Personvernerklæring

Denne erklæringen forklarer hvordan Covision Technology AS behandler personopplysninger når du bruker Advitics eller besøker advitics.no. Den er vår informasjon til deg etter personvernforordningen (GDPR) artikkel 13 og 14.

Kort fortalt

• Hvem vi er. Advitics leveres av Covision Technology AS, org.nr 991 248 560, Hamar, Norge.
• Hva vi er. En B2B-plattform for bedrifter som vil finne flere kunder og selge mer til dem de har. Tjenesten er ikke rettet mot forbrukere.
• To roller. Vi er behandlingsansvarlig for opplysninger om deg som logger inn og bruker plattformen, og for katalogen over virksomheter. Vi er databehandler for personopplysningene som ligger i kundens egne forretningsdata.
• Hvor dataene ligger. Plattformen og databasen driftes på Covisions eget utstyr i Norge, og sikkerhetskopiene ligger på utstyr Covision disponerer i Norge.
• Vi selger aldri data, og vi trener ikke AI-modeller på innholdet i samtalene eller integrasjonene dine.
• Innlogging. Du logger inn med Google eller Microsoft. Vi mottar navn og e-postadresse, fra Google også profilbilde, men aldri passordet ditt.
• Google-data. Kobler du en Gmail-konto, leser og sender vi e-post bare for å levere funksjonene du selv har slått på, og vi markerer e-post som lest, arkiverer den eller legger den i papirkurven bare når en bruker ber om det. Advitics legger aldri e-post fra en delt postkasse i papirkurven. Se §6.
• Kartleggingen av virksomheter. Vi henter opplysninger om norske virksomheter fra Brønnøysundregistrene og fra nettstedene deres, slik at kundene våre kan finne nye bedriftskunder. Det kan gjelde deg hvis du driver et enkeltpersonforetak, eller hvis du er nevnt på nettstedet til en bedrift. Se §3.5.
• Ordrebekreftelsen. Godtar du en ordrebekreftelse på vegne av en kunde, lagrer vi navnet, e-postadressen og rollen din, tidspunktet og en kvittering, for å dokumentere avtalen. Se §3.10.
• Rettighetene dine. Innsyn, retting, sletting, begrensning og dataportabilitet. Skriv til personvern@advitics.no, så svarer vi innen én måned.
• Du kan protestere mot behandling som bygger på vår berettigede interesse, og mot at opplysninger om deg brukes til markedsføring. Mot markedsføring trenger du ikke begrunne protesten. Se Retten til å protestere.

1. Behandlingsansvarlig

Covision Technology AS Org.nr 991 248 560 Hamar, Norge

«Advitics» er handels- og produktbetegnelsen på tjenesten Covision leverer. En egen Advitics AS er ikke stiftet. Blir den stiftet, overdras behandlingsansvaret formelt, og denne erklæringen oppdateres med minst 30 dagers forhåndsvarsel til aktive kunder.

Personvernspørsmål: personvern@advitics.no

Generell kontakt: info@advitics.com

Personvernombud

Vi er ikke pliktige til å ha personvernombud etter GDPR artikkel 37: kjernevirksomheten vår er verken regelmessig og systematisk overvåking i stort omfang eller behandling av særlige kategorier personopplysninger i stort omfang. Behovet vurderes på nytt ved vesentlige endringer i behandlingens art eller omfang, og vi oppnevner ombud dersom vilkårene i artikkel 37 inntrer.

2. Når vi er behandlingsansvarlig, og når vi er databehandler

Der vi er databehandler, er kunden behandlingsansvarlig og bestemmer formålet. Databehandleravtalen er en del av ordrebekreftelsen kunden godtar, og kunden kan når som helst få gjeldende versjon ved å skrive til personvern@advitics.no.

3. Hvilke opplysninger vi behandler

3.1 Kontoopplysninger

Navn, e-postadresse, rolle i organisasjonen, hvilken kunde du hører til, og innloggingshendelser (tidspunkt, IP-adresse, hvilken påloggingsmetode som ble brukt, registrerte passnøkler).

Rettsgrunnlag: GDPR art. 6(1)(b) der du selv er part i avtalen med oss. Er avtalen med arbeidsgiveren din, er grunnlaget art. 6(1)(f) — vår berettigede interesse i å administrere og sikre kundeforholdet.

Opplysningene trengs for å opprette og bruke en konto. Du har ingen plikt til å gi dem, men uten dem kan du ikke logge inn i Advitics.

3.2 Opplysninger vi mottar ved innlogging

Du logger inn med Google-kontoen eller Microsoft-kontoen din. Vi mottar aldri passordet ditt, uansett hvilken du velger.

Fra Google (OpenID Connect) mottar vi:

• navn
• e-postadresse og om den er verifisert
• profilbilde (URL)
• Google-kontoens interne bruker-ID
• hvilket Google Workspace-domene kontoen tilhører, når kontoen er en Workspace-konto

Fra Microsoft Entra ID mottar vi:

• e-postadresse, og bekreftelse fra Microsoft på at den er verifisert
• fornavn og etternavn, når kontoen har dem registrert
• en varig bruker-ID (oid) og en ID for organisasjonen kontoen hører til (tid)

Fra Microsoft får vi ikke profilbilde. Vi lagrer kombinasjonen av de to ID-ene som din identitet, i stedet for e-postadressen, slik at kontoen din følger deg om e-postadressen endres. Innlogging avvises hvis Microsoft ikke bekrefter at adressen er verifisert.

Opplysningene brukes til å opprette og gjenkjenne brukerkontoen din, og til å knytte deg til riktig kunde. Logger du inn uten konto og uten invitasjon, oppretter vi ingen konto, men kan lagre en forespørsel om tilgang. Det står i §3.9.

Rettsgrunnlag: som i §3.1.

3.3 E-postkontoen du eventuelt kobler til

Velger du å koble en Gmail- eller Google Workspace-konto til Advitics, ber vi om tilgang til å sende e-post på dine vegne og til å lese og endre status på e-post i postkassen din. Vi ber om den samme tilgangen for personlige og delte postkasser, og vi bruker den til å vise og håndtere postkassen i Advitics, koble e-post til CRM og oppdage mislykket levering.

Første gang henter vi e-post fra de siste 90 dagene, uten søppelpost, papirkurv og chat. Deretter henter vi nye e-poster etter hvert som de kommer, også e-post Gmail sorterer som søppelpost. Den vises ikke i innboksen i Advitics. Vi behandler da:

• e-post du sender gjennom Advitics — for e-post fra kundedialogene lagrer vi bare metadata, mens innholdet i kampanje-e-post lagres som del av kampanjen
• metadata for meldinger i postkassen — avsender, mottakere, emne og tidspunkt — også for meldinger som ikke hører til en kundedialog
• Gmail-etiketter og om e-posten er lest, for eksempel innboks, sendt og ulest
• innholdet i en melding når det hentes, for eksempel for visning eller når du svarer
• meldinger som kan være varsler om mislykket levering, som hentes automatisk for å oppdage slike
• teknisk metadata som meldings-ID-er og trådidentifikatorer

Status endres bare når en bruker ber om det i Advitics: Advitics markerer da e-post som lest eller ulest, arkiverer den eller flytter den tilbake til innboksen i Gmail. I en personlig postkasse er det bare du som eier som kan be om det, og du kan også legge e-post i papirkurven. Gmail sletter selv e-post som har ligget i papirkurven i 30 dager. I en delt postkasse kan de som kan sende fra adressen, be om det, og endringen gjelder for alle som bruker postkassen, også i Gmail. Advitics legger aldri e-post fra en delt postkasse i papirkurven.

Bare eieren ser e-postene fra en personlig postkasse. Administratorrollen gir ikke tilgang. Alle i arbeidsområdet som har tilgang til e-post, ser e-postene fra en delt postkasse. De som har tillatelse til å sende e-post, kan sende fra adressen i CRM. Med «Begrenset sending» under «Medlemmer / tilgang» avgrenses hvilke av dem som kan sende.

Tilkoblingen er frivillig, gjøres per postkasse, og kan kobles fra når som helst i Advitics eller i Google-kontoens sikkerhetsinnstillinger. Hva som slettes ved frakobling, og når, står i §5. Se §6 for hva vi ikke gjør med disse dataene.

Vår rolle: Advitics behandler disse opplysningene som databehandler etter dokumenterte instrukser fra kunden. Kunden er behandlingsansvarlig og er ansvarlig for å fastsette og dokumentere rettsgrunnlaget.

3.4 Forretningsdata fra integrasjoner

Kobler kunden til regnskapet sitt (Tripletex eller Fiken), henter vi data derfra: ordrer, fakturaer, produkter og kontaktopplysninger til kundens egne kunder. Fra Fiken, og fra Tripletex når importen av hovedboken er slått på, henter vi også kontoplanen og regnskapsposteringer på et utvalg av inntekts- og kostnadskontoene, med teksten som er ført på posteringen. Posteringer på lønnskontoene hentes ikke.

Her er Advitics databehandler. Kunden bestemmer hvilke systemer som kobles til, og hvorfor.

Vår rolle: Advitics behandler disse opplysningene som databehandler etter dokumenterte instrukser fra kunden. Kunden er behandlingsansvarlig og er ansvarlig for å fastsette og dokumentere rettsgrunnlaget.

3.5 Kartleggingen av virksomheter

Advitics har en katalog over norske virksomheter. Den hjelper kundene våre å finne bedrifter som ligner deres beste kunder, og å ta kontakt med dem. Nettroboten Advitics-Atlas henter innholdet fra nettstedene, og språkmodellen Gemini fra Google hjelper oss å finne riktig nettsted for en virksomhet og å vurdere hva virksomheten driver med.

Opplysningene kommer fra to offentlig tilgjengelige kilder:

• Brønnøysundregistrene: Enhetsregisteret og Regnskapsregisteret
• virksomhetenes egne nettsteder, som nettroboten besøker

Vi lagrer:

• om virksomheten: navn, organisasjonsnummer, organisasjonsform, adresse, bransje, antall ansatte, regnskapstall som omsetning, og telefonnummer og e-postadresse slik de står i Enhetsregisteret
• fra nettstedet: adressen til nettstedet, hvilken teknologi det bruker, rolleadresser som post@ og info@, og teksten på forsiden og om-oss-siden, inntil 2 000 tegn per side. Før teksten lagres, fjerner vi e-postadresser og telefonnumre fra den, men navn blir stående
• fra sidene nettroboten henter: strukturerte data som nettstedet selv har lagt ut for søkemotorer (JSON-LD). Oppføringer som er merket som personer, fjernes før lagring, men telefonnumre og e-postadresser i de strukturerte dataene kan bli stående
• for hver av kundene våre: hvor godt virksomheten passer for kunden, og om nettsiden viser at virksomheten kan være en aktuell kjøper, med et ordrett sitat fra nettsiden som begrunnelse

Teksten på kontaktsider lagres ikke lenger. Tekst som ble lagret fra kontaktsider tidligere, og som kan inneholde e-postadresser og telefonnumre, er ennå ikke slettet.

For et enkeltpersonforetak er opplysningene om virksomheten personopplysninger om innehaveren. Foretaksnavnet inneholder ofte innehaverens navn, adressen er ofte hjemmeadressen, og telefonnummeret kan være et privat mobilnummer. Er du ansatt i en bedrift, kan navnet og stillingen din stå i teksten fra om-oss-siden til arbeidsgiveren din. Vi bruker opplysningene i næringssammenheng, ikke om deg som privatperson.

Et enkeltpersonforetak rangeres bare for Covisions egne arbeidsområder, ikke for andre kunder. Rangeringen bygger bare på næringskode, antall ansatte, omsetning og fylke fra registrene. Nettstedet og vurderingen av om foretaket kan være en aktuell kjøper, brukes ikke når vi rangerer et enkeltpersonforetak. En konkurs registrert i Brønnøysundregistrene gjør at foretaket ikke rangeres som aktuell kunde.

Kundene våre ser virksomhetene, rangeringen og sitatet i Advitics. For å finne riktig nettsted og vurdere nettsiden sender vi navnet, organisasjonsnummeret, poststedet og bransjen til virksomheten, sammen med utdrag av teksten på nettstedet, til Gemini hos Google. Google kan behandle dem utenfor EØS, se §8 og §9.

Rettsgrunnlag: GDPR art. 6(1)(f). Den berettigede interessen er vår interesse i å tilby katalogen, og kundenes interesse i å finne og kontakte nye bedriftskunder. Vurderingen av interessene er dokumentert internt og gjennomgås minst én gang i året.

Lagringstid: Vi har ennå ikke fastsatt en slettefrist for katalogen. Teksten fra et nettsted erstattes når nettroboten besøker det på nytt. Opplysningene fra registrene blir stående, også når virksomheten er slettet i registeret. Rangeringer og vurderinger som er laget for en kunde, slettes når kundens arbeidsområde avvikles. Protesterer du mot at et organisasjonsnummer brukes til markedsføring, lagrer vi organisasjonsnummeret, tidspunktet og hvordan protesten kom inn, så lenge katalogen kan inneholde opplysninger om foretaket. Det gjør vi for at protesten skal fortsette å gjelde.

Protest og avmelding. Du kan når som helst protestere mot at opplysninger om deg brukes i katalogen, og du trenger ikke begrunne protesten. Er du nevnt på nettstedet til en bedrift, kan du protestere selv, uten å gå via bedriften. Se Retten til å protestere.

Driver du et enkeltpersonforetak, kan du protestere med organisasjonsnummeret, på advitics.no/bots/opt-out eller til personvern@advitics.no. Da slutter vi å rangere og levere foretaket og å vise det i søket i Advitics, og vi sletter rangeringene av det. E-post som sendes gjennom Advitics til foretaket, stoppes, og ringer vi fra vårt eget kunderegister, merker vi foretaket og deg som ikke-kontakt der. Protesten gjelder organisasjonsnummeret. Den gjelder ikke deg i andre roller, for eksempel som daglig leder i et annet selskap, og ikke et nytt organisasjonsnummer. Har en av kundene våre alt lagt foretaket inn i sitt eget kunderegister i Advitics, fjerner ikke protesten til oss det; da må du også protestere hos kunden.

Er du nettstedsoperatør, kan du melde nettstedet av på advitics.no/bots eller blokkere Advitics-Atlas i robots.txt. Vi respekterer robots.txt uten unntak. Melder et nettsted seg av, slutter vi å hente fra det og å bruke teksten vi har lagret derfra. Teksten slettes ikke automatisk, men vi sletter den når du ber om det.

3.6 Samtaler med AI-agentene

Når samtalefunksjonen er på, lagrer vi spørsmålene dine, svarene, hvilken agent og modell som svarte, tidsstempler, og hvilke handlinger agenten eventuelt utførte i kundens egen database. Meldingen du sender, lagres også når språkmodellen ikke svarer; da lagres et teknisk svar i stedet. En samtale slettes automatisk 30 dager etter siste melding.

Sigrid kan foreslå å huske en kort opplysning om bedriften. Den lagres først når en bruker med rett til å godkjenne trykker Godkjenn. Minnet deles med alle i arbeidsområdet og tas med i senere samtaler, også når noen andre skriver. Alle kan se det under Innstillinger → Sigrid husker; brukere med rett til å godkjenne kan endre og slette linjene. Vi lagrer høyst 15 linjer på høyst 200 tegn. Minnet slettes ikke etter 30 dager som samtalen: det står til dere sletter linjene eller arbeidsområdet avvikles. En operatør kan også slette valgte linjer på kundens skriftlige instruks.

Vår rolle: Advitics behandler samtalene som databehandler etter dokumenterte instrukser fra kunden. Kunden er behandlingsansvarlig og er ansvarlig for å fastsette og dokumentere rettsgrunnlaget.

3.7 Bruk av nettstedet advitics.no

Nettstedet driftes hos Vercel. Vi bruker Vercel Analytics og Vercel Speed Insights til aggregert besøksstatistikk og ytelsesmåling. Disse er konfigurert uten sporingsinformasjonskapsler og uten profilbygging på tvers av nettsteder.

Rettsgrunnlag: GDPR art. 6(1)(f) — berettiget interesse i å forstå og forbedre nettstedet.

3.8 Tekniske logger og sikkerhetslogger

Vi logger feilmeldinger, ytelsesmålinger, forespørselssporing og sikkerhetshendelser (innlogginger, mislykkede forsøk, mistenkelig trafikk). Loggene kan inneholde IP-adresser og bruker-ID-er.

Rettsgrunnlag: GDPR art. 6(1)(f) — berettiget interesse i sikker og stabil drift.

3.9 Når du logger inn uten invitasjon

Logger du inn med Google eller Microsoft uten å ha en konto hos oss og uten en gyldig invitasjon, avviser vi innloggingen, og ingen konto opprettes. Kom du ikke via en invitasjonslenke, lagrer vi en forespørsel om tilgang, slik at vi kan behandle henvendelsen og vurdere om vi kan sette opp et arbeidsområde for deg. Kom du via en invitasjonslenke, lagrer vi ingenting her. Har vi allerede fått 30 nye forespørsler den siste timen, lagrer vi ingen ny, og du blir bedt om å prøve igjen senere.

Forespørselen inneholder:

• e-postadressen din
• kontoens ID hos Google eller Microsoft
• Google Workspace-domenet eller organisasjons-ID-en fra Microsoft, når kontoen har en slik
• hvilken av de to du logget inn med, hvor mange ganger du har prøvd, og når du prøvde første og siste gang
• hvor langt vi har kommet med forespørselen, og hvem hos oss som behandlet den

Navn og profilbilde fra innloggingen lagres ikke i forespørselen. Bare Advitics' egne operatører ser den. Før vi setter opp et arbeidsområde, kan vi slå opp virksomheten i Enhetsregisteret og ringe telefonnummeret som står der, for å bekrefte at du hører til virksomheten.

Rettsgrunnlag: GDPR art. 6(1)(f) — vår berettigede interesse i å behandle en henvendelse om å bli kunde og vurdere om vi kan tilby et arbeidsområde. Blir du selv avtalepart, for eksempel som innehaver av et enkeltpersonforetak, er grunnlaget i tillegg art. 6(1)(b). Uten opplysningene kan vi ikke behandle forespørselen.

Lagringstid: Vi sletter forespørselen etter 90 dager uten nye forsøk, med mindre vi da holder på å opprette et arbeidsområde fra den. Da blir den stående til opprettelsen er ferdig eller har feilet. Er forespørselen behandlet, sletter vi den 30 dager etter behandlingen, hvis det kommer før. Slettingen kjøres én gang i timen. Kopier i sikkerhetskopiene forsvinner når kopiene roteres ut: fra hovedkopien etter om lag 90 dager, og fra kopien utenfor produksjonsstedet senest innen 12 måneder.

Protest: Du kan protestere mot behandlingen ved å skrive til personvern@advitics.no. Da sletter vi forespørselen. Logger du inn uten invitasjon igjen senere, lagres en ny.

3.10 Når du godtar en ordrebekreftelse

En kunde tar Advitics i bruk ved å godta en ordrebekreftelse i Advitics. Den som godtar, er eieren av kundens arbeidsområde, og bekrefter at hun eller han har fullmakt til å inngå avtalen på vegne av kunden.

Vi lagrer:

• navnet, e-postadressen og rollen din i arbeidsområdet
• tidspunktet for aksepten, og at du bekreftet fullmakten
• en kvittering med hele ordrebekreftelsen, aksepten og en sjekksum (SHA-256) som gjør at teksten kan etterprøves

Kvitteringen sendes på e-post til deg, med en kopi til vår egen arkivadresse. E-posten går gjennom MailerSend, se §8.

Rettsgrunnlag: GDPR art. 6(1)(b) der du selv er part i avtalen, for eksempel som innehaver av et enkeltpersonforetak. Ellers er grunnlaget art. 6(1)(f) — vår berettigede interesse i å inngå avtalen med kunden og kunne dokumentere hvem som godtok den. At vi oppbevarer aksepten og kvitteringen, bygger på art. 6(1)(c): avtaler skal oppbevares etter bokføringsloven § 13 første ledd nr. 5.

Uten navn, e-postadresse og rolle kan vi ikke registrere aksepten, og da kan kunden ikke ta Advitics i bruk.

Lagringstid: tre år og seks måneder etter utløpet av regnskapsåret, jf. bokføringsloven § 13 annet ledd.

3.11 Når Advitics brukes til salgs-e-post

Når en bruker sender salgs-e-post gjennom Advitics, avgjør tjenesten ved hver sending om henvendelsen er uanmodet, bygger på samtykke eller et eksisterende kundeforhold, eller er svar på en henvendelse mottakeren startet. Vi lagrer utfallet i dokumentasjonen av sendingen og på den sendte meldingen. For alle utfall unntatt uanmodet lagrer vi også en ID som peker til beviset.

Når en bruker registrerer samtykke til salgs-e-post, lagrer vi formålet, hvilken versjon av ordlyden brukeren bekreftet, og en SHA-256-kontrollsum av ordlyden. Det gjør det mulig for kunden å dokumentere hva samtykket gjaldt.

Brukes en e-postmal, lagrer vi hvilken mal og malversjon eller startmal som ble brukt, hvilken sendt melding den hører til, hvor i Advitics malen ble brukt, hvilken bruker som brukte den, og tidspunktene for bruk og bekreftet sending. Advitics måler hvor stor andel av brukerens e-post sendt fra Advitics de siste 30 dagene som brukte en mal, og svarrate per mal og malversjon. Svarraten omfatter sendinger som er minst 14 dager gamle. For 1:1-e-post teller et innkommende svar innen 14 dager og før neste bekreftede utgående melding i samme tråd. For sekvenser teller et registrert svar knyttet til den konkrete sendingen innen 14 dager; her gjelder ikke grensen ved neste utgående melding. Målingen leser bare metadata som allerede er lagret. Den leser ikke meldingsinnhold, og vi sporer ikke åpninger eller klikk.

En uanmodet e-post merkes med «Dette er en salgshenvendelse fra …». 1:1-markedsføring får også en egen linje om retten til å protestere, unntatt når e-posten er svar på en henvendelse mottakeren startet. Til en navngitt mottaker legger Advitics ved informasjonen etter GDPR artikkel 14, unntatt ved svar til en mottaker som allerede har skrevet i samme tråd. Når notisen skal legges ved, stoppes sendingen hvis kunden ikke har registrert lenken til sin personvernerklæring. Kunden kan bruke sin egen side eller en offentlig side som Advitics viser på kundens vegne på e.advitics.com.

Vår rolle: Advitics behandler opplysningene som databehandler etter dokumenterte instrukser fra kunden. Kunden er behandlingsansvarlig og er ansvarlig for å fastsette og dokumentere rettsgrunnlaget. Når Covision bruker de samme funksjonene i sitt eget arbeidsområde, er Covision behandlingsansvarlig.

3.12 Brukstellinger

Der funksjonene er slått på, teller vi hvor ofte forslagene i Neste steg vises, velges eller utsettes, og hvilke handlinger som gjøres i Forbered kontakt. Samme tellesystem støtter tommel opp, tommel ned og faste årsaker til tilbakemelding på samtalemanus og oppfølgingsutkast når de funksjonene er slått på. Påslag av Neste steg slår ikke på disse KI-tekstfunksjonene eller chatten med Sigrid.

Vi lagrer arbeidsområdets ID, UTC-dag, funksjon, hendelse og antall. Brukstellingene inneholder ingen bruker-ID, klokkeslett for hendelsen, meldingsinnhold eller fritekst. Tallene kan likevel gjelde én person i et arbeidsområde med én bruker, eller en dag bare én person brukte funksjonen. De er ikke anonyme opplysninger.

Covision er behandlingsansvarlig. Vår berettigede interesse etter artikkel 6 nr. 1 bokstav f er å forbedre tjenesten ved å se hvilke forslag som brukes. Produktbeslutninger tas på summer fra minst fem eksterne arbeidsområder. Tall for ett arbeidsområde brukes bare til kontroll, feilsøking og behandling av innsigelser. De utleveres ikke til arbeidsgiveren din eller i kundeeksporten, og sammenstilles ikke med logger eller samtaler for å finne ut hvem som gjorde hva. §5 beskriver slettingen.

Din rett til å protestere mot brukstellingene. Skriv til personvern@advitics.no og oppgi arbeidsområdet ditt. Vi stanser tellingen for hele arbeidsområdet og sletter tellingene. Stansen står til arbeidsområdet avvikles. Du kan fortsette å bruke funksjonene. Det finnes ingen bryter i kontoinnstillingene; en operatør behandler henvendelsen. Dokumentasjonen på behandlingen lagres i tre år (§5). Rettighetene og svartiden vår står i §11.

4. Formål og rettsgrunnlag

5. Hvor lenge vi lagrer

Dokumentasjon av sendinger. For CRM-sendinger har utsendingsklassifisering, bevis-ID og malreferanser ingen egen tidsstyrt slettefrist. De slettes med den tilhørende oppgaven eller når postkassen fjernes helt; resten slettes ved avvikling av arbeidsområdet. For sekvenssendinger går en månedlig jobb gjennom utsendingspostene. Den markerer poster eldre enn 24 måneder som pseudonymisert og fjerner forhåndsvurderingen, men beholder klassifiseringen og bevis-ID-en. Poster som har vært gjennom dette steget, slettes når de er eldre enn 36 måneder. Fristene regnes fra planlagt sending.

Når avtalen opphører, slettes forretningsdata fra produksjon når eksportvinduet på 30 dager er utløpt og en eventuell utlevering er gjennomført (vilkårene § 9.3). Resterende kopier i sikkerhetskopier isoleres fra ordinær behandling og slettes når de fullstendige sikkerhetskopiene de ligger i, er rotert ut: fra hovedkopien etter om lag 90 dager, og fra kopien utenfor produksjonsstedet senest innen 12 måneder. Gjenopprettes en sikkerhetskopi, holdes miljøet sperret for ordinær behandling inntil dokumenterte slettinger etter kopiens tidspunkt er anvendt på nytt. Regnskapsdokumentasjon beholdes så lenge bokføringsloven krever.

E-post. En tråd er CRM-bundet når den er knyttet til CRM, eller når en melding i den er sendt fra CRM eller fra en utsendelse. At en avsender automatisk kjennes igjen som kontakt i CRM, gjør ikke tråden CRM-bundet. Er tråden bare CRM-bundet fordi meldinger i den er sendt fra CRM eller fra en utsendelse, beholdes metadata for disse meldingene, men ikke innholdet, så lenge tråden har minst én melding som er yngre enn 24 måneder. E-post som en bruker loggfører manuelt på en post i CRM, er CRM-bundet, og fristen på 24 måneder regnes fra da den ble loggført. Det gjelder også teksten brukeren legger inn.

Kobles postkassen fra, slettes tråder som ikke er CRM-bundet. For CRM-bundne tråder beholdes bare metadata, for eksempel avsender, mottakere, emne og tidspunkt, ikke innholdet, og de følger fristene i tabellen. Tekst en bruker har lagt inn ved manuell loggføring, følger fristen for manuelt loggført e-post. Det samme skjer når vi oppdager at tilgangen er trukket hos Google, og for de personlige postkassene til en bruker som får innloggingen deaktivert. Å legge e-post i papirkurven eller slette den i Gmail sletter ikke opplysningene hos oss; de følger fristene i tabellen.

Slettingen skjer i bakgrunnen. Fristene kontrolleres hver time, og normalt skjer slettingen innen en time etter at fristen er ute. Kø eller feil kan gi lengre forsinkelse, også ved frakobling. Kopier i sikkerhetskopiene slettes når sikkerhetskopiene roteres ut: fra hovedkopien etter om lag 90 dager, og fra kopien utenfor produksjonsstedet senest innen 12 måneder.

6. Google-brukerdata og Limited Use

Denne seksjonen gjelder data Advitics mottar gjennom Googles API-er.

Advitics' bruk og overføring av informasjon mottatt fra Google API-er til enhver annen app følger Google API Services User Data Policy, inkludert kravene om Limited Use.

Konkret betyr det at vi:

• bruker Google-data bare til å levere funksjonene du selv har slått på — innlogging (også forespørselen om tilgang når du logger inn uten invitasjon, se §3.9), sending av e-post fra postkassen din, visning og håndtering av postkassen i Advitics, kobling av e-post til CRM, oppdaging av mislykket levering, og måling av malbruk og svar som beskrevet i §3.11
• ikke overfører Google-data til tredjeparter, unntatt når det er nødvendig for å levere funksjonen, for å oppfylle loven, eller som ledd i en fusjon eller virksomhetsoverdragelse der du varsles
• ikke bruker Google-data til annonsering av noe slag
• ikke selger Google-data
• ikke bruker Google-data til å trene generelle AI- eller språkmodeller
• ikke lar mennesker lese e-posten din, bortsett fra når du uttrykkelig ber om det for bestemte meldinger, når det er nødvendig av sikkerhetsgrunner eller for feilsøking, når loven krever det, eller på data som er aggregert og anonymisert. En support-økt, der vi hjelper deg inne i Advitics, gir ikke tilgang til å lese e-post

Du kan når som helst trekke tilbake tilgangen — i Advitics under postkasseinnstillingene, eller på myaccount.google.com/permissions. Trekker du tilgangen, stopper innhentingen, og e-post som allerede er hentet inn, slettes etter reglene for frakobling i §5.

7. Kunstig intelligens

Advitics bruker språkmodeller til å finne hvilket nettsted som hører til en virksomhet, til å vurdere om nettsiden til en virksomhet viser at den kan være en aktuell kjøper for kunden, og til å foreslå en idealkundeprofil ut fra kundens egen nettside. AI-assistenten Sigrid svarer på spørsmål og foreslår handlinger i arbeidsområdet (§3.6).

Tjenesten er klassifisert som et system med begrenset risiko etter EUs AI-forordning (forordning (EU) 2024/1689) og er underlagt åpenhetskravene i artikkel 50. AI-assistenten Sigrid er merket som AI der du samtaler med den. Innhold AI-funksjonene lager, kan inneholde feil, og kunden skal kontrollere det før det legges til grunn for kritiske beslutninger (vilkårene § 12.3).

Vi tar ikke automatiserte avgjørelser med rettsvirkning eller tilsvarende vesentlig betydning for enkeltpersoner. AI-agentene foreslår; mennesker hos kunden bestemmer. GDPR artikkel 22 kommer derfor ikke til anvendelse.

Vi trener ikke modeller på dataene dine. Verken vi eller språkmodell-leverandørene våre bruker innholdet i samtalene, e-posten eller integrasjonene dine til å trene grunnmodeller. Vi kan bruke aggregert, anonymisert statistikk til å forbedre tjenesten.

8. Hvem vi deler data med

Vi selger aldri personopplysninger, og vi leier dem ikke ut til markedsføringsformål.

Vi deler data med underleverandører som behandler personopplysninger på våre vegne, under databehandleravtale etter GDPR artikkel 28. Listen gjelder per 6. oktober 2026.

Applikasjonen og databasen driver Covision selv, på eget utstyr i Norge, uten underleverandør og uten overføring. Unntakene er feil- og ytelsesovervåkingen (Sentry) og nøkkelen som krypterer tilgangsnøklene til postkasser kunden kobler til (Cloud KMS), se tabellen. Sikkerhetskopiene krypteres før de forlater produksjonsmiljøet og ligger på utstyr Covision disponerer i Norge.

Kolonnen Kundedata viser om leverandøren behandler kundens personopplysninger under databehandleravtalen. Bare radene merket «Ja» inngår i databehandleravtalens vedlegg 3.

Underleverandørene er:

Underleverandører som er besluttet, men ennå ikke tatt i bruk for kundedata: Hetzner Online GmbH (objektlagring for filer kunden laster opp, i Helsinki i Finland med Frankfurt som reserve, begge innenfor EØS, og servere til drift av tjenesten, som skal stå innenfor EØS), Backblaze, Inc. (lagring av sikkerhetskopier, som skal skje i EU; kopiene er kryptert før de forlater produksjonsmiljøet), Anthropic PBC (språkmodellen Claude). Før noen av dem tas i bruk, varsles aktive kunder minst 30 dager i forveien.

Vi deler dessuten data når du selv ber oss koble til en integrasjon, og når loven pålegger oss det. Ved myndighetspålegg varsler vi deg dersom vi har lov til det.

Endringer i listen varsles aktive kunder skriftlig til registrert kontaktadresse minst 30 dager før en ny underleverandør tas i bruk for kundedata. Oppdatering av denne siden kommer i tillegg, og er ikke alene et slikt varsel. Du kan innen 30 dager motsette deg en ny underleverandør på saklig personverngrunnlag; sendes innsigelsen i tide, tas leverandøren ikke i bruk før den er løst. Innsigelser sendes til personvern@advitics.no.

Kundens egne integrasjoner, Tripletex og Fiken, er ikke våre underleverandører. Kunden velger dem selv og er behandlingsansvarlig for dem.

9. Overføring utenfor EØS

Behandlingen skjer i utgangspunktet i Norge og EØS. For Cloudflare, Google, Microsoft, Sentry, MailerSend og Vercel kan personopplysninger bli overført til USA. Grunnlaget er:

1. EU-U.S. Data Privacy Framework (DPF) der leverandøren er sertifisert.
2. Standard personvernbestemmelser (SCC) etter Kommisjonens gjennomføringsbeslutning (EU) 2021/914, som reserve.

Bygger en overføring bare på standard personvernbestemmelser, vurderer vi først om lov og praksis i mottakerlandet hindrer mottakeren i å overholde dem. I dag bygger ingen av overføringene i §8 bare på standard personvernbestemmelser: de bygger på DPF, med standard personvernbestemmelser som reserve. En kopi av standard personvernbestemmelser som gjelder en bestemt leverandør, får du ved å skrive til personvern@advitics.no.

Opphører et overføringsgrunnlag uten at et annet gyldig grunnlag allerede er bindende inngått, suspenderer vi den berørte overføringen til nytt grunnlag er etablert. Aktive kunder varsles uten ugrunnet opphold og senest innen 30 dager.

10. Sikkerhet

• All trafikk krypteres med TLS. Protokollversjoner eldre enn TLS 1.2 avvises.
• Produksjonsdatabasen står på Covisions eget utstyr i Norge, og sikkerhetskopiene på utstyr Covision disponerer i Norge. Databasen ligger på et kryptert diskvolum (LUKS). Sikkerhetskopiene krypteres før de forlater produksjonsmiljøet.
• Kundeskille: hver kunde har et logisk isolert område med egne roller og egen revisjonslogg. Dataene ligger i kundespesifikke skjemaer, og riktig skjema velges på serveren etter innlogging og kontroll av aktivt medlemskap for hver forespørsel. Brukergrensesnittet og API-et når de kundespesifikke skjemaene gjennom en databaserolle som ikke er superbruker, og som ikke kan omgå databasens tilgangsregler. Noen opplysninger ligger av tekniske grunner i tabeller som deles mellom kundene, i en egen plattformdatabase: brukerkontoer og medlemskap, samtaler og minne i AI-funksjonene, revisjonsloggen for arbeidsområdet og henvendelser om tjenesten. Henvendelsene går gjennom egne databaseroller som ikke er superbrukere, og der håndhever databasen grensen mellom kundene. API-et leser og skriver samtaler og minne gjennom en begrenset databaserolle som heller ikke kan omgå databasens kundeskille. For brukerkontoene, medlemskapene og revisjonsloggen filtrerer tjenesten på kunden i hver spørring, og grensen håndheves der av tjenesten, ikke av databasen.
• Innlogging skjer med Google-konto eller Microsoft-konto, og privilegerte handlinger krever i tillegg fersk bekreftelse med passnøkkel (WebAuthn). Innloggingsflaten er beskyttet av tilgangskontroll i Cloudflare.
• Sikkerhetskopier tas kontinuerlig og lagres på separat maskinvare, med en kopi utenfor produksjonsstedet. Gjenopprettingen prøves automatisk hver måned fra tom disk, ikke bare antatt å virke.
• Overvåking med sporing, metrikker og feilrapportering.
• Sikkerhetsoppdateringer og hemmelighetsrotasjon følger dokumenterte rutiner.

Ved brudd på personopplysningssikkerheten

• Er vi behandlingsansvarlig, varsles Datatilsynet uten ugrunnet opphold og om mulig innen 72 timer, dersom bruddet sannsynligvis medfører risiko for fysiske personers rettigheter og friheter, jf. GDPR art. 33.
• Berørte varsles uten ugrunnet opphold når bruddet sannsynligvis medfører høy risiko, jf. GDPR art. 34.
• Er vi databehandler, varsler vi kunden uten ugrunnet opphold etter databehandleravtalen § 10, slik at kunden rekker sin egen 72-timersfrist.

11. Rettighetene dine

Svartid: innen én måned. Er forespørselen komplisert, kan fristen forlenges med inntil to måneder — du får i så fall beskjed innen den første måneden.

Pris: gratis. Ved åpenbart grunnløse eller overdrevne forespørsler kan vi kreve et rimelig gebyr eller avslå, jf. GDPR art. 12(5).

Legitimasjon: vi kan be om rimelig dokumentasjon på hvem du er før vi utleverer opplysninger.

Retten til å protestere

Du kan når som helst protestere mot behandling som bygger på vår berettigede interesse, GDPR art. 6(1)(f). Det gjelder blant annet kartleggingen av virksomheter (§3.5), forespørsler om tilgang (§3.9) og tekniske logger og sikkerhetslogger (§3.8). Oppgi grunner knyttet til din særlige situasjon. Vi stanser da behandlingen, med mindre vi kan påvise tvingende berettigede grunner som går foran dine interesser, rettigheter og friheter, eller behandlingen er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav.

Protesterer du mot at opplysninger om deg brukes til markedsføring, trenger du ikke begrunne det, og vi stanser den bruken. Kartleggingen av virksomheter skal hjelpe kundene våre å finne og kontakte nye bedriftskunder, så en protest mot den trenger ingen begrunnelse. Er du nevnt på nettstedet til en bedrift, kan du protestere selv, uten å gå via bedriften.

Skriv til personvern@advitics.no.

12. Klage til Datatilsynet

Mener du at vi behandler personopplysningene dine i strid med regelverket, kan du klage til Datatilsynet:

Datatilsynet

Postboks 458 Sentrum, 0105 Oslo

postkasse@datatilsynet.no

datatilsynet.no

Vi setter pris på om du kontakter oss først på personvern@advitics.no, slik at vi får mulighet til å rette opp.

13. Informasjonskapsler

Vi bruker ikke Google Analytics, Meta-piksler, verktøy som spiller av skjermøkter, eller annonsesporere fra tredjepart.

14. Endringer i denne erklæringen

Vesentlige endringer varsles aktive kunder på e-post minst 30 dager før de trer i kraft. Mindre endringer — skrivefeil og presiseringer uten materielt innhold — kan publiseres uten varsel. Datoen øverst viser når erklæringen sist ble endret.

15. Kontakt

Personvernspørsmål: personvern@advitics.no

Generell kontakt: info@advitics.com

Nettroboten og avmelding av nettsteder: bots@advitics.no

Covision Technology AS, org.nr 991 248 560, Hamar, Norge.