Personvernerklæring
Hvordan personopplysninger behandles i appen Sportstavle.
1. Hvem er ansvarlig, og rollefordelingen
Sportstavle er en plattform som norske idrettsklubber bruker til å organisere lagene sine — treninger, kamper, beskjeder, påmeldinger, økonomi og mer.
Din idrettsklubb er behandlingsansvarlig (data controller) for opplysningene om deg og eventuelle barn du er foresatt for. Sportstavle — drevet av SPORTSTAVLE ANDERSEN (org.nr. 928 621 324) — er klubbens databehandler og behandler opplysninger kun på klubbens instruks, etter en databehandleravtale.
- Klubben (behandlingsansvarlig) bestemmer hvilke opplysninger som registreres, hvem som får tilgang, og hvor lenge de lagres.
- Sportstavle (databehandler) leverer teknologien, drifter løsningen og følger klubbens instruks.
Vil du bruke rettighetene dine (innsyn, retting, sletting m.m.), kontakter du klubben din — kontaktinformasjon finner du i appen og i klubbens egen personvernerklæring. Spørsmål om selve plattformen kan rettes til postmaster@sportstavle.no.
2. Hvilke opplysninger vi behandler
- Kontakt- og medlemsdata: navn, e-post, telefon, fødselsdato/alder, lagtilhørighet, rolle, relasjon foresatt–barn.
- Konto: innloggingsinformasjon (passord lagres kryptert), øktinformasjon.
- Aktivitet: beskjeder, oppmøte, kjøreplan, dugnad, påmeldinger.
- Sportslig: kampstatistikk, treningstester, highlights og — ved samtykke — spillerens egenrefleksjon etter kamp.
- Økonomi: utlegg, egenandeler, betalinger og kvitteringer/bilag.
- Teknisk: IP-adresse, bruker-ID, handling og enhetstype i sikkerhets- og revisjonslogger (se punkt 10).
3. Formål og behandlingsgrunnlag
| Formål | Grunnlag (GDPR art. 6) |
|---|---|
| Drive laget og klubben (lagliste, kamper, beskjeder, oppmøte) | Nødvendig for medlemsforholdet / berettiget interesse (6.1.b/f) |
| Regnskap og lagring av bilag | Rettslig forpliktelse (6.1.c) — bokføringsloven |
| AI-avlesning av kvitteringer | Berettiget interesse i effektiv regnskapsføring (6.1.f) |
| Spillerutvikling / AI-coaching | Samtykke (6.1.a) — frivillig, se punkt 5 |
| Push-varsler | Samtykke (6.1.a) — kan slås av når som helst |
4. Automatisk avlesning av kvitteringer (AI)
Når en kvittering for utlegg lastes opp, kan systemet sende bildet av kvitteringen til vår AI-leverandør Anthropic PBC for automatisk avlesning av leverandør, beløp, dato og foreslått kategori.
- Grunnlag: berettiget interesse i effektiv regnskapsføring (art. 6.1.f).
- Oppbevaring hos leverandøren: bildet lagres ikke permanent hos Anthropic — det behandles for avlesningen, oppbevares kun kortvarig for sikkerhetskontroll og slettes deretter. Det brukes ikke til å trene AI-modeller.
- Bilaget lagres deretter i klubbens regnskap i 5 år, jf. bokføringsloven § 13.
- Frivillig: du kan alltid registrere kvitteringen manuelt i stedet for å bruke automatisk avlesning.
5. Spillerutvikling og AI-coaching (frivillig)
For spillere der det er gitt samtykke kan appen samle spillerens egne refleksjoner etter kamp sammen med treningstester og kampstatistikk, og sende dette til vår AI-leverandør (Anthropic) for å lage forslag til individuell trening. Opplysningene behandles av leverandøren for å lage svaret og lagres ikke permanent der, og brukes ikke til å trene AI-modeller. Spillerens opplysninger lagres i klubbens egen database.
- Kun beslutningsstøtte. AI-en gir kun forslag. AI-genererte forslag gjennomgås alltid av en trener eller annen autorisert person før de brukes. Det fattes ingen avgjørelse om spilleren utelukkende basert på automatisk behandling (jf. art. 22).
- Samtykke kreves. Funksjonen er frivillig og av som standard. For spillere under 18 år innhentes samtykke fra foresatte; spillere over 18 samtykker selv. Den digitale samtykkealderen i Norge er 13 år (personopplysningsloven § 5) — for spillere under 13 år gis samtykke alltid av foresatte. Tilbaketrekking av samtykke påvirker ikke lovligheten av behandling som allerede har skjedd.
- Helseopplysninger behandles ikke. Funksjonen er ment for sportslig refleksjon, ikke for helse. Dersom helseopplysninger likevel registreres ved en feil, slettes de uten ugrunnet opphold og brukes ikke i AI-behandlingen — spilleren får beskjed om å kontakte foreldre og trener. Skader og helse håndteres utenfor appen.
- Tilgang. En spillers utviklingsdata og AI-forslag er kun tilgjengelig for spilleren selv / foresatte og spillerens eget trenerteam — aldri for andre spillere eller foreldre.
- Tilbaketrekking. Samtykket kan trekkes tilbake når som helst under Profil. Dataene tas da ut av AI-bruk og slettes.
6. Informasjonskapsler og lokal lagring
Sportstavle benytter nødvendige informasjonskapsler og lokal lagring (localStorage/sessionStorage) for innlogging, sikkerhet og sesjonshåndtering. Disse er strengt nødvendige for at appen skal fungere, og brukes ikke til markedsføring eller sporing. Vi bruker ikke tredjeparts analyse- eller annonseverktøy.
7. Databehandlere og underleverandører
Sportstavle kan benytte underdatabehandlere for drift, skylagring, e-post og AI-tjenester. Alle er underlagt databehandleravtale. Hvilke som er aktuelle avhenger av hvilke funksjoner klubben tar i bruk.
| Leverandør | Formål | Sted |
|---|---|---|
| Webhuset | Drift og lagring av database/filer (hosting) | Norge |
| Anthropic PBC | AI: kvitteringsavlesning og spillerutvikling | Europa / USA (via SCC) |
| Microsoft (OneDrive) | Fillagring | EU / USA via SCC |
| Spond | Import av lag- og medlemsdata | EØS |
| PowerOffice GO | Regnskap | EØS |
| Vipps | Betaling av egenandeler | EØS |
8. Overføring utenfor EØS
Der en leverandør behandler opplysninger utenfor EØS (f.eks. i USA), skjer overføringen på grunnlag av EU-kommisjonens standard personvernbestemmelser (SCC) med supplerende tiltak. Målet er at AI-behandling av personopplysninger skjer i Europa.
9. Lagringstid og sikkerhetskopier
| Type | Lagringstid |
|---|---|
| Medlems- og kontaktdata | Så lenge medlemskapet varer + rimelig opprydningstid |
| Regnskapsbilag (inkl. kvitteringer) | 5 år (bokføringsloven § 13) |
| Kvitteringsbilde hos AI-leverandør | Kortvarig, deretter slettet |
| Spillerutvikling / egenrefleksjon | Slettes når samtykket trekkes, eller når spilleren slutter |
Personopplysninger kan inngå i sikkerhetskopier (backup). Backup lagres kryptert og slettes automatisk etter en fastsatt periode (normalt innen 30 dager).
10. Logging, tilgangskontroll og sikkerhet
- Logging: vi logger tidspunkt, IP-adresse, bruker-ID, handling og enhetstype i sikkerhets- og revisjonslogger. Formålet er sikkerhet, feilretting og revisjon.
- Tilgangskontroll: tilgang gis etter prinsippet om minste privilegium og styres etter rolle. Hver klubbs data er logisk adskilt fra andre klubbers.
- Sikkerhet: passord lagres kryptert (bcrypt), all trafikk går over kryptert forbindelse (HTTPS), og API-nøkler lagres kun på server og eksponeres aldri til nettleseren.
11. Barn
Mange av spillerne er under 18 år. Opplysninger om barn behandles med ekstra varsomhet. For sportslige og personlige funksjoner — særlig highlights, egenrefleksjon og AI-coaching — innhentes samtykke fra foresatte, og den strengeste av foreldrenes valg gjelder dersom de gir ulikt samtykke. For spillere under 13 år gis samtykke alltid av foresatte.
12. Push-varsler
Push-varsler er frivillige. De kan når som helst slås av — både i appen og i telefonens innstillinger.
13. Dine rettigheter
Du har rett til innsyn, retting, sletting, begrensning, dataportabilitet og å protestere mot behandlingen, samt å trekke tilbake samtykke. Fordi klubben din er behandlingsansvarlig, retter du slike henvendelser til klubben din (kontaktinfo i appen). Du kan også slette kontoen din direkte i appen.
- Dataportabilitet: på forespørsel kan personopplysninger leveres i et vanlig, maskinlesbart format.
- Identitetskontroll: vi kan be om ytterligere informasjon for å bekrefte identiteten din før en forespørsel behandles.
Er du uenig i hvordan opplysningene behandles, kan du klage til Datatilsynet (datatilsynet.no).
14. Brudd på personopplysningssikkerheten
Dersom det oppstår et brudd på personopplysningssikkerheten som kan medføre høy risiko for de registrerte, varsler klubben — med bistand fra Sportstavle som databehandler — berørte personer og Datatilsynet i samsvar med GDPR artikkel 33 og 34.
15. Personvernombud
Sportstavle har foreløpig ikke oppnevnt personvernombud. Personvernspørsmål kan rettes til postmaster@sportstavle.no, eller til klubben din som behandlingsansvarlig.
16. Endringer
Vi kan oppdatere denne erklæringen. Vesentlige endringer varsles i appen. Gjeldende versjon er datert øverst.