Personvernerklæring for Ansattmappa

Utkast, ikke publisert. Sist oppdatert: [DATO]. Gjennomgås før lansering, og helst av en advokat.

Ansattmappa (ansattmappa.no) er en nettjeneste der arbeidsgivere lager, lagrer og gjenbruker arbeidsavtaler, arbeidsattester og støttedokumenter. Denne erklæringen forklarer hvilke personopplysninger vi behandler, hvorfor, hvor lenge og hvilke rettigheter du har.

1. Hvem vi er

[SELSKAPSNAVN], org.nr. [ORG.NR], [ADRESSE] E-post for personvern: [personvern@ansattmappa.no]

Vi har ikke personvernombud, og det er heller ikke et krav for virksomheter av vår type og størrelse. Spørsmål om personvern sender du til adressen over.

2. To roller: behandlingsansvarlig og databehandler

Vi har to ulike roller etter personvernforordningen (GDPR):

Når vi er databehandler, behandler vi opplysningene bare etter kundens instruks, slik det står i databehandleravtalen som kunden godtar ved registrering. Er du ansatt hos en av kundene våre og har spørsmål om opplysningene dine, bør du kontakte arbeidsgiveren din først. Se punkt 4.

3. Når vi er behandlingsansvarlig

Vi selger ikke personopplysninger, og vi bruker dem ikke til profilering eller automatiserte avgjørelser med rettsvirkning (art. 22).

4. Når vi er databehandler for arbeidsgiveren

Hva: Opplysninger arbeidsgiveren legger inn om ansatte, tidligere ansatte og kommende ansatte. Det kan være navn, adresse, fødselsdato (valgfritt), stilling, arbeidssted, arbeidstid, lønn og tillegg, start- og sluttdato, prøvetid, ferie, grunnlag for midlertidig ansettelse eller deltid, innholdet i arbeidsattesten og annen tekst i støttedokumenter.

Ansvar: Arbeidsgiveren er behandlingsansvarlig. Det betyr at arbeidsgiveren må ha behandlingsgrunnlag, informere de ansatte og svare på krav fra dem. Grunnlaget vil normalt være arbeidsavtalen (art. 6 nr. 1 b) og arbeidsgiverens plikter etter arbeidsmiljøloven, blant annet §§ 14-5, 14-6, 14-1 b og 15-15 (art. 6 nr. 1 c).

Hva vi gjør: Vi lagrer opplysningene, lager dokumentene og gjør dem tilgjengelige for kunden. Vi bruker dem ikke til egne formål, og vi bruker dem ikke til å trene KI-modeller.

Fødselsnummer: Tjenesten ber ikke om fødselsnummer. Det kan bare brukes når det er saklig behov for sikker identifisering og fødselsnummeret er nødvendig for det (personopplysningsloven § 12). En arbeidsavtale trenger ikke fødselsnummer. Kunden skal heller ikke skrive fødselsnummer eller særlige kategorier av personopplysninger (art. 9), som helseopplysninger eller fagforeningsmedlemskap, i fritekstfelt.

Ansatte som vil bruke rettighetene sine, for eksempel få innsyn, kontakter arbeidsgiveren. Kommer kravet til oss, sender vi det videre til arbeidsgiveren og hjelper til med å svare.

5. Underleverandører (databehandlere og andre mottakere)

Vi bruker leverandører til drift. De behandler personopplysninger på våre vegne etter databehandleravtaler, og når vi er databehandler for kunden, er de underdatabehandlere. Oppdatert liste:

6. Overføring ut av EU/EØS

Vi lagrer og behandler personopplysninger i EU/EØS når det er mulig. Overføres opplysninger til land utenfor EU/EØS, for eksempel til USA gjennom en underleverandør, skjer det bare med gyldig overføringsgrunnlag etter kapittel V i GDPR. Det kan være EUs adekvansbeslutning for USA (EU–US Data Privacy Framework) for sertifiserte selskaper, eller EUs standardkontraktsbestemmelser (art. 46). Merk: Adekvansbeslutningen ble opprettholdt av EU-domstolen (Retten) 3. september 2025, men saken er anket (C-703/25 P). Det må følges med på.

7. Sikkerhet

Vi beskytter opplysningene i tråd med art. 32. Det gjelder blant annet kryptering under overføring og lagring, at hver kunde bare ser egne data (tilgangsstyring på kundenivå), tofaktorinnlogging for administratorer, logging, sikkerhetskopier og minst mulig intern tilgang. Ved et brudd på personopplysningssikkerheten varsler vi Datatilsynet innen 72 timer når det kreves (art. 33). Når vi er databehandler, varsler vi kunden uten ugrunnet opphold.

8. Dine rettigheter

Du har rett til innsyn (art. 15), retting (art. 16), sletting (art. 17), begrensning (art. 18), dataportabilitet (art. 20) og til å protestere mot behandling som bygger på berettiget interesse eller er direkte markedsføring (art. 21). Har du gitt samtykke, kan du trekke det tilbake når som helst. Vi svarer innen én måned (art. 12 nr. 3). Du kan klage til Datatilsynet (datatilsynet.no), men vi setter pris på om du kontakter oss først.

9. Informasjonskapsler (cookies)

Etter ekomloven § 3-15, som gjelder fra 1. januar 2025, må vi ha samtykke før vi lagrer eller leser informasjon på enheten din. Unntaket er når det er strengt nødvendig for en tjeneste du har bedt om. Samtykket må oppfylle kravene i GDPR.

Slik gjør vi det på ansattmappa.no:

• Første gang du besøker siden, spør vi om du godtar informasjonskapsler for annonsemåling. «Godta» og «Avslå» er like store og like enkle å velge, og ingenting er forhåndsvalgt.
• Ingenting fra Google lastes før du har trykket «Godta». Velger du «Avslå» eller lar banneret stå, sendes ingenting til Google.
• Vi bruker Google Consent Mode v2, og alle samtykketyper står som «avslått» til du har godtatt.
• Valget ditt lagres i nettleseren din (localStorage, nøkkel am_samtykke_v1) i 12 måneder, slik at vi ikke spør på hver side. Etter 12 måneder spør vi på nytt.
• Du kan når som helst endre eller trekke tilbake samtykket med lenken «Informasjonskapsler» nederst på hver side. Trekker du det tilbake, sletter vi Google-informasjonskapslene vi kan slette fra nettstedet.

Hva Google får ved samtykke: at en annonse ble klikket, sidevisning og at et kjøp ble fullført, med kjøpets verdi (490 kr) og en tilfeldig ordre-ID fra Stripe. Vi sender ikke navn, e-post eller betalingsopplysninger til Google. Vi bruker ikke Google Analytics og ikke annonsepersonalisering ut over konverteringsmålingen. Google kan behandle opplysninger i USA. Se punkt 6 og Googles personvernerklæring (policies.google.com/privacy).

Behandlingsgrunnlag: samtykke (ekomloven § 3-15 og GDPR art. 6 nr. 1 a).

Venteliste: Melder du deg på ventelisten, lagrer vi e-postadressen din hos skjematjenesten Formspree, Inc. i USA. Overføringen skjer på grunnlag av EUs standardkontraktsbestemmelser (se punkt 6). Vi bruker den bare til å si fra når tjenesten åpner. Grunnlaget er samtykke (art. 6 nr. 1 a). Vi sletter adressen når vi har sagt fra, eller tidligere hvis du ber om det.

10. Endringer

Vi oppdaterer erklæringen ved behov. Vesentlige endringer varsler vi kunder om på e-post før de trer i kraft.

11. Kontakt

[SELSKAPSNAVN], [ADRESSE], [personvern@ansattmappa.no]

Endre valg for informasjonskapsler