Personvernerklæring

1. Behandlingsansvarlig

Komplio AS er behandlingsansvarlig for personopplysningene som samles inn gjennom Tjenesten. Det betyr at vi er ansvarlige for å sikre at opplysningene behandles lovlig, sikkert og i tråd med denne erklæringen.

2. Hvilke data vi samler inn

Vi samler inn følgende kategorier av personopplysninger:

Kontoinformasjon

• Fullt navn
• E-postadresse
• Telefonnummer (valgfritt)
• Organisasjonstilknytning og rolle
• Passord (kryptert)

Brukerinnhold

• Avviksmeldinger og beskrivelser
• Risikovurderinger
• Sjekklister og handlingsplaner
• Opplæringsregistreringer
• Dokumenter og vedlegg du laster opp

Tekniske data

• IP-adresse
• Nettlesertype og -versjon
• Operativsystem
• Tidspunkt for innlogging og bruk
• Sidevisninger og funksjoner brukt

Betalingsinformasjon

Betalingsopplysninger (kortnummer, fakturainformasjon) behandles av vår betalingsleverandør Stripe og lagres ikke direkte hos oss. Vi mottar kun en referanse til betalingen og informasjon om abonnementsstatus.

3. Formål og rettslig grunnlag

Vi behandler personopplysninger for følgende formål:

4. Databehandlere

Vi bruker følgende tredjepartsleverandører (databehandlere) som behandler personopplysninger på våre vegne. Vi har inngått databehandleravtaler med alle leverandører i henhold til GDPR art. 28.

Data som overføres til leverandører utenfor EU/EØS er beskyttet gjennom EU-kommisjonens standardkontraktsklausuler (SCCs) eller tilstrekkelighetsbeslutninger.

5. Oppbevaring og sletting

Vi lagrer personopplysninger så lenge det er nødvendig for å oppfylle formålene beskrevet ovenfor, eller så lenge vi er lovpålagt å oppbevare dem.

• Kontoinformasjon: Lagres så lenge du har en aktiv konto, og i inntil 30 dager etter sletting av kontoen.
• Brukerinnhold: Lagres så lenge organisasjonen har et aktivt abonnement. Ved oppsigelse har du 30 dager til å eksportere data før det slettes permanent.
• Tekniske logger: Slettes automatisk etter 90 dager.
• Regnskapsinformasjon: Oppbevares i 5 år i henhold til bokføringsloven.

6. Dine rettigheter

I henhold til GDPR har du følgende rettigheter knyttet til dine personopplysninger:

• Rett til innsyn (art. 15): Du har rett til å få en kopi av alle personopplysninger vi har om deg, samt informasjon om hvordan de behandles.
• Rett til retting (art. 16): Du kan be om at uriktige eller ufullstendige opplysninger om deg rettes.
• Rett til sletting (art. 17): Du kan be om at dine personopplysninger slettes når de ikke lenger er nødvendige for formålet, eller hvis du trekker tilbake ditt samtykke.
• Rett til dataportabilitet (art. 20): Du har rett til å motta dine personopplysninger i et strukturert, alminnelig brukt og maskinlesbart format, og overføre disse til en annen tjeneste.
• Rett til å protestere (art. 21): Du kan protestere mot behandling som er basert på berettiget interesse, inkludert profilering.
• Rett til begrensning (art. 18): Du kan kreve at behandlingen av dine opplysninger begrenses i visse situasjoner.

For å utøve dine rettigheter kan du kontakte oss på personvern@komplio.no. Vi vil besvare henvendelsen din innen 30 dager.

7. Informasjonssikkerhet

Vi tar informasjonssikkerhet på alvor og har implementert tekniske og organisatoriske tiltak for å beskytte dine personopplysninger:

• All dataoverføring er kryptert med TLS 1.2 eller nyere.
• Data lagres kryptert i ro (AES-256) hos vår databaseleverandør.
• Tilgangsstyring basert på roller og minste privilegium.
• Regelmessige sikkerhetsgjennomganger og sårbarhetstesting.
• Hendelseshåndtering med varsling til berørte parter og Datatilsynet ved brudd, i henhold til GDPR art. 33 og 34.

8. Informasjonskapsler (cookies)

Vi bruker nødvendige informasjonskapsler for å drifte Tjenesten, inkludert sesjonshåndtering og autentisering. Disse krever ikke samtykke da de er strengt nødvendige for å levere Tjenesten.

Vi bruker ikke tredjeparts sporingsverktøy eller annonserelaterte informasjonskapsler.

9. Endringer i personvernerklæringen

Vi kan oppdatere denne personvernerklæringen ved behov. Vesentlige endringer varsles via e-post eller i Tjenesten minst 30 dager før de trer i kraft. Oppdatert dato vises øverst i dokumentet.

10. Kontakt Datatilsynet

Dersom du mener at vi behandler personopplysningene dine i strid med personvernlovgivningen, har du rett til å klage til Datatilsynet:

Vi oppfordrer deg likevel til å kontakte oss først, slik at vi kan forsøke å løse saken direkte.