Informasjon for anskaffelser

GeoQuestr er en webtjeneste som kjører på våre egne servere i EU. Administratorer logger inn for å bygge opplevelser. Deltakere blir med via lenke eller QR-kode i nettleseren eller appen med anonyme kontoer og trenger ikke oppgi sitt virkelige navn eller sin e-postadresse. Deltakernes spilldata (spillernavn, avatar, poeng, fremdrift, svar og innsendte bilder) lagres for å kjøre aktiviteten og for rapporter. Posisjonsdata lagres aldri og sendes ikke over nettet. De behandles bare lokalt på deltakerens enhet. Særlige kategorier av personopplysninger etter artikkel 9 i GDPR skal ikke behandles. AI-dommeren kjører en åpen AI-modell på vår egen server i EU (Hetzner, Finland). Den leser et innsendt bilde i minnet, vurderer hvor godt det løser oppgaven, gjør det om til bonuspoeng og lagrer ingen kopi. Innsendte bilder og videoer sendes ikke til OpenAI. AI-dommeren filtrerer ikke innhold, men arrangøren går gjennom innsendte bilder. Arrangøren kan slå av AI-funksjonene helt. Arrangøren velger om en rapport skal deles offentlig. En offentlig rapport viser statistikk og toppliste med spillernavn, men ingen innsendte bilder. Alle kategorier av personopplysninger beskrives i personvernerklæringen vår.

• Kryptering ved overføring (HTTPS/TLS) og i hvile. • Egen innloggingstjeneste der hvert kall tilgangskontrolleres på serveren, slik at administratorer bare når dataene til sin egen organisasjon. Passord lagres bare som saltede hashverdier. • Bare autorisert personell har tilgang til produksjonsmiljøet, med personlige SSH-nøkler og tofaktorautentisering. • Alle som behandler personopplysningene, har forpliktet seg til å holde dem konfidensielle. • Dataminimering: deltakere er anonyme, og posisjonsdata lagres ikke. • Sikkerhetskopier tas daglig, lagres kryptert i EU og oppbevares i høyst 30 dager.

• Deltakernes opplysninger slettes eller anonymiseres automatisk senest 6 måneder etter at runden er avsluttet. • Administratorkontoer slettes senest 90 dager etter at avtalen har opphørt. • Innen 90 dager etter at avtalen har opphørt, kan dere be om å få utlevert innholdet deres: tekster, oppdrag og steder som en JSON-fil og bilder i originalformat. • Sikkerhetskopier oppbevares i høyst 30 dager, så slettede opplysninger forsvinner også derfra. • Vi bekrefter slettingen skriftlig på forespørsel.

Når dere arrangerer aktiviteter i GeoQuestr, er dere behandlingsansvarlige og vi databehandler. Vi inngår databehandleravtaler etter artikkel 28 i GDPR. I avtalen forplikter vi oss blant annet til å: • behandle personopplysninger bare etter deres skriftlige instrukser, • informere skriftlig minst 30 dager før en underdatabehandler legges til eller byttes ut. Dere kan protestere, og hvis vi ikke blir enige, kan dere si opp avtalen uten kostnad, • hjelpe dere med å besvare forespørsler fra registrerte, for eksempel om innsyn eller sletting, og bistå med vurderinger av personvernkonsekvenser, • la dere, eller en uavhengig revisor med taushetsplikt, kontrollere at avtalen følges, etter skriftlig varsel minst 30 dager i forveien. Svensk rett gjelder. Send e-post til upphandling@geoquestr.com med organisasjonsnummeret deres, så sender vi avtalen.

Ved et brudd på personopplysningssikkerheten varsler vi dere uten ugrunnet opphold, og senest innen 36 timer etter at vi har fått kjennskap til det. Varselet inneholder det som artikkel 33 nr. 3 i GDPR krever, i den grad det er kjent. For å rapportere et sikkerhetsproblem eller en mistenkt sårbarhet: send e-post til security@geoquestr.com med emnet «Mistenkt sårbarhet». Spørsmål om personopplysninger kan dere sende til samme adresse. Beskriv saken deres og tilknytningen deres til kontoen eller aktiviteten.

Plattformen vår er utformet for å nå WCAG 2.1 nivå AA for sentrale markedsføringssider og skaperflyt der det er mulig. Deltakere bruker kart der en 3D-avatar beveger seg på kartet i takt med deltakeren. Hvordan skaperen utformer runden sin er avgjørende for å oppnå høy tilgjengelighet. All tekst er utformet for å være lettlest og tilgjengelig, og oppdrag kan også leses opp på brukerens valgte språk. Ved krav fra offentlig sektor: beskriv behovene når dere tar kontakt, så kan vi diskutere eventuelle tilpasninger.

Kortbetalinger ved selvbetjening håndteres av Stripe. Ved innkjøpsordre, faktura, egne deltakergrenser eller kommunal anskaffelse: bruk Fullservice på prissiden eller kontaktskjemaene under løsningene, så håndterer vi det fra sak til sak. Organisasjoner som faktureres, berøres ikke av Stripe.

GeoQuestr bruker følgende underdatabehandlere. Hver av dem får bare de opplysningene funksjonen deres krever. Underdatabehandlere utenfor EU/EØS mottar personopplysninger bare på grunnlag av en beslutning om tilstrekkelig beskyttelsesnivå, for eksempel EU–US Data Privacy Framework, eller EU-kommisjonens standard personvernbestemmelser. Organisasjoner med databehandleravtale informeres skriftlig minst 30 dager før en underdatabehandler legges til eller byttes ut.

Alle personopplysninger, inkludert sikkerhetskopier og logger, lagres i EU på våre egne servere hos Hetzner Online GmbH, i datasentre i Finland og Tyskland. Stripe lagrer betalingsopplysninger for kunder som betaler med kort. OpenAI brukes ikke til å lagre personopplysninger. Stedssøk og veibeskrivelse kjører på våre egne servere.