Personvernerklæring

1. To roller, to sett opplysninger

Screenpartner AS har to ulike roller i Brandville, og det avgjør hvem du skal henvende deg til.

Alt kundene våre legger inn i sin egen bildebank – filer, metadata, brukerkontoer, invitasjoner, aktivitetslogg og delingslenker – behandler vi på kundens vegne. Der er kunden behandlingsansvarlig, og vi er databehandler. Vi bruker ikke de opplysningene til egne formål, og vi gjør bare det kunden har bedt om. Rammene står i databehandleravtalen.

Opplysningene om selve kundeforholdet vårt – den som registrerer seg, betalingen, e-post til support, besøkende på brandville.no og sikkerhetsloggene våre – er vi behandlingsansvarlig for. Denne erklæringen handler i hovedsak om dem.

Er du bruker i en bildebank arbeidsgiveren din abonnerer på, er det arbeidsgiveren som er behandlingsansvarlig for kontoen din og innholdet. Spørsmål om innsyn, retting eller sletting retter du til arbeidsgiveren din. Kontakter du oss, sender vi deg dit, og vi bistår kunden med å svare.

2. Hvem vi er

Screenpartner AS, org.nr. 992 596 996, Storgaten 32, 3126 Tønsberg, er behandlingsansvarlig etter punkt 1. Henvendelser om personvern sendes til hei@screenpartner.no. Vi har ikke eget personvernombud.

3. Hva vi behandler om deg som kunde

Hva	Opplysninger	Formål	Grunnlag	Hvor lenge
Registrering	Organisasjonsnavn, ønsket subdomene, e-post til første administrator	Opprette bildebanken og kundeforholdet	Avtale, personvernforordningen artikkel 6 nr. 1 bokstav b	Så lenge abonnementet løper
Betaling	Navn, e-post, faktura- og betalingshistorikk hos Stripe. Hos oss bare kunde- og abonnements-ID	Kreve inn abonnementet	Avtale, og rettslig forpliktelse etter bokføringsloven	Regnskapsmateriale i 5 år etter regnskapsårets slutt
Support	E-poster du sender oss, og svarene våre	Svare på henvendelser og rette feil	Avtale, og berettiget interesse i å dokumentere saken	Normalt inntil 2 år
Besøk på brandville.no	IP-adresse i webserverens tilgangslogg	Drift og feilsøking	Berettiget interesse i sikker drift	Loggen roteres bort løpende, ingen langtidslagring
Sikkerhet	IP-adresse og nettleserkjennetegn på aktive innlogginger, tellere for antall innloggingsforsøk	Hindre misbruk og automatiserte angrep	Berettiget interesse i sikker drift	Så lenge innloggingen varer, maks 30 dager

Opplysningene får vi fra deg. Vi kjøper ikke opplysninger, og vi henter dem ikke fra andre kilder.

Det er frivillig å oppgi opplysningene, men uten organisasjonsnavn, subdomene, e-post og et gyldig betalingskort kan vi ikke opprette bildebanken.

4. Opplysninger i kundens bildebank

Der vi er databehandler, behandler vi:

• brukerkontoer med navn, e-postadresse, rolle og tidspunkt for siste innlogging
• invitasjoner og tilbakestilling av passord, som begge utløper
• innlogginger, med IP-adresse og nettleserkjennetegn så lenge innloggingen varer
• aktivitetsloggen, med hvem som gjorde hva, når og fra hvilken IP-adresse. Kunden velger om loggen skal beholdes i 90, 180, 365 eller 730 dager. Standard er 365
• filene som lastes opp, og metadataene i dem. Metadata som fotograf, opphavsrett, kameradata og GPS-posisjon leses ut, lagres og blir søkbare. Originalfilen beholdes uendret
• delingslenker. Vi lagrer hvem som opprettet lenken og når den utløper, aldri e-postadressen til mottakeren

Sletter en administrator en bruker, anonymiseres kontoen. Navn og e-postadresse fjernes, og kontoen kan ikke logge inn. Raden blir liggende, slik at filer, samlinger og aktivitetshistorikk brukeren står bak, ikke forsvinner. Aktive delingslenker brukeren hadde laget, stenges.

5. Hvem vi deler med

Mottaker	Hva de gjør	Hvor
ServeTheWorld AS	Applikasjonsdrift, database, søkeindeks, filbehandling og midlertidige visningsbilder	Oslo, Norge
Amazon Web Services EMEA SARL	Kryptert sikkerhetskopi i S3 og utsending av e-post fra tjenesten, som invitasjoner og tilbakestilling av passord	Stockholm, Sverige (eu-north-1). Selskapet er registrert i Luxembourg
Stripe Payments Europe, Ltd.	Betaling, kortopplysninger, fakturaer og kvitteringer	Irland
Cloudflare	Lagring og levering av filer i R2, og DNS-oppslag for brandville.no	EU-jurisdiksjon for objektlagring. Cloudflare, Inc. er amerikansk
Google Cloud EMEA Limited	Kun for kunder som har slått på tillegget «Bildeanalyse»: automatisk tagging og beskrivelse, og semantisk bildesøk, i Vertex AI	Nederland (europe-west4) og EU-multiregionen (eu). Selskapet er registrert i Irland

Kortopplysningene dine berører aldri plattformen vår. De håndteres av Stripe. Etter Stripes egen databehandleravtale er Stripe selvstendig behandlingsansvarlig for kortdata og for å avdekke og hindre svindel. Den delen skjer altså på Stripes eget grunnlag, ikke på vår instruks. Vilkårene og personvernerklæringen til Stripe gjelder for den behandlingen.

Cloudflare lagrer filene i R2 med EU-jurisdiksjon og mottar direkte opplastings- og nedlastingstrafikk. Cloudflare svarer også på navneoppslag for brandville.no. Nettsidene og API-et betjenes fra serverne våre i Oslo.

Har kunden slått på tillegget «Bildeanalyse», sender vi en nedskalert kopi av bildet, og ved søk søketeksten, til Vertex AI hos Google Cloud. Vi sender ikke originalfilen, filnavnet, metadataene i filen eller opplysninger om hvem som lastet opp eller søkte. Google bruker ikke innholdet til å trene egne modeller – det følger av «Google Cloud Service Specific Terms» punkt 18 (Training Restriction) – og tillegget gjør ingen ansiktsgjenkjenning og identifiserer ikke personer. Slår kunden tillegget av, stanser overføringen. Tillegget er av som standard.

Vi bruker ingen analyseverktøy, ingen annonsenettverk og ingen sporing. Vi selger ikke personopplysninger. Ellers deler vi opplysninger bare når loven krever det.

6. Hvor opplysningene ligger

Filene lagres i Cloudflare R2 med EU-jurisdiksjon. Database, søkeindeks, filbehandling og midlertidige visningsbilder ligger på servere i Oslo. Kryptert sikkerhetskopi ligger i Stockholm. Dette er innenfor EØS. EU-jurisdiksjon for filene er ikke en garanti for at all støtte- og administrativ behandling hos leverandøren skjer i EØS.

Bildeanalysen behandles innenfor EU, i Nederland og i EU-multiregionen. Det er ikke tilsiktet noen overføring til tredjeland. Skulle Googles egen support- eller driftstilgang likevel innebære en overføring, skjer den på grunnlaget Google oppgir i «Cloud Data Processing Addendum», som innlemmer EU-kommisjonens standard personvernbestemmelser og gir dem forrang.

Stripe og Cloudflare er internasjonale aktører som kan behandle opplysninger utenfor EØS. Overføringene skjer på grunnlaget de selv oppgir i sine avtaler, i praksis EU-kommisjonens standard personvernbestemmelser. Cloudflares Data Processing Addendum omfatter også behandling av innhold på våre kunders vegne.

7. Informasjonskapsler og lagring i nettleseren

Brandville.no setter ingen informasjonskapsler, laster ingenting fra tredjeparter og har ingen samtykkebanner, fordi det ikke er noe her å samtykke til.

Selve bildebanken setter én informasjonskapsel, bildebank_session. Den er nødvendig for å holde deg innlogget, kan ikke leses av skript i nettleseren, og varer i 30 dager fra siste gang du brukte den. I tillegg brukes et såkalt CSRF-token, som hindrer at andre nettsteder utfører handlinger i din innlogging. Begge er strengt nødvendige for tjenesten du har bedt om, og krever derfor ikke samtykke etter ekomloven § 3-15. Uten dem kan du ikke logge inn.

Visningsvalgene dine – rutenett eller liste, og sortering – lagres i nettleseren din (localStorage). De blir liggende der, og sendes ikke til oss.

8. Sikkerhet

All trafikk er kryptert. Passord lagres som Argon2id-hasher og kan ikke leses ut. Hver kunde har sitt eget lager, og er skilt fra andre kunder i to uavhengige lag. Filer virussjekkes ved opplasting, og sikkerhetskopiene tas hver natt og krypteres. De tekniske og organisatoriske tiltakene er beskrevet i Bilag 3 til databehandleravtalen.

9. Rettighetene dine

Du har rett til innsyn i opplysningene vi har om deg, til å få rettet feil, til å få opplysninger slettet, til å be om at behandlingen begrenses, til å få utlevert opplysningene du har gitt oss i et maskinlesbart format, og til å protestere mot behandling vi gjør på grunnlag av en berettiget interesse. Bruker vi samtykke som grunnlag, kan du når som helst trekke det tilbake. Vi bruker normalt ikke samtykke.

Be om det ved å skrive til hei@screenpartner.no. Vi svarer innen 30 dager. Gjelder henvendelsen en bildebank du bruker gjennom jobben, må du kontakte arbeidsgiveren din, jf. punkt 1.

Mener du at vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet, Postboks 458 Sentrum, 0105 Oslo, telefon 22 39 69 00, datatilsynet.no. Vi vil gjerne høre fra deg først, så vi får rettet opp.

10. Automatiserte avgjørelser

Vi tar ingen automatiserte avgjørelser med rettsvirkning for deg, og driver ingen profilering. Innholdet i bildebankene brukes ikke til å trene KI-modeller, verken av oss eller av leverandøren bak tillegget «Bildeanalyse». Tillegget foreslår tagger og tekster som kunden selv kan beholde, endre eller fjerne, og avgjør ingenting om deg.

11. Endringer

Datoen øverst viser når erklæringen sist ble endret. Endrer vi noe av betydning, varsler vi administratorene hos kundene våre på e-post.

Screenpartner AS, org.nr. 992 596 996, Storgaten 32, 3126 Tønsberg. hei@screenpartner.no.