Personvernerklæring

Denne erklæringen forklarer hvordan Flexibemanning AS, org.nr. 931 015 737, Årvollskogen 103, 1529 Moss («vi»), behandler personopplysninger. Den gjelder nettsiden flexikompetanse.no («nettsiden») og portalen Flexikompetanse på app.flexikompetanse.no («portalen»). Se også vilkårene og databehandleravtalen.

1. Hvem som er ansvarlig

Når en bedrift bruker portalen til opplysninger om sine egne ansatte, er bedriften behandlingsansvarlig og vi er databehandler. Da gjelder databehandleravtalen, og det er bedriften som avgjør hva som registreres og hvor lenge det lagres.

Vi er selv behandlingsansvarlig for opplysninger om kundenes kontaktpersoner og brukere som trengs for å levere portalen, for fakturering og avtaler, for henvendelser til oss og for besøk på nettsiden. Det er dette denne erklæringen dekker.

Tjenesten er laget for arbeidsgivere og deres ansatte. Den er ikke rettet mot barn.

2. Hvilke opplysninger vi behandler, og hvor de kommer fra

• Brukerkonto: navn, e-postadresse, rolle, valgt språk og innloggingsinformasjon. Brukere opprettes av kundens administrator eller av oss, og brukeren fyller selv inn passord. Passord lagres bare som en enveis hash, aldri i klartekst.
• Tofaktorpålogging: en hemmelig nøkkel som brukes til å kontrollere engangskoder.
• Tilgangslogg og sikkerhet: innlogginger, mislykkede innloggingsforsøk, viktige handlinger i portalen, tidspunkt og IP-adresse.
• Feillogg: tekniske opplysninger når noe går galt på serveren, for eksempel hvilken side som ble brukt.
• Kunde og avtale: bedriftens navn, organisasjonsnummer, kontaktperson, valgt pakke og fakturagrunnlag.
• Henvendelser: det du skriver til oss på e-post eller sier på telefon, og hvem du er.
• Varsler: meldinger portalen sender til brukere på e-post, og på telefon hvis portalens app er i bruk.

Opplysninger om kundens ansatte (HR, fravær, timer, kurs, HMS og dokumenter) og alt annet innhold kunden selv legger inn eller laster opp, behandler vi bare på vegne av kunden. Kunden er ansvarlig for det innholdet. Se databehandleravtalen.

Nettsiden har ingen innlogging, ingen skjemaer, ingen analyseverktøy og ingen sporing. Vi samler ikke inn opplysninger om deg når du leser den. Vertsleverandøren som leverer sidene kan registrere tekniske opplysninger som IP-adresse, tidspunkt og hvilken side som ble hentet i sine serverlogger. (Forslag, må bekreftes.)

3. Formål, rettslig grunnlag og hvor lenge vi lagrer

• Levere portalen og oppfylle avtalen med kunden (personvernforordningen artikkel 6 nr. 1 b). Brukerkontoer lagres så lenge kundeforholdet varer, og slettes når kunden fjerner brukeren eller når kundeforholdet er avsluttet og dataene er slettet etter punkt 6.
• Sikkerhet, feilsøking og å hindre misbruk (berettiget interesse, artikkel 6 nr. 1 f). Tilgangsloggen slettes automatisk etter 12 måneder. Registreringer om at en kunde er opprettet eller slettet beholdes som dokumentasjon. Mislykkede innloggingsforsøk slettes etter 30 dager, og utløpte økter og lenker for nytt passord slettes automatisk. Feilloggen slettes automatisk etter 90 dager.
• Varsler i portalen: leste varsler slettes etter 180 dager og uleste etter 365 dager.
• Fakturering og regnskap (rettslig forpliktelse, artikkel 6 nr. 1 c). Regnskapsmateriale oppbevares så lenge bokføringsloven krever, i dag inntil fem år etter regnskapsårets slutt. (Forslag, må bekreftes.)
• Svare på henvendelser (berettiget interesse, artikkel 6 nr. 1 f). Henvendelser som ikke fører til et kundeforhold, slettes senest 12 måneder etter siste kontakt. (Forslag, må bekreftes.)

Vi bruker ikke opplysningene til markedsføring, profilering eller automatiserte avgjørelser, og vi sender ikke nyhetsbrev.

4. Informasjonskapsler

Nettsiden setter ingen informasjonskapsler. Portalen bruker bare kapsler som trengs for at den skal virke, og ingen til analyse eller reklame:

• «sesjon»: holder deg innlogget. Nødvendig. Kan ikke leses av skript i nettleseren. Varer i 14 dager, eller 10 minutter mens tofaktorkoden ventes, og slettes når du logger ut.
• «sprak»: husker hvilket språk du har valgt. Varer i ett år.
• «tema»: husker om du har valgt lyst eller mørkt utseende. Varer i ett år.

Når du fyller ut flere nye ansatte på én gang, lagres utkastet midlertidig i nettleseren (sessionStorage), så det ikke går tapt hvis noe feiler. Det slettes når skjemaet er sendt og når fanen lukkes. Kursvideoer vises i en spiller fra videoleverandøren vår (se vedlegg B i databehandleravtalen). Hvilke kapsler spilleren selv setter, er ikke kontrollert ennå. (Forslag, må bekreftes.)

5. Underleverandører og hvor opplysningene behandles

Vi bruker underleverandører til drift av server og database, e-postutsending, kursvideo og eventuelt varsler til telefon. Hvem de er og hva de gjør, står i vedlegg B til databehandleravtalen. Portalen driftes hos Hostinger med server i Litauen, der databasen, de opplastede filene og portalens egne krypterte sikkerhetskopier ligger. Hostingers egne sikkerhetskopier lagres i Frankrike. Begge land er i EU/EØS. Mer står i vedlegg C. Hvis en underleverandør behandler opplysninger utenfor EU/EØS, skjer det bare med gyldig overføringsgrunnlag etter personvernforordningen kapittel V.

Internt har bare de av våre ansatte som trenger det for å drifte eller gi support, tilgang til opplysningene. Viktige handlinger logges i tilgangsloggen.

6. Sletting

Når en kunde sier opp, kan kundens administrator laste ned alle bedriftens data fra portalen, også etter at abonnementet har gått ut. Når kunden ber om det, eller senest 90 dager etter at avtalen er avsluttet (Forslag, må bekreftes.), sletter vi bedriften med alle brukere, ansatte, filer og logger som hører til den. Slettingen kan ikke angres. Opplysningene forsvinner deretter fra portalens egne sikkerhetskopier etter hvert som de blir erstattet, normalt innen 16 dager, se vedlegg C i databehandleravtalen.

Vil du at vi skal slette opplysninger vi selv er ansvarlige for, skriver du til kontakt@flexikompetanse.no. Vi bekrefter at vi har mottatt henvendelsen, sjekker at den kommer fra deg, og svarer senest innen én måned. Vi forteller deg hva som er slettet, og hva vi eventuelt må beholde fordi loven krever det.

7. Sikkerhet

Vi beskytter opplysningene med tilgangsstyring per rolle, tofaktorpålogging for administratorer, passord som bare lagres som hash, kryptert overføring (HTTPS) og en kryptert sikkerhetskopi av databasen hver sjette time. Tofaktornøklene og sikkerhetskopiene er kryptert med AES-256. Øvrige opplysninger i databasen er ikke kryptert felt for felt. Mer står i vedlegg C i databehandleravtalen.

8. Dine rettigheter

Du har rett til innsyn, retting, sletting og begrensning av behandlingen, rett til å protestere mot behandling som bygger på berettiget interesse, og rett til dataportabilitet der det gjelder. Bygger en behandling på samtykke, kan du når som helst trekke det tilbake. Du kan klage til Datatilsynet.

Gjelder det opplysninger om deg som ansatt, retter du henvendelsen til arbeidsgiveren din, som er behandlingsansvarlig. Vi hjelper arbeidsgiveren med å svare. For opplysninger vi er ansvarlige for, kontakter du oss.

9. Endringer

Vi oppdaterer erklæringen når behandlingen endres. Datoen øverst viser siste versjon. Ved vesentlige endringer varsler vi kundenes administratorer i portalen eller på e-post før endringen gjelder.

10. Kontakt

Flexibemanning AS, Årvollskogen 103, 1529 Moss. E-post kontakt@flexikompetanse.no, telefon +47 402 80 400. Vi har ikke utnevnt et eget personvernombud. (Forslag, må bekreftes.)