Personvernerklæring

1. Behandlingsansvarlig

Styr.ing driftes av Ola Turmo. Spørsmål om personvern kan rettes til [email protected]. Dersom vi er pålagt å ha en databehandleransvarlig (DPO) under GDPR art. 37, er DPOens kontaktopplysninger tilgjengelige på ovennevnte e-postadresse.

2. Hvilke opplysninger vi samler inn

• Offentlig nettsted: de statiske demo- og informasjonssidene har ingen kontoregistrering, innlogging eller opplasting. Vi mottar bare opplysninger du selv velger å sende på e-post.
• Avtalt løsning: dersom en produksjonsløsning bestilles, beskrives nødvendige konto-, styre-, bruks-, kommunikasjons- og eventuelle betalingsdata konkret i bestillingen, kundeavtalen og databehandleravtalen før behandlingen starter.

3. Hvorfor vi bruker dem

• På det offentlige nettstedet: for å besvare e-posthenvendelser og drive de statiske informasjonssidene.
• I en avtalt produksjonsløsning: bare for de dokumenterte formålene og funksjonene som følger av bestillingen, kundeavtalen og databehandleravtalen.

4. Rettslig grunnlag (GDPR art. 6)

For brukere i EØS behandler vi dine data på grunnlag av:

• Henvendelser: behandlingsgrunnlaget avhenger av formålet med e-posten, normalt tiltak før avtale eller berettiget interesse i å besvare henvendelsen.
• Avtalt produksjonsløsning: behandlingsgrunnlag og rollefordeling dokumenteres for den konkrete behandlingen før oppstart. Denne demosiden fastsetter ikke behandlingsgrunnlag på kundens vegne.

5. AI og automatisert behandling

Der KI-funksjoner er avtalt og aktivert, kan de brukes til å lage utkast og beslutningsstøtte. Tjenesten er et verktøy for menneskelig beslutningstaking, ikke en erstatning for styret eller ledelsen.

Leverandører og dataflyt: Eventuelle KI-leverandører, formål, datakategorier og behandlingssteder skal fremgå av kundeavtalen og den gjeldende underdatabehandleroversikten før kundedata behandles.

KI-assistert innhold: KI-funksjoner er beslutningsstøtte. Endelig vurdering, kontroll og godkjenning må gjøres av virksomheten før innhold brukes i styrevedtak, oppsigelser, regulatorisk rapportering eller andre handlinger med vesentlig effekt.

Automatiserte beslutninger: Virksomheten er ansvarlig for å vurdere om en behandling omfattes av GDPR art. 22, og for å etablere nødvendig menneskelig kontroll og rettighetsmekanismer.

Produktforbedring: Bruk av kundedata til andre formål enn å levere tjenesten krever et dokumentert behandlingsgrunnlag og skal beskrives i avtalen.

6. Underdatabehandlere

Hvilke leverandører som behandler kundedata, og til hvilke formål, avhenger av den avtalte implementeringen. En datert oversikt over aktive underdatabehandlere, behandlingssted og funksjon skal gjøres tilgjengelig før produksjonsbruk og holdes oppdatert.

Endringer håndteres i samsvar med databehandleravtalen og gjeldende personvernregler. Denne siden lover ikke en fast varslingsfrist som ikke er avtalt med kunden.

7. Internasjonale overføringer

Behandlingssted og eventuelle overføringer utenfor EØS skal dokumenteres for den avtalte leverandørkjeden. Der en overføring krever særskilt grunnlag eller tilleggstiltak, skal dette vurderes og avtales før behandlingen starter.

8. Lagringstid

Lagringstid skal følge formål, kundens instruks, avtalte slette- og returprosedyrer og eventuelle rettslige plikter. Konkrete perioder for kontodata, styredata, logger og sikkerhetskopier dokumenteres i kundeavtalen og den tekniske driftsbeskrivelsen.

9. Dine rettigheter

Du har rett til innsyn, retting, sletting, eksport og begrensning av behandlingen av dine data, samt rett til å protestere og til å klage til Datatilsynet. Send e-post til [email protected] for å utøve disse rettighetene. Vi svarer innen 30 dager.

10. Sikkerhet

Vi bruker sikkerhetsmekanismer fra våre driftsleverandører for transportkryptering, tilgangskontroll og logging. Konkrete sikkerhetstiltak, lagringssteder og databehandlerforhold dokumenteres i kundeavtaler og leverandørdokumentasjon.

11. Brudd på personopplysningssikkerheten

Ved et personopplysningsbrudd vurderer vi hendelsen, begrenser skade og varsler behandlingsansvarlig uten ugrunnet opphold når Styr.ing opptrer som databehandler. Den behandlingsansvarlige vurderer varsling til Datatilsynet og berørte personer etter gjeldende regler.

12. Barn

Styr.ing er ikke rettet mot barn under 16 år. Vi innhenter ikke bevisst personopplysninger fra barn.

13. Endringer

Vesentlige endringer varsles på en egnet måte og i samsvar med avtalen før de trer i kraft.

14. Kontakt

Styr.ing
E-post: [email protected]
For EØS-brukere: klagerett hos Datatilsynet, datatilsynet.no.