Personvernerklæring

1. Behandlingsansvarlig

Skjld Labs AS er behandlingsansvarlig for personopplysninger som behandles i forbindelse med din bruk av WorkOS. Vi følger GDPR (EUs personvernforordning) og norsk personopplysningslov.

Kontakt: [email protected]

2. Hva vi samler inn

• Kontoopplysninger: navn, e-postadresse, krypterte passord, eventuelt profilbilde fra OAuth-provider (Google, GitHub).
• Innhold du oppretter: sider, databaser, prosjekter, møtenotater, transkripsjoner, oppgaver, kommentarer, opplastet filer.
• Teknisk informasjon: IP-adresse, nettleser, enhetstype, tidsstempler for innlogging og hendelser (audit-log).
• Bruksinformasjon: hvilke funksjoner du bruker, navigasjon i tjenesten (anonymisert/aggregert via Google Analytics hvis aktivert).
• Betalingsinformasjon: faktureringsadresse, MVA-nummer (om relevant). Kortdata håndteres av Stripe og lagres aldri hos oss.

3. Formål og rettslig grunnlag

Vi behandler opplysningene for å:

• Levere tjenesten du har bestilt (avtaleoppfyllelse, GDPR art. 6(1)(b))
• Sikre tjenesten og oppdage misbruk (berettiget interesse, art. 6(1)(f))
• Oppfylle lovkrav som bokføring og MVA-rapportering (art. 6(1)(c))
• Sende driftsmeldinger og support-svar
• Forbedre tjenesten basert på aggregert, anonymisert bruksdata

Markedsføring sendes kun dersom du har samtykket eksplisitt — du kan trekke samtykket når som helst.

4. Bruksbegrensninger og beta-status

WorkOS er i en utvidet beta-fase, og er ikke godkjent for behandling av spesielle kategorier av personopplysninger (GDPR artikkel 9), personnumre for tredjepart, betalingskortinformasjon eller annen sensitiv informasjon som beskrevet i Tjenesteavtale §3.2.

Brukere som likevel laster opp slikt innhold gjør det helt på eget ansvar. Skjld Labs er ikke behandlingsansvarlig for slikt innhold, og vi kan slette eller anonymisere det uten ytterligere varsel.

5. AI-behandling

Hvis du bruker AI-funksjoner (sammendrag, generering, chat med Claude), sendes relevant tekst-innhold til vår AI-leverandør (Anthropic for Claude, OpenAI for GPT). Vi sender ikke mer kontekst enn nødvendig.

Vår avtale med leverandørene forbyr dem å trene modeller på dine data. Innholdet behandles for å levere svaret og slettes deretter etter leverandørens retensjonsregler (typisk 30 dager).

6. Deling med tredjeparter

Vi deler kun data med våre databehandlere som er nødvendige for driften:

• Hosting og infrastruktur (skyleverandør)
• E-postutsending (SMTP-leverandør)
• Betalingsbehandling (Stripe, Inc.)
• AI-behandling (Anthropic, OpenAI — etter ditt valg)
• Transkripsjon (Microsoft Azure Speech, hvis aktivert)
• Analyse (Google Analytics, hvis aktivert + samtykke)

Alle databehandlere har databehandleravtale (DPA) med oss. Vi selger aldri dine personopplysninger videre.

7. Lagringssted og overføring

Primær lagring skjer i EU/EØS. Enkelte underleverandører kan behandle data utenfor EU (f.eks. Stripe, OpenAI), basert på EU-godkjente overføringsmekanismer (standard kontraktsklausuler / adekvansbeslutning).

8. Oppbevaringstid

• Kontoinformasjon: så lenge kontoen er aktiv, slettes 30 dager etter du sletter kontoen
• Innhold du har opprettet: så lenge du beholder det — slettes når du sletter det eller kontoen
• Audit-logger: 24 måneder for sikkerhets- og support-formål
• Faktura- og betalingsdata: oppbevares i 5 år etter bokføringsloven
• E-post-logger: 90 dager

9. Dine rettigheter

Etter GDPR har du rett til:

• Innsyn: få kopi av personopplysningene vi har om deg
• Retting: få feilaktige opplysninger korrigert
• Sletting: få opplysningene slettet («retten til å bli glemt»)
• Begrensning: kreve at behandlingen begrenses
• Dataportabilitet: få data i maskinlesbart format
• Protest: mot behandling basert på berettiget interesse
• Trekke samtykke: når som helst, med fremtidig virkning
• Klage: til Datatilsynet (datatilsynet.no)

Send forespørsler til [email protected]. Vi svarer innen 30 dager.

10. Cookies og sporing

Vi bruker kun strengt nødvendige cookies for å holde deg innlogget og for sikkerhetsformål. Analyse-cookies (Google Analytics) aktiveres kun ved samtykke gjennom cookie-banner.

11. Sikkerhet

Vi tar tekniske og organisatoriske tiltak for å beskytte dataene: HTTPS overalt, bcrypt-hashing av passord, MFA på admin-tilganger, kryptering av sensitive systeminnstillinger, regelmessige sikkerhetsoppdateringer, audit-logging og prinsippet om minste privilegium.

12. Aldersgrense

WorkOS er ikke beregnet for brukere under 16 år. Hvis vi blir oppmerksomme på at en mindreårig har opprettet konto uten foreldres samtykke, sletter vi kontoen.

13. Endringer i personvernerklæringen

Vi kan endre denne erklæringen ved behov. Vesentlige endringer varsles via e-post og med ny aksept-prompt i tjenesten. Mindre endringer (typo-fix, tydeliggjøring) gjøres uten varsel.