Personvernerklæring

Stiftet Holding AS er behandlingsansvarlig for personopplysninger som behandles i forbindelse med våre tjenester.

2.1 Opplysninger du gir oss direkte

• Navn, adresse, telefonnummer og e-postadresse
• Fødselsnummer eller D-nummer
• Bankkontoinformasjon
• Opplysninger om selskapet som skal stiftes
• Opplysninger om aksjonærer og styremedlemmer
• Dokumenter som legitimasjon og fullmakter

2.2 Opplysninger vi samler automatisk

• IP-adresse og nettleserinformasjon
• Informasjonskapsler (cookies)
• Bruksmønster på nettsiden
• Tidspunkt for besøk og handlinger

2.3 Opplysninger fra tredjeparter

• Kredittopplysninger fra kredittopplysningsselskaper
• Opplysninger fra offentlige registre
• Betalingsinformasjon fra betalingsleverandører
• Opplysninger som regnskapsføreren, advokaten eller rådgiveren din legger inn når de bestiller for deg gjennom partnerportalen

2.4 Partnere og deres ansatte

For firmaer som bruker partnerportalen, behandler vi navn, e-post og rolle for brukerne, innloggingshistorikk, godtatt versjon av partneravtalen og kontonummeret firmaet oppgir for utbetaling av provisjon.

4.1 Offentlige myndigheter

Vi deler opplysninger med Brønnøysundregistrene, Skatteetaten og andre offentlige myndigheter som ledd i selskapsstiftelsen eller når vi er lovpålagt til det.

4.2 Tjenesteleverandører (databehandlere)

Vi benytter følgende tjenesteleverandører som behandler personopplysninger på våre vegne. Det er inngått databehandleravtaler med alle leverandører.

I tillegg kan juridiske rådgivere, regnskapsførere og revisorer få tilgang til personopplysninger når det er nødvendig for å utføre sine tjenester.

4.3 Regnskapsførere, advokater og rådgivere (partnere)

Noen bestillinger gjøres gjennom et partnerfirma. Partneren er selv behandlingsansvarlig for opplysningene firmaet har om deg som sin kunde. Hva partneren får se hos oss, avhenger av hvordan bestillingen ble gjort:

• Partneren bestilte for deg i partnerportalen: Partnerfirmaet ser navnet og e-postadressen din, selskapet, opplysningene i bestillingen (for eksempel aksjonærer, styre og adresse), pris, betaler, status for betaling og signering, og selskapsdokumentene (stiftelsesdokumenter, vedtekter, aksjekjøpsavtale, aksjeeierbok, kvitteringer og lignende). Bare medarbeidere i partnerfirmaet har tilgang.
• Du bestilte selv på partnerens salgsside: Partneren ser bare en anonym salgsreferanse, dato, status og provisjonen sin. Partneren ser ikke navnet ditt, kontaktopplysninger eller dokumenter.
• Du kom via partnerens henvisningslenke: Lenken til stiftet.no inneholder en partnerkode. Starter du en bestilling, lagrer vi hvilken partner som sendte deg, slik at partneren kan få provisjon når selskapet er fullført og betalt. Partneren ser bare en anonym referanse, dato, status og provisjonen sin, aldri navnet ditt, kontaktopplysninger eller dokumenter. Vi sjekker om kjøperen er partneren selv (samme organisasjonsnummer eller e-post som partnerens brukere), fordi egenkjøp ikke gir provisjon. Behandlingsgrunnlaget er vår berettigede interesse i å gjøre opp med partnerne våre (GDPR art. 6 nr. 1 bokstav f). Uten samtykke til statistikk huskes koden bare i minnet så lenge besøket varer. Antall besøk via lenken telles per dag uten personopplysninger.
• Kundekontroll deles aldri: Svarene dine i kundekontrollen (formål, midlenes opprinnelse, reelle rettighetshavere, PEP- og sanksjonsspørsmål), legitimasjon og vår vurdering etter hvitvaskingsloven er aldri tilgjengelig for partneren.
• Kundelenke: Har partneren sendt deg en lenke for å fullføre bestillingen, kan den som har lenken åpne bestillingen i inntil 7 dager. Del den ikke med andre.

Stiftet Holding AS er selger og avtalepart for bestillingen og tar imot betalingen. Partneren kan motta provisjon fra Stiftet for bestillingen. Provisjonen beregnes uten å bruke opplysninger om deg utover bestillingens status og pris.

4.4 Overføring til tredjeland

Alle personopplysninger lagres i Norge (Microsoft Azure Norway East). AI-tjenester behandles i EU (Azure Data Zone EU), slik at forespørslene ikke forlater EU/EØS.

Stripe, vår betalingsleverandør, kan overføre betalingsdata til USA som ledd i betalingsbehandlingen. Slik overføring skjer i henhold til GDPR med grunnlag i EU Standard Contractual Clauses (SCC) og tilleggstiltak.

Vi overfører ikke personopplysninger til tredjeland utover det som er beskrevet ovenfor.

Spesifikke lagringstider:

• Kundekontrollopplysninger: 5 år etter kundeforholdets opphør (hvitvaskingsloven)
• Regnskapsopplysninger: 5 år (regnskapsloven)
• Avtaledata: 3 år etter avtalens opphør
• Markedsføringssamtykke: Til samtykket trekkes tilbake
• Nettstedslogger: 12 måneder
• Partnerbrukere: Så lenge partneravtalen løper, og 3 år etter at den er avsluttet
• Provisjon og utbetalinger til partnere: 5 år (regnskapsloven)

Du har følgende rettigheter i henhold til personvernlovgivningen:

Vi har implementert tekniske og organisatoriske sikkerhetstiltak for å beskytte personopplysningene mot uautorisert tilgang, endring, sletting eller utlevering.

Tekniske sikkerhetstiltak:

• Alle data lagres i Microsoft Azure Norway East (norsk datasenter) med ISO 27001- og SOC 2-sertifisering
• Kryptert database (Azure PostgreSQL med SSL/TLS)
• Dokumenter lagres kryptert i Azure Blob Storage
• Hemmeligheter og nøkler beskyttes i Azure Key Vault
• Automatisk daglig sikkerhetskopiering av database
• SSL/TLS-kryptering for all trafikk til og fra nettsiden
• Rate limiting og DDoS-beskyttelse

Organisatoriske sikkerhetstiltak:

• Tilgangskontroll og autentisering med sikre passord
• Regelmessige sikkerhetsvurderinger
• Rutiner for håndtering av personvernbrudd

Første gang du besøker nettsiden, spør vi om samtykke. Du kan godta eller avvise alle, eller velge kategorier selv. Før du har valgt, bruker vi bare det som er nødvendig, og vi laster verken Google Analytics, Google Ads, Meta-pikselen eller TikTok-pikselen. Du kan når som helst endre eller trekke tilbake samtykket med lenken «Administrer informasjonskapsler» nederst på hver side eller knappen under. Trekker du det tilbake, fjerner vi skriptene og informasjonskapslene deres fra nettleseren.

Kategorier

• Nødvendige: innlogging, bestillingen du holder på med og lagring av samtykkevalget ditt. Krever ikke samtykke.
• Statistikk: Google Analytics 4, sidevisninger og trinn i kjøpsreisen, og hvilken annonse eller lenke du kom fra (UTM-parametere).
• Markedsføring: Google Ads-taggen, Meta-pikselen (Facebook og Instagram) og TikTok-pikselen. De forteller oss om besøk fra annonser og innlegg fører til sidevisninger, påbegynte bestillinger og fullførte kjøp, med beløp i NOK og produkttype. Vi sender ikke navn, e-post, telefonnummer, fødselsnummer eller opplysninger om selskapet ditt. Meta og TikTok mottar likevel IP-adressen og nettleserinformasjonen din og kan koble hendelsene til en eventuell konto du har hos dem. For innsamlingen og overføringen er vi felles behandlingsansvarlige med Meta Platforms Ireland og TikTok Technology Limited. Det de gjør med opplysningene etterpå, er deres ansvar, se personvernerklæringene til Meta og TikTok. Når du fullfører et kjøp og har samtykket, kan vi også melde kjøpet direkte fra vår server til Meta med de samme opplysningene, slik at det telles riktig én gang. Google Ads får kjøpet med beløpet vi tjener på bestillingen og et bestillings-ID uten personopplysninger, og kan bruke besøket til å vise deg annonser fra oss senere. Google behandler opplysningene som selvstendig behandlingsansvarlig, se Googles personvernerklæring.

Vi bruker Googles samtykkemodus (Consent Mode v2). Google-taggen lastes først når du har samtykket til statistikk eller markedsføring, og alle lagringstyper er avslått til valget ditt er registrert. Statistikk slår på analyselagring (Google Analytics). Markedsføring slår på annonselagring, annonsedata og annonsetilpasning (Google Ads).

Informasjonskapsler og lokal lagring

Med samtykke til statistikk lagrer vi UTM-parametere, henvisningsdomene og annonse-/partner-ID-er (for eksempel gclid, gbraid, wbraid og fbclid) uten navn, e-post eller andre kundeopplysninger. Første berøring lagres i nettleseren i inntil 90 dager, siste berøring for den aktive økten, og attribusjonen kan knyttes til bestillingen. Før du har samtykket, holder vi landingssiden bare i minnet til fanen lukkes eller du avviser.

Vi kan oppdatere denne personvernpolicyen fra tid til annen. Vesentlige endringer vil bli kommunisert til deg via e-post eller gjennom varsel på nettsiden.

Vi anbefaler at du regelmessig leser gjennom policyen for å holde deg oppdatert om hvordan vi behandler dine personopplysninger.

Dersom du mener vi behandler personopplysningene dine i strid med personvernlovgivningen, kan du klage til Datatilsynet.