Vilkår og personvern

Del 1 - Vilkår for bruk

1. Hva dette er

Veven er nettsiden og medlemssystemet til Sanctus Omega Broderskab, org.nr. 890 384 692, Elektro-bygget, NTNU Gløshaugen, 7491 Trondheim. Ved å opprette en bruker eller bruke de innloggede delene av Veven godtar du disse vilkårene. Avkrysningen «Jeg godtar vilkårene» ved registrering viser til denne siden, og tidspunktet du godtok dem lagres på brukeren din.

Vilkårene gjelder i tillegg til Omegas statutter og det regelverket som gjelder for de enkelte tjenestene, som prikkreglementet og hytteregelverket.

2. Brukerkonto

• Du logger inn med Feide eller med brukernavn og passord. Du er selv ansvarlig for å holde passordet ditt for deg selv, og du skal ikke dele kontoen din med andre.
• Bytter du passord, avsluttes alle aktive innlogginger på kontoen - også på andre enheter.
• Du må ha godtatt vilkårene for å bruke de innloggede delene av Veven.
• Opplysningene om deg skal være riktige. Det du kan rette selv, retter du på profilen din; resten retter en brukeradministrator for deg.

3. Innhold du legger ut

Du står selv ansvarlig for det du publiserer på Veven - profiltekst, omegasitater, bullshit, artikler, nyheter, bilder, søknadstekster og annet. Du beholder rettighetene til ditt eget innhold, men gir Omega rett til å lagre og vise det på Veven så lenge det ligger der.

• Ikke legg ut noe ulovlig, trakasserende eller diskriminerende, og ikke publiser andres personopplysninger eller bilder av andre uten at de har sagt ja.
• Laster du opp bilder, skal du ha rett til å bruke dem, og du skal oppgi fotograf og lisens der det finnes felt for det.
• Administratorer - Vevcom, hovedstyret og de komiteene det gjelder - kan redigere eller fjerne innhold på Veven uten å varsle først, se punkt 8.

4. Bilder av deg

Ved registrering kan du samtykke til å bli tatt bilde av. Samtykket er frivillig, og du kan trekke det tilbake når som helst ved å endre det på profilen din eller ved å kontakte oss. Trekker du det tilbake, gjelder det framover i tid - si fra om det ligger bilder av deg på Veven du vil ha fjernet, så fjerner vi dem.

5. Kjøp, betaling og bookinger

• Kjøp og innbetalinger går gjennom betalingsleverandøren Stripe. Kortopplysningene dine sendes direkte til Stripe - Omega lagrer aldri kortnummeret ditt.
• Hver bruker har en intern konto med saldo og transaksjonshistorikk. Kjøp og betalinger er bokføringspliktige, og slettes derfor ikke sammen med annet innhold.
• Ved hyttebooking gjelder hyttekontrakten som vises og godtas i bookingen. Oppgir du navn, e-post og telefonnummer til gjester, må du ha deres samtykke til det.
• Avbestilling og refusjon avtales med den komiteen som er ansvarlig for kjøpet eller bookingen.

6. Prikker og reaksjoner

Prikker registreres med begrunnelse, verdi og hvem som ga dem, etter prikkreglementet. Du kan se dine egne prikker når du er innlogget.

7. Innhenting og bruk av opplysninger fra Veven

Opplysningene på Veven er gjort tilgjengelige for at du skal kunne bruke Veven og utføre vervene dine i Omega - ikke for å samles inn, kopieres eller gjenbrukes andre steder. Det er strengt forbudt å

• hente ut opplysninger om brukere i større omfang enn du trenger der og da, uansett metode - skraping, automatiserte oppslag, nedlasting, skjermbilder, kopiering av medlemslister eller eksport gjennom API-et,
• lagre opplysninger fra Veven i et eget register, en egen database eller et regneark, og
• overføre, publisere eller ta i bruk opplysninger fra Veven i nettsider, systemer eller tjenester Omega ikke drifter, eller gi dem videre til noen utenfor Omega.

Forbudet gjelder alle, også komiteer, interessegrupper og brukere som har fått utvidede tillatelser eller en API-nøkkel. At du har tilgang til opplysninger, gir deg ikke rett til å kopiere dem ut eller bruke dem til noe annet enn det tilgangen ble gitt for, jf. artikkel 5 (1) b om formålsbegrensning. Trenger komiteen din opplysninger fra Veven til noe nytt, spør Vevcom og hovedstyret før du henter dem ut.

Kopierer du personopplysninger ut av Veven og inn i et system Vevcom ikke drifter, blir du eller komiteen din selv behandlingsansvarlig for dem og trenger et eget rettslig grunnlag etter artikkel 6. Et slikt uttrekk uten avtale er et brudd på personopplysningssikkerheten: det følges opp etter punkt 8, kan måtte meldes til Datatilsynet, og Vevcom kan kreve at opplysningene slettes og at slettingen dokumenteres.

8. Brudd på vilkårene

Vevcom forvalter Veven og kan sette i verk tiltak etter disse vilkårene på egen hånd, uten å legge saken fram for hovedstyret først. Tiltakene er å

• fjerne, skjule eller redigere innhold som bryter vilkårene,
• trekke tilbake tilganger og rettigheter i systemet, og
• stenge en brukerkonto midlertidig

Tiltak kan settes i verk uten varsel når det er nødvendig for å stanse et pågående brudd eller for å sikre driften av Veven. Den det gjelder får beskjed om tiltaket og begrunnelsen for det så snart det er praktisk mulig, og kan be om at saken vurderes på nytt - først av Vevcom, deretter av hovedstyret, som kan omgjøre tiltaket.

Disse vilkårene gjelder bare tilgangen til Veven. Reaksjoner mot selve medlemskapet i Omega, som eksklusjon, følger Omegas statutter og avgjøres av organene statuttene peker på.

9. Drift og ansvar

Veven driftes på frivillig basis av Vevcom. Vi gjør vårt beste for å holde den oppe og opplysningene riktige, men kan ikke garantere feilfri drift. Omega er ikke ansvarlig for tap som følge av nedetid, feil eller tap av data.

10. Endringer i vilkårene

Vi kan endre vilkårene. Vesentlige endringer varsles på Veven eller per e-post, og den gjeldende versjonen ligger alltid på denne siden med dato.

Del 2 - Personvernerklæring

Behandlingsansvarlig

Sanctus Omega Broderskab, org.nr. 890 384 692, er behandlingsansvarlig for personopplysningene som behandles på Veven. Henvendelser om personvern går til hovedstyret på hs@omega.ntnu.no, tekniske spørsmål til Vevcom på vevcom@omega.ntnu.no.

Hvilke opplysninger vi behandler

Konto og profil

Brukernavn, e-postadresse, fornavn og etternavn, telefonnummer, profilbilde, profiltekst, kjønn, allergier og diett, sivilstatus med fritekst, merker (flairs), fargetemaet du har valgt på Veven, når kontoen ble opprettet og sist endret, når du godtok vilkårene og om du har samtykket til å bli tatt bilde av. Kjønn, allergier, sivilstatus, telefonnummer og profilbilde er frivillige.

Innlogging

Passordet ditt lagres bare som en kryptografisk hash, i en egen tabell skilt fra resten av brukeropplysningene. Logger du inn med Feide, lagrer vi Feide-kontoens id og e-postadresse. Registrerer du studentkortet ditt, lagrer vi kortnummeret.

Medlemskap og verv

Medlemskap i komiteer, interessegrupper, klasser, kull og medlemsgrupper, med start- og sluttdato, tillatelsene du har i systemet, og studieprogrammene Feide har oppgitt for deg.

Aktivitet

Påmeldinger til arrangementer, søknader til komiteer med søknadstekst, gjennomførte opptak (plikttjeneste og prøvelsen), prikker med begrunnelse, skapreservasjoner, hyttebookinger, kjøp og transaksjoner på den interne kontoen din, varslingsabonnement og hvilke e-postlister du står på, og innhold du har lagt ut som omegasitater og bullshit.

Teknisk

En informasjonskapsel som holder deg innlogget, og driftslogger på serveren med feilmeldinger og hendelser fra bruken av systemet.

Hvor opplysningene kommer fra

Fra deg selv ved registrering og når du redigerer profilen. Fra Feide når du logger inn med Feide - navn, e-postadresse, telefonnummer, brukeridentifikator og hvilke studieprogrammer du tilhører. Fra administratorer som registrerer medlemskap, verv, prikker og kjøp. Og fra kortleseren på Kiogeskabet når du registrerer studentkortet ditt.

Hvorfor vi behandler dem, og rettslig grunnlag

• For å oppfylle avtalen med deg og drive medlemskapet - brukerkonto, medlemsregister, påmeldinger, bookinger og kjøp. Personvernforordningen artikkel 6 (1) b.
• Samtykke - å bli tatt bilde av, allergier og diett, kjønn, sivilstatus og andre frivillige profilopplysninger, og e-postvarsler du selv melder deg på. Artikkel 6 (1) a. Allergier kan være helseopplysninger, og behandles bare på grunnlag av samtykket ditt og bare for å planlegge mat på arrangementer. Artikkel 9 (2) a.
• Berettiget interesse - drift og sikkerhet, intern historikk om verv og medlemskap, og prikker og reaksjoner etter prikkreglementet. Artikkel 6 (1) f.
• Rettslig forpliktelse - bokføring av kjøp, betalinger og transaksjoner. Artikkel 6 (1) c, jf. bokføringsloven § 13.

Hvem ser hva

• Profilen din og medlemslistene er bare tilgjengelige for innloggede brukere som har lesetilgang til brukere. De er ikke åpne for besøkende uten konto eller for søkemotorer.
• Noe innhold er åpent for alle - nyheter, artikler, arrangementer, karrieresidene og denne siden. Står du oppført som forfatter eller arrangør, er navnet ditt synlig der.
• Innhold på Veven har et synlighetsnivå. Komiteinternt innhold er bare synlig for de gruppene det gjelder.
• Administratorer med de relevante tillatelsene - for eksempel brukeradministratorer, hovedstyret og Vevcom - ser mer enn vanlige medlemmer, blant annet kontaktopplysninger, prikker og transaksjoner.
• Å ha tilgang til opplysninger er ikke det samme som å kunne ta dem med seg: ingen kan hente opplysninger ut av Veven for å bruke dem i andre systemer eller på andre nettsider, se punkt 7.

Deling med andre

• Feide (Sikt) - innlogging og bekreftelse av studenttilhørighet.
• Stripe - betaling. Stripe mottar det som trengs for å gjennomføre betalingen, og håndterer kortopplysningene dine direkte.
• E-post sendes fra Omegas egen e-postserver. Vi bruker ingen tredjeparts nyhetsbrev­tjeneste.

Vi har ingen analyseverktøy, reklamenettverk eller sporingspiksler på Veven, og vi selger, låner eller gir ikke bort personopplysninger til andre. Opplysninger utleveres ellers bare når vi er rettslig forpliktet til det.

Informasjonskapsler

Veven bruker informasjonskapsler bare til innlogging. De holder deg innlogget og beskytter selve innloggingen, er nødvendige for at Veven skal virke, og blir ugyldige når du logger ut eller bytter passord. Innstillingene dine, som fargetema, lagres på brukeren din på serveren.

Ellers lagrer Veven to ting i nettleseren din. Under hyttebestilling ligger bestillingen du holder på med (ID, en hemmelig nøkkel, pris og utløpstid) i nettleserens øktlagring, slik at en påbegynt betaling ikke går tapt om du laster siden på nytt. Den forsvinner når du lukker fanen. I tillegg lagrer Veven en kopi av statiske filer som skript, ikoner og stilark, slik at siden laster raskere. Disse er like for alle og inneholder ingenting om deg.

Vi bruker ingen kapsler til analyse eller markedsføring, og derfor heller ingen cookie-banner.

Hvor lenge vi lagrer opplysningene

• Konto- og profilopplysninger lagres så lenge du har en bruker på Veven.
• Søknadstekster slettes av komiteen etter at søknadsperioden er over og plassene fordelt. Historikken om hvem som søkte på hva beholdes.
• Kjøp, betalinger og transaksjoner oppbevares i fem år etter regnskapsårets slutt, slik bokføringsloven § 13 krever - også om kontoen din slettes.
• Prikker oppbevares etter prikkreglementet.
• Driftslogger oppbevares bare så lenge det er nødvendig for feilsøking og sikker drift.

Rettighetene dine

• Innsyn i opplysningene vi har om deg, og i hvordan vi bruker dem. Artikkel 15.
• Retting av opplysninger som er feil eller ufullstendige. Artikkel 16.
• Sletting av opplysninger vi ikke lenger har grunnlag for å lagre. Artikkel 17.
• Begrensning av behandlingen mens en sak om retting eller sletting avklares. Artikkel 18.
• Dataportabilitet - å få opplysningene dine utlevert i et maskinlesbart format. Artikkel 20.
• Å protestere mot behandling vi gjør på grunnlag av berettiget interesse. Artikkel 21.
• Å trekke tilbake et samtykke du har gitt, når som helst. Det påvirker ikke behandlingen vi har gjort før du trakk det tilbake. Artikkel 7 (3).

Mye kan du gjøre selv på profilen din. For resten - inkludert sletting av brukeren, som i dag gjøres av en brukeradministrator - tar du kontakt på hs@omega.ntnu.no. Vi svarer så raskt vi kan, og senest innen 30 dager. Noen opplysninger kan vi ikke slette, som bokføringspliktige transaksjoner.

Mener du vi behandler opplysningene dine i strid med regelverket, ta kontakt på hs@omega.ntnu.no snarest, slik at vi kan få rettet opp i det. Du kan uansett klage til Datatilsynet. Artikkel 77.

Sikkerhet

Passord lagres som hash i en egen tabell, tilgang til opplysninger styres av et tillatelsessystem der hver tilgang må gis eksplisitt, og trafikken til Veven går over HTTPS. Oppdager vi et brudd på personopplysningssikkerheten, melder vi det til Datatilsynet uten ugrunnet opphold og senest innen 72 timer der artikkel 33 krever det, og varsler de det gjelder.

Regelverket

• Personopplysningsloven - loven som gjør personvernforordningen (GDPR) til norsk rett. Artiklene det vises til over, står i fulltekst der.
• Bokføringsloven § 13 - oppbevaringsplikten for kjøp, betalinger og transaksjoner.
• Datatilsynet - tilsynsmyndigheten for personvern i Norge.

Varsling

Opplever du noe som ikke skal skje i Omega, kan du varsle her.