Personvernerklæring

Sist oppdatert: 18. oktober 2026

Denne erklæringen forklarer hvordan Spring Adventure behandler personopplysninger i forbindelse med Spring Studio. Behandlingsansvarlig er Spring Adventure (org.nr 918 771 123). Kontakt: post@springstudio.no.

1.Roller: når vi er behandlingsansvarlig, når vi er databehandler

Spring Adventure er behandlingsansvarlig for opplysninger om deg som bruker: brukernavn, e-postadresse og passordhash, fakturerings- og betalingsopplysninger (via Stripe), systemlogg og forbruksmåling.

For innholdet kunden selv legger inn i tjenesten (for eksempel tekst, bilder, kontaktdata eller annet materiale knyttet til kundens egen merkevare) er kunden behandlingsansvarlig, og Spring Adventure er databehandler. Dette er regulert av databehandleravtalen i vilkårene punkt 9.

Det samme gjelder medieovervåkningen. Kunden velger hvilke merkevarer, konkurrenter og temaer som skal følges, og er behandlingsansvarlig for omtalene tjenesten finner. Spring Adventure er databehandler for kunden.

2.Hva vi lagrer og hvor lenge

Opplysning	Lagringstid
Brukernavn, e-postadresse, passordhash (bcrypt)	Til kontoen slettes
Sesjoner	Kryptert, utløper etter 8 timer
API-nøkler og tilkoblingstokens	Kryptert (AES-256-GCM), til de fjernes eller kontoen slettes
Forbruksmåling per AI-kall	180 dager
Systemlogg	30 dager
Samtaler i hjelpe-chatten	90 dager etter siste melding, eller til du sletter samtalen, brukeren eller kontoen
Kommentarer på merkets egne Facebook- og Instagram-innlegg (innboksen, når den er slått på), med navnet til den som kommenterte	90 dager, eller til merket, kontoen eller Meta-dataene slettes
Medieomtaler fra medieovervåkning	90 dager
IP-adressen når en konto sperres etter for mange mislykkede innloggingsforsøk	30 dager (i systemloggen)
Kode laget av IP-adressen (enveis-hash) når en besøkende prøver forhåndsvisningen under «Kom i gang»	48 timer
Opplastede filer	Til de slettes eller kontoen slettes
Stripe kunde- og abonnements-id	Følger kontoen

3.Hjelpe-chatten

Meldinger du sender i hjelpe-chatten sendes til AI-leverandøren Anthropic for å generere svar. Ikke lim inn sensitive personopplysninger i chatten.

Samtalene lagres slik at du kan åpne dem igjen. Bare du ser dine egne samtaler. De slettes automatisk 90 dager etter siste melding, og du kan slette en samtale selv når som helst.

4.Underleverandører (databehandlere)

Anthropic — AI (blant annet hjelpe-chatten og tekstgenerering)
Google — Gemini, og Google Analytics bare når kunden kobler til eget nettsted
OpenAI — AI-generering
Perplexity — AI-basert research
Meta (Facebook/Instagram) — publisering og statistikk, bare når kunden kobler til egne sider
LinkedIn — publisering, bare når kunden kobler til egen side
TikTok — publisering og statistikk, bare når kunden kobler til egen konto. Vi lagrer tilgangsnøkler (kryptert), kontoens brukernavn og visningsnavn, antall følgere, liker og videoer, og visninger, liker, kommentarer og delinger per innlegg publisert fra Spring Studio
Stripe — betaling og fakturering
Amazon Web Services (AWS) — drift av tjenesten, database og sikkerhetskopier i Amazon Lightsail i Stockholm, og e-postutsendelse med Amazon SES i Irland
Unsplash og Pexels — stockbilder

5.Overføring til tredjeland

Flere av underleverandørene er amerikanske selskaper. Overføring av personopplysninger til dem skjer under EU-US Data Privacy Framework, eller basert på EUs standardkontraktsklausuler (SCC) der Data Privacy Framework ikke gjelder.

6.Behandlingsgrunnlag

Behandling av kontoopplysninger, fakturering og bruk av selve tjenesten skjer for å oppfylle avtalen med deg (GDPR artikkel 6 nr. 1 bokstav b).

Når en konto sperres etter for mange mislykkede innloggingsforsøk, lagrer vi IP-adressen forsøkene kom fra. Grunnlaget er vår berettigede interesse i å beskytte kontoene mot angrep (artikkel 6 nr. 1 bokstav f).

Medieovervåkningen behandler offentlig publiserte medieomtaler (forfatternavn, sitat og lenke til kilden) i 90 dager. Vi gjør det som databehandler for kunden, som er behandlingsansvarlig (se punkt 1). Grunnlaget er kundens berettigede interesse (artikkel 6 nr. 1 bokstav f) i å ha oversikt over omtale av egen merkevare og av konkurrenter og temaer kunden selv har valgt å følge. Individuell varsling av personer som omtales i slikt innhold anses som uforholdsmessig ressurskrevende (artikkel 14 nr. 5 bokstav b). Denne personvernerklæringen gir i stedet den generelle informasjonen om behandlingen.

Er du omtalt i et treff og vil at det skal fjernes, kan du kontakte kunden eller oss. Treffet slettes da for godt og hentes ikke inn igjen.

7.Sletting

Kontosletting er selvbetjent, skjer umiddelbart og kan ikke angres. Innhold, nøkler, opplastede filer og Stripe-kundeforholdet slettes. Se sletting av data for fremgangsmåten, også for å trekke tilbake tilgangen fra Facebook, Instagram og TikTok.

Kontoer uten aktivt abonnement slettes automatisk etter 12 måneder, med e-postvarsel senest 30 dager før sletting.

To lovpålagte unntak fra sletting:

Fakturaer og transaksjonshistorikk oppbevares i 5 år etter regnskapsårets slutt, i henhold til bokføringsloven (GDPR artikkel 17 nr. 3 bokstav b). Dette oppbevares hos betalingsleverandøren Stripe.
Et revisjonsregister over kontohendelser (kontoopprettelse og -sletting, abonnementsendringer — hvem, hva og når) beholdes i inntil 3 år, for å kunne fastsette eller forsvare rettskrav (GDPR artikkel 17 nr. 3 bokstav e).

8.Dine rettigheter

Du har rett til innsyn, retting, sletting, begrensning, dataportabilitet og til å protestere mot behandlingen. Henvendelser til kontakt-e-posten over besvares innen 30 dager. Du kan også klage til Datatilsynet (datatilsynet.no).

9.Informasjonskapsler (cookies)

Nettstedet bruker kun én nødvendig sesjonscookie (scs.sid), som utløper etter 8 timer. Vi bruker ingen sporings- eller analysecookies.

10.Sikkerhet

Hemmeligheter og sesjoner krypteres ved lagring. Tilgang styres per konto, med tenant-isolasjon slik at kunders data holdes adskilt. Passord lagres kun som bcrypt-hash. Tjenesten lagrer IP-adresser bare når en konto sperres etter for mange mislykkede innloggingsforsøk. Da lagres adressen i systemloggen i 30 dager, for å oppdage og stoppe angrep. Forhåndsvisningen for besøkende lagrer en kode laget av IP-adressen (en enveis-hash), ikke selve adressen, i 48 timer for å hindre misbruk.