INTEGRITETSPOLICY för madrasser24.no

§ 1 Generelle bestemmelser

1. Behandlingsansvarlig for brukernes personopplysninger som samles inn via nettstedet som finnes på domenet www.madrasser24.no er LAVANDER DESIGN SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ, med hovedkontor i Polen: ul. Leona Wyczółkowskiego 39A/1, 63-600 Kępno, registrert i det polske nasjonale foretaksregisteret (KRS) ført av tingretten i Poznań – Nowe Miasto og Wilda i Poznań, avdeling IX for næringslivssaker, under KRS-nummer: 0001132123, polsk MVA-nummer (NIP): PL6192062335, med en aksjekapital på 5 000,00 PLN som er fullt innbetalt (heretter kalt «Behandlingsansvarlig»).

Lavander Design Sp. z o.o. er også registrert i det norske Merverdiavgiftsregisteret (MVA) under organisasjonsnummer: 935 254 965 MVA

For mer informasjon, se vår registrering i det norske foretaksregisteret: https://w2.brreg.no/enhet/sok/detalj.jsp?orgnr=935254965

2. Behandlingsansvarlig har utpekt et elektronisk kontaktpunkt for direkte kommunikasjon med myndigheter i medlemsstatene, Kommisjonen og Rådet for digitale tjenester: kontor@madrasser24.no. Det samme kontaktpunktet kan brukes av enhver kunde for direkte og rask kommunikasjon med Behandlingsansvarlig. Behandlingsansvarlig kan også kontaktes skriftlig på adressen: ul. Leona Wyczółkowskiego 39A/1, 63-600 Kępno (åpningstider på hverdager 8–16, samtaletakst i henhold til operatørens prisplan). Kommunikasjon kan føres på polsk.

3. Formålet med denne policyen er å fastsette hvilke tiltak som iverksettes med hensyn til personopplysninger som samles inn via Behandlingsansvarliges nettsted og de tilknyttede tjenestene og verktøyene som brukes av dets brukere, samt innenfor rammen av kontraktsinngåelse og -oppfyllelse ved kontakt utenfor nettstedet.

4. Ved behov kan bestemmelsene i denne policyen endres. Endringer vil bli varslet til brukerne ved at innholdet i den nye policyen publiseres, og i tilfelle av en database med personer som har samtykket til behandling av personopplysninger via e-post eller oppgitt sin e-postadresse ved kontraktsinngåelse, vil de også bli varslet via e-post.

§ 2 Rettslig grunnlag, formål og lagring av personopplysninger

1. Brukernes personopplysninger behandles i samsvar med personvernforordningen (GDPR), den polske personvernloven, loven av 10.05.2018 om vern av personopplysninger, samt loven av 18.07.2002 om elektroniske tjenester med senere endringer, og for å kunne foreta en rapportering i henhold til artikkel 16.1 i Europaparlaments- og rådsforordning (EU) 2022/2065 av 19. oktober 2022 om et indre marked for digitale tjenester samt...

...om endring av direktiv 2000/31/EF (Digital Services Act) (EU L 277, 2022 s. 1, med senere endringer; «DSA») også basert på artikkel 3 h DSA.

2. Behandlingsansvarlig kan samle inn følgende opplysninger for følgende formål:

Formål med databehandling	Rettslig grunnlag for behandling og lagringstid	Lagringstid	Omfang av behandlede opplysninger
Oppfyllelse av avtale med kunden eller iverksetting av tiltak etter den registrertes anmodning før inngåelse av slik avtale	Artikkel 6.1 b i GDPR (oppfyllelse av avtale)	• i løpet av avtalens gyldighet • til lovpålagt plikt opphører, knyttet til regnskap • opplysningene behandles til foreldelsesfrist for krav utløper	• for- og etternavn; • e-postadresse; • telefonnummer; • adresse (gate, husnummer, leilighetsnummer, postnummer, sted, land); • firmanavn; • MVA-nummer (NIP)
Direktemarkedsføring	Artikkel 6.1 f i GDPR (berettiget interesse for behandlingsansvarlig). Kan kun utføres etter samtykke og uten innvending fra den registrerte.	• til samtykke tilbakekalles – du kan når som helst trekke det tilbake • opplysningene behandles til foreldelsesfrist for krav utløper	• e-postadresse; • telefonnummer;
Markedsføring	Artikkel 6.1 a i GDPR (samtykke)	• til samtykke tilbakekalles • opplysningene behandles til foreldelsesfrist for krav utløper • til man melder seg av nyhetsbrevet	• for- og etternavn; • e-postadresse; • telefonnummer; • adresse (gate, husnummer, leilighetsnummer, postnummer, sted, land)
Kundeanmeldelse	Artikkel 6.1 a i GDPR	• hvis ingen anmeldelse gis – opptil 30 dager etter kjøp eller til innsigelse vurderes • hvis anmeldelse gis – til den slettes eller til innsigelse vurderes • opplysningene behandles til foreldelsesfrist for krav utløper	• for- og etternavn; • e-postadresse; • telefonnummer;
Regnskap	Artikkel 6.1 c i GDPR sammenholdt med art. 86 § 1 i den polske skatteforvaltningsloven av 17. januar 2017 eller art. 74.2 i den polske regnskapsloven av 30. januar 2018	• opplysningene behandles til foreldelsesfristen for krav utløper • opplysningene lagres i perioden fastsatt ved lov om bevaring av skatte- eller regnskapsdokumenter (5 år fra begynnelsen av året etter det regnskapsåret opplysningene gjelder)	• for- og etternavn; • e-postadresse; • telefonnummer; • adresse (gate, husnummer, leilighetsnummer, postnummer, sted, land); • MVA-nummer (NIP); • firmanavn;
Gjennomføre refusjon	Artikkel 6.1 b i GDPR (oppfyllelse av avtale)	• 5 år etter at forretningsforholdet til kunden er avsluttet	• for- og etternavn; • e-postadresse; • telefonnummer; • fødselsnummer (PESEL); • adresse (gate, husnummer, leilighetsnummer, postnummer, sted, land); • opplysninger om næringsdrivende
Fastslå, gjøre gjeldende eller forsvare krav fra eller mot behandlingsansvarlig	Artikkel 6.1 f i GDPR	• opplysningene lagres i perioden hvor det foreligger berettiget interesse, men ikke lenger enn foreldelsesfristen for krav knyttet til forretningsvirksomhet	• for- og etternavn; • e-postadresse; • telefonnummer; • adresse (gate, husnummer, leilighetsnummer, postnummer, sted, land); • MVA-nummer (NIP); • firmanavn;
Gjennomføre undersøkelser og analyser for å forbedre tilgjengelige tjenesters funksjon	Artikkel 6.1 f i GDPR	• opplysningene behandles til foreldelsesfristen for krav utløper • til informasjonskapsler brukt til analyseformål utløper eller slettes	• firmanavn; • e-postadresse; • telefonnummer; • adresse (gate, husnummer, leilighetsnummer, postnummer, sted, land); • datakomponenter; • innstillinger; • installert programvare;
Innsamling av telemetridata	Artikkel 6.1 f i GDPR	• til informasjonskapsler brukt til analyseformål utløper eller slettes	• IP-adresse; • omtrentlig plassering basert på IP-adresse; • bruker-ID; • bruk og deling av programvare;
Registrering av kundekonto	Artikkel 6.1 b i GDPR (oppfyllelse av avtale)	• 5 år etter at forretningsforholdet med kunden er avsluttet	• for- og etternavn; • e-postadresse; • telefonnummer; • fødselsnummer (PESEL); • adresse (gate, husnummer, leilighetsnummer, postnummer, sted, land); • opplysninger om næringsdrivende;
Yte kundeservice	Artikkel 6.1 b i GDPR (oppfyllelse av avtale)	• 5 år etter at forretningsforholdet med kunden er avsluttet • 2 år etter siste oppdatering av kundens henvendelse	• for- og etternavn; • e-postadresse; • telefonnummer; • adresse (gate, husnummer, leilighetsnummer, postnummer, sted, land); • opplysninger om næringsdrivende;
Sikre korrekt funksjon av nettstedet	Opprettholde nettstedets ytelse og forbedre det (artikkel 6.1 f i GDPR)	• 5 år etter at forretningsforholdet med kunden er avsluttet	• Som i cellen ovenfor; • Informasjon om aktiviteter på nettstedet (klikk på knapper, besøkstid, leste meldinger, annen informasjon avhengig av spesifikke forretningsscenarier)
Gjøre det mulig for kunden å tilbakestille passord	Beskytte og sikre nettstedet, kundens interesser og sikkerhet (artikkel 6.1 f i GDPR)	• 5 år etter at forretningsforholdet med kunden er avsluttet	• for- og etternavn; • e-postadresse; • opplysninger om næringsdrivende; • kundens passord; • bruker-ID
Overvåke etterlevelse av vilkår, avtaler og personvernerklæring	Beskytte og sikre nettstedet, kundens interesser og sikkerhet (artikkel 6.1 f i GDPR)	• 5 år etter at forretningsforholdet med kunden er avsluttet	• transaksjonsopplysninger; • opplysninger om næringsdrivende;
Behandle forespørsler om personopplysninger	Artikkel 6.1 c i GDPR	• Perioden hvor behandlingsansvarlig har berettiget interesse, men ikke lenger enn foreldelsesfristen for krav knyttet til forretningsvirksomhet	• for- og etternavn; • e-postadresse; • telefonnummer; • adresse (gate, husnummer, leilighetsnummer, postnummer, sted, land); • MVA-nummer (NIP); • firmanavn;
Gi informasjon til rettshåndhevende og andre statlige myndigheter	Artikkel 6.1 c i GDPR	• Perioden hvor behandlingsansvarlig har berettiget interesse, men ikke lenger enn foreldelsesfristen for krav knyttet til forretningsvirksomhet	• for- og etternavn; • e-postadresse; • telefonnummer; • adresse (gate, husnummer, leilighetsnummer, postnummer, sted, land); • MVA-nummer (NIP); • firmanavn;
Oppfylle rettslig forpliktelse i henhold til art. 16.1, 4, 5 og 6 i DSA	Artikkel 6.1 c i GDPR	• Inntil informasjon gis om behandlingsansvarliges beslutning som følge av innrapportering, og mulighet til å klage på beslutningen	• for- og etternavn; • e-postadresse; • telefonnummer; • adresse (gate, husnummer, leilighetsnummer, postnummer, sted, land); • MVA-nummer (NIP); • firmanavn;
Behandling av personopplysninger i henhold til prosedyre for offentlige myndigheter	Artikkel 6.1 c i GDPR	• I den perioden en slik plikt gjelder	• for- og etternavn; • e-postadresse; • telefonnummer; • adresse (gate, husnummer, leilighetsnummer, postnummer, sted, land); • MVA-nummer (NIP); • firmanavn;

3. Brukernes personopplysninger lagres ikke lenger enn det som er nødvendig for å oppnå formålet med behandlingen, dvs. frem til samtykke trekkes tilbake dersom behandlingen skjer på grunnlag av slikt samtykke, frem til foreldelsesfristen for krav fra behandlingsansvarlig og motpart i forbindelse med oppfyllelse av inngåtte avtaler (for salgs-/tjenesteavtaler 2 år, regnet til årets slutt), og frem til en forespørsel sendt via e-post er behandlet eller en klage er avsluttet. Etter at denne perioden har løpt ut, vil kundens personopplysninger bli behandlet av behandlingsansvarlig basert på artikkel 6.1 f i GDPR, dvs. for berettigede interesser knyttet til gjennomførte markedsføringskampanjer.

4. Behandlingsansvarlig kan bruke profilering for direktemarkedsføring, men beslutninger tatt på dette grunnlaget av behandlingsansvarlig innebærer ikke å inngå eller unngå å inngå avtale, eller muligheten til å bruke elektroniske tjenester. Resultatet av profilering kan for eksempel være at en bestemt person får en rabatt, en rabattkode tilsendt, en påminnelse om ufullførte kjøp, et tilbud på et produkt som kan passe vedkommendes interesser eller preferanser, eller bedre vilkår enn standardtilbudet. Til tross for profilering er det personen selv som fritt bestemmer om de vil benytte rabatten eller de forbedrede vilkårene og fullføre kjøpet. Profilering innebærer automatisk analyse eller prognose av en bestemt persons atferd på behandlingsansvarliges nettsted, for eksempel ved å legge et bestemt produkt i handlekurven, besøke en produktside eller analysere tidligere aktivitetslogger på siden. Forutsetningen for slik profilering er at behandlingsansvarlig har den registrertes personopplysninger for deretter å kunne sende f.eks. en rabattkode.

5. I den grad det er nødvendig for at nettstedet og dets funksjoner skal fungere korrekt, kan nettstedet under brukerens besøk samle inn annen informasjon, blant annet:

• a) IP-adresse,
• b) informasjon om enhet, maskinvare og programvare, for eksempel maskinvare-ID, ID for mobile enheter (f.eks. Apple Identifier for Advertising ["IDFA"] eller annonse-ID på Android-enheter ["AAID"]),
• c) plattformtype,
• d) innstillinger og komponenter,
• e) nettleserinformasjon, inkludert hvilken nettleser som brukes og valgt språk.

6. Med hänsyn till art, omfattning, sammanhang och syfte med behandlingen samt risken för kränkning av fysiska personers rättigheter eller friheter, med olika sannolikhet och skadlig konsekvens, vidtar Personuppgiftsansvarig lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen sker i enlighet med förordningen och för att kunna påvisa detta. Dessa åtgärder ses över och uppdateras vid behov. Personuppgiftsansvarig använder tekniska åtgärder som förhindrar obehöriga personer från att inhämta och ändra personuppgifter som överförs elektroniskt.

§ 3 Deling av opplysninger

1. Den behandlingsansvarlige sikrer at alle innsamlede personopplysninger brukes for å oppfylle forpliktelser overfor brukerne. Disse opplysningene vil ikke bli delt med tredjepart, unntatt i følgende situasjoner:

• a) uttrykkelig samtykke er gitt av den registrerte, eller
• b) en plikt til å overføre opplysningene følger eller vil følge av gjeldende lovgivning, for eksempel til rettshåndhevende myndigheter.

2. I tillegg kan personopplysninger om tjenestemottakere og kunder deles med følgende mottakere eller mottakerkategorier:

• a) tjenesteleverandører som tilbyr tekniske, IT-relaterte og organisatoriske løsninger som muliggjør for den behandlingsansvarlige å drive sin virksomhet, inkludert nettstedet og de elektroniske tjenestene som leveres der (særlig programvareleverandører, markedsføringsbyråer, e-post- og hostingleverandører, leverandører av forretningsstyringsprogramvare og teknisk støtte, samt transportselskaper) – behandlingsansvarlig deler kundens innsamlede personopplysninger med valgt leverandør som handler på vegne av behandlingsansvarlig, og kun i den utstrekning som er nødvendig for det spesifikke formålet med behandlingen angitt i denne personvernerklæringen.
• b) leverandører av regnskaps-, juridiske- og rådgivningstjenester som yter støtte (spesielt regnskapskontorer, advokatfirmaer eller inkassobyråer) – behandlingsansvarlig deler kun data med slike leverandører når det er nødvendig for å oppnå de angitte formålene i denne erklæringen.
• c) leverandører av betalingsløsninger og betalingsformidlere – behandlingsansvarlig deler kundedata kun med godkjente leverandører i nødvendig omfang. Dette gjelder bl.a.:
  • PayU S.A., Poznań, ul. Grunwaldzka 186, KRS: 0000274399, NIP: 7792308495
  • PayPo Sp. z o.o., Warszawa, ul. Domaniewska 39, KRS: 0000575158, NIP: 5213705997, bok@paypo.pl
• d) transportører/speditører/kurerer – dersom kunden benytter levering via post eller budtjeneste, deles data kun i den grad det er nødvendig for levering av produktet.

3. Den behandlingsansvarlige kan dele anonymiserte data (dvs. data som ikke identifiserer enkeltbrukere) med eksterne tjenesteleverandører for å analysere effektiviteten av annonser og tjenester. Slik data kan overføres til tredjeland i henhold til EUs standardavtaler eller andre gyldige overføringsgrunnlag.

4. Den behandlingsansvarlige vil alltid informere brukeren dersom opplysninger skal overføres utenfor EØS.

5. Behandlingsansvarlig gjennomfører løpende risikovurderinger og sikrer at kun autoriserte personer har tilgang til personopplysninger – og kun i nødvendig omfang. Alle dataoperasjoner blir loggført og kun utført av ansatte eller samarbeidspartnere med nødvendige tillatelser.

6. Behandlingsansvarlig påser at også underleverandører følger nødvendige sikkerhetstiltak ved behandling på vegne av behandlingsansvarlig.

7. Nettstedet kan bruke Google Analytics levert av Google LLC. Informasjonen generert av cookies kan bli overført til og lagret på servere i USA. IP-adresser forkortes som standard. Mer informasjon: www.google.com/policies/privacy/partners. Avmelding: http://tools.google.com/dlpage/gaoptout.

8. Dersom behandlingsansvarlig overfører data til tredjeland utenfor EØS, brukes EUs standardavtaler og vurderes risikonivå i henhold til GDPR artikkel 46 og 49.

9. Ved overføring av data til USA forsøker behandlingsansvarlig å gjøre dette kun til organisasjoner som er godkjent under «EU–USA Data Privacy Framework», publisert av det amerikanske handelsdepartementet. Er ikke importøren registrert der, brukes standardklausuler eller annet gyldig rettsgrunnlag.

§ 4 Brukerens rettigheter

1. En bruker hvis personopplysninger behandles har rett til:

• innsyn, retting, begrensning, sletting eller dataportabilitet – den registrerte har rett til å be den behandlingsansvarlige om tilgang til, retting, sletting ("retten til å bli glemt") eller begrensning av behandlingen av sine personopplysninger, samt rett til å protestere og rett til å få opplysningene overført. Detaljerte vilkår for utøvelse av disse rettighetene finnes i artikkel 15–21 i GDPR.
• å trekke tilbake samtykke når som helst – hvis behandlingen av personopplysningene skjer med grunnlag i samtykke (i henhold til artikkel 6.1 a eller 9.2 a i GDPR), kan brukeren når som helst trekke tilbake dette uten at det påvirker lovligheten av behandlingen som ble gjort før samtykket ble trukket tilbake.
• klage til tilsynsmyndigheten – Dersom brukeren mener at hans eller hennes personopplysninger behandles i strid med loven, har vedkommende rett til å sende inn klage til tilsynsmyndigheten. I Norge er dette Datatilsynet, men klage kan også rettes til Urząd Ochrony Danych Osobowych i Polen, https://uodo.gov.pl/.
• protestere – den registrerte har rett til når som helst, av grunner knyttet til vedkommendes spesifikke situasjon, å protestere mot behandling av egne personopplysninger som skjer i henhold til artikkel 6.1 e eller f i GDPR, inkludert profilering basert på disse bestemmelsene. Behandlingsansvarlig skal i så fall ikke lenger behandle opplysningene, med mindre det kan påvises tvingende rettslige grunner som veier tyngre enn den registrertes interesser og rettigheter, eller for etablering, utøvelse eller forsvar av rettskrav.
• protestere mot direkte markedsføring – hvis personopplysninger behandles for direkte markedsføring med grunnlag i berettiget interesse, har den registrerte rett til når som helst å protestere mot slik behandling, inkludert profilering i den grad den har forbindelse med direkte markedsføring.

2. Disse rettighetene kan utøves ved å sende en henvendelse til kontor@madrasser24.no. Forespørselen bør inneholde brukerens for- og etternavn.

3. Brukeren er ansvarlig for at opplysninger han eller hun oppgir eller publiserer på nettstedet, er korrekte.

§ 5 Informasjonskapsler (cookies)

1. Med «cookies» menes IT-data, spesielt tekstfiler, som lagres på brukerens enhet (vanligvis harddisk på datamaskin eller mobil enhet), og som gjør det mulig for nettleseren å huske innstillinger og data ved bruk av nettsider. Disse filene lar nettsiden gjenkjenne brukerens enhet og vise siden riktig, for å gi en behagelig brukeropplevelse. Ved å lagre cookies kan innhold og tilbud tilpasses brukerens preferanser – serveren gjenkjenner brukeren og husker for eksempel preferanser, besøk, klikk og tidligere aktiviteter.

2. Cookies inneholder vanligvis domenenavnet de stammer fra, hvor lenge de lagres på enheten, samt et unikt nummer som identifiserer nettleseren som brukes til å koble til nettsiden.

3. Cookies brukes for å:

• tilpasse innholdet på nettsider etter brukerens preferanser og optimalisere bruken,
• lage anonyme statistikker som hjelper til med å forstå hvordan brukere benytter nettstedet, for å forbedre struktur og innhold,
• vise reklame tilpasset brukerens interesser.

Cookies brukes ikke til å identifisere brukeren, og identiteten kan ikke fastslås basert på dem.

4. Cookies deles inn i følgende kategorier:

• Nødvendige cookies – absolutt nødvendige for at nettsiden eller visse funksjoner skal fungere. Uten dem kan mange tjenester ikke tilbys. Noen sikrer også sikkerheten ved elektroniske tjenester.
• Funksjonelle cookies – viktige for nettstedets funksjon, da de:
  • beriker funksjonaliteten; uten dem fungerer nettsiden, men ikke tilpasset brukerens behov,
  • gir høyere brukervennlighet; uten dem reduseres komforten, men funksjonen beholdes,
  • er nødvendige for hovedfunksjoner – uten dem kan visse funksjoner slutte å fungere.
• Kommersielle cookies – muliggjør den forretningsmodellen nettstedet er basert på. Blokkering påvirker ikke tilgangen, men kan redusere tjenestens kvalitet og inntekter for nettstedseieren.
• Cookies for nettstedskonfigurasjon – gjør det mulig å justere funksjoner og tjenester.
• Cookies for sikkerhet og pålitelighet – verifiserer ekthet og optimaliserer ytelsen.
• Autentiseringscookies – viser om brukeren er logget inn, slik at riktig informasjon og funksjoner vises.
• Sessionscookies – lagrer informasjon om brukerens navigasjon på nettstedet (besøk, feilmeldinger, mest besøkte sider), og forbedrer dermed brukeropplevelsen.
• Cookies for prosesshåndtering – muliggjør jevn funksjon av tjenester på nettstedet.
• Cookies for annonsering – viser annonser som er mer relevante for brukeren, og verdifulle for annonsører.
• Cookies for analyse og rekkeviddemåling – gir innsikt i brukerens preferanser og hjelper eierne med å forbedre produkter og tjenester, ofte gjennom anonyme data.

5. Bruken av cookies for å tilpasse innhold medfører som regel ikke identifisering, men i enkelte tilfeller kan de inneholde personopplysninger. Disse er kryptert for å forhindre uautorisert tilgang.

6. Cookies brukt på dette nettstedet er ikke skadelige, og det anbefales å ikke deaktivere dem i nettleseren for å sikre korrekt funksjon. De fleste nettlesere er satt til å akseptere cookies som standard, men brukeren kan endre dette i innstillingene.

7. Cookies brukes også for å lette innlogging (inkludert via sosiale medier) og navigasjon mellom undersider uten å måtte logge inn på nytt. De bidrar også til sikkerhet, som å hindre uautorisert tilgang.

8. Innen cookies-teknologi kan det brukes sporingspiksler eller transparente GIF-er for å spore brukeratferd og respons på e-postkampanjer. Etter samtykke opprettes en direkte tilkobling til serveren som hoster pikselen, og behandlingen skjer i tråd med tredjepartens personvernregler.

9. Behandlingsansvarlig kan bruke loggfiler (med teknisk informasjon som IP-adresse) for å overvåke trafikk, løse problemer, oppdage svindel og sikre samsvar med bruksvilkår.

10. Nettstedet reagerer ikke på DNT-signaler (Do Not Track), men brukeren kan deaktivere enkelte former for sporing via nettleserinnstillinger eller samtykkeverktøy (der det finnes).

11. Veiledning for å endre og slette cookies finnes i hjelpen til nettleseren eller på følgende sider:

• Google Chrome
• Mozilla Firefox
• Microsoft Edge
• Opera
• Safari macOS
• Safari iOS/iPadOS

12. For mobiltelefoner eller nettbrett, se brukerhåndboken for enheten.

12. For detaljert informasjon om håndtering av cookies på mobiltelefon eller annen mobil enhet, vennligst se brukerhåndboken for enheten.