Personvernerklæring
Sist oppdatert: 21.10.2026
1. Hvem vi er og hvem som er ansvarlig
Garranty er et nettbasert system for bedrifter som selger og reparerer produkter: deler og bestillinger, garantisaker, returer, varetelling og et verkstedsystem for reparasjoner. «Vi» i denne erklæringen er Garranty, som leverer tjenesten.
Vi har to roller, avhengig av hvilke opplysninger det gjelder:
- Behandlingsansvarlig for opplysninger vi trenger for å drive tjenesten selv: brukerkontoer og innlogging, kundeforholdet og betaling med bedriftene, sikkerhetslogger og misbruksvern på de offentlige sidene.
- Databehandler for opplysningene bedriftene registrerer om sine egne kunder, forhandlere og ansatte (for eksempel verkstedkunder, returer, garantisaker og SMS-er). Da er det bedriften (verkstedet eller forhandleren du har vært i kontakt med) som er behandlingsansvarlig, og vi behandler opplysningene bare etter deres instruks, i henhold til databehandleravtale.
Er du kunde av et verksted som bruker Garranty, bør du derfor først kontakte verkstedet. Vi hjelper verkstedet med å svare deg.
2. Kontakt
Spørsmål om personvern og forespørsler om rettighetene dine sendes til oss på e-post til post@garranty.no. Ikke send helse- eller andre sensitive opplysninger dit.
Vi har ikke oppnevnt personvernombud. Det er ikke påkrevd etter GDPR art. 37 for en tjeneste som denne, siden vi ikke er en offentlig myndighet og ikke driver omfattende overvåking eller behandler særlige kategorier av opplysninger i stor skala.
3. Hvilke opplysninger vi behandler, hvorfor og på hvilket grunnlag
| Hvem | Opplysninger | Formål | Rettslig grunnlag (GDPR art. 6) |
|---|---|---|---|
| Brukere (ansatte i bedriftene, forhandlere, plattformeier) | Navn, e-post, rolle og tilganger, bedrift/forhandler, profilbilde (valgfritt), passord (bare som kryptografisk hash hos Supabase Auth), PIN-kode for Hovedadmin (hash) | Gi tilgang, styre hvem som ser hva, vise hvem som gjorde hva | Avtale med bedriften (b) / berettiget interesse i å drifte en sikker tjeneste for bedriftens ansatte (f) |
| Brukere — innlogging | Engangskode på e-post ved ny enhet (lagres bare som hash, gyldig i 15 minutter), hash av en tilfeldig enhetsnøkkel, nettlesertype (user agent), når enheten sist ble brukt, antall feil forsøk | Beskytte kontoer mot innbrudd (totrinnsbekreftelse) | Berettiget interesse (f) og plikt til sikkerhet (art. 32) |
| Kontaktpersoner i bedriftene og forhandlerne | Firmanavn, org.nr., adresse, kontakt-e-post og -telefon, logo | Kundeforhold, forhandleroppfølging, fakturering | Avtale (b) / berettiget interesse (f) |
| Verkstedkunder (forbrukere) | Navn, telefon, e-post (valgfritt), serienummer og modell, feilbeskrivelse, tilstand og tilbehør, diagnose og utført arbeid, bilder, pris, status og historikk | Gjennomføre reparasjonen for verkstedet | Verkstedet er ansvarlig — normalt avtale med kunden (b) og dokumentasjonsplikt etter forbrukerlovgivningen og bokføringsloven (c) |
| Verkstedkunder — tilbud og signatur | Navn og håndskrevet signatur, tidspunkt, svar (godkjent/avslått) og eventuell begrunnelse, hash av IP-adresse og nettlesertype, hash av det signerte innholdet | Bevis for at kunden godkjente prisen før arbeidet startet | Verkstedet er ansvarlig — avtale (b) og berettiget interesse i å kunne dokumentere avtalen (f) |
| Verkstedkunder — SMS | Telefonnummer, meldingstekst (status, tilbudslenke, hentemelding, engangskode), leveringsstatus | Varsle kunden om reparasjonen og sende lenke til tilbud | Verkstedet er ansvarlig — avtale (b) |
| Kunder i returer og garantisaker | Navn og telefon (valgfritt), ordrenummer, saksnummer, ramme-/serienummer, beskrivelse, bilder og video | Behandle retur og garantikrav mellom forhandler og leverandør | Bedriften er ansvarlig — avtale (b) / rettslig plikt (c) |
| Kunder i nettbutikken (WooCommerce) | Ved oppslag på et ordrenummer: navn, kontaktinfo, adresse og varer hentes direkte fra bedriftens egen nettbutikk og vises — de lagres ikke hos oss | Kundeservice og garanti for bedriften | Bedriften er ansvarlig — samme grunnlag som for ordren |
| Bedrifter som betaler abonnement | Firma- og fakturaopplysninger, Stripe-kunde- og abonnements-ID. Kortopplysninger behandles bare av Stripe, aldri av oss | Fakturering og regnskap | Avtale (b) og bokføringsplikt (c) |
| Besøkende på garranty.no | IP-adresse og tekniske data i serverlogger hos våre leverandører | Drift, feilsøking og sikkerhet | Berettiget interesse (f) |
Vi bruker ikke opplysningene til markedsføring, profilering, salg av data eller kunstig intelligens, og vi tar ikke automatiserte avgjørelser med rettsvirkning (art. 22). GPS-posisjon fjernes fra bilder (JPEG) før de lastes opp.
4. Statussøk og tilbudslenke
I statussøket (som verkstedet kan legge inn på sin egen nettside) kan en verkstedkunde søke på telefonnummeret sitt for å se status for reparasjonen. Treff viser verkstedets navn, status, oppdragsnummer, modell, et forkortet navn og et delvis skjult serienummer — samme svar gis enten nummeret finnes eller ikke, så søket ikke kan brukes til å finne ut hvem som er kunde.
For å hindre misbruk teller vi antall søk per IP-adresse og per telefonnummer. Begge lagres bare som en hash (pseudonymisert), ikke i klartekst, og tellerne slettes etter kort tid (se punkt 7). Tilbudslenken i SMS-en er personlig, gjelder i 30 dager og kan trekkes tilbake av verkstedet; vi lagrer bare en hash av lenken.
5. Hvem opplysningene deles med
Opplysninger deles ikke mellom bedrifter. Innenfor en bedrift styrer bedriften selv hvem som har tilgang. Vi bruker disse underleverandørene (databehandlere):
| Leverandør | Hva | Hvor data lagres / behandles | Overføringsgrunnlag |
|---|---|---|---|
| Supabase Inc. | Database, innlogging, fillagring, utsending av e-postkoder | EU — Frankfurt (eu-central-1). Selskapet er amerikansk | Leverandørens databehandleravtale med EUs standard personvernbestemmelser (SCC) og/eller EU–US Data Privacy Framework |
| Vercel Inc. | Drift av nettsiden og serverfunksjoner, tekniske logger | Serverfunksjoner i EU (Frankfurt, fra1). Statisk innhold leveres fra Vercels globale nettverk. Selskapet er amerikansk | Leverandørens databehandleravtale med EUs standard personvernbestemmelser (SCC) og/eller EU–US Data Privacy Framework |
| Twilio Inc. | Sending av SMS til verkstedkunder | USA (telefonnummer og meldingstekst overføres) | Leverandørens databehandleravtale med EUs standard personvernbestemmelser (SCC) og/eller EU–US Data Privacy Framework |
| Stripe | Betaling av abonnement for bedrifter | EU/USA | Leverandørens databehandleravtale med SCC og/eller EU–US Data Privacy Framework. Stripe er selv ansvarlig for deler av betalingsbehandlingen |
WooCommerce-integrasjonen kobler Garranty til bedriftens egen nettbutikk. Nettbutikken er bedriftens eget system, ikke vår underleverandør. Vi kan også måtte utlevere opplysninger når loven krever det.
6. Overføring utenfor EU/EØS
Hoveddatabasen ligger i EU. Når opplysninger behandles av amerikanske leverandører (punkt 5), skjer det på grunnlag av EU-kommisjonens beslutning om EU–US Data Privacy Framework for sertifiserte selskaper og/eller EUs standard personvernbestemmelser (SCC), slik det følger av leverandørenes databehandleravtaler.
7. Hvor lenge vi lagrer
| Opplysning | Lagringstid |
|---|---|
| Brukerkonto | Til kontoen slettes av bedriften eller av oss på forespørsel, eller når bedriftens avtale avsluttes |
| Engangskoder for innlogging og passordbytte | Gyldige i 15 minutter; brukes én gang |
| Godkjente enheter | Utløper etter 7 dager uten bruk (høyst 60 dager); slettes 60 dager etter siste bruk, eller 30 dager etter at enheten er glemt |
| Tellere mot misbruk (hash av IP/telefon) | Inntil 2 døgn |
| Tilbudslenker | Gyldige i 30 dager |
| Verkstedoppdrag, tilbud og signaturer | Så lenge verkstedet bestemmer. Regnskapsrelevant dokumentasjon må normalt oppbevares i 5 år (bokføringsloven), og reklamasjonsfristen for forbrukere er inntil 5 år. Verkstedet kan anonymisere kundeopplysninger på et oppdrag når de ikke lenger trengs. |
| Returer og garantisaker | Så lenge bedriften trenger dem for å behandle saken og oppfylle reklamasjons- og regnskapsplikter. Bedriften bestemmer lagringstiden |
| Bilder og video i garantisaker og bestillinger | Slettes sammen med saken eller bestillingen. Vedlegg som aldri ble sendt inn, slettes etter 2 døgn |
| Fakturagrunnlag og betalingshistorikk | 5 år etter regnskapsårets slutt (bokføringsloven § 13) |
| Tekniske logger hos leverandører | Kort tid, etter leverandørenes faste lagringstid for logger |
| Sikkerhetskopier | Tas automatisk av databaseleverandøren og skiftes ut i en fast syklus. Slettede opplysninger forsvinner fra kopiene når de skiftes ut |
8. Dine rettigheter
Du har rett til å
- få innsyn i opplysningene om deg og en kopi av dem (art. 15),
- få rettet uriktige opplysninger (art. 16),
- få slettet opplysninger når de ikke lenger trengs eller behandles ulovlig (art. 17),
- kreve begrenset behandling (art. 18) og protestere mot behandling basert på berettiget interesse (art. 21),
- få utlevert opplysninger du har gitt oss i et maskinlesbart format (dataportabilitet, art. 20).
Har du brukerkonto, kan du selv laste ned dataene dine og rette navnet ditt under Min profil → Personvern og data. E-postadresse og tilganger endres av bedriften din. Vil du at kontoen din skal slettes, ber du administratoren i bedriften din om det, eller kontakter oss (punkt 2). Hovedadmin for en bedriftskonto sletter kontoen ved å si opp avtalen med oss.
Er du kunde av et verksted, kontakt verkstedet. Verkstedet kan eksportere og anonymisere opplysningene dine i Garranty. Opplysninger som må oppbevares etter loven (for eksempel regnskap), anonymiseres i stedet for å slettes, og slettes når fristen er ute.
Vi svarer uten ugrunnet opphold og senest innen én måned. Vi kan be deg bekrefte hvem du er. Mener du at vi behandler opplysninger i strid med regelverket, kan du klage til Datatilsynet, men vi setter pris på om du kontakter oss først.
9. Sikkerhet
All trafikk er kryptert (HTTPS). Hver bedrift er skilt fra de andre i databasen med tilgangsregler på radnivå. Passord, engangskoder, enhetsnøkler og tilbudslenker lagres bare som hash. Innlogging fra ny enhet krever kode på e-post. Filer ligger i private lagringsområder og vises med lenker som utløper etter kort tid. Ved et brudd på personopplysningssikkerheten varsler vi Datatilsynet innen 72 timer når loven krever det, og bedriftene uten ugrunnet opphold.
11. Endringer
Vi oppdaterer erklæringen når tjenesten endres. Datoen øverst viser siste endring. Vesentlige endringer varsles bedriftene på forhånd.