Juridisk
Personvernerklæring
Sist oppdatert: 5. oktober 2026
Denne erklæringen forklarer hvilke personopplysninger Veksla behandler når du bruker tjenesten, hvorfor vi gjør det, hvem vi deler dem med og hvilke rettigheter du har. Den følger personopplysningsloven og personvernforordningen (GDPR).
1. Behandlingsansvarlig
VEKSLA AS (org.nr. 938 500 649) er behandlingsansvarlig for personopplysningene som behandles i Veksla.
Adresse: Eiganesveien 76, 4009 Stavanger
Spørsmål om personvern og forespørsler om rettighetene dine sender du til privacy@veksla.no.
2. Hvilke opplysninger vi behandler
Vi behandler disse kategoriene av personopplysninger:
- Konto: e-postadresse, fornavn og eventuelt etternavn, passord (lagret som hash hos Supabase), og om du logger inn med Google: navn og e-postadresse fra Google-kontoen din.
- Telefonnummer: valgfritt. Hvis du oppgir det, bruker vi det bare til påminnelser på SMS. Det vises aldri for andre brukere.
- Profil og innstillinger: land, by, butikker du følger, varslingsinnstillinger og språkvalg.
- Gavekort: butikk, verdi, saldo, utløpsdato, pris, kortnummer, PIN-kode, strekkode eller QR-kode, bilder du laster opp av kortet, og resultatet av kortlesing og saldokontroll.
- Handler og utbetalinger: kjøp og salg, beløp, gebyrer, betalingsstatus, referanser fra Stripe og om du har satt opp utbetalinger. Kortopplysningene du betaler med, går direkte til Stripe og lagres ikke hos oss.
- Meldinger: meldinger du sender til kjøper eller selger i en handel.
- Tvister: begrunnelse, forklaringer fra kjøper og selger, og bilder eller filer du laster opp som dokumentasjon.
- Vurderinger: vurderinger og kommentarer du gir og får etter en handel.
- Kundeservice: henvendelser du sender oss, kategorien du velger, e-postadressen din, svaret du får, siden du skrev fra og, hvis siden gjelder en av handlene dine, hvilken handel.
- Varsler: varslene vi viser deg i appen, og om du slår på pushvarsler: adressen nettleseren gir oss for å levere dem.
- Samtykke: når du godtok vilkårene og denne erklæringen, hvilken versjon, og for noen innlogginger IP-adressen din på tidspunktet.
- Tekniske opplysninger: IP-adresse, nettleser, enhet og hvilke sider du besøker, slik det registreres av driftsleverandøren vår, sikkerhetssjekken på skjemaer, feilrapportering og anonymisert besøksstatistikk.
3. Formål, rettslig grunnlag og lagringstid
Tabellen viser hva vi bruker opplysningene til, hvilket grunnlag i GDPR artikkel 6 vi bygger på, og hvor lenge vi lagrer dem.
| Formål | Rettslig grunnlag | Lagringstid |
|---|---|---|
| Opprette og drifte kontoen din | Avtale (art. 6 nr. 1 b) | Så lenge du har konto |
| Legge ut, selge og kjøpe gavekort, holde betalingen til handelen er fullført, og betale ut til selger | Avtale (art. 6 nr. 1 b) | Så lenge du har konto, og deretter som for regnskap |
| Oppbevare regnskapsopplysninger om handler, gebyrer og utbetalinger | Rettslig forpliktelse (art. 6 nr. 1 c), bokføringsloven § 13 | 5 år etter utgangen av regnskapsåret |
| Meldinger mellom kjøper og selger | Avtale (art. 6 nr. 1 b) | Så lenge handelen er lagret |
| Behandle tvister og forebygge svindel | Avtale (art. 6 nr. 1 b) og berettiget interesse (art. 6 nr. 1 f) i en trygg markedsplass | Så lenge handelen er lagret, og så lenge det kan oppstå krav knyttet til den |
| Lese av kortnummer, PIN og saldo fra et bilde du tar (se punkt 6) | Avtale (art. 6 nr. 1 b) | Når du lagrer kortet, lagres bildet og det du har godkjent sammen med kortet, så lenge kortet er lagret |
| Kontrollere bilde og saldo på kort du ber oss bekrefte (se punkt 6) | Berettiget interesse (art. 6 nr. 1 f) i at kjøpere kan stole på saldoen | Så lenge kortet er lagret |
| Svare på henvendelser til kundeservice, med et KI-utkast til svar (se punkt 6) | Berettiget interesse (art. 6 nr. 1 f) i rask og god kundeservice | Så lenge saken er åpen, og så lenge det kan oppstå krav knyttet til den |
| Sende deg nødvendige varsler om handler, utbetalinger og tvister på e-post og i appen | Avtale (art. 6 nr. 1 b) | Så lenge du har konto |
| Varsle deg om nye kort fra butikker du følger, og e-post til ventelisten | Samtykke (art. 6 nr. 1 a); du slår det av i varslingsinnstillingene eller ved å kontakte oss | Til du trekker samtykket tilbake |
| Påminnelser på SMS om kort som snart utløper og penger som venter på utbetaling | Samtykke (art. 6 nr. 1 a), ved at du oppgir telefonnummeret ditt | Til du fjerner nummeret eller sletter kontoen |
| Pushvarsler om nye kort | Samtykke (art. 6 nr. 1 a), gitt i nettleseren | Til du slår av varslene, logger ut på enheten eller nettleseren avslutter abonnementet |
| Beskytte skjemaer mot roboter og misbruk, og finne og rette feil | Berettiget interesse (art. 6 nr. 1 f) i en sikker og stabil tjeneste | Den begrensede perioden leverandøren lagrer slike data |
| Anonymisert statistikk over besøk og hvor raskt sidene laster | Berettiget interesse (art. 6 nr. 1 f) i å forbedre tjenesten | Lagres bare som samlet statistikk |
| Dokumentere at du har godtatt vilkårene og denne erklæringen | Berettiget interesse (art. 6 nr. 1 f) i å kunne dokumentere avtalen | Så lenge du har konto, og så lenge det kan oppstå krav knyttet til avtalen |
Når du ber oss slette kontoen, sletter eller anonymiserer vi opplysningene dine innen 30 dager, unntatt det vi må oppbevare etter bokføringsloven eller trenger for å håndtere et krav som pågår. Sletting gjøres i dag manuelt etter forespørsel til oss.
4. Hvem vi deler opplysninger med
Vi bruker disse leverandørene (databehandlere), som bare får behandle opplysningene på våre vegne og etter våre instrukser:
| Leverandør | Hva de gjør | Opplysninger |
|---|---|---|
| Supabase | Database, innlogging, fillagring og meldinger i sanntid | Alle opplysningene i punkt 2 som lagres hos oss |
| Stripe | Betaling, holding av beløpet til handelen er fullført, refusjon og utbetaling til selger | Betalingskortopplysninger (registreres direkte hos Stripe), beløp og en intern bruker-ID; for selgere: e-postadresse. Ved Apple Pay eller Google Pay: navn og e-post fra lommeboken |
| Vercel | Drift av nettsiden, og besøks- og hastighetsstatistikk (Vercel Web Analytics og Speed Insights) | IP-adresse og tekniske opplysninger om forespørsler; sidebesøk, nettleser, enhetstype og land |
| Resend | Utsending av e-post | E-postadresse og innholdet i e-posten |
| Anthropic | KI som leser bilder av gavekort og lager utkast til svar på kundehenvendelser (se punkt 6) | Bilder av gavekort, oppgitt butikk og saldo, og teksten i kundehenvendelser. Vi sender ikke navn, e-post eller bruker-ID, men det du selv skriver i en henvendelse, kommer med |
| Twilio | Utsending av SMS | Telefonnummer og innholdet i SMS-en |
| Sentry | Feilrapportering | Tekniske opplysninger om feil (nettleser, side, feilmelding) og eventuelt en intern bruker-ID |
| Cloudflare (Turnstile) | Sikkerhetssjekk mot roboter på innlogging, registrering, glemt passord, venteliste og kundeservice | IP-adresse og tekniske signaler fra nettleseren |
| Innlogging med Google, bare hvis du velger det | At du logger inn hos oss; vi mottar navn og e-postadresse fra Google | |
| Pushtjenesten til nettleseren din (Apple, Google eller Mozilla) | Levering av pushvarsler, bare hvis du slår dem på | Leveringsadressen nettleseren oppretter, og varselet i kryptert form |
Når du setter opp utbetalinger, samler Stripe selv inn identitets- og bankopplysninger for å oppfylle sine lovpålagte plikter. For dette er Stripe selvstendig behandlingsansvarlig, se Stripes personvernerklæring.
Andre brukere: når du legger ut et kort, ser innloggede brukere annonsen (butikk, verdi, pris og sted). Motparten i en handel ser navnet ditt og byen din. Vurderingen din som selger vises for andre brukere; vurderingen din som kjøper vises bare for selgeren i en handel med deg. Enkeltvurderinger og kommentarer ser bare de to partene i handelen. Telefonnummeret ditt deles aldri med andre brukere.
Vi kan utlevere opplysninger til offentlige myndigheter når loven krever det.
Vi selger ikke personopplysninger og bruker dem ikke til reklame.
5. Overføring til land utenfor EØS
Supabase, Stripe, Vercel, Resend, Anthropic, Twilio, Sentry, Cloudflare og Google er selskaper i USA eller har selskaper der, og opplysninger kan derfor bli overført til eller gjort tilgjengelig fra USA. Slike overføringer skjer på grunnlag av EU–US Data Privacy Framework der leverandøren er sertifisert, og ellers EUs standard personvernbestemmelser (standardavtaler, GDPR art. 46). Du kan be oss om en kopi av overføringsgrunnlaget.
6. Kunstig intelligens og automatisert behandling
Vi bruker KI-modeller fra Anthropic på tre steder:
- Kortlesing: når du tar bilde av et gavekort for å legge det til, leser KI-en av kortnummer, PIN, butikk og saldo og fyller ut skjemaet. Du ser over og godkjenner alt før det lagres.
- Kontroll av kort: når du laster opp et bilde for å bekrefte et kort, vurderer KI-en om bildet ser ut som et ekte gavekort fra butikken og leser saldoen. Resultatet avgjør om kortet vises som «saldo lest» for kjøpere eller merkes som flagget, og saldoen KI-en leser kan erstatte saldoen du oppga. Merkingen stopper ikke salget og stenger ikke kontoen din. Hvis KI-tjenesten ikke svarer, endres ingenting på kortet, og du kan prøve igjen.
- Kundeservice: når du sender oss en henvendelse, lager KI-en et utkast til svar. Gjelder det et teknisk spørsmål og du er innlogget, sender vi utkastet til deg på e-post med en gang. Andre henvendelser leses av et menneske.
Ingen av disse vurderingene har rettsvirkning for deg eller påvirker deg i vesentlig grad på tilsvarende måte (GDPR art. 22). Hvis du er uenig i en vurdering, kan du kontakte oss og be om at et menneske ser på den.
7. Rettighetene dine
Etter personvernregelverket har du rett til å:
- få innsyn i opplysningene vi har om deg og få en kopi av dem
- få rettet uriktige opplysninger
- få slettet opplysninger, med unntak av det vi er pålagt å oppbevare
- kreve at behandlingen begrenses
- få opplysninger du har gitt oss, i et maskinlesbart format (dataportabilitet)
- protestere mot behandling som bygger på berettiget interesse
- trekke tilbake et samtykke når som helst, uten at det påvirker behandlingen før du trakk det tilbake
Send en e-post til privacy@veksla.no. Vi svarer innen én måned.
Du kan klage til Datatilsynet hvis du mener vi behandler opplysningene dine i strid med regelverket: datatilsynet.no. Bor du i et annet EØS-land, kan du også klage til tilsynsmyndigheten der.
8. Informasjonskapsler og lagring i nettleseren
Etter ekomloven § 3-15 kan vi lagre informasjon i nettleseren din uten samtykke når det er nødvendig for å levere tjenesten du har bedt om. Vi lagrer bare slik informasjon, og bruker ingen informasjonskapsler for sporing eller reklame. Når du lukker meldingen om informasjonskapsler, lagrer vi det bare for at meldingen ikke skal vises igjen.
| Navn | Type | Formål | Varighet |
|---|---|---|---|
sb-…-auth-token | Informasjonskapsel | Holder deg innlogget (Supabase) | Inntil 400 dager, eller til du logger ut |
sb-…-auth-token-code-verifier | Informasjonskapsel | Sikrer innlogging med Google og lenker i e-post (Supabase) | Til innloggingen er fullført, høyst 400 dager |
veksla_locale | Informasjonskapsel | Husker språket du har valgt | 30 dager |
veksla_locale | Lokal lagring | Husker språket du har valgt | Til du sletter den |
veksla_onboarding_done | Informasjonskapsel | Husker at du har fullført introduksjonen | 1 år |
veksla_onboarding_done | Lokal lagring | Husker at du har fullført introduksjonen | Til du sletter den |
veksla-cookie-consent | Lokal lagring | Husker at du har lukket meldingen om informasjonskapsler | Til du sletter den |
veksla_user_location | Lokal lagring | Husker landet og byen du har valgt | Til du sletter den |
veksla_location_dismissed | Lokal lagring | Husker at du har lukket spørsmålet om sted | Til du sletter den |
veksla_phone_prompt_dismissed | Lokal lagring | Husker at du har lukket spørsmålet om telefonnummer | Til du sletter den |
veksla_phone_prompt_shown_this_session | Øktlagring | Hindrer at spørsmålet om telefonnummer vises flere ganger i samme økt | Til du lukker fanen |
veksla_checkout_token_… | Øktlagring | Hindrer dobbel betaling hvis du laster kjøpssiden på nytt | Til du lukker fanen |
Appen bruker en service worker som lagrer egne filer (skript, stiler, bilder og skrifttyper) slik at appen laster raskere og kan vise en side når du er uten nett. Den lagrer ikke sider med innholdet ditt, og tømmes når du logger ut.
På betalingssiden laster vi Stripe, og på skjemaene i punkt 4 laster vi sikkerhetssjekken fra Cloudflare. Disse kan lagre informasjon i nettleseren din for å hindre svindel og misbruk.
Besøksstatistikken fra Vercel bruker ikke informasjonskapsler og lagrer ingenting i nettleseren din.
9. Sikkerhet
All trafikk mellom deg og oss er kryptert med TLS. Kortnummer og PIN lagres i et eget, lukket område i databasen som bare serverne våre har tilgang til. Tilgangen til resten av databasen styres av regler per bruker. Betalingskortopplysninger går direkte til Stripe og kommer aldri innom våre servere.
10. Aldersgrense
Du må være minst 18 år for å bruke Veksla. Vi samler ikke bevisst inn opplysninger om personer under 18 år.
11. Endringer
Vi oppdaterer denne erklæringen når vi endrer hvordan vi behandler personopplysninger. Ved vesentlige endringer gir vi deg beskjed på e-post eller i appen før endringen trer i kraft.
12. Kontakt
Har du spørsmål om personvern, kontakt oss på privacy@veksla.no.