Illusive

GDPR – full oversiktGDPR – full overview

GDPR er EUs personvernforordning, og den gjelder i Norge gjennom personopplysningsloven. Her er hele bildet: hva loven krever, hvilke rettigheter du har, og hvor Illusive står.

The GDPR is the EU data protection regulation and applies in Norway through the Personal Data Act. Here is the full picture: what the law requires, what rights you have, and where Illusive stands.

Ikke juridisk rådgivning. Dette er en forklaring i vanlig språk. Artikkelhenvisninger er til GDPR. Se personvernerklæringen for hva Illusive konkret lagrer.
Not legal advice. This is a plain-language explanation. Article references are to the GDPR. See the privacy notice for what Illusive specifically stores.

Hva er personopplysninger

All informasjon som kan knyttes til en person, direkte eller indirekte: navn, e-post, IP-adresse, bilder, og ikke minst posisjon. I Illusive er funn med posisjon, GPS-spor, kontakt til grunneier og meldinger personopplysninger.

Behandling er alt du gjør med dem: samle, lagre, vise, dele, slette. Behandlingsansvarlig bestemmer hvorfor og hvordan. Databehandler behandler på oppdrag (for Illusive: Supabase og Webhuset).

What is personal data

Any information that can be linked to a person, directly or indirectly: name, email, IP address, photos and not least location. In Illusive, finds with positions, GPS tracks, landowner contacts and messages are personal data.

Processing is anything you do with it: collect, store, show, share, delete. The controller decides why and how. A processor processes on assignment (for Illusive: Supabase and Webhuset).

De syv prinsippene (art. 5)

  • Lovlighet, rettferdighet, åpenhet: du trenger et rettslig grunnlag og må fortelle folk hva du gjør.
  • Formålsbegrensning: bruk dataene bare til det du sa.
  • Dataminimering: samle ikke mer enn nødvendig.
  • Riktighet: hold dataene korrekte, og la folk rette dem.
  • Lagringsbegrensning: ikke lagre lenger enn nødvendig.
  • Integritet og konfidensialitet: sikre dataene.
  • Ansvarlighet: du må kunne vise at du følger reglene.

The seven principles (art. 5)

  • Lawfulness, fairness, transparency: you need a legal basis and must tell people what you do.
  • Purpose limitation: use the data only for what you said.
  • Data minimisation: collect no more than necessary.
  • Accuracy: keep data correct and let people correct it.
  • Storage limitation: do not keep it longer than needed.
  • Integrity and confidentiality: secure the data.
  • Accountability: you must be able to show compliance.

Rettslig grunnlag (art. 6)

Du må ha minst ett av disse: samtykke, avtale med personen, rettslig forpliktelse, vitale interesser, allmenn interesse eller berettiget interesse. Illusive bygger hovedsakelig på avtalen med brukeren (art. 6 nr. 1 b). Posisjon hentes bare når brukeren selv trykker «Finn meg» eller starter detektor-modus.

Legal bases (art. 6)

You need at least one of: consent, contract with the person, legal obligation, vital interests, public interest or legitimate interest. Illusive mainly relies on the agreement with the user (art. 6(1)(b)). Position is only read when the user presses “Find me” or starts detector mode.

Brukerens rettigheter (art. 12–22)

Svar skal komme uten ugrunnet opphold og senest innen én måned.

RettighetSlik gjør Illusive detStatus
Innsyn (art. 15): få vite hva som er lagret og få en kopi«Last ned alle mine data» under Profil gir alt som JSON. Bildefiler på forespørsel.ja
Retting (art. 16)Brukeren kan redigere funn, profil og pins selv.ja
Sletting (art. 17)«Slett kontoen min» under Profil sletter dataene.ja
Begrensning (art. 18)Håndteres på forespørsel.manuelt
Dataportabilitet (art. 20)JSON-eksport av alle data (funn, spor, meldinger m.m.) og CSV av funn.ja
Innsigelse (art. 21)Gjelder mest berettiget interesse og markedsføring. Illusive har ingen annonser eller sporing.lite relevant
Automatiserte avgjørelser (art. 22)«Interessant å søke»-laget er en veiledning, ikke en avgjørelse om deg.ikke relevant
Klage til Datatilsynet (art. 77)Står i personvernerklæringen.ja

Your rights (art. 12–22)

Replies must come without undue delay and within one month.

RightHow Illusive handles itStatus
Access (art. 15): know what is stored and get a copy“Download all my data” under Profile gives everything as JSON. Image files on request.yes
Rectification (art. 16)Users can edit finds, profile and pins themselves.yes
Erasure (art. 17)“Delete my account” under Profile deletes the data.yes
Restriction (art. 18)Handled on request.manual
Portability (art. 20)JSON export of all data (finds, tracks, messages etc.) and CSV of finds.yes
Objection (art. 21)Mainly applies to legitimate interest and marketing. Illusive has no ads or tracking.low relevance
Automated decisions (art. 22)The “worth searching” layer is guidance, not a decision about you.n/a
Complaint to the Data Protection Authority (art. 77)Stated in the privacy notice.yes

Plikter for den som driver tjenesten

  • Personvernerklæring (art. 13): hvem du er, hva du lagrer, hvorfor, hvor lenge og rettighetene. utkast, mangler dine opplysninger
  • Databehandleravtale (art. 28) med Supabase og nettverten. Supabase har en standardavtale du kan godta. sjekk
  • Overføring til land utenfor EØS (kap. V): krever et eget grunnlag, for eksempel standardkontrakter. Velg EU-region i Supabase for å unngå det. sjekk region
  • Behandlingsoversikt (art. 30): en intern liste over hva du behandler. Små virksomheter kan være unntatt, men posisjonsdata gjør at det er lurt å ha den.
  • Sikkerhet (art. 32): kryptert overføring, tilgangsstyring og sikkerhetskopi. Radnivåsikkerhet (RLS) i databasen og sikkerhetshodene i appen hjelper her. delvis på plass
  • Avvik (art. 33–34): brudd på personopplysningssikkerheten skal meldes til Datatilsynet innen 72 timer, og til de berørte hvis risikoen er høy.
  • Risikovurdering (art. 35): kan være påkrevd ved omfattende behandling av posisjon. Vurder det før appen vokser.
  • Innebygd personvern (art. 25): delte funn viser aldri posisjon, og posisjon hentes bare ved aktivt valg. på plass

Duties of the service operator

  • Privacy notice (art. 13): who you are, what you store, why, how long and the rights. draft, missing your details
  • Data processing agreement (art. 28) with Supabase and the host. Supabase offers a standard agreement you can accept. check
  • Transfers outside the EEA (ch. V): need their own basis, such as standard contractual clauses. Pick an EU region in Supabase to avoid this. check region
  • Record of processing (art. 30): an internal list of what you process. Small businesses may be exempt, but location data makes it wise to keep one.
  • Security (art. 32): encrypted transfer, access control and backup. Row level security (RLS) in the database and the app’s security headers help here. partly in place
  • Breaches (art. 33–34): breaches of personal data security must be reported to the Data Protection Authority within 72 hours, and to those affected if the risk is high.
  • Risk assessment (art. 35): may be required for large-scale processing of location. Consider it before the app grows.
  • Privacy by design (art. 25): shared finds never show position, and position is only read by active choice. in place

Særlig for Illusive

  • Posisjon er ikke «særlig kategori» etter GDPR, men er sensitiv i praksis. Funnsteder kan avsløre hvor verdier ligger, og hjemmeadresse kan utledes av GPS-spor. Behold regelen om at delte funn aldri viser posisjon.
  • Grunneier i tillatelser er en tredjeperson. Brukeren bør bare legge inn det vedkommende har lov til, og kunne slette det.
  • Meldinger mellom brukere er private. Ha en rutine for hva som skjer ved rapportering av misbruk.
  • Bilder av funn kan vise personer eller omgivelser. Be brukerne vurdere det.
  • Aldersgrense: tjenesten er ikke rettet mot barn. Barn under 13 år i Norge trenger foreldres samtykke for tjenester basert på samtykke.
  • Informasjonskapsler og lokal lagring: appen bruker lagring i nettleseren for funksjon (språk, tema, frakoblet bruk), ikke sporing. Slik lagring som er strengt nødvendig krever normalt ikke samtykke.

Specific to Illusive

  • Location is not a “special category” under the GDPR but is sensitive in practice. Find spots can reveal where valuables lie, and a home address can be inferred from GPS tracks. Keep the rule that shared finds never show position.
  • Landowners in permissions are third persons. Users should only enter what they are allowed to, and be able to delete it.
  • Messages between users are private. Have a routine for what happens when abuse is reported.
  • Photos of finds may show people or surroundings. Ask users to consider this.
  • Age: the service is not aimed at children. In Norway, children under 13 need parental consent for consent-based services.
  • Cookies and local storage: the app uses browser storage for function (language, theme, offline use), not tracking. Strictly necessary storage normally does not require consent.

Datalagringsloven og full etterlevelse

Datalagringsloven: reglene om lagring av trafikkdata (ekomloven) gjelder tilbydere av elektronisk kommunikasjon, som teleselskaper og internettleverandører. Illusive er ikke en slik tilbyder og er ikke pålagt å lagre trafikkdata. Appen lagrer heller ikke IP-adresser selv, men nettverten og Supabase kan føre egne driftslogger.

Ærlig om «full etterlevelse»: kode og tekst kan oppfylle det tekniske (innsyn, sletting, eksport, dataminimering, sikkerhet, åpenhet). Resten er organisatorisk og gjøres av deg: databehandleravtaler, rutine for avvik, vurdering av konsekvenser, og en juridisk gjennomgang. Ingen app kan erklæres «GDPR-godkjent» av seg selv.

Det appen gjør nå: samtykke og aldersbekreftelse ved opprettelse av konto, full eksport, sletting av konto og lokal lagring, lagringsfrist for kundeservice-saker, ingen sporing eller annonser, og delte funn uten posisjon.

Data retention law and full compliance

Data retention law: the rules on retaining traffic data (the Electronic Communications Act) apply to providers of electronic communications, such as telecoms and internet providers. Illusive is not such a provider and is not required to retain traffic data. The app does not store IP addresses itself, but the host and Supabase may keep their own operational logs.

Honestly about “full compliance”: code and text can meet the technical side (access, erasure, export, data minimisation, security, transparency). The rest is organisational and is yours to do: processing agreements, a breach routine, impact assessment, and legal review. No app can declare itself “GDPR approved”.

What the app does now: consent and age confirmation at sign-up, full export, deletion of account and local storage, a retention period for support cases, no tracking or ads, and shared finds without position.

Sjekkliste før lansering

  • Fyll inn behandlingsansvarlig og e-post i personvernerklæringen.
  • Bekreft at Supabase-prosjektet ligger i EU, og godta databehandleravtalen.
  • Kjør de nye SQL-delene (DEL 12 og 13) og test «Last ned alle mine data» og «Slett kontoen min» med en testkonto.
  • Bestem hvor lenge kundeservice-saker og sikkerhetskopier beholdes.
  • Skriv ned hva du gjør hvis det skjer et sikkerhetsbrudd, og hvem som melder til Datatilsynet.
  • La en jurist lese erklæringen.

Mer: Datatilsynet · Personvern · Kilder og lisenser

Checklist before launch

  • Fill in controller and email in the privacy notice.
  • Confirm the Supabase project is in the EU and accept the data processing agreement.
  • Run the new SQL parts (PART 12 and 13) and test “Download all my data” and “Delete my account” with a test account.
  • Decide how long support cases and backups are kept.
  • Write down what you do in a security breach and who reports to the Data Protection Authority.
  • Have a lawyer read the notice.

More: Datatilsynet · Privacy · Sources and licences