Personvernerklæring

1. Hvem som er ansvarlig

Behandlingsansvarlig for personopplysningene som behandles på trubadurfestivalen.no og i festivalens app er Goe Helg Drift AS, org.nr. 928 507 181, Kaiveien 33, 4310 Hommersåk («vi»). Har du spørsmål om personvern, eller vil du bruke rettighetene dine, kontakt oss på kontakt@trubadurfestivalen.no eller telefon 46 62 27 13. Plattformen er utviklet og driftes av Crazes AS på våre vegne (se punkt 5).

2. Hvilke opplysninger vi behandler, og hvorfor

Vi behandler bare det som trengs for det du bruker tjenesten til. Under står hvert formål med opplysningene det gjelder og det rettslige grunnlaget etter personvernforordningen (GDPR) artikkel 6.

2.1 Kjøp av billett (uten konto)

• Opplysninger: e-postadresse og mobilnummer, ordren og billettene dine (billettnummer og QR-kode), betalingsreferansen fra Vipps eller Stripe (vi ser aldri kortnummeret ditt), bekreftelsen din på at angreretten ikke gjelder (ordlyd og tidspunkt), samt kvittering og eventuell kreditnota.
• Formål: levere billett og kvittering, varsle deg om avlysning, endringer og refusjon, og håndtere reklamasjon.
• Grunnlag: avtalen med deg (art. 6 nr. 1 bokstav b); bokføringsplikten for kvitteringer og kreditnotaer (bokstav c, bokføringsloven); dokumentasjon av at du fikk opplysning om angreretten og av samtykker (bokstav c og f).
• Uten e-post og mobilnummer kan vi ikke selge deg billett.

2.2 Konto i appen eller på nett (valgfritt)

• Opplysninger: navn, e-postadresse og eventuelt lenke til profilbilde fra innloggingsleverandøren (Apple, Google eller Vipps); mobilnummer når du logger inn med Vipps eller bekrefter nummeret med engangskode; innloggingsøkter med IP-adresse og opplysninger om nettleser/enhet; favoritter, reaksjoner på klipp, «varsle meg»-interesse for utsolgte billettyper, reisepåminnelser, og kjøps-e-poster du har knyttet til kontoen for å se billetter kjøpt uten konto.
• Formål: gi deg kontoen og funksjonene du bruker, og holde kontoen sikker.
• Grunnlag: avtalen med deg (bokstav b); for sikkerhet vår berettigede interesse i å beskytte kontoen (bokstav f).
• Du kan slette kontoen selv under «Profil». Da slettes profilen, øktene, favorittene, reaksjonene og de koblede e-postene, og push-varsler og nyhetsbrev til kontoens e-post avsluttes. Ordre, billetter og kvitteringer er knyttet til kjøps-e-posten, ikke til kontoen, og beholdes etter punkt 2.1 og 4.

2.3 Billett, innslipp og skanning

• Opplysninger: når billetten din skannes ved en inngang, lagrer vi tidspunkt, hvilken skanner-enhet som ble brukt, hvilken konsert det gjaldt og resultatet (for eksempel innsluppet, fullt, feil dag). Vi lagrer også første innslipp per konsert, armbånd som er knyttet til billetten, og reservasjoner av plass.
• Formål: kontrollere adgang, telle kapasitet per konsert, hindre gjenbruk og misbruk av billetter, og håndtere plassgaranti.
• Grunnlag: avtalen med deg (bokstav b) og vår berettigede interesse i sikker og rettferdig adgangskontroll (bokstav f).
• Vi bruker ikke GPS eller annen stedssporing av gjester. Kameraet i skanner-appen brukes bare til å lese QR-koden; det lagres ingen bilder.
• Senest 90 dager etter festivalens siste dag fjernes koblingen mellom skann og billett, og oppmøteregisteret slettes. Tall uten personkobling beholdes.

2.4 Varsler om kjøpet

• E-post om billett, kvittering, avlysning, endringer og refusjon sendes til kjøps-e-posten. Ved avlysning kan vi også sende SMS til mobilnummeret. Sendte varsler lagres som leveringsbevis.
• Grunnlag: avtalen med deg (bokstav b) og plikten til å informere om avlysning og refusjon (bokstav c).

2.5 Nyhetsbrev og push-varsler (krever samtykke)

• Nyhetsbrev sendes bare etter at du har meldt deg på og bekreftet påmeldingen via lenken i e-posten. Du melder deg av via lenken i hvert nyhetsbrev.
• Push-varsler i appen er delt i formål, og du velger hvert enkelt: Påminnelser, Plassendringer, Endringer og ledige plasser, Nyheter fra festivalen, Spillvarsler. Nyheter fra festivalen og spillvarsler er av til du slår dem på. Du kan når som helst slå av hvert formål under «Profil» eller i telefonens innstillinger.
• Vi lagrer hvilket samtykke du ga, ordlyden du så, tidspunktet og hvor det ble gitt. Trekker du samtykket, slettes påmeldingen eller push-registreringen, mens loggen over at samtykket ble gitt og trukket beholdes som dokumentasjon.
• Grunnlag: samtykket ditt (bokstav a) og markedsføringsloven § 15.
• Vi sender aldri markedsføring på SMS, og et push-varsel erstattes aldri med e-post eller SMS.

2.6 Konkurranser i appen

• Opplysninger: deltakelse og framdrift per runde; visningsnavnet du selv velger til poengtavlen (synlig for andre i appen — du kan skjule deg); verifisert mobilnummer for å sikre én konto per person (engangskode på SMS); listen over kvalifiserte på trekningstidspunktet; og for vinnere navn og e-post slik de var da du vant, samt status for premien.
• Formål: gjennomføre konkurransen rettferdig og levere premien.
• Grunnlag: avtalen med deg gjennom konkurransevilkårene (bokstav b).
• Når premiene i en runde er oppgjort, fjernes kontaktopplysningene til dem som ikke vant fra trekningsgrunnlaget.

2.7 Bruksstatistikk i appen (førsteparts, uten sporing)

• Appen sender enkle hendelser (for eksempel «åpnet program», «så klipp») til våre egne servere. Er du ikke innlogget, brukes en tilfeldig øktnøkkel som bare finnes i minnet mens appen er åpen — den lagres aldri på enheten og kan ikke gjenkjenne deg neste gang. Er du innlogget, knyttes hendelsene til kontoen din med mindre du reserverer deg under «Profil».
• Rådata slettes senest etter 90 dager. Det vi beholder er daglige totaler uten personkobling.
• Appen inneholder ingen sporings- eller annonse-SDK fra tredjeparter og lagrer ingen varig analyse-identifikator på enheten din.
• Grunnlag: vår berettigede interesse i å forstå hvordan appen brukes (bokstav f). Du kan reservere deg når som helst.

2.8 Innhold, video og kart

• Program, artister og videoklipp hentes fra innholdsleverandøren vår (Sanity) og videoleverandøren vår (Mux). Når du spiller av et klipp, ser Mux IP-adressen din for å levere videoen. Kartet på reise-siden hentes fra vår egen lagring hos Cloudflare i EU. Reise- og væroppslag (Entur, Meteorologisk institutt) gjøres fra våre servere uten opplysninger om deg.

3. Informasjonskapsler og analyse på nettstedet

• Nødvendige informasjonskapsler brukes til innlogging og kjøp. De settes alltid og krever ikke samtykke (ekomloven § 3-15).
• Analyse: bruker vi Google Analytics, lastes det først etter at du har valgt «Godta» i banneret. Velger du «Avvis» eller «Bare nødvendige», lastes ingenting fra Google og ingen analysekapsler settes. IP-adressen anonymiseres hos Google. Er analyse ikke satt opp, vises ikke banneret, og ingen analyse kjører.
• Valget ditt lagres bare i din egen nettleser, og du endrer det ved å slette nettstedets lagrede data. Hos oss telles kun antall ja og nei per dag — ikke hvem som valgte hva.

4. Hvor lenge vi lagrer opplysningene

Tabellen viser hva systemene våre faktisk gjør i dag. Der det står at noe ikke slettes automatisk, kan du be om sletting etter punkt 7.

5. Hvem vi deler opplysninger med

Vi selger aldri opplysningene dine og deler dem ikke med andre for deres markedsføring. Offentlige myndigheter får opplysninger bare når loven krever det. Leverandørene under behandler opplysninger på våre vegne, eller er selvstendig ansvarlige for sin del (Vipps MobilePay og Stripe for selve betalingen — se deres egne personvernerklæringer).

6. Overføring til land utenfor EØS

Databasen og kvitteringsfilene ligger i EU (Frankfurt). Flere av leverandørene våre er amerikanske, og noen opplysninger (for eksempel e-post ved utsending og IP-adresse ved henting av nettsider, video og push-varsler) overføres derfor til USA. Overføringen bygger på EU-kommisjonens standardpersonvernbestemmelser (SCC) i leverandørenes databehandlervilkår, og for leverandører som er sertifisert under EU–US Data Privacy Framework også på dette rammeverket.

7. Dine rettigheter

Du har rett til å

• få innsyn i hvilke opplysninger vi har om deg,
• få rettet opplysninger som er feil,
• få slettet opplysninger vi ikke lenger har grunnlag for å beholde,
• få behandlingen begrenset mens en innsigelse vurderes,
• få utlevert opplysningene du selv har gitt oss, i et maskinlesbart format,
• protestere mot behandling som bygger på berettiget interesse (punkt 2.3 og 2.7), og
• trekke et samtykke når som helst — uten at det påvirker lovligheten av det som ble gjort før du trakk det.

Send henvendelsen til kontakt@trubadurfestivalen.no. For å være sikre på at vi svarer rett person, bekrefter vi identiteten din med en engangskode til e-postadressen som er registrert hos oss. Vi svarer senest innen én måned. Har du konto, kan du slette den selv under «Profil».

Noe kan vi ikke slette på forespørsel: kvitteringer og kreditnotaer (bokføringsplikt i 5 år) og dokumentasjonen på samtykker og angrerett-opplysning. Alt annet vurderer vi for sletting eller anonymisering.

Mener du at vi behandler opplysningene dine i strid med regelverket, vil vi gjerne at du kontakter oss først. Du har uansett rett til å klage til Datatilsynet (datatilsynet.no).

8. Sikkerhet

Betalingskortdata behandles bare av Stripe og Vipps og lagres aldri hos oss. QR-koden på billetten er kryptografisk signert. Tilgang til gjesteopplysninger i administrasjonen krever personlig innlogging med totrinnsbekreftelse, og hvert oppslag logges. Kvitteringer, samtykkelogg og skannlogg er skrivebeskyttet og kan ikke endres i ettertid.

9. Endringer i erklæringen

Vi oppdaterer erklæringen når behandlingen endres — for eksempel dersom en annen virksomhet overtar som arrangør og behandlingsansvarlig. Gjeldende versjon ligger alltid på denne siden, og versjonen står øverst. Salgsvilkårene finner du under Salgsvilkår.