Personvernerklæring

Ikrafttredelsesdato: 16. september 2026

📄 Last ned databehandleravtalen som PDF: AVV (tysk) · DPA (engelsk)

Denne erklæringen beskriver hvordan vi behandler personopplysninger når du bruker j.show-plattformen ("Plattformen", "Tjenesten") eller besøker vår offentlige nettside. Den supplerer våre Bruksvilkår.

1. Behandlingsansvarlig / Kontakt

• Jonas Stricker
• Im Geigersberg 8, 74348 Lauffen am Neckar, Tyskland
• E-post: hello@j.show
• MVA-nr.: DE288958387

Vi har ikke oppnevnt personvernombud (ikke lovpålagt). For spørsmål om personvern kontakt oss direkte.

2. Roller i henhold til GDPR

j.show er en SaaS-plattform for profesjonell turné- og show-administrasjon. Avhengig av kontekst har vi ulike roller:

• Behandlingsansvarlig for data vi behandler for å levere Tjenesten til kundene (plattformeiere) – registrering, fakturering, support – og for den offentlige nettsiden.
• Databehandler for data kundene (artister, byråer) lagrer i sin instans om crew, kontakter, venues osv. Admin er behandlingsansvarlig for disse dataene. En databehandleravtale (DPA) etter art. 28 GDPR inngås gratis på forespørsel.

3. Hvilke data vi behandler og hvorfor

3.1 Registrering og drift av Plattformen

• Grunnopplysninger for eier: navn, e-post, underdomene, språk, region, abonnementstype, lisensstatus.
• Profildata crew/inviterte: navn, e-post, telefon, sted, rolle, passord (hash), språk, enhetstype, valgfritt bilde, fødselsdato, kjønn og tiltale/pronomen samt – hvis de er lagt inn for turnéplanleggingen – klær- og skostørrelser, opplysninger om førerkort og tograbattkort, bonusprogrammer og -numre for fly, et hotellalias og frie merknader om personen.
• Tofaktorpålogging: Den som setter det opp, lagrer en kryptert hemmelighet, tidspunktet for oppsettet og det sist brukte tidssteget. I motsetning til de øvrige profildataene oppbevares disse opplysningene sentralt ved e-postadressen og ikke i den enkelte plattformens database: den andre faktoren hører til personen og gjelder på alle plattformer der vedkommende arbeider med samme adresse.
• Tredjepartskontakter (venues, promotorer, hoteller): navn, e-post, telefon, adresse, skattenumre – registrert av Admin.
• Særskilte kategorier (art. 9 GDPR): helseopplysninger (allergier, kostkrav) for crew. Admin er ansvarlig for rettsgrunnlag (vanligvis samtykke).
• Forretningsdata: show-/turnédetaljer, fakturaer, kontrakter, IBAN – registrert av Admin.
• Steds- og reisedata: adresser og koordinater til spillesteder og hoteller (for kartvisning og turnéruter) samt eventuelle flydata (flynummer, dato) for reiseplanlegging – registrert av Admin eller berettigede brukere.
• Tilgangs- og aktivitetsdata: IP ved innlogging, økt-ID, tidsstempler, enhetsinformasjon.

Rettsgrunnlag: art. 6(1)(b) GDPR (avtale); for crew-data opptrer vi som databehandler på vegne av Admin (art. 28); for helsedata art. 9(2)(a) (samtykke hentes inn av Admin).

3.2 Fakturering og betalinger

• Fakturerings- og betalingsdata (firmanavn, adresse, MVA, bank via Stripe).
• Rettsgrunnlag: art. 6(1)(b) og (c) GDPR.

3.3 E-postkommunikasjon

• Transaksjons-e-poster (registrering, passordtilbakestilling, varsler, fakturaer) og support.
• Admin kan angi en egen e-postserver for utsending av deal memos og fakturaer. Disse meldingene går da via serveren Admin har angitt, og ikke via vår leveringsleverandør; påloggingsopplysningene lagres kryptert.
• Rettsgrunnlag: art. 6(1)(b) GDPR.

3.4 AI-assistent "Kira" (valgfri)

• Plattformen inkluderer en valgfri AI-basert assistent. Kira behandler kun data når du aktivt bruker chatten.
• Overføres til AI-leverandøren (via vår sentrale AI-tjeneste; enten Anthropic PBC eller OpenAI, L.L.C., begge USA): chat-teksten din, rolle, språk, underdomene, abonnementstype, e-post (supportruting), side-URL og de nyeste meldingene som kontekst. IP-adressen din overføres ikke til AI-leverandøren; vi bruker den utelukkende på våre egne servere for å motvirke misbruk (begrensning av antall forespørsler). Modellvalget i plattforminnstillingene gjelder kun AI-advancing-assistenten, ikke Kira.
• Overføres ikke: show-detaljer, crewlister, finansdata, kontrakter, opplastede filer eller andre forretningsdata.
• Opplysninger til supporthenvendelser: for å kunne svare på supportspørsmål kan Kira hente driftsdata fra våre egne systemer og ta dem med i svaret – for eksempel hvilke plattformer en e-postadresse hører til, innloggingshendelser (med tidspunkt og IP-adresse for det aktuelle innloggingsforsøket), feillogger og leveringsstatus for e-poster vi har sendt (med mottakeradresse). Disse oppslagsresultatene blir en del av samtalen og overføres dermed også til AI-leverandøren.
• Chathistorikken lagres på våre servere for kvalitetssikring. Sletting på forespørsel via hello@j.show.
• I henhold til den aktuelle AI-leverandørens avtalevilkår (Anthropics Enterprise API-policy, OpenAIs API-datapolicy) brukes det overførte innholdet ikke til modelltrening. Overføringen skjer via TLS-krypterte forbindelser.
• Rettsgrunnlag: art. 6(1)(a) GDPR (samtykke ved aktiv bruk).
• Overføring til tredjeland (USA): standardkontraktsklausuler (art. 46(2)(c) GDPR) og EU-US Data Privacy Framework.

3.5 AI-advancing-assistent (valgfri)

• Plattformen inkluderer en valgfri AI-støttet advancing-assistent som tolker instruksjoner sendt på e-post til plattformens egen adresse eller via assistent-fanen i plattform-chatten, og som deretter kan opprette, endre eller koble arrangementer, venues, hoteller, partnere, avtaler osv. E-postveien er deaktivert som standard, må aktiveres av Admin og behandler kun instruksjoner fra autoriserte avsendere; e-poster fra ikke-autoriserte avsendere forkastes før enhver AI-behandling. Assistent-fanen i plattform-chatten er som standard tilgjengelig for administratorer; Admin kan begrense tilgangen via en autorisasjonsliste.
• Overføres til AI-leverandøren (avhengig av valgt modell Anthropic PBC eller OpenAI, L.L.C., begge USA): i motsetning til Kira overføres her faktiske forretningsdata: innholdet i instruksjonen, eventuelle vedlegg (PDF, bilder, tekstdokumenter – inkludert bilde-/PDF-innhold for analyse), e-postadressen til personen som gir instruksjonen, samt de arrangement-, venue-, hotell-, partner-, crew-, gjesteliste- og finans-/avtaledataene som er nødvendige for å behandle instruksjonen. For turnérute-funksjonen i tillegg spillesteder, koordinater og reiseavstander.
• Bilagsgjenkjenning & filanalyse: I tillegg kan opplastede filer analyseres med AI-støtte: bilagsgjenkjenningen (OCR) leser faktura-/kvitteringsdata ut av bilder og PDF-er ved bilagsregistreringen, og filanalysen ved opplasting trekker ut relevant innhold fra dokumenter. Filens innhold overføres da til den aktuelle AI-leverandøren (Anthropic PBC eller OpenAI, L.L.C., begge USA); også her gjelder: TLS-kryptert overføring, ingen bruk til modelltrening.
• Du samhandler utelukkende med våre systemer hostet i Tyskland; derfra er overføringen til den aktuelle AI-leverandøren (Anthropic PBC eller OpenAI, L.L.C., begge USA) TLS-kryptert.
• I henhold til AI-leverandørens avtalevilkår (Enterprise- eller API-policy) brukes innholdet ikke til trening av leverandørens modeller.
• Vi lagrer historikken over assistent-kjøringer i maksimalt 90 dager for kvalitetssikring og misbruksforebygging, i en sentral logg som føres på tvers av plattformene, og som bare vi har tilgang til. Den omfatter instruksjonen, modellens svar og de utførte handlingene, inkludert dataene som ble overlevert i den forbindelse (for eksempel navn og kontaktopplysninger til kontaktpersoner, oppføringer i gjestelister samt arrangement-, hotell- og avtaleopplysninger). Vedlegg lagres ikke i fulltekst i denne loggen. Innkommende rå-e-poster slettes innen få timer etter behandling.
• Rettsgrunnlag: art. 6(1)(b) GDPR (oppfyllelse av avtalen med plattformeieren); for crew-/kontaktdata som inngår, opptrer vi som databehandler på vegne av Admin (art. 28 GDPR).
• Overføring til tredjeland (USA): standardkontraktsklausuler (art. 46(2)(c) GDPR) og EU-US Data Privacy Framework.

3.6 Offentlig nettside (j.show)

• Ved besøk sendes IP-en din én gang kryptert til country.is for å oppdage land og vise regional pris (EUR/USD; prisregioner: EU, USA/verden, Asia).
• Vi bruker ingen annonsetrackere, ingen analysepiksler og ingen tredjepartstjenester for rekkeviddemåling (ingen Google Analytics, ingen Meta Pixel, ingen Matomo). Bruker du ikke hjelpeassistenten, settes det heller ingen informasjonskapsler på den offentlige nettsiden (se punkt 4).
• Kampanjemerker i lenker: kommer du til nettsiden vår via en merket lenke i en melding vi har sendt (parameteren src=), logger vi merket, tidspunktet, siden som ble åpnet, og identifikasjonsstrengen nettleseren din sender (user agent), for å måle effekten av henvendelsen vår. Det settes ingen informasjonskapsel, og ingen IP-adresse lagres. Via merket kan besøket knyttes til den aktuelle meldingen; se nærmere i punkt 3.7.
• Rettsgrunnlag: art. 6(1)(f) GDPR (berettiget interesse i korrekt prisvisning og i å måle effekten av vår egen henvendelse).

3.7 Forretningsmessig kontakt med potensielle kunder (B2B)

For å kontakte potensielle bedriftskunder i live- og turnébransjen (booking- og managementbyråer, turnéproduksjoner, tour managers) behandler vi forretningsmessige kontaktopplysninger om disse selskapenes kontaktpersoner. På dette området er vi behandlingsansvarlig, ikke databehandler.

• Datakategorier: navn, stilling, jobbrelatert e-postadresse og telefonnummer, jobbrelatert LinkedIn-profil, selskap, land, språk, interne notater om ansvarsområde samt e-postkorrespondansen som er ført med oss.
• Kilde: offentlig tilgjengelige kilder (selskapenes nettsteder, offentlige bransjeoversikter – undersøkelsen støttes av et AI-basert nettssøk), bransjedatabaser, anbefalinger samt opplysninger personen selv har gitt oss.
• Formål: en enkeltstående eller leilighetsvis første forretningshenvendelse og den påfølgende korrespondansen.
• Rekkeviddemåling: lenker i meldingene våre inneholder et kildemerke (se punkt 3.6). Formålet er utelukkende å måle effekten av vår egen henvendelse; det skjer ingen utlevering til tredjeparter og ingen profilering utover nettsiden vår.
• Mottakere: Anthropic PBC, USA – for å oversette interne notater og stillingsbetegnelser samt for å tolke og besvare innkommende meldinger. Utsendingen skjer via vår egen e-postserver i Tyskland.
• Rettsgrunnlag: art. 6(1)(f) GDPR – berettiget interesse i å henvende seg direkte til forretningsmessige kontaktpersoner og i å måle effekten av denne henvendelsen.
• Overføring til tredjeland (USA): standardkontraktsklausuler (art. 46(2)(c) GDPR) og EU-US Data Privacy Framework; overføringen er TLS-kryptert. I henhold til leverandørens avtalevilkår brukes innholdet ikke til modelltrening.
• Lagringstid: inntil du protesterer, lengst 24 måneder etter siste kontakt. Klikkdata slettes etter 12 måneder. Protesterer du, beholder vi kun e-postadressen din på en sperreliste – uten de øvrige opplysningene – slik at vi ikke kontakter deg på nytt.
• Din rett til å protestere (art. 21 GDPR): du kan når som helst og uten formkrav protestere mot at opplysningene dine behandles for direkte markedsføring – en e-post til hello@j.show er nok. Vi stopper da henvendelsene umiddelbart.

3.8 Tilkobling til et billettsystem (valgfri)

• Admin kan koble plattformen til billettsystemet som forhåndssalget til en show går gjennom, for automatisk å hente inn salgstallene. Tilkoblingen er ikke satt opp som standard og virker først når Admin har angitt et billettsystem og påloggingsopplysninger.
• Bare dagssummen av solgte billetter per show hentes og lagres – altså en tidsserie med dato og antall. Navn, adresser og e-postadresser til billettkjøpere behandles ikke; forespørselen ber ikke engang om disse opplysningene, så de når aldri systemene våre.
• Påloggingsopplysningene Admin har angitt, lagres kryptert (AES-256-GCM), som opplysningene til en egen e-postserver (se punkt 3.3).
• Ingen ny mottaker, ingen overføring til tredjeland: vi sender ingen data til billettsystemet, men leser utelukkende fra kontoen Admin uansett har der. Den som driver systemet, blir dermed ikke vår databehandler; avgjørende er fortsatt avtaleforholdet mellom Admin og den leverandøren.
• Rettsgrunnlag: art. 6(1)(b) GDPR (avtale).

3.9 Dagsoversikt på eget nettsted (valgfri)

• Administratoren kan bygge inn en oversikt over plattformens dager på sitt eget nettsted (Innstillinger → Integrasjoner → Dagsoversikt på nettsted). Innbyggingen er ikke aktiv som standard og virker først når administratoren slår den på og setter inn den oppgitte koden på nettstedet sitt.
• Slik foregår det: når en besøkende åpner en side med dagsoversikten, laster nettleseren to filer fra plattformadressen: et lite skript og den ferdige listen. Ingen tredjeparter er involvert.
• Ingen informasjonskapsler, ingen lagring i nettleseren: verken skriptet eller hentingen av listen setter informasjonskapsler; det lagres heller ingen data i local storage eller session storage, og det tildeles ingen gjenkjenningsidentifikatorer.
• Behandlede data: utelukkende de opplysningene som ethvert kall teknisk fører med seg – IP-adresse, dato og klokkeslett, henvisende side (referrer), opplysninger om nettleser og operativsystem (user agent) – samt språket som er valgt i nettleseren, og som bare brukes til å velge språkversjon. Disse opplysningene registreres i serverloggene (se punkt 8), sammenstilles ikke med andre data og brukes ikke til analyse, profilering eller reklame.
• Lagringssted: servere i Tyskland (se punkt 7). Ingen ytterligere databehandler kommer til for dette kallet.
• Billettlenker: inneholder oversikten billettlenker, er dette vanlige lenker. Data når den aktuelle billettleverandøren først når en besøkende klikker på lenken.
• Roller og rettslig grunnlag: behandlingsansvarlig for nettstedet der oversikten bygges inn, er kunden; vi behandler kalldataene på kundens vegne (art. 28 i GDPR, se punkt 2). For drift og sikring av serverne våre støtter vi oss på art. 6 nr. 1 bokstav f i GDPR. Kunden informerer selv de besøkende på nettstedet sitt; i plattformen stiller vi en tekstmal til rådighet under det nevnte menypunktet.

4. Informasjonskapsler

Vi bruker kun strengt nødvendige informasjonskapsler:

• JSHOW_N2 – økt (HttpOnly, Secure, SameSite=Lax).
• JSHOW_APP – token for mobilapp.
• farben_auto – mørk/lys-modus.
• appversion, device – enhet-/versjonsdeteksjon i appen.
• JSHOW_SLOTS – husker hvilke av kontoene dine som er innlogget på denne enheten (opptil tre), slik at du kan bytte mellom dem uten å logge inn på nytt. Inneholder ingen klarnavn, bare kryptografiske verdier som er knyttet til passordet til den aktuelle kontoen. Varighet 30 dager, slettes umiddelbart ved utlogging.
• JSHOW_SLOTS_OUT – noterer kortvarig at en konto er logget ut, slik at utloggingen også får effekt i mobilappen. Fjernes når den er brukt.
• kira_user – pseudonym identifikator slik at en samtale med hjelpeassistenten kan fortsette på tvers av nettside, håndbok og Plattform (varighet 1 år, gjelder alle j.show-adresser, HttpOnly, Secure, SameSite=Lax). Settes først når du åpner chatten.

I tillegg setter vi flere informasjonskapsler av samme type, alle strengt nødvendige, for innlogging på flere kontoer, innlogging på byråplattformen, beskyttelse av skjemaer mot misbruk og push-varsler. Alle nevnte informasjonskapsler brukes til å levere funksjonene du har bedt om; ingen av dem brukes til analyse, sporing eller reklame.

Ingen samtykkebanner nødvendig, da ingen samtykkepliktige informasjonskapsler settes. Du kan slette kapslene i nettleseren; uten øktkapsel kan du ikke logge inn.

Rettslig grunnlag: § 25(2)(2) TDDDG (strengt nødvendige informasjonskapsler) sammenholdt med art. 6(1)(b) GDPR.

Dagsoversikten som kunder kan bygge inn på sitt eget nettsted, setter ingen informasjonskapsler og lagrer ingenting i nettleseren til de besøkende (se punkt 3.9).

5. Kryptering

• Overføring over SSL/TLS.
• Passord lagres kun som kryptografiske hasher.
• Øvrige personopplysninger på krypterte filsystemer. Særlig sensitive påloggingsopplysninger som Plattformen lagrer for deg – for eksempel til en egen e-postserver eller et regnskapsgrensesnitt – lagres i tillegg kryptert i databasen.

6. Mottakere / Deling

6.1 Innenfor Plattformen

• Navn, e-post, telefon, sted og rolle er synlige for brukere med tilgang til Plattformen (unntatt "Gjester" med begrenset tilgang).
• Listen "Reisefølge" for et arrangement er synlig for "Gjester" som selv er i listen.
• LINK-funksjonen lar Admins/byråer/tour managers gi tredjeparter (lokale promotorer m.fl.) en tidsbegrenset lenke med valgt arrangementsinformasjon. Oppretting logges.
• "Skjul kontakten min" i "Rediger profil" begrenser synlighet av kontaktdata til Admins/byråer.

6.2 Underleverandører

Vi bruker nøye utvalgte leverandører med databehandleravtaler etter art. 28 GDPR. Kryptert overføring; leverandører utenfor EU under standardkontraktsklausuler og, der relevant, EU-US Data Privacy Framework.

I kundeområdet på Plattformen bruker vi ingen annonsetrackere, analysepiksler, profileringstjenester, sosiale plugins eller annonsetjenester. For å måle effekten av vår egen henvendelse analyserer vi kun kampanjemerker i lenker vi selv har sendt (punkt 3.6). Vi selger eller bytter ikke personopplysningene dine.

7. Lagringssted

Primær lagring på servere i Tyskland. Noen underleverandører kan innenfor sitt ansvar behandle data i andre land.

8. Oppbevaringstider

• Crew-profiler: inntil den registrerte eller Admin/byrå sletter profilen. Ved slettingen fjernes profilen og alle personens tilknytninger i Plattformen (crewplanlegging, reisefølger, romfordeling, ut- og hjemreiser, kjøretøy, oppgaver, varsler) fullstendig og ugjenkallelig. Sentralt førte logger og historikk utløper etter de egne fristene som er nevnt nedenfor; du kan når som helst be om umiddelbar sletting av dem via hello@j.show.
• Invitasjoner og interne logger: invitasjoner til nye crew-medlemmer utløper etter 30 dager; invitasjonslenken slutter da å virke. E-postadresse og navneinitialer fjernes umiddelbart ved avslåtte invitasjoner og etter ytterligere 180 dager ved utløpte – frem til da kan invitasjonen sendes på nytt. Interne endringslogger for enkeltarrangementer slettes dagen etter arrangementet, og AI-assistentens tekniske jobb-metadata senest 24 timer etter fullføring. Leste varsler i varslingssenteret slettes automatisk 30 dager etter at de ble lest.
• Plattforminstans: i abonnementsperioden og, etter at lisensen opphører (oppsigelse eller utløp av abonnementet), i ytterligere ett (1) år, slik at plattformen når som helst kan reaktiveres i denne perioden. Etter dette året slettes databasen fullstendig, med mindre lovbestemte oppbevaringskrav gjelder. Fra det tidspunktet lisensen opphører, kan Admin også når som helst få plattforminstansen arkivert og/eller permanent slettet tidligere.
• Fakturerings-/regnskapsdata: 10 år.
• Kira-chathistorikk: når en bruker sletter en chat, blir den først arkivert og skjult; fullstendig fjerning skjer på forespørsel eller sammen med slettingen av plattforminstansen.
• AI-advancing-historikk: logg over assistent-kjøringer i maksimalt 90 dager; innkommende rå-e-poster slettes innen få timer etter behandling.
• Kontaktopplysninger fra forretningsmessig kontakt (punkt 3.7): inntil du protesterer, lengst 24 måneder etter siste kontakt; deretter slettes kontakten og tilhørende korrespondanse automatisk. Ved en protest beholdes kun e-postadressen som sperremarkering. Klikkdata fra rekkeviddemålingen: 12 måneder.
• Autentiseringslogger (påloggingsforsøk): 30 dager. Rådataene i aktivitetsloggene – med IP-adresse, brukernavn og adressen som ble kalt opp – sletter vi etter 90 dager; igjen står bare dagssummer uten IP-adresse og uten fullstendige adresser. Serverlogger oppbevarer vi til sikkerhetskopiering og sporbarhet og sletter dem så snart formålet bortfaller, senest når plattforminstansen slettes.

9. Dine rettigheter

Etter GDPR har du følgende rettigheter:

• Innsyn (art. 15 GDPR) – alle opplysninger som er lagret om deg, kan du se inne i Plattformen.
• Retting (art. 16 GDPR) – kan endres under "Rediger profil".
• Sletting (art. 17 GDPR) – kan slettes under "Rediger profil". Se veiledningen for sletting av konto.
• Begrensning av behandlingen (art. 18 GDPR) – for eksempel via avkryssingen "Skjul kontakten min".
• Innsigelse (art. 21 GDPR) – mot behandling som bygger på berettigede interesser.
• Dataportabilitet (art. 20 GDPR) – på forespørsel til hello@j.show utleverer vi opplysningene dine i et strukturert, alminnelig brukt format.
• Tilbaketrekking av samtykke (art. 7(3) GDPR) – når som helst, med virkning for fremtiden.

Du kan gjøre disse rettighetene gjeldende overfor Admin for din instans (behandlingsansvarlig for crew- og kontaktopplysningene dine) eller direkte overfor oss (hello@j.show).

10. Klagerett til tilsynsmyndighet

Du har rett til å klage (art. 77 GDPR). Kompetent myndighet for oss:

• Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
• Königstraße 10a, 70173 Stuttgart, Tyskland
• www.baden-wuerttemberg.datenschutz.de

11. Endringer

Vi kan oppdatere denne erklæringen. Vesentlige endringer varsles med rimelig frist. Gjeldende versjon finner du på j.show/privacy/no.html.