Personvernerklæring

Sist oppdatert: 17. oktober 2026

Denne erklæringen beskriver hvordan Embrosia behandler personopplysninger om gjester, kunder med konto, restaurantbrukere og personer som kontakter oss.

1. Hvem som er ansvarlig

Embrosia Herland (enkeltpersonforetak), organisasjonsnummer 937 889 445, er behandlingsansvarlig, med unntaket i punkt 2. Innehaver er Simen Melo Herland.

Spørsmål om personvern sendes til [email protected]. Se forretningsadresse og kontaktopplysninger.

2. Restauranten er ansvarlig for bestillinger og reservasjoner

Restauranten er selger og behandlingsansvarlig for bestillinger og reservasjoner. Embrosia behandler opplysningene på restaurantens vegne etter en databehandleravtale.

Embrosias egne formål er statistikk uten personopplysninger (punkt 8) og tiltak mot misbruk (punkt 7). For disse er Embrosia behandlingsansvarlig.

Spørsmål og krav om innsyn eller sletting knyttet til bestillinger og reservasjoner rettes til restauranten. Kontaktopplysningene står på bestillingssiden.

3. Når du bestiller eller reserverer

Du kan bestille og reservere uten konto.

Ved bestilling lagrer vi navn, e-postadresse, telefonnummer, varer og priser, merknader og fritekst, betalingsmåte, språk og tidspunkter. Vi lagrer også leveringsadresse med koordinater eller eventuelt bordnavn. Nettbetalinger registreres med betalingsreferanser og, hvis leverandøren oppgir dem, kortets fire siste sifre og korttype. Andre kortdetaljer går direkte til betalingsleverandøren og lagres aldri hos oss. Ved rabattkoder lagres e-postadressen med innløsningen for å begrense gjenbruk. For Stripe-tvister lagrer vi referanser til tvisten og restaurantkontoen, status, beløp, valuta, årsak, svarfrist og tidspunkter for oppfølging. Dokumentasjon og svar håndteres hos Stripe.

Vi sender bestillingsbekreftelse med sporingslenke på e-post etter innsending, ved nettbetaling når beløpet er reservert. Kvitteringen blir tilgjengelig via lenken når betalingen er belastet. Restauranten kan sende den på e-post på forespørsel. Vi registrerer om e-postene er sendt.

Ved reservasjon lagrer vi navn, e-postadresse, eventuelt telefonnummer, antall personer, tidspunkt, varighet, eventuelt bord, merknad, restaurantens svar, status, om reservasjonen kom fra nettet eller ansatte, og om e-poster er sendt. Nettreservasjoner krever e-postadresse for kvittering, svar, endringer, avbestillinger og påminnelser. Ansatte kan registrere reservasjoner fra telefon, e-post eller andre plattformer uten e-postadresse eller bord. Unngå diagnoser og andre unødvendige helseopplysninger.

Sporingslenke. Den som har lenken, kan se status og opplysninger om bestillingen eller reservasjonen, inkludert kontaktopplysninger og fritekst, og kansellere der dette er mulig. Vi lagrer bare en hash av lenkenøkkelen.

Nettverksidentifikator. En nøkkelbasert hash av nettverket lagres med bestillingen eller reservasjonen i 90 dager for tiltak mot misbruk (punkt 7). IP-adressen lagres ikke her.

Adresse og kart. LocationIQ finner koordinater, Google Routes beregner kjøreavstand, og OpenStreetMap leverer kart (punkt 10).

Hvor lenge. Etter restaurantens valg fjernes navn, kontaktopplysninger, leveringsadresse, koordinater, merknader, fritekst, sporingsnøkkel og kundekobling fra bestillinger fem år fra utgangen av regnskapsåret bestillingen ble gjort i. Varelinjer, beløp, merverdiavgift, betalingsreferanser, kortets fire siste sifre, korttype og tvistesammendrag beholdes som regnskapsdokumentasjon til restauranten slettes. Gjestens opplysninger og merknader i reservasjoner fjernes tre år etter besøket. Leveringsmetadata for ferdigbehandlede gjeste-e-poster slettes etter 90 dager. Bestillinger sendt til restaurantens egne systemer slettes hos Embrosia 90 dager etter sending (punkt 4).

Rettslig grunnlag. Avtalen med deg, restaurantens berettigede interesse i kundehistorikk og bokføringsloven (personvernforordningen artikkel 6 nr. 1 bokstav b, f og c).

4. Hva restauranten får

Restauranten får bestillingene og reservasjonene med navn og kontaktopplysninger i dashbordet og kan skrive ut kvitteringer og eksportere bestillinger. Egne tilkoblede systemer kan motta bestillinger med navn, leveringsadresse og merknader. Restauranten er ansvarlig for videre bruk.

Restauranten kan sperre en e-postadresse eller et telefonnummer fra bestillinger og reservasjoner, for eksempel ved manglende henting. Sperren inneholder identifikatoren, antall stoppede forsøk og eventuell merknad, og består til restauranten fjerner den.

5. Kundekonto

En kundekonto er felles for alle restauranter og gir automatisk utfylling og historikk for bestillinger og reservasjoner gjort mens du er innlogget.

Vi lagrer e-postadresse, fornavn, etternavn, telefonnummer, opptil 20 leveringsadresser med koordinater, eventuelt hashet passord og innloggingsøkter med IP-adresse og nettleser. Engangskoder lagres bare som hasher.

Bestillinger og reservasjoner kobles til kontoen når du er innlogget. Opplysninger i bestillinger endrer ikke profilen, så du kan bestille for andre. Tidligere gjestebestillinger kobles ikke til i ettertid.

Hvor lenge. Kontoen består til du sletter den. Innloggingsøkter utløper etter 30 dager uten bruk. Innlogginger og sikkerhetsendringer loggføres med IP-adresse og nettleser i 12 måneder.

Sletting. Slett kontoen på Min side med passord eller engangskode, eller kontakt [email protected] fra kontoens e-postadresse. Vi sletter kontoen, adressene, øktene og aktivitetsloggen, fjerner kundekoblinger fra bestillinger, reservasjoner og rabattinnløsninger, og bekrefter på e-post. Bestillingene og reservasjonene med oppgitte detaljer beholdes hos restaurantene til fristene i punkt 3. Sperrer fjernes ikke (punkt 4 og 7).

Rettslig grunnlag. Kontoavtalen (artikkel 6 nr. 1 bokstav b) og vår berettigede interesse i kontosikkerhet for økter og aktivitetslogg (bokstav f).

6. Brukere i en restaurant

Dette gjelder eiere og ansatte med brukerkonto i dashbordet.

Vi lagrer e-postadresse, fornavn, etternavn, språk, hashet passord, restauranttilhørighet og rettigheter, invitasjoner og innloggingsøkter med IP-adresse og nettleser. Ved Google-innlogging mottar og lagrer vi e-postadresse, navn og Google-ID fra Google. Tofaktorautentisering innebærer lagring av kryptert hemmelighet og hashede gjenopprettingskoder.

Varsler. Aktiverer du varsler om bestillinger og reservasjoner, lagrer vi enhetens varslingsadresse, krypteringsnøkler, nettleser, restaurant, innloggingsøkt og siste sending. Opplysningene slettes når varslene slås av eller økten avsluttes. Lydinnstillinger lagres bare i nettleseren.

Refusjoner og vilkår. Vi registrerer hvem som refunderte en bestilling og hvem som godtok vilkårene for restaurantens bruk av Embrosia, med tidspunkt for aksept. Koblingen til deg beholdes til kontoen slettes.

Nets-forhåndsbetaling. Vi lagrer hvem som bekreftet at Nets Easy-avtalen tillater forhåndsbetaling, og når, til bekreftelsen fjernes, nøklene erstattes, Nets kobles fra eller restauranten slettes. Ved kontosletting fjernes brukerkoblingen, mens bekreftelsen og tidspunktet beholdes.

Tilkobling av Stripe. For å hindre gjenbruk lagrer vi midlertidig bruker-, restaurant- og Stripe-kontoreferanser, tidspunkter og hasher av forespørselsnøkkelen og godkjenningskoden. Forespørsler er gyldige i ti minutter; kodehasher beholdes i minst ti minutter etter forsøket. Utløpte poster ryddes daglig, og postene slettes ved bruker- eller restaurantsletting. Selve godkjenningskodene og tilgangs- eller fornyelsesnøklene lagres ikke.

Aktivitetslogg. Vi lagrer innlogginger og mislykkede forsøk, endringer i passord, e-post, tofaktor, økter, team, eierskap, restaurantopprettelse og -sletting, betalingsoppsett, webhooks, menypublisering og egen nettadresse. Hendelsene lagres med tidspunkt, konto, restaurant, IP-adresse og nettleser i 12 måneder for å oppklare hendelser på kontoen.

Ved eierskifte beholdes brukerens ID, IP-adresse og nettleser, eller operatørens identitet og begrunnelse, midlertidig til overføringen er fullført og loggført. Brukeropplysningene fjernes fra gjenværende leveringsposter ved kontosletting. Midlertidig IP-adresse og nettleser slettes senest 365 dager etter forespørselen, også ved uavklarte overføringer. Aktivitet loggføres i 12 måneder fra fullføring; ikke-loggførte eierhendelser forkastes 365 dager etter fullføring. Økonomisk oppfølging fortsetter, og operatørkontekst følger operatørloggens lagringstid.

Eierskifte. Faktureringen flyttes til en ny Stripe-kunde. Bekreftet betalt tid beholdes; historiske fakturaer blir hos tidligere kunde. Overføringsdatoer, status og deltakerreferanser lagres med restauranten. Den nye eierens midlertidige e-postkopi slettes ved fullføring. Deltakerne må fullføre en pågående overføring før kontosletting; deltakerreferanser fjernes når kontoen slettes.

Fakturering. Stripe fakturerer abonnement og transaksjonsgebyrer og lagrer restaurantens navn, interne ID, eventuelle URL-slug, organisasjonsnummer, eierens e-postadresse og kort. Kortet lagres aldri hos Embrosia. Fakturagrunnlag med restaurantnavn, organisasjonsnummer, periode, bestillinger, omsetning, sats og beløp, samt Stripe-fakturaer, beholdes i fem år etter bokføringsloven, også etter restaurantsletting. Innkrevingsforsøk ved eierskifte registreres med leverandørreferanser, beløp, utfall og tidspunkter. De beholdes mens innkrevingen er uavklart, deretter fem år fra utgangen av avslutningsåret.

Organisasjonsnummer. Vi kontrollerer nummeret mot Enhetsregisteret ved registrering og bruk av egen nettadresse, og lagrer registrert navn og kontrolltidspunkt. Nummeret til et enkeltpersonforetak er knyttet til innehaveren.

Driftsmeldinger. Eiere og teammedlemmer kan få e-post om drift, sikkerhet og vilkårsendringer. Vi sender ikke markedsføring.

Betalingstilkoblinger. Krypterte Vipps- og Nets-nøkler og Vipps-webhook-hemmeligheter for eksisterende betalinger beholdes til restaurantsletting, slik at betalinger og refusjoner kan fortsette hos opprinnelig brukersted etter tilkoblingsbytte. Ubrukte versjoner slettes daglig. Nøkler eksporteres aldri. Bekreftede erstatningsnøkler kan brukes hos samme opprinnelige brukersted; historiske webhook-hemmeligheter beholdes separat.

Støttetilgang. En operatør kan åpne dashbordet som deg for å hjelpe eller undersøke feil. Tilgangen krever begrunnelse, varer høyst én time og loggføres. Passord, tofaktorhemmeligheter og betalingsnøkler er aldri synlige.

Merknader og operatørlogg. Interne merknader om brukere og restauranter slettes sammen med disse. Alle operatørhandlinger loggføres med operatørens e-postadresse og IP-adresse, handling, begrunnelse og berørt ID. Loggen inneholder bare ID-er om deg, ikke navn eller kontaktopplysninger, og slettes ikke.

Hvor lenge. Kontoen består til sletting. Økter utløper etter én dag uten bruk, eller 30 dager hvis du valgte å forbli innlogget.

Sletting. Slett kontoen på kontosiden i dashbordet. Restauranter der du er eneste medlem, slettes samtidig. Med andre medlemmer må du først overføre eierskapet. Følgene av restaurantsletting står i vilkårene.

Rettslig grunnlag. Restaurantavtalen (artikkel 6 nr. 1 bokstav b), vår berettigede interesse i sikkerhet og støtte for økter, logger og støttetilgang (bokstav f), og bokføringsloven for fakturagrunnlag (bokstav c).

7. Sikkerhet og tiltak mot misbruk

Sperrer. Ved bestillinger som ikke hentes eller betales, kan Embrosia sperre e-postadresser, telefonnumre eller nettverk fra bestillinger og reservasjoner hos én eller alle restauranter. Nettverkssperrer varer høyst 30 dager fordi adresser deles og byttes. Sperrer inneholder identifikator, antall stoppede forsøk og eventuell merknad, og beholdes ved kontosletting. Den som stoppes, bes kontakte restauranten.

Oppslag på tvers av restauranter. For å vurdere sperrer kan operatører slå opp e-postadresse, telefonnummer eller bestilling og se bestillinger og reservasjoner med samme kontaktopplysninger eller nettverk hos alle restauranter. Grunnlaget er Embrosias berettigede interesse i å forebygge tap hos restaurantene (artikkel 6 nr. 1 bokstav f).

Suspensjon. Vi kan suspendere bruker- og kundekontoer eller restauranter og lagrer begrunnelsen. Vi kan også sperre e-postadresser for kontoopprettelse og organisasjonsnumre for nye restauranter.

Automatisk håndtering. Mennesker setter sperrer og suspensjoner og godkjenner nettreservasjoner. Ubesvarte reservasjonsforespørsler og alternative tilbud utløper ved svarfristen. Ubesvarte bestillinger kanselleres automatisk ved fristen. Sletting følger fristene i denne erklæringen.

Sikring. Passord lagres som bcrypt-hasher, tofaktorhemmeligheter og betalingsnøkler kryptert, og engangskoder, sporingsnøkler og innloggingstokener som hasher. Trafikken bruker TLS. Operatører må bruke passord og tofaktor ved hver innlogging.

Tekniske feil. Når feilrapportering er aktivert, mottar Sentry feiltype, melding, tidspunkt, tjenestedel, kodeplassering med nærliggende kodelinjer, side eller API-endepunkt uten søkeparametere, nettleser og operativsystem. Nettleserrapporter inkluderer siste sidebytter, forespørsler og klikk, aldri inntastet innhold. Serverrapporter kan inneholde interne referanser til restaurant, bestilling, reservasjon, varsling, betalingsforsøk og betalingsoppsett, samt handling, integrasjon, status og feilkoder. Innloggede restaurantbrukere identifiseres med bruker- og restaurant-ID; kundens ID inkluderes ved mislykkede serverforespørsler.

E-postadresser, telefonnumre, nøkler, innloggingstokener og lenkeparametere maskeres i feilmeldinger. Navn, kontaktopplysninger, adresser, bestillings- og forespørselsinnhold, informasjonskapsler og kodevariabler sendes ikke. Sentry mottar IP-adressen ved direkte overføring fra nettleseren; den skal ikke lagres i rapporten. Vi gjør ikke opptak av nettleserøkter. Rapportene beholdes i 30 dager på gratisabonnementet eller opptil 90 dager i prøveperioden. Grunnlaget er vår berettigede interesse i stabilitet og sikkerhet (artikkel 6 nr. 1 bokstav f).

8. Statistikk

Vi bruker totaler for daglige bestillinger og omsetning, bestillingstyper, betalingsmåter og månedlige registreringer og slettinger. Ved restaurant- eller kontosletting beholdes en post med måneder, antall og markeringer, uten navn, ID-er, fritekst eller datoer. En slettet restaurant kan likevel gjenkjennes gjennom fakturagrunnlagets navn og organisasjonsnummer i fem år. Deretter er posten anonym.

9. Kontakt- og supportskjemaer

Skjemameldinger sendes som e-post til våre Domeneshop-postkasser, uten databaselagring eller kopi til andre selskaper. Supporthenvendelser bekreftes på e-post. Grunnlaget er vår berettigede interesse i å svare deg (artikkel 6 nr. 1 bokstav f).

10. Hvem vi deler opplysninger med

Vi selger ikke personopplysninger og bruker ingen annonsenettverk eller analyseverktøy. Disse mottar opplysninger som del av tjenesten:

DigitalOcean, LLC (USA) drifter servere og database. Produksjonsdata og sikkerhetskopier skal lagres i EU/EØS. Sikkerhetskopier skal slettes innen 30 dager.
Functional Software, Inc. (Sentry), USA mottar feilrapporter (punkt 7). De lagres i Frankfurt når EU velges for Sentry-organisasjonen. Kontoadministrasjon og støtte kan behandles i USA.
Amazon Web Services EMEA SARL (Luxembourg) lagrer menybilder og logoer i S3 i Stockholm (eu-north-1). CloudFront leverer bildene og mottar IP-adresse og hvilke restaurantbilder som hentes. SES i Stockholm sender all e-post og behandler mottakeradresse og innhold, inkludert engangskoder, bestillings- og reservasjonsmeldinger, invitasjoner, konto- og slettevarsler og skjemameldinger.
Stripe Payments Europe, Ltd. (Irland) behandler kortbetalinger, abonnement og gebyrfakturering. Stripe mottar e-postadressen med betalingen; kortskjemaet behandler kort- og enhetsopplysninger. Faktureringsreferanser for abonnement inkluderer restaurantens navn, interne ID og eventuelle URL-slug.
Vipps MobilePay AS (Norge) behandler betalinger og mottar beløp, bestillingsreferanse og -nummer og sporingslenken med tilgang til opplysningene i punkt 3. Etter belastning mottar Vipps kvitteringen med varenavn, antall, belastede beløp, merverdiavgiftssatser og -beløp, leveringsgebyrer og kvitteringsnummer.
Nets Denmark A/S NUF (Nexi Group, Norge) leverer kortskjema og behandler Nets Easy-betalinger med navn, e-postadresse og telefonnummer.
Google Ireland Limited (Irland) mottar restaurantens og leveringsadressens koordinater for kjøreavstandsberegning med Google Routes, etter Googles egne personvernvilkår som behandlingsansvarlig. Svaret lagres ikke hos Embrosia. Google leverer også innlogging for restaurantbrukere.
Unwired Labs (India) Pvt Ltd (LocationIQ, India) mottar adressetekst, ikke navn, for koordinatoppslag mot selskapets EU-endepunkt.
OpenStreetMap Foundation (Storbritannia) leverer kart i kassen, kundens adressebok, restaurantinformasjon, bestillingsbekreftelsen og dashbordet. Direkte henting fra nettleseren gir tilgang til IP-adresse og kartutsnitt.
Brønnøysundregistrene (Norge) mottar organisasjonsnummeret for registerkontroll.
Domeneshop AS (Norge) drifter e-postkassene våre og domenet embrosia.no.
Varslingstjenestene til Google, Apple, Mozilla, Microsoft og Samsung mottar enhetens varslingsadresse og krypterte meldinger for aktiverte varsler. Tjenesten kan ikke lese meldingene. De inneholder bestillings- eller reservasjonsnummer, restaurantnavn og tidspunkt, samt bestillingstype og beløp eller antall gjester, aldri gjestens navn eller kontaktopplysninger. Varslene leveres gjennom nettleserleverandørens tjeneste og vilkår.
Restaurantene får bestillingene og reservasjonene sine (punkt 4).

Overføring ut av EØS. Bildelagring og e-postutsending skjer i Stockholm. CloudFront leverer fra nærmeste Amazon-lokasjon. Støtte, administrasjon og leverandørtjenester kan innebære behandling utenfor EØS. DigitalOcean, Stripe og Sentry bruker EU-US Data Privacy Framework for dekkede USA-overføringer, med EU-kommisjonens standardavtaler (beslutning (EU) 2021/914) som reserveløsning. AWS bruker standardavtalene ved overføringer som krever dette. Googles personvernvilkår regulerer overføringer gjennom godkjent overføringsgrunnlag og standardavtaler der det er nødvendig. LocationIQ bruker et EU-endepunkt; eventuell tilgang eller behandling fra India skal omfattes av standardavtaler eller annet gyldig overføringsgrunnlag før slik tilgang tillates. Storbritannia har EU-kommisjonens godkjenning som land med tilstrekkelig beskyttelsesnivå. Du kan be om informasjon eller en kopi av relevante garantier på [email protected].

11. Informasjonskapsler og lagring i nettleseren

Vi bruker nødvendig nettleserlagring for innlogging, språk, handlekurv og utfylling i kassen, uten sporing, analyse eller annonsering og uten samtykkeforespørsel. Aktiverte dashbordvarsler mottas i bakgrunnen. Stripe og Nets kan sette egne informasjonskapsler i betalingsskjemaene.

Ved Stripe-tilkobling lagrer fanen bare restaurant-ID-en for retur til riktig restaurant. Den fjernes ved retur eller når fanens nettleserøkt avsluttes. Stripe-koder og forespørselsnøkler lagres ikke i nettleseren.

12. Dine rettigheter

Du har rett til innsyn, retting, sletting, begrensning av behandling, protest mot behandling basert på berettiget interesse og utlevering av opplysninger du har gitt oss i maskinlesbart format. Kontakt [email protected]. Vi bekrefter identiteten din og svarer senest innen én måned.

Kontakt restauranten om bestillinger og reservasjoner (punkt 2). Vi hjelper deg videre hvis du er i tvil.

Du kan endre profilen i dashbordets kontoside eller kundens Min side.

Du kan klage til Datatilsynet (datatilsynet.no).

13. Endringer

Datoen øverst viser siste oppdatering. Vesentlige endringer varsles i dashbordet og på e-post til restauranteiere.