Personvernerklæring
Her står hvilke opplysninger vi samler inn når en bedrift kjøper plasser og når deltakerne tar kurset, hva vi bruker dem til og hvor lenge vi tar vare på dem.
1. Hvem som er ansvarlig
Revify AS, org.nr. 938 065 799, driver Asbestskolen og er behandlingsansvarlig for personopplysningene vi samler inn på asbestskolen.no. Du når oss på info@asbestskolen.no. Adresse: [SJEKK: forretningsadressen til Revify AS].
Bedriften som kjøper, og oss
Når en bedrift kjøper plasser, ser bedriften i oversikten hvem av deltakerne som har meldt seg på, hvor langt de har kommet og hvem som har bestått, og den kan laste ned bevisene. Vi har lagt til grunn at Revify AS er ansvarlig for opplysningene vi trenger for å levere kurset og bevisene. Bedriften er selv ansvarlig for hvordan den bruker det den henter ut, for eksempel i egen HMS-dokumentasjon.
Legger bedriften inn deltakere selv, med navn og telefonnummer eller e-post, er det bedriften som gir oss opplysningene. Bedriften må da ha lov til å gi dem videre til oss.
[SJEKK: Rollefordelingen må vurderes av en jurist. Er Revify AS databehandler for bedriften når det gjelder deltakerne, trengs en databehandleravtale med hver kunde, og denne erklæringen må skrives om.]
2. Hva vi samler inn
Vi samler inn så lite som mulig. Vi spør ikke om fødselsdato, personnummer eller legitimasjon.
| Om hvem | Opplysninger |
|---|---|
| Deg som kjøper | Navn, e-post og eventuelt telefonnummer. Bedriftens navn, org.nr., adresse og e-post for faktura. Bestillinger, betalingsstatus og eventuelle refusjoner. Kortopplysninger går direkte til Stripe, og vi ser dem ikke. |
| Deltakere | Fullt navn, som står på beviset. Enten telefonnummer eller e-post, ikke begge, slik at vi kan sende innloggingslenke og påminnelser. Valgt språk. Hvor langt du har kommet i kurset. Testforsøk med spørsmål, svar, poeng og om du besto. Beviset med kode, dato, poeng, kursversjon og navnet og org.nr. til bedriften som kjøpte plassen. |
| Alle som besøker siden | Nødvendige informasjonskapsler (se informasjonskapsler). For å stoppe misbruk av innlogging lagrer vi en kort stund en kode laget av IP-adressen din, ikke selve adressen. Koden kan ikke gjøres om til adressen igjen. Leverandøren som drifter nettsiden, kan logge IP-adresse og nettlesertype i sine driftslogger. [SJEKK: Lagringstid for driftslogger hos Vercel.] |
| Meldinger | E-post og SMS vi sender deg, lagres i en logg med mottaker og innhold. Skriver du til oss, lagrer vi det du skriver. |
Vi bruker ikke analyseverktøy, sporing eller annonsepiksler på nettsiden.
3. Hva vi bruker opplysningene til, og hvorfor vi har lov
| Formål | Rettslig grunnlag |
|---|---|
| Selge plasser, levere kurset til kjøperen og sende kvittering | Avtale med kjøperen (personvernforordningen art. 6 nr. 1 b) |
| Gi deltakerne tilgang, lagre fremdriften, rette testen og lage beviset | Berettiget interesse (art. 6 nr. 1 f): bedriften har kjøpt opplæringen, og deltakeren har meldt seg på for å ta den |
| Vise bedriften som kjøpte plassen, hvem som har tatt kurset og bestått | Berettiget interesse: arbeidsgiver må kunne vise hvilken opplæring de ansatte har fått |
| Vise beviset på bekreftelsessiden for den som har koden | Berettiget interesse: den som får se et bevis, skal kunne sjekke at det er ekte |
| Sende innloggingslenker og påminnelse om å ta kurset på nytt | Berettiget interesse. Påminnelser sendes bare hvis bedriften har slått dem på |
| Fakturere og føre regnskap | Rettslig plikt (art. 6 nr. 1 c), bokføringsloven |
| Hindre misbruk og holde tjenesten sikker | Berettiget interesse |
| Svare når du skriver til oss | Berettiget interesse |
Personvernforordningen (GDPR) gjelder som norsk lov gjennom personopplysningsloven. [SJEKK: La en jurist bekrefte grunnlaget for deltakerdata, særlig når deltakeren ikke selv er part i avtalen.]
4. Hvem som ser opplysningene
- Bedriften som kjøpte plassen ser deltakernes navn, telefonnummer eller e-post, fremdrift, testresultat og bevis.
- Den som har koden til et bevis ser navn, kurs, dato, språk, kursversjon og om beviset er bekreftet eller trukket tilbake. Bedrift og kontaktopplysninger vises ikke.
- Vi selger ikke opplysninger og bruker dem ikke til reklame.
- Myndigheter får opplysninger bare når loven krever det.
Leverandører som behandler opplysninger for oss
| Leverandør | Hva de gjør | Status |
|---|---|---|
| Vercel | Drift av nettsiden | [SJEKK: region og grunnlag for overføring] |
| Supabase | Database | [SJEKK: bekreft EU-region] |
| Stripe | Kortbetaling. Stripe er selv ansvarlig for noe av behandlingen, blant annet for å hindre svindel | [SJEKK: bekreft avtale] |
| E-posttjeneste | Sende innloggingslenker, kvitteringer og bevis | Ikke valgt ennå |
| SMS-tjeneste | Sende innloggingslenker til deltakere som har oppgitt telefonnummer | Ikke valgt ennå |
| Regnskap og faktura | Fakturering og bokføring | [SJEKK: hvilket system] |
| E-post til info@ | Kundeservice | [SJEKK: leverandør] |
Vi har eller skal ha databehandleravtale med hver av dem.
5. Overføring ut av EØS
Noen av leverandørene er amerikanske selskaper. Sendes opplysninger ut av EØS, skjer det med et lovlig grunnlag, som EUs og USAs rammeverk for personvern (Data Privacy Framework) eller EUs standard personvernbestemmelser. [SJEKK: Fyll inn grunnlaget for hver leverandør når de er valgt.]
6. Hvor lenge vi lagrer
| Opplysninger | Lagringstid |
|---|---|
| Bevis og testresultatet som hører til | Så lenge beviset skal kunne sjekkes: [SJEKK: antall år] |
| Deltakere som ikke har fullført kurset | [SJEKK: slettes etter et antall måneder uten aktivitet] |
| Deltakere som er fjernet av bedriften | [SJEKK: slettes etter] |
| Bestillinger, fakturaer og annet regnskapsmateriale | Fem år etter utgangen av regnskapsåret (bokføringsloven § 13) |
| Kjøperens konto | [SJEKK: så lenge bedriften har plasser eller bevis hos oss, og deretter] |
| Innlogging | Til du logger ut, og senest etter 30 dager for kjøpere og 365 dager for deltakere |
| Logg over sendt e-post og SMS | [SJEKK: lagringstid] |
| Kode laget av IP-adressen, for å stoppe misbruk | Kort tid, så lenge tidsvinduet for begrensningen varer |
| Henvendelser til oss | [SJEKK: lagringstid] |
7. Dine rettigheter
Du kan be oss om å:
- få vite hvilke opplysninger vi har om deg, og få en kopi
- rette opplysninger som er feil, for eksempel navnet på beviset
- slette opplysninger
- begrense hvordan vi bruker dem
- få opplysningene du har gitt oss, i et format du kan ta med deg
Du kan også protestere mot behandling vi gjør med berettiget interesse som grunnlag. Skriv til info@asbestskolen.no. Vi svarer innen en måned.
Sletter vi beviset ditt, kan det ikke lenger sjekkes. Regnskapsopplysninger kan vi ikke slette før lagringstiden i bokføringsloven er ute.
8. Testen rettes automatisk
Kunnskapstesten rettes automatisk. Du består med 12 riktige av 15. Resultatet har ingen virkning utover kurset, og du kan ta testen på nytt så mange ganger du vil. Mener du noe er rettet feil, kan du be oss se på det.
9. Sikkerhet
All trafikk til nettsiden er kryptert. Du logger inn med engangslenker i stedet for passord, og vi lagrer bare en kode laget av innloggingsnøklene, ikke selve nøklene. Koden kan ikke gjøres om til nøklene igjen. Bare de som trenger det i jobben, har tilgang til opplysningene. [SJEKK: Gå gjennom før lansering: tilgangsstyring, sikkerhetskopier og rutine for avvik.]
10. Klage
Mener du at vi behandler opplysninger om deg i strid med reglene, kan du klage til Datatilsynet. Vi setter pris på om du sier fra til oss først, så vi kan rette det.
11. Endringer
Endrer vi hvordan vi behandler personopplysninger, oppdaterer vi denne siden og datoen øverst. Ved større endringer sier vi fra til kjøperne på e-post.