, husnummer, postnummer, sted og land. Disse opplysningene vises først for den andre avtaleparten når en handel er bindende bekreftet og betalt – før det er de ikke synlige for motparten. Vi ber ikke om telefonnummer og lagrer ikke noe, så lenge vi ikke tilbyr fraktetiketter; numre som tidligere er oppgitt frivillig, har vi slettet.
• Bestillings- og betalingsopplysninger: bestillingsnummer, beløp, fraktkostnader, provisjonssats, bestillingens status, tidspunktene for betaling, sending og mottaksbekreftelse samt betalingens referanse hos betalingsleverandøren. Kortopplysninger, kontoopplysninger og legitimasjonsopplysninger behandles ikke av oss, men utelukkende av betalingsleverandøren Stripe; vi ser dem ikke på noe tidspunkt.
• Betalingsmåter ved kjøp: Det betales på betalingssiden til Stripe. Hvilke betalingsmåter som vises der, avhenger av landet ditt, beløpet og enheten din: kort, Apple Pay, Google Pay, Link (betalingsopplysninger lagret hos Stripe), bankoverføring, iDEAL, Bancontact, EPS, Przelewy24, Revolut Pay, Amazon Pay, MobilePay, MB WAY, Multibanco og Satispay. Betalingsopplysningene dine legger du inn direkte hos Stripe eller hos den aktuelle tjenesten; vi ser bare beløp, tidspunkt, betalingsmåte og betalingens ID. Avhengig av betalingsmåten behandler i tillegg under eget ansvar: kortselskapene og banken din; Apple eller Google for godkjenningen på enheten din (Apple Pay, Google Pay); ved Revolut Pay, Amazon Pay, MobilePay, MB WAY og Satispay den aktuelle leverandøren; ved iDEAL, Bancontact, EPS, Przelewy24, Multibanco og bankoverføring banken din og operatøren av ordningen. Deres personvernerklæringer gjelder. Rettsgrunnlaget er art. 6 nr. 1 bokstav b i GDPR. Tilbyr Stripe deg PayPal, behandler i tillegg PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxembourg) opplysningene dine under eget ansvar.
• Tilbakeføringer: Får en kjøper en betaling tilbakeført via banken sin, oversender vi betalingsleverandøren Stripe dokumentasjon fra bestillingen, som Stripe videresender til kjøperens bank: bestillingsnummer, type bestilling og kortenes titler, bordets navn med opplysning om salget skjer privat eller som næringsdrivende, selgerens og kjøperens brukernavn på TradeDay&Night, beløp og tidspunkt for betalingen, transportør, sporingsnummer og forsendelsesdato, postnummer og land for leveringsadressen, om og når mottaket ble bekreftet, og bestillingens forløp (betaling, forsendelse, mottak, meldte problemer, tilbakebetalinger). Er ikke det nok, supplerer vi i enkelttilfeller med ytterligere dokumentasjon fra bestillingen, for eksempel et utdrag fra chatten. Rettsgrunnlaget er vår og forhandlerens berettigede interesse i å avverge uberettigede tilbakeføringer (art. 6 nr. 1 bokstav f GDPR).
• Saldoer på forhandlernes utbetalingskontoer: Én gang om dagen henter vi hos Stripe saldoen på hver forhandlers utbetalingskonto – beløp, valuta og om direkte belastning for negativ saldo er satt opp – og lagrer bare siste status på forhandlerens konto; bare vi kan se den. Slik oppdager vi en negativ saldo, for eksempel etter en tilbakeføring, og kan kreve inn utestående beløp. Ved avstemmingen av utbetalingskontoen lagrer vi i tillegg land og valuta for den tilknyttede bankkontoen og om Stripe kan dekke en negativ saldo ved direkte belastning; det avgjør ventetiden før utbetaling (7 eller 30 dager). Rettsgrunnlaget er art. 6 nr. 1 bokstav b og bokstav f GDPR.
• Minstealder for forhandlere: Ved hver avstemming av en forhandlers utbetalingskonto sjekker vi om Stripe registrerer kontoinnehaveren som mindreårig – ut fra fødselsdatoen, i den grad Stripe gir den videre til oss, og ut fra om Stripe krever eller har registrert en verge. Vi lagrer bare resultatet, ikke fødselsdatoen. Er kontoinnehaveren under 18, forblir åpning av et bord og salg sperret, fordi TradeDay&Night først kan brukes fra 18 år. Rettsgrunnlaget er art. 6 nr. 1 bokstav b og bokstav f GDPR.
• Utestående krav og inkasso: Skylder en bruker oss et beløp etter en tilbakeføring, lagrer vi kravet med konto, bestilling, beløp, gebyr, årsak og status. Forblir det ubetalt, kan vi overlate det til et inkassobyrå sammen med de opplysningene som trengs til det – navn, adresse, e-postadresse, bestilling og beløp; det skjer bare ved et utestående krav. Rettsgrunnlaget er vår berettigede interesse i å inndrive kravene våre (art. 6 nr. 1 bokstav f GDPR). Opplysningene om kravet oppbevarer vi som de øvrige bestillings- og betalingsopplysningene (punkt 6).
• Opplysninger til en politianmeldelse ved delbytte: Sender en forhandler ved et delbytte ikke kjøperens kort tilbake innen fristen, stiller vi opplysninger til en politianmeldelse til rådighet for kjøperen. I tillegg til opplysningene om bestillingen inneholder de forhandlerens navn og adresse – leveringsadressen som allerede ble frigitt for kjøperen ved delbyttet – og for næringsdrivende forhandlere opplysningene om selgeren. Rettsgrunnlaget er kjøperens berettigede interesse i å kreve kortene sine tilbake og anmelde forholdet (art. 6 nr. 1 bokstav f GDPR). Til påtalemyndigheten utleverer vi disse opplysningene på forespørsel (art. 6 nr. 1 bokstav c eller bokstav f GDPR).
• Omtrentlig sted: Når du åpner en side, utleder hostingleverandøren vår Vercel landet ditt og et omtrentlig sted (omtrent på bynivå) fra IP-adressen din og gir begge deler videre til serverne våre. Vi bruker disse opplysningene bare til å vise messer og forhandlerbord i rekkefølge etter nærhet og til å si deg om et bord leverer til landet ditt. Er du innlogget og har lagret en leveringsadresse, bruker vi i stedet landet fra denne adressen. Opplysningene lagres ikke, knyttes ikke til kontoen din og gis ikke videre til tredjeparter; ingenting vises eller skjules på grunn av dem, bare rekkefølgen endrer seg. Rettsgrunnlaget er vår berettigede interesse i en oversiktlig framstilling som passer for deg (art. 6 nr. 1 bokstav f GDPR). I tillegg velger vi språk ut fra dette landet når du åpner en adresse uten språkangivelse og verken et tidligere valgt språk eller språkinnstillingen i nettleseren din passer til ett av språkene våre.
• Forhandlernes skatteopplysninger: Forhandlere registrerer navn, adresse, fødselsdato eller foretaksnummer, skatteidentifikasjonsnummer, eventuelt mva-identifikasjonsnummer og frivillig bankopplysninger. Plattformoperatører må etter den tyske loven om skattemessig åpenhet for plattformer (Plattformen-Steuertransparenzgesetz, EU-direktivet DAC7) én gang i året rapportere selgere, antall salg, omsetning og tilbakeholdte gebyrer til det tyske føderale sentralskattekontoret (BZSt); BZSt kan videreformidle opplysningene til skattemyndighetene i andre EU-land. Bare den som når de lovbestemte tersklene, blir rapportert (30 salg eller mer enn 2.000 € i året). Mangler opplysningene når en selger blir rapporteringspliktig, ber vi om dem og minner om det to ganger (etter 20 og 40 dager); foreligger de ikke etter 60 dager, settes nye salg på pause til de er på plass (§ 22 PStTG). Et oppgitt MVA-identifikasjonsnummer – fra forhandlere og ved kjøp for et firma også fra kjøpere – kontrollerer vi i EU-kommisjonens system for utveksling av MVA-opplysninger (VIES); bare nummeret sendes dit, og svaret viser om det er gyldig og eventuelt navnet som er registrert på det. Rettsgrunnlaget er art. 6 nr. 1 bokstav c GDPR. Opplysningene oppbevares i ti år, slik loven krever. Forhandlere uten skatteopplysninger kan frivillig oppgi en fakturaadresse (navn eller firma og adresse) under utbetalingskontoen, slik at provisjonsbilagene deres får et bilagsnummer (art. 6 nr. 1 bokstav b GDPR); den kan fjernes når som helst og slettes sammen med kontoen, mens bilag som allerede er utstedt, oppbevares som fakturaer.
• Private selgere – telling, kontrollpause og egenerklæring: For bord som drives privat, teller vi per kalenderår de betalte salgene og summen av dem. Fra 20 salg eller 1.500 € gjør vi oppmerksom på det; fra 30 salg eller 2.000 € settes nye salg på pause til selgeren har registrert skatteopplysningene sine fullstendig og besvart en egenerklæring (for eksempel: Kjøper du målrettet inn for å selge videre? Selger du nye varer?). Til dette analyserer vi også kortene på bordet – hvor ofte det samme kortet forekommer og hvor mye forseglede varer det er. Er svarene uproblematiske, avsluttes pausen automatisk; ellers vurderer et menneske saken. Pausen oppstår automatisk og er foreløpig; en sperring settes alltid av et menneske. Du kan når som helst via kontaktskjemaet kreve at et menneske vurderer saken. Telling, svar og avgjørelse oppbevarer vi til slutten av det tredje året etter det aktuelle kalenderåret. Det er ikke knyttet noen melding til skattekontoret til dette. Rettsgrunnlaget er vår og kjøpernes berettigede interesse i at ingen opptrer som privatperson når de handler som næringsdrivende (art. 6 nr. 1 bokstav f GDPR).
• Opptegnelser etter § 22f i den tyske merverdiavgiftsloven: For hvert salg på TradeDay&Night registrerer vi det § 22f i den tyske merverdiavgiftsloven (UStG) krever: selgerens navn og adresse (for private selgere også fødselsdato, for næringsdrivende e-postadresse og mva-nummer), skattenummer og bankopplysninger når de er kjent, avsenderlandet, land, postnummer og sted for leveringen, tidspunkt og beløp, kortene som er solgt, og ordrenummeret. Endrer en forhandler forhandleropplysningene eller skatteopplysningene sine eller sletter kontoen, tar vi vare på den tidligere versjonen så lenge tidligere salg trenger den. Vi oppbevarer opptegnelsene i ti år og gir dem elektronisk til skattemyndigheten på forespørsel (§ 22f nr. 4 UStG; art. 6 nr. 1 bokstav c GDPR). Den som rapporteres etter den tyske loven om skattemessig åpenhet for plattformer, får innen 31. januar året etter vite på e-post og i forhandlerområdet hva vi har rapportert. Forhandlere kan laste ned salgene sine som regneark; det inneholder kjøperens brukernavn og land, postnummer og sted for leveringen, som de uansett får for forsendelsen.
• Opplysninger om næringsdrivende selgere: Næringsdrivende selgere må oppgi navn eller foretaksnavn, adresse og kontaktopplysninger til kjøperne (§ 312l BGB, art. 246d EGBGB). Disse opplysningene står på en egen side for bordet. E-postadressen vises først etter et klikk; til det teller vi visningene per besøkende – innlogget via brukeridentifikatoren, ellers via en ikke-reverserbar nøkkel laget av IP-adressen – og sletter denne tellingen etter to dager, slik at ingen kan samle inn adressene automatisk. Telefonnummeret viser vi bare hvis selgeren uttrykkelig har frigitt det. Ved hver bestilling registrerer vi opplysningene slik de gjaldt ved kjøpet. Rettsgrunnlaget er art. 6 nr. 1 bokstav c GDPR, for antallsgrensen bokstav f.
• Venteliste for flere land: Skriver du deg på ventelisten for et land der forhandlerkontoer ennå ikke er mulige, lagrer vi landet, sidens språk og tidspunktet på kontoen din. Så snart forhandlerkontoer er mulige der, sender vi deg en e-post til kontoens adresse; 30 dager etter denne e-posten sletter vi oppføringen. Du kan når som helst ta deg av ventelisten samme sted, og oppføringen slettes også sammen med kontoen din. Rettsgrunnlaget er samtykket ditt (art. 6 nr. 1 bokstav a GDPR), som du trekker tilbake ved å ta deg av ventelisten.
• Åpningsliste: Melder du deg på åpningslisten før åpningen, lagrer vi e-postadressen din, sidens språk, versjonen av samtykketeksten og tidspunktene for påmelding og bekreftelse – på grunnlag av samtykket ditt (art. 6 nr. 1 bokstav a GDPR). Først får du en e-post for å bekrefte; uten bekreftelse sletter vi påmeldingen etter 7 dager. Ved åpningen sender vi deg nøyaktig én e-post og sletter deretter adressen. Du kan melde deg av når som helst via lenken i bekreftelseseposten; da trekker du tilbake samtykket ditt. For å hindre misbruk teller vi påmeldinger per adresse og per IP-adresse, slik det er beskrevet under grensene mot misbruk. E-postene sendes via Resend.
• Adresseforslag og adressekontroll: Når du legger inn leveringsadressen, foreslår vi passende adresser og kontrollerer ved lagring om adressen finnes. For dette sender serveren vår den innskrevne adresseteksten – uten navnet ditt og uten IP-adressen din – til Photon, en adressetjeneste fra komoot GmbH (Tyskland) som bygger på de åpne kartdataene fra OpenStreetMap. Vi lagrer ikke disse forespørslene. Rettsgrunnlaget er oppfyllelsen av avtalen, som forutsetter en leverbar adresse (art. 6 nr. 1 bokstav b GDPR), og vår berettigede interesse i feilfrie sendinger (art. 6 nr. 1 bokstav f GDPR).
• Beskyttelse mot automatiserte forespørsler: I skjemaene for innlogging, registrering, tilbakestilling av passord, kontakt, innløsning av gavekoder, innsending av ønsker og oppsigelse av avtaler kontrollerer vertstjenesten vår Vercel (BotID) om det er et menneske som sender dem. Til dette vurderes tekniske kjennetegn ved nettleseren din og IP-adressen din; det opprettes ingen informasjonskapsler for reklame eller analyse. Rettsgrunnlaget er vår berettigede interesse i å beskytte plattformen og brukerne mot misbruk som masseforsøk på innlogging og søppelpost (art. 6 nr. 1 bokstav f GDPR). I skjemaene for innlogging, registrering, tilbakestilling av passord, kontakt og rapportering av innhold bruker vi i tillegg Cloudflare Turnstile (se punkt 4). En boks å krysse av i vises bare når vi mistenker en automatisert forespørsel – for eksempel etter mange mislykkede forsøk.
• Antallsgrenser mot misbruk: For å beskytte kontoer og postkasser mot masseforsøk teller vi mislykkede innlogginger samt registreringer, forespørsler om tilbakestilling av passord, kontaktmeldinger, rapporter uten konto og innløsning av gavekoder – hver for seg per e-postadresse eller konto og per IP-adresse. Til dette lagrer vi verken adressen eller IP-adressen selv, bare en kontrollverdi (HMAC) laget med nøkkelen vår, som ikke kan regnes tilbake uten denne nøkkelen; den slettes senest etter én dag, de mislykkede forsøkene for en adresse allerede ved neste vellykkede innlogging. Nås en grense, ber vi om en kort bekreftelse eller litt tålmodighet. Rettsgrunnlaget er vår berettigede interesse i å beskytte plattformen og brukerne mot misbruk (art. 6 nr. 1 bokstav f GDPR).
• Automatisk chatfilter og advarsler: Chatten kontrollerer meldinger automatisk før de sendes, for telefonnumre, e-postadresser, postadresser, kontakter i andre tjenester og eksterne lenker – slik beskytter vi kjøpere og selgere mot svindel utenfor plattformen. Tydelige tilfeller leveres ikke og fører til en advarsel; uklare tilfeller blir bare ikke levert. Etter tre advarsler innen 30 dager sperres chatten i 30 dager; å se, kjøpe og pågående bestillinger er fortsatt mulig. Vi lagrer advarselen, tidspunktet og grunnen. Denne sperringen oppstår automatisk: Du kan når som helst via kontaktskjemaet kreve at et menneske vurderer den, legge fram ditt syn og bestride den; var den ikke berettiget, opphever vi den. Rettsgrunnlaget er vår berettigede interesse i en sikker drift av plattformen uten misbruk (art. 6 nr. 1 bokstav f GDPR).
• Rapporter om innhold: Den som melder innhold via «Meld», sender oss årsaken, en beskrivelse, frivillig en e-postadresse og – når innlogget – opptil fem bilder som dokumentasjon; en melding fra en innlogget bruker knyttes til kontoen; ved en melding fra en chat ser vi gjennom den aktuelle chathistorikken. Vi avgjør meldingen og gir den som meldte og den berørte personen beskjed om avgjørelsen med begrunnelse (art. 16 og 17 i Digital Services Act). Meldingen oppbevarer vi som dokumentasjon for avgjørelsen; bildene sletter vi seks måneder etter avgjørelsen, når fristen for en klage er utløpt. Rettsgrunnlaget er art. 6 nr. 1 bokstav c i GDPR sammenholdt med Digital Services Act samt vår berettigede interesse i en trygg plattform (bokstav f).
• Blokkering: Blokkerer du en konto, lagrer vi hvem som har blokkert hvem, slik at det ikke oppstår nye forespørsler og meldinger mellom dere. Pågående bestillinger blir likevel gjennomført. Blokkeringen gjelder til du opphever den eller en av kontoene slettes. Rettsgrunnlaget er art. 6 nr. 1 bokstav b og f GDPR.
• Kontaktskjema og e-post: Skriver du til oss via kontaktskjemaet, behandler vi navn, e-postadresse og melding for å svare. Meldingen når oss via e-posttjenesten vår (Resend) som e-post i postkassen vår hos Google (Gmail). Vi oppbevarer korrespondansen så lenge den trengs for saken din, og utover det bare når det finnes en lovbestemt oppbevaringsplikt (for eksempel for forretningsbrev etter § 257 HGB, den tyske handelsloven). Rettsgrunnlaget er art. 6 nr. 1 bokstav b eller bokstav f GDPR.
• Oppsigelse via «Si opp avtaler her»: For en oppsigelse via oppsigelsesknappen (§ 312k BGB) behandler vi navn, e-postadresse, avtalen som sies opp, typen oppsigelse, eventuelt grunnen og tidspunktet, og vi bekrefter oppsigelsen på e-post. Oppsigelsen oppbevarer vi som dokumentasjon til krav fra avtalen er foreldet (tre år fra slutten av året for oppsigelsen). Rettsgrunnlaget er art. 6 nr. 1 bokstav c GDPR sammenholdt med § 312k BGB.
• App og varsler: I appen vår for Android og iOS gjelder de samme reglene som på nettstedet. Tillater du varsler, lagrer vi per enhet en identifikator for varsler (push-token), operativsystemet og språket i appen, for eksempel for å varsle deg om nye meldinger eller innbetalinger. Varslene går via Firebase Cloud Messaging fra Google (Google Ireland Limited; behandling i USA er mulig). Identifikatoren sletter vi når du logger ut, når Google melder den som ugyldig, eller når du sletter kontoen din. Rettsgrunnlaget er samtykket ditt (art. 6 nr. 1 bokstav a GDPR, § 25 nr. 1 TDDDG), som du når som helst kan trekke tilbake i innstillingene på enheten din. Medlemskap selger vi ikke i appen. Oppstår det en feil i appen, eller krasjer den, melder den dette til feilloggen vår – bare med appversjon, operativsystem, den berørte skjermen og feilmeldingen, uten kontoen din og uten innhold. Til dette husker appen på enheten din om den sist ble avsluttet riktig. Rettsgrunnlaget er vår berettigede interesse i en feilfri app (art. 6 nr. 1 bokstav f GDPR, § 25 nr. 2 punkt 2 TDDDG).
• Anbefalingslenker til Amazon: Noen anbefalinger av messeutstyr lenker til Amazon med partner-ID-en vår. Før du klikker på en slik lenke, får Amazon ingen data fra oss. Etter klikket gjelder personvernerklæringen og informasjonskapslene til Amazon; kjøper du noe der, får vi en provisjon uten å få vite hvem som har kjøpt. Rettsgrunnlaget er vår berettigede interesse i finansieringen av plattformen (art. 6 nr. 1 bokstav f GDPR).
• Sikkerhetskopier og logger: Databasen vår sikkerhetskopierer vi daglig til et ikke-offentlig lager hos databaseleverandøren vår Supabase i EU; hver sikkerhetskopi sletter vi etter 14 dager. Vertstjenesten vår Vercel logger tekniske data når sidene åpnes (IP-adresse, tidspunkt, adressen som ble åpnet, nettleseridentifikasjon) for sikker drift og feilsøking, og sletter dem etter kort tid. Feil på serverne våre registrerer vi i en egen feillogg – uten IP-adresse og uten skjemainnhold, bare adressen, typen og meldingen for feilen – for å rette dem; en rettet feil sletter vi fra loggen 90 dager senere. Rettsgrunnlaget er vår berettigede interesse i en sikker og tilgjengelig drift (art. 6 nr. 1 bokstav f GDPR). [Før inn slettefristen for serverloggene hos Vercel (avhengig av abonnement)]

Innsyn ved tvist: Melder en side en tvist før betalingen frigis, ser vi på det aktuelle chatforløpet og bestillingsopplysningene for å avgjøre om det skal skje en tilbakebetaling eller en frigivelse. Uten en meldt tvist leser vi ikke chatter. Rettsgrunnlaget er art. 6 nr. 1 bokstav b og bokstav f GDPR.

Samleliste: Oppretter du en samleliste, lagrer vi navnet og kortene på den med sett, nummer, språk, tilstand, antall, maksprisen din, notatet ditt og om du har krysset dem av – på kontoen din, slik at nettstedet og appen viser samme liste (art. 6 nr. 1 bokstav b GDPR). Appen har en kopi på enheten din, slik at listen også fungerer uten nett; når du logger ut, slettes den der. Oppretter du en lesekobling, kan alle med koblingen se navnet på listen og kortene – uten makspris, notat og konto. Du kan når som helst trekke tilbake koblingen. Lister sletter du selv; når kontoen din slettes, slettes alle samlelister.

3. Rettsgrunnlag

Behandlingen skjer for å oppfylle bruksavtalen (art. 6 nr. 1 bokstav b GDPR), for å oppfylle rettslige plikter (art. 6 nr. 1 bokstav c GDPR) og på grunnlag av vår berettigede interesse i en sikker drift av plattformen (art. 6 nr. 1 bokstav f GDPR).

4. Tjenesteleverandører vi bruker

Vi bruker følgende tjenesteleverandører. Med databehandlerne foreligger det en avtale etter art. 28 GDPR.

• Vercel (Vercel Inc., USA) – hosting av nettstedet. Serverfunksjonene i dette prosjektet kjører i regionen Dublin, Irland (dub1). Databehandler. [Bekreft databehandleravtalen – i Vercel-dashbordet under Settings, Legal]
• Supabase (Supabase Inc., USA) – database, brukerkontoer, fillagring og sanntidsoppdatering av chatten. Opplysningene ligger i regionen eu-west-1 (Irland). Databehandler. [Bekreft databehandleravtalen – i organisasjonsinnstillingene i Supabase]
• Resend (Resend, Inc., USA) – utsending av varsel-e-poster. Det overføres e-postadresse og innholdet i den enkelte meldingen. Databehandler; behandlingen finner sted i USA. [Bekreft databehandleravtalen og oppgi grunnlaget for overføringen til USA – tilstrekkelighetsbeslutning (Data Privacy Framework) eller standard personvernbestemmelser]
• Cloudflare (Cloudflare, Inc., USA) – Turnstile, en kontroll mot automatiserte forespørsler i innloggings- og kontaktskjemaene. IP-adresse og tekniske kjennetegn ved nettleseren behandles. Databehandler; behandling i USA er mulig. [Bekreft databehandleravtalen (Cloudflare Data Processing Addendum) og oppgi grunnlaget for overføringen til USA – tilstrekkelighetsbeslutning (Data Privacy Framework) eller standard personvernbestemmelser]
• Stripe (Stripe Payments Europe, Limited, Irland, samt Stripe, Inc., USA) – avvikling av det betalte medlemskapet, av betalingene mellom brukerne og av utbetalingene til forhandlerne. Stripe behandler betalingsopplysninger i stor grad som selvstendig behandlingsansvarlig og ikke på våre vegne, særlig for å oppfylle egne tilsynsrettslige plikter (hvitvaskingsforebygging, identitetskontroll av forhandlerne). For denne behandlingen gjelder personvernerklæringen til Stripe. Hvilke betalingsmåter Stripe tilbyr, og hvilke tjenester som står bak, står i punkt 2 under «Betalingsmåter ved kjøp».
• Google (Google Ireland Limited, Irland, og Google LLC, USA) – innlogging med Google etter ditt ønske, varsler i appen (Firebase Cloud Messaging) og e-postkassen vår (Gmail), der meldinger fra kontaktskjemaet kommer inn. For Firebase Cloud Messaging og postkassen er Google databehandler; behandling i USA er mulig. [Bekreft databehandleravtalen (Firebase: Data Processing and Security Terms) og oppgi grunnlaget for overføringen til USA; for postkassen velg en konto med databehandleravtale (Google Workspace) eller en postkasse på eget domene]
• YouTube (Google Ireland Limited, Irland, og Google LLC, USA) – selgernes direktesendinger på bordsiden deres. Avspilleren lastes først inn når du trykker på «Last inn sending»; før det er det ingen forbindelse til YouTube. Deretter mottar Google blant annet IP-adressen din, opplysninger om nettleser og enhet og siden du ser på, og kan sette informasjonskapsler; behandling i USA er mulig (Data Privacy Framework). Vi bruker modusen for utvidet personvern (youtube-nocookie.com). Rettsgrunnlaget er samtykket ditt gitt med klikket (art. 6 nr. 1 bokstav a GDPR, § 25 nr. 1 TDDDG). For behandlingen hos YouTube gjelder Googles personvernerklæring.

5. Informasjonskapsler og lokal lagring

Vi bruker bare informasjonskapsler og lokal lagring som er teknisk nødvendige: informasjonskapslene for innlogging, som kontoen ikke kan brukes uten; en informasjonskapsel med sist valgte språk (ett år); i appen en informasjonskapsel som markerer app-visningen (30 minutter); en informasjonskapsel med svaret på språkforslaget (ett år); ved innlogging med kode og ved tilbakestilling av passordet en informasjonskapsel med den oppgitte e-postadressen, slik at koden kan knyttes til den (én time); etter at en fødselsdato under 18 år er oppgitt, en informasjonskapsel som sperrer registreringen (24 timer); frem til lanseringen en informasjonskapsel som gir tilgang til forhåndsvisningen (opptil 180 dager); og når du blir med i en forhandlers team, en informasjonskapsel med invitasjonen (én time). I selve nettleseren (localStorage eller sessionStorage) lagres de sist brukte søkeordene, valget mellom lyst og mørkt utseende, innholdet i forespørselskurven, en påminnelse om vurdering som du har lukket og utkastet til et produkt mens det opprettes – disse opplysningene blir på enheten.

Analyse- eller markedsføringsverktøy bruker vi ikke. Et samtykkebanner er derfor ikke nødvendig.

Merknad til operatøren, ikke til brukerne: [Så snart et analyse- eller markedsføringsverktøy kommer til, er et samtykkebanner påbudt her, og avsnittet ovenfor må erstattes]

6. Lagringstid

Kontoopplysninger lagrer vi så lenge kontoen består. På forespørsel til adressen nevnt ovenfor sletter vi en konto; unntatt er opplysninger som vi må eller kan oppbevare.

Du kan når som helst slette kontoen din selv: under «Min konto» → «Slett konto». Forutsetningen er at ingen bestilling pågår lenger. Innloggingsopplysningene, profilen, leveringsadressen, søkeannonsene, favorittene (kort og forhandlere), samlelistene, varslene, stemmene og advarslene dine slettes umiddelbart; et aktivt medlemskap avsluttes. Bordet ditt og kortene dine tas ut av katalogen. Det vi må oppbevare – bestillings-, betalings- og fakturaopplysninger samt skatteopplysninger om forhandlere –, blir lagret sperret i den lovpålagte perioden; selve profilen blir da anonymisert. Chathistorikk og vurderinger forblir lesbare for motparten, der det står «Slettet konto» i stedet for navnet ditt. Rettsgrunnlaget for oppbevaringen er art. 6 nr. 1 bokstav c GDPR sammenholdt med § 147 AO og § 257 HGB, for å fortsette å vise chattene vår berettigede interesse og motpartens berettigede interesse i en etterprøvbar handel (art. 6 nr. 1 bokstav f GDPR).

Hvor lenge vi oppbevarer chatter, står i punkt 2 under «Chatter og hvor lenge vi oppbevarer dem». Alle frister samlet viser tabellen på slutten av dette punktet.

Bestillings-, betalings- og fakturaopplysninger oppbevarer vi etter kravene i handels- og skatteretten: ti år etter § 147 Abgabenordnung (den tyske skatteforvaltningsloven) og § 257 Handelsgesetzbuch (den tyske handelsloven), regnet fra utgangen av det kalenderåret bestillingen ble avsluttet i. I denne tiden er opplysningene sperret for videre behandling.

Advarsler og sperreperioder sletter vi når de ikke lenger er nødvendige for å hindre misbruk.

Slettefrister i oversikt

Denne tabellen oppsummerer hvor lenge vi oppbevarer hvilke data. Sperret betyr: Dataene oppbevares bare for det nevnte formålet og behandles ellers ikke lenger.

7. Rettighetene dine

Du har rett til innsyn, retting, sletting, begrensning av behandlingen, dataportabilitet og innsigelse. I tillegg har du rett til å klage til en tilsynsmyndighet for personvern. Ansvarlig myndighet er Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

Automatiserte avgjørelser: Noen trinn skjer automatisk: chatsperringen etter tre advarsler, kontrollpausen for private selgere fra grensen og sperringen av en konto hvis en kjøper får en betaling tilbakeført etter selv å ha bekreftet mottaket, hvis en forhandler ved et delbytte ikke sender kjøperens kort tilbake innen fristen, eller hvis en forhandler taper to tilbakeføringer ved egen skyld innen 90 dager. Alle disse trinnene er foreløpige. Du kan når som helst kreve at et menneske vurderer saken, legge fram ditt syn og bestride avgjørelsen (art. 22 nr. 3 GDPR) – enklest via kontaktskjemaet. En endelig sperring av kontoen din eller salgene dine avgjøres alltid av et menneske.