Privatlivspolitik

Lyriot (»vi«, »os«) er forpligtet til at beskytte dit privatliv. Denne politik forklarer, hvordan vi indsamler, bruger, deler og beskytter dine personoplysninger i overensstemmelse med databeskyttelsesforordningen (GDPR) og gældende fransk lovgivning.

Vi indsamler følgende kategorier af oplysninger:

• Registreringsoplysninger: fulde navn, e-mailadresse, krypteret adgangskode (bcrypt), by, land, køn, fødselsdato, telefonnummer (valgfrit).
• Profiloplysninger: profilbillede (opbevaret hos Cloudflare R2), beskrivelse, interesser.
• Aktivitetsoplysninger: begivenheder du har oprettet og deltaget i, tilmeldinger til venteliste, offentliggjorte kommentarer, reaktioner, check-ind med QR-kode, udvekslede beskeder (indhold og tidspunkt), venskaber, læsestatus for beskeder (læsekvitteringer), opnåede præstationer, aktivitetsrækker, invitationskode og liste over hvervede personer.
• Gamification-oplysninger: optjente point efter kilde, aktuel rang, ranglistehistorik, aktive boosts og deres udløb, saldo og historik for pointpungen.
• Betalingsoplysninger: transaktionshistorik (abonnementer, betalte begivenheder, boosts), aktivt abonnement og fornyelsesdato. Bank- og kortoplysninger behandles udelukkende af Stripe – vi opbevarer dem aldrig.
• Arrangøroplysninger (Stripe Connect): for arrangører, der modtager betalinger, indsamler Stripe oplysningerne til identitetskontrol direkte: identitet (navn, fødselsdato, indscannet legitimation), fuld postadresse, bankoplysninger (IBAN eller kontonummer) og i givet fald virksomhedsoplysninger (firmanavn, skattenummer). Disse oplysninger er omfattet af Stripes privatlivspolitik.
• Positionsoplysninger: GPS-koordinater (bredde- og længdegrad), der angives, når en begivenhed oprettes, for at vise kortet og gøre søgning efter nærhed mulig. Vi indsamler aldrig din position løbende. Hvis du allerede har tilladt placering på din enhed, bruges din position, afrundet til cirka ti kilometer, også til at sortere byforslag; den gemmes ikke på din konto.
• Ansøgningsoplysninger: cv, ansøgning og LinkedIn-adresse sendt via /careers/apply og opbevaret hos Cloudflare R2 (bucket »resumes«). De opbevares i højst 2 år.
• Kontaktoplysninger: navn, e-mailadresse og indholdet af beskeder sendt via formularen /contact.
• Tekniske oplysninger: IP-adresse, browsertype, besøgte sider, dato og tidspunkt for forbindelse, sessions-id (NextAuth), tokens til push-meddelelser (Firebase).

Dine oplysninger bruges til at:

• Levere, drive og forbedre vores tjenester
• Godkende dig og beskytte din konto (log ind med e-mail og adgangskode eller via Google OAuth)
• Vise dig de begivenheder, profiler og ranglister, der er relevante for dig
• Behandle betalinger (abonnementer, betalte begivenheder, boosts) via Stripe
• Udbetale midler til arrangører af betalte begivenheder via Stripe Connect
• Sende meddelelser (e-mail med Resend, push med Firebase)
• Tildele point automatisk hvert 15. minut via planlagte opgaver (cron)
• Beregne og opdatere brugernes rang automatisk
• Oprette gentagelserne af tilbagevendende begivenheder (ugentlige, månedlige og så videre)
• Opkræve og overføre betalinger for begivenheder til arrangørerne
• Nulstille uge-, måneds- og årsranglisterne med jævne mellemrum
• Kontrollere betingelserne i hvervningsprogrammet (forebyggelse af misbrug)
• Vise din onlinestatus og din seneste aktivitet til dine venner
• Gøre moderation af indhold og behandling af anmeldelser mulig
• Forebygge svindel, misbrug og flere konti
• Overholde vores lovgivningsmæssige og regnskabsmæssige forpligtelser

Vi behandler dine oplysninger på følgende retsgrundlag:

• Opfyldelse af aftalen: for at levere de Lyriot-tjenester, du har tilmeldt dig (konto, begivenheder, betalinger, beskeder)
• Legitim interesse: for at forbedre platformen, forebygge svindel, sikre sikkerheden, vise onlinestatus og føre ranglisterne
• Samtykke: til push-meddelelser (kan til enhver tid trækkes tilbage i indstillingerne) og til valgfri markedsføring
• Retlig forpligtelse: for at overholde gældende lovgivning, navnlig regnskabsmæssige forpligtelser (opbevaring i 5 år) og påbud fra retsmyndighederne

Vi sælger aldrig dine personoplysninger. Vi deler dem udelukkende med vores tekniske leverandører og kun i det omfang, det er nødvendigt for at levere tjenesten:

• Stripe: behandling af betalinger (abonnementer, betalte begivenheder, boosts) og udbetalinger til arrangører via Stripe Connect — Stripes politik
• OVH: hosting af PostgreSQL-databasen (VPS, Frankrig); Cloudflare R2: opbevaring af filer (profilbilleder, cv'er)
• Resend: afsendelse af transaktionsmails (bekræftelse af tilmelding, nulstilling af adgangskode, meddelelser om begivenheder)
• Mapbox: visning af de interaktive kort til begivenhedernes placering og søgning efter nærhed
• Photon (komoot) og Nominatim (OpenStreetMap Foundation, data i Storbritannien og Holland): byforslag, mens du skriver; Nominatim bruges kun, hvis Photon ikke svarer. Vores servere sender kun den indtastede tekst og, til Photon, en omtrentlig position: midten af dit land eller, hvis du allerede har tilladt placering, din position afrundet til cirka ti kilometer. Dit navn, din IP-adresse og din konto sendes aldrig til dem.
• Firebase (Google): afsendelse af push-meddelelser til dine enheder (hvis du har slået dem til)
• Google OAuth: hvis du vælger at logge ind med Google, overføres dit navn, din e-mailadresse og dit Google-profilbillede til Lyriot
• Kompetente myndigheder: når loven, en retsafgørelse eller varetagelsen af vores legitime rettigheder kræver det

Nogle leverandører er etableret uden for Den Europæiske Union (Firebase/Google, Stripe i USA). Disse overførsler er sikret ved:

• Standardkontraktbestemmelserne vedtaget af Europa-Kommissionen
• Kommissionens afgørelser om tilstrækkeligt beskyttelsesniveau (for eksempel EU-US Data Privacy Framework for Stripe og Google)
• De fornødne garantier i artikel 46 i GDPR

Vi opbevarer dine oplysninger, så længe din konto er aktiv. Sletter du den, fjernes de inden for 30 dage, medmindre en retlig forpligtelse er til hinder for det:

• Transaktionsoplysninger: 5 år (fransk regnskabsmæssig pligt)
• Ansøgningsoplysninger (cv'er, ansøgninger): højst 2 år
• Tekniske logfiler: 12 måneder
• Moderations- og sanktionshistorik: tidsubegrænset (sikkerhed og forebyggelse af misbrug)
• Slettede private beskeder: metadata (dato, deltagere) kan opbevares, også efter at indholdet er slettet

I henhold til GDPR har du følgende rettigheder:

• Ret til indsigt: se de oplysninger, vi har om dig
• Ret til berigtigelse: rette urigtige oplysninger (direkte i Indstillinger eller ved at kontakte os)
• Ret til sletning: slette din konto via Indstillinger → Følsomt område (behandles inden for 30 dage)
• Ret til dataportabilitet: få en kopi af dine oplysninger i et struktureret format
• Ret til indsigelse: gøre indsigelse mod visse behandlinger (for eksempel markedsføring eller onlinestatus)
• Ret til begrænsning: anmode om, at behandlingen sættes i bero i visse tilfælde
• Rettigheder ved automatiserede afgørelser: blive oplyst om automatiseret behandling (tildeling af point, beregning af rang, kontrol af hvervninger) og anfægte resultatet

Sådan udøver du disse rettigheder: kontaktformular. Du kan også indgive en klage til CNIL.

Tekniske og organisatoriske foranstaltninger, der er indført:

• Kryptering af al kommunikation under transport (HTTPS/TLS)
• Adgangskoder krypteret med bcrypt (opbevares aldrig i klartekst)
• Adgang til oplysninger begrænset efter princippet om færrest mulige rettigheder
• Sikker opbevaring af filer hos Cloudflare R2 (adgang via midlertidigt signeret URL)
• CSRF-beskyttelse på alle formularer (NextAuth-token)
• Logning af administrative handlinger
• Regelmæssige sikkerhedskopier af databasen
• Ved et brud på persondatasikkerheden underrettes de berørte inden for 72 timer, som GDPR foreskriver

Vi bruger tekniske cookies, der er nødvendige for platformens funktion (brugersession, CSRF-beskyttelse). Vi bruger også din browsers lokale lager til at huske dine præferencer (lyst eller mørkt tema, visningsvaluta, sprog): disse oplysninger forlader aldrig din enhed. Læs mere i vores cookiepolitik.

Lyriot er åben for personer på 15 år og derover i henhold til artikel 7-1 i den franske databeskyttelseslov. I lande, hvis lovgivning fastsætter en anden alder (for eksempel 13 år i USA efter COPPA eller 16 år i visse EU-medlemsstater), gælder den mest beskyttende alder. Vi indsamler ikke bevidst oplysninger om mindreårige, der ikke har nået den krævede alder. Hvis du mener, at en sådan mindreårig har oprettet en konto, bedes du kontakte os omgående.

Ud over den europæiske databeskyttelsesforordning overholder Lyriot følgende databeskyttelsesregler afhængigt af dit bopælsland:

• Californien (CCPA/CPRA): bor du i Californien, har du yderligere rettigheder efter California Consumer Privacy Act og California Privacy Rights Act: ret til at vide, hvilke personoplysninger der indsamles, ret til sletning, ret til at modsætte dig salg af oplysninger (vi sælger ikke dine oplysninger) og ret til ikke at blive forskelsbehandlet, fordi du gør brug af dem. Skriv til os på contact@lyriot.com for at gøre dem gældende.
• Storbritannien (UK GDPR): vi overholder den britiske databeskyttelsesforordning efter brexit. Tilsynsmyndigheden er ICO (Information Commissioner's Office). Dine rettigheder svarer til dem i den europæiske forordning.
• Brasilien (LGPD): efter Lei Geral de Proteção de Dados Pessoais har du ret til indsigt, berigtigelse, sletning, dataportabilitet og indsigelse. Den kompetente myndighed er ANPD (Autoridade Nacional de Proteção de Dados).
• Canada (PIPEDA + lov 25): vi overholder loven om beskyttelse af personoplysninger og elektroniske dokumenter (PIPEDA) og i Québec lov 25 (loven om modernisering af bestemmelserne om beskyttelse af personoplysninger). Myndigheder: OPC (føderalt) og CAI (Québec).
• Australien (Privacy Act 1988): vi overholder den australske privatlivslov og Australian Privacy Principles. Den kompetente myndighed er OAIC (Office of the Australian Information Commissioner).
• Japan (APPI): efter loven om beskyttelse af personoplysninger (個人情報の保護に関する法律) opfylder vi APPI's forpligtelser. Den kompetente myndighed er PPC (Personal Information Protection Commission / 個人情報保護委員会).
• Kina (PIPL): efter loven om beskyttelse af personoplysninger (个人信息保护法) behandler vi dine oplysninger efter principperne om lovlighed, legitimitet og nødvendighed. Den kompetente myndighed er CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Sydkorea (PIPA): efter loven om beskyttelse af personoplysninger (개인정보 보호법) har du ret til indsigt, berigtigelse, sletning og indsigelse. Den kompetente myndighed er PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• Indien (DPDP Act 2023): efter Digital Personal Data Protection Act 2023 har du ret til information, berigtigelse og sletning af dine digitale personoplysninger. Det kompetente organ er Data Protection Board of India (under oprettelse af MeitY).
• Tyrkiet (KVKK): efter lov nr. 6698 om beskyttelse af personoplysninger (Kişisel Verilerin Korunması Kanunu) har du ret til indsigt, berigtigelse og sletning. Den kompetente myndighed er KVKK (Kişisel Verileri Koruma Kurumu).
• Indonesien (UU PDP): efter lov nr. 27/2022 om beskyttelse af personoplysninger (Undang-Undang Perlindungan Data Pribadi) omfatter dine rettigheder indsigt, berigtigelse og sletning. Det kompetente organ er Kementerian Komunikasi dan Informatika.
• Thailand (PDPA): efter Personal Data Protection Act B.E. 2562 (2019) har du ret til indsigt, dataportabilitet, sletning og indsigelse. Det kompetente organ er PDPC (Personal Data Protection Committee).
• Saudi-Arabien (PDPL): efter Personal Data Protection Law (نظام حماية البيانات الشخصية) har du ret til indsigt og berigtigelse. Den kompetente myndighed er SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Tilsynsmyndigheder pr. land :

Vi kan til enhver tid opdatere denne politik. Ved væsentlige ændringer underretter vi dig pr. e-mail eller med en meddelelse på platformen. Fortsætter du med at bruge Lyriot efter en sådan underretning, betragtes det som accept af ændringerne.

Denne politik er udarbejdet på fransk. Versioner på andre sprog er oversættelser, der alene stilles til rådighed til orientering; i tilfælde af uoverensstemmelse er alene den franske version juridisk bindende.

Dataansvarlig: Lyriot, Frankrig.

Har du spørgsmål om dine personoplysninger, vil du udøve dine rettigheder efter GDPR (indsigt, berigtigelse, sletning, dataportabilitet, indsigelse, begrænsning), eller vil du klage over behandlingen af dine oplysninger: kontaktformular eller direkte til contact@lyriot.com.

Du kan også indgive en klage til den kompetente tilsynsmyndighed: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Paris.