Personvernerklæring

Denne personvernerklæringen beskriver hvordan vi behandler personopplysninger i forbindelse med nettstedet og tjenesten Livioris (registrering, innlogging, bruk av applikasjonen).

Behandlingsansvarlig (GDPR art. 13 nr. 1 bokstav a)

BYOM AS, representert ved Karin Gutenbrunner Byom (daglig leder), Skjoldenveien 9, 1832 Askim, Norge. Org.nr: 937 698 208. E-post: karin@byom.com. Telefon: +47 473 82 740.

1. Personvern i et nøtteskall

Generell informasjon

Følgende opplysninger gir en enkel oversikt over hva som skjer med dine personopplysninger når du besøker dette nettstedet. Personopplysninger er alle data som du kan identifiseres med.

2. Datainnsamling på dette nettstedet

Hvilke data samles inn?

Ved registrering: e-postadresse, passord (lagret hashet), valgfritt navn. Ved bruk: innloggingsdata, innhold du oppgir (klienter, avtaler, protokoller m.m.), tekniske loggdata (IP-adresse, tidspunkt, handlinger uten klientinnhold).

3. Formål og rettslig grunnlag

Formål: tilrettelegging av tjenesten, oppfyllelse av avtale, teknisk stabilitet og sikkerhet. Ingen videresendelse til markedsføring. Rettslig grunnlag: avtale (GDPR art. 6 nr. 1 bokstav b) for registrering og bruk; berettiget interesse (GDPR art. 6 nr. 1 bokstav f) for tekniske logger og sikkerhetstiltak; samtykke (GDPR art. 6 nr. 1 bokstav a) der det uttrykkelig innhentes. Livioris behandler alle personopplysninger i samsvar med GDPR og østerriksk personvernlov (DSG 2018).

4. Taushetsplikt

Som plattform for livs- og sosialveiledere er Livioris underlagt særlig strenge personvernkrav. Alle klientdata lagres kryptert og er underlagt lovbestemt taushetsplikt jf. østerriksk næringslov (GewO § 119 pkt. 4). Livioris behandler personopplysninger på vegne av brukerne som databehandler i henhold til GDPR art. 28. Ved registrering vil en databehandleravtale (DPA) i henhold til GDPR art. 28 bli forelagt deg for aktiv bekreftelse. Gjeldende DPA er tilgjengelig til enhver tid på /avv.

5. Lagringstid

Kontodata: så lenge kontoen din eksisterer og deretter bare der lovlig oppbevaring kreves. Tekniske logger (IP, tidsstempler): automatisk sletting etter 90 dager. Faktura- og betalingsdata: 7 år (BAO § 132). Veiledningsinnhold du oppgir: til sletting av deg eller sletting av kontoen — ingen varig lagring utover din bruk. Merknad for livs- og sosialveiledere: dokumentasjonsretningslinjene fra det østerrikske sosialdepartementet anbefaler en oppbevaringstid på minst 10 år for veiledningsdokumentasjon. Denne forpliktelsen ligger hos veilederen, ikke hos Livioris som programvareoperatør.

6. Dine rettigheter

Du har følgende rettigheter etter GDPR art. 15–22 til enhver tid: innsyn i dine lagrede personopplysninger, deres opprinnelse, mottakere og formålet med behandlingen; retting av uriktige data; sletting (rett til å bli glemt); begrensning av behandlingen; dataportabilitet; rett til å protestere mot behandlingen. Forespørsel per e-post til: karin@byom.com.

7. Informasjonskapsler og sporing

Livioris bruker teknisk nødvendige øktinformasjonskapsler som er nødvendige for drift av applikasjonen (autentisering, språkvalg). I tillegg brukes Sentry (Functional Software Inc., USA) for feilovervåking og tjenestestabilitet. Sentry behandler tekniske feildata som stakkspor og anonymiserte bruksdata. Ingen reklamesporere eller markedsføringsinformasjonskapsler brukes. Rettslig grunnlag for Sentry: berettiget interesse (GDPR art. 6 nr. 1 bokstav f) i teknisk stabilitet og feildiagnose. Tredjelandsoverføring: Sentry Inc. med base i USA — dataoverføring på grunnlag av standardkontraktklausuler (SCC jf. GDPR art. 46).

8. Varsler

Livioris tilbyr en varselfunksjon i appen. Formål: informasjon om avtaler, klienttildelinger, milepæler (f.eks. praksistimer). Mottakere: bare du som innlogget rådgiver. Lagringstid: til manuell sletting av deg eller kontosletting. Valgfritt: e-postvarsler (bare med uttrykkelig samtykke via innstillinger). Rettslig grunnlag: GDPR art. 6 nr. 1 bokstav b (oppfyllelse av avtale) for varsler i appen; art. 6 nr. 1 bokstav a (samtykke) for e-postvarsler. Metadata: varsler inneholder ingen personlige klientdata, bare ID-er (f.eks. avtale-ID, klientkode).

9. Tjenesteleverandører og databehandlere

Livioris bruker følgende tjenesteleverandører for drift av plattformen:

Render Inc. (USA): hosting av server, database og nettgrensesnitt, serverplassering Frankfurt (Tyskland, EU). Databehandleravtale inngått. Tredjelandsoverføring: standardavtaleklausuler jf. GDPR art. 46 og EU-US Data Privacy Framework jf. GDPR art. 45 (Render sertifisert siden 6. januar 2025).

Supabase Inc. (USA): database og autentisering, dataplassering eu-west-1 (Irland, EU). Databehandleravtale inngått. Tredjelandsoverføring: standardavtaleklausuler jf. GDPR art. 46.

Brevo (Sendinblue SA, Frankrike, EU): utsendelse av transaksjons-e-poster. Databehandleravtale inngått. Brevo selv har sitt sete innenfor EU. Om og hvilke underdatabehandlere Brevo bruker utenfor EU, er under vurdering (UKJENT: undersøkelse nødvendig, fullstendig underdatabehandlerliste foreligger ikke ennå).

Sentry (Functional Software Inc., USA): feilovervåking og stabilitetsmonitorering, ingen klientinnhold berørt. Databehandleravtale inngått. Tredjelandsoverføring: standardavtaleklausuler jf. GDPR art. 46.

Stripe Payments Europe, Ltd. (Irland, EU) og Stripe Inc. (USA): betalingsbehandling og abonnementsforvaltning, PCI-DSS-sertifisert. Databehandleravtale inngått. Tredjelandsoverføring: standardavtaleklausuler jf. GDPR art. 46 nr. 2 bokstav c (modul 2) og EU-US Data Privacy Framework jf. GDPR art. 45.

Google Ireland Ltd. eller Google LLC (USA): OAuth-innlogging og valgfri synkronisering med Google Calendar (se avsnitt 11). For OAuth-innlogging: behandling utført av Google Ireland Ltd. innenfor EU, ingen tredjelandsoverføring. For kalendersynkronisering: Google LLC er sertifisert under EU-US Data Privacy Framework, overføring jf. GDPR art. 45. Ved forretningskontoer hos Google (Workspace) er Google databehandler i henhold til GDPR art. 28, databehandleravtale foreligger. Ved private Google-kontoer (f.eks. gmail.com) er Google selvstendig behandlingsansvarlig etter egne vilkår, ingen databehandleravtale med BYOM AS.

OVH SAS (Frankrike, EU): forvaltning av krypteringsnøkler (key management service) for å beskytte dine personopplysninger lagret hos Livioris. OVH har ingen tilgang til det dekrypterte innholdet. Dataplassering Frankrike (EU), ingen tredjelandsoverføring.

GitHub Inc. (Microsoft, USA): versjonskontroll av kildekode. Ingen klientdata i kodearkivet, ingen personopplysninger involvert.

Alle tjenesteleverandører er kontraktsfestet til å behandle dine data utelukkende etter våre instrukser og i samsvar med GDPR. Ingen videresendelse til tredjeparter for markedsføringsformål.

10. Bruk av KI (kunstig intelligens)

Livioris bruker KI-drevne funksjoner for å forbedre brukeropplevelsen og støtte utviklings- og kvalitetssikringsprosesser. KI-bruk omfatter: kodegenerering og -gjennomgang (GitHub Copilot, OpenAI/Anthropic APIer) – utelukkende for utvikling, ingen klientdata berørt. Dokumentasjons- og tekstforslag (valgfritt, bare på brukerforespørsel) – behandling er pseudonymisert, ingen lagring av KI-leverandører (null-data-bevaring-modeller der mulig). Formål: effektivisering, feilreduksjon, kvalitetssikring. Ingen automatiserte avgjørelser om klientdata eller veiledningsinnhold. Rettslig grunnlag: berettiget interesse (GDPR art. 6 nr. 1 bokstav f) for intern utvikling; samtykke (art. 6 nr. 1 bokstav a) for valgfrie tekstforslag. Merk: fra sommeren 2026 gjelder strengere transparenskrav for KI-bruk (AI Act). Vi holder deg informert om endringer.

11. Synkronisering med Google Calendar

Livioris tilbyr valgfri synkronisering med Google Calendar for å forenkle din daglige praksisadministrasjon. Det finnes ingen integrasjon med Google Drive.

Livioris kan opprette og oppdatere avtaler (f.eks. klientøkter) direkte i din Google Calendar. Formål: sentralisert avtaleoversikt uten dobbeltføringer. Vi bruker det begrensede omfanget calendar.events, noe som betyr at Livioris bare har tilgang til kalenderhendelser opprettet gjennom denne funksjonen, ikke til hele Google-kalenderen din.

Dataminimering: avtaler vises i Google-kalenderen din utelukkende pseudonymisert, med klientens fornavn og første bokstav i etternavnet samt et nøytralt merke (f.eks. «Avtale», «Nettavtale») i stedet for fullt navn. Notater, diagnoser, klientens e-postadresse og interne ID-er overføres ikke.

Hvis du importerer din private Google-kalender til Livioris, brukes denne importen utelukkende til din personlige visning i applikasjonen. Importerte private avtaler knyttes ikke til klientjournaler og vurderes ikke innholdsmessig. Ved full import av din private Google-kalender kan avtaler som inneholder data om tredjepersoner også vises, for eksempel dersom andre personer er registrert i din private kalender. Også disse dataene brukes utelukkende til din personlige visning og knyttes ikke til klientjournaler eller vurderes innholdsmessig.

Rettslig grunnlag: forbindelsen mellom Livioris og Google-kontoen din er basert på ditt samtykke, gitt via Googles samtykkeskjerm (OAuth 2.0) og ved å aktivere den tilhørende kalenderklausulen i våre generelle vilkår. For klientdata som overføres til Google-kalenderen din gjennom denne funksjonen, er du som veileder behandlingsansvarlig i henhold til GDPR art. 4 nr. 7. Du er forpliktet til å innhente og dokumentere uttrykkelig samtykke fra hver berørte klient før du aktiverer denne funksjonen (GDPR art. 6 nr. 1 bokstav a jf. art. 9 nr. 2 bokstav a). Livioris behandler disse dataene som din databehandler (GDPR art. 28), ikke som selvstendig behandlingsansvarlig.

Googles rolle: bruker du en forretningskonto hos Google (Google Workspace), behandler Google dataene dine som databehandler i henhold til GDPR art. 28, og en tilhørende databehandleravtale mellom Google og deg foreligger. Bruker du i stedet en privat Google-konto (f.eks. gmail.com), behandler Google dataene dine som selvstendig behandlingsansvarlig etter egne forbrukervilkår; i så fall foreligger det ingen databehandleravtale mellom Livioris og Google for kalenderdataene som Google behandler. Begge kontotyper er tillatt hos Livioris.

Tilbaketrekking: du kan når som helst tilbakekalle Livioris' tilgang til Google-kontoen din på https://myaccount.google.com/permissions. Etter tilbaketrekking kan Livioris ikke lenger få tilgang til Google Calendar. Oppføringer som allerede er opprettet i Google Calendar, forblir til du selv sletter dem.

Ingen KI-trening: dine Google Calendar-data brukes ikke til KI- eller maskinlæringstrening.

Tredjelandsoverføring: behandlingen utføres av Google Ireland Ltd. eller Google LLC (USA). Google LLC er sertifisert under EU-US Data Privacy Framework, slik at overføringen er basert på en adekvansbeslutning fra EU-kommisjonen (GDPR art. 45). Dette gjelder uavhengig av om du bruker en privat eller en forretningskonto hos Google.

Klage til tilsynsmyndighet

Du har rett til å klage til en personverntilsynsmyndighet. Ansvarlig tilsynsmyndighet for behandlingsansvarlig: Datatilsynet (Norge), https://www.datatilsynet.no. For brukere bosatt i Østerrike: Østerriksk datavern­myndighet (DSB), https://www.dsb.gv.at.

Kilde: Forordning (EU) 2016/679 (GDPR), EUR-Lex. Ikke juridisk rådgivning.