Personvernerklæring

1. Hvem er vi?

Vyrdis er en tjeneste for strukturering og analyse av tilbakemeldinger fra brukere. Vi er opptatt av å beskytte personvernet både til dere som bruker Vyrdis, og til brukerne deres som gir dere tilbakemeldinger.

Behandlingsansvarlig:
Vyrdis AS
Org.nr 837864712
Nestvikveien 25b, 3135 Torød, Norge
E-post: privacy@vyrdis.com

2. Hvilke personopplysninger samler vi inn?

2.1 Kontoopplysninger

Når du oppretter en konto, samler vi inn:

• E-postadresse
• Fullt navn
• Passord (lagres hashet)
• Organisasjonstilknytning

2.2 Brukerforskningsdata

Data du laster opp eller registrerer i tjenesten kan inneholde:

• Tilbakemeldinger og observasjoner fra brukertester
• Sitater og kommentarer
• URL-er der tilbakemeldinger ble gitt
• Kildereferanser
• Tidspunkter for observasjoner

For disse forskningsdataene er din organisasjon behandlingsansvarlig og Vyrdis er databehandler (personvernforordningen art. 28). Behandlingen styres av databehandleravtalen mellom din organisasjon og Vyrdis, ikke av denne personvernerklæringen.

Viktig: Du er ansvarlig for å sikre at du har rett til å behandle personopplysninger som lastes opp til Vyrdis, og at de registrerte er informert om behandlingen.

2.3 Tekniske data

Vi logger begrenset teknisk informasjon for drift og feilsøking:

• Tidspunkt for innlogging
• Generelle feillogger (uten personidentifiserende informasjon)
• Anonymisert bruksstatistikk (hvilke sider som besøkes), via vår egen analyse-løsning

3. Hvorfor behandler vi personopplysninger?

Tabellen under gjelder behandling der Vyrdis selv er behandlingsansvarlig — det vil si konto- og driftsdata om brukerne i din organisasjon. Forskningsdata som lastes opp om tredjepersoner behandler Vyrdis som databehandler på vegne av din organisasjon (se punkt 2.2), og behandlingsgrunnlaget for disse dataene fastsettes av din organisasjon.

For forskningsdataene oppgir ikke Vyrdis et eget behandlingsgrunnlag her — Vyrdis behandler dem kun etter instruks fra din organisasjon, regulert av databehandleravtalen mellom dere.

4. Bruk av AI og tredjepartstjenester

4.1 Mistral (AI)

Vyrdis bruker Mistral for å tilby AI-funksjoner som:

• Automatisk tagging av innsikter
• Gruppering av lignende tilbakemeldinger
• Kobling mellom fakta og hypoteser

Når du bruker disse funksjonene, sendes relevante tekstdata til Mistrals servere i Frankrike. Mistral er et fransk selskap underlagt EU-personvernlovgivning og behandler data i henhold til sin personvernpolicy(åpnes i ny fane).

Merk: Vyrdis bruker Mistrals Scale-plan, hvor API-forespørsler eksplisitt ikke brukes til å trene Mistrals modeller. Mistral lagrer API-data i inntil 30 rullerende dager for å oppdage misbruk, med mindre Zero Data Retention er aktivert.

Samtykke på organisasjonsnivå

Bruk av AI-analyse krever at organisasjonen aktivt samtykker. Samtykket gis av en administrator eller eier i organisasjonen, og kan trekkes tilbake når som helst under Organisasjonsinnstillinger → AI-analyse. Inntil samtykke er gitt er AI-funksjoner deaktivert for hele organisasjonen, og data sendes ikke til Mistral.

Unngå å legge inn personopplysninger (navn, e-postadresser, personnummer) i fritekstfelt som sendes til analyse. Kontodata som e-post og passord sendes aldri til Mistral.

4.2 Hosting og infrastruktur

Vyrdis hostes hos Hetzner Cloud (tysk selskap) i Nürnberg, Tyskland. Hele applikasjonen — backend, database og frontend — kjører i EU. Hetzner er underlagt GDPR og tysk databeskyttelseslovgivning.

4.3 E-posttjeneste

Vi bruker Brevo (fransk selskap, tidligere Sendinblue) for utsending av e-post (brukerinvitasjoner, passord-reset). Brevo behandler data i samsvar med EU-personvernregler.

4.4 Dataoverføring og lokasjon

Vyrdis bruker Mistral, Hetzner og Brevo som underdatabehandlere, alle etablert i EU/EØS. Vyrdis overfører ikke personopplysninger til land utenfor EU/EØS. En fullstendig og oppdatert oversikt finnes på underleverandørlisten.

5. Dine rettigheter

I henhold til GDPR har du følgende rettigheter:

• Innsyn: Du kan se og laste ned alle dine data selv under Innstillinger → «Last ned mine data».
• Retting: Du kan rette opplysninger om deg selv i profilinnstillingene, eller be oss korrigere feil.
• Sletting («retten til å bli glemt»): Du kan slette kontoen din selv under Innstillinger → Slett konto. Innhold du har opprettet anonymiseres.
• Dataportabilitet: Du kan laste ned dataene dine i et strukturert, maskinlesbart format (JSON eller CSV) under Innstillinger.
• Innsigelse: Du kan motsette deg behandling basert på berettiget interesse
• Trekke samtykke: Administrator eller eier i organisasjonen kan når som helst trekke tilbake samtykke til AI-behandling under Organisasjonsinnstillinger. Samtykket gjelder hele organisasjonen.

Innsyn, eksport og sletting er selvbetjent under Innstillinger. For øvrige rettigheter eller spørsmål, kontakt oss på privacy@vyrdis.com.

6. Sikkerhet

Vi tar datasikkerhet på alvor og har implementert følgende tiltak:

• Passord lagres som hash med bcrypt (enveis, ikke kryptert)
• All kommunikasjon skjer over HTTPS
• Tilgangskontroll med rollebasert autorisasjon
• Organisasjonsbasert dataisolasjon (multi-tenancy)
• Automatiske sikkerhetsoppdateringer

7. Oppbevaring av data

Vi oppbevarer personopplysninger så lenge det er nødvendig for formålet de ble samlet inn for:

• Kontoopplysninger: Så lenge kontoen er aktiv, pluss 30 dager etter sletting
• Forskningsdata: Så lenge kontoen/organisasjonen er aktiv
• Logger: Maksimalt 90 dager
• Fakturadata: Beholdes i opptil fem år som følge av bokføringsplikten, også etter at du har slettet kontoen. Dette er en lovpålagt begrensning i sletteretten.

8. Informasjonskapsler (cookies)

Vyrdis bruker kun nødvendige informasjonskapsler for å:

• Holde deg innlogget (autentiseringstoken)
• Huske brukerpreferanser

Vi bruker ikke sporings- eller markedsføringscookies.

For å forstå hvordan tjenesten brukes og forbedre den, bruker vi Matomo — en analyse-løsning vi drifter selv på vår egen infrastruktur i EU. Matomo kjører uten informasjonskapsler, anonymiserer IP-adresser og respekterer «Do Not Track»-innstillingen i nettleseren din. Ingen data deles med tredjeparter.

9. Endringer i personvernerklæringen

Vi kan oppdatere denne personvernerklæringen ved behov. Ved vesentlige endringer vil vi varsle deg via e-post eller ved innlogging. Siste oppdateringsdato vises ovenfor.

10. Klagerett

Hvis du mener vi behandler personopplysninger i strid med personvernregelverket, kan du klage til Datatilsynet: Klag til Datatilsynet(åpnes i ny fane)