PersonvernerklæringDatabehandleravtaleUnderleverandørerVilkårCookies

Personvernerklæring for Spokes

Versjon 1.0 – gjelder fra 15. oktober 2026.

Sist oppdatert: 15. oktober 2026

1. Hvem vi er

Spokes er et booking- og verkstedsystem for sykkelverksteder. Tjenesten leveres av:

Sprocket 3PL AS
Org.nr. 933 863 328 MVA
Prost Krags veg 29, 2080 Eidsvoll
E-post: [email protected]
Nettsted: spokes.no · App: app.spokes.no

Vi har ikke oppnevnt personvernombud.

2. To roller – hvem er ansvarlig for hva?

Er du kunde av et verksted? Da er det verkstedet som bestemmer hvordan opplysningene dine brukes, og du bør kontakte verkstedet direkte for innsyn, retting eller sletting. Henvender du deg til oss, sender vi forespørselen videre til verkstedet. Kapittel 4 beskriver likevel kort hva systemet behandler, slik at du vet hva det gjelder.

3. Behandlinger der Sprocket 3PL AS er behandlingsansvarlig

3.1 Registrering av verksted og prøveperiode

• Opplysninger: verkstedets navn, org.nr., kontaktperson (navn), e-post, telefon, sted/postnummer, antall mekanikere, nåværende system, fritekstmelding, språk, tidspunkt for aksept, og en hash (enveis kryptert verdi) av IP-adressen.
• Formål: opprette prøvekonto, kontakte deg om oppstart, og hindre misbruk.
• Grunnlag: art. 6 nr. 1 bokstav b (tiltak før avtaleinngåelse på din forespørsel).
• Kontroll av registreringer: Vi slår opp org.nr. i Enhetsregisteret (Brønnøysundregistrene, data.brreg.no) og sammenligner registreringer med en intern liste over konkurrerende leverandører og enkelte regioner. Treff gir manuell gjennomgang før kontoen opprettes. Grunnlag: art. 6 nr. 1 bokstav f (berettiget interesse i å beskytte forretningshemmeligheter og hindre misbruk). Det fattes ingen automatiserte avgjørelser med rettsvirkning; en person avgjør alltid.
• Lagringstid: registreringer som ikke blir kunde slettes automatisk 5 år (60 måneder) etter registrering. Registreringer som blir kunde følger kundeforholdet.

3.2 Brukerkontoer i Spokes (verkstedets ansatte)

• Opplysninger: navn, e-post, rolle (eier/admin/mekaniker), visningsnavn/initialer, arbeidsdager og timer, fravær/ferie (registrert av verkstedet), passord (kun som PBKDF2-hash), valgfri tofaktor (TOTP)-nøkkel, innloggingstidspunkt, økter (hash av økt-token, nettleser/user-agent, hash av IP), mislykkede innlogginger, varslingsinnstillinger og Web Push-abonnement for enheten.
• Formål: levere tjenesten, sikker innlogging, varsler, feilsøking og sikkerhet.
• Grunnlag: art. 6 nr. 1 bokstav b (avtalen med verkstedet) og bokstav f (sikkerhet). For ansatte er det verkstedet som er arbeidsgiver; fravær/arbeidstid behandles på vegne av verkstedet (databehandler) –.
• Lagringstid: så lenge kontoen er aktiv. Utløpte økter slettes automatisk (økter varer maks 30 dager, 7 dager uten bruk). Ubrukte invitasjoner slettes 30 dager etter utløp. Sikkerhetslogg (revisjonslogg) slettes etter 12 måneder. Teller for innloggingsforsøk slettes etter 2 døgn. Konto etter oppsigelse: verkstedet kan eksportere data i 30 dager; deretter slettes kontoen og verkstedets data (kode: 30 dagers frist).

3.3 Kundeforhold, abonnement og fakturering

• Opplysninger: verkstedets navn, org.nr., adresse, fakturakontakt (navn, e-post, telefon), plan, antall SMS, betalingsstatus, fakturaer og betalingsreferanser.
• Formål: fakturere abonnement, følge opp betaling, bokføring.
• Grunnlag: art. 6 nr. 1 bokstav b (avtale) og bokstav c (rettslig plikt etter bokføringsloven).
• Mottakere: Stripe (betaling, planlagt fra januar 2027), vårt regnskapssystem. Kortopplysninger behandles av Stripe og lagres ikke hos oss.
• Lagringstid: regnskapsmateriale (primærdokumentasjon) oppbevares i 5 år etter regnskapsårets slutt, jf. bokføringsloven § 13. Øvrige kunde- og fakturaopplysninger beholdes inntil 5 år etter at kundeforholdet er avsluttet.

3.4 Kundestøtte og støttetilgang

• Opplysninger: henvendelser via e-post ([email protected] / [email protected]) og innholdet i dem.
• Når en Spokes-ansatt må se et verksteds data for å hjelpe, skjer det via tidsbegrenset støttetilgang (60 minutter) med oppgitt grunn, og det logges. Logg over støttetilgang slettes etter 24 måneder.
• Grunnlag: art. 6 nr. 1 bokstav b og f.
• Lagringstid e-post: inntil 5 år etter siste henvendelse (slettes manuelt i e-postkontoen).

3.5 Markedsføring til sykkelverksteder (B2B)

• Opplysninger: offentlig tilgjengelige bedriftsopplysninger om norske sykkelbutikker og -verksteder: firmanavn, org.nr., adresse, nettsted, bedriftens e-post og telefon, kjede, antall ansatte, bransjekode, og våre notater om interesse og kontakt. Kilde: offentlige registre (Enhetsregisteret) og bedriftenes egne nettsider.
• Formål: informere verksteder om Spokes.
• Grunnlag: art. 6 nr. 1 bokstav f (berettiget interesse i markedsføring overfor næringsdrivende). Vi sender e-post kun til bedriftsadresser, og ikke til enkeltpersonforetak/private adresser uten samtykke, jf. markedsføringsloven § 15.
• Reservasjon: Alle e-poster har en avmeldingslenke. Avmeldte adresser legges på en reservasjonsliste som sjekkes før hver utsendelse, og som vi beholder så lenge vi driver slik markedsføring, slik at du ikke kontaktes igjen.
• Lagringstid: prospektopplysninger slettes automatisk 5 år (60 måneder) etter siste oppdatering dersom bedriften ikke blir kunde.

3.5b Strekkodeoppslag (Skann del og Varetelling)

• Opplysninger: når en ansatt skanner en strekkode, logger vi strekkoden, hvilket verksted og hvilken bruker som gjorde oppslaget, tidspunkt, hvilken kilde som svarte og kostnaden. Strekkoden i seg selv er ikke en personopplysning.
• Formål: drift, feilsøking, misbruksvern (daglige grenser) og kostnadskontroll. Selve strekkoden sendes til produktdatabaser (for eksempel Open Food Facts, UPCitemdb) og til Cloudflare Workers AI for å foreslå produktnavn. Ingen personopplysninger sendes til disse.
• Grunnlag: art. 6 nr. 1 bokstav f (berettiget interesse i sikker og forsvarlig drift).
• Lagringstid: oppslagsloggen slettes automatisk etter 12 måneder.

3.6 Nettstedet spokes.no

• spokes.no setter ingen informasjonskapsler for sporing, og vi har ikke funnet analyseverktøy i nettstedets kildekode. Språkvalg lagres lokalt i nettleseren (localStorage) og sendes ikke til oss. En teknisk kontroll 12.10.2026 viste ingen informasjonskapsler og ingen analyse- eller sporingsforespørsler, verken før eller etter besøk på flere sider. Se også cookies.
• Når du besøker nettstedet, behandler vår driftsleverandør Cloudflare teknisk informasjon som IP-adresse og nettleserinformasjon for å levere sidene og beskytte mot angrep. Grunnlag: art. 6 nr. 1 bokstav f.
• Skjemaene for innlogging og registrering bruker Cloudflare Turnstile (robotsjekk). Turnstile behandler teknisk informasjon om nettleseren for å skille mennesker fra roboter. Grunnlag: art. 6 nr. 1 bokstav f (sikkerhet).

4. Behandlinger der verkstedet er behandlingsansvarlig (Spokes som databehandler)

Når du bestiller time, leverer sykkel eller får SMS/e-post fra et verksted som bruker Spokes, kan systemet behandle:

• navn, mobilnummer og e-post
• sykkel (merke/modell, type, eventuelt rammenummer, farge, årsmodell)
• bestilling og verkstedordre: ønsket tid, beskrivelse av feil, arbeid og deler, pristilbud, din godkjenning eller avvisning, status
• arbeidsnotater fra mekanikeren, også notater som er lest inn med tale og gjort om til tekst (selve lydopptaket lagres ikke)
• bilder av sykkelen (når bildelagring er slått på)
• meldinger mellom deg og verkstedet (SMS/e-post) og om de er levert
• betalingsbekreftelse (beløp, tidspunkt, betalingsmåte) – kortnummer behandles ikke av Spokes
• dine valg om varsler/markedsføring og tidspunktet du ga samtykke
• tekniske logger.

Verkstedet bestemmer formål, grunnlag og lagringstid. Systemets standard er at kundeopplysninger anonymiseres automatisk når kunden ikke har hatt aktivitet på 60 måneder (5 år) og ikke har åpne saker; verkstedet kan velge mellom 6 og 120 måneder. Databasen og lagrede filer ligger i EU. Enkelte underleverandører (Cloudflares nettverk og KI-funksjoner, e-postleverandøren) kan behandle opplysninger utenfor EØS – se kapittel 6 og underleverandørlisten.

Har du spørsmål eller vil bruke rettighetene dine, kontakt verkstedet. Verkstedet kan eksportere og anonymisere opplysningene dine i Spokes.

5. Hvem vi deler opplysninger med

Vi selger ikke personopplysninger. Et verksted ser aldri et annet verksteds kunder.

Vi bruker disse leverandørene (underleverandører/databehandlere). Fullstendig og oppdatert liste: spokes.no/underleverandorer.

Verkstedet kan selv koble Spokes til egne tjenester (for eksempel regnskapssystem, betalingsterminal eller Vipps MobilePay). Da sendes opplysninger dit etter verkstedets instruks, og verkstedet har eget avtaleforhold med leverandøren.

Vi kan også utlevere opplysninger når loven krever det, for eksempel til politiet etter rettslig pålegg.

6. Overføring ut av EØS

Databasen og fillagringen er satt opp i Cloudflares EU-jurisdiksjon. Noen leverandører er amerikanske selskaper (Cloudflare, Resend, og eventuelt Stripe og SMS-leverandør), og teknisk tilgang fra USA kan ikke utelukkes. Overføring skjer da på grunnlag av EU-kommisjonens standardkontraktsbestemmelser (SCC) og/eller EU–US Data Privacy Framework der leverandøren er sertifisert.

7. Sikkerhet

Blant tiltakene: all trafikk krypteres (HTTPS/HSTS), passord lagres kun som hash, valgfri tofaktor-innlogging, begrensning av innloggingsforsøk, robotsjekk, streng adskillelse mellom verksteder, kryptering av integrasjonsnøkler per verksted, tidsbegrenset og logget støttetilgang, revisjonslogg, og krypterte sikkerhetskopier.

8. Dine rettigheter

Du har rett til å be om innsyn, retting, sletting, begrensning av behandling og dataportabilitet, og du kan protestere mot behandling som bygger på berettiget interesse (art. 15–21). Du kan når som helst reservere deg mot markedsføring. Vi svarer innen én måned.

Kontakt: [email protected]. Gjelder det opplysninger et verksted har om deg, kontakt verkstedet (se kapittel 2).

Du kan klage til Datatilsynet, Postboks 458 Sentrum, 0105 Oslo, datatilsynet.no.

9. Endringer

Vi oppdaterer erklæringen ved endringer i tjenesten eller leverandører. Vesentlige endringer varsles verkstedene på e-post og i appen. Versjon og dato står øverst.