Personvernerklæring

1. Roller

Igital AS (org.nr. 934099605, Eckerbergs gate 41A, 0266 Oslo) er behandlingsansvarlig for brukerkontoer, kundeforholdet, kontaktskjema og sikkerhetslogger. For regnskaps-, kunde-, leverandør- og lønnsdata kunden legger inn, er kunden behandlingsansvarlig og Igital AS databehandler. Databehandleravtalen gjelder for dette.

2. Hvilke opplysninger, formål og grunnlag

• Brukerkonto (navn, e-post, innloggingsdata, rolle): for å levere tjenesten – avtale (GDPR art. 6 nr. 1 b) og berettiget interesse i sikker drift (art. 6 nr. 1 f).
• Kundeforhold og fakturering (firmaopplysninger, kontaktperson, abonnement): avtale og rettslig forpliktelse etter bokføringsloven (art. 6 nr. 1 c).
• Kontaktskjema (navn, e-post, firma, melding): for å svare på henvendelsen – berettiget interesse.
• Lanseringsvarsel (e-postadresse og tidspunkt for påmelding): for å varsle deg når Contexa lanseres – samtykke (art. 6 nr. 1 a). Påmeldingen er frivillig. Du kan når som helst trekke samtykket og melde deg av ved å skrive til personvern@contexa.no.
• Sikkerhets- og revisjonslogger (hvem gjorde hva og når): sikkerhet og etterprøvbarhet – berettiget interesse og rettslig forpliktelse.
• Kundens regnskaps- og lønnsdata, inkludert fødselsnummer og kontonummer for ansatte: behandles bare etter kundens instruks som databehandler. Lønnsdata er kun synlige for eier og administrator i selskapet.

3. AI-behandling

I bilagsmottaket kan AI brukes til å lese og tolke opplastede bilag, for eksempel leverandør, dato, beløp og mva. Dokumentet sendes da fra våre servere via Lovable AI Gateway (Lovable Labs AB) til en språkmodell fra OpenAI. Forespørselen sendes med innstillingen for lagring av samtalen hos AI-tjenesten slått av. Vi lagrer det uttrukne resultatet og forbruk (antall dokumenter og tokens), ikke selve AI-samtalen.

Resultatet er et forslag. AI bokfører aldri bilag automatisk; en bruker må kontrollere og godkjenne før noe bokføres. Hvor lenge leverandørene eventuelt oppbevarer data, og om data brukes til trening, følger leverandørenes vilkår. Behandling kan skje utenfor EØS, se punkt 5.

4. Sikkerhet

Hvert selskaps data er skilt fra andre selskaper i databasen. Tilgang styres av roller. Opplastede dokumenter lagres privat. Endringer i regnskapet og administrative handlinger loggføres i revisjonsspor som ikke kan endres.

5. Underleverandører og overføring

• Drift, database, fillagring og innlogging: Lovable Cloud (Lovable Labs AB, Sverige). Lovable bruker egne underleverandører, oppført i Lovables underleverandørliste.
• E-post knyttet til innlogging (bekreftelse av e-postadresse og tilbakestilling av passord) sendes gjennom innloggingstjenesten i Lovable Cloud.
• AI-lesing: Lovable AI Gateway med språkmodell fra OpenAI, se punkt 3.
• Skrifttyper på de offentlige sidene lastes fra Google Fonts, som kan motta IP-adresse.
• Ikke i bruk: betaling (Stripe er planlagt, ikke tilkoblet), utsending av fakturaer eller nyhetsbrev på e-post, analyseverktøy og feilrapportering. Listen oppdateres før noe slikt tas i bruk.

Enkelte leverandører kan behandle opplysninger utenfor EØS. Slik overføring skal bare skje med gyldig overføringsgrunnlag og nødvendige garantier etter GDPR kapittel V. Du kan be om informasjon om overføringsgrunnlaget ved å kontakte oss.

6. Lagring og sletting

• Regnskapsmateriale: kunden er selv ansvarlig for oppbevaring så lenge bokføringsloven krever. Etter at kundeforholdet er avsluttet, har kunden tilgang for eksport i 90 dager; deretter slettes dataene fra det aktive systemet etter vår slettingsrutine.
• Brukerkonto, kontaktmeldinger, påmeldinger til lanseringsvarsel og opplastede filer som ikke bokføres: slettes når de ikke lenger er nødvendige for formålet, eller når du ber om det, med mindre lov krever videre lagring.
• AI-resultater: lagres som del av bilaget og følger regnskapsmaterialet.
• Sikkerhets- og revisjonslogger: lagres så lenge de er nødvendige for å dokumentere endringer i regnskapet.
• Sikkerhetskopier: slettede opplysninger kan finnes i sikkerhetskopier til disse utløper etter driftsleverandørens oppbevaringstid.

Sletting skjer i dag etter manuell rutine hos Igital AS, ikke automatisk.

7. Dine rettigheter

Du kan be om innsyn, retting, sletting, begrensning, dataportabilitet og protestere mot behandling basert på berettiget interesse. Der behandlingen bygger på samtykke, kan du trekke det tilbake. Vi svarer innen én måned. Du kan klage til Datatilsynet (datatilsynet.no). Henvendelser om data i en kundes regnskap videresendes til den aktuelle kunden.

8. Kontakt

Personvernhenvendelser: personvern@contexa.no.