Personvernerklæring

Denne personvernerklæringen forklarer hvordan Skjld Labs AS («vi», «oss») behandler personopplysninger når du bruker Svaragent (https://svaragent.no) og de tilhørende portalene. Vi er opptatt av at behandlingen skjer i tråd med personvernforordningen (GDPR) og personopplysningsloven.

1. Behandlingsansvarlig

Behandlingsansvarlig for personopplysningene som beskrives her er:

• Skjld Labs AS
• Org.nr: 937 025 955
• Adresse: Langes gate 8, 3210 Sandefjord
• E-post: [email protected]

2. To roller — viktig å skille

Svaragent er en kundeserviceportal der en KI-assistent leser, tolker og skriver utkast til svar på e-post som virksomheter (våre kunder) mottar. I personvernregelverket har vi derfor to ulike roller:

• Behandlingsansvarlig for opplysninger om kontoen og bruken av tjenesten — altså opplysninger om brukerne som registrerer seg og logger inn hos oss. Dette er det denne erklæringen primært handler om.
• Databehandler for innholdet kunden behandler i tjenesten — innkommende og utgående e-post, kontakter, bedrifts- og saksopplysninger (CRM) og kunnskapsbasen. Her er det kunden (virksomheten) som er behandlingsansvarlig og bestemmer formålet, mens vi kun behandler opplysningene på kundens vegne og etter instruks. Vilkårene for denne behandlingen er regulert i vår databehandleravtale.

3. Hvilke personopplysninger vi behandler

Som behandlingsansvarlig behandler vi:

Kontoopplysninger

• Navn og e-postadresse
• Passord (lagret som irreversibel hash, aldri i klartekst)
• Foretrukket språk og kontostatus
• Identifikator fra Google eller Microsoft dersom du logger inn via dem (vi lagrer ikke passordet ditt hos disse)
• Hvilken virksomhet (tenant) brukeren tilhører, og rolle (admin/agent/viewer)

Bruks- og tekniske opplysninger

• IP-adresse og nettlesertype (user-agent) knyttet til økten
• Innloggings- og aktivitetslogg i portalen
• Informasjonskapsler som er nødvendige for innlogging og sikkerhet — se informasjonskapsler

Henvendelser

• Opplysninger du gir oss når du kontakter support eller salg (navn, e-post, innhold i henvendelsen)

4. Formål og rettslig grunnlag

Formål	Rettslig grunnlag (GDPR)
Opprette og administrere kontoen din, levere portalen	Oppfyllelse av avtale, art. 6(1)(b)
Innlogging, sikkerhet, drift og feilretting	Berettiget interesse, art. 6(1)(f)
Aktivitetslogg og misbruksforebygging	Berettiget interesse, art. 6(1)(f)
Svare på henvendelser og yte support	Berettiget interesse / avtale, art. 6(1)(f)/(b)
Oppfylle regnskaps- og rettslige plikter	Rettslig forpliktelse, art. 6(1)(c)

5. Bruk av kunstig intelligens

Kjernen i tjenesten er at en språkmodell (LLM) leser innkommende e-post sammen med kundens kunnskapsbase og CRM, og skriver et forslag til svar. Som hovedregel gjennomgår og godkjenner et menneske utkastet før det sendes. Behandlingen utgjør derfor normalt ikke en automatisert individuell avgjørelse etter GDPR art. 22.

En kunde kan slå på auto-sending, der godkjente kategorier svar sendes uten manuell gjennomgang. Kunden er behandlingsansvarlig for denne innstillingen og for å vurdere konsekvensene for de registrerte. Selve KI-prosesseringen av e-postinnhold skjer hos LLM-leverandøren vi har gjort tilgjengelig — se underleverandører.

6. Underdatabehandlere og mottakere

Vi bruker utvalgte underleverandører til drift, KI-prosessering, e-postintegrasjon og analyse. En oppdatert oversikt med formål og lokasjon finnes på siden underleverandører. Vi selger aldri personopplysninger.

7. Overføring utenfor EØS

Vi tilstreber at personopplysninger lagres og behandles innenfor EU/EØS. Enkelte underleverandører (for eksempel LLM-leverandør, Google eller Microsoft) kan behandle opplysninger utenfor EØS. I slike tilfeller sikres overføringen med et gyldig overføringsgrunnlag, normalt EU-kommisjonens standard personvernbestemmelser (SCC) kombinert med nødvendige tilleggstiltak. Detaljer per underleverandør står på underleverandør-siden.

8. Lagringstid

• Kontoopplysninger: så lenge du har en aktiv konto. Slettes eller anonymiseres normalt innen 90 dager etter at kontoen avsluttes, med mindre lovpålagt lagring (f.eks. bokføring) krever lengre tid.
• Aktivitets- og sikkerhetslogg: inntil 12 måneder.
• Henvendelser til support: inntil 24 måneder.
• Innhold som behandles på kundens vegne (e-post, CRM): styres av kundens egne sletterutiner og databehandleravtalen.

9. Informasjonskapsler

Vi bruker kun nødvendige informasjonskapsler for innlogging og sikkerhet. Vi bruker ikke informasjonskapsler for analyse, sporing eller markedsføring. Se informasjonskapsler for full oversikt.

10. Informasjonssikkerhet

Vi gjennomfører egnede tekniske og organisatoriske tiltak for å beskytte personopplysninger, blant annet kryptert overføring (TLS), kryptering av sensitive felt (som postboks-passord og OAuth-tokener) i databasen, tilgangsstyring basert på roller, og adskillelse av data mellom kunder (multi-tenant-isolasjon). Tilgangen til produksjonsdata er begrenset til personell som trenger det for drift.

11. Dine rettigheter

Du har etter personvernregelverket rett til å:

• be om innsyn i opplysningene vi behandler om deg
• be om retting av uriktige opplysninger
• be om sletting («retten til å bli glemt»)
• be om begrensning av behandlingen
• protestere mot behandling basert på berettiget interesse
• be om dataportabilitet
• trekke tilbake et samtykke der behandlingen bygger på samtykke

Henvendelser rettes til [email protected]. Gjelder henvendelsen opplysninger vi behandler på vegne av en virksomhet (som databehandler), videreformidler vi den til rette behandlingsansvarlige. Du kan også klage til Datatilsynet (datatilsynet.no).

12. Endringer

Vi kan oppdatere denne erklæringen ved endringer i tjenesten eller regelverket. Vesentlige endringer varsles i portalen eller på e-post. Gjeldende versjon er alltid tilgjengelig på denne siden med oppdateringsdato.

13. Kontakt

Spørsmål om personvern? Kontakt oss på [email protected] eller [email protected].