Personvernerklæring

Versjon 2026-09-06 — sist oppdatert 6. september 2026

1. Hvem behandler opplysningene, og i hvilken rolle?

SMkino leveres av Chavez Konsult Sergio Arturo Chavez Rosales (enkeltpersonforetak), org.nr 923 941 010, som driver under navnet Optimaized.

Brennrud 19, 2500 Tynset, Norge
Registrert i Enhetsregisteret
E-post: sergio@optimaized.io

Rollen avhenger av formålet med behandlingen:

Selvstendig behandlingsansvarlig: Chavez Konsult er behandlingsansvarlig for konto- og kontaktadministrasjon, avtale og fakturering, brukerstøtte, informasjonssikkerhet og akseptlogg. Dette er behandling for å inngå og oppfylle avtalen, ivareta sikkerhet og administrere SMkino som tjeneste.
Databehandler: Kinoen er behandlingsansvarlig, og Chavez Konsult behandler opplysninger etter kinoens instruks, for kinoens innhold, operatørmeldinger og -tilbakemeldinger, integrasjonstokens, publiseringshistorikk og kinoens drifts- og analysedata. Denne behandlingen reguleres av databehandleravtalen.

2. Opplysninger vi behandler

Kategori	Opplysninger	Formål
Konto og kontakt	Navn, e-postadresse, profilbilde, rolle, kinotilknytning og innloggingstidspunkt	Innlogging, tilgangsstyring, avtale, støtte og sikkerhet
Kino- og innholdsdata	Filmprogram, saler, kapasitet, aggregerte salgstall, innlegg, medier, rutiner og publiseringshistorikk	Generere, planlegge, publisere og analysere markedsføring
Operatørinnhold	Fritekst i tilbakemeldinger, AI-chat og instruksjoner, samt samtalehistorikk	Regenerere innlegg og levere AI-assistenten
Integrasjoner	Krypterte OAuth-tokens og kontoidentifikatorer for sosiale medier	Publisere på kinoens vegne
Betaling	Stripe-kunde- og abonnementsidentifikatorer, status og fakturainformasjon. Kortdetaljer lagres ikke av SMkino.	Abonnement, betaling og regnskapsoppfølging
Tekniske data	IP-adresse og brukeragent ved vilkårs-/personvernaksept, tidspunkt, driftsfeil og relevante tenant-/kinoidentifikatorer	Dokumentere aksept, sikre tjenesten og rette feil

Importerte billettsalgsdata er aggregert, ikke individbasert. Tjenesten er ikke beregnet for personopplysninger om kinogjester. Operatører skal unngå å laste opp slike opplysninger; fritekst og medier kan likevel inneholde personopplysninger og behandles etter kinoens instruks.

3. Formål og behandlingsgrunnlag

Formål	Rolle	Behandlingsgrunnlag
Konto, tilgang, avtale og abonnement	Behandlingsansvarlig	Avtale (GDPR art. 6(1)(b)) når personen selv er avtalepart. For kinoens ansatte og representanter: berettiget interesse (art. 6(1)(f)) i å administrere kundeforholdet og gi sikker, autorisert tilgang.
Sikkerhet, feilsøking og dokumentasjon av aksept	Behandlingsansvarlig	Berettiget interesse (art. 6(1)(f)) og ved behov rettslig forpliktelse (art. 6(1)(c))
Kinoens innhold, integrasjoner og AI-behandling	Databehandler	Kinoen fastsetter behandlingsgrunnlaget; Chavez Konsult følger dokumenterte instrukser

4. Bruk av kunstig intelligens

Den aktive AI-leverandøren er Anthropic (Claude). Avhengig av funksjonen sendes film- og visningsdata, hele innlegget som skal forbedres, operatørens friteksttilbakemelding, chatmeldinger og relevant samtalehistorikk, en aggregert kino-/tenantoversikt og resultater fra verktøy som assistenten bruker. Fritekst kan være personopplysninger dersom operatøren skriver inn slike opplysninger.

SMkino leverer og administrerer AI-tjenesten. OpenAI (inkludert planlagt lydtranskripsjon) og Google Gemini er ikke aktive eller godkjent gjennom denne erklæringen. Aktivering krever verifiserte leverandøravtaler og overføringsgarantier, oppdatert informasjon og forhåndsvarsel med innsigelsesmulighet etter databehandleravtalen. Resend for e-postlevering er heller ikke aktivert; eventuell aktivering må først oppfylle aktuelle leverandør- og varslingskrav.

Operatører skal ikke skrive inn særlige kategorier personopplysninger, konfidensielle personopplysninger eller opplysninger om kinogjester i fritekstfeltene.

5. Mottakere og underdatabehandlere

Tjeneste	Formål og data	Region / overføringsgrunnlag
Supabase	System of record: Postgres-database, autentisering og lagring	AWS eu-central-1, Frankfurt (EU/EØS)
Vercel	Hele API-et, serverfunksjoner, frontend og CDN; behandler forespørsler og tjenestedata	API-compute er konfigurert for arn1, Stockholm. CDN er globalt. Overføring utenfor EØS reguleres av Vercels DPA og SCC-er dersom påkrevd.
Anthropic (Claude)	AI-generering og agentchat med dataene beskrevet i punkt 4	USA; DPA og gyldig overføringsgrunnlag kreves; kontoens avtaler må verifiseres
Sentry	Feilsporing med driftsfeil og relevante tenantidentifikatorer, ikke aktivert	Kontoregion er ikke verifiserbar fra kodebasen; DPA/SCC-er kreves ved overføring utenfor EØS
Domeneshop	SMTP for drifts- og helsevarsler; mottakeradresse, feiltekst og eventuelle tenantidentifikatorer, ikke aktivert	Norsk leverandør; Domeneshops databehandleravtale og aktuelle underdatabehandlerliste gjelder
Stripe	Betaling og abonnement: kontakt-, kino-, abonnements- og fakturadata	EU/USA; aktuelt overføringsgrunnlag må verifiseres
Google	OAuth-innlogging: autentisering og grunnleggende profilopplysninger	EU/USA; leverandørens overføringsgrunnlag
Meta, Snapchat og TikTok	Publisering til kontoer kinoen har koblet til; innlegg og medier	EU/USA; plattformvilkår og SCC-er/annet gyldig grunnlag der påkrevd
DX Cinema API og Film- og Medieserver	Kinoprogram, aggregerte salgstall og markedsføringsmateriell	Norge/EØS

Viktig om Vercel: API-compute i Stockholm ble verifisert 6. september 2026. Globalt CDN, brukerstøtte og andre leverandører kan likevel innebære behandling utenfor EØS. Leverandøravtaler og aktuelle overføringsgarantier må verifiseres for kontoen; en EU-region er ikke alene dokumentasjon på dette. Kontakt oss for relevante garantier og kopi der dette er aktuelt.

Personopplysninger selges ikke.

6. Lagring, overføring og sikkerhet

Primærlagring skjer i Supabase på AWS eu-central-1 (Frankfurt).
API-nøkler og OAuth-tokens lagres kryptert og returneres ikke i klartekst.
Kommunikasjon skjer over HTTPS/TLS, og tilgang styres per kino og rolle.
Leverandører utenfor EU/EØS skal ha gyldig overføringsgrunnlag etter GDPR kapittel V, normalt SCC-er eller adekvansvedtak.

Opplastede publiseringsmedier lagres på offentlig tilgjengelige nettadresser slik at sosiale plattformer kan hente dem. Alle som har en slik adresse kan hente filen, også før publisering. Ikke last opp privat eller konfidensielt materiale; kinoen må avklare publiseringsrettigheter og eventuell embargo før opplasting.

7. Oppbevaring og sletting

Datatype	Oppbevaring
Konto- og kundedata	Mens kundeforholdet eller brukerkontoen er aktiv, og deretter så lenge lov eller avtale krever det. Konto kan slettes fra Innstillinger → Personvern.
Agentchat	Inntil 90 dager.
Sosiale medier-tokens	Mens tilkoblingen er aktiv; slettes ved frakobling eller kontosletting.
IP-adresse og brukeragent i akseptlogg	Maksimalt så lenge brukerkontoen er aktiv. Ved sletting av brukeren anonymiserer en databasetrigger automatisk IP-adresse og brukeragent, mens selve akseptloggen kan beholdes uten disse identifikatorene som dokumentasjon.
Betalings- og regnskapsdata	I samsvar med Stripes regler og lovpålagte bokføringskrav.

Oppsigelse av betalingsabonnementet flytter kinoen til Free og avslutter ikke avtalen eller utløser sletting. Ved avslutning av avtalen slettes personopplysninger behandlet på kinoens vegne innen 30 dager, med mindre lov krever oppbevaring. Du kan be om eksport før sletting. Se også veiledningen for sletting.

8. Dine rettigheter

Når Chavez Konsult er behandlingsansvarlig, kan du be om innsyn, retting, sletting, begrensning, protest og dataportabilitet der vilkårene er oppfylt. Når Chavez Konsult er databehandler, skal henvendelsen normalt rettes til kinoen, og vi bistår kinoen etter databehandleravtalen.

Kontakt sergio@optimaized.io. Du kan klage til Datatilsynet.

9. Informasjonskapsler og analyse

SMkino bruker ingen sporings- eller markedsføringscookies. Innloggingstoken lagres i nettleserens localStorage og er teknisk nødvendig for innlogget funksjonalitet. Google OAuth kan sette egne cookies i innloggingsflyten. Valgfri produktanalyse (Plausible) er deaktivert. Den aktiveres ikke igjen uten vurdering av leverandør og tilgang til brukerutstyr, og forhåndssamtykke der dette kreves.

10. Endringer

Vesentlige endringer varsles til registrerte brukere via e-post eller i tjenesten. Datoen øverst viser hvilken versjon som gjelder.

Standard databehandleravtale: åpne DPA.

SMkino leveres av Chavez Konsult Sergio Arturo Chavez Rosales (enkeltpersonforetak), org.nr 923 941 010, som driver under navnet Optimaized · Brennrud 19, 2500 Tynset, Norge · sergio@optimaized.io