Personvernerklæring

1. Behandlingsansvarlig

XL Web (org.nr. 837 271 932) er behandlingsansvarlig for personopplysninger vi behandler som leverandør av memba. Tjenesten markedsføres på memba.no.

Kontakt: hello@memba.no. Kundesaker: kundeservice@memba.no.

2. To ulike roller

Klubben er behandlingsansvarlig for medlemsopplysninger, gjestekjøp og annen data klubben registrerer i sitt underdomene. XL Web er da databehandler, jf. databehandleravtalen. Medlemmer som vil ha innsyn, retting eller sletting, henvender seg til klubben eller bruker medlemsportalen.

XL Web er behandlingsansvarlig for opplysninger om klubben som kunde hos oss: konto, faktura, support, markedsføring på memba.no og bruk av AI-assistenten på markedssidene. Resten av denne erklæringen gjelder den rollen.

3. Hvilke opplysninger vi behandler

Når du oppretter klubbkonto, behandler vi:

• klubbnavn, underdomene og senere organisasjonsnummer
• navn, e-post og passordhash for klubb-admin
• valg av plan og senere Stripe-kunde- og abonnements-ID
• kampanjeinformasjon (UTM) hvis du kom via en annonselenke

I tillegg kan vi behandle:

• IP-adresse og nettleser ved innlogging, DPA-aksept og spam-vern (Cloudflare Turnstile)
• supportmeldinger og e-post til kundeservice@memba.no / hello@memba.no
• spørsmål og svar i AI-chatten på memba.no (lagres hos oss, sendes til OpenAI for å lage svaret)
• tekniske logger som trengs for drift, sikkerhet og feilsøking

Vi ber ikke om fødselsnummer. Vipps-identitet for klubb-admin (navn, telefon og Vipps-bruker-ID) lagres bare hvis plattformen krever det før databehandleravtalen aksepteres.

4. Hvorfor vi behandler opplysningene (og vårt rettslige grunnlag)

• For å levere tjenesten til deg: Vi trenger opplysningene for å opprette og drifte klubbkontoen, fakturere for abonnementet via Stripe, og for å kunne gi dere support. (Rettslig grunnlag: Avtale / GDPR art. 6 nr. 1 bokstav b)
• For å følge loven: Vi må lagre fakturaer og regnskapsdata for å overholde bokføringsloven. (Rettslig grunnlag: Rettslig plikt / bokstav c)
• For å forbedre og sikre tjenesten: Vi behandler data for å ivareta sikkerheten, forhindre misbruk, måle effekten av kampanjene våre, og for å forbedre systemet. Du har rett til å protestere på denne behandlingen. (Rettslig grunnlag: Berettiget interesse / bokstav f)
• Når du har sagt ja: Dersom vi ber om det og du takker ja (for eksempel til valgfrie markedsutsendelser), behandler vi data basert på dette. Samtykket kan alltid trekkes tilbake. (Rettslig grunnlag: Samtykke / bokstav a)

5. Informasjonskapsler på memba.no

Du velger selv markedsføringscookies i banneret nederst på siden, eller via «Informasjonskapsler» i bunnen. Valget lagres i cookien memba_consent i 180 dager.

Nødvendige (alltid på): innlogging, sikkerhet og å huske cookie-valget. Disse kreves for at tjenesten skal virke.

Markedsføring (krever samtykke): Google Ads med Consent Mode v2, og vår first-party cookie memba_acq (30 dager). Kampanjecookien lagrer UTM-kilde, medium og kampanjenavn — ikke navn eller e-post. Ved registrering knyttes den til klubbkontoen. Vi bruker ikke Google Analytics eller Meta Pixel.

Google-taggen kan lastes også uten samtykke, men da er ad_storage, ad_user_data og ad_personalization satt til avvist. Først når du godtar, får Google lov til å bruke informasjonskapsler til annonsemåling. Cookiene settes bare på memba.no, ikke på klubbens underdomene.

6. AI-assistent

På memba.no og i klubbens admin kan du bruke en AI-chat. Meldingene sendes til OpenAI for å generere svaret. Vi lagrer samtalen hos oss for kvalitet og for å hindre misbruk. Ikke skriv passord, Vipps-nøkler eller unødvendige personopplysninger i chatten.

7. Hvem vi deler med

Vi deler opplysninger med underleverandører som er nødvendige for å levere tjenesten:

• Stripe — betaling av klubbens abonnement hos memba
• Mailgun — utgående e-post
• Twilio — SMS (når klubben sender SMS i tjenesten)
• Vipps MobilePay — betaling og innlogging for klubben
• Cloudflare Turnstile — bot-vern på offentlige skjemaer
• OpenAI — AI-svar
• Google Ads — annonsemåling på memba.no når du har samtykket

Stripe, Twilio, Cloudflare, OpenAI og Google kan behandle data utenfor EØS. Overføring skjer i så fall med EU-kommisjonens standardavtaler (SCC) og/eller EU–US Data Privacy Framework der leverandøren er sertifisert. Vi selger ikke personopplysninger.

8. Lagringstid

• Klubbkonto og adminbrukere: så lenge kundeforholdet varer, og deretter i en begrenset periode for avslutning og sikkerhet. Ubrukte tomme testkontoer kan slettes etter varsel (inntil 90 dager uten aktivitet).
• Faktura og betalingsopplysninger: så lenge bokføringsloven krever (normalt 5 år).
• Kampanjecookie: 30 dager, eller til den slettes i nettleseren. Attribusjon på klubbkontoen beholdes som del av kundeforholdet.
• AI-samtaler: inntil de slettes som del av drift og misbruksvern.
• Support: så lenge saken er åpen, og en periode etterpå for oppfølging.

9. Dine rettigheter

Du har rett til innsyn, retting, sletting, begrensning, dataportabilitet og å protestere mot behandling som bygger på berettiget interesse. Du kan klage til Datatilsynet.

Gjelder henvendelsen medlemsdata i en klubb, er klubben behandlingsansvarlig. Vi videresender slike saker til klubben når det er riktig.

For opplysninger vi behandler som leverandør: skriv til hello@memba.no.

10. Sikkerhet

Tilgang til klubbdata er skilt per tenant. Passord lagres som hash. Vipps-nøkler krypteres. Plattform-admin bruker tofaktor der det er slått på. Vi logger administrative handlinger som berører personvern.

11. Endringer

Vi oppdaterer denne erklæringen når behandlingen endres. Datoen øverst viser siste innholdsendring. Vesentlige endringer varsles til klubb-admin på e-post eller i tjenesten.