Personvernerklæring

1. Behandlingsansvarlig

Kolibri skole AS, organisasjonsnummer 000 000 000, Storgata 1, 0155 Oslo, er behandlingsansvarlig for personopplysninger som samles inn via Kolibri (kolibri-skole.no). Henvendelser om personvern sendes til kontakt@kolibri-skole.no.

2. Hvilke opplysninger vi samler inn

Vi samler inn følgende kategorier av personopplysninger:

• Konto- og kjøpsdata: Navn og e-postadresse. Telefonnummer hvis du oppgir det i Vipps-flyten.
• Betalingsinformasjon: Vi mottar bekreftelse på fullført betaling og en referanse fra Vipps eller Stripe. Vi lagrer aldri kortnumre eller Vipps-PIN.
• Kursdata: Hvilke kurs du har kjøpt, hvilke leksjoner du har sett, quiz-resultater og fremdrift.
• Teknisk informasjon: IP-adresse, nettlesertype, enhet og operativsystem — brukes til sikkerhet, feilsøking og misbruksforebygging.
• Logger: Tidspunkt for innlogging, sidevisninger og handlinger i nettskolen.

3. Formål med behandlingen

Vi bruker opplysningene til å:

• Levere kurs og administrere brukerkontoer
• Behandle betalinger og sende kvitteringer
• Utstede kursbevis og sertifikater
• Forbedre tjenesten og fikse feil
• Forebygge misbruk, svindel og brudd på vilkårene
• Sende driftsrelatert e-post (ordrebekreftelser, kursoppdateringer, sikkerhetsvarsler)

4. Rettslig grunnlag

Behandlingen er basert på følgende rettslige grunnlag i personvernforordningen (GDPR):

• Art. 6 nr. 1 bokstav b (avtale) — for å levere kurset du har kjøpt og oppfylle vilkårene.
• Art. 6 nr. 1 bokstav c (rettslig forpliktelse) — for bokføring og oppbevaring av kjøpsbevis (regnskapsloven).
• Art. 6 nr. 1 bokstav f (berettiget interesse) — for sikkerhet, feilsøking og produktforbedring. Vi balanserer alltid mot dine interesser.

5. Lagringstid

• Kontodata og kursfremdrift: Så lenge du har en aktiv konto. Hvis du sletter kontoen din, fjerner vi opplysningene innen 30 dager — unntatt det vi må beholde av regnskapsmessige hensyn.
• Kjøpsdokumentasjon (bilag): Oppbevares i 5 år etter regnskapsårets slutt, jf. bokføringsloven §13.
• Tekniske logger: Inntil 90 dager.
• E-postkommunikasjon: Inntil 24 måneder, eller lenger ved aktiv tvist.

6. Dine rettigheter

Du har rett til:

• Innsyn i hvilke opplysninger vi har om deg
• Retting av uriktige opplysninger
• Sletting (med forbehold for rettslige oppbevaringsplikter)
• Begrensning av behandlingen
• Dataportabilitet (få utlevert egne opplysninger i et maskinlesbart format)
• Å protestere mot behandling basert på berettiget interesse

For å utøve rettighetene, kontakt kontakt@kolibri-skole.no. Du kan også klage til Datatilsynet hvis du mener vi behandler opplysningene dine i strid med regelverket.

7. Databehandlere og tredjeparter

Vi bruker følgende leverandører som behandler personopplysninger på våre vegne under databehandleravtaler:

• Vipps MobilePay AS (Norge) — betalingsbehandling (Vipps)
• Stripe Payments Europe Ltd. (Irland) — betalingsbehandling (kort)
• Postmark / ActiveCampaign (USA) — utsending av transaksjons-e-post. Dataoverføring til USA skjer under EUs standardklausuler (SCC).
• Hetzner Online GmbH (Tyskland) — hosting av applikasjon og database
• Cloudflare R2 / Bunny.net (EU) — video- og filhåndtering
• LiveKit (selvhostet, EU) — sanntidsvideo for live-sesjoner
• Meta Platforms Ireland Ltd. (Irland) — annonsemåling via Meta Pixel og Conversions API. Se eget avsnitt nedenfor.

8. Informasjonskapsler

Vi bruker nødvendige informasjonskapsler for innlogging, sesjonshåndtering og CSRF-beskyttelse. Disse er strengt nødvendige og kan ikke skrus av. I tillegg setter vi analyse- og annonsemålingscookies (se neste avsnitt) — disse aktiveres kun etter at du har gitt samtykke i cookie-banneret. Innstillinger finner du i footeren.

9. Analyseverktøy og Meta Pixel

Vi bruker Meta sin Pixel-teknologi for å måle effekten av annonsering. Hashede versjoner av kontaktinformasjon (e-post, navn, telefonnummer) kan deles med Meta for å matche besøkende med Meta-brukere. Du kan kontrollere dette i innstillingene dine på Facebook/Instagram.

Pixelen suppleres av Meta sin Conversions API, der vi sender samme målingsdata server-side så ad-blockere ikke svekker statistikken. Begge metoder bruker samme samtykke som over — sporing slås ikke på før du har samtykket. Dataoverføring til USA skjer under EUs standardklausuler (SCC) og Meta sin EU-US Data Privacy Framework-sertifisering.

10. Sikkerhet

Vi gjør passende tekniske og organisatoriske tiltak for å beskytte personopplysningene: kryptert overføring (TLS), kryptert lagring av API-nøkler og hemmeligheter, tilgangskontroll, logging og regelmessige sikkerhetskopier. Ved brudd på personopplysningssikkerheten varsler vi Datatilsynet og berørte brukere i tråd med GDPR.

11. Endringer

Vi kan oppdatere denne erklæringen. Vesentlige endringer varsles via e-post og/eller varsel i nettskolen.