1. Hvem er behandlingsansvarlig

Behandlingsansvarlig for personopplysningene som beskrives her er:

• Foretak: Cenaro bilutleie AS
• Organisasjonsnummer: MÅ FYLLES UT: organisasjonsnummer
• Forretningsadresse: MÅ FYLLES UT: fullstendig registrert adresse
• Telefon: MÅ FYLLES UT: telefonnummer
• E-post for personvernhenvendelser: MÅ FYLLES UT: e-postadresse. Det finnes i dag ingen e-postadresse noe sted i systemet, og heller ingen teknisk mulighet for å sende e-post fra bestillingsløsningen.

Personvernombud: MÅ FYLLES UT: Enten kontaktopplysninger til personvernombud, eller en uttrykkelig setning om at Cenaro ikke har personvernombud fordi vilkårene i personvernforordningen artikkel 37 ikke er oppfylt.

2. Hvilke opplysninger vi samler inn om deg

Alle personopplysninger i den offentlige bestillingsløsningen samles inn ett eneste sted: i steg 4 av bestillingen, «Sjåfør og betaling». Stegene før dette (valg av bil, forsikring, kilometeralternativ og tillegg) samler ikke inn personopplysninger — bare produktvalgene dine, som ligger i adressefeltet i nettleseren.

Vi samler ikke inn førerkortnummer i nettbestillingen. Førerkort og legitimasjon kontrolleres først ved utlevering av bilen, i skranken.

Betalingskortopplysninger: Kortnummer, utløpsdato og sikkerhetskode skrives inn på betalingssiden til Stripe, ikke hos oss. Cenaro ser aldri kortopplysningene dine, og de lagres ikke i Cenaros systemer.

MÅ FYLLES UT: Beskrivelse av hvilke opplysninger som samles inn i skranken ved utlevering — førerkort, legitimasjon, betalingskort i sjåførens navn — og hva som eventuelt registreres eller kopieres der. Dette skjer utenfor bestillingsløsningen og kan bare beskrives ut fra Cenaros faktiske rutine.

3. Særlig om fødselsdato

Vi ber om fødselsdato fordi hele aldersregelverket vårt henger på den. Fødselsdatoen tastes inn som åtte siffer i ett felt, og brukes til å regne ut hvor gammel du er på utleveringsdagen — ikke på bestillingsdagen. Ut fra dette havner hver sjåfør i én av fire kategorier:

• Under 18 år: bestillingen kan ikke gjennomføres
• 18–20 år: bestillingen kan ikke bekreftes automatisk og går til manuell vurdering
• 21–24 år: bestillingen gjennomføres med ungsjåførtillegg per dag og forhøyet depositum
• 25 år og eldre: ordinære vilkår

Aldersvurderingen gjøres alltid på nytt på serveren vår. Vi stoler ikke på beregningen som skjer i nettleseren din.

Ekstra sjåfører: Fødselsdatoen til hver ekstra sjåfør vurderes på samme måte, men lagres ikke i Cenaros database. Den brukes til å regne ut pris og eventuelle tillegg, og forkastes deretter. MÅ FYLLES UT: Ett unntak må omtales eller rettes: i dag følger fødselsdatoene til både hovedsjåfør og ekstra sjåfører med i den avbruddsadressen som sendes til Stripe når betalingsøkten opprettes, slik at Stripe faktisk sitter på fødselsdatoer som Cenaros egen database ikke har. Dette bør rettes i koden før lansering.

Fødselsdato i nettadressen: Mens du går gjennom bestillingsstegene, ligger fødselsdatoene i adressefeltet i nettleseren. Det betyr at de kan havne i nettleserhistorikken din, i henvisningsopplysninger som sendes videre, og i alminnelige tilgangslogger hos leverandørene som drifter løsningen. MÅ FYLLES UT: Dette er et dataminimeringsavvik som bør rettes i koden i stedet for å beskrives i en erklæring. Advokaten bør ta stilling til om erklæringen kan publiseres før det er rettet.

Aldersgrenser og likebehandling: Aldersreglene er begrunnet i forsikrings- og skaderisiko. MÅ FYLLES UT: Advokaten må vurdere aldersgrensene, særlig faste 25-årsgrenser uten adgang til individuell vurdering, opp mot likestillings- og diskrimineringsloven § 6 jf. § 9.

4. Formål og rettslig grunnlag

Vi behandler opplysninger om deg til følgende formål, med det rettslige grunnlaget som er angitt for hvert enkelt formål:

4.1 Gjennomføre bestillingen og leieavtalen

Navn, e-post, telefonnummer, henting- og leveringssted, tidspunkter, bilklasse, tillegg og pris behandles for å opprette bestillingen, utlevere bilen og gjennomføre leieforholdet.
Rettslig grunnlag: personvernforordningen artikkel 6 nr. 1 bokstav b — behandlingen er nødvendig for å oppfylle avtalen med deg og for å gjennomføre tiltak før avtaleinngåelse.

4.2 Aldersvurdering av sjåfører

Fødselsdato for hovedsjåfør og ekstra sjåfører behandles for å avgjøre om leie kan tilbys, om ungsjåførtillegg påløper og hvor stort depositum som gjelder.
Rettslig grunnlag: artikkel 6 nr. 1 bokstav b — alderskravet er en del av leievilkårene og dermed nødvendig for avtalen. I tillegg artikkel 6 nr. 1 bokstav f, der vår berettigede interesse er å begrense skade- og forsikringsrisiko på egne kjøretøy og å oppfylle vilkårene i vår egen motorvognforsikring. Vi har vurdert at denne interessen ikke overstyres av dine interesser, fordi opplysningen er begrenset til fødselsdato, den brukes bare til aldersberegning, og den er nødvendig for at vi i det hele tatt kan tilby leie.

4.3 Betaling

E-post, navn, telefonnummer, fødselsdato, bestillingsreferanse og ordreopplysninger overføres til Stripe for å gjennomføre kortbetalingen.
Rettslig grunnlag: artikkel 6 nr. 1 bokstav b.

4.4 Regnskap og bokføring

Opplysninger som inngår i regnskapsmateriale — ordre, salgsdokumentasjon og betalingsopplysninger — oppbevares for å oppfylle bokføringsplikten.
Rettslig grunnlag: artikkel 6 nr. 1 bokstav c — rettslig forpliktelse etter bokføringsloven.

4.5 Kundekontakt og oppfølging av leieforholdet

Kontakt om utlevering, forsinkelse, endring, avbestilling, skade eller etterfakturering.
Rettslig grunnlag: artikkel 6 nr. 1 bokstav b.

4.6 Flynummer

Behandles bare dersom du selv velger å oppgi det.
Rettslig grunnlag: artikkel 6 nr. 1 bokstav a — samtykke, som du når som helst kan trekke tilbake. Tilbaketrekking påvirker ikke lovligheten av behandlingen før tilbaketrekkingen.

4.7 Sikkerhet, sporbarhet og misbruksforebygging

Vi fører en endringslogg over hva ansatte gjør med bestillinger, og en logg over innloggingsforsøk i administrasjonsløsningen (e-postadresse, IP-adresse, om forsøket lyktes, tidspunkt). Endringsloggen kan inneholde kundeopplysninger, fordi den lagrer verdiene før og etter at en ansatt har endret en bestilling — inkludert navn, e-post, telefonnummer og fødselsdato.
Rettslig grunnlag: artikkel 6 nr. 1 bokstav f, der vår berettigede interesse er å kunne oppdage og oppklare feil, uautorisert tilgang og misbruk i egne systemer, sammenholdt med plikten til å sikre personopplysningene etter artikkel 32.

4.8 Nødvendige informasjonskapsler og lokal lagring

Se punkt 8.
Rettslig grunnlag: artikkel 6 nr. 1 bokstav b, ettersom lagringen er nødvendig for at bestillingen du selv har bedt om skal fungere.

4.9 Rettskrav

Vi kan oppbevare og bruke opplysninger for å fastsette, gjøre gjeldende eller forsvare rettskrav, for eksempel ved skade, tvist om betaling eller bot.
Rettslig grunnlag: artikkel 6 nr. 1 bokstav f, der vår berettigede interesse er å kunne håndtere krav som springer ut av leieforholdet.

Vi bruker ikke bestillingsopplysningene dine — navn, e-post, telefonnummer, fødselsdato eller adresse — til markedsføring, profilering for reklameformål eller salg til tredjeparter. Det eneste unntaket er annonsemåling i Google Ads, som bare skjer hvis du selv har samtykket, og som ikke får noen av opplysningene i denne listen. Se punkt 9.1.

5. Er du nødt til å gi oss opplysningene?

Du har ingen lovpålagt plikt til å gi oss personopplysninger. Men opplysningene som er merket som obligatoriske i punkt 2 er nødvendige for å inngå leieavtalen. Konsekvensen av ikke å oppgi dem er konkret:

• Uten navn, e-post og telefonnummer kan bestillingen ikke opprettes, og vi kan ikke utlevere bil.
• Uten fødselsdato kan vi ikke vurdere om du oppfyller alderskravet, og bestillingen kan ikke gjennomføres.
• Uten fødselsdato for hver ekstra sjåfør kan den aktuelle sjåføren ikke registreres som fører av bilen.
• Uten flynummer skjer ingenting — feltet er frivillig, og bestillingen går like fint gjennom uten.

Ved utlevering må du i tillegg kunne vise gyldig førerkort og legitimasjon, og betalingskort i sjåførens navn. Uten dette blir bilen ikke utlevert.

6. Automatisert aldersvurdering

Vurderingen av alder skjer automatisk, uten at et menneske ser på saken først. Systemet regner ut alderen din på utleveringsdagen ut fra fødselsdatoen du oppgir, og:

• hvis du er under 18 år på utleveringsdagen, stopper systemet bestillingen automatisk,
• hvis du er mellom 18 og 20 år, blir bestillingen ikke bekreftet automatisk, men sendt til manuell vurdering hos oss,
• hvis du er mellom 21 og 24 år, legger systemet automatisk til ungsjåførtillegg per dag og et forhøyet depositum,
• hvis du er 25 år eller eldre, gjelder ordinære vilkår.

Logikken er altså utelukkende en sammenligning av fødselsdato mot utleveringsdato. Ingen andre opplysninger om deg inngår i vurderingen, og det gjøres ingen profilering. Du kan alltid ta kontakt med oss og be om at en person ser på saken, forklare din side og bestride resultatet.

MÅ FYLLES UT: Advokaten må ta stilling til om den automatiske avvisningen av søkere under 18 år er en «automatisert avgjørelse» etter personvernforordningen artikkel 22 med tilhørende krav, eller om den faller utenfor. Det finnes ingen norsk avgjørelse på området for bilutleie som vi har kunnet finne.

MÅ FYLLES UT: Den manuelle vurderingen for sjåfører mellom 18 og 20 år lagrer i dag ingenting og sender ingen e-post, selv om bekreftelsessiden lover svar innen 1–2 virkedager. Enten må denne flyten bygges — og da må erklæringen beskrive hvilke opplysninger som lagres om søkeren, hvor lenge og med hvilket grunnlag — eller løftet må fjernes. Erklæringen kan ikke beskrive behandlingen sannferdig før dette er avklart.

7. Hvem får opplysningene dine

Vi selger ikke opplysninger og deler dem ikke til markedsføring. Følgende navngitte leverandører behandler personopplysninger på våre vegne, som databehandlere:

7.1 Supabase — database og innlogging for ansatte

Supabase drifter databasen der bestillingene lagres. Der ligger navn, e-postadresse, telefonnummer, fødselsdato for hovedsjåfør, bestillingsreferanse, hentested og leveringssted, tidspunkter, bilklasse, tillegg, prislinjer, depositum, betalingsstatus og betalingsmåte. Supabase drifter også innloggingen for Cenaros egne ansatte og lagringen av bildene av bilene våre.

Region: MÅ FYLLES UT: Hvilken region Supabase-prosjektet kjører i. Dette kan ikke leses ut av systemet, og det avgjør om opplysningene forblir i EU/EØS.

Databehandleravtale: MÅ FYLLES UT: Bekreft om databehandleravtale er inngått med Supabase, og hvilken avtale/dato.

7.2 Stripe — betaling

Når du velger å betale med kort nå, opprettes en betalingsøkt hos Stripe. Stripe mottar da:

• e-postadressen din
• navnet ditt
• telefonnummeret ditt
• fødselsdatoen din, den utregnede alderen din på utleveringsdagen og hvilken alderskategori du havnet i
• flynummer, dersom du oppga det
• bestillingsreferanse og intern bestillings-ID
• hva du har bestilt: bilnavn, antall dager, forsikringsnivå, kilometeralternativ og betalingsvalg
• fødselsdatoene til eventuelle ekstra sjåfører, fordi de i dag følger med i adressen du sendes tilbake til hvis du avbryter betalingen MÅ FYLLES UT: bør rettes i koden — se punkt 3

Stripe mottar i tillegg selvstendig kortopplysningene dine, IP-adressen din og opplysninger om nettleseren din, og setter sine egne informasjonskapsler på sin egen betalingsside. For denne delen er Stripe selv behandlingsansvarlig etter sitt eget regelverk. Betalingsøkten utløper etter 30 minutter dersom betalingen ikke fullføres.

Avtalepart og overføring: MÅ FYLLES UT: Hvilken Stripe-enhet Cenaro har avtale med — Stripe Technology Europe Ltd eller Stripe Inc. — og om databehandleravtale er inngått. Dette avgjør hva erklæringen må si om overføring til tredjeland.

Kvittering fra Stripe: MÅ FYLLES UT: Om Stripe er innstilt til å sende betalingskvittering på e-post til kunden. Dette er en innstilling i Stripes eget kontrollpanel og kan ikke leses ut av systemet.

7.3 Vercel — drift av nettløsningen

Bestillingsløsningen kjører på Vercels infrastruktur. All trafikk til og fra siden går gjennom Vercel, som fører alminnelige tilgangslogger. Disse loggene kan inneholde IP-adresse, tidspunkt og den fullstendige nettadressen som ble besøkt — og nettadressene i bestillingsflyten inneholder i dag fødselsdatoer, se punkt 3.

Region og loggoppbevaring: MÅ FYLLES UT: Vercels region for nettsted og serverfunksjoner, og hvor lenge logger oppbevares på Cenaros abonnement.

Databehandleravtale: MÅ FYLLES UT: Bekreft om databehandleravtale er inngått med Vercel.

7.4 Google — måling av annonser (bare ved samtykke)

Hvis du har samtykket til annonsemåling, laster nettleseren din Google-taggen fra Google og sender Google IP-adressen din, opplysninger om nettleseren din og hvilken side du er på. Fullfører du en bestilling, sender vi i tillegg bestillingsreferansen og totalbeløpet, slik at et annonseklikk kan knyttes til riktig salg.

Vi sender ikke navn, e-postadresse, telefonnummer, fødselsdato eller adresse til Google.

Rettslig grunnlag: samtykke, artikkel 6 nr. 1 bokstav a, og ekomloven § 3-15. Du kan trekke samtykket tilbake når som helst — se punkt 9.1.

Rolle: Google Ireland Limited er databehandler for målingen vi ber om. For det Google selv gjør med opplysningene i sine egne systemer, er Google behandlingsansvarlig etter sine egne vilkår.

Overføring: opplysningene kan behandles i USA. Google er tilsluttet EU–US Data Privacy Framework.

Har du ikke samtykket, lastes taggen likevel, men uten å sette informasjonskapsler eller identifikatorer: Google mottar da bare et anonymt signal som ikke kan knyttes til deg.

7.5 Andre mottakere

Ut over dette deler vi bare opplysninger der vi må: med offentlig myndighet når vi er rettslig forpliktet til det, med forsikringsselskap ved skade, og med inkasso eller rettslig rådgiver ved ubetalte krav.

MÅ FYLLES UT: Navngi eventuelle øvrige mottakere som ikke er synlige i systemet — regnskapsfører eller regnskapssystem, forsikringsselskap, inkassoselskap, bompengeoperatør, parkeringsselskap, eventuelle skjemaer på markedsføringssiden cenaro.no, og eventuelle eldre bestillingssystemer. Personvernforordningen artikkel 13 nr. 1 bokstav e krever at mottakerne kan identifiseres, ikke bare gjettes.

MÅ FYLLES UT: Avklar om forsikringsselskapet kan navngis i erklæringen.

8. Overføring ut av EU/EØS

MÅ FYLLES UT: Dette punktet kan ikke skrives ferdig før punkt 7 er avklart. Det må stå uttrykkelig om personopplysninger overføres til land utenfor EU/EØS, til hvilke land, og på hvilket grunnlag — en beslutning om tilstrekkelig beskyttelsesnivå etter personvernforordningen artikkel 45, eller garantier etter artikkel 46, for eksempel EUs standard personvernbestemmelser. Kunden skal også få vite hvordan hun kan få en kopi av garantiene. Cenaro må ikke oppgi et overføringsgrunnlag som ikke faktisk er på plass.

9. Informasjonskapsler og lagring i nettleseren din

Det aller meste av det vi lagrer i nettleseren din er strengt nødvendig for at tjenesten du selv har bedt om skal virke, jf. ekomloven § 3-15 andre ledd. Det lagres uten samtykke, fordi bestillingen ellers ikke ville fungert.

Ett unntak krever samtykket ditt, og du får spørsmålet første gang du besøker siden: måling av annonsene våre i Google Ads. Vi annonserer for utleien, og vi ønsker å vite hvilke annonser som faktisk fører til en bestilling. Det krever informasjonskapsler fra Google, og de settes bare hvis du svarer ja. Svarer du nei, settes de ikke — bestillingen virker nøyaktig like godt, og du blir ikke spurt igjen.

9.1 Annonsemåling — bare hvis du sier ja

Svarer du ja i samtykkebanneret, laster vi Google-taggen (gtag.js) fra Google og måler hvilke annonser som fører til en bestilling. Da settes disse:

Når en bestilling er fullført, sender vi bestillingsreferansen og totalbeløpet til Google, slik at annonsen kan tilskrives riktig salg. Vi sender ikke navn, e-postadresse, telefonnummer, fødselsdato eller adresse til Google.

Sier du nei, settes ingen Google-kapsler og ingen identifikator knyttes til deg. Google mottar da bare et anonymt signal uten kjennetegn, som brukes til ren statistikk. Bestillingen din virker nøyaktig like godt.

Vil du ombestemme deg, sletter du informasjonskapselen cenaro_consent_v1 i nettleserinnstillingene dine. Da får du spørsmålet på nytt neste gang du besøker siden.

Når du sendes til Stripes betalingsside, setter Stripe sine egne informasjonskapsler på sitt eget domene. Disse styres av Stripe og er ikke omfattet av denne erklæringen.

Du kan når som helst slette informasjonskapsler i nettleserinnstillingene dine. Sletter du dem midt i en bestilling, må du gjøre søket eller utfyllingen på nytt.

10. Hvor lenge vi lagrer opplysningene

MÅ FYLLES UT: Dette punktet må fylles ut med reelle lagringstider, og de må deretter faktisk gjennomføres i systemet. Slik det står i dag finnes det ingen sletterutine, ingen anonymisering, ingen automatisk opprydding og ingen sletteknapp noe sted — en bestilling som aldri ble betalt etterlater seg likevel en permanent rad med navn, e-post, telefonnummer og fødselsdato. En erklæring kan ikke love en lagringstid systemet ikke overholder.

Rammene som må fylles ut:

• Bestillinger som inngår i regnskapet: Regnskapsmateriale skal etter bokføringsloven § 13 andre ledd oppbevares i fem år etter regnskapsårets slutt. Dette dekker den delen av bestillingen som er salgsdokumentasjon — ikke fødselsdato eller telefonnummer. MÅ FYLLES UT: bekreft praksis
• Fødselsdato og telefonnummer: MÅ FYLLES UT: lagringstid — det finnes ingen bokføringsrettslig begrunnelse for å beholde disse i fem år
• Avbrutte og aldri betalte bestillinger: MÅ FYLLES UT: lagringstid før sletting. Systemet kansellerer i dag ubetalte nettbestillinger etter 40 minutter, men sletter ingenting.
• Endringslogg med kundeopplysninger: MÅ FYLLES UT: lagringstid. Loggen er i dag utformet slik at den ikke kan slettes, og den kan inneholde navn, e-post, telefonnummer og fødselsdato.
• Logg over innloggingsforsøk for ansatte (e-post og IP-adresse): MÅ FYLLES UT: lagringstid. Det finnes ingen oppryddingsjobb i dag.
• Opplysninger knyttet til en skade, tvist eller et utestående krav: MÅ FYLLES UT: lagres til saken er endelig avsluttet, deretter angitt periode

11. Hvordan vi sikrer opplysningene

• Bestillingene ligger i en database der ingen anonyme brukere har leseadgang. Kundeopplysninger kan bare leses av Cenaros egen server og av forhåndsgodkjente, aktive administratorbrukere.
• Innlogging i administrasjonsløsningen krever tofaktorautentisering.
• Alle innloggingsforsøk logges, og alle endringer en ansatt gjør på en bestilling logges med verdier før og etter.
• Kortopplysninger håndteres utelukkende av Stripe og passerer aldri gjennom Cenaros systemer.
• Meldinger vi mottar fra Stripe om gjennomførte og utløpte betalinger kontrolleres med signatur før de behandles.

MÅ FYLLES UT: Beskriv i tillegg de organisatoriske tiltakene — hvem hos Cenaro som har tilgang, taushetsplikt for ansatte, rutine ved brudd på personopplysningssikkerheten, og hvem som melder til Datatilsynet innen 72 timer.

12. Rettighetene dine

Du har følgende rettigheter overfor Cenaro bilutleie AS:

• Innsyn. Du kan få vite om vi behandler opplysninger om deg, og få kopi av dem.
• Retting. Du kan få uriktige opplysninger rettet og ufullstendige opplysninger supplert.
• Sletting. Du kan be om at vi sletter opplysninger om deg. Vi kan ikke slette det vi er pålagt å oppbevare etter bokføringsloven, eller det vi trenger for å håndtere et pågående krav.
• Begrensning. Du kan be om at vi midlertidig stanser bruken av opplysningene, for eksempel mens vi kontrollerer om de er riktige.
• Innsigelse. Du kan protestere mot behandling som bygger på berettiget interesse — det gjelder aldersvurderingen etter punkt 4.2, sikkerhetsloggene etter punkt 4.7 og håndtering av rettskrav etter punkt 4.9.
• Dataportabilitet. Du kan få opplysningene du selv har gitt oss utlevert i et maskinlesbart format, og få dem overført til en annen aktør der det er teknisk mulig.
• Trekke tilbake samtykke. Der behandlingen bygger på samtykke — i praksis flynummeret, se punkt 4.6 — kan du når som helst trekke samtykket tilbake, like enkelt som du ga det. Det påvirker ikke lovligheten av behandlingen som allerede har skjedd.

Henvendelser sender du til MÅ FYLLES UT: e-postadresse for personvernhenvendelser eller MÅ FYLLES UT: postadresse. Vi svarer normalt innen én måned. Vi kan be deg legitimere deg før vi utleverer opplysninger, for å sikre at vi ikke gir dem til feil person.

MÅ FYLLES UT: Det finnes i dag ingen funksjon i systemet for å hente ut eller slette opplysningene om en kunde. Slike forespørsler må håndteres manuelt mot databasen. Cenaro må ha en skriftlig intern rutine for hvem som gjør dette og hvordan, slik at én måneds frist kan overholdes.

13. Klage til Datatilsynet

Mener du at vi behandler personopplysninger om deg i strid med regelverket, setter vi pris på å høre det først, slik at vi kan rette opp. Du har uansett rett til å klage til tilsynsmyndigheten:

Datatilsynet
Nettsted: www.datatilsynet.no
Kontaktopplysninger og klageskjema finner du der.

Retten til å klage til Datatilsynet gjelder uavhengig av om du har tatt saken opp med oss først.

14. Endringer i denne erklæringen

Vi oppdaterer denne erklæringen når behandlingen endrer seg — for eksempel dersom vi tar i bruk nye leverandører, nye funksjoner eller nye verktøy på nettsiden. Gjeldende versjon ligger alltid på MÅ FYLLES UT: nettadressen der erklæringen publiseres, med dato for siste oppdatering øverst. Ved vesentlige endringer varsler vi MÅ FYLLES UT: hvordan kunder varsles — for eksempel på e-post til kunder med aktiv bestilling.