Personvernerklæring

Sist oppdatert: 22. september 2026

Denne erklæringen beskriver hvordan Spisr AS behandler personopplysninger gjennom nettsiden spisr.no og mobilappen Spisr.

1. Hvem er behandlingsansvarlig

Spisr AS, Oslo, Norge, er behandlingsansvarlig for personopplysningene som beskrives i denne erklæringen.

Henvendelser om personvern kan rettes til hei@spisr.no.

2. Hvilke opplysninger vi behandler

Ventelisten på spisr.no: e-postadressen du oppgir.

Partnersøknader for restauranter: kontaktnavn, restaurantnavn, by, telefonnummer og e-postadresse.

Mobilappen Spisr (iOS og Android): telefonnummer for innlogging via engangskode (OTP), maskert visning av telefonnummeret i appen, autentiseringstokens lagret kryptert på enheten, posisjonsdata når du aktivt bruker appen for å finne kuponger i nærheten, og en oversikt over kupongene du har løst inn.

Drift og sikkerhet: tekniske logger om forespørsler mot tjenesten (IP-adresse, tidspunkt, endepunkt og statuskode) og krasjrapporter fra appen via Sentry i produksjonsutgivelser. Krasjrapporter sendes uten brukernavn eller annen direkte identifikator (sendDefaultPii er slått av).

Besøksstatistikk på spisr.no (valgfritt): en pseudonym identifikator og tekniske opplysninger om besøket, som sideadresse, henvisende side, nettleser og enhet. Vi bruker ikke øktopptak eller automatisk sporing av klikk.

3. Hva vi bruker opplysningene til

Drive ventelisten og varsle deg om lansering, oppdateringer og tidlig tilgang når du har samtykket til det.

Behandle partnersøknader fra restauranter og kontakte deg om deltakelse i Restaurantdagene og andre kampanjer.

Autentisere deg i mobilappen, sikre at engangskoder leveres til riktig nummer, og koble innløste kuponger til brukerkontoen din.

Vise kuponger og restauranter i nærheten din når du aktivt bruker stedstjenester. Posisjonsdata behandles kun i forgrunnen og lagres ikke utover sesjonen.

Forhindre misbruk av tjenesten, etterforske sikkerhetshendelser og forbedre stabilitet gjennom analyse av krasjrapporter.

Forstå samlet trafikk til spisr.no, blant annet om besøk kommer fra lenker i e-post. Denne statistikken brukes bare når du har samtykket.

4. Rettslig grunnlag

Ventelistene og markedsføring per e-post: ditt samtykke, jf. GDPR artikkel 6 nr. 1 bokstav a. Du kan trekke samtykket når som helst.

Bruk av mobilappen og kuponginnløsning: avtalen mellom deg og oss, jf. GDPR artikkel 6 nr. 1 bokstav b.

Sikkerhetslogger, anti-misbruk og kvalitetsforbedring: vår berettigede interesse i å levere en stabil og trygg tjeneste, jf. GDPR artikkel 6 nr. 1 bokstav f.

Lovpålagt oppbevaring (for eksempel bokføringsloven der det er relevant): rettslig forpliktelse, jf. GDPR artikkel 6 nr. 1 bokstav c.

Valgfri besøksstatistikk på spisr.no: ditt samtykke, jf. GDPR artikkel 6 nr. 1 bokstav a. Du kan trekke samtykket tilbake når som helst gjennom «Cookievalg» nederst på siden.

5. Databehandlere og tredjeparter

Cloudflare, Inc. leverer hosting, DNS og brannmur for spisr.no. Cloudflare kan behandle IP-adresser og tekniske forespørselsdata. Databehandleravtale er inngått.

Twilio Inc. leverer SMS-utsending av engangskoder for innlogging i mobilappen. Twilio behandler telefonnummeret ditt og innholdet i engangskode-SMSen i det øyeblikket koden sendes.

Functional Software, Inc. (Sentry) i Tyskland behandler krasjrapporter fra produksjonsbygg av mobilappen.

PostHog, Inc. leverer besøksstatistikk for spisr.no. PostHog mottar bare de pseudonymiserte besøksopplysningene som er beskrevet over, og kun etter at du har samtykket.

Vår skytjenesteleverandør for baktjenesten lagrer kontoinformasjon, innløste kuponger og driftslogger.

Vi deler ikke personopplysninger med andre tredjeparter med mindre du har gitt samtykke, vi er rettslig forpliktet eller deling er nødvendig for å levere tjenesten du har bedt om.

6. Overføring utenfor EØS

Twilio og Cloudflare er amerikanske selskaper. Overføring av personopplysninger til USA skjer på grunnlag av EU-kommisjonens standardkontraktsklausuler (SCC) og tilleggsgarantier der dette er nødvendig.

Sentry behandler data i Tyskland (EU) for våre rapporter.

PostHog er konfigurert med EU-region, slik at besøksstatistikk behandles i EU.

7. Hvor lenge vi lagrer opplysningene

Ventelisteoppføringer: inntil du melder deg av eller tjenesten avvikles.

Partnersøknader: inntil saken er ferdigbehandlet, og deretter inntil ett år for oppfølging.

Telefonnummer og kontoopplysninger i mobilappen: så lenge kontoen er aktiv. Når du ber om sletting i appen, fjernes opplysningene fra de aktive systemene innen 30 dager.

Innløste kuponger og tilhørende kvitteringer: inntil tre år etter innløsning der bokføringsloven krever det, ellers så lenge kontoen din er aktiv.

Engangskode-utfordringer (OTP): slettes eller anonymiseres innen 24 timer.

Krasjrapporter og driftslogger: opptil 90 dager.

Besøksstatistikk: i henhold til datalagringsperioden som er konfigurert for Spisrs PostHog-prosjekt.

8. Dine rettigheter

Du har rett til innsyn i opplysningene vi behandler om deg, til å rette uriktige opplysninger og til å be om sletting. Du har også rett til å begrense behandlingen, å motsette deg behandling basert på berettiget interesse, og til dataportabilitet.

Du kan slette kontoen din direkte i Spisr-appen under Profil → Konto → Slett konto. Du kan også sende en henvendelse til hei@spisr.no.

Du kan klage til Datatilsynet dersom du mener vi behandler opplysninger i strid med personvernregelverket. Klage rettes til Datatilsynet, postboks 458 Sentrum, 0105 Oslo, eller via datatilsynet.no.

9. Sikkerhet

Vi bruker krypterte tilkoblinger (TLS), kryptert lagring av sensitive felter (som hash av telefonnummer) og prinsippet om dataminimering. Tilgang til personopplysninger er begrenset til personell som trenger det for å utføre arbeidsoppgavene sine.

10. Endringer i erklæringen

Vi kan oppdatere denne erklæringen ved endringer i tjenesten eller regelverket. Vesentlige endringer varsles ved e-post til registrerte brukere og via appen.

11. Kontakt

Spørsmål om personvern eller utøvelse av dine rettigheter kan sendes til hei@spisr.no.

Privacy Policy

Last updated: 22 September 2026

This policy describes how Spisr AS processes personal data through the spisr.no website and the Spisr mobile app.

1. Who is the data controller

Spisr AS, Oslo, Norge, is the data controller for the personal data described in this policy.

Privacy enquiries can be sent to hei@spisr.no.

2. Data we process

Waitlist on spisr.no: the email address you submit.

Restaurant partner applications: contact name, restaurant name, city, phone number and email address.

Spisr mobile app (iOS and Android): phone number for one-time-code (OTP) login, a masked phone number shown in the app, authentication tokens stored encrypted on the device, location data while you actively use the app to discover nearby coupons, and a record of the coupons you have redeemed.

Operations and security: technical request logs (IP address, timestamp, endpoint and status code) and crash reports from the app via Sentry in production builds. Crash reports are sent without usernames or other direct identifiers (sendDefaultPii is disabled).

Website analytics on spisr.no (optional): a pseudonymous identifier and technical visit information such as page URL, referrer, browser and device. We do not use session recordings or automatic click tracking.

3. How we use the data

Operate the waitlist and let you know about launch, product updates and early access when you have consented to it.

Process restaurant partner applications and contact you about participation in Restaurantdagene and other campaigns.

Authenticate you in the mobile app, ensure that one-time codes reach the right number, and link redeemed coupons to your user account.

Show nearby coupons and restaurants when you actively use location services. Location data is processed only in the foreground and is not retained beyond the session.

Prevent abuse, investigate security incidents and improve stability by analysing crash reports.

Understand aggregate traffic to spisr.no, including whether visits arrive through email links. We only collect these statistics when you have consented.

4. Legal basis

Waitlist and email marketing: your consent under GDPR Article 6(1)(a). You may withdraw consent at any time.

Mobile app usage and coupon redemption: the contract between you and us under GDPR Article 6(1)(b).

Security logging, anti-abuse and product improvement: our legitimate interest in providing a stable and trustworthy service under GDPR Article 6(1)(f).

Statutory retention (for example Norwegian bookkeeping law where relevant): legal obligation under GDPR Article 6(1)(c).

Optional website analytics on spisr.no: your consent under GDPR Article 6(1)(a). You can withdraw it at any time through “Cookie settings” at the bottom of the page.

5. Data processors and third parties

Cloudflare, Inc. provides hosting, DNS and edge firewalling for spisr.no. Cloudflare may process IP addresses and technical request data. A data processing agreement is in place.

Twilio Inc. delivers the SMS one-time codes used to sign in to the mobile app. Twilio processes your phone number and the SMS content at the moment the code is sent.

Functional Software, Inc. (Sentry) in Germany processes crash reports from production builds of the mobile app.

PostHog, Inc. provides website analytics for spisr.no. PostHog receives only the pseudonymous visit information described above, and only after you have consented.

Our cloud provider for the back-end service stores account information, redeemed coupons and operational logs.

We do not share personal data with other third parties unless you have consented, we are legally required to, or sharing is necessary to deliver a service you have requested.

6. International transfers

Twilio and Cloudflare are US companies. Personal data transferred to the United States is covered by the EU Commission's Standard Contractual Clauses (SCCs) and supplementary safeguards where required.

Sentry processes our data in Germany (EU).

PostHog is configured in the EU region, so website analytics is processed in the EU.

7. How long we keep the data

Waitlist entries: until you unsubscribe or the service is discontinued.

Partner applications: until processing is complete, plus up to one year for follow-up.

Phone number and account data in the mobile app: as long as the account is active. When you request deletion in the app the data is removed from the active systems within 30 days.

Redeemed coupons and related receipts: up to three years after redemption where Norwegian bookkeeping law requires, otherwise as long as your account is active.

OTP challenges: deleted or anonymised within 24 hours.

Crash reports and operational logs: up to 90 days.

Website analytics: according to the retention period configured for Spisr's PostHog project.

8. Your rights

You have the right to access the data we hold about you, to correct inaccurate data and to request erasure. You also have the right to restrict processing, to object to processing based on legitimate interests, and to data portability.

You can delete your account directly in the Spisr app under Profile → Account → Delete account. You can also reach us at hei@spisr.no.

You may lodge a complaint with the Norwegian Data Protection Authority (Datatilsynet) if you believe we are processing data unlawfully. Contact: Datatilsynet, P.O. Box 458 Sentrum, 0105 Oslo, or datatilsynet.no.

9. Security

We use encrypted connections (TLS), encrypted storage of sensitive fields (such as the hash of your phone number) and the principle of data minimisation. Access to personal data is restricted to staff who need it to perform their work.

10. Changes to this policy

We may update this policy when the service or legal landscape changes. Material changes are announced by email to registered users and in the app.

11. Contact

Questions about privacy or exercising your rights can be sent to hei@spisr.no.