Personvernerklæring

CLEF Group AS er behandlingsansvarlig for personopplysningene som behandles gjennom Regelradaren. Forretningsadresse: Gustav Heibergs vei 6, 0852 Oslo. Organisasjonsnummer [registreres] — selskapet er under registrering, og nummeret føres opp her så snart det foreligger. Kontakt: hei@clef.no.

• E-postadresse — når du ber om en styrerapport, eller når du melder deg på en venteliste eller sender en henvendelse (for eksempel «Regelvakt-ventelisten»). Vi presiserer at «Regelvakt» per i dag er en venteliste for et abonnement vi bygger — det er ikke en aktiv varslings- eller overvåkingstjeneste ennå.
• Organisasjonsnummer og virksomhetsnavn som du selv oppgir, sammen med svarene du gir i profilspørsmål og kartlegginger, og treffene Regelradaren beregner ut fra dette.
• IP-adresse — lagres midlertidig når du ber om en rapport (for å begrense misbruk av bekreftelseslenken). Når autoriserte medarbeidere åpner en henvendelse, registrerer vi tidspunkt og IP-adresse av sikkerhetshensyn.
• Bruksstatistikk — vi registrerer enkelthendelser som «kartlegging startet» eller «rapport sendt», sammen med nøytrale opplysninger om hendelsen. Hendelsene lagres uavhengig av hverandre. Bruksstatistikken inneholder ikke navn, e-postadresse, organisasjonsnummer, telefonnummer eller en identifikator som følger brukeren eller økten.

Regelradaren beregner resultatet med en forhåndsdefinert regelmotor. Svarene dine behandles ikke av en språkmodell (KI), og Regelradaren bruker ingen KI-leverandører.

• Levere rapporten eller kartleggingen du ber om — gjennomføring av en tjeneste du selv har bedt om; behandlingen er nødvendig for å oppfylle en avtale med deg eller for å gjennomføre tiltak før avtaleinngåelse, GDPR artikkel 6(1)(b).
• Oppfølging av den konkrete forespørselen din om resultatet — berettiget interesse, GDPR artikkel 6(1)(f). Du kan protestere mot denne oppfølgingen.
• Generell markedsføring om andre CLEF-tjenester — utledes ikke av at du ber om en rapport. Det krever et eget samtykke, GDPR artikkel 6(1)(a). Regelvakt-ventelisten er et slikt eget, produktspesifikt samtykke.
• Oppfølging av en konkret venteliste du har meldt deg på — samtykke, GDPR artikkel 6(1)(a). Samtykket gjelder bare det produktinitiativet du meldte interesse for.
• Eventuelle generelle nyhets- eller markedsføringsoppdateringer — eget samtykke, GDPR artikkel 6(1)(a). Å melde interesse for ett produkt er ikke samtykke til generell markedsføring.
• Misbruksvern og sikkerhetslogging — berettiget interesse, GDPR artikkel 6(1)(f).

Å oppgi opplysninger er frivillig, men vi kan ikke levere rapporten eller følge opp en henvendelse uten dem.

Når du sender en henvendelse fra Regelradaren, videresendes e-postadressen og virksomhetsopplysningene du oppgir (organisasjonsnummer og virksomhetsnavn) til CLEF Group AS' felles kunderegister (CRM), slik at vi kan levere det du ba om og følge opp den konkrete forespørselen din. Forespørselen merkes med at du ikke har bedt om markedsføring av andre CLEF-tjenester, og gir derfor ikke grunnlag for oppfølging på tvers av produktene — det krever et eget samtykke fra deg. Registeret driftes av Lovable Cloud/Supabase innenfor EU/EØS på CLEFs vegne. Dette er intern deling innad i CLEF Group AS og ikke deling med tredjepart til markedsføringsformål. CLEF Group AS er fortsatt behandlingsansvarlig.

Vi lagrer opplysningene så lenge det er nødvendig for formålet, og en daglig automatisk sletterutine håndhever fristene:

• IP-adresser (fra rapportforespørsler og fra medarbeideres åpning av kontakt- og henvendelsesopplysninger) slettes automatisk innen 90 dager.
• Rapportforespørsler: ubekreftede forespørsler slettes innen ett døgn (bekreftelseslenken utløper uansett etter 30 minutter), og bekreftede/leverte forespørsler — med e-post, IP og rapportinnhold — slettes innen 90 dager.
• Kartlegginger: når dere ber om kartleggingsrapporten på e-post, lagrer vi svarene og resultatet (forberedelsesstatus, poengsum og mangler) for å kunne sende rapporten og for lenken som lar dere åpne resultatet igjen. Lenken virker i inntil 30 dager. Ubekreftede kartlegginger slettes innen ett døgn sammen med de øvrige ubekreftede forespørslene, og bekreftede kartlegginger slettes senest etter 90 dager.
• E-post på venteliste og henvendelser beholdes så lenge det er nødvendig for å følge opp det du har bedt om. Vi vurderer behovet for fortsatt lagring minst én gang i året, og sletter adressen når produktinitiativet avsluttes eller når du trekker samtykket. Du kan når som helst slette opplysningene vi har lagret på adressen din i produktdatabasen selv (se «Dine rettigheter»).
• Bruksstatistikk: slettes senest 12 måneder etter registrering.
• Kontakt- og henvendelsesopplysninger (leads): når opplysningene er overført til CLEFs sentrale kunderegister, slettes de fra Regelradarens produktdatabase senest 12 måneder etter registrering. Uansett slettes de senest etter 24 måneder. Rader som er merket for manuell oppfølging beholdes til oppfølgingen er ferdigstilt.
• Slettingsforespørsler: forespørselen (e-postadresse og bekreftelseslenke) slettes senest 30 dager etter at den er fullført eller utløpt. Selve slettingen fjerner også forespørselen umiddelbart.

Opplysningene selges ikke videre, og vi bruker ikke tredjepartssporing eller informasjonskapsler til analyse.

Lovable Labs Incorporated leverer skyplattformen Lovable Cloud (drift, lagring, e-post) for Regelradaren, med datalagring i Europa. Lovable bruker underdatabehandlere, blant annet Supabase (lagring) og e-postutsending; enkelte er etablert utenfor EØS, og Lovable opplyser at overføringer utenfor EØS reguleres av EUs standard personvernbestemmelser (SCC) der det er nødvendig. Oppdatert oversikt finnes i Lovables Trust Center. Behandlingen hos Lovable er regulert av en databehandleravtale mellom CLEF Group AS og Lovable.

Utgående e-post sendes fra notify.regelradar.clef.no via Lovables e-posttjeneste. Ingen eksterne analyseverktøy, sporingspiksler eller KI-leverandører er i bruk.

Når du oppgir et organisasjonsnummer, henter vi virksomhetsdata fra Enhetsregisteret og Regnskapsregisteret hos Brønnøysundregistrene. Dette er offentlige, åpne registre og en datakilde — ikke en databehandler for CLEF Group AS.

For å sjekke om virksomheten er registrert som Peppol-mottaker gjør vi et DNS-oppslag mot Google Public DNS med en hashet versjon av organisasjonsnummeret. Google mottar altså ikke selve organisasjonsnummeret i klartekst.

Opplysningene lagres i EU. Enkelte underdatabehandlere er etablert utenfor EØS, og slike overføringer skjer på grunnlag av EUs standard personvernbestemmelser (SCC) eller et annet gyldig overføringsgrunnlag.

Vi ber deg ikke oppgi særlige kategorier personopplysninger (som helse, fagforeningsmedlemskap eller fødselsnummer), og du bør ikke inkludere slike i fritekstfelt.

Vi bruker ikke informasjonskapsler til sporing, analyse eller annonsering, og bruksstatistikken vår setter ingen identifikator i nettleseren din.

Du kan når som helst be om innsyn, retting, sletting eller begrensning av behandlingen av personopplysningene dine. Du kan protestere mot behandling som bygger på berettiget interesse, be om dataportabilitet der behandlingen bygger på samtykke eller avtale og skjer automatisert, og trekke tilbake et samtykke du har gitt.

Vil du slette opplysningene vi har lagret på e-postadressen din i Regelradarens produktdatabase, kan du gjøre det selv på /slett-data — du oppgir adressen, og vi sender en bekreftelseslenke dit før noe slettes. Har du bedt om oppfølging fra CLEF, kan opplysningene også ligge i CLEFs sentrale kunderegister; sletting derfra kan du be om separat ved å kontakte oss på hei@clef.no.

Du kan når som helst klage til Datatilsynet dersom du mener behandlingen er i strid med personvernreglene.