1. Hvem er ansvarlig, og hvem gjelder erklæringen for?
Aasen Apps, organisasjonsnummer 938 545 022, Torggata 110, 2317 Hamar, er leverandør av Oppdragsboka. Kontakt om personvern: support@oppdragsboka.no.
Vi er behandlingsansvarlig når vi bestemmer formålet med egne kundehenvendelser, abonnementsadministrasjon, fakturering og nødvendig sikkerhetsarbeid. Denne erklæringen beskriver disse behandlingene og forklarer også rollene for data som kundebedrifter registrerer i appen.
For kundebedriftens oppdrags- og personalopplysninger er bedriften normalt behandlingsansvarlig, mens vi er databehandler etter bedriftens instrukser. Opplysninger om kunder, kontaktpersoner og ansatte kan derfor omfattes av bedriftens egen personverninformasjon i tillegg. Rollene må vurderes per behandling; de følger ikke bare av hva partene kaller seg.
2. Opplysninger, formål og rettslig grunnlag
For behandlingene der vi er behandlingsansvarlig gjelder følgende utgangspunkt. Bokstavene viser til personvernforordningen artikkel 6 nr. 1.
| Situasjon og opplysninger | Formål | Grunnlag |
|---|---|---|
| Henvendelser: navn, e-post, eventuell telefon, firma og innholdet du sender. | Svare på spørsmål og følge opp forespørselen. | Bokstav f: berettiget interesse i kundedialog. Bokstav b når du selv er mulig avtalepart og ber om tiltak før avtale. |
| Abonnements- og kontaktopplysninger: virksomhet, kontaktperson, e-post, pakke, status og referanser til betaling. | Administrere avtaleforhold, tilgang og varsler. | Bokstav b når du selv er avtalepart; ellers bokstav f: nødvendig administrasjon av avtaleforholdet med virksomheten. |
| Fakturaer og betalingsdokumentasjon, inkludert kontaktopplysninger som fremgår av bilag. | Oppfylle bokførings- og dokumentasjonsplikter. | Bokstav c: rettslig plikt, blant annet etter bokføringsloven. |
| Tekniske logger: blant annet IP-adresse, tidspunkt, forespurt ressurs og relevante feil- og tilgangshendelser i den grad dette logges. | Drift, feilsøking, beskyttelse mot misbruk og oppfølging av sikkerhetshendelser. | Bokstav f: beskytte tjenesten og brukernes opplysninger. Behandling som er nødvendig for en konkret rettslig plikt vurderes etter bokstav c. |
| Dokumentasjon av bestilling og akseptert avtaleversjon i den planlagte kjøpsflyten. | Dokumentere avtalen og behandle eventuelle tvister. | Bokstav b eller f avhengig av hvem som er avtalepart; bokstav c for opplysninger som må oppbevares etter lov. |
Opplysninger kommer fra deg, bedriftens administrator, bruk av tjenesten og relevante betalings- eller driftsleverandører. Opplysninger som er nødvendige for konto, betaling eller lovpålagt dokumentasjon må oppgis for at vi skal kunne levere den aktuelle delen av tjenesten. Unødvendige opplysninger i fritekstfelt er frivillige og bør unngås.
Når vi bruker berettiget interesse, skal behandlingen være nødvendig og interessen veies mot dine rettigheter. Du kan be om informasjon om vurderingen og protestere, se punkt 9. Vi bruker ikke aksept av abonnementsvilkår som et generelt personvernsamtykke. Eventuell senere markedsføring som krever samtykke må ha et eget, frivillig valg.
Før denne erklæringen tas i bruk må behandlingsprotokoll, interesseavveininger og nøyaktig innhold i driftslogger dokumenteres. Betalings- og akseptflyten beskrevet her er planlagt og ennå ikke aktivert på den nye nettsiden.
3. Data kundebedriften legger inn i appen
Dette omfatter navn, telefon, e-post, oppdragsadresse og koordinater, beskrivelser, notater, bilder, arbeidsøkter, tildelinger, time- og kilometerføringer, satser, økonomiopplysninger og e-postinnhold. Brukerkontoer inneholder også blant annet navn, e-post, firmatilknytning, rolle, avatar og innstillinger. Kalenderkoblinger kan inneholde referanser til oppføringer og synkroniseringsstatus.
Vi behandler slike opplysninger for å levere funksjonene bedriften har bestilt, etter databehandleravtalen. Bedriften bestemmer formål, hvem som får tilgang, hvilke opplysninger som registreres og bedriftens behandlingsgrunnlag. Vi bruker ikke oppdragsinnhold til egne annonser eller modelltrening.
Er du kunde eller ansatt hos en virksomhet som bruker Oppdragsboka, skal du normalt kontakte denne virksomheten om innsyn, retting eller sletting av dens opplysninger. Kontakter du oss, hjelper vi med å avklare riktig mottaker og bistår virksomheten etter avtalen. Våre egne plikter som databehandler består uansett.
4. Telefonens tillatelser og eksterne funksjoner
Posisjon og kart: Appen kan be om posisjon for å vise hvor du er og forbedre adressevalg eller planlegging. Karttjenesten kan motta posisjon, kartutsnitt og adresseoppslag når funksjonen brukes. Appen har ikke en funksjon for kontinuerlig bakgrunnssporing av ansatte. Kart- og stedsdata kan likevel lagres på oppdrag når bedriften registrerer dem.
Bilder: Når du velger eller tar et bilde og laster det opp, lagres bildet sammen med oppdraget eller befaringen. Bilder kan inneholde personer og andre identifiserende detaljer. Bedriften må sikre at bruken er lovlig. Du kan avslå eller endre telefonens bilde- og kameratillatelser.
Kalender: Når du gir tilgang og bruker funksjonen, leser appen kalenderinformasjon som er nødvendig for valg og synkronisering, og skriver oppdrags- eller befaringsinformasjon i valgt telefonkalender. En kalender kan synkroniseres videre av telefonens kalenderleverandør og deles med andre. Kopiene håndteres også i kalenderen; sletting i appen innebærer ikke nødvendigvis at eksterne kopier forsvinner.
E-post: Ved bruk av lokal e-postklient sendes mottaker og ferdig tekst til klienten du åpner. Ved sending gjennom Oppdragsboka behandles mottaker, avsender, emne og innhold av e-postleverandøren. Avsenderdomene og DNS-verifisering behandles når bedriften velger denne funksjonen.
Telefonens tillatelser kan trekkes tilbake i telefoninnstillingene. Da kan de aktuelle funksjonene slutte å virke. En tillatelse i operativsystemet er ikke i seg selv en avklaring av bedriftens behandlingsgrunnlag etter personvernregelverket.
5. Leverandører og andre mottakere
| Tjeneste | Bruk og opplysninger | Rolle som må avgrenses |
|---|---|---|
| Supabase | Database, autentisering, bildelagring og serverfunksjoner for appen. | Databehandler eller underdatabehandler for relevant behandling. |
| Webhuset | Webhotell for oppdragsboka.no; tilkoblingsopplysninger og eventuelle serverlogger ved besøk. | Databehandler for avtalt webdrift, med eventuelle selvstendige lovpålagte formål. |
| Resend | Transaksjons-e-post og sending fra appen: e-postadresser, emne, innhold og leveringsopplysninger, samt domeneverifisering. | Databehandler eller underdatabehandler for relevant sending. |
| Stripe – planlagt kjøpsflyt | Betaling og abonnement: betalingsopplysninger, kundeopplysninger og kjøpsreferanser. Kortopplysninger skal registreres hos Stripe, ikke i Oppdragsboka. | Kan ha flere roller, blant annet selvstendig behandlingsansvar for egne betalings- og lovpålagte formål. Avtalene må gjennomgås. |
| Apple, Google og brukerens e-post-/kalenderleverandør | Kart, adresseoppslag eller overføring til kart, kalender og e-post når funksjonen brukes. | Rolle og hvilke opplysninger som mottas varierer med funksjon og leverandør. De er ikke automatisk underdatabehandlere bare fordi appen åpner en ekstern tjeneste. |
Må avklares før bruk: Leverandørregister: fullfør juridiske avtalepartnavn, konkrete oppgaver, opplysningstyper, land for lagring/support, videre leverandører og rollefordeling. Kontroller de avtalene som gjelder for akkurat denne tjenesten.
Opplysninger kan også utleveres når en gyldig rettslig plikt krever det, eller til rådgivere som er nødvendige for å håndtere et konkret rettskrav. Da begrenses utleveringen til det som er nødvendig og mottakerens grunnlag avklares.
6. Lagringsland og overføring utenfor EØS
Valg av europeisk databaseområde er ikke alene en garanti for at all behandling og support skjer innenfor EØS. Lagring, sikkerhetskopier, underleverandører og eventuell fjerntilgang må vurderes samlet.
Må avklares før bruk: Behandlingsland og tredjeland: prosjektregion, backup-/supportsteder, mottakere og land utenfor EØS er ikke bekreftet. Dokumenter gyldig overføringsgrunnlag, nødvendige vurderinger og hvordan kopi av garantiene kan fås før teksten ferdigstilles.
Før overføring utenfor EØS må et gyldig grunnlag etter personvernforordningen kapittel V være på plass, for eksempel en relevant beslutning om tilstrekkelig beskyttelsesnivå eller standard personvernbestemmelser med nødvendige tilleggsvurderinger og tiltak. De konkrete landene, mottakerne, grunnlagene og hvordan du får kopi av garantiene må fremgå av den ferdige informasjonen. Denne teksten er ikke en bekreftelse på at slike avtaler allerede er kontrollert.
7. Hvor lenge opplysninger lagres
Fakturaer og annet primært regnskapsmateriale som omfattes av bokføringslovens oppbevaringskrav oppbevares normalt i fem år etter regnskapsårets slutt. Dette gjelder dokumentasjonen av vårt eget salg; det betyr ikke at alt oppdragsinnhold eller alle supporthenvendelser skal lagres i fem år.
Må avklares før bruk: Lagringstider: fastsett og gjennomfør konkrete frister for henvendelser, konto-/abonnementsopplysninger, avtaleaksept, tekniske logger, aktive kundedata og kopier etter avslutning. Beskriv eventuelle rettskrav og lovpålagte unntak særskilt.
For oppdragsdata som behandles på vegne av kunden følger lagring og sletting kundens lovlige instrukser og avtalte rutiner ved avslutning. Eventuell videre lagring av bestemte opplysninger for en rettslig plikt eller et konkret rettskrav må avgrenses og begrunnes. En tvist er ikke grunnlag for å beholde alle opplysninger uten tidsavgrensning.
Kopier som er sendt til mottakerens e-post, telefonkalender eller andre eksterne systemer, styres også av disse systemene. Leverandørens sikkerhetskopier skal ha en dokumentert utløpstid og en rutine som håndterer tidligere slettinger ved gjenoppretting.
8. Nettside, lokal lagring og informasjonskapsler
Det nåværende utkastet til produktsiden laster lokale HTML-, CSS- og JavaScript-filer. Koden setter ikke informasjonskapsler, bruker ikke nettleserlagring og inneholder ikke analyseverktøy, reklamepiksler eller eksterne skrifter. Pakkevalget beholdes bare i den åpne siden. Webhotellet mottar nødvendigvis tekniske tilkoblingsopplysninger når siden åpnes.
I den separate testflyten for registrering sendes firmanavn, organisasjonsnummer, kontaktperson, e-postadresse, valgt pakke og aksept av dokumentversjonen til serveren. Kort registreres på Stripes egen side. Aktiveringslenken inneholder en kortvarig engangskode; ved aktivering velger kunden selv passord. Koden og passordet lagres ikke i nettleserlagring eller logger av nettsidekoden. Ved innlogging til abonnementsportalen beholdes innloggingstoken bare i den åpne siden frem til videresending. Stripe kan bruke egen nødvendig lagring på sine sider; dette må beskrives konkret før kjøp åpnes.
Må avklares før bruk: Webhotell: bekreft hvilke besøks-/feillogger Webhuset faktisk lagrer, tilgang, behandlingssted og slettefrist, og kontroller eventuelle funksjoner som leverandøren legger til utenfor nettsidekoden.
Telefonappen lagrer blant annet innlogging og innstillinger lokalt for å fungere. Dette må skilles fra sporing på nettsiden. Når kjøp og kundeportal legges til, må faktisk lagring og eventuell tredjepartsbruk kartlegges på nytt. Ikke-nødvendig lagring eller tilgang på brukerens enhet skal ikke aktiveres før et gyldig samtykke når dette kreves. Strengt nødvendige funksjoner må forklares selv om de faller inn under unntaket fra samtykkekravet.
9. Rettighetene dine
Kontakt support@oppdragsboka.no om opplysninger vi er behandlingsansvarlig for. Vi kan be om nødvendig informasjon for å kontrollere identiteten din. Vi skal normalt svare uten ugrunnet opphold og senest innen én måned. Ved lovlig forlengelse får du beskjed innen den første måneden med begrunnelse. Henvendelser er som hovedregel gratis.
- Innsyn og retting: Du kan be om informasjon og kopi av dine personopplysninger, og få uriktige opplysninger rettet.
- Sletting og begrensning: Du kan be om sletting eller begrensning når vilkårene er oppfylt. Nødvendig regnskapsdokumentasjon eller opplysninger som må beholdes for rettskrav kan være unntatt.
- Dataportabilitet: Gjelder på vilkårene i artikkel 20, blant annet for automatisert behandling basert på avtale eller samtykke. Dette er ikke en ubetinget rett til alle bedriftens dokumenter eller alle logger.
- Samtykke: Hvis en behandling bygger på ditt samtykke, kan det trekkes tilbake uten at det påvirker lovlig behandling før tilbaketrekkingen.
- Klage: Du kan klage til Datatilsynet eller annen kompetent tilsynsmyndighet.
Vi bruker ikke automatiserte individuelle avgjørelser med rettslig eller tilsvarende betydelig virkning om deg i den gjennomgåtte løsningen. Kundebedriftens bruk av registrerte opplysninger i egne avgjørelser er bedriftens ansvar og må beskrives av den.
10. Sikkerhet og endringer i informasjonen
Vi skal ha egnede tekniske og organisatoriske sikkerhetstiltak etter risikoen. Sikkerhetshendelser håndteres etter våre plikter og avtalene med kundene. Det gis ikke en garanti om absolutt sikkerhet eller at data aldri kan gå tapt.
Vesentlige endringer i behandling eller informasjon skal kommuniseres til berørte personer på en egnet måte. Nytt formål eller grunnlag må vurderes før endringen gjennomføres. En ny dato på denne siden erstatter ikke nødvendig varsling eller samtykke. Dokumentversjonen øverst viser hvilket utkast du leser.