Personvernerklæring

1. Behandlingsansvarlig

Misjon Sarepta (org.nr. 913 786 602) er behandlingsansvarlig for personopplysningene som behandles gjennom våre nettsider og vårt påmeldings- og administrasjonssystem.

Misjon Sarepta, 4365 Nærbø
E-post: it@misarepta.no
Nettsted: misarepta.no

2. Hvem og hva registrerer vi?

Denne erklæringen gjelder opplysningene vi har i systemet vårt. Vi har to grupper.

Ansatte og frivillige med tilgang

• Navn, e-postadresse og mobilnummer
• Rolle og tilgangsnivå
• Hvilke steder og arrangementer du er satt til å følge opp
• Når du sist logget inn, og hva du har endret

Deltakere og gjester

• Navn og kontaktinformasjon på den som melder på
• Navn og alder på alle som kommer
• Datoer, sted, rom og pensjon
• Allergier og særlige behov, hvis du skriver det inn
• Reiseopplysninger når du bestiller henting: flynummer, tidspunkt og bagasje

Vi har ikke kortnumre, kontonumre eller andre betalingsopplysninger. Betaling skjer et annet sted enn her.

3. Grunnlag og formål

Avtale (GDPR art. 6 b)

• Å gjennomføre arrangementet du har meldt deg på
• Å gi deg en konto og en tilgang når du arbeider for oss
• Å sende deg innloggingskoder og beskjeder som hører til påmeldingen

Berettiget interesse (GDPR art. 6 f)

• Intern drift og administrasjon
• Å se hvem som har endret hva, så feil kan rettes og misbruk oppdages

Rettslig forpliktelse (GDPR art. 6 c)

• Krav som følger av lov, der det gjelder

4. Helseopplysninger

Når du melder deg på, kan du skrive inn allergier og særlige behov. Det du skriver der er en helseopplysning etter personvernforordningen artikkel 9, og den har et strengere vern enn resten.

Grunnlaget vårt er ditt uttrykkelige samtykke (art. 9 nr. 2 bokstav a). Du gir det ved å skrive opplysningen inn, og feltet er frivillig. Lar du det stå tomt, går påmeldingen like godt.

Slik behandler vi det:

• Feltet er kryptert i databasen. Det er den eneste opplysningen om deg som er det.
• Det ligger sammenfoldet på skjermen, så den som bare skal se hvem som kommer, ikke får det opp.
• Det er bare synlig for den som er satt til å følge opp nettopp det stedet. En kollega et annet sted ser det ikke.
• Det slettes etter tre år, sammen med navnet.

Bestiller du henting og krysser av for rullestol eller annet utstyr, lagres det sammen med reiseopplysningene og ikke i feltet over. Det er praktisk informasjon til sjåføren, og det er ikke kryptert.

5. Databehandlere og tredjeparter

Vi deler ikke personopplysninger med noen for kommersielle formål. For å drifte tjenesten bruker vi disse, og alle tre er databehandlere med avtale:

• Gigahost AS, Sandefjord — serveren og databasen (Norge)
• Amazon Web Services, Stockholm — all e-post ut (EU)
• Cloudflare, EU-endepunkt — nattlig sikkerhetskopi av databasen (EU)

SMS sendes gjennom 46elks AB i Sverige. De er ikke databehandler for oss: en svensk ekomtilbyder er selvstendig behandlingsansvarlig for selve frakten av meldingen, på samme måte som Posten er det for et brev. De er underlagt svensk ekomlov og tilsyn fra Post- och telestyrelsen.

Vi gir også ut opplysninger til offentlige myndigheter der loven krever det.

Ingen av dem lagrer opplysningene utenfor EU/EØS.

6. Lagringstid

Vi lagrer så lenge vi trenger det, og ikke lenger.

Hva	Hvor lenge
Påmeldinger: navn, kontaktinformasjon, allergier og særlige behov	3 år etter arrangementet
Påmeldinger: antall, datoer, sted, alder og kjønn	Blir liggende som statistikk, uten navn
Mobilnummer og innhold i SMS vi har sendt	180 dager
Nettsikkerhetsgjennomgangen: adresse og framdrift	2 år fra siste aktivitet
Papirkurven	1 år, så slettes den for godt
Brukerkonto for ansatte og frivillige	Til kontoen legges bort

Etter tre år fjernes navnet fra påmeldingen, ikke raden. Kontaktpersonen slettes, deltakernavnene tømmes, og det samme gjør allergier, særlige behov og interne notater. Igjen står antall, datoer, sted, alder og kjønn — tall vi trenger for å planlegge, og som ikke peker på noen.

7. Hvordan vi sikrer opplysningene

• Alle som har tilgang logger inn med eget passord og en engangskode fra telefonen. Felles innlogginger er på vei ut.
• Tilgang gis per sted og per oppgave. Den som steller påmeldingene ett sted, ser ikke et annet.
• Hver endring logges med hvem og når.
• Lenken du får i en påmeldings-e-post er nøkkelen, og vi lagrer bare et avtrykk av den. Vi kan ikke lage lenken om igjen — heller ikke hos oss. Bruker du den, får den ny levetid, så den varer så lenge du følger med på påmeldingen din. Slutter den å virke, sletter vi avtrykket en måned etterpå.

8. Dine rettigheter

Etter personopplysningsloven og GDPR har du rett til å:

• Innsyn — få vite hvilke opplysninger vi har om deg (art. 15)
• Retting — få rettet det som er galt eller ufullstendig (art. 16)
• Sletting — be om at opplysninger slettes, med mindre vi må beholde dem (art. 17)
• Begrensning — be om at behandlingen begrenses (art. 18)
• Dataportabilitet — få det du selv har gitt oss i et maskinlesbart format (art. 20)
• Innsigelse — protestere mot behandling basert på berettiget interesse (art. 21)
• Å trekke samtykket — for allergier og særlige behov kan du når som helst be oss slette det du har skrevet

Skriv til it@misarepta.no. Vi svarer innen 30 dager.

9. Informasjonskapsler

Vi bruker bare informasjonskapsler som trengs for at innlogging og påmelding skal virke. Vi bruker ikke sporing, analyse eller markedsføring.

10. Klagerett

Mener du at vi behandler personopplysninger i strid med regelverket, vil vi gjerne høre fra deg først. Du har også rett til å klage til Datatilsynet:

• Nettside: datatilsynet.no
• E-post: postkasse@datatilsynet.no
• Telefon: 22 39 69 00

11. Endringer

Vi oppdaterer erklæringen når noe endrer seg. Vesentlige endringer varsler vi deg om på e-post eller ved innlogging. Datoen øverst viser når den sist ble endret.