Personvernerklæring – Envra

Gyldig fra
Sist oppdatert

1. Innledning

Envra AS behandler personopplysninger når du er i kontakt med oss, besøker våre nettsider, oppretter konto, benytter våre tjenester eller på annen måte bruker Envra-plattformen.

Denne personvernerklæringen beskriver hvilke personopplysninger vi behandler, hvorfor vi behandler dem, hvilket behandlingsgrunnlag vi benytter, hvordan opplysningene beskyttes, hvor lenge de lagres og hvilke rettigheter du har.

Denne personvernerklæringen gjelder når Envra AS er behandlingsansvarlig, blant annet for besøkende på Envras egne nettsteder, brukere av Envra-plattformen, kontaktpersoner hos kunder og personer som kommuniserer med oss.

Når Envra behandler analyse- og besøksdata på vegne av en kunde, er kunden normalt behandlingsansvarlig og Envra databehandler. Informasjon om slik behandling skal primært gis i personvernerklæringen til nettstedet eller tjenesten du besøker. Envra bistår kunden med å ivareta registrertes rettigheter i samsvar med databehandleravtalen.

2. Roller og ansvar

Envra som behandlingsansvarlig

Envra er behandlingsansvarlig for opplysninger knyttet til:

  • konto og brukeradministrasjon

  • abonnement og betaling

  • support og kundedialog

  • sikkerhet og misbruksvern

  • onboarding og kommunikasjon

  • egne nettsider og tjenester

  • juridisk aksept av vilkår og personvernerklæring

Envra som databehandler

Når kunder benytter Envra til analyse, sporing og rapportering på egne nettsteder eller tjenester, behandler Envra data på vegne av kunden.

I slike tilfeller er kunden normalt behandlingsansvarlig, mens Envra er databehandler.

3. Hvilke personopplysninger behandler vi som behandlingsansvarlig?

Avhengig av hvordan du bruker Envra, kan vi behandle følgende kategorier personopplysninger:

  • navn, e-postadresse, telefonnummer, adresse, land og språk
  • kundenummer og andre kontoidentifikatorer
  • firmaopplysninger, virksomhetstilknytning, rolle og tilgangsnivå
  • konto-, innloggings- og autentiseringsopplysninger
  • brukerinnstillinger og profilopplysninger
  • betalings-, faktura- og abonnementsinformasjon, herunder organisasjons-/MVA-nummer, fakturareferanser, valuta og referanser fra betalingsleverandør
  • informasjon om prøveperiode, abonnement, oppsigelse og kontostatus
  • nettsteder, domener og nettadresser som registreres eller sendes inn til analyse
  • rapporter, analyseresultater og opplysninger om bruk av Envras tjenester
  • IP-adresse, user agent, nettleser, operativsystem og enhetsinformasjon
  • tilfeldige besøks- og sesjonsidentifikatorer
  • sidevisninger, klikk, søk og andre brukshendelser
  • henvisningsdata, UTM-parametere og attribusjonsdata
  • feilmeldinger, ytelsesdata og tekniske opplysninger
  • aktivitets-, drifts- og sikkerhetslogger, herunder innlogginger, administrative handlinger og tidspunkt
  • kontakt-, tilgangs- og supporthenvendelser, herunder meldinger, kommentarer og eventuelle vedlegg
  • mottakeropplysninger og leveringsstatus for rapporter og annen tjenestekommunikasjon
  • invitasjoner, henvisninger og opplysninger om kunde- eller byrårelasjoner
  • samtykker, reservasjonsvalg og kommunikasjonsinnstillinger
  • dokumentasjon på aksept av vilkår, personvernerklæring og databehandleravtale, herunder tidspunkt, dokumentversjon, IP-adresse og user agent
  • andre opplysninger du frivillig gir oss, for eksempel profilinformasjon, vedlegg eller avtaledokumenter

4. Analytics- og besøksdata

Envra kan behandle analyse- og besøksdata, inkludert:

  • sidevisninger, besøksdato og tidspunkt
  • sideadresse, vertsnavn, sidesti og språk
  • klikk, CTA-hendelser og andre konverteringshendelser
  • skjemahendelser og tekniske opplysninger om skjemaet, men ikke innholdet som skrives i skjemafeltene
  • søkeord og søkehendelser
  • scroll-, varighets- og engasjementsdata
  • videoavspilling, videoprogresjon og filnedlastinger
  • kjøps- og transaksjonshendelser, som transaksjonsreferanse, verdi, valuta og betalingsstatus
  • ytelsesdata og webytelsesmålinger
  • klientfeil, 404-feil og andre tekniske feildata
  • henvisnings-, kilde- og kampanjedata
  • enhetstype, operativsystem, nettleser, user agent og skjerm-/visningsstørrelse
  • IP-adresse og geografisk informasjon utledet fra IP-adressen, som land, region og by
  • tilfeldige sesjonsidentifikatorer og, når dette er aktivert og nødvendig samtykke foreligger, en tilfeldig besøksidentifikator

Opplysningene behandles for å gi kunden innsikt i hvordan kundens nettsteder og tjenester brukes, samt for å måle trafikk, engasjement, konverteringer, teknisk kvalitet og feil.

Envra kan utarbeide aggregert statistikk basert på analyseopplysningene. Envra benytter slik statistikk til egne formål, som drift, sikkerhet, kapasitetsplanlegging, statistikk og videreutvikling av tjenesten, bare når opplysningene er anonymisert på en måte som gjør at enkeltpersoner ikke med rimelige midler kan identifiseres. Behandling av personopplysninger på vegne av kunden skjer ellers i samsvar med kundens instrukser og gjeldende databehandleravtale.

5. Formål

Vi behandler personopplysninger for følgende formål:

  • å opprette og administrere brukerkontoer, kunder, nettsteder og virksomhetstilknytninger
  • å levere funksjonene og tjenestene som kunden eller brukeren har aktivert eller bedt om
  • å samle inn, beregne, presentere og levere analyser, rapporter og anbefalinger
  • å autentisere brukere og administrere roller, tillatelser og tilganger
  • å oppdage, forebygge, undersøke og håndtere misbruk, svindel, sikkerhetshendelser og uautorisert tilgang
  • å overvåke teknisk drift, kapasitet og tilgjengelighet samt diagnostisere og rette feil
  • å besvare kontakt-, tilgangs- og supporthenvendelser og følge opp kundeforholdet
  • å gjennomføre onboarding og sende nødvendig informasjon om konto, tjeneste, abonnement, rapporter, sikkerhet og driftsforhold
  • å administrere prøveperioder, abonnementer, betalinger, fakturering, krediteringer og oppsigelser
  • å administrere kunde-, byrå-, invitasjons-, henvisnings- og provisjonsforhold
  • å dokumentere aksept av vilkår, personvernerklæring, databehandleravtale og andre avtaler
  • å dokumentere samtykker, reservasjoner og kommunikasjonsvalg
  • å forbedre eksisterende funksjoner, brukeropplevelse, sikkerhet, drift og ytelse basert på tjenestebruk, tekniske målinger, feilrapporter og tilbakemeldinger
  • å sende markedsføring og tilbud når vi har gyldig behandlingsgrunnlag for dette
  • å oppfylle rettslige plikter, herunder bokførings-, regnskaps- og dokumentasjonskrav
  • å fastsette, gjøre gjeldende eller forsvare rettskrav

6. Behandlingsgrunnlag

Vi behandler personopplysninger på følgende grunnlag:

Avtale

Når behandlingen er nødvendig for å oppfylle en avtale med deg eller gjennomføre tiltak på din anmodning før avtaleinngåelse.

Rettslig forpliktelse

Når behandling er nødvendig for å oppfylle krav etter regnskaps-, bokførings- eller annen lovgivning.

Berettiget interesse

Når behandling er nødvendig for sikker drift, misbruksvern, teknisk stabilitet, logging, support og forbedring av tjenesten.

  • Sikkerhet og misbruksvern: Envra har en berettiget interesse i å beskytte plattformen, kundene og brukerne mot uautorisert tilgang, svindel, misbruk, angrep, driftsforstyrrelser og andre sikkerhetshendelser. For dette formålet kan vi behandle innloggingsopplysninger, IP-adresser, user agent, sikkerhetshendelser og relevante aktivitetslogger.
  • Teknisk drift og stabilitet: Envra har en berettiget interesse i å sikre at tjenesten er tilgjengelig, stabil og teknisk velfungerende. For dette formålet kan vi behandle tekniske logger, feilmeldinger, ytelsesdata og opplysninger om enhet, nettleser og brukshendelser for å oppdage, diagnostisere, rette og forebygge feil og kapasitetsproblemer.
  • Support og oppfølging: Når behandlingen ikke er nødvendig for å oppfylle en avtale, har Envra en berettiget interesse i å besvare henvendelser, løse problemer, følge opp saker og dokumentere kommunikasjon med kunder, brukere og andre som kontakter oss.
  • Forbedring av eksisterende tjenester: Envra har en berettiget interesse i å forstå hvordan eksisterende funksjoner brukes og fungerer, slik at vi kan forbedre brukervennlighet, kvalitet, sikkerhet, ytelse og stabilitet. For dette formålet kan vi bruke begrensede opplysninger om tjenestebruk, tekniske målinger, feilrapporter og tilbakemeldinger. Opplysningene brukes ikke med dette behandlingsgrunnlaget til individuell markedsføring eller til formål som er uforenlige med det opprinnelige formålet.
  • Dokumentasjon og rettskrav: Envra har en berettiget interesse i å dokumentere hendelser og kommunikasjon som er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav og håndtere tvister.
  • Kunde- og brukeradministrasjon: Envra har en berettiget interesse i å administrere kundeforhold, brukerkontoer, tilganger og nødvendig kommunikasjon med kontaktpersoner og brukere hos kunden når avtalen er inngått med virksomheten og ikke den enkelte brukeren.

Før vi baserer en behandling på berettiget interesse, vurderer vi om behandlingen er nødvendig, om formålet kan oppnås på en mindre inngripende måte, og om den enkeltes interesser, rettigheter eller friheter veier tyngre. Vi begrenser opplysningene, tilgangen til dem og lagringstiden til det som er nødvendig for det aktuelle formålet. Der det er mulig, benytter vi aggregering, pseudonymisering eller anonymisering.

Du har rett til å protestere mot behandling som bygger på berettiget interesse. Se punktet om dine rettigheter.

Samtykke

Når det foreligger samtykke til behandling fra deg.

7. Informasjonskapsler og tracking

Envra benytter cookies, localStorage, sessionStorage og lignende teknologier for:

  • autentisering

  • sessionshåndtering

  • analyse og attribusjon

  • sikkerhet og misbruksvern

  • forbedring av tjenesten

Informasjon finnes på /cookies.

8. Innlogging via Google og Microsoft

Ved bruk av Google- eller Microsoft-innlogging mottar vi opplysninger som navn, e-postadresse og unik identifikator.

Vi mottar ikke passordet ditt.

Google og Microsoft er selvstendige behandlingsansvarlige for sin autentiseringsbehandling.

9. Deling og mottakere av personopplysninger

Envra utleverer eller gjør personopplysninger tilgjengelige for mottakerne som er beskrevet nedenfor, når dette er nødvendig for det aktuelle formålet og det foreligger et gyldig behandlingsgrunnlag. Hvilke mottakere som benyttes, avhenger av hvilke tjenester og integrasjoner kunden eller brukeren benytter.

9.1 Leverandører Envra bruker som behandlingsansvarlig

Når Envra er behandlingsansvarlig, kan vi benytte leverandører til:

  • drift, hosting, lagring, sikkerhetskopiering og teknisk infrastruktur
  • betalingsbehandling, fakturering og håndtering av abonnement
  • autentisering og innlogging
  • utsendelse av nødvendig tjenestekommunikasjon og, når det foreligger gyldig grunnlag, markedsføring
  • kundestøtte og saksbehandling
  • generering eller behandling av tekst, bilder, lyd og video
  • overvåking av drift, feil og sikkerhet

Disse leverandørene behandler personopplysninger etter avtale med Envra og bare for de angitte formålene. Enkelte leverandører kan i tillegg være selvstendig behandlingsansvarlige for avgrensede formål som følger av lov eller leverandørens egne tjenester. Dette gjelder særlig betalings-, autentiserings- og integrasjonsleverandører.

En oppdatert oversikt over leverandører, juridisk enhet, tjeneste, rolle, formål, opplysningskategorier, behandlingsland og eventuelt overføringsgrunnlag finnes på /subprocessors.

9.2 Når Envra er databehandler

Når Envra behandler personopplysninger på vegne av en kunde, deler vi bare opplysningene med underdatabehandlere i samsvar med kundens instrukser, databehandleravtalen og GDPR artikkel 28.

Vilkårene for bruk og endring av underdatabehandlere fremgår av databehandleravtalen. Oversikten på /subprocessors utgjør databehandleravtalens til enhver tid gjeldende vedlegg over underdatabehandlere.

9.3 Integrasjoner kunden velger å aktivere

Kunden kan velge å koble Envra til eksterne tjenester, for eksempel annonse-, analyse-, publiserings-, e-post- eller innholdsleverandører. Når kunden aktiverer en slik integrasjon, kan opplysninger utveksles med den valgte leverandøren for å gjennomføre funksjonen kunden har bedt om.

Den eksterne leverandøren kan være kundens databehandler eller selvstendig behandlingsansvarlig for hele eller deler av behandlingen. Kundens avtale og personvernvilkår med den aktuelle leverandøren regulerer leverandørens egen behandling.

9.4 Betalingsleverandører og andre selvstendige mottakere

Betalingsleverandører kan behandle opplysninger som selvstendig behandlingsansvarlige når dette er nødvendig for blant annet identitetskontroll, forebygging av svindel, sikkerhet, oppfyllelse av finansregulatoriske krav og behandling av betalinger.

Vi kan også utlevere opplysninger til offentlige myndigheter, domstoler, revisorer, regnskapsførere, banker, forsikringsselskaper eller juridiske rådgivere når utleveringen er nødvendig for å oppfylle en rettslig plikt eller fastsette, gjøre gjeldende eller forsvare rettskrav.

Envra selger ikke personopplysninger.

10. Overføring av personopplysninger utenfor EØS

Envras primære lagring av plattformdata skjer i Finland. Enkelte leverandører kan behandle personopplysninger utenfor EØS.

Slike overføringer skjer bare når det foreligger et gyldig overføringsgrunnlag etter GDPR kapittel V. Dette kan være en adekvansbeslutning fra EU-kommisjonen, herunder EU–US Data Privacy Framework for sertifiserte mottakere, eller EU-kommisjonens standard personvernbestemmelser kombinert med nødvendige supplerende tiltak.

Informasjon om aktuelle leverandører, behandlingsland og overføringsgrunnlag finnes på /subprocessors. Du kan kontakte oss dersom du ønsker mer informasjon om garantiene som gjelder for en bestemt overføring.

11. Sikkerhet

Vi benytter organisatoriske og tekniske sikkerhetstiltak, inkludert:

  • rolle- og tilgangsstyring
  • site- og company-isolering
  • CSRF-beskyttelse
  • rate limiting
  • sikkerhetslogging
  • passordhashing
  • overvåkning og misbruksvern

Ved sikkerhetsbrudd håndteres dette i tråd med gjeldende regelverk.

12. Lagringstid

Vi lagrer personopplysninger så lenge det er nødvendig for formålet de ble samlet inn for:

  • Konto- og kundeopplysninger lagres så lenge kundeforholdet består. Etter at abonnementet opphører, har kunden en reaktiveringsperiode på 30 dager. Deretter slettes eller anonymiseres kundeinnhold, identifikatorer og tilknyttede ressurser som ikke må beholdes av andre grunner.
  • Analyse- og hendelsesdata lagres i perioden som følger av kundens abonnement. Gjeldende lagringstid fremgår av den valgte planen og er for dagens planer mellom 90 dager og 10 år.
  • Supporthenvendelser lagres så lenge det er nødvendig for å behandle saken, følge opp kundeforholdet og dokumentere eventuelle krav.
  • Aktivitetslogger lagres normalt i 180 dager, sikkerhetslogger i 365 dager og rate-limit-logger i 14 dager.
  • Sikkerhetskopier slettes eller overskrives normalt innen 30 dager.
  • Faktura-, betalings- og regnskapsopplysninger lagres så lenge bokførings- og annet relevant regelverk krever det.
  • Avtaler og dokumentasjon av juridiske aksepter og samtykker lagres så lenge dette er nødvendig for å dokumentere gyldighet, oppfylle rettslige plikter eller håndtere rettskrav.

Når lagringstiden utløper, slettes eller anonymiseres opplysningene. Opplysninger kan beholdes lenger dersom dette er nødvendig for å oppfylle en rettslig plikt eller fastsette, gjøre gjeldende eller forsvare rettskrav.

13. Dine rettigheter

Du har rett til:

  • innsyn
  • retting
  • sletting
  • begrensning
  • dataportabilitet
  • å protestere mot behandling
  • å trekke tilbake samtykke

Du kan også klage til Datatilsynet dersom du mener vår behandling er i strid med regelverket.

Rettighetene gjelder på de vilkårene og med de begrensningene som følger av personopplysningsloven med GDPR. Dersom Envra er behandlingsansvarlig, kan du kontakte oss på legal@envra.ai. Vi svarer normalt innen én måned. Vi kan be om nødvendig informasjon for å bekrefte identiteten din.

Dersom henvendelsen gjelder behandling som Envra utfører på vegne av en kunde, bør du i første rekke kontakte virksomheten som driver nettstedet eller tjenesten. Envra vil bistå kunden i samsvar med databehandleravtalen.

14. Automatiserte avgjørelser og profilering

Envra foretar ikke, som behandlingsansvarlig, avgjørelser som utelukkende er basert på automatisert behandling og som har rettsvirkning eller på tilsvarende måte påvirker deg i betydelig grad.

Envra kan bruke automatisert behandling til analyse, rapportering, sikkerhet, misbruksvern og anbefalinger. Dette kan innebære analyse eller kategorisering av bruksmønstre, men brukes ikke til å treffe avgjørelser om enkeltpersoners rettigheter, tilgang til tjenester eller andre forhold med tilsvarende betydelig virkning.

Når Envra behandler opplysninger på vegne av en kunde, kan tjenesten gjøre det mulig for kunden å analysere eller segmentere brukeratferd. Kunden bestemmer formålet med slik bruk og er ansvarlig for å vurdere om behandlingen innebærer profilering, etablere nødvendig behandlingsgrunnlag og gi informasjon til de registrerte. Envra treffer ikke på eget initiativ avgjørelser om disse personene.

15. Kontakt

Envra AS
Org.nr: 937 896 131

E-post: legal@envra.ai