Personvernerklæring

Vevja AS, org. nr. 938 295 735, Sagrønningen 1, 3271 Larvik, Norge ("vi", "oss" eller "vår") er behandlingsansvarlig for personopplysninger som samles inn gjennom vår plattform og autentiseringstjeneste, i samsvar med EUs personvernforordning (GDPR) og den norske personopplysningsloven (Personopplysningsloven). For personopplysninger som behandles på vegne av våre leietakere (nettstedseiere som bruker Vevja), opptrer Vevja som Databehandler, og leietakeren opptrer som Behandlingsansvarlig. Denne behandlingen reguleres av vår Databehandleravtale, tilgjengelig på https://login.vevja.no/dpa. Kontakt: support@vevja.no

Vi samler inn følgende kategorier av personopplysninger: Kontoinformasjon: - Fornavn og etternavn - E-postadresse - Telefonnummer (verifisert via SMS under registreringen) - Sikkert hashet passord (aldri lagret i klartekst) - Kontorolle og tillatelser Autentiserings- og sikkerhetsdata: - Enhetsverifiseringsdata, inkludert et enhetsfingeravtrykk som brukes til å gjenkjenne klarerte enheter (for tofaktorautentisering) - IP-adresse (hashet for analyse, ikke lagret i klartekst) - Autentiseringslogger og tidsstempler - Innloggingshistorikk og 2FA-verifiseringslogger Bruksdata: - Sider besøkt i administrasjonspanelet - Bruksmønstre for funksjoner - Nettlesertype og operativsystem (for analyse) Butikkdata (hvis aktuelt): - Ordrehistorikk og transaksjonsregistreringer - Mottakeropplysninger for levering (navn, adresse, telefonnummer) - Betalingsmetodeidentifikatorer (behandles av våre betalingsleverandører, ikke lagret av oss) Domeneregistreringsdata (hvis du registrerer et domene gjennom Tjenesten): - Registrantens kontaktopplysninger (navn, adresse, e-post, telefon) som kreves av domeneregistrene Mobilappdata (hvis du installerer Vevjas ansattapp): - Push-varslingstoken for enheten (brukes til å levere varsler til enheten din) Ansattdata (Stemplingsur-modul, hvis aktuelt — behandles på vegne av din arbeidsgiver, som er behandlingsansvarlig; se punkt 13): - Tidsstempler for inn-/utstempling - Pauseregistreringer - Vaktplaner og bytthistorikk - Ferie- og fraværsregistreringer - Lønnsgrunnlag og innstillinger for arbeidstidsavtaler - Fødselsdato (der det kreves for arbeidstidsregler) - Én-til-én-meldinger mellom ansatte sendt gjennom mobilappen

Vi behandler dine personopplysninger basert på følgende rettslige grunnlag etter GDPR artikkel 6: Oppfyllelse av avtale (art. 6(1)(b)): - Behandling av kontodata for å levere Tjenesten - Behandling av betalings- og ordredata for butikktransaksjoner - Behandling av registrantdata for å registrere domener på dine vegne - Administrering av abonnement og fakturering Berettiget interesse (art. 6(1)(f)): - Personvernfokusert analyse for å forbedre Tjenesten - Sikkerhetsovervåking og svindelforebygging - Enhetsverifisering for tofaktorautentisering Samtykke (art. 6(1)(a)): - Markedsføringskommunikasjon (kun ved påmelding) - Ikke-essensielle informasjonskapsler (hvis noen) Rettslig forpliktelse (art. 6(1)(c)): - Skatte- og regnskapsregistreringer for butikktransaksjoner - Overholdelse av norske bokføringskrav (Bokføringsloven)

Vi bruker dine personopplysninger til å: - Levere, vedlikeholde og forbedre Tjenesten. - Autentisere din identitet og sikre kontoen din. - Behandle transaksjoner gjennom nettbutikken. - Sende transaksjonelle e-poster og SMS-meldinger (kontoverifisering, tilbakestilling av passord, 2FA-lenker, ordrebekreftelser). - Sende push-varsler til mobilenheten din hvis du installerer ansattappen og aktiverer varsler (for eksempel vaktendringer og meldinger fra kolleger; meldingsvarsler inneholder avsenderens navn og en kort forhåndsvisning av meldingen). - Generere personvernfokusert analyse (ved bruk av hashede IP-adresser, ingen sporingsinformasjonskapsler). - Tilby AI-drevet innholdsoversettelse og bildesøk (se punkt 5). - Overvåke og sikre Tjenestens sikkerhet. - Overholde rettslige forpliktelser. Vi selger ikke dine personopplysninger. Vi bruker ikke dine data til profilering eller automatiserte beslutninger som har rettsvirkning.

Vi bruker kunstig intelligens til følgende funksjoner: Innholdsoversettelse: Vi bruker Mistral AI (et fransk selskap med EU-basert behandling) til å oversette nettstedsinnhold til støttede språk. Innholdet som sendes til oversettelse, sendes som det er; hvis en side inneholder personopplysninger (for eksempel et navn eller kontaktopplysninger publisert på siden), vil disse opplysningene inngå i innholdet som sendes til oversettelse. Bildesøk: Vi bruker AI-tjenester til å analysere opplastede bilder og generere søkbare beskrivelser. Bildeanalysedata lagres lokalt i din konto. Innhold som sendes til AI-leverandører brukes utelukkende til å levere disse funksjonene og er omfattet av en databehandleravtale. Vi sender ikke kontodata, kundeopplysninger eller andre lagrede personopplysninger til AI-leverandører — kun innholdet du velger å oversette eller bildene du laster opp for analyse.

Vi deler personopplysninger kun med følgende kategorier av mottakere, og kun i nødvendig omfang: Betalingsbehandlere: - Vipps MobilePay (Norge) — betalingsbehandling og, der det er aktivert, Vipps Login for kundeinnlogging - Stripe (behandling i EU/EØS via Stripe Payments Europe) - Klarna (Sverige) Disse leverandørene håndterer betalingsdata under sine egne personvernerklæringer. Kommunikasjon: - Bird — leverer våre transaksjonelle e-poster og SMS-meldinger (mottar e-postadresser, telefonnumre og meldingsinnhold) - Expo (USA) — leverer push-varsler for ansattappen (mottar push-token for enheten og varslingsinnhold, inkludert avsenderens navn og en kort forhåndsvisning av meldingen for meldingsvarsler). Avhengig av enheten din rutes varsler også gjennom Apple Push Notification service eller Google Firebase Cloud Messaging. Infrastrukturleverandører: - Bunny.net — innholdsleveringsnettverk (CDN) og DNS - Serverhosting- og skylagringsleverandører (for drift av Tjenesten og lagring av krypterte databasesikkerhetskopier) Geolokalisering: - ipinfo.io — omtrentlig IP-basert geolokalisering for sikkerhet og regionale funksjoner Domeneregistrering: - Akkrediterte domeneregistrarer og domeneregistre (mottar registrantens kontaktopplysninger når du registrerer et domene) AI-tjenester: - Mistral AI (innholdsoversettelse og bildeanalyse, som beskrevet i punkt 5) Bildesøk: - Unsplash (mottar kun søkeord når du søker i deres bildebibliotek fra administrasjonspanelet) Integrasjoner du aktiverer (data deles kun når nettstedseieren kobler dem til): - Regnskaps- og lønnssystemer: Fiken, PowerOffice, Tripletex, Conta, Finago, Visma (mottar kundenavn, kontaktopplysninger og ordredata for fakturering og bokføring; der lønnsintegrasjonen er aktivert, mottar de også lønnsdata for ansatte, som timer og lønnsgrunnlagslinjer) - Fraktleverandører: Bring/Posten, PostNord, Helthjem (mottar mottakerens navn, adresse og telefonnummer for fraktetiketter, priser og sporing) Vi deler ikke dine personopplysninger med annonsører, datameglere eller tredjeparter for markedsføringsformål. Alle tredjeparts databehandlere er bundet av databehandleravtaler i samsvar med GDPR artikkel 28. Den gjeldende listen over underdatabehandlere finnes også i vår Databehandleravtale på https://login.vevja.no/dpa.

Dine data behandles og lagres primært på servere i Europa, med krypterte sikkerhetskopier lagret i EU (Tyskland). Enkelte tjenester innebærer overføringer til USA — særlig levering av push-varsler til mobil (Expo, Apple, Google). Der data overføres utenfor EØS (for eksempel når en tredjepartsleverandør behandler data i utlandet), sikrer vi at egnede sikkerhetstiltak er på plass, inkludert: - EUs standard kontraktsklausuler (SCC-er) - Tilstrekkelighetsbeslutninger fra EU-kommisjonen, inkludert EU-U.S. Data Privacy Framework for sertifiserte amerikanske leverandører - Ytterligere tekniske tiltak som kryptering Databasesikkerhetskopier er kryptert og lagret med tilgang begrenset til kun autorisert personell.

Vi oppbevarer dine personopplysninger kun så lenge det er nødvendig for formålene beskrevet i denne policyen: - Kontodata: Oppbevares mens kontoen er aktiv, pluss 30 dager etter sletting. - Autentiseringslogger: Oppbevares i 90 dager for sikkerhetsformål. - Administrative revisjonslogger: Oppbevares i 90 dager. - Analysedata: Aggregert og anonymisert; rådata oppbevares i 12 måneder. - Butikktransaksjonsdata: Oppbevares i 5 år i samsvar med den norske Bokføringsloven. - Stemplingsurdata: Oppbevares i den varigheten norsk arbeidslovgivning krever. Etter oppbevaringsperioden slettes data sikkert eller anonymiseres.

Vevja har en personvernfokusert tilnærming til sporing: - Vi bruker ikke tredjeparts sporingsinformasjonskapsler. - Vi bruker ikke reklameinformasjonskapsler. - Vårt analysesystem bruker hashede IP-adresser og er ikke avhengig av informasjonskapsler. - Vi bruker kun essensielle sesjonsinformasjonskapsler for autentiseringsformål. Essensielle informasjonskapsler kan ikke deaktiveres da de er nødvendige for at Tjenesten skal fungere. Disse inkluderer: - Sesjonsinformasjonskapsler for å opprettholde innloggingstilstanden din. - Sikkerhetsinformasjonskapsler for forespørselsverifisering.

Som registrert har du følgende rettigheter etter GDPR og norsk personvernlovgivning: Rett til innsyn (art. 15): Du kan be om en kopi av alle personopplysninger vi har om deg. Rett til retting (art. 16): Du kan be om retting av unøyaktige personopplysninger. Rett til sletting (art. 17): Du kan be om sletting av dine personopplysninger ("retten til å bli glemt"), med forbehold om lovpålagte oppbevaringskrav. Du kan også be om sletting av kontoen direkte fra kontoinnstillingene dine. Rett til begrensning (art. 18): Du kan be om at vi begrenser hvordan vi behandler dine data. Rett til dataportabilitet (art. 20): Du kan be om dine data i et strukturert, maskinlesbart format. Rett til å protestere (art. 21): Du kan protestere mot behandling basert på berettiget interesse. Rett til å trekke tilbake samtykke (art. 7(3)): Der behandling er basert på samtykke, kan du trekke det tilbake når som helst. For å utøve noen av disse rettighetene, kontakt oss på support@vevja.no. Vi vil svare uten ugrunnet opphold og senest innen én måned, som krevd av GDPR.

Vi implementerer egnede tekniske og organisatoriske tiltak for å beskytte dine personopplysninger, inkludert: - Passord er sikkert hashet (aldri lagret i klartekst). - Tofaktorautentisering med enhetsverifisering. - Sikker tokenbasert autentisering med kortvarige sesjoner. - Krypterte sikkerhetskopier med automatiserte oppbevaringspolicyer. - Rollebasert tilgangskontroll med detaljerte tillatelser. - Dataisolering som sikrer separasjon mellom kunder. - Regelmessig sikkerhetsovervåking og hendelseshåndtering. Til tross for disse tiltakene er ingen systemer helt sikre. Hvis vi blir oppmerksomme på et brudd på personopplysningssikkerheten som sannsynligvis vil medføre en risiko for dine rettigheter og friheter, vil vi varsle Datatilsynet innen 72 timer, som krevd av GDPR artikkel 33, og vi vil varsle deg uten ugrunnet opphold der bruddet sannsynligvis vil medføre en høy risiko for dine rettigheter, som krevd av GDPR artikkel 34.

Brukere må være minst 15 år for å opprette en konto selvstendig; brukere mellom 13 og 15 år krever samtykke fra forelder eller foresatt. Dette alderskravet er vår egen policy og er strengere enn aldersgrensen på 13 år for at barn kan samtykke til behandling av personopplysninger i forbindelse med informasjonssamfunnstjenester etter personopplysningsloven §5. Vi samler ikke bevisst inn personopplysninger fra barn under 13. Hvis vi får vite at vi har samlet inn personopplysninger fra et barn under 13 uten foreldresamtykke, vil vi slette disse dataene umiddelbart.

Hver kunde på Vevja-plattformen har et isolert miljø: - Kundedata lagres separat og sikkert. - Kunder kan ikke få tilgang til andre kunders data. - Når en kunde samler inn data fra sine nettsidebesøkende, er kunden Behandlingsansvarlig, og Vevja er Databehandler, slik det fremgår av vår Databehandleravtale (https://login.vevja.no/dpa). - Kunder er ansvarlige for sine egne personvernerklæringer og GDPR-overholdelse for data de samler inn fra sine besøkende.

Hvis du mener at dine personvernrettigheter har blitt krenket, har du rett til å klage til Datatilsynet: Datatilsynet Postboks 458 Sentrum 0105 Oslo, Norway Website: www.datatilsynet.no Email: postkasse@datatilsynet.no Du har også rett til å klage til tilsynsmyndigheten i EU/EØS-medlemsstaten der du har ditt vanlige bosted eller arbeidssted.

Vi kan oppdatere denne Personvernerklæringen fra tid til annen for å gjenspeile endringer i vår praksis, teknologi eller juridiske krav. Vi vil varsle deg om vesentlige endringer via e-post eller gjennom Tjenesten minst 30 dager før de trer i kraft. Den gjeldende versjonen av denne Personvernerklæringen er alltid tilgjengelig på denne siden.

Hvis du har spørsmål om denne Personvernerklæringen eller ønsker å utøve dine personvernrettigheter, kontakt oss: Vevja AS, org. nr. 938 295 735 Sagrønningen 1, 3271 Larvik, Norge E-post: support@vevja.no Nettside: https://vevja.no For personvernhenvendelser kan du også kontakte vårt personvernteam direkte på privacy@vevja.no.