kravklar

Personvernerklæring

Behandlingsansvarlig

Torsvik Labs ENK
Org.nr: 937 316 704
Eliasmarken 14, 5164 Laksevåg
kontakt@kravklar.no

Personopplysninger vi samler inn

  • E-postadresse og navn (ved registrering)
  • Organisasjonsnavn, organisasjonsnummer, sektor og størrelse (ved profil-utfylling)
  • Vurderingssvar og modenhetsscore (ved gjennomføring av NIS2-vurdering)
  • Betalingsinformasjon (behandles direkte av Stripe, vi lagrer ikke kortdetaljer)
  • Teknisk feilinformasjon (feilmeldinger, nettlesertype, URL, tidspunkt) ved tjenestefeil, for å sikre stabil drift

Rettslig grunnlag

Vi behandler personopplysninger på følgende grunnlag:

  • Avtale (Art. 6(1)(b) GDPR): E-postadresse, kontoinformasjon, organisasjonsdata og vurderingssvar behandles for å levere tjenesten du har registrert deg for, både gratis egenvurdering og betalt abonnement.
  • Berettiget interesse (Art. 6(1)(f) GDPR): Vi behandler begrenset teknisk informasjon (f.eks. tidspunkt for innlogging) for å sikre tjenestens drift, sikkerhet og forbedring. Vi vurderer at dette ikke veier tyngre enn dine personverninteresser, da opplysningene er begrenset til forretningsrelatert informasjon knyttet til din virksomhets bruk av tjenesten.
  • Samtykke (Art. 6(1)(a) GDPR): For e-post med vurderingsresultater, for lagring av påbegynte vurderinger og for markedsføring. Markedsføringssamtykket er alltid separat og frivillig, og du kan når som helst trekke det tilbake.

E-post for vurderingsresultater

Når du velger å motta vurderingsresultatene på e-post, lagrer vi e-postadressen din og vurderingsdataene (samlet score og svakeste kategorier). Behandlingsgrunnlag: samtykke (GDPR artikkel 6(1)(a)). Du kan når som helst trekke tilbake samtykket ved å kontakte kontakt@kravklar.no, og vi vil slette dataene dine.

Lagre og fortsett senere

Når du underveis i vurderingen velger å få en lenke for å fortsette senere, lagrer vi e-postadressen din og svarene dine hos oss. Behandlingsgrunnlag: samtykke (GDPR artikkel 6(1)(a)). Hvis du ikke fullfører vurderingen, sender vi deg én påminnelse på e-post med en ny lenke – basert på samme samtykke, og med avmeldingslenke i e-posten. Dataene slettes automatisk når lenken utløper etter 30 dager – lagrer du på nytt, erstattes den forrige kopien. Du kan når som helst be om sletting ved å kontakte kontakt@kravklar.no.

Automatiske e-postsekvenser

Vi sender to serier med markedsførings-e-post, og begge krever at du har krysset av for markedsføring – enten på resultatsiden eller ved opprettelse av konto. Avkrysningen er alltid separat fra vilkårene, og aldri forhåndsavkrysset. E-postene viser din egen score og dine svakeste kategorier.

  • Til deg som har fått resultatene på e-post: tre e-poster over 14 dager om din svakeste kategori, digitalsikkerhetsloven og hvordan du tar vare på resultatene.
  • Til deg som har opprettet konto og fullført en vurdering: fire e-poster i løpet av 14 dager etter fullført vurdering, om hva scoren betyr, prioritering av tiltak, dokumentasjon og tilbud om betalt abonnement. Serien stopper hvis du oppgraderer.

Behandlingsgrunnlag for begge: samtykke (Art. 6(1)(a) GDPR). Du kan når som helst melde deg av via lenken i hver e-post. Melder du deg av, sletter vi samtykket og sender ikke flere slike e-poster.

Dette gjelder ikke driftsmeldinger og e-post som er en del av tjenesten du har bedt om – for eksempel bekreftelse av konto, lenke for å fortsette en påbegynt vurdering, eller påminnelse om ny gjennomgang på betalt abonnement.

Databehandlere

Vi har inngått databehandleravtaler med alle underleverandører som behandler personopplysninger på våre vegne:

  • Supabase – database og autentisering (Stockholm, Sverige – EU/EØS)
  • Vercel – hosting, innholdsleveranse og cookieless webanalyse
  • Stripe – betalingsbehandling
  • Resend – transaksjonell e-post (EU-region)
  • Sentry – feilovervåking og feilrapportering (USA)
  • Google – annonsekonverteringsmåling (Google Ads med Consent Mode v2)

Lagring og sletting

Data lagres så lenge kontoen din er aktiv. Du kan slette kontoen din selv under Innstillinger. Er du eneste administrator med kolleger igjen i virksomheten, må administratorrollen overføres først. Da fjerner vi profilen din, e-postadressen din fra e-postlistene våre, lagrede vurderinger knyttet til adressen, og samtykkene vi har registrert. Er du eneste bruker i virksomheten, slettes virksomheten med alle vurderinger samtidig. Har virksomheten flere brukere, beholder den vurderingene sine, men de knyttes ikke lenger til deg. Du kan også be om sletting ved å kontakte kontakt@kravklar.no, og vi fjerner personopplysningene innen 30 dager. Vi sletter ikke kontoer automatisk etter en periode med inaktivitet.

Dine rettigheter

Etter personopplysningsloven og GDPR har du følgende rettigheter:

  • Innsyn: Du kan be om en kopi av personopplysningene vi har om deg.
  • Retting: Du kan be om at uriktige opplysninger korrigeres.
  • Sletting: Du kan be om at opplysningene dine slettes.
  • Dataportabilitet: Du kan be om å motta dine data i et maskinlesbart format.
  • Begrensning: Du kan be om at behandlingen begrenses i visse situasjoner.
  • Innsigelse: Du har rett til å protestere mot behandling basert på berettiget interesse (Art. 21 GDPR).

Innsyn, dataportabilitet og sletting kan du utøve selv under Innstillinger: «Last ned mine data» gir deg en maskinlesbar kopi av opplysningene vi har om deg, og «Slett kontoen» sletter dem. For de øvrige rettighetene, kontakt oss på kontakt@kravklar.no. Vi svarer innen 30 dager.

Dersom du mener vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet.

Informasjonskapsler (cookies)

Kravklar bruker kun nødvendige informasjonskapsler for autentisering (sesjonshåndtering via Supabase), i tillegg til enkelte kortlivede, funksjonelle informasjonskapsler for å fullføre konkrete handlinger – som invitasjoner, samtykkeregistrering og e-postbekreftelse. Ingen av disse brukes til sporing. Vi bruker ingen sporings- eller markedsføringscookies.

Vi bruker Google Ads med Consent Mode v2 for å måle effekten av annonsekampanjer. Mottaker er Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Alle fire samtykkesignalene – ad_storage, ad_user_data, ad_personalization og analytics_storage – er satt til avslått som standard, så Google verken setter informasjonskapsler eller lagrer eller henter informasjon på utstyret ditt. Google mottar likevel såkalte «cookieless pings», og disse inneholder IP-adressen din sammen med nettlesertype, side-URL og tidspunkt. IP-adresse regnes som en personopplysning. Målingen brukes bare til å telle konverteringer og beregne effekten av kampanjene – ikke til persontilpasset annonsering, profilering eller målretting av annonser mot deg. Behandlingsgrunnlaget er berettiget interesse (Art. 6(1)(f) GDPR) i å måle effekten av markedsføringen vår, og du kan protestere mot behandlingen etter Art. 21 GDPR. Google står i oversikten over databehandlere ovenfor, og overføringsgrunnlaget er beskrevet under «Overføring utenfor EØS».

Fordi vi verken lagrer informasjon på utstyret ditt eller henter informasjon fra det, utløser dette ikke kravet til samtykke etter ekomloven § 3-15. Vi bruker derfor ikke et cookie-samtykke-banner.

Overføring utenfor EØS

Databasen driftes av Supabase i Stockholm, Sverige (EU/EØS). Resend behandler e-post i EU. Stripe, Vercel, Sentry og Google er amerikanske selskaper sertifisert under EU-US Data Privacy Framework og benytter EUs standardkontraktsklausuler (SCCs) som overføringsgrunnlag. Vercel bruker et globalt CDN, men personopplysninger behandles primært i EU/EØS.

Versjon 2026-09-01. Gjelder fra 1. september 2026.