Personvern

Hvem har ansvaret?

Kredin AS, org.nr. 812 413 902, er behandlingsansvarlig for personopplysningene vi bruker til våre egne nettsider, kontakt med oss, administrasjon av kundeforhold og den valgfrie målingen som beskrives nedenfor.

Du kan kontakte oss om personvern på support@kredin.no, telefon 62 02 23 20 eller per post til Kredin AS, Næringssenteret Energirådhuset, Grensevegen 811, 2240 Magnor. Personvernkontakt er Martin Larsen, martin@kredin.no.

Saks- og skyldneropplysninger som kundene behandler i Kredin, håndterer vi på kundens vegne. Dette er omtalt under «Opplysninger vi behandler på kundens vegne».

Kontakt, kundekonto, fakturering og sikkerhet

Når du kontakter oss, bestiller en gjennomgang eller ber om et tilbud, behandler vi navn, virksomhet, kontaktopplysninger og det du oppgir i henvendelsen. Vi bruker opplysningene til å svare og følge opp kontakten. For kontaktpersoner hos virksomheter er grunnlaget vår berettigede interesse i å håndtere slike henvendelser, jf. personvernforordningen artikkel 6 nr. 1 bokstav f. Er du selv part i en avtale eller ber om tiltak før en avtale inngås, brukes bokstav b for behandling som er nødvendig for dette.

Vi bruker nødvendige bruker- og kontaktopplysninger, roller, tilganger, avtaleopplysninger og supporthistorikk til å administrere kundeforholdet og gi hjelp. Grunnlaget for opplysninger om virksomhetens kontaktpersoner og brukere er vår berettigede interesse i å levere og følge opp tjenesten, jf. artikkel 6 nr. 1 bokstav f. Avtalegrunnlaget i bokstav b brukes når den registrerte selv er avtalepart.

For å beskytte tjenesten behandler vi nødvendige tekniske opplysninger, blant annet IP-adresser, innlogginger og sikkerhetshendelser. Grunnlaget er vår berettigede interesse i å hindre uautorisert tilgang, misbruk og driftsforstyrrelser, jf. artikkel 6 nr. 1 bokstav f. Sikkerhetslogging er atskilt fra valgfri markedsføringsmåling.

Vi behandler faktura-, betalings- og kontaktopplysninger for å fakturere og dokumentere Kredins egne leveranser. Lovpålagt bokføring og oppbevaring bygger på artikkel 6 nr. 1 bokstav c, jf. bokføringsregelverket. Opplysningene får vi fra deg, virksomheten du representerer og den løpende kontakten og bruken av tjenesten. Nødvendige bruker- og kontaktopplysninger må oppgis for at vi skal kunne opprette og administrere tilgangen. Valgfrie markedsføringsopplysninger er ikke et krav.

Informasjonskapsler og dine valg

Nødvendige teknologier brukes til pålogging, sikkerhet og lagring av samtykkevalget ditt. Unntaket fra samtykkekravet i ekomloven § 3-15 gjelder bare teknologier som er strengt nødvendige. Personopplysninger som er nødvendige for kontoadministrasjon og sikkerhet, behandles på grunnlagene beskrevet over. Dokumentasjon av samtykke brukes for å oppfylle kravene til å kunne påvise samtykke, jf. artikkel 6 nr. 1 bokstav c og artikkel 7 nr. 1.

Valgfri statistikk, analyseopptak og markedsføringsmåling bygger på ditt samtykke, jf. artikkel 6 nr. 1 bokstav a. Du kan bruke tjenesten og registrere deg uten å samtykke til statistikk eller markedsføring. Samtykket er separat fra aksept av brukeravtalen og databehandleravtalen.

PostHog-målingen og de maskerte opptakene starter bare når du har valgt både statistikk og markedsføring. Dette omfatter analyse av overgangen fra markedsnettsiden til registrering og hvilke markedsføringskanaler som fører til registrering. Annonsekonverteringer krever markedsføringssamtykke.

Du kan avslå valgfrie kategorier og når som helst endre valget eller trekke samtykket tilbake i innstillingene for informasjonskapsler. På nettsiden åpnes disse fra Cookiebot-ikonet. Tilbaketrekking stopper ny valgfri innsamling og påvirker ikke lovligheten av behandlingen som skjedde før samtykket ble trukket tilbake.

Hva måler vi med PostHog?

PostHog brukes til å forstå overgangen fra markedsnettsiden til registrering, hvor registreringsløpet faller fra, fullført registrering og gjenbesøk på portalens startside. En registreringskonvertering telles først når avtaleaksepten er lagret. Vi bruker en tilfeldig nettleser-ID og overordnede kategorier for trafikkilde og kanal. Samtykkede besøk fra samme nettleser kan dermed ses i sammenheng. Opplysningene er pseudonyme, ikke anonyme.

Målingen er avgrenset til faste hendelser og side- og stegkategorier. Navn, e-postadresser, kundenumre, skjemaverdier, skyldneropplysninger, kredittopplysninger og innhold fra saker og reskontro inngår ikke i denne PostHog-målingen. Nettleser- og sesjonsidentifikatorer og tekniske forespørselsdata behandles ved kommunikasjon med tjenesten.

Ved en samtykket overgang mellom godkjente Kredin-domener kan den tilfeldige nettleser-ID-en og avgrensede trafikkildekategorier overføres i en kortlivet lenkeparameter. ID-en gir ingen tilgang til kontoen din. Parametrene fjernes når de er lest.

Maskerte opptak

Med nødvendig samtykke bruker vi PostHog til maskerte opptak på utvalgte markedsføringssider og registreringens tre sider. Opptakene viser klikk, scrolling og plassering og størrelse på elementer. Synlig tekst og feltverdier maskeres før overføring. Sideadresser og attributter renses for innhold som ikke skal inngå i opptaket.

Opptak stopper før overgang til private portalsider og ved tilbaketrukket samtykke. Vi tar ikke opp kredittsjekk, saksvisninger eller reskontro. På portalens startside måles bare en avgrenset besøkshendelse; det gjøres ikke opptak der. Konsoll-, nettverksinnholds- og canvasopptak er slått av.

Leverandører og mottakere

PostHog Inc. er Kredins databehandler for den avgrensede analysen og de maskerte opptakene. Cookiebot fra Usercentrics brukes til å innhente og dokumentere samtykkevalg.

Google Tag Manager styrer godkjente tagger. Google Analytics og Google Ads brukes på markedsnettsiden etter samtykke. Google Ads og Meta kan motta en avgrenset registreringskonvertering med markedsføringssamtykke. Annonsetjenestene kan behandle annonse- og nettleseridentifikatorer og tekniske forespørselsdata. Registreringsfeltene og saksinnholdet sendes ikke i konverteringen.

På markedsnettsidene brukes også LinkedIn Insight til annonsemåling og ConvertBox til markedsføringsskjemaer etter samtykke. Disse markedsføringstaggene kjøres ikke inne i kundeportalen.

For øvrig bruker vi leverandører til teknisk drift, e-post, kundestøtte, kundeadministrasjon og regnskap. De får de opplysningene som er nødvendige for oppgaven. Google, Meta og LinkedIn kan også behandle opplysninger som selvstendige behandlingsansvarlige for formål som er beskrevet i deres personverninformasjon. Lovpålagt utlevering kan skje til offentlige myndigheter. Den detaljerte cookieoversikten er tilgjengelig sammen med samtykkeinnstillingene.

Behandlingssteder og overføringer utenfor EØS

Kredins PostHog-prosjekt bruker EU Cloud med prosjektlagring i Tyskland. Avtalen åpner også for behandling i USA og andre land i leverandørkjeden. Den signerte avtalen med PostHog inneholder EUs standard personvernbestemmelser for overføringer (SCC), med Kredin som dataeksportør og PostHog som dataimportør. Avtalen inneholder også PostHogs forpliktelser etter EU-US Data Privacy Framework.

Markedsføringsleverandørene kan behandle opplysninger utenfor EØS, blant annet i USA. Google beskriver bruk av adekvansvedtak, Data Privacy Framework og SCC der det kreves. LinkedIn beskriver Data Privacy Framework og SCC. De konkrete vilkårene og garantiene for de aktuelle tjenestene finnes i leverandørenes informasjon om internasjonale overføringer. Du kan kontakte Kredin for nærmere informasjon og kopi av relevante garantier, med nødvendige sladdinger av fortrolige opplysninger.

Leverandørinformasjon: PostHogs personvernerklæring og underdatabehandleroversikt, Googles rammer for dataoverføringer, Metas personvernerklæring og europeiske overføringsvilkår, og LinkedIns informasjon om overføringer fra EØS.

Hvor lenge oppbevarer vi opplysningene?

Opptak som samles inn med dette oppsettet, lagres i 30 dager. Analysehendelser slettes gjennom en månedlig opprydding etter at de er blitt 24 måneder gamle. Det kan derfor gå frem til neste månedlige opprydding før hendelsene fjernes.

Nettleser-ID-en i informasjonskapselen kredin_journey_v1 lagres i opptil 90 dager per lagring på et domene. En samtykket overgang mellom domener kan starte en ny lagringsperiode på mottakerdomenet. Sletting av informasjonskapselen sletter ikke automatisk hendelser som allerede er samlet inn.

Bruker- og kontaktopplysninger og supporthistorikk beholdes så lenge de er nødvendige for kundeforholdet, oppfølging av henvendelser eller dokumentasjon av avtaler og rettskrav. Opplysningene skal slettes eller anonymiseres når formålet ikke lenger gjør dem nødvendige.

Innloggingslogger i kundeportalen og sentrale applikasjonslogger lagres i 90 dager. Ved en konkret sikkerhetshendelse eller et rettskrav kan nødvendige loggutdrag beholdes lenger, til undersøkelsen og oppfølgingen er avsluttet og dokumentasjonsbehovet har opphørt. Deretter slettes eller anonymiseres utdragene.

Kredins regnskapsbilag oppbevares som hovedregel i fem år etter regnskapsårets slutt, i samsvar med bokføringsregelverket. Dette gjelder ikke automatisk alle brukeropplysninger eller supporthenvendelser.

Nyhetsbrev og annen markedsføring

Nyhetsbrev og annen markedsføring som sendes på grunnlag av samtykke, bygger på artikkel 6 nr. 1 bokstav a. Du kan melde deg av slik kommunikasjon gjennom avmeldingslenken eller ved å kontakte oss. Avmelding stopper ikke nødvendige meldinger om kontoen, avtalen, sikkerheten eller leveransen.

Opplysninger vi behandler på kundens vegne

Kredins kunder er behandlingsansvarlige for personopplysninger de legger inn eller henter gjennom tjenesten til egen kravsoppfølging. Kredin er databehandler og behandler opplysningene etter kundens instrukser og databehandleravtalen. Saks-, skyldner- og kredittopplysninger inngår ikke i den valgfrie PostHog-målingen som er beskrevet her.

Spørsmål om et krav, saksopplysninger eller en kredittsjekk som en kunde har gjennomført, rettes til kunden som er ansvarlig for behandlingen. Kredin bistår kunden med rettighetsforespørsler etter databehandleravtalen. Denne erklæringen endrer ikke kundens eller Kredins plikter etter lov eller avtale.

Dine rettigheter

Du kan kontakte Kredin om innsyn, retting, sletting, begrensning, dataportabilitet og retten til å protestere, der vilkårene for den enkelte rettigheten er oppfylt. Du kan når som helst trekke tilbake samtykke til valgfri behandling.

Du kan protestere mot behandling som bygger på berettiget interesse, av grunner knyttet til din særlige situasjon. Du kan alltid protestere mot bruk av personopplysningene dine til direkte markedsføring. Da skal slik markedsføring opphøre.

Ved en forespørsel om pseudonyme måledata kan vi trenge opplysninger som gjør det mulig å finne den aktuelle nettleser-ID-en. Vi ber bare om det som er nødvendig for å finne opplysningene og bekrefte at forespørselen gjelder deg. Du kan klage til Datatilsynet.

Endringer i erklæringen

Vi oppdaterer personvernerklæringen når behandlingen eller informasjonen endres. Ved vesentlige endringer gir vi informasjon på en egnet måte før ny behandling starter. Dersom endringen krever nytt samtykke, innhenter vi det før behandlingen settes i gang. Oppdatering av denne erklæringen endrer ikke inngåtte kundeavtaler.