Personvernerklæring

1. Behandlingsansvarlig

Styr.ing driftes av Ola Turmo. Spørsmål om personvern kan rettes til [email protected]. Dersom vi er pålagt å ha en databehandleransvarlig (DPO) under GDPR art. 37, er DPOens kontaktopplysninger tilgjengelige på ovennevnte e-postadresse.

2. Hvilke opplysninger vi samler inn

• Kontodata: e-postadresse, visningsnavn, organisasjon, rolle og autentiseringstokener når du registrerer deg.
• Styredata: styredokumenter, møtereferater, saksmapper, beslutningslogger og tilhørende metadata du laster opp eller oppretter i plattformen.
• Bruksdata: tidsstempler, funksjonsbruk, feillogger og revisjonsspor som er nødvendige for å levere tjenesten og oppfylle internkontrollkrav.
• Betalingsdata: håndteres av Stripe. Vi lagrer ikke dine fulle betalingskortopplysninger.
• Kommunikasjon: e-poster du sender til oss, tilbakemeldinger i appen og support-henvendelser.

3. Hvorfor vi bruker dem

• For å levere kjernefunksjonene: styreportal, compliance-kalender, internkontrollverktøy.
• For å forbedre tjenesten gjennom aggregerte, anonymiserte bruksmønstre.
• For å sende transaksjonelle e-poster (påminnelser, sikkerhetsvarsler, fakturaer). Markedsførings-e-post er opt-in.
• For å overholde juridiske forpliktelser (Aksjeloven, GDPR, internkontrollforskriften).
• For å håndtere support og fakturering.

4. Rettslig grunnlag (GDPR art. 6)

For brukere i EØS behandler vi dine data på grunnlag av:

• Kontraktsoppfyllelse (art. 6(1)(b)) for å levere tjenesten du har tegnet abonnement på.
• Rettslig forpliktelse (art. 6(1)(c)) for å oppfylle krav i Aksjeloven, bokføringsloven og internkontrollforskriften.
• Berettiget interesse (art. 6(1)(f)) for sikkerhet, misbruksforebygging og produktforbedring.
• Samtykke (art. 6(1)(a)) for valgfrie funksjoner som markedsførings-e-post og utvidet AI-trening.

5. AI og automatisert behandling

Styr.ing bruker KI-agenter for å hjelpe med dokumentanalyse, møtereferat, saksprioritering og risikovurdering. Tjenesten er et verktøy for menneskelig beslutningstaking, ikke en erstatning for styret eller ledelsen.

Modellleverandører: Dine data kan bli behandlet av tredjeparts LLM-leverandører (OpenAI, Anthropic, Google) under deres egne vilkår. Styr.ing er ikke ansvarlig for modellleverandørenes behandling utover det som følger av GDPR art. 28.

EU AI Act art. 50: AI-generert innhold i Styr.ing merkes som KI-assistert. Ved høyrisiko-beslutninger (styrevedtak, oppsigelser, regulatorisk rapportering) krever systemet menneskelig godkjenning før effekt.

GDPR art. 22 — automatisert beslutning: Du har rett til menneskelig inngripen, til å uttrykke synspunkter, og til å bestride enhver automatisk beslutning som i vesentlig grad påvirker deg. Alle styrevedtak og compliance-beslutninger i Styr.ing krever aktiv menneskelig attestasjon.

Opplæring: Styr.ing bruker ikke dine private data til å trene tredjeparts modeller uten samtykke. Vi kan bruke anonymiserte, aggregerte mønstre til intern produktforbedring.

6. Underdatabehandlere

For å levere tjenesten bruker vi følgende underdatabehandlere (GDPR art. 28(2)):

• Cloudflare (US/EU) — hosting, edge-compute, Workers, R2-lagring
• Stripe (US) — betalingsbehandling
• Resend (US) — transaksjonell e-post
• OpenAI / Anthropic / Google (US) — LLM-inferens for KI-funksjoner
• Supabase / D1 — databasehosting (EU/US avhengig av tenant-region)

En oppdatert liste er tilgjengelig på forespørsel. Du varsles minst 30 dager før vi tar i bruk nye underdatabehandlere.

7. Internasjonale overføringer

Data kan behandles i EU, Storbritannia, USA og andre jurisdiksjoner der våre underdatabehandlere opererer. For overføringer ut av EØS bruker vi EUs standard kontraktsklausuler (SCC 2021/914), samt EU-US Data Privacy Framework der det er relevant. Kontakt oss for kopi av SCC-ene.

8. Lagringstid

• Kontodata: til kontoen slettes, deretter slettet innen 30 dager (unntatt sikkerhetskopier).
• Styredata: så lenge kontoen er aktiv. Du kan slette når som helst.
• Regnskapsdata: 7 år i henhold til bokføringsloven.
• Revisjonslogg: 5 år for compliance-bevis.
• Sikkerhetskopier: rullende 30 dager, deretter permanent slettet.

9. Dine rettigheter

Du har rett til innsyn, retting, sletting, eksport og begrensning av behandlingen av dine data, samt rett til å protestere og til å klage til Datatilsynet. Send e-post til [email protected] for å utøve disse rettighetene. Vi svarer innen 30 dager.

10. Sikkerhet

All data er kryptert under overføring (TLS 1.3) og hvile (AES-256). Tilgang til produksjonssystemer er begrenset til autorisert personell med 2FA. Vi følger ISO 27001-prinsipper for styring av informasjonssikkerhet.

11. Brudd på personopplysningssikkerheten

Dersom vi oppdager et personopplysningsbrudd som medfører høy risiko for dine rettigheter, varsler vi deg innen 72 timer etter at vi ble kjent med bruddet, i samsvar med GDPR art. 34.

12. Barn

Styr.ing er ikke rettet mot barn under 16 år. Vi innhenter ikke bevisst personopplysninger fra barn.

13. Endringer

Vi varsler deg om vesentlige endringer via e-post eller i produktet minst 30 dager før de trer i kraft.

14. Kontakt

Styr.ing
E-post: [email protected]
For EØS-brukere: klagerett hos Datatilsynet, datatilsynet.no.