Personvernerklæring for KI policy generator

UTKAST – skal kvalitetssikres av jurist før salg

Ansvar og kontakt

Kolbrun Retorikk AS, org.nr. 911 943 123, Bergen, er behandlingsansvarlig for brukerkontoer, tilgangssøknader og drift av tjenesten. Kunden er behandlingsansvarlig for opplysninger om egne ansatte og innhold kunden registrerer; Kolbrun Retorikk AS er databehandler for disse opplysningene. Se databehandleravtalen.

Kontakt: post@kolbrunretorikk.no, +47 920 45 493.

Opplysninger og formål

Vi lagrer konto-e-post, organisasjonsopplysninger og medlemsroller for innlogging og tilgangsstyring. Kunden kan registrere ansatte med navn, e-post og avdeling, lenker til KI-kortet®, kompetansetiltak, verktøy og policytekst. Bekreftelser lagres med policyversjon, tidspunkt, svar og tekst-hash. Invitasjoner og personlige lenker brukes til å gi tilgang og dokumentere bekreftelser.

Tilgangssøknader kan inneholde fakturaadresse, kontaktperson, telefon, referanse og faktura-e-post. Abonnementsdata, dokumentaksept og revisjonslogg brukes til behandling av tilgang og dokumentasjon. IP-adressen hashes ved dokumentaksept; rå IP lagres ikke i akseptloggen. Driftstjenester kan føre egne tekniske logger. [Avklar deres innhold og lagringstid.]

Behandlingsgrunnlag

[Avklar hvilke behandlinger som bygger på avtale, rettslig plikt eller berettiget interesse, og dokumenter interesseavveiingen.] Kunden er ansvarlig for eget behandlingsgrunnlag for ansattopplysninger.

KI ved tekstformulering

Appen bruker Lovable AI Gateway med modellen OpenAI GPT-6 Astra (openai/gpt-6-astra) til policyformulering, offentlig erklæring og forslag til kontrollspørsmål. For intern policy sendes organisasjons- og registergrunnlag, veivisersvar, kompetansegrupper og tiltak, retningslinjer og aggregerte ansattall. Navn på policyansvarlig eller personopplysninger i fritekst kan inngå. Offentlig formulering bruker det avgrensede offentlige grunnlaget, verktøynavn og formål, valgte innstillinger og eventuelle aggregerte kompetansetall. Ved kontrollspørsmål sendes hele den godkjente interne policyteksten, som kan inneholde personopplysninger. Ingen policy godkjennes automatisk av KI.

[Avklar KI-leverandørens lagringstid, behandlingens region, bruk til trening og overføringsgrunnlag. Dette er ikke bekreftet av appens kode.]

Driftsleverandører og andre tjenester

Database og innlogging leveres gjennom Lovable Cloud; publisering/drift er konfigurert gjennom Lovable med Cloudflare som mål. KI-kall går gjennom Lovable AI Gateway til den angitte OpenAI-modellen. Selskapsoppslag sender organisasjonsnummer til Brønnøysundregistrenes åpne API. Nettstedstester bruker Cloudflare DNS-oppslag og henter offentlige nettsider.

Data lagres hos vår driftsleverandør. Vi har ikke bekreftet databasens lagringsregion eller KI-behandlingens region. [Avklar komplett underleverandørliste, avtaler og eventuell overføring utenfor EØS før salg.] Skriftene lastes fra Google Fonts, som mottar tekniske forespørselsopplysninger som IP-adresse.

Informasjonskapsler og lokal lagring

Vi har ikke lagt til analyse eller markedsføringssporing. Appen bruker nødvendig innloggingslagring i nettleserens localStorage for å holde økten aktiv. I redigeringsforhåndsvisning kan innloggingslagringen formidles gjennom Lovable-redigereren.

• localStorage: «valgt-organisasjon» husker valgt organisasjon.
• localStorage: «tema» husker lys/mørk visning.
• localStorage: «ki-offer-[organisasjons-id]» husker at boksen for KI-kortet® er lukket, med en skjult-frist på 30 dager.
• sessionStorage: «kipg-chat» husker en lukket chatbotmerking i gjeldende fane/økt på nettsteder som bruker merkingsscriptet.

Komponentbiblioteket har også kode for informasjonskapselen «sidebar_state» (7 dager) for å huske en lukket sidemeny, men denne sidemenykomponenten er ikke i bruk i appens nåværende sider. Den ble ikke observert ved kontroll av sidene. Nødvendig lagring brukes for innlogging og brukerens visningsvalg; vi har derfor ikke lagt til et samtykkebanner.

Lagringstid og sletting

[Lagringstid for kontoer, kundeinnhold, bekreftelser, søknader, dokumentaksept, kølagte e-poster, sikkerhetskopier og logger må avklares.] Revisjonsloggen er låst mot endring og sletting i appen. Det er ikke implementert en generell automatisk slettefrist for kontoer eller kundeinnhold. Kunden kan eksportere policyer og tilgjengelige oversikter.

Rettigheter

Du kan be om innsyn, retting, sletting eller begrensning der vilkårene er oppfylt, og om dataportabilitet eller protestere der dette gjelder. Kontakt kunden for opplysninger kunden er behandlingsansvarlig for, eller oss for egen konto. Du kan klage til Datatilsynet. [Avklar rutiner, frister og håndtering av opplysninger som må bevares.]

Endringer

Denne erklæringen oppdateres ved vesentlige endringer i behandlingen. [Avklar hvordan brukere varsles.]