Integritetspolicy

Vevja AS, org. nr. 938 295 735, Sagrønningen 1, 3271 Larvik, Norge ("vi", "oss" eller "vår") är personuppgiftsansvarig för personuppgifter som samlas in via vår plattform och autentiseringstjänst, i enlighet med EU:s dataskyddsförordning (GDPR) och Personopplysningsloven (den norska personuppgiftslagen). För personuppgifter som behandlas på uppdrag av våra kunder (webbplatsägare som använder Vevja) agerar Vevja som personuppgiftsbiträde och kunden som personuppgiftsansvarig. Denna behandling regleras av vårt personuppgiftsbiträdesavtal, tillgängligt på https://login.vevja.no/dpa. Kontakt: support@vevja.no

Vi samlar in följande kategorier av personuppgifter: Kontouppgifter: - Förnamn och efternamn - E-postadress - Telefonnummer (verifieras via SMS vid registreringen) - Säkert hashat lösenord (lagras aldrig i klartext) - Kontoroll och behörigheter Autentiserings- och säkerhetsdata: - Enhetsverifieringsdata, inklusive ett enhetsfingeravtryck som används för att känna igen betrodda enheter (för tvåfaktorsautentisering) - IP-adress (hashad för analysändamål, lagras inte i klartext) - Autentiseringsloggar och tidsstämplar - Inloggningshistorik och 2FA-verifieringsposter Användningsdata: - Besökta sidor i administrationspanelen - Mönster i funktionsanvändning - Webbläsartyp och operativsystem (för analysändamål) Butiksdata (i förekommande fall): - Orderhistorik och transaktionsposter - Uppgifter om leveransmottagare (namn, adress, telefonnummer) - Identifierare för betalningsmetoder (behandlas av våra betalningsleverantörer, lagras inte av oss) Domänregistreringsdata (om du registrerar en domän via Tjänsten): - Registrantens kontaktuppgifter (namn, adress, e-post, telefon) som krävs av domänregister Mobilappsdata (om du installerar Vevjas app för anställda): - Enhetens token för pushnotiser (används för att leverera notiser till din enhet) Anställdas uppgifter (Timeclock-modulen, i förekommande fall — behandlas på uppdrag av din arbetsgivare, som är personuppgiftsansvarig; se avsnitt 13): - Tidsstämplar för in- och utstämpling - Rastposter - Skiftscheman och historik över skiftbyten - Semester- och frånvaroposter - Ersättningsunderlag och inställningar för arbetstidsavtal - Födelsedatum (där det krävs för arbetstidsregler) - En-till-en-chattmeddelanden mellan personal som skickas via mobilappen

Vi behandlar dina personuppgifter med stöd av följande rättsliga grunder enligt artikel 6 i GDPR: Fullgörande av avtal (art. 6(1)(b)): - Behandling av kontouppgifter för att tillhandahålla Tjänsten - Behandling av betalnings- och orderuppgifter för butikstransaktioner - Behandling av registrantuppgifter för att registrera domäner för din räkning - Hantering av din prenumeration och fakturering Berättigat intresse (art. 6(1)(f)): - Integritetsfokuserad analys för att förbättra Tjänsten - Säkerhetsövervakning och bedrägeriförebyggande - Enhetsverifiering för tvåfaktorsautentisering Samtycke (art. 6(1)(a)): - Marknadsföringskommunikation (endast opt-in) - Icke-nödvändiga cookies (i förekommande fall) Rättslig förpliktelse (art. 6(1)(c)): - Skatte- och bokföringsunderlag för butikstransaktioner - Efterlevnad av norska bokföringskrav enligt Bokføringsloven (den norska bokföringslagen)

Vi använder dina personuppgifter för att: - Tillhandahålla, underhålla och förbättra Tjänsten. - Autentisera din identitet och skydda ditt konto. - Behandla transaktioner via webbutiken. - Skicka transaktionsmeddelanden via e-post och SMS (kontoverifiering, lösenordsåterställning, 2FA-länkar, orderbekräftelser). - Skicka pushnotiser till din mobila enhet om du installerar appen för anställda och aktiverar notiser (till exempel vid skiftändringar och personalchattmeddelanden; chattnotiser innehåller avsändarens namn och en kort förhandsvisning av meddelandet). - Ta fram integritetsfokuserad analys (med hashade IP-adresser, utan spårningscookies). - Tillhandahålla AI-driven innehållsöversättning och bildsökning (se avsnitt 5). - Övervaka och säkerställa Tjänstens säkerhet. - Uppfylla rättsliga förpliktelser. Vi säljer inte dina personuppgifter. Vi använder inte dina uppgifter för profilering eller automatiserat beslutsfattande som har rättsliga följder.

Vi använder artificiell intelligens för följande funktioner: Innehållsöversättning: Vi använder Mistral AI (ett franskt företag med behandling inom EU) för att översätta webbplatsinnehåll till de språk som stöds. Innehållet som skickas för översättning skickas i befintligt skick; om en sida innehåller personuppgifter (till exempel ett namn eller kontaktuppgifter som publicerats på sidan) kommer dessa uppgifter att ingå i innehållet som skickas för översättning. Bildsökning: Vi använder AI-tjänster för att analysera uppladdade bilder och generera sökbara beskrivningar. Bildanalysdata lagras lokalt inom ditt konto. Innehåll som skickas till AI-leverantörer används enbart för att tillhandahålla dessa funktioner och omfattas av ett personuppgiftsbiträdesavtal. Vi skickar inte kontouppgifter, kundregister eller andra lagrade personuppgifter till AI-leverantörer — endast det innehåll du väljer att översätta eller de bilder du laddar upp för analys.

Vi delar personuppgifter endast med följande kategorier av mottagare, och endast i den utsträckning det är nödvändigt: Betalningsleverantörer: - Vipps MobilePay (Norge) — betalningshantering och, där det är aktiverat, Vipps Login för kundinloggning - Stripe (behandling inom EU/EES via Stripe Payments Europe) - Klarna (Sverige) Dessa leverantörer hanterar betalningsuppgifter enligt sina egna integritetspolicyer. Kommunikation: - Bird — levererar våra transaktionsmeddelanden via e-post och SMS (tar emot e-postadresser, telefonnummer och meddelandeinnehåll) - Expo (USA) — levererar mobila pushnotiser för appen för anställda (tar emot enheters token för pushnotiser och notisinnehåll, inklusive avsändarens namn och en kort förhandsvisning av meddelandet för chattnotiser). Beroende på din enhet dirigeras notiser även via Apple Push Notification service eller Google Firebase Cloud Messaging. Infrastrukturleverantörer: - Bunny.net — innehållsleveransnätverk (CDN) och DNS - Leverantörer av serverdrift och molnlagring (för drift av Tjänsten och lagring av krypterade databassäkerhetskopior) Geolokalisering: - ipinfo.io — ungefärlig IP-baserad geolokalisering för säkerhet och regionala funktioner Domänregistrering: - Ackrediterade domänregistrarer och register (tar emot registrantens kontaktuppgifter när du registrerar en domän) AI-tjänster: - Mistral AI (innehållsöversättning och bildanalys, enligt beskrivningen i avsnitt 5) Bildsökning: - Unsplash (tar endast emot söktermer när du söker i deras bildbibliotek från administrationspanelen) Integrationer som du aktiverar (uppgifter delas endast när webbplatsägaren ansluter dem): - Bokförings- och lönesystem: Fiken, PowerOffice, Tripletex, Conta, Finago, Visma (tar emot kundnamn, kontaktuppgifter och orderdata för fakturering och bokföring; när löneintegrationen är aktiverad tar de även emot anställdas lönedata, såsom arbetade timmar och löneunderlagsrader) - Fraktbolag: Bring/Posten, PostNord, Helthjem (tar emot mottagarens namn, adress och telefonnummer för fraktsedlar, fraktpriser och spårning) Vi delar inte dina personuppgifter med annonsörer, datamäklare eller andra tredje parter för marknadsföringsändamål. Alla tredjepartsbiträden är bundna av personuppgiftsbiträdesavtal i enlighet med artikel 28 i GDPR. Den aktuella listan över underbiträden finns även i vårt personuppgiftsbiträdesavtal på https://login.vevja.no/dpa.

Dina uppgifter behandlas och lagras i första hand på servrar i Europa, med krypterade säkerhetskopior lagrade inom EU (Tyskland). Vissa tjänster innebär överföringar till USA — i synnerhet leverans av mobila pushnotiser (Expo, Apple, Google). När uppgifter överförs utanför EES (till exempel när en tredjepartsleverantör behandlar uppgifter utomlands) säkerställer vi att lämpliga skyddsåtgärder finns på plats, inklusive: - EU:s standardavtalsklausuler (SCC) - Beslut om adekvat skyddsnivå från Europeiska kommissionen, inklusive dataskyddsramen mellan EU och USA (EU-U.S. Data Privacy Framework) för certifierade amerikanska leverantörer - Ytterligare tekniska åtgärder såsom kryptering Databassäkerhetskopior är krypterade och lagras med åtkomst begränsad till endast behörig personal.

Vi sparar dina personuppgifter endast så länge det är nödvändigt för de ändamål som beskrivs i denna policy: - Kontouppgifter: Sparas medan ditt konto är aktivt, plus 30 dagar efter radering. - Autentiseringsloggar: Sparas i 90 dagar av säkerhetsskäl. - Administrativa granskningsloggar: Sparas i 90 dagar. - Analysdata: Aggregeras och anonymiseras; rådata sparas i 12 månader. - Butikstransaktionsdata: Sparas i 5 år i enlighet med Bokføringsloven (den norska bokföringslagen). - Tidsregistreringsdata: Sparas så länge som norsk arbetsrätt kräver. Efter lagringsperioden raderas eller anonymiseras uppgifterna på ett säkert sätt.

Vevja har en integritetsfokuserad inställning till spårning: - Vi använder inte spårningscookies från tredje part. - Vi använder inte annonscookies. - Vårt analyssystem använder hashade IP-adresser och är inte beroende av cookies. - Vi använder nödvändiga sessionscookies enbart för autentiseringsändamål. Nödvändiga cookies kan inte inaktiveras eftersom de krävs för att Tjänsten ska fungera. Dessa omfattar: - Sessionscookies för att upprätthålla din inloggning. - Säkerhetscookies för verifiering av förfrågningar.

Som registrerad har du följande rättigheter enligt GDPR och norsk dataskyddslagstiftning: Rätt till tillgång (art. 15): Du kan begära en kopia av alla personuppgifter vi har om dig. Rätt till rättelse (art. 16): Du kan begära rättelse av felaktiga personuppgifter. Rätt till radering (art. 17): Du kan begära radering av dina personuppgifter ("rätten att bli bortglömd"), med förbehåll för lagstadgade lagringskrav. Du kan även begära radering av ditt konto direkt via dina kontoinställningar. Rätt till begränsning (art. 18): Du kan begära att vi begränsar hur vi behandlar dina uppgifter. Rätt till dataportabilitet (art. 20): Du kan begära ut dina uppgifter i ett strukturerat, maskinläsbart format. Rätt att göra invändningar (art. 21): Du kan invända mot behandling som grundar sig på berättigat intresse. Rätt att återkalla samtycke (art. 7(3)): När behandlingen grundar sig på samtycke kan du när som helst återkalla det. För att utöva någon av dessa rättigheter, kontakta oss på support@vevja.no. Vi svarar utan onödigt dröjsmål och senast inom en månad, i enlighet med GDPR.

Vi vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda dina personuppgifter, inklusive: - Lösenord hashas säkert (lagras aldrig i klartext). - Tvåfaktorsautentisering med enhetsverifiering. - Säker tokenbaserad autentisering med kortlivade sessioner. - Krypterade säkerhetskopior med automatiserade lagringspolicyer. - Rollbaserad åtkomstkontroll med granulära behörigheter. - Dataisolering som säkerställer åtskillnad mellan kunder. - Löpande säkerhetsövervakning och incidenthantering. Trots dessa åtgärder är inget system helt säkert. Om vi får kännedom om en personuppgiftsincident som sannolikt medför en risk för dina rättigheter och friheter kommer vi att anmäla den till den norska datatillsynsmyndigheten (Datatilsynet) inom 72 timmar, i enlighet med artikel 33 i GDPR, och vi underrättar dig utan onödigt dröjsmål om incidenten sannolikt medför en hög risk för dina rättigheter, i enlighet med artikel 34 i GDPR.

Användare måste vara minst 15 år för att skapa ett konto på egen hand; användare mellan 13 och 15 år behöver samtycke från förälder eller vårdnadshavare. Denna åldersgräns är vår egen policy och är strängare än den lägsta ålder på 13 år vid vilken barn kan samtycka till behandling av sina personuppgifter i samband med informationssamhällets tjänster enligt Personopplysningsloven §5 (den norska personuppgiftslagen). Vi samlar inte medvetet in personuppgifter från barn under 13 år. Om vi får kännedom om att vi har samlat in personuppgifter från ett barn under 13 år utan föräldrarnas samtycke raderar vi dessa uppgifter omgående.

Varje kund på Vevja-plattformen har en isolerad miljö: - Kunddata lagras separat och säkert. - Kunder kan inte komma åt andra kunders data. - När en kund samlar in uppgifter från sina webbplatsbesökare är kunden personuppgiftsansvarig och Vevja personuppgiftsbiträde, i enlighet med vårt personuppgiftsbiträdesavtal (https://login.vevja.no/dpa). - Kunderna ansvarar för sina egna integritetspolicyer och sin egen GDPR-efterlevnad för uppgifter de samlar in från sina besökare.

Om du anser att dina dataskyddsrättigheter har kränkts har du rätt att lämna in ett klagomål till den norska datatillsynsmyndigheten: Datatilsynet Postboks 458 Sentrum 0105 Oslo, Norway Website: www.datatilsynet.no Email: postkasse@datatilsynet.no Du har även rätt att lämna in ett klagomål till tillsynsmyndigheten i den EU/EES-medlemsstat där du har din hemvist eller arbetsplats.

Vi kan komma att uppdatera denna integritetspolicy från tid till annan för att återspegla förändringar i våra rutiner, vår teknik eller rättsliga krav. Vi meddelar dig om väsentliga ändringar via e-post eller genom Tjänsten minst 30 dagar innan de träder i kraft. Den aktuella versionen av denna integritetspolicy finns alltid tillgänglig på denna sida.

Om du har frågor om denna integritetspolicy eller vill utöva dina dataskyddsrättigheter, kontakta oss: Vevja AS, org. nr. 938 295 735 Sagrønningen 1, 3271 Larvik, Norge E-post: support@vevja.no Webbplats: https://vevja.no För dataskyddsfrågor kan du även kontakta vårt dataskyddsteam direkt på privacy@vevja.no.