Personvernerklæring

Sist oppdatert 2026-10-19

Hvem er behandlingsansvarlig?

Stello SB (studentbedrift), org.nr. 937 786 999, Larsgårdsvegen 2, 6009 Ålesund, heretter kalt «vi» eller «oss», er behandlingsansvarlig for personopplysningene som samles inn gjennom Stello-appen og Stellos nettsider, inkludert arrangørdashbordet. Kontakt oss på hei@stello.no ved spørsmål om personvern.

Når arrangøren er ansvarlig

For det meste er Stello behandlingsansvarlig for opplysningene dine. Når du kjøper billett til eller deltar på et arrangement, bestemmer arrangøren selv hvilke opplysninger de samler inn om deltakerne sine og hva de brukes til, for eksempel deltakerlister og svar på spørsmål de stiller ved kjøp. For disse opplysningene er arrangøren selvstendig behandlingsansvarlig og har ansvar for å behandle dem i samsvar med personvernregelverket. Stello er selvstendig behandlingsansvarlig for de samme opplysningene når vi bruker dem til våre egne formål, som å gjennomføre betaling, holde tjenesten sikker, forebygge misbruk og oppfylle rettslige plikter. Kjøp i videresalgsmarkedet skjer fra Stello som selger (Merchant of Record): arrangøren er ikke part i videresalgstransaksjonen, og Stello er alene behandlingsansvarlig for personopplysningene knyttet til slike kjøp. Har du spørsmål om hvordan en arrangør bruker opplysningene dine, kan du kontakte arrangøren direkte. Er arrangøren en underorganisasjon, er den og overorganisasjonen sammen én og samme behandlingsansvarlige.

Spørsmål i kassen

Arrangøren kan stille spørsmål du svarer på når du kjøper billett. Noen skriver arrangøren selv. Andre er ferdig skrevet av Stello (allergier og matintoleranser, kostholdsbehov, studieprogram, e-postadresse, telefonnummer og fødselsdato), og teksten i dem kan ikke endres av arrangøren. Har du allerede lagret svaret på profilen din, kan du krysse av for å dele det i stedet for å skrive det inn på nytt. Ingenting deles før du krysser av, du kan alltid skrive inn et annet svar, og et spørsmål som ikke er påkrevd kan du la stå ubesvart. Allergier, matintoleranser, kostholdsbehov og studieprogram kan du lagre på profilen din på forhånd under Profil, og noen av dem ved å trykke «Lagre i profilen min» når du svarer i kassen. Har du lagret dem, er avkrysningen alt som skal til for å dele dem neste gang. E-postadresse spør vi alltid om som et vanlig skrivefelt, aldri ved avkrysning: adressen på kontoen din kan være en skjult videresendingsadresse som ikke tar imot e-post fra arrangøren, så du skal selv velge hvilken adresse de får. Svarene går til arrangøren, som er selvstendig behandlingsansvarlig for dem. Opplyser du om allergier, matintoleranser, kostholdsbehov eller andre helseforhold, er det særlige kategorier av personopplysninger etter GDPR artikkel 9 (kostholdsbehov fordi halal og kosher, og det å ikke drikke alkohol, kan røpe religion eller livssyn), og vi behandler dem bare fordi du uttrykkelig samtykker ved å svare (artikkel 9 nr. 2 bokstav a). Alle svar på spørsmål i kassen slettes automatisk 90 dager etter at arrangementet er over, og etter 30 dager for spørsmål arrangøren har merket som sensitive, blant annet allergispørsmålet. Arrangøren får beskjed om den samme fristen når de laster ned deltakerlister, og har selv ansvar for å slette sine egne kopier innen den. Får du billetten i gave fra noen andre, følger ikke giverens svar med: du blir spurt på nytt, slik at arrangøren aldri får en annens allergier oppført under navnet ditt.

Markedsføring fra arrangører

Du kan velge å la en arrangør markedsføre sine egne arrangementer og nyheter til deg. Vi spør deg etter at du har kjøpt noe fra arrangøren eller har begynt å følge den, og du kan når som helst endre valget under Profil, Personvern, Samtykker i appen, eller under Personvern på Min side på stello.no. Du velger kanal for hver arrangør: e-post, SMS eller begge. Sier du ja, får arrangøren navnet ditt og kontaktinformasjonen for kanalene du har valgt, altså e-postadressen din for e-post og telefonnummeret ditt for SMS, og tidspunktet du ga samtykket. Arrangøren kan laste ned listen og sende deg markedsføring med egne verktøy. For den markedsføringen er arrangøren selvstendig behandlingsansvarlig, og behandlingen bygger på samtykket ditt (GDPR artikkel 6 nr. 1 bokstav a og markedsføringsloven § 15). Trekker du samtykket tilbake, fjerner vi deg fra arrangørens liste med én gang. Arrangøren har selv ansvar for å slutte å bruke kopier den allerede har lastet ned. Stello sender ikke markedsføring på vegne av arrangørene, samtykket gjelder bare den arrangøren du har valgt, og det påvirker ikke valget ditt om markedsføring fra Stello. Vi lagrer samtykket til du trekker det tilbake eller sletter kontoen.

Hva vi samler inn

Hva vi lagrer avhenger av hvordan du bruker Stello. Bruker du Stello som gjest, opprettes en anonym konto uten navn eller kontaktinformasjon. Kjøper du billett ved et fysisk salgssted uten å ha konto, opprettes en konto som du senere kan aktivere ved å logge inn med e-postadressen din. Tabellen under viser hvilke opplysninger vi samler inn, hvorfor, og hvordan de brukes.

Opplysninger	Hvorfor vi samler dem inn	Hvordan de brukes
Konto og profil: navn, e-postadresse, fødselsdato, kjønn og eventuell konto-ID fra Apple eller Google	Opprette kontoen din og fullføre registreringen	Innlogging, billettlevering, viktige beskjeder om kontoen og kontroll av aldersgrensen på 16 år. Logger du inn med Apple eller Google, mottar vi aldri passordet ditt
Profilbilde og telefonnummer (valgfritt)	Du velger selv om du vil legge dem til	Bildet vises på profilen din og kan endres eller fjernes når som helst. Telefonnummeret brukes til raskt oppslag av kontoen, for eksempel ved fysisk salgssted, og sikkerhet; det brukes ikke til SMS og kan av sikkerhetshensyn ikke endres eller fjernes i appen
Kjøpsinformasjon, inkludert navn, e-post og telefonnummer ved terminalkjøp	Gjennomføre kjøp av billetter og medlemskap	Levere billetter og kvitteringer på e-post, håndtere refusjoner og utbetalinger til arrangør, og oppfylle regnskapsplikter. Kortdetaljer lagres bare hos Stripe. Har du likt et arrangement eller får du varsler fra arrangøren, kan vi opprette betalingsprofilen din hos Stripe like før billettsalget åpner, slik at kjøpet går raskere; da deles e-postadressen din med Stripe før du har kjøpt noe
Studieprogram du selv lagrer på profilen din (valgfritt)	Så du slipper å skrive det inn på nytt ved hvert kjøp	Deles bare med arrangører du selv krysser av for. Du kan endre eller fjerne det når som helst i appen
Allergier, matintoleranser og kostholdsbehov du selv lagrer på profilen din (valgfritt)	Så du slipper å skrive dem inn på nytt ved hvert kjøp	Lagres kryptert og atskilt fra resten av profilen din, og deles ikke med noen før du selv velger å dele dem med en arrangør. Du kan endre eller slette dem når som helst i appen
Svar på spørsmål arrangøren stiller i kassen, blant annet allergier, matintoleranser og kontaktinformasjon du velger å dele fra profilen din	Arrangøren trenger dem for å gjennomføre arrangementet	Deles med arrangøren, som er selvstendig behandlingsansvarlig for dem. Slettes automatisk 90 dager etter at arrangementet er over
Posisjon (valgfritt)	Vise kartet og arrangementer i nærheten	Brukes bare når du bruker kartfunksjonen; du styrer tilgangen i systeminnstillingene
Innhold du legger inn: arrangørdashbordet og henvendelser til oss	Levere arrangørverktøyene og hjelpe deg	Drifte arrangementer, billettsalg og utbetalinger for arrangøren, og svare på og følge opp henvendelser
Teknisk informasjon og bruksdata (IP-adresse, enhetstype, tidspunkt)	Sikkerhet, drift og forbedring av tjenesten	Holde tjenesten sikker, forebygge misbruk og rette feil, samt produktanalyse; i appen er bruksdataene ikke knyttet til navnet eller e-postadressen din

Hvordan vi bruker dataene

Vi bruker dataene til å levere tjenesten: gi deg tilgang, vise riktige arrangementer, sende billetter, drive arrangørdashbordet, gjennomføre betalinger og utbetalinger, svare på henvendelser og holde tjenesten sikker. I appen sender vi push-varsler du har samtykket til. Har du samtykket til det, sender vi deg også nyhetsbrev og annen markedsføring på e-post. Har du kjøpt billett eller medlemskap av oss, kan vi i tillegg sende deg e-post om våre egne, lignende tilbud selv om du ikke har samtykket; det følger av markedsføringsloven § 15 tredje ledd, og du fikk anledning til å reservere deg da vi samlet inn e-postadressen din. Vi bruker aldri dette til å sende deg reklame for andre. Hver markedsførings-e-post har en avmeldingslenke, og du kan når som helst melde deg av i appen under Profil → Personvern → Samtykker; da stopper begge deler. Vi sender også e-post om produktoppdateringer, altså nye funksjoner og viktige endringer i tjenesten. Det er ikke markedsføring, og den har sin egen av/på-bryter samme sted. Uavhengig av hva du har valgt, sender vi deg meldinger vi er rettslig forpliktet til å gi deg, som varsel om brudd på personopplysningssikkerheten eller vesentlige endringer i denne erklæringen eller i vilkårene. Slike meldinger er ikke markedsføring, de inneholder aldri reklame, og de har ingen avmeldingslenke fordi du ikke kan reservere deg mot dem. I appen og i arrangørdashbordet bruker vi et analyseverktøy for å forbedre opplevelsen og holde tjenesten stabil; i appen knyttes ikke bruksdataene til navnet eller e-postadressen din. Den åpne nettsiden bruker et informasjonskapselfritt analyseverktøy som ikke lagrer noe på enheten din: besøk telles anonymt hos analyseleverandøren ved hjelp av en midlertidig, ikke-reverserbar kode som slettes daglig, og kan ikke knyttes til deg. Vi selger aldri data til tredjeparter.

Behandlingsgrunnlag

Vi behandler personopplysninger på flere grunnlag etter personvernforordningen (GDPR). Å opprette konto, levere tjenesten og gjennomføre kjøp og utbetalinger bygger på oppfyllelse av avtale (artikkel 6 nr. 1 bokstav b). Kundestøtte, sikkerhet, forebygging av misbruk, forbedring av tjenesten og e-post om produktoppdateringer bygger på berettiget interesse (artikkel 6 nr. 1 bokstav f). Markedsføring og varsler du har samtykket til, bygger på samtykke (artikkel 6 nr. 1 bokstav a), som du når som helst kan trekke tilbake. E-post om våre egne, lignende tilbud til deg som allerede har kjøpt av oss, bygger på berettiget interesse (artikkel 6 nr. 1 bokstav f) innenfor rammen av markedsføringsloven § 15 tredje ledd; du kan når som helst reservere deg mot den. Å opprette betalingsprofilen din hos Stripe like før et billettsalg åpner, for deg som har likt arrangementet eller får varsler fra arrangøren og har bekreftet e-postadressen din, bygger på berettiget interesse (artikkel 6 nr. 1 bokstav f): vi vil at kjøpet skal gå raskt når salget åpner. Det gjelder aldri gjestekontoer, og du kan reservere deg ved å kontakte oss. Lagring av regnskaps- og transaksjonsdata, og varsling av deg ved brudd på personopplysningssikkerheten (artikkel 34), bygger på rettslig forpliktelse (artikkel 6 nr. 1 bokstav c). Melding om vesentlige endringer i vilkårene bygger på oppfyllelse av avtale (artikkel 6 nr. 1 bokstav b). Svar på spørsmål i kassen som avdekker helseforhold, typisk allergier og matintoleranser, er særlige kategorier av personopplysninger, og behandles bare på grunnlag av uttrykkelig samtykke (artikkel 9 nr. 2 bokstav a). Du gir det samtykket ved å svare, og du kan la spørsmålet stå ubesvart hvis det ikke er påkrevd. Velger du å lagre allergier eller kostholdsbehov på profilen din, bygger også selve lagringen på uttrykkelig samtykke etter samme bestemmelse. Du kan trekke det tilbake når som helst ved å slette opplysningene i appen.

Informasjonskapsler

Appen bruker ikke informasjonskapsler. Innloggingsinformasjon og billetter lagres kryptert lokalt på enheten din slik at billettene fungerer uten nett. På nettsidene setter vi en nødvendig innloggingskapsel slik at du forblir innlogget på tvers av Stellos sider, og en kapsel som husker om du har valgt lyst eller mørkt utseende. I arrangørdashbordet bruker analyseverktøyet vårt informasjonskapsler, og driftsleverandøren kan sette nødvendige sikkerhetskapsler. Den åpne nettsiden bruker verken analyse- eller markedsføringskapsler.

Tredjeparter

Leverandørene under er databehandlere som bare behandler personopplysninger på våre vegne og etter avtale med oss. Hver av dem har personvernrutiner som tilfredsstiller GDPR. Se også avsnittet om overføring utenfor EØS.

Leverandør	Hva de gjør for oss	Hva de behandler	Hvor	Personvernerklæring
Convex	Database, backend og innlogging (Better Auth)	Konto- og appdata	EU (Irland)	Se →
Stripe	Betaling, utbetaling og kortterminal	Betalings- og kjøpsopplysninger; kortdetaljer lagres bare hos Stripe	EU og USA	Se →
Plunk	Utsending av e-post (via Amazon SES)	E-postadressen din og innholdet i e-postene vi sender deg	EU (Tyskland)	Se →
Expo (EAS)	Push-varsler og app-oppdateringer	Enhetens push-token og tekniske forespørsler ved oppdatering av appen	USA	Se →
PostHog	Produktanalyse i appen, arrangørdashbordet og på nettsiden	Bruksdata; i appen uten kobling til navn eller e-postadresse, på nettsiden anonymt og uten lagring på enheten	EU	Se →
Mapbox	Kart og stedssøk	Kartforespørsler og søketekst, inkludert IP-adresse	USA	Se →
Cloudflare	Drift, ytelse og sikkerhet	Trafikkdata, inkludert IP-adresse	EU og USA	Se →

Andre tjenester der leverandøren selv er ansvarlig

I tillegg bruker du enkelte tjenester der leverandøren selv er behandlingsansvarlig etter egen personvernerklæring, ikke vår databehandler: logger du inn med Apple eller Google, behandler de innloggingen selv; appen distribueres gjennom App Store og Google Play; push-varsler leveres til enheten din via Apples og Googles varslingstjenester; og betalingsmåter som Apple Pay, Google Pay og Klarna tilbys av de respektive selskapene gjennom Stripe.

Leverandør	Hva det brukes til	Personvernerklæring
Apple	Pålogging med Apple, App Store-distribusjon, push-varsler og Apple Pay	Se →
Google	Pålogging med Google, Google Play-distribusjon, push-varsler og Google Pay	Se →
Klarna	Betalingsmetode i kassen, tilbudt gjennom Stripe	Se →

Overføring utenfor EØS

Personopplysningene dine behandles som hovedregel innenfor EU/EØS. Noen av leverandørene våre er etablert utenfor EØS, blant annet i USA. Når opplysninger overføres dit, sikrer vi et lovlig overføringsgrunnlag, for eksempel EU-kommisjonens standard personvernbestemmelser (SCC) eller EU-U.S. Data Privacy Framework.

Lagringstid

Kontodata lagres så lenge du har en aktiv Stello-konto. Sletter du kontoen i appen, fjernes personlig data umiddelbart. Betalingsprofilen din hos Stripe slettes samtidig; betalinger, refusjoner og kvitteringer beholdes hos Stripe så lenge regnskapsreglene krever det. Ber du om sletting via e-post, behandler vi forespørselen innen 30 dager. Gjestekontoer uten kjøp slettes automatisk etter sju dagers inaktivitet, og påbegynte registreringer som aldri fullføres, slettes etter 30 dager. Henvendelser oppbevares så lenge det er nødvendig for å følge opp saken. Betalings- og transaksjonsdata oppbevares så lenge regnskaps- og bokføringsregler krever, men kobles ikke lenger til en slettet konto. Svar på spørsmål arrangøren stiller i kassen, slettes automatisk 90 dager etter at arrangementet er over, og allerede etter 30 dager når spørsmålet er merket som sensitivt. Begge deler skjer uavhengig av om kontoen din består.

Dine rettigheter

Etter GDPR har du rett til innsyn i opplysningene vi har om deg, og til å få dem rettet eller slettet. Du kan be om at vi begrenser behandlingen, gjøre innsigelse mot behandling vi gjør på berettiget interesse, og be om dataportabilitet. Har du gitt samtykke, kan du trekke det tilbake når som helst. Har du Stello-appen, kan du be om sletting av kontoen din under Profil → Personvern og sikkerhet, og samme sted be om en kopi av dataene dine. Når kopien er klar, laster du den ned direkte i appen; nedlastingen er tilgjengelig i sju dager. Ellers tar du kontakt på hei@stello.no. Vi kan be deg bekrefte hvem du er før vi utfører forespørselen, og vi svarer så raskt som mulig, senest innen 30 dager.

Automatiserte avgjørelser

Vi tar ingen automatiserte avgjørelser eller profilering som har rettslige følger for deg eller på tilsvarende måte påvirker deg i vesentlig grad.

Sikkerhet

Vi tar sikkerheten din på alvor. All kommunikasjon er kryptert, og opplysningene dine lagres trygt. Tilgang til personopplysninger er begrenset til dem som trenger det for å levere tjenesten. Særlige kategorier av personopplysninger, altså allergier, matintoleranser og kostholdsbehov du lagrer på profilen, får en ekstra beskyttelse: de lagres i en egen tabell, atskilt fra navnet og kontaktopplysningene dine, og krypteres med en nøkkel som ikke ligger i databasen. Stellos ansatte har ingen funksjon for å lese dem. Det samme gjelder svar på spørsmål arrangøren har merket som sensitive: også de krypteres, og de er lesbare for arrangøren i arrangørdashbordet, ikke i billettskanneren. En skanning i døra viser bare navn og billettype.

Endringer

Hvis vi endrer denne erklæringen, oppdaterer vi datoen øverst. Ved vesentlige endringer varsler vi deg før de trer i kraft, i appen eller på e-post.

Kontakt og klage

Spørsmål: hei@stello.no. Du kan også klage til Datatilsynet hvis du mener vi behandler dataene dine i strid med personvernregelverket.