Personvernerklæring

1. Behandlingsansvarlig

GLIMTO AS, org.nr 838 385 362, Sørumsgata 1A, 2000 Lillestrøm, er behandlingsansvarlig for personopplysningene som behandles på glimto.no og i GLIMTOs bedriftsportal, creatordashboard og adminpanel. Spørsmål om personvern sendes til kontakt@glimto.no.

2. Hvilke opplysninger vi behandler

Hvilke opplysninger vi behandler avhenger av hvordan du bruker GLIMTO. Opplysningene vi trenger for konto, fakturering og utbetaling må oppgis for at vi skal kunne inngå og gjennomføre avtalen.

Besøkende på glimto.no: teknisk informasjon som IP-adresse, nettlesertype og tidspunkt i serverloggene, samt samtykkevalg for informasjonskapsler. Vi teller besøk og sidevisninger uten informasjonskapsler (ingen identifikator som følger deg mellom besøk). Bare hvis du samtykker til «Analyse», måler vi i tillegg hvilke sider og knapper som brukes og hvor på siden du klikker og ruller, og på de åpne sidene (forsiden, informasjonssidene og vilkårene) og i registreringen tar vi opp hvordan siden brukes: bevegelser, klikk og rulling i en gjenskaping av siden, der det du skriver i felt, er maskert (se informasjonskapsel-siden); er du innlogget, knyttes disse målingene til kontoens interne id, aldri til navn eller e-postadresse, og koblingen nullstilles når du logger ut. Svarene i plan-veiviseren på forsiden lagres ikke; de når oss bare hvis du sender e-posten veiviseren fyller ut.

Bedriftsbrukere: navn, e-postadresse, rolle i bedriften, bedriftens navn, organisasjonsnummer, adresse og fakturaadresse, svarene dere gir når kontoen opprettes og senere under Merkevare (bransje, hva dere viser fram, mål, målgruppe, tone, kanaler, nettside og erfaring med markedsføring), logo, aksept av vilkårene og bedriftsavtalen (tidspunkt, versjon, nettverksadresse og nettleser; for kontoer som signerte bedriftsavtalen med BankID før 29. oktober 2026 også navnet fra BankID, en pseudonym identifikator for BankID-identiteten og det forseglede dokumentet), kampanjer og briefer, valgt betalingsmåte, valg av videoer, fakturaer og betalingsstatus, meldinger til creators og support, og vurderinger dere gir creators.
Creators: navn, e-postadresse, by, profilbilde, profiltekst, kategorier og innholdstyper, erfaring og språk, utstyr, lenker til offentlige profiler (Instagram, TikTok, YouTube, Snapchat, LinkedIn), foretaksform, organisasjonsnummer, kontonummer og mva-status, aksept av vilkårene og skaperavtalen (tidspunkt, versjon, nettverksadresse og nettleser; for kontoer som signerte skaperavtalen med BankID før 29. oktober 2026 også navnet fra BankID, en pseudonym identifikator for BankID-identiteten og det forseglede dokumentet), videoer du leverer med tilhørende opplysninger, plasser du tar, kvalitetssikringsresultater, lenker til innlegg du publiserer, følgertall fra de offentlige profilene dine og visningstall fra innleggene, utbetalinger og bonus, nivå, vurderinger fra bedrifter og meldinger.
Alle innloggede brukere: innloggingstidspunkt, tofaktoroppsett (aldri selve koden), varslingsvalg, tema, og en revisjonslogg over handlinger som påvirker andre (godkjenninger, utbetalinger, endringer i kampanjer).
Påbegynte registreringer: e-postadressen, og eventuelt navnet og bedriften, som er skrevet inn på opprett konto uten at kontoen ble opprettet. Vi bruker dem til å gi beskjed internt og til inntil tre påminnelser på e-post om registreringen, som du kan stoppe fra hver e-post. Opplysningene slettes senest 30 dager etter at de ble skrevet inn.
Sikkerhet: antall innloggingsforsøk og andre handlinger per IP-adresse og konto i korte tidsvinduer (ratebegrensning), og signaler fra nettleseren i robotkontrollen på innloggings- og registreringsskjemaene. Tellerne slettes automatisk når vinduet er over.
E-post fra oss: hvilken e-post som ble sendt til hvilken adresse og når, og om den ble levert, avvist eller merket som spam. For e-poster der vi har slått det på, registrerer vi også om e-posten ble åpnet (et lite bilde i e-posten lastes) og om en lenke i den ble klikket (lenken går via e-postleverandøren vår). Vi lagrer ikke IP-adressen eller nettleseren din fra åpningen eller klikket, og lenken lagres uten koder. Du unngår åpningsregistreringen ved å ikke laste bilder i e-posten. Engangskoder, e-post om passord og sikkerhet og invitasjoner registreres ikke. Opplysningene slettes etter 90 dager. Dette står også der du skriver inn e-postadressen (når du oppretter konto og i pilotskjemaet): ved å skrive den inn godtar du at vi sender deg e-post og registrerer dette.

3. Formål og behandlingsgrunnlag

Vi behandler opplysningene bare for formålene under, med det grunnlaget som er angitt for hvert formål.

Levere tjenesten: opprette konto, publisere kampanjer, formidle oppdrag, kvalitetssikre videoer, gjennomføre kundevalg, registrere bruksrett og betale creators: oppfyllelse av avtale (artikkel 6 nr. 1 bokstav b).
Følgertall og visningstall fra offentlige profiler og innlegg: oppfyllelse av avtale når tallene brukes til visningsbonus, nivå, Influence-oppdrag og kampanjerapporter, og berettiget interesse (artikkel 6 nr. 1 bokstav f) når vi vurderer en ny creator. Vi henter bare tall for profiler og innlegg du selv har registrert hos oss.
Aksept av vilkår og avtaler (og signaturer med BankID fra før 29. oktober 2026): oppfyllelse av avtale, og berettiget interesse i å kunne dokumentere hvem som har inngått avtalen.
Utbetaling gjennom Systima: oppfyllelse av avtale (utbetaling til creators) og bokføringsloven.
Fakturering, regnskap og rapportering av utbetalinger: rettslig forpliktelse (artikkel 6 nr. 1 bokstav c) etter bokføringsloven og skattelovgivningen.
Sikkerhet: innlogging, tofaktor, ratebegrensning, robotkontroll, revisjonslogg, feilovervåking og forebygging av misbruk: berettiget interesse i å beskytte brukerne og tjenesten.
Kontroll av meldinger i portalen: meldinger mellom brukere og til GLIMTO kontrolleres automatisk for kontaktinformasjon og trakassering, og treff (meldingen, avsenderen og hva som ble funnet) lagres og ses av GLIMTO: berettiget interesse i å hindre at oppdrag flyttes ut av plattformen og i å beskytte brukerne mot trakassering.
Varsler om oppdrag, leveranser, valg og utbetalinger: oppfyllelse av avtale. Ukentlige oppsummeringer og påminnelser kan slås av under Innstillinger › Varsler.
E-post fra GLIMTO til alle creators eller alle bedrifter, med informasjon om tjenesten og av og til nyheter og tilbud: berettiget interesse i å holde brukerne orientert. Hver slik e-post har lenken «Meld deg av»; da får du ikke flere av dem, mens e-post om din egen konto og ditt eget arbeid kommer som før.
Om e-post fra oss blir levert, åpnet og klikket: berettiget interesse i å vite om e-postene kommer fram og blir lest, i å finne adresser som ikke tar imot e-post, og i å slutte å sende påminnelser som ikke virker.
Vurderinger og nivå: berettiget interesse i å vise bedrifter hvilke creators som leverer godt, og i å gi creators som leverer over tid tidligere tilgang til oppdrag.
Besøksstatistikk uten informasjonskapsler: berettiget interesse i å vite om nettstedet fungerer; ingen profil, ingen identifikator på tvers av besøk.
Produktanalyse og eventuell markedsføring: samtykke (artikkel 6 nr. 1 bokstav a), som du gir i samtykkeboksen og kan trekke tilbake når som helst via «Innstillinger for informasjonskapsler» i bunnen av siden eller øverst på cookie-siden.

4. Opplysninger vi mottar fra andre

Noen opplysninger kommer ikke fra deg selv (artikkel 14):

Fra Brønnøysundregistrene: bedriftens navn, adresse og næringskode når et organisasjonsnummer slås opp ved registrering.
Fra offentlige profil- og innleggssider på Instagram, TikTok og YouTube: følgertallet på profilene du har registrert hos oss, hvor mange videoer profilen viser, og visningstallet på innleggene du har registrert som publisert, hentet en gang i døgnet av en underleverandør på våre vegne. Vi henter aldri innhold, kommentarer, meldinger, følgerlister eller opplysninger om andre personer.
For kontoer som signerte en avtale med BankID før 29. oktober 2026: navnet, tidspunktet og en pseudonym identifikator for BankID-identiteten (en kode signeringsleverandøren laget, ikke fødselsnummeret), slik vi fikk dem da. Vi henter ikke nye opplysninger fra BankID.
Fra Systima: om registreringen din er fullført, og status for utbetalinger.
Fra TikTok: bekreftelse på at en innleggslenke du har registrert, finnes.
Fra bedrifter: vurderinger av leveranser og meldinger i kampanjetråder om creators.
Fra en administrator i bedriften din: navn og e-postadresse når du inviteres som medarbeider.
Fra GLIMTOs kvalitetssikring: sjekkliste og vurdering av hver leveranse.

5. Personer i videoer

Videoer kan vise creator og andre som har samtykket til å være med. GLIMTO lagrer, kvalitetssikrer og deler videoene med kunden med grunnlag i avtalen med creator og de medvirkendes samtykke. Kunden er selvstendig behandlingsansvarlig for egen bruk av videoen. Henvendelser om en video sendes til kontakt@glimto.no.

6. Hvem vi deler opplysninger med

Bedrifter ser navn, profilnavn, profilbilde, by, profiltekst, offentlige profillenker, nivå, vurderinger og de videoene creators leverer til bedriftens egne kampanjer. Creators ser bedriftens navn og bransje, briefen og navnene på andre creators som har tatt plass på samme oppdrag. GLIMTOs ansatte har tilgang etter rolle (drift, kvalitetssikring, økonomi, support), og all tilgang logges.

Vi bruker databehandlere som behandler opplysninger på våre vegne etter databehandleravtale, og som ikke får bruke dem til egne formål. Her er kategoriene og hvor de behandler opplysningene; navnet på den enkelte leverandøren får du ved å kontakte oss:

Leverandør av database, innlogging og fillagring: database, innlogging (inkl. tofaktor) og lagring av videofiler og signerte avtaler (datasenter i EU; amerikansk eierskap, standardkontrakter).
Leverandør av sikkerhetskopi: en nattlig kopi av videofiler, forhåndsvisninger, profilbilder og signerte avtaler (datasenter i EU; amerikansk eierskap, standardkontrakter).
Leverandør av drift og serverkode: drift av nettstedet og serverkoden, besøksstatistikk uten informasjonskapsler og robotkontroll på innloggings- og registreringsskjemaene (EU og USA; standardkontrakter / EU-US Data Privacy Framework).
Leverandør av e-postutsending: utsending av e-post (koder, varsler, påminnelser og fakturakopier) (USA; standardkontrakter).
Leverandør av produktanalyse: sidevisninger, navngitte hendelser og klikk- og rullekart (posisjoner, ikke innhold), og på de åpne sidene og i registreringen et opptak av hvordan siden brukes (det du skriver i felt, maskeres; aldri innloggede sider); innlogget koblet til kontoens interne id (datasenter i EU; amerikansk eierskap, standardkontrakter); bare hvis du samtykker til «Analyse».
Leverandør av feilovervåking: tekniske feilmeldinger fra nettleseren og serveren, uten innhold fra skjemaer (datasenter i EU; amerikansk eierskap, standardkontrakter / EU-US Data Privacy Framework).
Regnskapssystem: fakturering og regnskap: fakturaer til bedrifter og mottak av fakturaer fra creators (Norge).
Leverandør av innhenting av offentlige tall: daglig innhenting av følgertall fra creators' offentlige profiler og visningstall fra innlegg creator har registrert som publisert (EU); gjelder creators.
Leverandør av sikkerhetssjekk mot roboter: en sikkerhetssjekk på innloggings- og registreringsskjemaene og pilotskjemaet som skiller mennesker fra roboter; den leser tekniske egenskaper ved nettleseren og nettverksadressen, og viser en avkrysningsboks bare når den er usikker (EU og USA; standardkontrakter / EU-US Data Privacy Framework); når du bruker skjemaene.

7. Mottakere som er selvstendig behandlingsansvarlige

I tillegg deler vi opplysninger med mottakere som selv bestemmer over bruken, når det er nødvendig for å levere tjenesten eller er lovpålagt. De behandler opplysningene etter egne personvernerklæringer.

Systima AS (fakturering uten firma): fakturerer GLIMTO på vegne av creators uten foretak og betaler ut til dem: creatoren oppretter fakturaen hos Systima selv, så Systima får opplysningene fra creatoren, ikke fra GLIMTO; GLIMTO betaler Systimas faktura med navnet ditt og utbetalingsreferansen på (Norge); bare creators som velger det.
Betalingsformidler for kortbetaling: kortopplysningene tastes hos betalingsformidleren og når aldri GLIMTO; formidleren bruker også opplysningene til egen svindelkontroll og etter finansregelverket (Irland/EU); bare når bedriften betaler med kort.
Google: innlogging med Google-konto (EU/USA); bare hvis du velger det.
Brønnøysundregistrene: oppslag av organisasjonsnummer (vi sender bare nummeret) (Norge).
TikTok: kontroll av at en registrert innleggslenke finnes (vi sender bare lenken) (EU/USA).
GLIMTOs bank: utbetaling til creators som fakturerer (Norge).
Skatteetaten og revisor: når lov eller regnskapsplikt krever det (Norge).

8. Overføring utenfor EØS

Vi bruker datasentre i EU/EØS der det er mulig. Flere av leverandørene våre er eid av eller har virksomhet i USA og kan få tilgang til opplysninger derfra, for eksempel ved kundestøtte og drift. Overføring skjer på grunnlag av EU-kommisjonens standardkontrakter eller leverandørens sertifisering under EU-US Data Privacy Framework. Du kan be om kopi av grunnlaget ved å kontakte oss.

9. Hvor lenge vi lagrer opplysningene

Kontoopplysninger lagres så lenge kontoen er aktiv. En creator kan be om sletting under Innstillinger når det ikke finnes aktive plasser; da slettes profilen og opplysninger vi ikke må oppbevare, mens fakturagrunnlag, utbetalinger, signerte avtaler og leverte videoer oppbevares så lenge det står under. Bedriftskontoer slettes på forespørsel til support når ingen kampanjer pågår, på samme måte.

Fakturaer, utbetalinger og bonusgrunnlag oppbevares i fem år etter regnskapsårets slutt (bokføringsloven). Revisjonsloggen oppbevares like lenge for hendelser som gjelder utbetalinger og godkjenninger.

Signerte avtaler og aksepter oppbevares i avtaleperioden og fem år etter utgangen av regnskapsåret da avtalen eller siste lisens opphørte.

Følger- og visningstall lagres så lenge kontoen er aktiv; tall som er brukt til visningsbonus, oppbevares som bonusgrunnlag i fem år etter regnskapsårets slutt.

Videofiler slettes senest tre år etter at siste lisens til videoen er utløpt, og en video som aldri fikk lisens, senest tre år etter kvalitetssikringen. Søknader som ikke godkjennes, slettes 12 måneder etter siste aktivitet. Meldinger og supporthenvendelser slettes tre år etter at saken er avsluttet.

Sikkerhetskopier: databasen kopieres daglig og kopiene slettes etter åtte dager; filer (videoer, forhåndsvisninger, profilbilder og signerte avtaler) kopieres hver natt til et sikkerhetskopilager i EU, og en fil som er slettet hos oss, slettes der senest 30 dager senere.

Feilmeldinger slettes etter 90 dager, analysedata etter 12 måneder. Serverlogger og ratebegrensningstellere slettes innen 30 dager. Samtykkevalg lagres i 12 måneder. Påbegynte registreringer slettes senest 30 dager etter at de ble skrevet inn. E-postloggen (sendt, levert, åpnet, klikket) slettes etter 90 dager. Hvem som fikk en e-post til alle, slettes etter 90 dager; selve utsendingen (emne, tekst og antall) beholdes. Valget om å melde seg av lagres så lenge kontoen finnes.

10. Sikkerhet

All trafikk er kryptert (TLS). Passord lagres bare som hash hos autentiseringsleverandøren, og tofaktorautentisering er påkrevd for bedrifter og GLIMTOs ansatte og tilgjengelig for creators. Tilgang til data er avgrenset etter rolle og rad for rad i databasen, videofiler leveres bare via kortlevde signerte lenker, forhåndsvisninger er vannmerket, og handlinger som påvirker andre brukere logges.

11. Dine rettigheter

Du har rett til innsyn i, retting av og sletting av opplysningene dine, til å begrense behandlingen, til dataportabilitet og til å protestere mot behandling som bygger på berettiget interesse. Samtykke kan trekkes tilbake når som helst uten at det påvirker lovligheten av behandlingen før tilbaketrekkingen. Henvendelser sendes til kontakt@glimto.no; vi svarer uten ugrunnet opphold og senest innen en måned.

Mye kan du gjøre selv: Innstillinger viser og lar deg endre profil, kontaktopplysninger, utbetalingsopplysninger, varsler og sikkerhet, og creators kan be om sletting av kontoen der.

12. Automatiserte avgjørelser

Nivået (1–4) beregnes automatisk ut fra godkjente leveranser og gjennomsnittlig vurdering, og avgjør hvor tidlig nye oppdrag blir synlige og om visningsbonus gjelder. For Influence-oppdrag kontrolleres følgertallet automatisk mot følgerintervallet før du kan ta plass, og visningsbonus beregnes automatisk ut fra visningstallet. Du kan be om manuell vurdering av alle disse avgjørelsene.

13. Aldersgrense

GLIMTO er for næringsdrivende og personer som har fylt 18 år. Vi behandler ikke bevisst opplysninger om barn som bruker tjenesten selv; oppdager vi en konto tilhørende en person under 18 år, slettes den. Barn kan bare medvirke i videoer etter reglene i skaperavtalen.

14. Endringer

Vi oppdaterer denne erklæringen når tjenesten eller regelverket endres. Datoen øverst viser gjeldende versjon; vesentlige endringer varsles på e-post til registrerte brukere.

15. Klage

Mener du at vi behandler personopplysninger i strid med regelverket, vil vi gjerne høre fra deg først. Du kan også klage til Datatilsynet (datatilsynet.no).