Personvernerklæring og brukervilkår

Innhold

1. Innledning
2. Tjenestens karakter og bruksområde
3. Roller og ansvar
4. Personopplysninger som behandles
5. Formål og behandlingsgrunnlag
6. Mottakere og underdatabehandlere
7. Lagringstid
8. Sikkerhet
9. Dine rettigheter
10. Databehandleravtale (GDPR art. 28)
11. Lisens- og betalingsvilkår
12. Ansvar og ansvarsbegrensning
13. Brukervilkår
14. Lovvalg og tvisteløsning
15. Endringer

Sammendrag

Kontorligaen er en kommersiell B2B-tjeneste levert av Curveball AS. Vi behandler kun de personopplysningene som er nødvendige for å levere tjenesten, deler ikke data med kommersielle tredjeparter, og bruker ikke sporings- eller annonseringsverktøy. Tjenesten er gratis å delta i for sluttbrukere, og innebærer ikke pengespill.

1. Innledning

Denne personvernerklæringen og brukervilkårene (heretter «Vilkårene») beskriver hvilke personopplysninger som behandles ved bruk av tjenesten Kontorligaen (heretter «Tjenesten»), tilgjengelig via kontorligaen.no og tilknyttede subdomener og kundespesifikke domener, samt vilkårene som regulerer bruken av Tjenesten.

Tjenesten leveres av Curveball AS, organisasjonsnummer 937 763 573, med forretningsadresse Storheia 36, 5239 Rådal (heretter «Curveball», «vi», «oss»).

Ved å opprette en bedriftskonto, en liga eller delta i en eksisterende liga, bekrefter brukeren å ha lest, forstått og akseptert Vilkårene. Aksept gis eksplisitt ved avkrysning av samtykkefeltet ved registrering.

2. Tjenestens karakter og bruksområde

Kontorligaen er en kommersiell programvaretjeneste (SaaS) som lar bedrifter, lag og foreninger arrangere interne prediksjonsspill knyttet til idrettsmesterskap, med fokus på fotball-VM 2026 og senere mesterskap.

Tjenesten er beregnet for bruk innenfor en avgrenset deltakergruppe — typisk ansatte i en bedrift, medlemmer i en forening eller en vennegjeng — og er ikke åpen for allmennheten.

2.1 Tjenesten innebærer ikke pengespill

Tjenesten innebærer ikke pengespill i henhold til lov om pengespill (pengespilloven, LOV-2022-03-18-12). Følgende vilkår skal alltid være oppfylt for at en liga skal være lovlig under disse Vilkårene:

• Det skal ikke kreves innsats fra deltakerne for å delta. Det er gratis å være med.
• Eventuelle premier dekkes av arrangerende bedrift (kunden) som en del av lisensen eller som en separat gave, og ikke av en pott innbetalt eller pledget av deltakerne.
• Det forekommer ingen pengepremier, innskudd, odds, kommersielle utbetalinger eller annen form for økonomisk vederlag mellom deltakere eller mellom deltakere og Curveball.
• Konkurranseelementet er begrenset til intern anerkjennelse («bragging rights») og eventuelle ikke-monetære eller arrangør-finansierte premier.

Tjenesten skal ikke benyttes til å arrangere pengespill, innsamle innsats fra deltakere, eller fasilitere veddemål mellom deltakere. Brudd på dette gir Curveball rett til å avslutte tjenesteforholdet umiddelbart, jf. punkt 13.

3. Roller og ansvar

Curveball leverer Tjenesten til bedriftskunder (heretter «Kunden»). Kunden bruker Tjenesten til å opprette én eller flere ligaer der ansatte, medlemmer eller andre tilknyttede personer (heretter «Deltakerne») kan delta.

3.1 Personvernroller

• Curveball AS er databehandler for personopplysninger som behandles på vegne av Kunden i forbindelse med levering av Tjenesten.
• Kunden er behandlingsansvarlig for personopplysningene som behandles om Deltakerne i Kundens egne ligaer. Kunden er ansvarlig for å:
  • Informere Deltakerne om at de deltar i en liga og om deres rettigheter
  • Sikre et gyldig behandlingsgrunnlag for Deltakernes opplysninger
  • Besvare henvendelser om innsyn, retting og sletting fra Deltakerne
  • Slette ligaen når formålet er oppnådd eller etter ønske fra Deltakerne
  • Ikke misbruke opplysningene eller dele dem med uvedkommende

Rammene for forholdet mellom behandlingsansvarlig (Kunden) og databehandler (Curveball) er fastsatt i punkt 10 — Databehandleravtale.

3.2 For brukerkonto og fakturering

For personopplysninger knyttet til Kundens egen brukerkonto, kontaktpersoner, faktureringsadresser og kommunikasjon mellom Kunden og Curveball, er Curveball behandlingsansvarlig.

4. Personopplysninger som behandles

4.1 For Kundens kontaktpersoner og administratorer

• Navn, e-postadresse, telefonnummer (valgfritt) og rolle hos Kunden
• Passord, lagret som hash (bcrypt via Supabase Auth) — aldri i klartekst
• Påloggingstidspunkt og IP-adresse for sikkerhets- og misbruksformål
• Faktureringsinformasjon (selskapsnavn, organisasjonsnummer, fakturaadresse)

4.2 For Deltakere i en liga

• Navn (oppgis ved registrering)
• E-postadresse, brukt til innlogging
• Telefonnummer (valgfritt, dersom Deltakeren samtykker til SMS-varsler)
• Eventuell tilknytning til avdeling/team (valgfritt, satt av Deltakeren eller importert av admin)
• Predikasjoner (tippede resultater på enkeltkamper og bonusspørsmål)
• Poeng og resultater i ligaen
• Tidspunkt for registrering og siste innlogging

4.3 Hva Tjenesten ikke samler inn

Tjenesten benytter ingen tredjeparts analyseverktøy, sporingsskript, annonseringspiksler eller markedsføringscookies. Det settes ingen cookies utover det som er strengt nødvendig for sesjonshåndtering, sikkerhet og lagring av brukerpreferanser.

Tjenesten samler ikke inn særlige kategorier av personopplysninger (GDPR art. 9), og er ikke beregnet for personer under 13 år.

5. Formål og behandlingsgrunnlag

Behandlingen av personopplysninger har grunnlag i personvernforordningen (GDPR) artikkel 6:

• Artikkel 6 nr. 1 bokstav b — nødvendig for å oppfylle avtalen om bruk av Tjenesten (kontrakt med Kunden, deltakelse i liga for Deltakere)
• Artikkel 6 nr. 1 bokstav a — samtykke gitt ved avkrysning av vilkår (særlig der behandlingen går ut over det avtalemessige, f.eks. SMS-varsler)
• Artikkel 6 nr. 1 bokstav f — berettiget interesse i å levere, sikre og videreutvikle Tjenesten

Formålene er begrenset til:

• Levere Tjenesten i samsvar med Kundens og Deltakernes valg
• Vise navn, eventuell avdelingstilhørighet, predikasjoner og poeng for andre deltakere i samme liga (etter at en kamps avspark har funnet sted)
• Sende transaksjons-e-post og eventuelle SMS-varsler relatert til Tjenesten (innlogging, invitasjoner, viktige oppdateringer)
• Administrere kundeforholdet, herunder fakturering og kommunikasjon
• Vedlikeholde, sikre og videreutvikle Tjenestens funksjonalitet
• Oppfylle lovpålagte krav (bokføring, regnskap, mv.)

6. Mottakere og underdatabehandlere

Personopplysninger selges ikke, og deles ikke med kommersielle tredjeparter for markedsføringsformål. Følgende kategorier av mottakere har tilgang i forbindelse med tjenesteleveransen:

• Andre Deltakere i samme liga — navn, eventuell avdeling, predikasjoner og poengstilling er synlig for personer med tilgang til den aktuelle ligaen, etter at en kamps avspark har funnet sted.
• Kundens administratorer — har oversikt over Deltakerne i Kundens egne ligaer.
• Curveballs ansatte — har tilgang i den utstrekning det er nødvendig for drift, support og videreutvikling, underlagt taushetsplikt.

6.1 Underdatabehandlere

Følgende underdatabehandlere benyttes for å levere Tjenesten:

Fakturering håndteres manuelt av Curveball AS, og involverer ikke automatisk overføring av faktureringsdata til en betalings- eller fakturatjeneste.

Curveball forplikter seg til å benytte underdatabehandlere som tilbyr tilstrekkelige garantier for personvern i tråd med GDPR, og som primært behandler data innenfor EU/EØS. Der det forekommer overføring til land utenfor EU/EØS, skjer dette under standard kontraktsbestemmelser (SCC) godkjent av Europakommisjonen.

Bytte av underdatabehandlere kan skje uten forhåndsvarsel forutsatt at samme nivå av databeskyttelse opprettholdes. Ved vesentlige endringer oppdateres dette dokumentet og versjonsnummeret bumpes.

7. Lagringstid

Personopplysninger lagres kun så lenge formålet med behandlingen er aktivt:

• Aktive ligaer: Opplysninger lagres så lenge ligaen er aktiv. Kunden kan slette ligaen eller enkeltdeltakere når som helst.
• Etter avsluttet mesterskap: Senest 90 dager etter at det aktuelle mesterskapet er avsluttet, slettes ligaens deltakerdata automatisk, med mindre Kunden eksplisitt har bedt om forlenget lagring eller har en aktiv lisens som dekker neste mesterskap.
• Kundeforhold: Opplysninger om Kundens kontaktpersoner og administratorer beholdes så lenge kundeforholdet består, og deretter i inntil 6 måneder for opprydding.
• Faktureringsopplysninger: Beholdes i henhold til bokføringslovens krav (5 år for primærdokumentasjon).
• Sikkerhetslogger: Beholdes i inntil 12 måneder.

Curveball forbeholder seg retten til å slette inaktive ligaer underveis, eller i tilfeller hvor Tjenesten benyttes i strid med disse Vilkårene.

8. Sikkerhet

Følgende tekniske og organisatoriske tiltak er på plass:

• All trafikk mellom bruker og Tjenesten er kryptert med TLS (HTTPS)
• Passord hashes med bcrypt før lagring og kan ikke leses i klartekst
• Data lagres hos Supabase i datasenter i Irland (EU/EØS)
• Tilgangskontroll på databasenivå via Row Level Security (RLS), med isolasjon mellom kunders ligaer
• Standard sikkerhetshoder konfigurert (HSTS, X-Frame-Options, Referrer-Policy, Permissions-Policy)
• Tilgangsstyring til produksjonsmiljø begrenset til navngitte Curveball-ansatte med to-faktor-autentisering
• Tjenesten driftes på en plattform med automatiske sikkerhetsoppdateringer
• Sikkerhetsbrudd håndteres etter dokumenterte rutiner, med varsling til berørte Kunder innen 72 timer fra kjennskap (jf. punkt 10.6)

9. Dine rettigheter

I henhold til personvernforordningen (GDPR) har du som registrert følgende rettigheter:

• Innsyn (art. 15) — rett til å få bekreftet hvilke personopplysninger som er registrert om deg
• Retting (art. 16) — rett til å korrigere uriktige opplysninger
• Sletting (art. 17) — rett til å bli glemt
• Begrensning av behandling (art. 18)
• Dataportabilitet (art. 20) — rett til å motta opplysningene dine i strukturert form
• Innsigelse (art. 21) — rett til å motsette deg behandling basert på berettiget interesse
• Tilbakekall av samtykke — rett til når som helst å trekke tilbake et tidligere gitt samtykke

Henvendelser om opplysninger i en konkret liga rettes til Kundens administrator (behandlingsansvarlig overfor Deltakerne, jf. punkt 3). Henvendelser om Kundens egne brukerkontoer, fakturering eller Curveballs øvrige behandling rettes til contact@curveball.tech.

Dersom du mener at behandlingen av personopplysninger er i strid med personvernforordningen, har du i tillegg rett til å klage til Datatilsynet, jf. GDPR art. 77.

10. Databehandleravtale (GDPR art. 28)

Denne seksjonen utgjør en databehandleravtale mellom Kunden (behandlingsansvarlig) og Curveball AS (databehandler), i tråd med personvernforordningen artikkel 28. Avtalen aksepteres ved at Kundens administrator krysser av samtykkefeltet ved opprettelse av en bedriftskonto eller en liga.

10.1 Behandlingens art, formål og varighet

• Art: Lagring og fremvisning av Deltakerinformasjon, beregning av poeng basert på predikasjoner og kampresultater, generering av poengtavle og oppsummeringer, samt teknisk drift av Tjenesten.
• Formål: Gjennomføring av interne ligaer knyttet til idrettsmesterskap, på vegne av Kunden.
• Varighet: Frem til Kunden sier opp tjenesteforholdet, sletter ligaen, eller den automatiske slettetiden i punkt 7 inntreffer.

10.2 Kategorier av personopplysninger og registrerte

Registrerte: Kundens administratorer og Deltakere i Kundens ligaer.

Kategorier: Som angitt i punkt 4.

Det behandles ingen særlige kategorier av personopplysninger (GDPR art. 9), og heller ikke personopplysninger om barn under 13 år.

10.3 Databehandlers forpliktelser

Curveball forplikter seg til å:

• Behandle personopplysninger kun etter dokumenterte instrukser fra Kunden, eller når lovgivning krever det
• Sikre at personer som behandler opplysninger er underlagt taushetsplikt
• Iverksette egnede tekniske og organisatoriske sikkerhetstiltak (jf. punkt 8)
• Bistå Kunden med å oppfylle Deltakernes rettigheter (jf. punkt 9), i den utstrekning det er teknisk praktisk gjennom Tjenestens admin-panel
• Bistå Kunden med vurderinger av personvernkonsekvenser og forhåndsdrøftinger med Datatilsynet i den grad det er relevant
• Slette eller tilbakelevere alle personopplysninger ved opphør av tjenesteforholdet
• Gjøre tilgjengelig nødvendig informasjon for å dokumentere etterlevelse av art. 28, og tillate revisjon i rimelig omfang etter avtale

10.4 Underdatabehandlere

Kunden samtykker generelt til Curveballs bruk av underdatabehandlere, jf. punkt 6.1. Curveball forplikter seg til å pålegge underdatabehandlere de samme forpliktelsene som følger av denne avtalen.

10.5 Overføring til tredjeland

Personopplysninger lagres og behandles primært innenfor EU/EØS. Enkelte underdatabehandlere har morselskap i USA (jf. punkt 6.1). For disse skjer overføring under standard kontraktsbestemmelser (SCC) godkjent av Europakommisjonen.

10.6 Brudd på personopplysningssikkerheten

Ved kjennskap til brudd på personopplysningssikkerheten vil Curveball, så snart det er praktisk mulig og senest innen 72 timer, varsle berørte Kunder via den e-postadressen som er registrert i Tjenesten. Kunden er deretter ansvarlig for eventuell videre rapportering til Datatilsynet (innen 72 timer, jf. GDPR art. 33) og til berørte Deltakere.

10.7 Tilbakelevering og sletting

Ved opphør av tjenesteforholdet slettes alle personopplysninger permanent fra produksjonsdatabasen senest 30 dager etter opphør, med mindre annet er avtalt eller pålagt ved lov. Sikkerhetskopier overskrives gjennom løpende rotasjon, og er typisk slettet innen 90 dager.

10.8 Vederlag

Vederlag for databehandlerens tjenester følger av den kommersielle avtalen mellom partene (lisensavtale eller tilsvarende). Det utveksles ikke ytterligere vederlag under denne databehandleravtalen.

10.9 Avtalens varighet

Avtalen trer i kraft når Kundens administrator aksepterer Vilkårene, og gjelder så lenge tjenesteforholdet består. Den opphører automatisk når personopplysningene slettes etter punkt 10.7.

11. Lisens- og betalingsvilkår

11.1 Lisens

Curveball gir Kunden en begrenset, ikke-eksklusiv, ikke-overførbar rett til å benytte Tjenesten i avtaleperioden, i samsvar med disse Vilkårene og eventuell tilleggsavtale.

11.2 Pris og fakturering

Pris for Tjenesten er NOK 990 eks. mva per mesterskap per kunde, med mindre annet er særskilt avtalt. Lisensen gir tilgang til Tjenesten for ett mesterskap (f.eks. fotball-VM 2026) for en avgrenset deltakergruppe innen Kundens organisasjon.

Faktura sendes ved bestilling, og forfaller 14 dager etter fakturadato. Fakturering håndteres manuelt av Curveball AS. Ved forsinket betaling påløper forsinkelsesrente etter forsinkelsesrenteloven, samt eventuelle inkassosalær.

11.3 Endringer i pris og vilkår

Curveball kan endre pris og vilkår med 4 ukers skriftlig varsel før neste fakturaperiode. Vesentlige endringer gir Kunden rett til å si opp tjenesteforholdet uten kostnad før endringen trer i kraft.

11.4 Oppsigelse

Tjenesteforholdet kan sies opp av begge parter med 30 dagers skriftlig varsel. Forhåndsbetalte beløp refunderes ikke, men gjenstående lisensperiode kan benyttes ut.

Curveball kan si opp tjenesteforholdet umiddelbart ved vesentlig mislighold, herunder brudd på punkt 2.1 (pengespill) eller punkt 13 (akseptabel bruk).

12. Ansvar og ansvarsbegrensning

12.1 Tjenestens kvalitet

Curveball leverer Tjenesten med rimelig faglig dyktighet og omsorg, og tilstreber høy oppetid og funksjonalitet. Tjenesten leveres uten ytterligere uttrykkelige eller underforståtte garantier ut over det som følger av ufravikelig lov.

12.2 Ansvarsbegrensning

Curveballs samlede ansvar overfor Kunden under disse Vilkårene, uansett ansvarsgrunnlag, er begrenset til det høyeste av:

• Det beløpet Kunden har betalt til Curveball under tjenesteforholdet de siste 12 månedene, eller
• NOK 50 000

Curveball er ikke ansvarlig for indirekte tap, følgeskader, omdømmetap, tap av data ut over rimelige gjenopprettings-anstrengelser, eller tap av fortjeneste.

Ansvarsbegrensningen gjelder ikke ved grov uaktsomhet eller forsett fra Curveballs side, eller for ansvar som ikke kan begrenses etter ufravikelig lov.

12.3 Ansvar for innhold og handlinger fra Kunde og Deltakere

Curveball er ikke ansvarlig for:

• Innhold som Kunden eller Deltakerne legger inn i Tjenesten
• Beslutninger Kunden tar basert på data fra Tjenesten
• Eventuell uenighet, konflikt eller misbruk mellom Kunden og Deltakere — partsforholdet i en liga består mellom Kunden og Deltakerne, ikke mellom Curveball og Deltakerne
• Eksterne tjenester som Tjenesten henter data fra (f.eks. football-data.org), ut over det som er rimelig å forvente av seriøse leverandører

13. Brukervilkår

13.1 Akseptabel bruk

Kunden og Deltakerne forplikter seg til å bruke Tjenesten i samsvar med norsk lov og god skikk, og skal ikke:

• Benytte Tjenesten til pengespill, veddemål med innsats fra deltakere, eller andre formål som strider mot punkt 2.1
• Forsøke å omgå sikkerhetsmekanismer, tilgangskontroller eller tekniske beskyttelsesmekanismer
• Reverse-engineere, dekompilere eller forsøke å hente kildekoden til Tjenesten
• Bruke Tjenesten til å sende uoppfordret kommunikasjon eller for ulovlige formål
• Laste opp innhold som krenker tredjeparts rettigheter, eller som er ulovlig, krenkende eller villedende
• Bruke Tjenesten til konkurrerende kommersiell virksomhet uten skriftlig samtykke fra Curveball

13.2 Konsekvenser av brudd

Ved brudd på Vilkårene kan Curveball, etter eget skjønn, og avhengig av bruddets alvorlighetsgrad:

• Gi varsel og frist for å rette opp
• Suspendere tilgang midlertidig
• Si opp tjenesteforholdet med umiddelbar virkning, og slette tilhørende data i samsvar med punkt 7

13.3 Immaterielle rettigheter

Curveball eier alle immaterielle rettigheter til Tjenesten, inkludert programvare, design, varemerker (Kontorligaen, Curveball) og dokumentasjon. Kunden får kun en bruksrett som beskrevet i punkt 11.1.

Kunden beholder eierskapet til innhold de selv laster opp (f.eks. bedriftslogo, copy). Ved opplasting gir Kunden Curveball en ikke-eksklusiv lisens til å bruke innholdet for å levere Tjenesten.

14. Lovvalg og tvisteløsning

Disse Vilkårene er underlagt norsk rett. Tvister som måtte oppstå skal søkes løst ved forhandling. Dersom forhandling ikke fører frem, skal tvisten avgjøres ved alminnelige norske domstoler, med Bergen tingrett som verneting.

15. Endringer i Vilkårene

Curveball forbeholder seg retten til å endre Vilkårene. Gjeldende versjon er angitt øverst i dokumentet med versjonsnummer og dato. Ved vesentlige endringer vil dette varsles til Kundens registrerte e-postadresse senest 30 dager før endringen trer i kraft.

Fortsatt bruk av Tjenesten etter at endringer er trådt i kraft, anses som aksept av de nye Vilkårene. Dersom Kunden ikke aksepterer endringene, kan tjenesteforholdet sies opp uten kostnad før ikrafttredelsen.

Kontakt

For spørsmål om personvern eller Vilkårene:

Curveball AS
Storheia 36, 5239 Rådal
Org.nr. 937 763 573
contact@curveball.tech

For henvendelser om personopplysninger i en konkret liga rettes spørsmål til den aktuelle bedriftens administrator.