Personvernerklæring

1. Hvem vi er

Nordic USV AS, org.nr. 930 919 365, Thormøhlens gate 51, 5006 Bergen, driver nettsiden nordicusv.com og Kystdata.io, en plattform for oseanografiske data. Du når oss på info@nordicusv.com.

Denne erklæringen gjelder både nettsiden og plattformen. Avsnitt 4 handler bare om nettsiden, og avsnitt 5 bare om KI-funksjonene i plattformen.

Kystdata.io er en tjeneste for virksomheter. Den er ikke rettet mot privatpersoner som oppretter konto til privat bruk.

Selve måledataene (vannkvalitetsmålinger, sensordata, posisjoner for måleutstyr) er miljødata om sjøen, ikke personopplysninger. Personopplysninger kommer inn i plattformen først og fremst som brukerkontoer, aktivitet knyttet til kontoene og fritekst du selv skriver.

2. Vår rolle, og hva denne erklæringen gjelder

Nordic USV AS er behandlingsansvarlig, altså den som bestemmer hvordan og hvorfor personopplysninger behandles, for personopplysningene vi behandler for egne formål: opprettelse og sikring av brukerkontoer, kundeforholdet, support, fakturering, drift og sikkerhet, produktanalyse, henvendelser og tilbudsforespørsler, og nyhetsbrevet. Denne erklæringen gjelder den behandlingen. Den gjelder særlig for

• brukere og organisasjonsadministratorer i organisasjoner som bruker Kystdata.io
• kontaktpersoner hos kunder, leverandører og samarbeidspartnere
• personer som kontakter oss om tjenestene våre, support eller kundeforhold, også via skjemaene på nordicusv.com
• besøkende på nordicusv.com og de som abonnerer på nyhetsbrevet vårt

For innhold kunden og kundens brukere legger inn i plattformen, som fritekst, figurtekster, opplastede filer og kontaktpersoner kunden registrerer, og for aktivitetsloggen kunden bruker til å følge opp egne brukere, er kundens organisasjon behandlingsansvarlig og Nordic USV databehandler. Den behandlingen er regulert i databehandleravtalen, som er en del av brukervilkårene.

Vi følger personvernreglene som gjelder, inkludert personvernforordningen (GDPR) og personopplysningsloven.

3. Hva vi behandler og hvorfor

Brukerkontoer. For å opprette og administrere brukerkontoer behandler vi navn og e-postadresse. Har du oppgitt telefonnummer og rolle, behandler vi også det. Opplysningene får vi fra deg eller fra organisasjonsadministratoren som inviterer deg. Vi fører også en aktivitetslogg over handlinger i plattformen, som invitasjoner, endringer i medlemmer og roller, endringer i organisasjonen og i tokt, og svar på tilbud. Organisasjonsadministratorene kan se loggen for sin organisasjon; den er en del av plattformen. Vi bruker loggen selv til sikkerhet og feilsøking. Organisasjonen din bruker den til å følge opp egne brukere, og for den bruken er organisasjonen behandlingsansvarlig. Vi lagrer kontoopplysningene så lenge kontoen finnes. Vi sletter kontoen når du ikke lenger er medlem av noen organisasjon i plattformen, eller når du eller organisasjonen din ber om det. Oppføringer i aktivitetsloggen beholder vi så lenge kundeforholdet varer, med brukeren anonymisert etter at kontoen er slettet.

Support og kommunikasjon. Når du kontakter oss, på e-post, telefon eller via skjemaene på nordicusv.com, behandler vi navn, kontaktinformasjon og innholdet i henvendelsen for å kunne svare deg. Vi beholder henvendelsen så lenge vi trenger den for å følge opp saken og dokumentere kundeforholdet, og sletter den senest når kundeforholdet slutter, med mindre bokføringsreglene krever lengre lagring. Fører henvendelsen ikke til et kundeforhold, sletter vi den når vi ikke lenger trenger den for å følge opp saken.

Drift og sikkerhet. Vi behandler tekniske logger (IP-adresse, tidspunkter, enhets- og nettleserinformasjon, feildetaljer) når det er nødvendig for å drifte plattformen og nettsiden sikkert, finne feil og hindre misbruk. Tekniske logger beholder vi bare så lenge disse formålene krever, og de slettes deretter fortløpende. Når noe feiler på serverne våre, går feilrapporten til PostHog, samme leverandør som produktanalysen nedenfor. Det skjer uavhengig av om du har samtykket til analyseinformasjonskapsler, fordi det bygger på vår berettigede interesse i en plattform som virker, ikke på samtykke.

Kart. Kartene i plattformen henter kartfliser direkte fra Mapbox, Kartverket og OpenSeaMap i nettleseren din. Disse leverandørene mottar IP-adressen din når flisene lastes, slik som på alle nettsider som viser kartene deres.

Produktanalyse. Samtykker du til det, bruker vi analyseverktøyet PostHog for å forstå hvordan plattformen brukes, og for å finne feil. Hendelsene knyttes da til brukerkontoen din (navn og e-postadresse). Det inkluderer sesjonsopptak, altså en avspilling av det som skjedde på skjermen din. Alt du skriver i skjemafelt, skjules i nettleseren før opptaket sendes. Uten samtykke teller vi besøk anonymt, uten informasjonskapsler. Les mer på siden om informasjonskapsler. Der kan du også endre valget ditt når som helst.

E-post. Vi sender e-post som hører til bruken av plattformen, som invitasjoner, varsler og alarmer du har satt opp, via e-postleverandøren vår. Vi sender ikke markedsføring på e-post uten et eget samtykke; se om nyhetsbrevet i avsnitt 4.

4. Nettsiden nordicusv.com

Besøk. Nettsiden setter ingen informasjonskapsler og lagrer ingenting i nettleseren din. Når du besøker den, behandler vi IP-adressen din og tekniske opplysninger om nettleseren, som beskrevet under drift og sikkerhet i avsnitt 3.

Besøksstatistikk. Vi teller besøk og sidevisninger med PostHog, uten informasjonskapsler og uten å lagre noe i nettleseren din. Besøkene knyttes ikke til navnet eller e-postadressen din. Feil som oppstår i nettleseren din på nettsiden, sendes også til PostHog, slik at vi kan rette dem.

Kontaktskjema og tilbudsforespørsel. Skjemaene sender det du fyller inn til oss på e-post, via e-postleverandøren vår. Det er navn, e-postadresse og melding, og i tilbudsforespørselen også firma, telefonnummer, tjeneste og området du eventuelt har tegnet i kartet. Vi bruker opplysningene til å svare deg og eventuelt gi deg et tilbud, og behandler dem ellers som andre henvendelser (se support og kommunikasjon i avsnitt 3).

Beskyttelse mot spam. Skjemaene bruker Cloudflare Turnstile for å skille mennesker fra automatiserte roboter. Når du åpner et skjema, mottar Cloudflare IP-adressen din og tekniske opplysninger om nettleseren og enheten din, og bruker dem til å vurdere om det er et menneske som fyller ut skjemaet.

Nyhetsbrev. Melder du deg på nyhetsbrevet, lagrer vi navn, e-postadresse og eventuelt bedrift hos e-postleverandøren vår, og sender deg nyhetsbrev om tjenestene og teknologien vår. Det gjør vi bare med samtykket ditt. Du kan melde deg av når som helst med lenken i nyhetsbrevet eller ved å sende e-post til info@nordicusv.com. Vi beholder opplysningene så lenge du abonnerer. Melder du deg av, sender vi ikke flere nyhetsbrev, og vi beholder opplysningene bare for å vite at du har meldt deg av. Ber du om det, sletter vi dem helt.

Kart. Kartene på nettsiden henter kartfliser direkte fra OpenFreeMap og Kartverket i nettleseren din. Disse leverandørene mottar IP-adressen din når flisene lastes.

5. KI-funksjoner

KI-funksjonene i Kystdata.io er slått av i utgangspunktet. Bare en organisasjonsadministrator kan slå dem på, i organisasjonsinnstillingene, og plattformen viser hva som blir delt før administratoren bekrefter.

Når noen i organisasjonen din bruker en KI-funksjon, sender vi det innholdet som trengs for å svare, til KI-leverandøren vår. Det er

• måledata og metadata om prosjektet, som parametere, navn og posisjoner for målepunkter, og toktdatoer
• figuren det jobbes med, inkludert tittel og tekst
• det brukeren skriver til assistenten

Innholdet kan inneholde personopplysninger hvis brukeren skriver dem inn. Vi sender ikke opplysninger om brukerkontoer (navn, e-postadresser), og vi sender ikke opplastede filer.

Modellen kjører hos Mistral AI i EU. Det er Mistrals egen modell, Mistral Large, kjørt på Mistrals egen europeiske infrastruktur. Etter Mistrals vilkår brukes innholdet bare til å svare på forespørselen, ikke til å trene KI-modeller. Mistral kan beholde innholdet i inntil 30 dager for å overvåke misbruk, innenfor EU, og sletter det deretter. Leverandøren står i underleverandørlisten.

Vi lagrer samtalene dine med assistenten, slik at du kan fortsette dem senere. De er private for deg: andre brukere og administratorer i organisasjonen din kan ikke lese dem. En samtale slettes sammen med figuren den hører til, med prosjektet, eller med kontoen din.

Vi tar ingen avgjørelser om deg som bygger utelukkende på automatisert behandling, og som har rettsvirkning eller tilsvarende stor betydning for deg. KI-funksjonene lager utkast og forslag; det er mennesker som tar beslutningene.

En organisasjonsadministrator kan når som helst slå KI-funksjonene av igjen.

Nordic USV bruker også KI-verktøy internt, for eksempel til å lese laboratoriedokumenter vi mottar på e-post. Disse verktøyene står i underleverandørlisten. De behandler dokumenter fra laboratoriepartnerne våre, ikke kontoopplysningene dine.

6. Hvorfor vi har lov til å behandle opplysningene (behandlingsgrunnlag)

Vi behandler personopplysninger fordi

• vi må oppfylle avtalen med organisasjonen din og gjøre det som trengs for å levere plattformen (GDPR artikkel 6 nr. 1 bokstav b). Du som bruker er normalt ikke selv part i avtalen, og da bygger vi også på vår berettigede interesse i å levere tjenesten til organisasjonen din (bokstav f)
• du har bedt om et tilbud, og vi må gjøre det som trengs før en eventuell avtale (bokstav b). Ber du om tilbudet på vegne av en virksomhet, bygger vi også på vår berettigede interesse i å svare virksomheten (bokstav f)
• vi har en berettiget interesse, altså et reelt behov som veier tyngre enn ulempen for deg, i å drifte plattformen og nettsiden sikkert, finne feil, hindre misbruk, forbedre dem, telle besøk på nettsiden og svare på henvendelser (bokstav f)
• du har samtykket, for analyseinformasjonskapsler og sesjonsopptak i plattformen og for nyhetsbrevet (bokstav a). Du kan trekke samtykket tilbake når som helst
• loven krever det, for eksempel bokføringsreglene (bokstav c)

KI-funksjonene bygger på avtalen med organisasjonen din (bokstav b) og, for personopplysninger om andre som en bruker skriver inn, på kundens instruks som behandlingsansvarlig etter databehandleravtalen.

7. Hvem vi deler opplysninger med

Vi bruker underleverandører, altså selskaper som behandler personopplysninger på vegne av oss og etter våre instrukser, for å levere plattformen og nettsiden. Underleverandørlisten viser hva hver av dem gjør, hvor de behandler dataene og når. Vi holder listen oppdatert og varsler organisasjonsadministratorene minst 30 dager før vi tar i bruk en ny underleverandør.

Noen underleverandører behandler personopplysninger utenfor EU/EØS. Da sørger vi for at overføringen har et lovlig grunnlag etter GDPR kapittel V. For leverandører i USA er det EU-US Data Privacy Framework der leverandøren er sertifisert, og ellers EUs standardkontrakter (avtalevilkår EU har godkjent), med ekstra sikkerhetstiltak der det trengs. Grunnlaget for hver leverandør, og en kopi av standardkontraktene vi har inngått, kan du få ved å sende e-post til info@nordicusv.com.

Kobler organisasjonen din til en integrasjon, for eksempel eksport til OneDrive eller Amazon S3, sender plattformen data til den leverandøren. Det skjer etter organisasjonens egen avtale med leverandøren, ikke vår.

Vi gir ut personopplysninger når loven krever det, for eksempel når en domstol eller en offentlig myndighet pålegger oss det.

8. Sikkerhet

Vi sikrer opplysningene med tekniske og organisatoriske tiltak som passer til risikoen. Blant annet krypterer vi data under overføring, styrer tilgang på databasenivå slik at hver organisasjon bare ser sine egne data, logger aktivitet og oppbevarer nøkler og passord til systemene sikkert. Bare de hos Nordic USV som trenger det for å drifte plattformen, har tilgang til produksjonsdata.

9. Dine rettigheter

Du kan når som helst be oss om å

• forklare hvordan vi behandler personopplysningene dine, og gi deg en kopi av dem
• rette feil og fylle ut manglende opplysninger
• slette personopplysningene dine når vilkårene i GDPR artikkel 17 er oppfylt, for eksempel når vi ikke lenger trenger dem
• begrense behandlingen, altså at vi bare lagrer opplysningene uten å bruke dem, når vilkårene i artikkel 18 er oppfylt
• utlevere opplysningene du har gitt oss, i et strukturert, maskinlesbart format (artikkel 20)

Du kan også protestere mot behandling som bygger på berettiget interesse. Da stopper vi, med mindre vi kan vise til tungtveiende grunner som veier tyngre enn dine interesser og rettigheter.

Vil du bruke en av rettighetene, send e-post til info@nordicusv.com. Du har også rett til å klage til Datatilsynet, Postboks 458 Sentrum, 0105 Oslo.

10. Endringer i denne erklæringen

Vi oppdaterer erklæringen ved behov og publiserer endringene på denne siden. Øverst ser du hvilken versjon som gjelder, og fra når. Er endringene vesentlige, varsler vi brukerne i plattformen.

Erklæringen finnes på norsk og engelsk. Ved motstrid går den norske versjonen foran.