GDPR-policy

eXidence leverer en skytjeneste for dokumentasjon og oppfølging av sertifikater i leverandørkjeden. For opplysninger om egne brukere og kontoer er eXidence behandlingsansvarlig. For innhold som kundene selv legger inn i tjenesten — sertifikater, leverandørinformasjon og teammedlemmer — er kundens organisasjon behandlingsansvarlig, og eXidence opptrer som databehandler.

• Kontoopplysninger: navn, e-postadresse, rolle (leverandør/kunde), organisasjonstilhørighet og tidspunkt for registrering.
• Autentiseringsdata: passord lagres kun som kryptografisk hash, aldri i klartekst. Ved innlogging med Google mottar vi navn og e-post fra tilbyderen.
• Innhold lagt inn av brukeren: opplastede sertifikatdokumenter kan inneholde navn på personer (f.eks. kursbevis eller HMS-kort), utsteder og gyldighetsdatoer.
• Bruks- og aktivitetslogg: hvem som lastet opp, endret eller slettet et sertifikat, invitasjoner sendt, og tidspunkt for handlingen.
• Tekniske data: IP-adresse, nettlesertype og tidsstempler som logges av vår infrastruktur av sikkerhetshensyn.

Vi behandler ikke særlige kategorier av personopplysninger, og ber deg ikke laste opp slike dokumenter.

• Avtale (art. 6 nr. 1 b): for å opprette konto, gi tilgang til tjenesten og levere funksjonaliteten du har bestilt.
• Berettiget interesse (art. 6 nr. 1 f): for sikkerhetslogging, misbruksforebygging, feilsøking og forbedring av tjenesten.
• Rettslig forpliktelse (art. 6 nr. 1 c): for regnskaps- og bokføringskrav.
• Samtykke (art. 6 nr. 1 a): for eventuell markedsføringskommunikasjon. Samtykke kan trekkes tilbake når som helst.

Tjenesten er bygget flerleietaker (multi-tenant) med streng tilgangskontroll i databasen. Brukere ser kun data som tilhører egen organisasjon, samt sertifikatstatus for leverandører organisasjonen aktivt følger. En leverandør kan når som helst se hvilke kunder som følger dem, under «Hvem ser deg».

Internt hos eXidence har kun et begrenset antall personer teknisk tilgang, og kun når det er nødvendig for drift, feilretting eller support.

Vi bruker underleverandører for drift, database, fillagring, e-postutsending og automatisk avlesning av opplastede dokumenter. Alle underleverandører er bundet av databehandleravtaler. Data lagres primært innenfor EU/EØS. Der en underleverandør behandler data utenfor EØS, skjer overføringen på grunnlag av EU-kommisjonens standard personvernbestemmelser (SCC) supplert med tekniske tiltak.

Ved automatisk avlesning av et opplastet dokument sendes innholdet til en AI-tjenesteleverandør utelukkende for å foreslå felter som type, utsteder og utløpsdato. Innholdet brukes ikke til trening av modeller.

• Sertifikater: lagres så lenge organisasjonen ønsker dokumentasjonen. Slettede sertifikater fjernes fra visning umiddelbart og slettes permanent fra lagring innen 30 dager.
• Brukerkontoer: slettes innen 30 dager etter at kontoen avsluttes.
• Ventende invitasjoner: kan trekkes tilbake av administrator når som helst og slettes da umiddelbart.
• Aktivitets- og sikkerhetslogg: oppbevares i inntil 12 måneder for sporbarhet og revisjon.
• Sikkerhetskopier: roterer og slettes automatisk innen 35 dager.
• Regnskapsdata: oppbevares så lenge bokføringsloven krever.

Du har rett til innsyn, retting, sletting, begrensning, dataportabilitet og til å protestere mot behandling. Du kan også klage til Datatilsynet.

Mye kan du gjøre selv i tjenesten: rette profilopplysninger, slette sertifikater, fjerne teammedlemmer og eksportere sertifikatoversikten til Excel. For øvrige forespørsler kontakter du oss, og vi svarer normalt innen 30 dager.

Tjenesten beregner sertifikatstatus (gyldig, utløper snart, utløpt) automatisk ut fra utløpsdato, og foreslår felter fra opplastede dokumenter. Dette er hjelpefunksjoner — de har ingen rettsvirkning, og all informasjon kan overstyres manuelt av brukeren.

Spørsmål om personvern eller ønske om å utøve dine rettigheter rettes til personvernansvarlig i eXidence via kontaktpunktet oppgitt i tjenesten eller i din avtale.