Privacy Policy

Personvernerklæring for Drop

Sist oppdatert: 2. mars 2026 Behandlingsansvarlig: ALAI Holding AS, org.nr. 932 516 136 Kontakt: personvern@getdrop.no Nettsted: https://getdrop.no

1. Innledning

Denne personvernerklæringen beskriver hvordan ALAI Holding AS («vi», «oss», «selskapet») behandler personopplysninger i forbindelse med betalingstjenesten Drop. Erklæringen er utarbeidet i samsvar med EUs personvernforordning (GDPR) artikkel 13 og 14, samt den norske personopplysningsloven (LOV-2018-06-15-38).

Drop er en betalingstjeneste som tilbyr pengeoverføring til utlandet og QR-betalinger i butikk, tilgjengelig for alle innbyggere i Norge. Tjenesten opererer etter en pass-through-modell under PSD2 (EU-direktiv 2015/2366) og behandler aldri kundemidler direkte.

2. Behandlingsansvarlig

ALAI Holding AS er behandlingsansvarlig for personopplysningene som behandles gjennom Drop-tjenesten, jf. GDPR artikkel 4 nr. 7.

Kontaktinformasjon:

3. Personvernombud

I henhold til GDPR artikkel 37 og personopplysningsloven (LOV-2018-06-15-38) har selskapet utnevnt et personvernombud (DPO). Gitt at selskapet behandler betalingsopplysninger og finansielle data i stor skala, er personvernombud formelt oppnevnt per 2. mars 2026.

Personvernombud: Alem Bašić Selskap: ALAI Holding AS (org.nr. 932 953 736) E-post: alem@alai.no Telefon: +47 40 47 42 51 Oppnevnt: 2. mars 2026 — jf. GDPR artikkel 37–39 og personopplysningsloven § 23

4. Kategorier av personopplysninger

4.1 Identifikasjonsopplysninger

4.2 Kontaktopplysninger

4.3 Finansielle opplysninger

4.4 Tekniske opplysninger

4.5 Bruksmønster

4.6 KYC/AML-relaterte opplysninger

5. Rettslig grunnlag for behandlingen

Vi behandler personopplysninger på følgende rettslige grunnlag, jf. GDPR artikkel 6:

5.1 Oppfyllelse av avtale — GDPR art. 6(1)(b)

5.2 Rettslig forpliktelse — GDPR art. 6(1)(c)

5.3 Samtykke — GDPR art. 6(1)(a)

5.4 Berettiget interesse — GDPR art. 6(1)(f)

For behandling basert på berettiget interesse har vi gjennomført interesseavveining (LIA) i henhold til GDPR artikkel 6(1)(f). Dokumentasjon er tilgjengelig på forespørsel.

6. Formål med behandlingen

Formål Rettslig grunnlag Oppbevaringstid
Brukerregistrering og identitetsverifisering Avtale, rettslig forpliktelse Kontoens levetid + 5 år
Gjennomføring av betalinger og overføringer Avtale 5 år (bokføringsloven)
Kundekontroll (KYC/AML) Rettslig forpliktelse 5 år etter kundeforholdets opphør (hvvl. § 30)
Svindelforebygging Berettiget interesse 3 år etter hendelse
Kundeservice og klagebehandling Avtale, rettslig forpliktelse 3 år etter avslutning
Markedsføring Samtykke Til samtykke trekkes tilbake
Teknisk drift og feilretting Berettiget interesse 12 måneder
Lovpålagt rapportering Rettslig forpliktelse I henhold til gjeldende lov

7. Deling av personopplysninger

7.1 Kategorier av mottakere

Vi deler personopplysninger med følgende kategorier av mottakere:

Betalingsinfrastruktur (nødvendig for tjenesten):

Regulatoriske myndigheter (rettslig forpliktelse):

Tjenesteleverandører (databehandlere):

7.2 Databehandleravtaler

Alle databehandlere har inngått databehandleravtale (DPA) i samsvar med GDPR artikkel 28. Databehandleravtalene regulerer:

8. Overføring til tredjeland

8.1 Overføringer innenfor EØS

Personopplysninger behandles primært innenfor EØS-området. All skyinfrastruktur er lokalisert i EU/EØS.

8.2 Overføringer utenfor EØS

Ved utenlandsoverføringer (remittance) til land utenfor EØS er det nødvendig å overføre begrensede personopplysninger til mottakerens bank eller betalingsformidler. Dette gjelder:

Overføringsgrunnlag:

8.3 Transfer Impact Assessment (TIA)

For overføringer til tredjeland uten adekvansbeslutning har vi gjennomført Transfer Impact Assessment i henhold til Schrems II-avgjørelsen (C-311/18). Vurderingen omfatter:

Dokumentasjon av TIA er tilgjengelig på forespørsel til dpo@getdrop.no.

9. Oppbevaringstid og sletting

Vi oppbevarer personopplysninger kun så lenge det er nødvendig for formålet med behandlingen, eller så lenge vi er rettslig forpliktet til det.

9.1 Hovedprinsipper

9.2 Spesifikke oppbevaringstider

Datakategori Oppbevaringstid Hjemmel
Transaksjonsdata 5 år etter regnskapsårets slutt Bokføringsloven § 13
KYC/AML-dokumentasjon 5 år etter kundeforholdets opphør Hvitvaskingsloven § 30
Innloggingslogger 12 måneder Berettiget interesse
Kundeservicehenvendelser 3 år etter avslutning Avtale, foreldelsesloven
Markedsføringssamtykker Til tilbaketrekking + 1 år dokumentasjon GDPR art. 7(1)
Tekniske logger 6 måneder Berettiget interesse
IP-adresser 3 måneder Berettiget interesse

9.3 Sletteprosedyre

Ved sletting sørger vi for at personopplysninger fjernes fra alle systemer, inkludert sikkerhetskopier, innen rimelig tid (maksimalt 30 dager etter oppbevaringstidens utløp for sikkerhetskopier).

10. Den registrertes rettigheter

I henhold til GDPR kapittel III har du følgende rettigheter:

10.1 Rett til innsyn (art. 15)

Du har rett til å få bekreftet om vi behandler personopplysninger om deg, og i så fall få tilgang til opplysningene samt informasjon om behandlingen. Første kopi er gratis.

10.2 Rett til retting (art. 16)

Du har rett til å få uriktige personopplysninger om deg rettet uten ugrunnet opphold.

10.3 Rett til sletting (art. 17)

Du har rett til å få slettet personopplysninger om deg dersom:

Unntak: Sletting kan nektes dersom behandlingen er nødvendig for å oppfylle en rettslig forpliktelse (f.eks. hvitvaskingsloven, bokføringsloven).

10.4 Rett til begrensning (art. 18)

Du har rett til å kreve at behandlingen begrenses i visse situasjoner, for eksempel mens riktigheten av opplysningene kontrolleres.

10.5 Rett til dataportabilitet (art. 20)

Du har rett til å motta personopplysninger du har gitt oss i et strukturert, alminnelig brukt og maskinlesbart format (JSON/CSV), og til å overføre disse til en annen behandlingsansvarlig.

10.6 Rett til å protestere (art. 21)

Du har rett til å protestere mot behandling basert på berettiget interesse. Vi vil da stanse behandlingen med mindre vi kan påvise tvingende berettigede grunner som går foran dine interesser.

10.7 Rett til ikke å bli gjenstand for automatiserte avgjørelser (art. 22)

Du har rett til ikke å bli gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling, inkludert profilering, som har rettsvirkning eller tilsvarende betydelig påvirkning.

Drop benytter automatiserte systemer for svindeldeteksjon. Ved automatisk avvisning av en transaksjon har du rett til:

10.8 Rett til å trekke tilbake samtykke (art. 7(3))

Der behandling er basert på samtykke, kan du når som helst trekke dette tilbake. Tilbaketrekking påvirker ikke lovligheten av behandling som fant sted før tilbaketrekkingen.

11. Utøvelse av rettigheter

11.1 Hvordan utøve rettighetene

Henvendelser om utøvelse av rettigheter kan sendes til:

11.2 Identitetsverifisering

For å beskytte dine opplysninger vil vi verifisere din identitet ved rettighetskrav, normalt gjennom BankID.

11.3 Svartid

Vi besvarer henvendelser uten ugrunnet opphold, og senest innen 30 dager, jf. GDPR artikkel 12(3). Ved komplekse eller mange forespørsler kan fristen forlenges med ytterligere 60 dager, med informasjon til deg innen den første 30-dagersperioden.

11.4 Kostnad

Utøvelse av rettigheter er i utgangspunktet gratis. Ved åpenbart grunnløse eller overdrevne krav kan vi kreve et rimelig gebyr eller nekte å etterkomme forespørselen, jf. GDPR artikkel 12(5).

12. Informasjonssikkerhet

Vi har implementert egnede tekniske og organisatoriske sikkerhetstiltak for å beskytte personopplysninger, jf. GDPR artikkel 32:

Se vår IKT-sikkerhetspolicy for utfyllende informasjon.

13. Personvernbrudd

Ved brudd på personopplysningssikkerheten vil vi:

  1. Melde til Datatilsynet innen 72 timer etter at bruddet ble oppdaget, jf. GDPR artikkel 33, med mindre bruddet sannsynligvis ikke medfører risiko for den registrertes rettigheter.
  2. Informere berørte registrerte uten ugrunnet opphold dersom bruddet sannsynligvis medfører høy risiko, jf. GDPR artikkel 34.
  3. Dokumentere alle brudd, uavhengig av alvorlighetsgrad, inkludert fakta, virkninger og korrigerende tiltak.

14. Cookies og sporingsteknikker

Drop-appen benytter ikke tredjeparts sporingsteknikker. For nettsiden getdrop.no gjelder:

14.1 Nødvendige cookies

14.2 Analytiske cookies (krever samtykke)

14.3 Markedsføringscookies (krever samtykke)

15. Endringer i erklæringen

Vi kan oppdatere denne personvernerklæringen ved behov. Ved vesentlige endringer vil vi informere deg via:

Alle versjoner arkiveres og er tilgjengelige på forespørsel.

16. Klageadgang

Dersom du mener at vår behandling av personopplysninger bryter med personvernlovgivningen, har du rett til å klage til:

Datatilsynet Postboks 458 Sentrum 0105 Oslo Telefon: 22 39 69 00 E-post: postkasse@datatilsynet.no Nettsted: https://www.datatilsynet.no

Du har også rett til å klage til tilsynsmyndigheten i det EØS-landet der du bor eller arbeider, jf. GDPR artikkel 77.

17. Kontakt oss

For spørsmål om denne personvernerklæringen eller vår behandling av personopplysninger:

Denne personvernerklæringen er sist oppdatert 2. mars 2026.

Revision #6
Created 2026-02-18 08:44:35 UTC by John
Updated 2026-05-25 07:24:09 UTC by John