Sist oppdatert: 22. juni 2026
Personvernerklæring
Flokken, flokken.store
1. Behandlingsansvarlig
Behandlingsansvarlig for personopplysninger som behandles gjennom Flokken er:
Holms Holding AS (org.nr. [ORG.NR])
Kontaktperson for personvern: Thomas Holm
E-post: hei@flokken.store
Adresse: [ADRESSE]
Rettslig grunnlag: Personopplysningsloven (LOV-2018-06-15-38) § 1, jf. GDPR artikkel 4 nr. 7.
2. Hva Flokken er og hvordan vi behandler dine opplysninger
Flokken er en AI-drevet shoppingassistent for barnefamilier. Plattformen anbefaler produkter tilpasset ditt barns alder, størrelse og behov, og videresender deg til eksterne nettbutikker (retailere) for kjøp. Flokken gjennomfører ingen transaksjoner selv. Vi er en ren redirect- og anbefalingsplattform.
Vi bruker kunstig intelligens (Claude API fra Anthropic) til å generere tilpassede anbefalinger basert på informasjonen du gir oss om barna dine.
3. Personopplysninger vi behandler
Oversikten nedenfor viser alle datakategorier Flokken behandler, strukturert etter våre databasetabeller.
3.1 Brukerkonto
| E-postadresse | Innlogging, kommunikasjon | GDPR art. 6(1)(b) |
| Navn (valgfritt) | Personalisering | GDPR art. 6(1)(a) |
| Passordhash | Autentisering og sikkerhet | GDPR art. 6(1)(b) |
| Opprettelsesdato | Kontoadministrasjon | GDPR art. 6(1)(c) |
| Abonnementsstatus | Tilgangsstyring | GDPR art. 6(1)(b) |
3.2 Barneprofiler
| Barnets fornavn/kallenavn | Personalisering av anbefalinger | GDPR art. 6(1)(a) + art. 8 |
| Fødselsdato / alder | Alderstilpassede anbefalinger | GDPR art. 6(1)(a) + art. 8 |
| Kjønn (valgfritt) | Filtrering av anbefalinger | GDPR art. 6(1)(a) |
| Klaestørrelse | Størrelsestilpassede anbefalinger | GDPR art. 6(1)(a) + art. 8 |
| Skostørrelse | Størrelsestilpassede anbefalinger | GDPR art. 6(1)(a) + art. 8 |
| Høyde/vekt (valgfritt) | Vekstprediksjon | GDPR art. 6(1)(a) + art. 8 |
| Veksthistorikk | AI-basert prediksjon | GDPR art. 6(1)(a) + art. 8 |
Aldersgrensen for barns eget samtykke i Norge er 13 år. Barneprofiler opprettes alltid av foreldre/foresatte, og foreldresamtykke er alltid påkrevd.
3.3 Anbefalinger
| Anbefalt produkt | Visning av relevante produkter | GDPR art. 6(1)(b) |
| Anbefalingsgrunnlag | Tilpasning basert på barneprofil | GDPR art. 6(1)(a) + art. 8 |
| AI-modell-ID | Kvalitetssikring av AI-output | GDPR art. 6(1)(f) |
| Tidsstempel | Historikk og feilretting | GDPR art. 6(1)(f) |
3.4 Klikk og videresendinger
| Bruker-ID (anonymisert) | Kobling av klikk til konto | GDPR art. 6(1)(b) |
| Produkt-ID / retailer-URL | Sporing av konvertering | GDPR art. 6(1)(a) |
| Tidsstempel for klikk | Konverteringsmåling | GDPR art. 6(1)(a) |
| Affiliate-partner-ID | Provisjonsberegning | GDPR art. 6(1)(f) |
3.5 Abonnementer
| Abonnementstype og -status | Tilgangsstyring | GDPR art. 6(1)(b) |
| Betalingshistorikk | Fakturering og regnskap | GDPR art. 6(1)(c) |
| Start-/fornyelsesdato | Varsling om fornyelse | GDPR art. 6(1)(b) |
| Betalingsleverandør-ref. | Behandling via tredjepart | GDPR art. 6(1)(b) |
Flokken lagrer aldri fullstendige betalingskortopplysninger. All betalingsbehandling skjer hos Klarna eller Vipps.
3.6 Samtykkeregistrering
| Samtykke-ID og -type | Dokumentasjon av samtykke | GDPR art. 6(1)(c) |
| Tidsstempel | Revisjonslogg | GDPR art. 6(1)(c) |
| Samtykketekst (versjonert) | Dokumentasjon | GDPR art. 6(1)(c) |
| IP-adresse ved samtykke | Verifisering av samtykke | GDPR art. 6(1)(f) |
3.7 Delelenker (gave-modus)
Gave-modus lar foreldre dele begrenset barneinformasjon med familie og venner via en unik lenke, slik at mottakeren kan finne passende gaver.
| Unik delelenke-ID | Identifikasjon av delt profil | GDPR art. 6(1)(a) |
| Begrenset barneprofil (alder, størrelse) | Visning til gavegiver | GDPR art. 6(1)(a) + art. 8 |
| Utløpsdato | Tidsbegrensning av datatilgang | GDPR art. 25 |
| Tilgangsteller | Sikkerhet og begrensning | GDPR art. 6(1)(f) |
Gave-modus deler kun alder og størrelser, aldri barnets fulle navn, fødselsdato eller kontaktinformasjon. Lenken utløper automatisk etter 30 dager.
3.8 Sesjoner og autentisering
| Sesjons-ID / token | Opprettholdelse av innlogget tilstand | GDPR art. 6(1)(b) |
| IP-adresse | Sikkerhet og misbruksforebygging | GDPR art. 6(1)(f) |
| Enhetstype / nettleserinfo | Tilpasning og feilretting | GDPR art. 6(1)(f) |
| Innloggingstidspunkt | Sikkerhetslogg | GDPR art. 6(1)(f) |
4. Bruk av kunstig intelligens (AI)
4.1 Hva AI-en gjør
AI-systemet (Claude API fra Anthropic) analyserer barnets alder, størrelse og eventuelle preferanser du har oppgitt, og genererer anbefalinger om produkter som kan passe. AI-en tar ingen automatiserte beslutninger med rettsvirkning eller tilsvarende vesentlig virkning for deg eller barnet ditt (GDPR art. 22).
4.2 Dataflyt til Anthropic
Når AI-en genererer en anbefaling, sendes følgende data til Anthropic (USA) via API: barnets alder/alderskategori, størrelsesinformasjon og eventuelle preferanser. Barnets navn sendes ikke til Anthropic. Overføringen er sikret ved Standard Contractual Clauses (GDPR art. 46(2)(c)) og Anthropics sertifisering under EU-US Data Privacy Framework.
4.3 Risikoklassifisering under EU AI Act
Flokkens AI-system klassifiseres som begrenset risiko under EU AI Act artikkel 6, ettersom det gir anbefalinger men ikke tar beslutninger med rettsvirkning. Vi oppfyller transparensforpliktelsene i artikkel 50 ved å informere brukere om at anbefalinger er AI-genererte.
5. Deling og utlevering av personopplysninger
Vi selger aldri personopplysningene dine. Vi deler opplysninger med følgende mottakere, utelukkende for de formål som er beskrevet:
| Anthropic (USA) | AI-genererte anbefalinger | SCC + EU-US DPF | Alder, størrelse (aldri navn) |
| Supabase (EU, Irland) | Database og autentisering | Innen EØS | Alle data i databasen |
| Vercel (USA/EU) | Hosting | SCC + EU-US DPF | Sesjonsdata, IP-adresser |
| Resend (USA) | Transaksjonell e-post | SCC + EU-US DPF | E-postadresse, navn |
| Klarna / Vipps | Betalingsbehandling | Egen behandlingsansvarlig | Betalingsreferanse (ingen barnedata) |
| Adtraction | Affiliate-sporing | Databehandleravtale | Anonymisert klikk-ID |
6. Oppbevaringstid og sletting
| Brukerkonto | Aktiv konto + 30 dager etter sletting |
| Barneprofiler | Aktiv konto. Slettes umiddelbart ved tilbaketrekking av samtykke |
| Anbefalingshistorikk | 12 måneder rullerende |
| Klikk/purchase_intent | 24 måneder |
| Abonnementsdata | Aktiv + 5 år (bokføringsloven § 13) |
| Samtykkelogg | 5 år etter siste interaksjon |
| Delelenker (gave-modus) | Utløper automatisk etter 30 dager |
| Sesjonsdata | 90 dager |
7. Dine rettigheter
Som registrert har du følgende rettigheter etter GDPR kapittel III og Personopplysningsloven:
| Innsyn | Kopi av alle opplysninger vi behandler | GDPR art. 15 |
| Retting | Uriktige opplysninger rettes | GDPR art. 16 |
| Sletting | Sletting når grunnlag ikke lenger foreligger | GDPR art. 17 |
| Begrensning | Begrensning av behandlingen | GDPR art. 18 |
| Dataportabilitet | Data utlevert i maskinlesbart format | GDPR art. 20 |
| Innsigelse | Protest mot behandling basert på berettiget interesse | GDPR art. 21 |
| Tilbaketrekking av samtykke | Kan trekkes tilbake når som helst | GDPR art. 7(3) |
| Klage til Datatilsynet | Ved mistanke om regelbrudd | GDPR art. 77 |
For å utøve dine rettigheter, kontakt oss på hei@flokken.store. Vi svarer innen 30 dager.
8. Sikkerhetstiltak
Tekniske tiltak: Kryptering i transit (TLS 1.2+) og i ro (AES-256 i Supabase). Tilgangskontroll med Row Level Security i databasen. Autentisering med bcrypt-hashing av passord. Alle API-kall til tredjeparter skjer over krypterte forbindelser.
Organisatoriske tiltak: Tilgang til personopplysninger er begrenset til personell med tjenstlig behov. Alle tredjepartsleverandører har signert databehandleravtale (GDPR art. 28). Regelmessig gjennomgang av tilgangslister og sikkerhetsprosedyrer.
9. Vurdering av personvernkonsekvenser (DPIA)
Flokken har gjennomført en vurdering av personvernkonsekvenser (DPIA) i henhold til GDPR artikkel 35, ettersom vi behandler barnedata ved hjelp av automatisert teknologi (AI). DPIA-en er tilgjengelig på forespørsel.
10. Informasjonskapsler og sporing
Flokken bruker informasjonskapsler i henhold til ekomloven (LOV-2003-07-04-83) § 2-7b. Vi skiller mellom nødvendige funksjonelle informasjonskapsler (som ikke krever samtykke) og valgfrie sporings-/analyse-informasjonskapsler (som krever ditt uttrykkelige samtykke). Se vår separate cookie-policy for fullstendig oversikt.
11. Endringer i personvernerklæringen
Vi kan oppdatere denne personvernerklæringen for å reflektere endringer i vår praksis eller gjeldende lovgivning. Ved vesentlige endringer vil du bli varslet via e-post eller i appen før endringene trer i kraft.
12. Kontakt og klage
Har du spørsmål om hvordan vi behandler personopplysninger, eller ønsker du å utøve dine rettigheter?
E-post: hei@flokken.store
Post: Holms Holding AS, [ADRESSE]
Du har også rett til å klage til Datatilsynet:
Datatilsynet: www.datatilsynet.no, postkasse@datatilsynet.no
Holms Holding AS, flokken.store