1. BEHANDLINGSANSVARLIG
Mindr AS er et norsk fintech-selskap som leverer en digital tjeneste for uavhengig overvåkning og optimalisering av husholdningens økonomi, med boliglån og innskudd som kjernetjenester ved lansering, årlig kontroll av skattefradrag, og øvrige kategorier (forsikring, strøm, mobil, bredbånd, alarm og abonnementer) gjennom faseinnføring. Mindr opptrer som uavhengig mellomledd overfor banker og leverandører, yter ikke kreditt, mottar ingen provisjon, henvisningsavgift, formidlingsavgift eller annen godtgjørelse fra tredjeparter, og selger ingen data. Våre inntekter kommer utelukkende fra kundens abonnement.
Kontaktinformasjon:
Organisasjonsnummer: 937 279 159
E-post: post@mindr.no
Postadresse: Gange-Rolvs gate 2, 0273 Oslo
Personvernombud: Liv Marit Lundby (lml@mindr.no)
2. HVILKE OPPLYSNINGER VI BEHANDLER
2.1 Identifikasjon og kontakt:
Navn, fødselsnummer, adresse, e-post, telefonnummer og legitimasjonsdokumenter.
2.2 Økonomiske opplysninger:
Transaksjonsdata fra bankkonti (via Neonomics), lånekontrakter og -vilkår, innskuddsvilkår, forsikrings- og abonnementsavtaler etter hvert som disse kategoriene aktiveres i tjenesten, eiendomsopplysninger (innhentet via tjenesten Plot.ai), skattemelding, inntekt, formue, gjeld og betalingsevnevurdering.
2.3 Kundeforhold:
Abonnementstype, kommunikasjon, fullmakter, innhentede tilbud og dine valg.
2.4 Tekniske opplysninger:
IP-adresse, enhetsinformasjon og påloggingsdata.
3. FORMÅL OG BEHANDLINGSGRUNNLAG
Vi behandler personopplysninger basert på følgende rettslige grunnlag:
3.1 Oppfyllelse av avtale (GDPR art. 6 nr. 1 bokstav b):
Administrasjon av kundeforholdet, løpende analyse og overvåkning av kundens lån, innskudd og øvrige kategorier omfattet av tjenesten, identifisering av forbedringspotensial, presentasjon av informasjon og beslutningsstøtte, samt innhenting av lånetilbud mv. på dine vegne etter fullmakt i Mindrs tilbudsportal.
3.2 Rettslig forpliktelse (GDPR art. 6 nr. 1 bokstav c):
Kundekartlegging (KYC) etter hvitvaskingsloven, herunder identitetsbekreftelse, vurdering av formål med kundeforholdet, kontroll mot lister over politisk eksponerte personer og sanksjonslister, og oppfølging for å avdekke uvanlige transaksjoner. Oppfyllelse av regnskaps- og bokføringskrav.
3.3 Samtykke (GDPR art. 6 nr. 1 bokstav a):
Vi behandler følgende opplysninger på grunnlag av ditt samtykke:
Banktransaksjonsdata og skattemelding: Kontodata hentes via Neonomics, og skattemeldingen laster du selv opp, slik at vi kan analysere lån, innskudd og øvrige kategorier du har valgt, og finne fradrag og besparelser for deg. I den gratis Mindr-testen brukes samme samtykke til å beregne et besparelsesestimat. Kjøper du abonnement, videreføres samtykket og opplysningene i tjenesten; kjøper du ikke, slettes de som angitt under Lagringstid. Når du logger inn med BankID i den gratis Mindr-testen, lagrer vi navn og fødselsnummer med ditt samtykke for å identifisere deg sikkert i testen og ved et eventuelt kjøp; kjøper du ikke abonnement, slettes de som øvrige opplysninger fra testen. Fødselsnummeret deles med Neonomics og de bankene du kobler til når banken krever det for å gi tilgang til kontoinformasjon. Ellers behandles det bare av databehandlere som drifter tjenesten på våre vegne.
Særlige kategorier av personopplysninger: Transaksjonsdata kan avsløre særlige kategorier av personopplysninger, for eksempel fagforeningsmedlemskap eller religiøs tilhørighet. Slike opplysninger behandles bare med ditt uttrykkelige samtykke (art. 9 nr. 2 bokstav a). Betalinger av fagforeningskontingent inngår i analysen både for å sjekke skattefradrag og for å beregne den samlede besparelsen din hensyntatt forbundets bankavtaler og medlemsbetingelser. Gaver til frivillige organisasjoner og trossamfunn inngår kun i fradragssjekken. Øvrige særlige kategorier analyseres ikke.
Forbundsmedlemskap: Velger du å oppgi medlemskap i en fagforening eller et forbund, lagrer vi opplysningen med ditt uttrykkelige samtykke (art. 9 nr. 2 bokstav a) for tre formål: å bruke forbundets bankavtaler og medlemsbetingelser i beregningen av besparelsene dine, å sjekke skattefradrag for fagforeningskontingent, og å gi deg medlemspris på Mindr (om slik avtale foreligger). Trekker du samtykket, slettes opplysningen og bruken opphører.
Markedsføring og nyhetsbrev: Sendes bare med ditt samtykke.
Du kan når som helst trekke tilbake samtykke, uten at dette påvirker lovligheten av behandling som fant sted før tilbaketrekkingen. Merk at tilbaketrekking av samtykke til banktransaksjonsdata og skattemelding vil begrense Mindrs mulighet til å levere tjenesten.
3.4 Berettiget interesse (GDPR art. 6 nr. 1 bokstav f):
Forbedring av tjenesten, utvikling av nye funksjoner, IT-sikkerhet, svindelforebygging og forretningsutvikling, samt nettstedsanalyse (anonym, aggregert måling av bruk av Mindrs nettsted).
4. UTLEVERING AV OPPLYSNINGER
4.1 Databehandlere:
Mindrs databehandlere inkluderer IT-/skylagringstjenester, systemutviklere, CRM-systemer, betalingstjenester og analyseverktøy, samt regnskapsfører og revisor. Alle databehandlere er bundet av databehandleravtaler. Sentrale leverandører er Roaring (sanksjonsscreening og PEP-kontroll; mottar navn og fødselsdato), Stripe (betalingsløsning; Mindr sender navn og e-post, mens adresse og kortopplysninger oppgir du direkte i Stripes eget skjema, kortopplysningene ser Mindr aldri) og Stø/Idura (BankID-pålogging). For nettstedsanalyse benytter vi Plausible Analytics. Verktøyet bruker ikke informasjonskapsler, lagrer ingen identifiserbare personopplysninger, og all besøksdata behandles innenfor EU. Plausibles underdatabehandlere fremgår av Plausibles databehandleravtale.
4.2 Selvstendig behandlingsansvarlig (Neonomics):
Neonomics AS (opplysningsfullmektig med tillatelse fra Finanstilsynet) leverer kontoinformasjonstjenesten under PSD2 og opptrer som selvstendig behandlingsansvarlig for behandlingen av dine kontodata. Du inngår en direkte avtale med Neonomics om denne tjenesten når du gir samtykke til datadeling. Mindr mottar transaksjonsdataene fra Neonomics for å levere tjenesten. Mindr har ikke tilgang til å gjøre betalinger fra dine kontoer. Når en bank krever det for å gi tilgang til kontoinformasjon, deles fødselsnummeret ditt med Neonomics og banken.
4.3 Banker, finansinstitusjoner og forsikringstilbydere:
Med din fullmakt deler vi nødvendige opplysninger med banker for å innhente lånetilbud på dine vegne. Dersom du gir kategorivis samtykke til Mindrs tilbudsportal, kan en anonymisert profil av deg gjøres tilgjengelig for deltakende leverandører som kan returnere konkrete tilbud. Din identitet utleveres først dersom du aktivt velger å respondere på et tilbud. Avtale med leverandøren inngås direkte mellom deg og leverandøren.
4.4 Offentlige myndigheter:
Ved rettslig forpliktelse (Skatteetaten, Finanstilsynet, politiet, andre tilsynsmyndigheter).
4.5 Andre:
Vi selger ikke kundedata.
5. OVERFØRING TIL TREDJELAND
Vi lagrer personopplysninger innenfor EØS. Eventuell overføring til land utenfor EØS skjer i henhold til GDPR kapittel V (tilstrekkelighetsbeslutning eller standardavtaleklausuler).
6. LAGRINGSTID
Vi oppbevarer personopplysninger kun så lenge det er nødvendig for formålet eller så lenge loven krever:
- (1) KYC-dokumentasjon: 5 år etter avsluttet kundeforhold, 10 år når kundeforholdet var underlagt forsterkede kundetiltak (hvitvaskingsloven § 30, hvitvaskingsforskriften § 6-4)
- (2) Avtaler: 5 år etter avtaleslutt (låneformidlingsloven § 7-2)
- (3) Regnskapsdata: 5 år etter regnskapsårets slutt (bokføringsloven § 13)
- (4) Transaksjonsdata fra bank-API: Under aktivt kundeforhold, deretter slettet innen 30 dager (med mindre lovpålagt oppbevaring)
- (5) Opplysninger fra Mindr-testen (ikke-konverterte): Slettes automatisk 30 dager etter fullført test dersom du ikke kjøper abonnement, og straks dersom du trekker samtykket
- (6) Opplysning om forbundsmedlemskap: Så lenge du har medlemsbetingelser hos oss; slettes straks dersom du trekker samtykket
- (7) Markedsføringssamtykker: Til tilbaketrekking eller ved passivitet (vurderes årlig)
- (8) Tekniske logger: Opptil 12 måneder
7. DINE RETTIGHETER
Du har rett til:
- (1) Innsyn i hvilke opplysninger vi behandler om deg (art. 15). Innsynsretten gjelder ikke opplysninger som er unntatt etter hvitvaskingsloven § 32
- (2) Retting av uriktige eller ufullstendige opplysninger (art. 16)
- (3) Sletting når opplysningene ikke lenger er nødvendige, du trekker samtykke, eller ved ulovlig behandling, med unntak når vi har rettslig oppbevaringsplikt (art. 17)
- (4) Begrensning av behandlingen (art. 18)
- (5) Dataportabilitet – å motta opplysningene du selv har gitt oss, i strukturert format (art. 20)
- (6) Protest mot behandling basert på berettiget interesse (art. 21): Du har rett til å protestere mot vår behandling av dine personopplysninger der behandlingsgrunnlaget er berettiget interesse (art. 6 nr. 1 bokstav f), herunder behandling knyttet til forbedring av tjenesten, utvikling av nye funksjoner, IT-sikkerhet, svindelforebygging og forretningsutvikling. Ved protest vil vi vurdere om våre berettigede interesser veier tyngre enn dine personverninteresser. Dersom vi ikke kan påvise tvingende berettigede grunner, vil vi stanse behandlingen.
Vi treffer ingen automatiserte beslutninger med rettslig virkning eller tilsvarende betydelig virkning for deg; du tar alltid den endelige beslutningen.
Henvendelser om rettigheter besvares uten ugrunnet opphold og senest innen én måned.
8. KLAGERETT
Du har rett til å klage til Datatilsynet: postkasse@datatilsynet.no, tlf. 22 39 69 00, www.datatilsynet.no.
9. SIKKERHET
Vi har implementert tekniske og organisatoriske tiltak, herunder kryptering av sensitive data, tilgangskontroll, logging og sporbarhet, regelmessig testing av sikkerhetstiltak og rutiner for håndtering av personvernbrudd.
Ved personvernbrudd varsler vi Datatilsynet innen 72 timer, med mindre bruddet sannsynligvis ikke medfører risiko for dine rettigheter, og vi varsler deg direkte uten ugrunnet opphold ved høy risiko.
10. KONTAKT OSS
E-post: post@mindr.no
Postadresse: Gange-Rolvs gate 2, 0273 Oslo
Personvernombud: Liv Marit Lundby (lml@mindr.no)