Personvernerklæring – 3Steps

Sist oppdatert: 24. august 2026 · Versjon: 2.0

Denne erklæringen forklarer hvordan Readplay AS behandler personopplysninger når du bruker 3Steps. Vi følger personvernforordningen (GDPR) og norsk personopplysningslov.

1. Hvem er behandlingsansvarlig?

Readplay AS Organisasjonsnummer: 933 239 292 Adresse: Hamar, Norge Kontakt: support@readplay.app

For henvendelser om personvern, bruk e-postadressen over.

2. To roller – les denne delen først

3Steps brukes både av enkeltbrukere og av klubber/lag. Vår rolle avhenger av sammenhengen:

A) Behandlingsansvarlig (for kontoinnehavere). For trenere, klubbadministratorer og andre som selv oppretter en konto hos oss, er Readplay AS behandlingsansvarlig for kontoopplysningene (navn, e-post, innloggingsdata, fakturering, bruksdata).

B) Databehandler (for spillerdata lagt inn av en klubb). Når en klubb eller et lag bruker 3Steps for å registrere spillere og kampdata, er klubben/laget behandlingsansvarlig for disse opplysningene. Readplay AS er databehandler og behandler dataene kun etter klubbens instruks gjennom en databehandleravtale (DPA) – som er en del av vår tjenesteavtale.

Om spillerdata:

  • Klubben bestemmer selv hvilke opplysninger som registreres om den enkelte spiller, innenfor kategoriene tjenesten tilbyr (se kap. 3). Klubben er ansvarlig for å ha gyldig rettslig grunnlag for registreringen, og for å informere spillere (og foresatte, der spilleren er mindreårig) om at data behandles. Readplay AS verifiserer ikke informasjonsplikten på vegne av klubben.
  • Spillerdata er kun tilgjengelig for autoriserte brukere i spillerens egen klubb. 3Steps har ingen offentlige spillerprofiler.
  • Personnummer og helseopplysninger eller andre særlige kategorier av personopplysninger skal ikke registreres i 3Steps.
  • Vi viser til retningslinjene fra Norges idrettsforbund (NIF) og Datatilsynet for behandling av personopplysninger og bilder i idretten.

3. Hvilke opplysninger behandler vi?

  • Kontodata (rolle A): navn, e-post, telefon (valgfritt), rolle, klubbtilknytning, språkpreferanse. Innlogging skjer via Microsoft Entra ID – vi lagrer ikke passord.
  • Faktureringsdata (rolle A): organisasjon, fakturaadresse, abonnement, betalingsstatus. Selve kortdata håndteres av Stripe – vi lagrer aldri kortnummer.
  • Bruksdata (rolle A): innloggingstidspunkt, IP-adresse, nettleser/enhet, hendelseslogger, feilrapporter.
  • Spillerdata (rolle B – klubben er behandlingsansvarlig): navn, fødselsdato, nasjonalitet, posisjon, draktnummer og lagtilknytning; profilbilde; kontaktopplysninger (e-post, telefon, adresse); pårørende/nødkontakt; høyde, vekt og størrelser (sko/tøy); deltakelse (tropper og kamper), individuelle kampprestasjoner og statistikk; kampvideo og videoklipp der spillere kan være identifiserbare. Hvilke av disse feltene som faktisk fylles ut, avgjøres av klubben.
  • Kommunikasjon: support-henvendelser og e-post du sender oss.

4. Hvorfor behandler vi opplysningene? (Formål og rettslig grunnlag)

  • Levere og drifte tjenesten – avtale (GDPR art. 6(1)(b)).
  • Fakturering og regnskap – avtale og rettslig forpliktelse (art. 6(1)(b) og (c)).
  • Sikkerhet, feilsøking og misbruksforebygging – berettiget interesse (art. 6(1)(f)).
  • Produktforbedring basert på anonymisert eller aggregert bruksdata – berettiget interesse (art. 6(1)(f)).
  • Markedsføring på e-post til eksisterende kunder – markedsføringsloven § 15 (eksisterende kundeforhold), med reservasjonsrett i hver henvendelse.
  • Nyhetsbrev og annen markedsføring – samtykke (art. 6(1)(a) og markedsføringsloven § 15).

For spillerdata (rolle B) er det klubbens rettslige grunnlag som gjelder – typisk samtykke eller berettiget interesse i sportslig sammenheng. For mindreårige spillere gjelder egne krav, se kap. 9.

5. Hvor lagres dataene? (Data residency)

Hvor opplysningene lagres avhenger av typen innhold:

  • Konto-, spiller- og kampdata (database og infrastruktur): Microsoft Azure, region Norge (norwayeast).
  • Innlogging og identitet: Microsoft Entra ID, Europa.
  • Kampvideo og bilder: Cloudflare. Cloudflare er et amerikansk selskap med et globalt nettverk; overføringen er basert på EUs standard kontraktsvilkår (SCC) og Cloudflares sertifisering under EU–US Data Privacy Framework.
  • Betalingsdata: Stripe, EU og USA (SCC og EU–US Data Privacy Framework).

Utover dette overfører vi ikke personopplysninger ut av EU/EØS som del av primær drift.

6. Underleverandører (databehandlere)

Vi bruker disse underleverandørene for å levere tjenesten. Alle har en gyldig databehandleravtale med oss.

  • Microsoft Azure – hosting, database og infrastruktur. Lokasjon: Norge (norwayeast).
  • Microsoft Entra ID – innlogging og identitet. Lokasjon: Europa.
  • Microsoft Azure Communication Services – transaksjonell e-post. Lokasjon: EU.
  • Microsoft Azure OpenAI – AI-genererte kampsammendrag. Lokasjon: EU.
  • Cloudflare – lagring og strømming av kampvideo og bilder. Lokasjon: globalt nettverk, hovedkontor USA (overføring under SCC og EU–US Data Privacy Framework).
  • Stripe – betalingsbehandling. Lokasjon: EU og USA (overføring under SCC og EU–US Data Privacy Framework).
  • PostHog – produktanalyse og feilsporing. Lokasjon: EU.
  • Payload CMS – innhold på nettsiden. Lokasjon: EU.

Oppdatert liste er tilgjengelig på forespørsel. Vi varsler kunder om vesentlige endringer i underleverandører.

7. Hvor lenge lagrer vi opplysninger?

  • Kontodata: så lenge kontoen er aktiv + 30 dager etter sletting.
  • Faktureringsdata: 5 år (norsk bokføringslov).
  • Bruksdata / logger: lagres med maskert/redusert personinformasjon så lenge det er nødvendig for sikkerhet, feilsøking og misbruksforebygging. Produktanalysedata (PostHog) lagres i 30 dager.
  • Spillerdata (rolle B): så lenge kundens abonnement varer + 30 dager, eller til klubben ber om sletting.
  • Support-kommunikasjon: inntil 2 år.
  • Sikkerhetskopier: slettede data fjernes fra aktive systemer ved sletting og faller ut av sikkerhetskopier innen 30 dager. Enkeltoppføringer kan ikke fjernes fra eksisterende sikkerhetskopier; kopiene roteres ut automatisk.

Vi sletter eller anonymiserer data når formålet er oppfylt.

8. Dine rettigheter

Etter GDPR har du rett til å:

  • få innsyn i hvilke opplysninger vi har om deg
  • få rettet uriktige opplysninger
  • få slettet opplysninger («retten til å bli glemt»)
  • få begrenset behandlingen
  • få dataportabilitet (utlevert i maskinlesbart format)
  • protestere mot behandling basert på berettiget interesse
  • trekke tilbake samtykke når som helst, der behandlingen er basert på samtykke

For spillerdata (rolle B): henvend deg først til klubben din. Vi videresender forespørsler til riktig behandlingsansvarlig.

Send henvendelser til support@readplay.app. Vi svarer innen 30 dager.

Du har også rett til å klage til Datatilsynet (datatilsynet.no).

9. Mindreårige

Klubber kan registrere spillere under 18 år i 3Steps. Klubben er behandlingsansvarlig for disse opplysningene og er ansvarlig for at registreringen har gyldig rettslig grunnlag – herunder samtykke i tråd med NIFs retningslinjer for publisering av bilder og film av barn (for spillere under 15 år kreves samtykke fra både spilleren og foresatte; spillerens eget ønske om ikke å bli avbildet skal respekteres) og Datatilsynets veiledning om barn og unges personopplysninger i idretten.

For mindreårige spillere gjelder i tillegg:

  • Opplysningene er kun tilgjengelige for autoriserte brukere i spillerens egen klubb. 3Steps har ingen offentlige spillerprofiler.
  • Klubben skal ikke registrere flere opplysninger enn formålet krever (dataminimering), og skal slette opplysninger når spilleren slutter eller samtykke trekkes tilbake.
  • Ber klubben, spilleren eller foresatte om sletting, sletter vi opplysningene uten ugrunnet opphold etter instruks fra behandlingsansvarlig.

10. Sikkerhet

Vi bruker bransjestandard sikkerhetstiltak: kryptering i transitt (TLS) og hvile (Azure-tjenester), tilgangsstyring basert på prinsippet om minste privilegium, multifaktorautentisering for ansatte, sikkerhetslogging og overvåkning. Ved brudd som kan medføre risiko for berørte personer, varsler vi Datatilsynet innen 72 timer og berørte kunder uten ugrunnet opphold.

11. Informasjonskapsler (cookies)

3Steps bruker nødvendige cookies for innlogging og sikkerhet. Produktanalyse (PostHog) aktiveres først etter samtykke; selve samtykkevalget lagres i en nødvendig informasjonskapsel. Detaljer finnes i vår cookie-erklæring i applikasjonen.

12. Endringer

Vi kan oppdatere denne erklæringen. Vesentlige endringer varsles på e-post eller i applikasjonen minst 30 dager før de trer i kraft. Aktuell versjon ligger alltid tilgjengelig i 3Steps.

13. Klage

Hvis du mener vi behandler personopplysninger i strid med regelverket, kan du klage til:

Datatilsynet Postboks 458 Sentrum, 0105 Oslo postkasse@datatilsynet.no datatilsynet.no