Personvern og informasjonskapsler

1. Behandlingsansvarlig

Filpark AS er behandlingsansvarlig for personopplysningene som behandles gjennom FlixSherpa.

• Organisasjonsnummer: 938 408 998
• Adresse: Asgerds vei 21B, 1459 Nesodden
• Kontakt for personvernhenvendelser: personvern@filpark.no

2. Hvilke personopplysninger vi behandler

Når du bruker FlixSherpa, kan vi behandle følgende opplysninger:

Kontoopplysninger

• E-postadresse (valgfritt for barnekontoer, se punkt 11)
• Passord (lagres kun som en kryptografisk hash, aldri i klartekst)
• At du har bekreftet å være 18 år eller eldre, med tidspunkt og hvilken versjon av teksten du bekreftet
• Brukernavn (valgfritt)
• Logger du inn med Google eller Apple: kontoidentifikatoren leverandøren gir oss for deg, og e-postadressen leverandøren oppgir. Velger du «Skjul e-postadressen min» hos Apple, er dette en videresendingsadresse Apple har laget for deg, og det er den vi lagrer og sender e-post til. For Apple lagrer vi i tillegg, i kryptert form, et token fra Apple. Det brukes bare til å be Apple avslutte FlixSherpas tilgang når du sletter kontoen eller fjerner Apple-koblingen, slik Apple krever, og ikke til noe annet. Se punkt 5 og 7.
• Preferanser: visningsspråk, foretrukne lyd-språk, maks aldersgrense og hvilke strømmetjenester du abonnerer på
• Om du har samtykket til å motta nyhetsbrev (ja/nei), sammen med tidspunktet for samtykket og hvilken versjon av samtyketeksten du godtok. Dette lagres kun dersom du krysset av for nyhetsbrev ved registrering (se punkt 3).

For å opprette en konto må du oppgi e-postadresse og passord (eller logge inn med Google eller Apple) og bekrefte at du er 18 år eller eldre. Uten dette kan vi ikke inngå avtalen med deg. Brukernavn, preferanser og nyhetsbrev er valgfritt. For barnekontoer, se punkt 11.

Bruksdata

• Dine likt/ikke-interessert-valg fra sveipingen og terningkast på titler du har sett
• Ønskeliste
• Merker og nivåer du har nådd, regnet ut fra terningkastene dine og fra Se sammen-økter du har vært vert for. For merkene «Fan av …» og «Regifølger» lagrer vi også navnet på skuespilleren eller regissøren merket gjelder (se punkt 3)
• Søkehistorikk, inkludert fritekst-søk du skriver inn
• IP-adresse behandles for anonyme søk (uten innlogget konto) som et tiltak mot misbruk og for å håndheve bruksgrenser. For innloggede kontoer knytter vi ikke søk til IP-adresse på samme måte.
• Innløste kampanjekoder (koden og hvilket abonnementsnivå den ga), lagret så lenge kontoen finnes — for å administrere tilgangsnivået ditt og hindre at samme kode brukes flere ganger av deg.
• Deltakelse i «Se sammen»-økter: hvilke økter du er med i, når du ble med, valgene dine for deling i økten, og stemmene og vetoene dine på titler i økten. Rapporterer eller blokkerer du en annen deltager, eller blir du selv rapportert eller blokkert, lagrer vi det også. Se punkt 6 for hva de andre deltagerne faktisk får se, hva en rapport og en blokkering inneholder, og hvor lenge dette lagres.

Betaling og abonnement

• Hvilket abonnement du har, hvor det er kjøpt, status, periode, om det fornyes automatisk, og når du har byttet nivå.
• At du ba om å få det betalte nivået med en gang, med tidspunkt og hvilken tekst du godtok, og hvilken versjon av vilkårene som gjaldt da du kjøpte. Det trengs for angreretten (se vilkårene punkt 7).
• For hver betaling og tilbakebetaling: kvitteringsnummer, beløp, dato, hva betalingen gjaldt og betalingsleverandørens referanse.
• Navnet og adressen du oppgir på betalingssiden. De står på kvitteringen fordi bokføringsreglene krever det.
• Betalingsleverandørens referanser til deg som kunde og til abonnementet.
• Varsler betalingsleverandøren sender oss om abonnementet, for eksempel om fornyelse, mislykket trekk eller oppsigelse. De kan inneholde opplysninger om betalingskortet, som korttype, de fire siste sifrene og utløpsdato. Selve kortnummeret ser vi aldri.
• Oppsigelser, tilbakekall av oppsigelser og angringer du sender oss, med tidspunktet vi fikk dem.

For å kjøpe et abonnement på nettsiden må du betale gjennom betalingsleverandøren og oppgi navn og adresse. Uten det kan vi ikke inngå avtalen.

Sikkerhetslogger

• IP-adresse (og portnummer) ved opprettelse av brukerkonto, og ved innlogging fra en ny enhet. Se punkt 7 for lagringstid.
• Når en konto slettes: kontonummeret (et internt tall, ikke e-post, navn eller IP-adresse) og tidspunktet. Det trengs for at kontoen skal kunne slettes på nytt hvis vi en gang må hente fram en sikkerhetskopi som er tatt før slettingen. Se punkt 7 for lagringstid.

Tjenerlogger og besøksstatistikk

• Nettserveren vår logger automatisk alle forespørsler til nettstedet, også fra besøkende uten konto: IP-adresse, tidspunkt, hvilken side du ba om, svarkoden, nettlesertype og hvilken side du eventuelt kom fra. Loggene ligger på våre egne servere i Norge. Et utvalg av feltene brukes også i et internt system for drift og sikkerhetsovervåking, for eksempel til å oppdage automatiserte angrep.
• Fra disse loggene lager vi jevnlig en anonym besøksstatistikk: hvor mange som besøker nettstedet, hvilke sider som leses, omtrent hvor lenge et besøk varer, hvilke nettsteder besøkende kommer fra, og hvor mange som oppretter konto. Statistikken inneholder bare sammenlagte tall — ingen IP-adresser, og ingenting som kan knyttes til deg. Tall som er så små at de i teorien kunne pekt ut én enkelt besøkende, slås sammen med andre før de lagres.
• Vi bruker ingen informasjonskapsler, ingen sporingspiksler og ingen ekstern analysetjeneste til dette. Statistikken regnes ut på våre egne servere, av opplysningene nettleseren din uansett sender når du ber om en side. Se punkt 7 for hvor lenge dette lagres.

Opplysninger nettleseren din sender til datakildene

• Plakater og bilder lastes direkte fra bildeserveren til datakilden vår, Movie of the Night, i det de vises. Nettleseren eller appen din sender da IP-adressen din og vanlige tekniske opplysninger om nettleseren eller enheten (for eksempel nettlesertype og språk) dit, på samme måte som til oss. Vi sender ingen opplysninger om kontoen din, og Movie of the Night får ikke vite hvem du er hos oss. Dette gjelder også besøkende uten konto, for eksempel på topplisten. Se punkt 3 og 5.
• Det samme skjer hos Google når du spiller av en trailer fra YouTube, men bare etter at du har samtykket til innebygd innhold (punkt 4).

3. Formål og behandlingsgrunnlag

• Levere tjenesten (innlogging, også med Google eller Apple, personlige anbefalinger, sveiping, søk og ønskeliste). Behandlingsgrunnlag: oppfyllelse av avtalen med deg (personvernforordningen art. 6 nr. 1 bokstav b). KI-søk med egne ord er en del av tjenesten du velger å bruke; hva som sendes til Anthropic står i punkt 5.
• Vise plakater, bilder og trailere ved at nettleseren din henter dem direkte fra datakildene (punkt 2). Behandlingsgrunnlag: oppfyllelse av avtalen med deg (art. 6 nr. 1 bokstav b). For besøkende uten konto er grunnlaget berettiget interesse (art. 6 nr. 1 bokstav f): å vise hvilke titler det gjelder uten at vi lagrer egne kopier av bildene. Du kan protestere, se punkt 8. Trailere lastes bare med ditt samtykke, se punkt 4.
• Selge og administrere betalte abonnementer (kjøp, fornyelse, bytte av nivå, oppsigelse, angring, kvitteringer og varsler om abonnementet). Behandlingsgrunnlag: oppfyllelse av avtalen med deg (art. 6 nr. 1 bokstav b). Påminnelsen om at abonnementet løper og hvordan du sier det opp, som står i hver kvittering, er pålagt i digitalytelsesloven § 33 (art. 6 nr. 1 bokstav c).
• Utstede og oppbevare kvitteringer og andre regnskapsbilag for betalinger. Behandlingsgrunnlag: rettslig forpliktelse (art. 6 nr. 1 bokstav c, jf. bokføringsloven og bokføringsforskriften).
• Merker og nivåer på merkesiden. Vi regner dem ut fra terningkastene dine og fra Se sammen-økter du har vært vert for, og lagrer nivåene du har nådd. Behandlingsgrunnlag: berettiget interesse (art. 6 nr. 1 bokstav f). Interessen vår er å gjøre tjenesten morsommere å bruke og å gi deg en grunn til å gi flere terningkast, som også gir deg bedre anbefalinger. Merkene er bare synlige for deg og brukes ikke til noe annet. Vil du ikke at vi gjør dette, kan du slå merkene av på merkesiden. Da slettes de, og vi regner dem ikke ut igjen før du slår dem på. Barnekontoer har ikke merker.
• Beskytte tjenesten mot misbruk og håndheve bruksgrenser (f.eks. IP-basert begrensning for anonyme søk). Behandlingsgrunnlag: berettiget interesse (art. 6 nr. 1 bokstav f).
• Behandle rapporter og blokkeringer i «Se sammen». Når du rapporterer eller blokkerer en deltager, eller opphever en blokkering, gjør vi det du ber om. Behandlingsgrunnlag: oppfyllelse av avtalen med deg (art. 6 nr. 1 bokstav b). Opplysningene om den som blir rapportert eller blokkert, behandler vi på grunnlag av berettiget interesse (art. 6 nr. 1 bokstav f): at Se sammen skal være trygt for alle deltagere, også barn, og at vi kan følge opp brudd på vilkårene. Du kan protestere, se punkt 8. Hva som lagres, står i punkt 6.
• Oppdage og etterforske misbruk av brukerkontoer (f.eks. kontokapring), gjennom sikkerhetslogger med IP-adresse ved kontoopprettelse og ved innlogging fra ny enhet. Behandlingsgrunnlag: berettiget interesse (art. 6 nr. 1 bokstav f). Se punkt 2 og 7.
• Sørge for at slettede kontoer forblir slettet hvis en sikkerhetskopi må hentes fram, ved hjelp av kontonummeret og tidspunktet for slettingen. Behandlingsgrunnlag: rettslig forpliktelse (art. 6 nr. 1 bokstav c, jf. retten til sletting i art. 17). Se punkt 2 og 7.
• Drifte, feilsøke og sikre nettstedet ved hjelp av tjenerlogger (se punkt 2), blant annet for å finne feil og oppdage misbruk som automatiserte angrep og overbelastning. Behandlingsgrunnlag: berettiget interesse (art. 6 nr. 1 bokstav f). Du kan protestere mot denne behandlingen, se punkt 8.
• Lage anonym besøksstatistikk for å forstå hvilke deler av tjenesten som brukes, og forbedre den. Selve utregningen gjøres på tjenerloggene; personvernforordningen art. 5 nr. 1 bokstav b regner viderebehandling for statistiske formål som forenlig med det opprinnelige formålet, og behandlingsgrunnlaget er berettiget interesse (art. 6 nr. 1 bokstav f). Resultatet er anonymt og er ikke lenger personopplysninger.
• Sende deg nyhetsbrev og anbefalinger på e-post, dersom du krysset av for dette ved registrering. Behandlingsgrunnlag: ditt samtykke (personvernforordningen art. 6 nr. 1 bokstav a). Dette er valgfritt og ikke nødvendig for å bruke tjenesten. Du kan når som helst trekke tilbake samtykket ved å kontakte oss på personvern@filpark.no. Hvert nyhetsbrev har en lenke for å melde deg av. Å trekke tilbake samtykket påvirker ikke lovligheten av utsendelser gjort før tilbaketrekkingen.
• Innebygd innhold (YouTube-trailere) som krever informasjonskapsler ut over de strengt nødvendige. Behandlingsgrunnlag: ditt samtykke (art. 6 nr. 1 bokstav a), som du når som helst kan trekke tilbake.

Vi treffer ingen avgjørelser om deg som bare bygger på automatisert behandling og har rettsvirkning eller tilsvarende betydning for deg (art. 22). Smaksprofilen, anbefalingene og merkene er profilering, men brukes bare til å tilpasse det du ser i FlixSherpa.

4. Informasjonskapsler (cookies)

Vi bruker informasjonskapsler i tre kategorier. Strengt nødvendige kapsler settes uten samtykke fordi tjenesten ikke fungerer uten dem. Øvrige kategorier krever ditt samtykke, som du styrer selv:

Vi bruker ikke informasjonskapsler til statistikk eller besøksmåling. Besøksstatistikken vår regnes ut på våre egne servere uten å lagre eller lese noe på enheten din (se punkt 2).

Når du kjøper et abonnement, betaler du på betalingsleverandørens egen side. Leverandøren kan sette egne informasjonskapsler der, etter sin egen erklæring. Vi setter ingen informasjonskapsler for betaling.

5. Hvem vi deler opplysninger med

Vi selger ikke personopplysninger. Vi bruker databehandlere, som behandler opplysninger på våre vegne og etter våre instrukser. Noen opplysninger deler vi også med virksomheter som behandler dem på eget ansvar.

Databehandlere

• Anthropic (Anthropic Ireland, Limited; behandlingen skjer hos Anthropic, PBC i USA) — tolker søk du skriver med egne ord (KI-søk), slik at vi kan gjøre dem om til søkekriterier og luke bort treff som ikke passer. Vi sender teksten du skriver og titlene vi vurderer å vise deg, ikke navnet ditt, e-postadressen din eller smaksprofilen din. Teksten kan likevel inneholde personopplysninger hvis du selv skriver slikt inn, så ikke skriv inn sensitive opplysninger om deg selv eller andre. Første gang du bruker KI-søk, viser vi deg dette, og du bekrefter det. Du kan slå KI-søk av og på i profilen. Vi har databehandleravtale med Anthropic, vilkårene forbyr dem å bruke teksten til å trene språkmodeller, og de sletter den normalt innen 30 dager. Overføringen til USA bygger på EUs standardavtaler for overføring. Du kan få en kopi ved å kontakte oss.
• Postmark (AC PM LLC, ActiveCampaign, USA) — sender e-post fra oss (f.eks. bekreftelse av e-postadresse, tilbakestilling av passord, bekreftelser og varsler om abonnementet, forespørsler og beskjeder til foresatte og, dersom du har samtykket, nyhetsbrev — se punkt 3), og behandler dermed e-postadressen din og innholdet i e-posten. Opplysningene lagres i USA. Overføringen bygger på EU–US Data Privacy Framework, med EUs standardavtaler som reserve. Postmark lagrer innholdet i e-postene i 45 dager. E-poster om barnekontoer nevner ikke hvilket barn det gjelder.
• Domeneshop — norsk leverandør som drifter domenet vårt og mottar e-post sendt til personvern@filpark.no og post@filpark.no, for eksempel når du skriver til oss om personvern eller om abonnementet.
• Webhuset (Webhuset AS, Norge) — videreformidler trafikken til nettstedet. Trafikken er kryptert, så Webhuset ser ikke innholdet, men behandler IP-adressen din, tidspunktet og datamengden. Se punkt 7 for lagringstid.
• Stripe (Stripe Payments Europe, Ltd., Irland) — tar imot betalingen og står for de månedlige trekkene når du betaler med kort på nettsiden. Stripe sender også kvitteringene for betalingene på e-post på våre vegne. Kortopplysningene, navnet og adressen gir du direkte til Stripe. Vi gir Stripe e-postadressen din og hvilket abonnement du kjøper. Opplysningene behandles også hos Stripe, LLC i USA. Overføringen bygger på EU–US Data Privacy Framework, med EUs standardavtaler som reserve.
• Regnskapssystemet vårt (DNB Regnskap) — regnskapsbilagene for betalinger ligger der.

Selvstendig behandlingsansvarlige

Disse bestemmer selv over sin behandling, etter egne personvernerklæringer:

• Stripe bruker også opplysninger om betalingen til egne formål: å forebygge svindel, å kontrollere etter hvitvaskingsregelverket, egen fakturering og å forbedre egne tjenester (stripe.com/privacy).
• Google (Google Ireland Ltd.) — for trailere og for innlogging med Google. FlixSherpa bruker YouTube API Services: på serveren vår, uten opplysninger om deg, for å finne og kontrollere trailere, og i appen gjennom YouTubes innebygde spiller når du har samtykket til innebygd innhold. Når du spiller av en trailer, mottar Google IP-adressen din, opplysninger om nettleseren eller enheten og hvilken trailer du spiller av, og setter informasjonskapsler (punkt 4). Vi får ingen opplysninger om deg tilbake fra YouTube. Hva Google gjør med opplysningene, står i Googles personvernerklæring (google.com/policies/privacy). Velger du å logge inn med Google-kontoen din («Fortsett med Google»), mottar Google i tillegg tidspunktet for innloggingen og IP-adressen din som en del av selve innloggingsforespørselen. Vi lagrer selv kun den e-postadressen og kontoidentifikatoren Google bekrefter til oss, ikke noe passord (vi har aldri tilgang til Google-passordet ditt).
• Movie of the Night (Streaming Availability API) — plakater og bilder lastes direkte fra deres bildeserver når de vises hos oss (punkt 2). Nettleseren eller appen din sender da IP-adressen din og tekniske opplysninger om nettleseren eller enheten dit. Vi sender ingen opplysninger om kontoen din, og de får ikke vite hvem du er. Movie of the Night er selv ansvarlig for det de gjør med opplysningene, for eksempel i egne tjenerlogger. Bildeserveren driftes av Amazon Web Services (Amazon CloudFront), og opplysningene kan bli behandlet i USA. Overføringen bygger da på EU–US Data Privacy Framework, som Amazon er sertifisert under.
• Apple (Apple Distribution International Ltd., Irland, for brukere i EØS) — velger du å logge inn med Apple-kontoen din («Fortsett med Apple»), mottar Apple tidspunktet for innloggingen og IP-adressen din som en del av selve innloggingsforespørselen, og Apple vet at du har tatt i bruk innlogging med Apple for FlixSherpa. Vi lagrer selv kun den e-postadressen og kontoidentifikatoren Apple bekrefter til oss, og tokenet nevnt i punkt 2, ikke noe passord (vi har aldri tilgang til Apple-passordet ditt). Har du skjult e-postadressen din, går all e-post fra oss til deg gjennom Apples videresendingstjeneste, og Apple sletter meldingene når de er levert. Når du sletter kontoen eller fjerner Apple-koblingen, ber vi Apple avslutte tilgangen; Apple kan sende deg en e-post om det. Hva Apple gjør med opplysningene, står i Apples egen personvernerklæring.

I tillegg deles enkelte opplysninger med andre deltagere i en «Se sammen»-økt du selv velger å bli med i. Det er ikke en databehandler, men en deling du selv utløser — se punkt 6 for nøyaktig hva som deles. Rapporter om deltagere og filmkvelder leses bare av oss, aldri av andre deltagere.

Vi kan også utlevere personopplysninger til politi, påtalemyndighet, domstol eller Skatteetaten dersom vi er rettslig forpliktet til det, for eksempel ved en rettslig kjennelse eller edisjonsplikt. Dette gjelder alle typer opplysninger vi behandler om deg (se punkt 2), også sikkerhetsloggene.

Selve tjenesten kjører på egne servere i Norge. Katalogdata om filmer og serier henter serveren vår inn fra eksterne kilder uten opplysninger om deg. Når plakater og trailere vises, sender nettleseren eller appen din opplysninger direkte til Movie of the Night og Google, slik det står over. Der en leverandør behandler opplysninger utenfor EU/EØS, står overføringsgrunnlaget over.

6. «Se sammen» (delte økter)

«Se sammen» lar deg finne noe å se sammen med andre: én deltager oppretter en økt og deler en lenke eller QR-kode, og de som blir med sveiper hver for seg på de samme titlene.

Hva de andre deltagerne ser

De andre deltagerne ser nicknamet ditt, og hvor mange som har markert en tittel aktuell — aldri hvem som har stemt hva. Veto er det eneste unntaket: legger du ned et veto, ser gruppen at det var du.

Har du blokkert en deltager, ser du «Blokkert deltager» i stedet for kallenavnet. Den blokkerte ser deg som før.

De andre får aldri se sveipehistorikken din, terningkastene dine, ønskelisten din eller smaksprofilen din.

Men noe kan likevel utledes

I en økt med få deltagere kan de andre utlede hva du har sett og hva du liker, selv om vi aldri viser dem dataene dine. Med to deltagere peker et «1 ja / 1 nei» uunngåelig på en bestemt person.

I tillegg er titlene som dukker opp i økten formet av deltagernes smaksprofiler og av hva de har sett, dersom de har valgt at dette skal telle med. Med svært få deltagere kan de andre derfor lese en del ut av hva som foreslås, uten at vi har vist dem noen av opplysningene dine. Dette er en konsekvens av at funksjonen skal virke i det hele tatt — du skal bare vite det før du blir med.

Rapportering og blokkering

Du kan rapportere en annen deltager (kallenavnet, trakassering eller annet) eller navnet på filmkvelden, og du kan blokkere en deltager. Rapporten og blokkeringen gjør du fra en økt dere begge er med i.

• Når du rapporterer, lagrer vi hvem du er, hvem eller hva rapporten gjelder, navnet slik det var da du rapporterte, det du eventuelt skriver (høyst 500 tegn), tidspunktet, og hva vi gjorde med rapporten. Rapporten leses bare av oss. Den du rapporterer, får ikke vite at du har rapportert eller hvem som gjorde det, men kan merke at vi har grepet inn, for eksempel ved at kallenavnet er fjernet.
• Blir du rapportert, lagrer vi det samme om deg: at du er rapportert, kallenavnet ditt eller navnet på filmkvelden din slik det var, det den andre skrev, og hva vi gjorde. Kilden er en annen deltager i økten. Vi gir deg ikke beskjed om rapporten, men har vi fjernet kallenavnet ditt, gitt filmkvelden et nytt navn, fjernet deg fra en filmkveld eller sperret kontoen din, er det fordi vi har vurdert at vilkårene er brutt (vilkårene punkt 5 og 12). For barnekontoer får de foresatte beskjed når kallenavnet er fjernet og når kontoen sperres.
• Når du blokkerer noen, lagrer vi hvem du blokkerte, navnet slik det var da, og tidspunktet. Den blokkerte fjernes fra filmkvelder du administrerer, kan ikke bli med i dem senere, og vises som «Blokkert deltager» for deg i filmkvelder dere begge er med i. Den blokkerte får ikke beskjed. Listen over dem du har blokkert, ser du på profilsiden, og der kan du oppheve blokkeringen.
• Blir du blokkert, lagrer vi at du er blokkert av en annen deltager. Du får ikke vite det, men du kan ikke bli med i den personens filmkvelder.
• Kallenavn og navn på filmkvelder kontrolleres automatisk mot en liste over ord vi ikke tillater. Avviste navn lagres ikke.

Rapporter lagres til vi har behandlet dem, og slettes automatisk 12 måneder etter det. Blokkeringer lagres til du opphever dem, eller til en av kontoene slettes. Sletter du kontoen din, kobles rapporter du har sendt eller fått, fra kontoen, men innholdet beholdes ut lagringstiden.

Behandlingsgrunnlag

• Selve deltakelsen — å bli med i en økt, sveipe, se de samlede tallene og legge ned veto — behandles for å levere tjenesten du selv har bedt om ved å åpne invitasjonen. Behandlingsgrunnlag: oppfyllelse av avtalen med deg (art. 6 nr. 1 bokstav b).
• De tre valgfrie delingsvalgene du tar når du blir med (om titler du allerede har sett kan foreslås inn, om smaksprofilen din skal telle inn i gruppens forslag, og om sveipene dine i økten også skal telle inn i din vanlige smaksprofil) behandles på grunnlag av ditt samtykke (art. 6 nr. 1 bokstav a). De er genuint valgfrie — funksjonen virker uten dem — og du kan endre dem når som helst inne i økten.

Forlater du en økt, opphører behandlingen. Stemmene og vetoene dine beholdes i 24 timer, slik at alt kommer tilbake hvis du blir med igjen i løpet av det døgnet. Deretter slettes de, sammen med deltagerraden din og «foreslått av»-merkingen på titler du har foreslått.

Hvor lenge en økt lever

Blir det ikke avgitt en eneste stemme eller et veto i en økt på to måneder, varsles den som administrerer økten i appen. Går det tre måneder uten stemmer eller vetoer, slettes økten automatisk, med deltagerliste, titler, stemmer, vetoer og invitasjonslenker. Den som administrerer økten kan naturligvis slette den selv når som helst, og du kan når som helst forlate den.

7. Hvor lenge vi lagrer opplysningene

Kontoopplysninger og bruksdata lagres så lenge du har en aktiv konto, med mindre du ber om sletting. Har du ikke brukt kontoen på to år, sender vi deg en e-post, og sletter kontoen og alt som er lagret på den 30 dager senere hvis du ikke logger inn før det. Har du ikke bekreftet e-postadressen din, kan vi ikke varsle deg, og kontoen slettes da uten varsel. Er du eneste foresatt for en barnekonto, beholder vi kontoen din så lenge barnekontoen finnes. Anonyme økter og tilhørende data slettes automatisk etter 30 dager uten bruk. Du kan når som helst be oss slette opplysninger, se punkt 8.

«Se sammen»-økter har egne, kortere lagringstider, og rapporter og blokkeringer sine egne, se punkt 6.

Opplysninger om abonnementet og betalingene dine lagres så lenge du har kontoen. Kvitteringer og andre regnskapsbilag, med navnet og adressen på kvitteringen, må vi oppbevare i fem år etter utgangen av regnskapsåret betalingen hører til (bokføringsloven § 13). Det gjelder også om du sletter kontoen. Da kobler vi bilagene fra kontoen, bruker dem bare til regnskapet og sletter dem når fristen er ute. Resten av kontoen slettes. Varslene betalingsleverandøren sender oss om abonnementet, lagrer vi i seks måneder. Deretter slettes de.

Merker og nivåer lagres til du slår dem av på merkesiden eller sletter kontoen. Et nivå du har nådd, beholdes også om du senere sletter terningkastene det bygger på.

Koblingen til Google eller Apple lagres til du fjerner den på profilsiden eller sletter kontoen. Tokenet fra Apple (punkt 2) slettes samtidig, etter at vi har bedt Apple avslutte tilgangen. Får vi ikke kontakt med Apple med en gang, beholder vi tokenet, uten kobling til kontoen din, i inntil sju dager mens vi prøver på nytt. Deretter slettes det uansett.

Delte terningkast-lenker: terningkastet fjernes fra lenken etter 30 dager, og selve lenken slettes etter 180 dager. Se punkt 12.

Sikkerhetslogger (IP-adresse ved kontoopprettelse og ved innlogging fra ny enhet, og kontonummer og tidspunkt når en konto slettes, se punkt 2) lagres i 3 måneder, deretter slettes de automatisk.

Tjenerlogger (se punkt 2), også utvalget i systemet for drift og sikkerhetsovervåking, slettes automatisk innen 32 dager. Tilkoblingsloggen hos Webhuset (se punkt 5) slettes etter 8 dager.

Opplysningene nettleseren din sender til Movie of the Night og Google når plakater og trailere vises (punkt 2 og 5), lagres hos dem etter deres egne regler, ikke våre.

Vi tar jevnlig sikkerhetskopier av serverne våre. Kopiene er krypterte, ligger på vår egen backup-server i Norge og brukes bare til å gjenopprette etter feil. De beholdes i inntil ett år. Det betyr at opplysninger du har slettet, eller som er slettet etter fristene over, kan ligge igjen i eldre sikkerhetskopier i inntil ett år før de forsvinner også derfra.

Den anonyme besøksstatistikken vi regner ut fra loggene, inneholder ingen personopplysninger, og er derfor ikke omfattet av personvernreglenes krav til lagringstid. Vi setter likevel en grense: daglige tall lagres i 25 måneder — lenge nok til å sammenligne med samme periode året før — og deretter beholder vi bare tall per måned, uten tidsbegrensning.

8. Dine rettigheter

Du har blant annet rett til å be om:

• innsyn i hvilke opplysninger vi behandler om deg,
• retting av uriktige opplysninger,
• sletting av opplysninger («retten til å bli glemt»),
• begrensning av eller innsigelse mot behandlingen, og
• å få utlevert opplysningene dine (dataportabilitet).

Rett til å protestere. Der vi bygger på berettiget interesse (se punkt 3), kan du når som helst protestere mot behandlingen av grunner som gjelder din særlige situasjon. Merkene kan du slå av selv på merkesiden. Ellers kan du kontakte oss på personvern@filpark.no.

Deler av opplysningene dine kan du administrere og slette selv fra profilsiden (f.eks. sveip, vurderinger, ønskeliste, søkehistorikk og merker, slå KI-søk av og på, oppheve blokkeringer, og koble Google eller Apple til eller fra kontoen). Nedlastingen av dine data fra profilsiden inneholder rapporter og blokkeringer du selv har gjort, men ikke rapporter andre har sendt om deg. Vil du vite hva som er rapportert om deg, kan du be oss om det; da får du innholdet så langt det kan gis uten å avsløre hvem som rapporterte (personvernforordningen art. 15 nr. 4). Under «Farlig sone» på profilsiden kan du også slette hele kontoen din selv, med umiddelbar virkning. Regnskapsbilag for betalinger slettes ikke før fristen i punkt 7 (personvernforordningen art. 17 nr. 3 bokstav b). For andre henvendelser om personvern, kontakt oss på personvern@filpark.no. Du kan også trekke tilbake et samtykke når som helst via Cookie-innstillinger.

Mener du at vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet (datatilsynet.no).

9. Kontakt

Har du spørsmål om denne erklæringen eller om hvordan vi behandler personopplysninger, kontakt Filpark AS på personvern@filpark.no.

10. Endringer

Vi kan oppdatere denne erklæringen ved endringer i tjenesten eller regelverket. Gjeldende versjon er alltid tilgjengelig på denne siden, med dato for siste oppdatering øverst.

11. Barnekontoer

For foresatte

• Hvem inngår avtalen: Barnekontoer opprettes bare av en forelder eller foresatt, fra en innlogget voksenkonto med bekreftet e-post. Den foresatte godtar vilkårene på barnets vegne og bekrefter å ha foreldreansvar for barnet. Vi lagrer tidspunktet for bekreftelsen. Det er ingen nedre aldersgrense. Har foreldrene foreldreansvar sammen, er det nok at én av dem oppretter kontoen; den andre kan når som helst be om å bli lagt til som foresatt. Er foreldre med foreldreansvar uenige om barnekontoen, tar vi ikke stilling: vi kan sperre kontoen, og den slettes hvis de ikke er blitt enige innen 30 dager. Ved uenighet om innstillinger (aldersgrense, trailere, Se sammen) gjelder den strengeste innstillingen til de er enige. Når barnet har fylt 18 år, kan det selv be oss om å gjøre kontoen om til en vanlig konto, uten at en foresatt må godkjenne det. Barnekontoer kan ikke kjøpe abonnement, så vi har ingen betalingsopplysninger om barn.
• Hva vi lagrer om barnet: brukernavn for innlogging, kallenavn, passord (som hash), aldersgrensen den foresatte har satt, e-post hvis den er lagt inn, og de samme bruksdataene som for andre kontoer (sveip, terningkast, ønskeliste og deltakelse i Se sammen). Som for alle kontoer logger vi IP-adresse når kontoen opprettes og ved innlogging fra en ny enhet (sikkerhetslogg, lagres i 3 måneder, se punkt 2 og 7). Barnekontoer kan ikke logge inn med Google eller Apple.
• Hva vi lagrer om koblingen: hvem som er foresatt for barnet, når koblingen ble laget og av hvem, en logg over endringer i aldersgrensen (hvem, når, fra og til), forespørsler og godkjenninger i Se sammen, varsler til de foresatte, og meldinger til barnet om at en foresatt har valgt nytt passord eller endret e-posten. Alle foresatte for barnet ser aldersgrensen og loggen. Den som opprettet barnekontoen kan fjerne andre foresatte. Er den personen ikke lenger foresatt, går det over til den som har vært foresatt lengst. Mener du at noen er registrert som foresatt uten å ha foreldreansvar, kan du kontakte oss (punkt 9) med dokumentasjon, så vurderer vi saken og kan fjerne koblingen.
• Behandlingsgrunnlag: avtalen med den foresatte på barnets vegne (art. 6 nr. 1 bokstav b). Barnekontoer får ingen nyhetsbrev og ingen annonser, og barnet blir aldri bedt om samtykke. De valgfrie delingsvalgene i Se sammen (punkt 6) er alltid av for barn. Trailere fra YouTube vises bare hvis en foresatt har samtykket til det på barnets vegne i Familie-panelet. Når barnet starter en trailer, mottar Google (YouTube) barnets IP-adresse og opplysninger om enheten og bruken, og setter informasjonskapsler. Google er selv ansvarlig for det de gjør med opplysningene. YouTubes egne vilkår gjelder når barnet spiller av en trailer (se vilkårene punkt 9); ved å slå på trailere tillater du bruken på barnets vegne, slik YouTubes vilkår forutsetter for barn. Hva Google gjør med opplysningene, står i punkt 5. Relaterte videoer og eventuell reklame i YouTube-spilleren styres av YouTube, ikke av oss. At barnekontoer aldri får reklame, gjelder FlixSherpas egne annonser. Vi lagrer når og av hvem samtykket ble gitt, og det kan trekkes tilbake i Familie-panelet. Plakater lastes fra datakildens bildeserver også for barnekontoer, se punkt 2 og 5.
• KI: Barnekontoer har ikke KI-søk, og ingen opplysninger om barn sendes til KI-leverandøren vår (Anthropic).
• Smaksprofil: Vi regner ut en smaksprofil fra sveip og terningkast for å foreslå titler, også for barn. Profilen brukes bare til anbefalinger i FlixSherpa, aldri til reklame, og deles ikke. En foresatt kan slå av personlige forslag i Familie-panelet. Da bruker vi ikke barnets smaksprofil, og barnet får forslag basert på hva som er populært og filtrene som er valgt.
• Se sammen: Før et barn blir med i en økt noen andre har opprettet, bekrefter den som administrerer økten en aldersgrense, og en foresatt godkjenner (unntatt når administratoren selv er foresatt for barnet). Administratoren får vite at deltakeren har en barnekonto og hvilken aldersgrense barnet har, fordi det trengs for å bekrefte økten. Barnet kan selv rapportere og blokkere andre deltagere, og kan selv bli rapportert; hva som lagres da, står i punkt 6. Fjerner vi barnets kallenavn etter en rapport, eller sperrer vi barnekontoen, varsler vi de foresatte i Familie-panelet og på e-post (uten barnets navn), og ved fjernet kallenavn velger en foresatt et nytt.
• E-post: er valgfritt for barnekontoer. Passordet tilbakestilles alltid av en foresatt, også når barnet har e-post. Varsler om barnekontoen sendes til de foresatte. En foresatt får også en e-post når vedkommende blir fjernet som foresatt, når en annen foresatt sletter barnekontoen, eller når kontoen gjøres om til en vanlig konto. Da ser den foresatte ikke lenger barnet i Familie-panelet, så e-posten er den eneste beskjeden.
• Rettigheter og sletting: De foresatte kan utøve rettighetene i punkt 8 på barnets vegne ved å kontakte oss (punkt 9), og kan selv slette barnekontoen i Familie-panelet. Kontoen sperres da med en gang og slettes for godt etter 14 dager, slik at en foresatt kan angre; de andre foresatte får beskjed. Barnet kan laste ned sine egne data fra profilsiden. Barnet kan selv be om sletting, og en foresatt bekrefter. Når barnet fyller 18 år, kan kontoen gjøres om til en vanlig konto. Da slettes koblingen til de foresatte, og barnet tar selv over kontoen. Barnet kan da velge å slette det som ble sveipet, vurdert, lagt i ønskelisten og søkt etter mens kontoen var en barnekonto.
• Lagringstid: som for andre kontoer (punkt 7), med disse unntakene: Sveip slettes etter ett år (terningkast og ønskeliste beholdes til kontoen slettes). Varselet om sletting etter to år uten bruk går til de foresatte, på e-post og i Familie-panelet. En barnekonto som aldri er tatt i bruk, slettes tidligere: ett år etter at den ble opprettet, får de foresatte et slikt varsel, og kontoen slettes 30 dager senere hvis barnet ikke har logget inn. Ubesvarte forespørsler i Se sammen utløper etter 24 timer, invitasjoner til foresatt nr. 2 etter 14 dager, og varsler til foresatte og meldinger til barnet slettes etter 90 dager når de er lest, og etter 180 dager ellers.

12. Deling av terningkast

Når du deler et terningkast, lager vi et bilde med tittelen, terningkastet ditt og kommentaren du eventuelt skriver, og en lenke til tittelen. Behandlingsgrunnlag: oppfyllelse av avtalen med deg (art. 6 nr. 1 bokstav b), fordi du selv ber om det.

• Kommentaren brukes bare til å lage bildet. Vi lagrer den ikke og logger den ikke.
• Lenken er knyttet til tittelen, ikke til deg. Vi lagrer hvilken tittel den gjelder, terningkastet og datoen, men ikke hvem som delte den. Fordi tittelen og terningkastet også ligger i kontoen din, kan lenken i prinsippet kobles til deg i vår database så lenge du har kontoen. Det gjør vi ikke. Den som åpner lenken, ser tittelen og terningkastet, aldri navnet ditt. Terningkastet fjernes fra lenken etter 30 dager, og lenken slettes etter 180 dager. Fordi lenken ikke er knyttet til kontoen din, kan vi ikke finne eller vise deg lenker du har laget, og de virker til de utløper også om du sletter kontoen. Har du selve lenken, kan du be oss slette den (se punkt 9).
• Når du har delt, forlater bildet og teksten FlixSherpa. Tjenesten du deler til (for eksempel Facebook, Instagram, Snapchat eller Messenger) behandler dem etter sine egne vilkår. Vi får ingen opplysninger tilbake fra dem.
• Åpninger av delte lenker telles i den anonyme besøksstatistikken, på samme måte som andre sidevisninger.
• Barnekontoer kan ikke dele terningkast.