Personvern, på ordentlig.

01 Oppsummering

Vi gjør to ting med data:

• Vi lagrer bildene deres slik at dere kan se dem og laste dem ned etterpå
• Vi sender noen få e-poster (bekreftelser, kvittering, påminnelser før sletting)

Vi bruker ikke bildene deres til å trene KI. Vi selger aldri data. Vi viser ingen annonser. Vi bruker ingen tredjeparts analysetjenester eller sporingsverktøy. Vi deler bare data med de driftsleverandørene som kreves for å kjøre tjenesten — og bare så mye de trenger.

02 Hva vi samler inn

Fra arrangøren

Kontoopplysninger

Navn, e-postadresse, passord (hashet). Valgfritt: telefonnummer for SMS-påminnelser.

Arrangementsopplysninger

Navn på arrangementet, dato, sted (hvis dere oppgir det). Disse er bare synlige for dere og gjestene dere inviterer.

Betalingsinformasjon

Håndteres utelukkende av Stripe. Vi lagrer bare et kvitteringsnummer og de fire siste sifrene i kortnummeret.

Fra gjestene

Kallenavn

Det de selv skriver når de laster opp — f.eks. «Bestemor Ingrid». Ingen krav om fullt navn.

Opplastede bilder & videoer

Inkludert EXIF-data (kamera, tid, sted hvis telefonen deler det). EXIF fjernes i forhåndsvisninger, men beholdes i originalen dere laster ned.

IP-adresse

Logges midlertidig (30 dager) for sikkerhet og forebygging av misbruk.

Automatisk

Driftslogger

Tekniske logger (HTTP-forespørsler, IP-adresse, tidsstempel) som kreves for å levere tjenesten og forebygge misbruk. Ingen tredjeparts analysetjenester.

03 Formål & rettslig grunnlag

04 Hvem får se dataene

Hovedregelen: bare dere og gjestene deres. For driften bruker vi følgende databehandlere:

Alle har signerte eller publiserte databehandleravtaler (DPA). Vi bruker ingen analyseverktøy, ingen tredjeparts sporing og ingen KI-selskaper. Vi deler aldri data med markedsførere eller datameglere.

05 Lagringstid

• Bilder & videoer: 30 dager (Gratis), 12 måneder (Komplett). For Premium skjer ingen automatisk sletting — bildene lagres så lenge tjenesten leveres, eller til dere selv sletter arrangementet. For Gratis og Komplett merkes arrangementet som arkivert når tiden er ute, og slettes deretter innen 30 dager.
• Kontoopplysninger: Så lenge kontoen er aktiv. Etter sletting: 30 dagers utsettelse, deretter borte.
• Regnskapsbilag: 7 år (svensk bokføringslov).
• Systemlogger: 30 dager.
• Sikkerhetskopier: 30 dager etter sletting, deretter overskrevet.

06 Overføring utenfor EU/EØS

All bildelagring skjer innenfor EU (Cloudflare R2, EU-jurisdiksjon). Database og edge functions kjører i Supabases EU-region (Stockholm). Norge er en del av EØS, og GDPR gjelder derfor fullt ut for deg som norsk bruker. Stripe og Resend kan overføre enkelte metadata til USA — dette skjer med EU-godkjente standardavtaler (SCC) og Data Privacy Framework. Vi vurderer løpende alternative EU-leverandører.

07 Dine rettigheter

Etter GDPR og personopplysningsloven har du rett til å:

• Få innsyn i dataene dine
• Rette feilaktig informasjon
• Slette dataene dine («retten til å bli glemt»)
• Begrense behandlingen
• Flytte dataene dine til en annen leverandør
• Protestere mot behandling basert på berettiget interesse
• Trekke tilbake samtykke når som helst

Send en e-post til info@momentix.se, så ordner vi det innen 30 dager. Er du ikke fornøyd med hvordan vi håndterer saken, kan du klage til Datatilsynet i Norge eller til det svenske tilsynet Integritetsskyddsmyndigheten (IMY).

08 Bilder av barn

Vi bygger først og fremst for private arrangementer der barn ofte er med på bildene. Arrangøren er ansvarlig for å ha samtykke fra foresatte til at bilder samles inn og vises i arrangementsgalleriet. Vi anbefaler at dere informerer gjestene om dette i invitasjonen.

Gjester under 13 år bør ikke laste opp selv uten hjelp fra en forelder. Ved melding om upassende innhold som gjelder barn, handler vi innen 24 timer.

09 Sikkerhet

• TLS 1.3 for all trafikk
• Kryptering i hvile (AES-256) for alle bilder
• Isolerte lagringsområder per arrangement
• PIN-beskyttede gallerier som standardvalg
• Regelmessige penetrasjonstester (eksternt)
• Tilgangslogger for all administratortilgang

10 Hendelser & kontakt

Skulle noe skje — datahendelse, mistenkt tilgang, lekkasje — informerer vi berørte brukere innen 72 timer i henhold til GDPR, og melder fra til tilsynsmyndigheten.