Personvern­erklæring.

SafeTech AS, org.nr 932 203 901, Ulsmågvegen 24, 5224 Nesttun, er behandlingsansvarlig for personopplysninger som samles inn via safetechsolutions.no og kundeportalen. Spørsmål om personvern kan du sende til hei@safetek.no, eller du kan ringe +47 950 90 450.

Plattformen er utviklet og driftes av Revify AS (org.nr 938 065 799) i Tolvsrød. Revify er databehandler for oss. Det betyr at Revify bare behandler opplysningene etter avtale med oss og etter våre instrukser, for å drifte, sikre og rette feil i plattformen.

Vi behandler opplysninger i disse situasjonene:

• Konto og bedriftsprofil: navn, e-postadresse, telefonnummer, stillingstittel, bedriftsnavn og organisasjonsnummer. Organisasjonsnummeret slår vi opp i Brønnøysundregistrene når du registrerer deg. Passordet lagres bare i kryptert form. Når du logger inn, registrerer vi tidspunktet, IP-adressen og hvilken nettleser du bruker.
• Ordre i nettbutikken: kontaktperson, e-post, telefon, bedrift, organisasjonsnummer, leveringsadresse, ordrelinjer og eventuell kommentar.
• Kurs: Den som melder på, oppgir navn, e-post, telefon, bedrift og fakturaopplysninger, og navnet på hver deltaker. Deltakernes e-post, telefon og ansattnummer er valgfritt. Etter kurset registrerer vi oppmøte, resultat på prøven og kursbevis.
• Kontroll av kursbevis: Hvert kursbevis har en egen lenke, også som QR-kode, som viser om beviset er gyldig. Siden viser deltakerens navn, bedriften, kurset, datoene og instruktøren. Den vises ikke i søkemotorer, og bare den som har lenken, kan åpne den.
• Kurshenvendelser: navn, e-post, telefon, bedrift, organisasjonsnummer, ønsket sted og tidspunkt, antall deltakere og meldingen din.
• Tetthetskontroll av åndedrettsvern: kontaktopplysninger, navn på dem som skal testes, og testresultater. Se punkt 6.
• Utleie: kontaktperson, bedrift, leverings- eller prosjektadresse, reservasjonsdetaljer, hvilken vilkårsversjon som ble akseptert, og notater fra utlevering og retur, for eksempel om skader på utstyret.
• Kontaktskjema: navn, e-post, eventuelt bedrift og telefon, og det du skriver i meldingen.
• Nyhetsbrev: e-postadresse og tidspunkt for påmelding.
• KI-assistenten Bob: spørsmålene du stiller og svarene du får. Se punkt 5.
• Kontoer fra den gamle nettbutikken: e-post, brukernavn, navn og bedrift fra den tidligere nettbutikken vår, slik at tidligere kunder kan ta kontoen i bruk igjen.
• Tekniske opplysninger: Når du besøker sidene, behandler serverne IP-adressen din og hvilken nettleser du bruker. Det skjer ved alle besøk på nettsider. For å hindre misbruk av skjemaene lagrer vi en enveiskode (hash) av IP-adressen i kort tid, ikke selve adressen.
• Logg over endringer: Når SafeTechs ansatte endrer kundeopplysninger i administrasjonen, logger vi hvem som gjorde hva og når. Loggen kan inneholde opplysningene slik de var før og etter endringen.

Opplysninger om kursdeltakere og om dem som skal testes, får vi fra bedriften som melder dem på, ikke fra personen selv. Noen opplysninger om kurs og kursdeltakere er overført fra kurssystemet vi brukte tidligere (Kursagenten).

Kontaktpersoner i bedrifter som kan ha nytte av våre produkter og kurs: navn, rolle, bedrift, og e-post og telefon på jobben, hentet fra offentlige registre og bedriftenes egne nettsider. Vi henter ikke fødselsdato, og vi bruker ikke sosiale medier eller kjøpte lister.

Nettsidene våre har ingen annonse- eller sporingsverktøy fra andre selskaper.

• Kundeforhold, ordre, kurs, tetthetskontroll og utleie: nødvendig for å oppfylle avtalen med bedriften du representerer (GDPR artikkel 6 nr. 1 bokstav b). For kontaktpersoner og deltakere som ikke selv er part i avtalen, bygger vi på berettiget interesse i å levere det bedriften har bestilt (bokstav f).
• Kontaktpersoner i bedrifter som kan ha nytte av våre produkter og kurs: berettiget interesse i å tilby bedriften produkter, kurs og tjenester som er relevante for arbeidet den gjør (bokstav f). Første gang vi tar kontakt, forteller vi hvor vi har opplysningene fra. Du kan når som helst protestere ved å sende en e-post til hei@safetek.no. Da sletter vi opplysningene om deg, og du blir ikke lagt inn igjen.
• Påminnelser om kurs: Vi sender påminnelse før kursstart til den som meldte på og til deltakere vi har e-postadressen til. Når et kursbevis snart går ut, sender vi varsel til deltakeren og til bedriftens fakturaadresse. Grunnlaget er berettiget interesse (bokstav f).
• Kontroll av kursbevis: Lenken på kursbeviset gjør at for eksempel en byggherre kan sjekke at beviset er gyldig. Grunnlaget er berettiget interesse (bokstav f).
• Svar på henvendelser via skjema, e-post eller telefon: berettiget interesse i å følge opp den som tar kontakt (bokstav f).
• Svar fra Bob: berettiget interesse i å gi innloggede kunder og egne ansatte raske svar (bokstav f).
• Nyhetsbrev: samtykke (bokstav a). Du kan når som helst melde deg av ved å sende en e-post til hei@safetek.no.
• Regnskap: Ordre og fakturagrunnlag må vi oppbevare etter bokføringsloven (rettslig forpliktelse, bokstav c).
• Sikkerhet og drift: innlogging, tilgangskontroll, logging og vern mot misbruk av skjemaer. Berettiget interesse i en sikker tjeneste (bokstav f).
• Kontoer fra den gamle nettbutikken: berettiget interesse i at tidligere kunder kan flytte kontoen sin over (bokstav f).

Vi bruker en egenutviklet besøksstatistikk for å se hvilke sider som blir brukt. Den registrerer hvilken side som ble vist, hvilket nettsted besøket kom fra (bare domenenavnet), og om enheten er mobil eller desktop. Den setter ingen informasjonskapsler, bruker ingen bruker-ID og lagrer ikke IP-adressen. Vi bruker den ikke til å finne ut hvem som har besøkt sidene. Statistikken slettes etter 13 måneder.

Hvilke informasjonskapsler og hvilken lokal lagring nettsidene bruker, står på siden Informasjonskapsler.

Bob er en KI-assistent i kundeportalen. Bare innloggede kunder fra godkjente bedrifter og SafeTechs ansatte kan bruke Bob.

Når du spør Bob om noe, skjer dette:

• Spørsmålet og svaret lagres hos oss i 90 dager, sammen med hvilken konto som spurte. Deretter slettes de.
• Når en kunde spør, sendes de første 400 tegnene av spørsmålet til TypeSafe. Før teksten sendes, bytter vi ut e-postadresser, telefonnumre, adresser, tall med tre eller flere sifre og ord som ser ut som navn. Det fanger det meste, men ikke alt. TypeSafe avgjør hvilken modell som skal svare, og om et godkjent svar fra kunnskapsbasen vår passer. Passer det, får du det svaret direkte.
• I alle andre tilfeller sendes spørsmålet til språkmodellen Claude fra Anthropic. Sammen med det sender vi tekst fra kunnskapsbasen vår og opptil fire tidligere spørsmål og svar fra samme samtale. Eldre svar sendes bare som et kort utdrag.
• Spør du om ordre eller kurs, sender Bob også med opplysningene den henter for å svare, for eksempel ordrenummer, status, navn på kursdeltakere og kursbevisnummer. Kunder får bare opplysninger om sin egen bedrift. SafeTechs ansatte kan be Bob hente opplysninger om alle kunder.
• Bob har ikke tilgang til resultater fra tetthetskontroll.

Les om Anthropic og TypeSafe i punkt 7. Ikke skriv mer om andre personer til Bob enn du trenger for å få svar.

Når en bedrift bestiller tetthetskontroll (fit-test), oppgir den bedriftsnavn, eventuelt organisasjonsnummer, kontaktperson med e-post og telefon, adresse hvis vi skal komme til dem, og eventuelle merknader. For hver ansatt som skal testes, oppgir bedriften navn, maskemodell og eventuelt størrelse.

Etter testen registrerer vi resultatet for hver person: bestått, ikke bestått eller ny test, målt tetthetsfaktor (fit factor), testdato og en referanse til testrapporten. Resultatene er knyttet til personens navn og til bedriften.

SafeTech er behandlingsansvarlig for testresultatene. Det er vi som bestemmer hva som testes, hva som lagres og hvor lenge. Vi utsteder testbeviset i eget navn, og vi sender påminnelse når det er tid for ny test.

Bedriften som bestilte testen, får resultatene og er behandlingsansvarlig for sin egen kopi. Revify AS behandler resultatene for oss som databehandler, også når programmet som henter resultatene fra testutstyret, kjører på en maskin hos Revify.

I plattformen er det bare SafeTechs administratorer som har tilgang til resultatene. De vises ikke i kundeportalen, og Bob har ikke tilgang til dem. Hvor lenge vi lagrer dem, står i punkt 8.

Er du testet og har spørsmål om resultatet ditt, kan du kontakte oss eller arbeidsgiveren din.

Vi deler ikke personopplysninger med andre for markedsføring. Disse leverandørene behandler opplysninger på våre vegne:

• Revify AS (Norge): utvikler og drifter plattformen. Revify har tilgang til opplysningene for å drifte, sikre og rette feil i den.
• Supabase (Supabase Pte. Ltd., Singapore): database, innlogging og lagring av filer, som kursbevis. Databasen ligger i Stockholm. Supabase kan likevel få tilgang fra land utenfor EØS, blant annet ved support fra USA. Overføringen bygger på EUs standardkontraktsvilkår i databehandleravtalen med Supabase.
• Vercel (Vercel Inc., USA): drift av nettsidene. Serverfunksjonene kjører i Stockholm, men Vercel er et amerikansk selskap. Vercel er sertifisert under EU–US Data Privacy Framework, og databehandleravtalen har i tillegg EUs standardkontraktsvilkår.
• Resend (Plus Five Five, Inc., USA): sender e-post fra plattformen, som ordrebekreftelser, kursbekreftelser og påminnelser. E-posten sendes fra Irland, men Resend lagrer innholdet og loggene i USA i 30 dager. Resend er sertifisert under EU–US Data Privacy Framework, og databehandleravtalen har i tillegg EUs standardkontraktsvilkår.
• Anthropic (Anthropic Ireland, Limited): språkmodellen Claude, som Bob bruker. Opplysningene lagres i USA og kan behandles i flere land. Overføringen bygger på EUs standardkontraktsvilkår i Anthropics databehandleravtale. Anthropic er ikke sertifisert under EU–US Data Privacy Framework. Anthropic sletter innholdet etter 30 dager, med mindre det blir flagget for brudd på Anthropics bruksregler eller loven krever lengre lagring. Innholdet brukes ikke til å trene modeller.
• TypeSafe (TypeSafe AI, Inc., USA): sorterer spørsmål til Bob, se punkt 5. TypeSafe får spørsmålet med navn og tall maskert, sammen med tekst fra kunnskapsbasen vår. Spørsmål fra SafeTechs ansatte sendes ikke dit. Tjenesten driftes i USA, og TypeSafe bruker ikke innholdet til å trene modeller. Overføringen bygger på EUs standardkontraktsvilkår i TypeSafes databehandleravtale. TypeSafe er ikke sertifisert under EU–US Data Privacy Framework og oppgir ingen fast lagringstid.
• Tripletex (Tripletex AS, Norge): vårt ordre-, faktura- og regnskapssystem. Ordreopplysninger og bedriftens kontaktopplysninger overføres dit for fakturering og bokføring. Tripletex lagrer data i EU/EØS. Noen av Tripletex' underleverandører er i USA.
• one.com (One.com Group AB, Sverige): e-posten vår på safetek.no. Meldinger fra kontaktskjemaet og varsler fra plattformen havner i innboksene våre der. Serverne står i Danmark.

Vi slår også opp organisasjonsnumre i Brønnøysundregistrene. Det er et offentlig register. Vi henter bedriftsopplysninger og roller derfra, men sender ikke personopplysninger dit. Vi henter også opplysninger om bedrifter fra andre offentlige registre.

Supabase, Vercel, Resend, Anthropic og TypeSafe behandler opplysningene etter databehandleravtaler med Revify. Tripletex og one.com gjør det etter databehandleravtaler med oss.

Disse opplysningene slettes automatisk:

• Spørsmål og svar fra Bob: etter 90 dager.
• Kopier av e-post som plattformen har sendt: etter 30 dager.
• Besøksstatistikk: etter 13 måneder.
• Hash av IP-adresse, brukt mot misbruk av skjemaer: etter 7 dager.
• IP-adresse og nettleser knyttet til en innlogging: et døgn etter at innloggingen er utløpt.
• Tekniske logger hos Vercel og Supabase: etter 1 til 7 dager.
• Sikkerhetskopier av databasen: etter 7 dager.

Hos leverandørene sletter Anthropic innhold fra Bob etter 30 dager, og Resend sletter e-post og logger etter 30 dager.

Disse opplysningene lagrer vi lenger:

• Tetthetskontroll (bestillingen og resultatene): 3 år etter testen.
• Kurs (påmeldinger, deltakere, oppmøte, prøveresultater og kursbevis): 3 år etter kurset.
• Kundekontoer: slettes etter 3 år uten bruk.
• Henvendelser via kontaktskjema og kurshenvendelser: 3 år.
• Kontoer fra den gamle nettbutikken som ikke er tatt i bruk: 3 år.
• Loggen over endringer i administrasjonen: 3 år.
• Kontaktpersoner i bedrifter som kan ha nytte av våre produkter og kurs: så lenge bedriften er aktuell for oss og er aktiv i Enhetsregisteret. Vi oppdaterer opplysningene jevnlig fra kildene. Ber du om å bli slettet, beholder vi bare en enveiskode (hash), slik at du ikke blir lagt inn igjen.

Når de 3 årene har gått, spør vi bedriften én gang i året om den vil at vi skal ta vare på testresultatene og kursopplysningene. Vil den ikke det, sletter vi dem.

Ordre og utleie: Fakturagrunnlaget oppbevarer vi i fem år etter utgangen av regnskapsåret, fordi bokføringsloven krever det. Ber du om sletting før det, fjerner vi navnet, e-postadressen og telefonnummeret ditt fra ordren. Bedriften og selve ordren beholder vi.

Nyhetsbrev: E-postadressen lagres til du melder deg av.

Etter personvernregelverket har du rett til å:

• få vite hvilke opplysninger vi har om deg (innsyn),
• få rettet opplysninger som er feil,
• få slettet opplysninger vi ikke lenger har grunn til å ha,
• be oss begrense behandlingen, og protestere mot behandling som bygger på berettiget interesse,
• få utlevert opplysninger du selv har gitt oss, i et maskinlesbart format (dataportabilitet),
• trekke tilbake samtykke, for eksempel til nyhetsbrevet.

Send en e-post til hei@safetek.no for å bruke rettighetene dine. Vi svarer innen én måned.

Sletting: Ber du om sletting, sletter vi kontoen din og opplysningene om deg som vi ikke må beholde. Ordre som vi må oppbevare etter bokføringsloven, beholder vi, men uten navnet, e-postadressen og telefonnummeret ditt. Det som er slettet, forsvinner fra sikkerhetskopiene våre innen 7 dager. Hos Anthropic og Resend kan en kopi ligge i inntil 30 dager.

Er du meldt på kurs eller tetthetskontroll av arbeidsgiveren din, kan du kontakte oss direkte.

Du har også rett til å klage til Datatilsynet hvis du mener vi behandler opplysningene dine i strid med regelverket.

All trafikk til nettsidene er kryptert (HTTPS). Databasen og serverfunksjonene ligger i Stockholm, og databasen er kryptert der den lagres.

Hver kundebedrift ser bare sine egne opplysninger i kundeportalen. Dette styres i databasen, for hver tabell. Besøkende uten konto får ikke tilgang til personopplysninger.

Passord må ha minst 12 tegn, og passord som er kjent fra datalekkasjer, blir avvist. Innloggingen utløper etter 14 dager uten bruk, og senest etter 90 dager.

Vi tar sikkerhetskopi av databasen hver dag. Endringer som SafeTechs ansatte gjør i kundeopplysninger, blir logget.

Vi kan oppdatere denne erklæringen når tjenestene eller regelverket endrer seg. Gjeldende versjon ligger alltid på denne siden, med dato for siste oppdatering øverst.