Personvernerklæring

Versjon 1.0 · Gjelder fra 6. september 2026

Sist oppdatert 15. september 2026: Anthropic lagt til som leverandør for den valgfrie KI-assistenten (punkt 4 og 9).

Denne erklæringen forklarer hvordan DriftFlow behandler personopplysninger, hvem som er ansvarlig for hva, og hvilke rettigheter du har. Den er skrevet etter personvernforordningen (GDPR) artikkel 13 og 14 og personopplysningsloven.

1. Hvem som er ansvarlig

DriftFlow leveres av [FYLL INN foretaksnavn], org.nr [FYLL INN org.nr], [FYLL INN forretningsadresse] («DriftFlow», «vi»).

Kontakt for alle personvernspørsmål: support@driftflow.no. Vi har ikke plikt til å ha personvernombud og har ikke utnevnt et.

2. To roller: dette må du vite først

DriftFlow er et verktøy håndverksbedrifter bruker for å dokumentere jobber, føre timer og sende fakturaer. Derfor opptrer vi i to ulike roller:

DriftFlow som behandlingsansvarlig. For opplysninger om deg som har en brukerkonto (ansatt eller eier i en håndverksbedrift) og om kundeforholdet mellom bedriften og oss, bestemmer vi formål og midler. Punkt 3 til 6 gjelder dette.

DriftFlow som databehandler. For opplysninger håndverksbedriften registrerer om sine egne kunder, byggeiere, kontaktpersoner og personer som melder avvik, er bedriften behandlingsansvarlig. Vi behandler disse opplysningene bare etter bedriftens instruks og etter databehandleravtalen. Punkt 7 gjelder dette. Er du kunde av en håndverksbedrift som bruker DriftFlow, skal du henvende deg til bedriften for innsyn og sletting. Vi hjelper bedriften med å svare.

3. Opplysninger vi behandler om deg som bruker

Ved registrering sender systemet en intern melding til DriftFlows eier med firmanavn, ditt navn og e-postadresse og/eller telefonnummer, slik at vi kan følge opp nye kunder. Grunnlaget er berettiget interesse i å drive virksomheten (art. 6 nr. 1 f).

Vi behandler ikke særlige kategorier av personopplysninger (art. 9) om brukere, og vi tar ingen automatiserte avgjørelser med rettsvirkning.

Å oppgi navn, e-postadresse eller telefonnummer, og passord er nødvendig for å inngå avtalen. Uten det kan vi ikke opprette en konto. Velger du telefonnummer uten e-post, får du ingen e-post fra oss, og glemt passord må løses av firmaets administrator eller support.

4. Hvem vi deler opplysningene med

Vi selger aldri personopplysninger. Vi bruker disse underleverandørene, som behandler data på våre vegne under databehandleravtaler:

Samtalene dine med KI-assistenten lagres i DriftFlow knyttet til brukeren din, slik at assistenten husker sammenhengen i samtalen og slik at firmaet kan se forbruket. De slettes når firmaet slettes, og er med i firmaets dataeksport.

Ut over dette utleverer vi opplysninger bare når loven krever det, for eksempel til politi eller Datatilsynet.

5. Hvor lenge vi lagrer

Lovpålagt oppbevaring går foran sletting. Håndverksbedriften har etter bokføringsloven § 13 plikt til å oppbevare fakturaer og regnskapsgrunnlag i 5 år. Dokumentasjon av utført arbeid (FDV, bilder, kravlister) skal normalt følge bygget og oppbevares så lenge reklamasjons- og garantifrister løper. Derfor: når en person ber om sletting, slettes eller anonymiseres kontaktopplysningene, mens fakturaer og arbeidsdokumentasjon beholdes så lenge loven krever det. Det er beskrevet i punkt 7.

6. Dine rettigheter som bruker

Du har rett til innsyn i opplysningene vi har om deg (art. 15), retting (art. 16), sletting (art. 17), begrensning (art. 18), dataportabilitet (art. 20) og til å protestere mot behandling som bygger på berettiget interesse (art. 21).

Slik bruker du rettighetene:

• Innsyn og portabilitet: Under Innstillinger i DriftFlow kan du laste ned opplysningene vi har om deg som JSON. Firmaets administrator kan laste ned alt firmaets innhold.
• Retting: Endre navn, e-postadresse, telefonnummer og passord under Innstillinger (endring av e-post og telefon krever passordet ditt, og den gamle e-posten får beskjed). Firmaets administrator kan også rette e-post og telefon, sette nytt passord og slå av tofaktor for ansatte i firmaet.
• Sletting: Firmaets administrator kan slette brukeren din. Navnet ditt på kravpunkter du har markert utført beholdes som del av dokumentasjonen, fordi det er nødvendig for firmaets rettslige forpliktelser (art. 17 nr. 3 b). Timeføringene dine beholdes som firmaets regnskapsgrunnlag, men kobles fra brukerkontoen.
• Alle andre henvendelser: send e-post til support@driftflow.no, eller bruk skjemaet for innsyn og sletting. Vi svarer senest innen 30 dager.

Du kan klage til Datatilsynet, Postboks 458 Sentrum, 0105 Oslo, datatilsynet.no, hvis du mener vi behandler opplysningene dine i strid med regelverket. Vi setter pris på om du kontakter oss først.

7. Når DriftFlow er databehandler

Håndverksbedriften registrerer opplysninger om:

• Sine kunder: navn, organisasjonsnummer, kontaktperson, e-post, telefon, adresse, notater.
• Bygg og byggeiere: adresse, e-postadressen rapporter er sendt til.
• Jobber: tittel, beskrivelse, kravpunkter med kommentarer, bilder tatt under arbeidet (ofte i private hjem), PDF-vedlegg, hvem som utførte hva.
• Avvik: navn og e-post til den som melder avvik via byggets QR-lenke, beskrivelse av avviket.
• Fakturaer, timer, serviceavtaler og FDV-data.

For disse er bedriften behandlingsansvarlig. Vi lagrer og viser opplysningene for bedriften, sender e-post og lager PDF-er på bedriftens vegne, og gjør ingenting annet med dem. Bedriften avgjør hva som registreres og hvor lenge det beholdes.

Sletting på forespørsel fra en privatperson. Bedriften kan anonymisere en kunde i DriftFlow. Da fjernes navn, kontaktperson, e-post, telefon, adresse og notater fra kunderegisteret. Fakturaer beholdes med kundens navn og adresse som lukket arkiv i 5 år etter bokføringsloven. Bilder og dokumentasjon av utført arbeid beholdes knyttet til bygget, fordi bedriften trenger dem for reklamasjonsansvar og FDV-plikt. Bedriften kan slette bilder og jobber manuelt når oppbevaringsgrunnen faller bort.

Deling med byggeier. Bedriften kan sende en dokumentasjonsrapport til byggeier og lage en delelenke. Lenken er 48 tilfeldige tegn, er merket for ikke å indekseres av søkemotorer, og kan byttes ut slik at gamle lenker slutter å virke. Den som har lenken ser rapporten med bilder. Bedriften bestemmer hvem som får lenken.

8. Sikkerhet

• All trafikk er kryptert med HTTPS. Innloggingscookien er HttpOnly, SameSite=Lax og Secure.
• Passord lagres som scrypt-hash. Tofaktor-hemmeligheter lagres kryptert.
• Hvert firmas data er isolert: alle databasespørringer filtreres på innlogget firma, og databasen har radnivåsikkerhet aktivert på alle tabeller.
• Bilder og dokumenter ligger i et privat fillager. Nedlasting skjer via signerte lenker som er gyldige i 60 sekunder.
• Innlogging sperres i 15 minutter etter 5 mislykkede forsøk per e-postadresse eller telefonnummer og 30 per IP-adresse.
• Alle 500-feil logges og varsles til oss, slik at vi oppdager problemer raskt.
• Ved brudd på personopplysningssikkerheten varsler vi berørte firmaer innen 48 timer og Datatilsynet innen 72 timer der loven krever det.

9. Overføring til land utenfor EØS

Dataene dine lagres og kjøres i Tyskland. Tre av leverandørene våre, Supabase, Vercel og Anthropic, er amerikanske selskaper. Anthropic behandler forespørslene til KI-assistenten i USA. Det betyr at personell i USA i prinsippet kan få tilgang ved feilsøking og support, og at Vercels globale nettverk ruter trafikken. Overføringsgrunnlaget er EU-kommisjonens standardavtaler (SCC) som inngår i leverandørenes databehandleravtaler, og for Vercel i tillegg sertifisering under EU-US Data Privacy Framework. Du kan be om kopi av avtalene ved å kontakte oss.

10. Cookies og lagring i nettleseren

DriftFlow bruker bare nødvendige cookies og trenger derfor ikke samtykke etter ekomloven § 2-7b. Vi bruker ingen sporing, analyse eller markedsføringscookies. Se cookie-oversikten.

11. Endringer

Vi oppdaterer denne erklæringen når tjenesten eller leverandørene endres. Vesentlige endringer varsles i tjenesten eller på e-post minst 30 dager før de gjelder. Versjonsnummer og dato står øverst.