Personvernerklæring

1. Behandlingsansvarlig

MOEN & CO AS (org.nr. 918 899 324) er behandlingsansvarlig for personopplysninger som samles inn via våre nettsider og i forbindelse med levering av våre tjenester.

Kontaktinformasjon
Moen & Co AS
Jacob Aalls Gate 14b, 0368 Oslo
E-post: [email protected]
Telefon: +47 986 49 230

2. Hvilke personopplysninger samler vi inn

2.1 Nettsidebesøkende

Når du besøker moenco.no samler vi inn:

• Tekniske data: IP-adresse, nettlesertype, operativsystem, enhetstype
• Atferdsdata: sider besøkt, tid på siden, klikkhistorikk, kildekampanje
• Kontaktdata: navn, e-postadresse og telefonnummer dersom du fyller ut et skjema

2.2 Kunder og potensielle kunder

I forbindelse med salg og leveranse av tjenester behandler vi:

• Kontaktinformasjon (navn, e-post, telefon, selskapsnavn)
• Betalingsinformasjon (behandles av Stripe, vi lagrer ikke kortdata selv)
• Kommunikasjonshistorikk (e-post, møtenotater)
• Ytelsesdata fra annonseplattformer knyttet til din virksomhet

2.3 Klienters sluttkunder (B2B, databehandlerrolle)

Når vi administrerer annonsekampanjer på vegne av kunder, behandler vi personopplysninger om våre kunders sluttkunder (for eksempel netthandelsdata, pixel-hendelser, e-postlister). I disse tilfellene opptrer Moen & Co AS som databehandler, og kunden er behandlingsansvarlig. Behandlingen reguleres av en egen databehandleravtale (DPA).

3. Formål og rettslig grunnlag

Dersom behandlingen er basert på samtykke, kan du når som helst trekke dette tilbake uten at det påvirker lovligheten av behandlingen som fant sted før tilbaketrekkingen.

4. Informasjonskapsler (cookies)

Vi bruker informasjonskapsler på moenco.no. Du kan styre samtykke via vår cookie-banner når du besøker siden.

Nødvendige cookies (krever ikke samtykke)

Disse er nødvendige for at nettsiden skal fungere og kan ikke slås av.

• Sesjonshåndtering
• Cookiebot (samtykkeregistrering)

Analyse-cookies (krever samtykke)

Hjelper oss å forstå hvordan besøkende bruker siden.

• Google Analytics: atferdsanalyse og trafikkmåling
• Plausible Analytics: anonymisert trafikkmåling
• Hotjar: atferdsanalyse, heatmaps og sesjonsopptak

Markedsføringscookies (krever samtykke)

Brukes til å vise relevante annonser og måle effekten av kampanjer.

• Meta Pixel: konverteringssporing og remarketing via Facebook/Instagram
• Google Tag Manager / Google Ads: konverteringssporing og remarketing
• Klaviyo: e-postmarkedsføring og atferdsbasert segmentering

5. Tredjepartsverktøy og databehandlere

Vi benytter blant annet følgende tredjepartsverktøy som behandler personopplysninger på våre vegne. Alle er bundet av databehandleravtaler.

6. Overføring av data utenfor EU/EØS

Flere av verktøyene vi bruker (se tabell over) medfører overføring av personopplysninger til USA. Slike overføringer er sikret gjennom EUs standard kontraktsbestemmelser (Standard Contractual Clauses), i tråd med GDPR artikkel 46.

7. Google-brukerdata i Iris kundeportal

Denne seksjonen gjelder data vi henter fra dine Google-kontoer når du som kunde kobler til Google Ads eller Google Analytics (GA4) i vår kundeportal Iris (kunde.moenco.no). Den gjelder ikke bruken av Google Analytics-informasjonskapsler på moenco.no, som er beskrevet i seksjon 4 og 5. Seksjonen omfatter både rådata fra Google og aggregerte eller avledede data laget av dem.

Hva vi henter, og hvorfor

Når du godkjenner tilkoblingen hos Google (OAuth), henter vi følgende:

• Google Ads: en oversikt over annonsekontoene du har tilgang til, kobling av kontoen du velger til Moen & Cos administrasjonskonto, og annonsedata fra kontoen (som kostnader, visninger, klikk og konverteringer).
• Google Analytics (GA4): en oversikt over kontoene og propertyene du har tilgang til, og måledata fra propertyen du velger. Vi ber kun om lesetilgang (analytics.readonly). Vi oppretter ingen brukertilgang for Moen & Co i din GA4-property og endrer ingenting i den.

Vi bruker disse dataene til å knytte kontoen til riktig kundeforhold, la deg velge riktig annonsekonto eller GA4-property, lage rapporter til deg, og levere tjenestene du har avtalt med oss. Behandlingsgrunnlaget er avtalen med deg (GDPR artikkel 6 bokstav b).

Hvem dataene deles med

Google-brukerdata, inkludert aggregerte og avledede data, deles bare med aktører som er nødvendige for å levere tjenesten: Google leverer dataene etter din autorisasjon; Supabase behandler dataene i vår EU-region i Irland som backend-, database- og Vault-leverandør; Cervinodata henter og behandler Google Ads-data for rapportering på våre vegne; Anthropic mottar kundenavn og aggregerte tall når rapporttekst skrives; når du spør Iris-chatten om annonse- eller analysetall, sendes et sammendrag av tallene til Iris-assistenten, som kjører på Moen & Cos egen server og bruker OpenAI som leverandør av språkmodeller; Resend leverer rapport-e-poster; Vercel leverer portalens frontend; og Cloudflare leverer DNS, CDN og sikkerhet. Vi selger ikke Google-brukerdata, bruker dem ikke til urelatert annonsering og deler dem ikke med tredjeparter for deres egne markedsføringsformål.

Hvem hos Moen & Co som har tilgang

Menneskelig tilgang til de underliggende dataene er begrenset til autoriserte Moen & Co-medarbeidere med tjenstlig behov. I kundeportalen ser du bare data som hører til ditt eget kundeforhold.

Slik beskyttes dataene

Google-brukerdata overføres kryptert med TLS. OAuth-tokens utveksles og brukes i server-side edge-funksjoner og lagres kryptert i Supabase Vault. Applikasjonens metadata-tabeller inneholder bare Vault-peker og ikke rå tokens. Credential-tabellen og Vault-funksjonene er begrenset til service-role. Kundevisning av tilkoblingsmetadata er beskyttet med row-level security og klientavgrenset tilgang. OAuth state er en kortlivet engangskode som slettes når callbacken er brukt eller når den utløper.

Frakobling, lagring og sletting

Du kan når som helst trekke Google-tilgangen i Google-kontoen eller koble fra i kundeportalen. Frakobling i kundeportalen forsøker å tilbakekalle Google-tokenet, sletter lokale connection- og credential-rader og det krypterte Vault-secretet, og stopper videre dataflyt. Google Ads-managerkoblingen til Moen & Cos administrasjonskonto er en egen, varig Google-tilgang; du kan fjerne den i Google Ads eller be oss gjøre det. Google Analytics-tilkoblingen oppretter ingen varig tilgang i din property. Rapporter og andre opplysninger som må beholdes som del av kundeforholdet eller etter lov, følger lagringstidene i denne erklæringen og slettes eller anonymiseres når perioden utløper. Gyldige krav om sletting håndteres uten ugrunnet opphold og senest innen én måned, med mindre lovpålagte plikter krever videre lagring.

Moen & Cos bruk og overføring til andre apper av informasjon mottatt fra Google-API-er følger Google API Services User Data Policy, inkludert Limited Use-kravene.

8. Shopify-butikkdata i Iris kundeportal

Denne seksjonen gjelder data vi henter når du som kunde kobler en Shopify-butikk til kundeportalen Iris (kunde.moenco.no) gjennom appen MCO Analytics.

Hva vi henter, og hvorfor

Appen henter et begrenset sett ordrefelter fra butikken du kobler til: ordrens id, opprettelsestidspunkt, eventuelt kanselleringstidspunkt, testmarkering, betalingsstatus og beløpsfelt, samt butikkens tidssone. Ut fra disse beregner vi selv aggregerte dagstall. Vi ber ikke om kundens navn, e-postadresse, telefonnummer eller adresse.

Tallene brukes til å vise butikkens salg i kundeportalen og til å svare når du spør Iris-chatten om dem. Behandlingsgrunnlaget er avtalen med deg (GDPR artikkel 6 bokstav b).

Varsler fra Shopify

Når en ordre blir betalt, sender Shopify oss et varsel som vi bruker som signal til å hente oppdaterte tall. Innholdet i varselet leses inn i minnet for å kontrollere Shopifys signatur, og skrives ikke til appens tabeller. Butikken identifiseres fra forespørselens Shopify-butikkhode etter kontroll av webhook-signaturen.

Hva vi lagrer

Per butikk og per dag lagrer vi antall ordre, omsetning, snittordreverdi og valuta, sammen med koblingen til butikken og et tilgangstoken som lagres kryptert i Supabase Vault. Vi lagrer ikke ordrelinjer eller kundeopplysninger fra Shopify.

Hvem dataene deles med

Shopify leverer dataene etter din autorisasjon; Supabase behandler dem i vår EU-region i Irland som database-, backend- og Vault-leverandør; Vercel leverer portalens frontend; og Cloudflare leverer DNS, CDN og sikkerhet. Når du spør Iris-chatten om butikktallene, sendes et sammendrag av dagstallene til Iris-assistenten, som kjører på Moen & Cos egen server og bruker en ekstern leverandør av språkmodeller. Vi selger ikke dataene og deler dem ikke med tredjeparter for deres egne markedsføringsformål.

Avinstallering og sletting

Avinstallering kobler butikken fra og stopper videre henting umiddelbart. 48 timer etter avinstalleringen sender Shopify oss en sletteforespørsel for butikken. Når vi mottar den, sletter vi tilgangstokenet, koblingen til butikken og de lagrede dagstallene for butikken. Sammendrag som allerede inngår i chat-historikk, og kopier i sikkerhetskopier og driftslogger, omfattes ikke av denne slettingen. Sikkerhetskopier av databasen slettes automatisk etter 7 dager, og chat-logger følger lagringstiden i seksjon 9.

9. Lagringstid

10. Dine rettigheter

Under GDPR har du følgende rettigheter:

• Innsyn: du kan be om en kopi av personopplysningene vi har om deg
• Retting: du kan be oss rette feilaktige eller ufullstendige opplysninger
• Sletting: du kan be om at vi sletter dine personopplysninger («retten til å bli glemt»)
• Begrensning: du kan be om at vi begrenser behandlingen i visse situasjoner
• Dataportabilitet: du kan be om å motta dine opplysninger i et strukturert, maskinlesbart format
• Innsigelse: du kan protestere mot behandling basert på berettiget interesse
• Trekke samtykke: du kan når som helst trekke tilbake samtykke uten negative konsekvenser

For å benytte deg av rettighetene dine, send e-post til [email protected]. Vi svarer innen 30 dager.

11. Klagerett

Dersom du mener at Moen & Co AS ikke behandler dine personopplysninger i samsvar med GDPR, har du rett til å klage til Datatilsynet:

Datatilsynet
Postboks 458 Sentrum, 0105 Oslo
[email protected]
www.datatilsynet.no

12. Databehandleravtaler (for B2B-kunder)

Dersom Moen & Co AS behandler personopplysninger om dine sluttkunder som ledd i leveranse av annonserings- eller e-posttjenester, inngår vi en databehandleravtale (DPA) med deg som behandlingsansvarlig. Dette er påkrevd etter GDPR artikkel 28. Ta kontakt på [email protected] for å inngå eller gjennomgå en slik avtale.

13. Endringer i erklæringen

Vi forbeholder oss retten til å oppdatere denne personvernerklæringen. Vesentlige endringer varsles via e-post til registrerte brukere eller ved tydelig melding på nettsiden.