Personvern

1 INNLEDNING

Denne personvernerklæringen beskriver hvordan Hafjell‑Kvitfjell Alpin AS, org. nr. 875907832 («vi» eller «oss») behandler personopplysninger når du:

• besøker våre nettsider

• kjøper billetter til World Cup‑arrangementer

• melder deg på eller deltar på næringslivsuken Summit Kvitfjell

• er foredragsholder, sponsor, leverandør eller annen bidragsyter til våre arrangementer eller

• er kontaktperson hos en bedrift vi samarbeider med.

Hafjell-Kvitfjell Alpin AS er behandlingsansvarlig for behandlingsaktivitetene som er beskrevet i denne erklæringen. Vi behandler personopplysningene dine i tråd med personvernforordningen (GDPR) og personopplysningsloven.

Dersom du har spørsmål til erklæringen eller hvordan vi behandler personopplysninger, kan du kontakte marie@worldcupkvitfjell.no.

2 om behandlingen av personopplysninger

Hvilke opplysninger vi behandler om deg, for hvilke formål og på hvilket grunnlag, avhenger av din relasjon til oss. Nedenfor beskriver vi våre ulike behandlingsaktiviteter og grunnlaget for dem.

Besøkende til våre nettsider

Når du besøker våre nettsider, https://worldcupkvitfjell.no/ eller https://summitkvitfjell.no/ spør vi deg i et pop up vindu om du aksepterer at vi benytter cookies. Dersom du godtar dette, vil vi kunne samle inn:

• Tekniske opplysninger om enheten din: IP‑adresse, nettlesertype, operativsystem, tidspunkt for besøk, språkinnstillinger m.m.

• Bruksdata: hvilke sider du besøker, hva du klikker på, ev. feilmeldinger m.m.

Det rettslige grunnlaget for innhenting av disse opplysningene, er din uttrykkelige aksept, jf. GDPR artikkel 6 nr. 1 bokstav a, jf. ekomloven § 3-15.

Vi kan ellers bruke tekniske logger og eventuelle analyseverktøy for å sikre stabil og sikker drift av nettsidene, herunder for å avdekke og håndtere tekniske feil og sikkerhetshendelser, forbedre brukeropplevelsen og utarbeide anonymiserte statistikker. For formålene som er dekket av ekomloven § 3-15 annet ledd er vårt rettslige grunnlag her vår berettigede interesse i å ivareta nevnte formål (GDPR artikkel 6 nr. 1 bokstav f).

Billettkjøpere til World Cup‑arrangement

Når du kjøper billetter til World Cup‑arrangement formidlet via vår billettleverandør, behandler vi bl.a.:

• Kontaktinformasjon: navn, e‑postadresse, telefonnummer, postnummer, land og fødselsår.

• Billett- og arrangementsinformasjon: type billett, arrangement, dato, sete-/områdeinformasjon der relevant, pris, kjøpstidspunkt

• Tilknytning til andre billetter/deltakere dersom du kjøper billetter også for andre enn deg selv

• Kommunikasjonsdata: e‑poster/SMS vi sender om arrangementet (praktisk informasjon, endringer mv.)

Betalingen håndteres av bilettleverandøren og deres underleverandører. Vi mottar ikke fullstendige betalingsopplysninger i forbindelse med et kjøp, men kan motta begrenset betalingsinformasjon (f.eks. transaksjons-ID, betalt beløp, betalingsstatus) for avstemmings- og regnskapsformål.

Vi behandler disse opplysningene fordi det er nødvendig for å inngå avtale om billettkjøp på din forespørsel, jf. GDPR artikkel 6 nr. 1 bokstav b.

Vi vil basert på samme behandlingsgrunnlag også sende deg praktisk informasjon per e‑post og/eller SMS når du har meldt deg på eller kjøpt billett, for eksempel om program, tider, endringer, sikkerhet og logistikk.

Vi vil også behandle noen av disse opplysningene for å oppfylle våre rettslige forpliktelser, som for eksempel følger av regnskaps- og bokføringsregler (GDPR artikkel 6 nr. 1 bokstav c), og dersom vi må bruke opplysninger for å sikre effektiv drift, kundeservice, avviks- og feilhåndtering, eller for å håndtere krav og klager (GDPR artikkel 6 nr. 1 bokstav f).

Deltakere på Summit Kvitfjell

Når du melder deg på og deltar på Summit Kvitfjell, behandler vi typisk:

• Kontaktinformasjon: navn, e‑postadresse, mobilnummer

• Arbeidsgiver og stilling/rolle

• Informasjon om hvilken billett-/deltakertype du har valgt og hvilke dager/arrangement du deltar på

• Bestilling av overnatting via oss (der dette tilbys): hotellvalg, romtype, antall netter, spesielle ønsker

• Faktureringsopplysninger: fakturaadresse, referanse, ev. bestillingsnummer

• Eventuelle preferanser og tilleggstjenester du oppgir (f.eks. valg av seminar, transport, sosiale arrangementer, kostpreferanser eller matallergier)

• Din deltakelse på arrangementet (for eksempel registrering ved innsjekk)

Vi behandler disse opplysningene fordi det er nødvendig for å oppfylle avtalen som er inngått om deltakelse på arrangementet, jf. GDPR artikkel 6 nr. 1 bokstav b.

For enkelte arrangementer kan vi utarbeide deltakerlister for å legge til rette for nettverksbygging. Disse kan inneholde:

• Navn

• Bedrift/organisasjon

• Tittel/rolle

Det rettslige grunnlaget for denne behandlingen er en interesseavveining i tråd med GDPR artikkel 6 nr. 1 bokstav f. Du vil få mulighet til å reservere deg mot å stå på slike deltakerlister, ved påmelding eller ved å kontakte oss (se punkt 8).

Under arrangementene våre kan vi ta bilder og video hvor deltakere og publikum kan fremkomme. Dette kan omfatte:

• Situasjonsbilder og oversiktsbilder fra arrangementer

• Videoopptak av scener, foredrag og publikumsområder

• I enkelte tilfeller nærbilder der enkeltpersoner er gjenkjennelige (slike nærbilder brukes normalt bare etter særskilt samtykke.

Det rettslige grunnlaget for fotograferingen er en interesseavveining i tråd med GDPR artikkel 6 nr. 1 bokstav f. Vi vil informere tydelig om fotografering på arrangementet, og vi vil legge til rette for en reservasjonsrett, så langt dette er praktisk og administrativt gjennomførbart.

Bidragsytere, foredragsholdere, sponsorer og leverandører

For bidragsytere til arrangementene (foredragsholdere, sponsorer, leverandører, underleverandører, frivillige mv.) behandler vi typisk:

• Navn

• Kontaktinformasjon (e‑post, telefon, adresse)

• Fødselsdato (kun på akkreditert personell)

• Arbeidsgiver, rolle og fagområde

• Avtale- og kontraktsinformasjon (kontrakter, honorar, fakturaopplysninger)

• Programinformasjon (tema, foredragstittel, kort presentasjon)

• Korrespondanse i tilknytning til samarbeidet

• Allergier og mathensyn

Vi behandler disse opplysningene for å kunne planlegge og gjennomføre arrangementet, herunder for å administrere avtaler, honorar/fakturering og praktisk gjennomføring, dokumentere leveranser og håndtere krav/klager.

Vårt rettslige grunnlag for behandlingen er å oppfylle avtalen med den det gjelder, jf. GDPR artikkel 6 nr. 1 bokstav b), oppfylle våre rettslige forpliktelser (bokføring, skatt mv.), jf. GDPR artikkel 6 nr. 1 bokstav c), eller der vi har berettigede interesser i å administrere og følge opp leverandør- og samarbeidspartnerforhold (GDPR artikkel 6 nr. 1 bokstav f).

3 om vår markedsføring

Dersom du tidligere har deltatt på våre arrangementer, ønsker vi å sende deg informasjon og markedsføring om kommende arrangementer, nyhetsbrev eller tilsvarende på epost eller SMS. Vi sender bare slik informasjon dersom du har samtykket til dette, jf. GDPR artikkel 6 nr. 1 bokstav a. Du kan når som helst trekke tilbake ditt samtykke eller reservere deg mot markedsføring (se punkt 8).

Vi benytter fotografier og videoer fra arrangementene våre i vår markedsføring av fremtidige arrangementer (nettsider, sosiale medier, trykt materiell mv.) Vi har vurdert at vi har en berettiget interesse i å dokumentere og markedsføre arrangementene våre på denne måten, jf. GDPR artikkel 6 nr. 1 bokstav f. Vi vil ikke benytte nærbilder eller situasjonsbilder der enkeltpersoner er hovedmotivet og lett identifiserbare, uten først å innhente et eksplisitt samtykke (GDPR artikkel 6 nr. 1 bokstav a).

Du kan når som helst be oss om å ikke bruke eller å fjerne bilder/video hvor du er identifiserbar, så langt det er praktisk mulig og ikke strider mot andre tvingende hensyn.

4 Hvem vi deler personopplysninger med

Vi deler ikke personopplysninger med andre enn når det er nødvendig for formålene beskrevet ovenfor, eller når vi er rettslig forpliktet til det. Nedenfor ser du hvilke aktører som typisk vil kunne få tilgang til opplysninger du deler med oss.

Databehandlere

Vi benytter flere leverandører («databehandlere») som behandler personopplysninger på våre vegne, blant annet:

• Billettleverandør som leverer billett- og påmeldingsløsning for World Cup‑billetter og Summit Kvitfjell. Leverandøren behandler dine personopplysninger og betalingsinformasjon på våre vegne for å gjennomføre billettsalget/påmeldingen.

• IT‑, system- og driftsleverandører – f.eks. leverandør av nettsideplattform og leverandør av kontorstøttesystemer (inkludert skylagring og sikkerhetskopier)

• Markedsførings- og kommunikasjonsleverandører – f.eks. nyhetsbrevtjenester, SMS‑utsendelse.

Med alle databehandlere har vi databehandleravtaler som regulerer hvordan personopplysningene behandles, sikkerhetstiltak, og at opplysningene ikke kan brukes til leverandørens egne formål, med mindre dette er eksplisitt kommunisert (se avsnittet om vår billettleverandør nendenfor).

Andre mottakere

I tillegg kan personopplysninger bli delt med:

• Hotell- og overnattingsleverandører der overnatting bestilles via oss i tilknytning til arrangement

• Transportleverandører der vi organiserer transport (f.eks. buss/tog) til/fra arrangement

• Samarbeidspartnere/bidragsytere i begrenset omfang, f.eks. dersom det er nødvendig for gjennomføring av et programinnslag eller nettverksaktivitet

• Offentlige myndigheter der vi er rettslig forpliktet til å utlevere opplysninger (f.eks. ved pålegg fra skattemyndigheter eller andre tilsyn)

Vi sørger for at deling kun skjer med mottakere som har et saklig behov for opplysningene, og at det foreligger gyldig behandlingsgrunnlag for delingen.

Billettleverandøren er behandlingsansvarlig for enkelte behandlinger

Dersom du kjøper billett via vår billettleverandør, kan leverandøren, i tillegg til å være databehandler for oss, ha egne formål med behandlingen av dine personopplysninger (f.eks. egne kundeforhold, brukerkonto og statistikk). I slike tilfeller er billettleverandøren selvstendig behandlingsansvarlig. Vi anbefaler at du leser billettleverandøren sin egen personvernerklæring og kjøpsvilkår for mer informasjon om dette.

5 Overføring til land utenfor EØS (tredjeland)

Som hovedregel ønsker vi at all behandling av personopplysninger skal skje innenfor EØS.

Dersom personopplysninger overføres til land utenfor EØS, vil vi sørge for at overføringen skjer i samsvar med gjeldende regelverk, for eksempel ved:

• at landet har et tilstrekkelig beskyttelsesnivå etter beslutning fra EU‑kommisjonen (adekvansbeslutning), eller

• at vi inngår EUs standardavtale (Standard Contractual Clauses) med leverandøren, eventuelt kombinert med nødvendige supplerende tiltak.

6 lagring og sletting

Vi lagrer personopplysninger så lenge det er nødvendig for formålene de ble samlet inn for, og i tråd med prinsippet om lagringsbegrensning.

Opplysninger om deltakelse på våre arrangementer lagres så lenge det er nødvendig for å administrere arrangementet, og slettes senest 12 måneder etter arrangementets avslutning, med mindre lovpålagt oppbevaringsplikt (f.eks. bokføringsregelverket) krever lengre lagring).

Opplysninger knyttet til billettkjøp og gjennomføring av arrangement lagres så lenge det er nødvendig for å håndtere billettforholdet, krav og reklamasjoner. Regnskapsrelevante opplysninger (faktura, betalingsinformasjon) lagres i henhold til bokføringsregelverket (normalt 5 år etter regnskapsårets slutt).

Avtale- og kontraktsdokumentasjon lagres så lenge avtalen løper og i en periode etterpå som er nødvendig for å håndtere krav og rettslige forpliktelser.

Kontaktinformasjon som brukes til utsendelse av markedsføring basert på samtykke, lagres til samtykket trekkes tilbake eller du reserverer deg, og deretter i en begrenset periode kun for å dokumentere at vi har respektert reservasjons-/slettingskravet.

Tekniske logger lagres normalt i en begrenset periode (f.eks. 3–12 måneder) for feilsøking og sikkerhet.

Bilder og video brukt til dokumentasjon og markedsføring lagres så lenge de vurderes relevante for disse formålene. Du kan be om at materiale der du er identifiserbar fjernes, se punkt 8.

7 sikkerhet ved behanldingen

Vi har etablert tekniske og organisatoriske sikkerhetstiltak for å beskytte personopplysninger mot uautorisert tilgang, tap, endring eller ødeleggelse. Dette omfatter bl.a.:

• tilgangsstyring og rollebasert tilgang til våre systemer

• bruk av sikre nettverk og kryptering der det er hensiktsmessig

• rutiner for sikkerhetskopiering

• interne retningslinjer og opplæring av ansatte

• databehandleravtaler som stiller krav til våre leverandørers informasjonssikkerhet.

8 Dine rettigheter

Som registrert har du en rekke rettigheter etter GDPR kapittel III, blant annet rett til informasjon, innsyn, retting, sletting og begrensning av behandling. Du kan utøve rettighetene ved å kontakte oss, se punkt 1 for kontaktinformasjon.

I tilfeller hvor vår behandling av opplysninger om deg er basert på ditt samtykke, for eksempel utsendelse av nyhetsbrev, kan du når som helst trekke samtykket tilbake ved å kontakte oss. Merk at tilbaketrekking ikke påvirker lovligheten av behandlingen før samtykket ble trukket.

Vi ønsker også at du kontakter oss dersom du ønsker å reservere deg mot bruk av for eksempel bilder fra våre arrangementer, eller mot å stå på deltakerlister som deles med andre deltakere. Vi vil normalt etterkomme en slik forespørsel om reservasjon, og vi vil gi deg en begrunnelse dersom vi ikke kan imøtekomme den.

Vi vil besvare henvendelser om rettigheter uten ugrunnet opphold og normalt innen én måned. Ved komplekse eller omfattende henvendelser kan fristen forlenges med inntil to måneder; i så fall vil du få beskjed om årsaken til forsinkelsen.

9 Klage til Datatilsynet

Dersom du mener at vår behandling av personopplysninger er i strid med personvernregelverket, har du rett til å klage direkte til Datatilsynet.

Gå til tilsynets nettsider www.datatilsynet.no for informasjon om hvordan du klager.

Vi oppfordrer deg likevel til først å kontakte oss, slik at vi kan forsøke å avklare eller rette opp forholdet du vil klage på.

10 Endringer i denne personvernerklæringen

Vi kan oppdatere denne personvernerklæringen når det skjer endringer i vår virksomhet eller i regelverket. Ved vesentlige endringer vil vi varsle om dette på våre nettsider og, der det er relevant og mulig, direkte til deg (for eksempel per e‑post).

September 2026