Sikkerhet og tillit

Vi behandler det vi trenger for å levere tjenesten, og ikke mer. Det omfatter kontoinformasjon (navn og e-post), opplysninger om virksomheten deres, og svarene dere gir i vurderingen. Disse dataene brukes til å beregne modenhetsscore, vise resultater og – på betalt plan – lage gapanalyse og tiltaksplan. Vi selger ikke data, og vi bruker dem ikke til automatisert profilering eller til å bygge annonsemålgrupper. Har dere sagt ja til markedsføring, kan e-postene vise til deres egne resultater – for eksempel de svakeste kategoriene.

Kundedata – vurderingssvar, kontoinformasjon og organisasjonsdata – lagres hos Supabase i Stockholm i Sverige, innenfor EU/EØS. Nettstedet leveres via Vercel sitt globale innholdsnettverk (CDN), men personopplysninger behandles primært i EU/EØS.

All trafikk mellom nettleseren deres og tjenesten krypteres med TLS (HTTPS). Data krypteres også under lagring (at rest) på databaseplattformen.

Kundedata er kun tilgjengelig for eieren av Torsvik Labs – én operatør – gjennom leverandørenes egne autentiserte administrasjonsgrensesnitt. I databasen håndheves rad-nivå-sikkerhet (Row Level Security), som sørger for at én kundes data aldri er synlig for en annen. Hver virksomhet er isolert fra de andre (flerleietaker-isolasjon).

Databasen sikkerhetskopieres automatisk av Supabase, slik at data kan gjenopprettes ved feil eller tap. Sikkerhetskopier rulleres ut etter databaseplattformens oppbevaringssyklus.

Be om sletting på kontakt@kravklar.no, så fjerner vi personopplysningene innen 30 dager. Vi sletter ikke kontoer automatisk etter en periode med inaktivitet. Sikkerhetskopier rulleres ut etter databaseplattformens oppbevaringssyklus.

Vi bruker noen få underleverandører for å drive tjenesten. Alle er underlagt databehandleravtale. Overføringer ut av EU/EØS skjer på grunnlag av EUs standardavtaler (SCC) eller EU–USA-rammeverket for personvern (Data Privacy Framework, DPF).

Sentry brukes kun til feilovervåking. Vi gjør ingen sesjonsopptak av bruken deres.

Vi bruker ingen sporings- eller markedsføringscookies – kun nødvendige informasjonskapsler for innlogging og grunnleggende funksjonalitet. Google Ads kjører med Consent Mode v2 der alle samtykker er avslått, altså uten cookies. Personvernerklæringen beskriver hva Google likevel mottar, og på hvilket grunnlag.

Finner dere en sårbarhet, vil vi gjerne høre om den. Send funn til kontakt@kravklar.no. Vi tar imot rapporter etter prinsippet om ansvarlig rapportering og svarer så raskt vi kan. En maskinlesbar kontaktfil finnes på /.well-known/security.txt.

Ved et sikkerhetsbrudd som berører personopplysninger, varsler vi berørte kunder uten ugrunnet opphold. For kontoopplysninger, organisasjonsdata og vurderingssvar er det vi som er behandlingsansvarlige, og vi melder bruddet til Datatilsynet der regelverket krever det. Gjelder bruddet fritekst dere selv har lagt inn i tjenesten, er dere behandlingsansvarlige, og vi bistår dere med å oppfylle pliktene deres.

Kunder kan få en personvernavtale som beskriver rollefordelingen mellom oss: hvor vi er behandlingsansvarlige, hvor vi opptrer som databehandler på deres vegne, og hvilke underleverandører som brukes. Ta kontakt på kontakt@kravklar.no, så ordner vi det.

Dataene tilhører dere, ikke oss. PDF-rapporten laster dere ned selv fra tjenesten. Vil dere ha en full kopi av dataene i et maskinlesbart format eller få dem slettet, tar dere kontakt på kontakt@kravklar.no, så ordner vi det innen 30 dager. Dere er ikke låst til oss, og dere tar med dere det dere har lagt inn.