Personvernerklæring

1. Behandlingsansvarlig

Styr.ing driftes av Ola Turmo. Spørsmål om personvern kan rettes til [email protected]. Dersom vi er pålagt å ha en databehandleransvarlig (DPO) under GDPR art. 37, er DPOens kontaktopplysninger tilgjengelige på ovennevnte e-postadresse.

2. Hvilke opplysninger vi samler inn

• Kontodata: e-postadresse, visningsnavn, organisasjon, rolle og autentiseringstokener når du registrerer deg.
• Styredata: styredokumenter, møtereferater, saksmapper, beslutningslogger og tilhørende metadata du laster opp eller oppretter i plattformen.
• Bruksdata: tidsstempler, funksjonsbruk, feillogger og revisjonsspor som er nødvendige for å levere tjenesten og oppfylle internkontrollkrav.
• Betalingsdata: håndteres av den betalingsleverandøren som angis i kundeavtalen. Vi skal ikke lagre fulle betalingskortopplysninger i Styr.ing.
• Kommunikasjon: e-poster du sender til oss, tilbakemeldinger i appen og support-henvendelser.

3. Hvorfor vi bruker dem

• For å levere kjernefunksjonene: styreportal, compliance-kalender, internkontrollverktøy.
• For å forbedre tjenesten gjennom aggregerte, anonymiserte bruksmønstre.
• For å sende transaksjonelle e-poster (påminnelser, sikkerhetsvarsler, fakturaer). Markedsførings-e-post er opt-in.
• For å overholde juridiske forpliktelser (Aksjeloven, GDPR, internkontrollforskriften).
• For å håndtere support og fakturering.

4. Rettslig grunnlag (GDPR art. 6)

For brukere i EØS behandler vi dine data på grunnlag av:

• Kontraktsoppfyllelse (art. 6(1)(b)) for å levere tjenesten du har tegnet abonnement på.
• Rettslig forpliktelse (art. 6(1)(c)) for å oppfylle krav i Aksjeloven, bokføringsloven og internkontrollforskriften.
• Berettiget interesse (art. 6(1)(f)) for sikkerhet, misbruksforebygging og produktforbedring.
• Samtykke (art. 6(1)(a)) for valgfrie funksjoner som markedsførings-e-post og utvidet AI-trening.

5. AI og automatisert behandling

Der KI-funksjoner er avtalt og aktivert, kan de brukes til å lage utkast og beslutningsstøtte. Tjenesten er et verktøy for menneskelig beslutningstaking, ikke en erstatning for styret eller ledelsen.

Leverandører og dataflyt: Eventuelle KI-leverandører, formål, datakategorier og behandlingssteder skal fremgå av kundeavtalen og den gjeldende underdatabehandleroversikten før kundedata behandles.

KI-assistert innhold: KI-funksjoner er beslutningsstøtte. Endelig vurdering, kontroll og godkjenning må gjøres av virksomheten før innhold brukes i styrevedtak, oppsigelser, regulatorisk rapportering eller andre handlinger med vesentlig effekt.

Automatiserte beslutninger: Virksomheten er ansvarlig for å vurdere om en behandling omfattes av GDPR art. 22, og for å etablere nødvendig menneskelig kontroll og rettighetsmekanismer.

Produktforbedring: Bruk av kundedata til andre formål enn å levere tjenesten krever et dokumentert behandlingsgrunnlag og skal beskrives i avtalen.

6. Underdatabehandlere

Hvilke leverandører som behandler kundedata, og til hvilke formål, avhenger av den avtalte implementeringen. En datert oversikt over aktive underdatabehandlere, behandlingssted og funksjon skal gjøres tilgjengelig før produksjonsbruk og holdes oppdatert.

Endringer håndteres i samsvar med databehandleravtalen og gjeldende personvernregler. Denne siden lover ikke en fast varslingsfrist som ikke er avtalt med kunden.

7. Internasjonale overføringer

Behandlingssted og eventuelle overføringer utenfor EØS skal dokumenteres for den avtalte leverandørkjeden. Der en overføring krever særskilt grunnlag eller tilleggstiltak, skal dette vurderes og avtales før behandlingen starter.

8. Lagringstid

Lagringstid skal følge formål, kundens instruks, avtalte slette- og returprosedyrer og eventuelle rettslige plikter. Konkrete perioder for kontodata, styredata, logger og sikkerhetskopier dokumenteres i kundeavtalen og den tekniske driftsbeskrivelsen.

9. Dine rettigheter

Du har rett til innsyn, retting, sletting, eksport og begrensning av behandlingen av dine data, samt rett til å protestere og til å klage til Datatilsynet. Send e-post til [email protected] for å utøve disse rettighetene. Vi svarer innen 30 dager.

10. Sikkerhet

Vi bruker sikkerhetsmekanismer fra våre driftsleverandører for transportkryptering, tilgangskontroll og logging. Konkrete sikkerhetstiltak, lagringssteder og databehandlerforhold dokumenteres i kundeavtaler og leverandørdokumentasjon.

11. Brudd på personopplysningssikkerheten

Ved et personopplysningsbrudd vurderer vi hendelsen, begrenser skade og varsler behandlingsansvarlig uten ugrunnet opphold når Styr.ing opptrer som databehandler. Den behandlingsansvarlige vurderer varsling til Datatilsynet og berørte personer etter gjeldende regler.

12. Barn

Styr.ing er ikke rettet mot barn under 16 år. Vi innhenter ikke bevisst personopplysninger fra barn.

13. Endringer

Vesentlige endringer varsles på en egnet måte og i samsvar med avtalen før de trer i kraft.

14. Kontakt

Styr.ing
E-post: [email protected]
For EØS-brukere: klagerett hos Datatilsynet, datatilsynet.no.