Personvernerklæring

1. Hvem vi er

Tidvara (Tidvara (sole proprietorship, Norway)) leverer en AI-bookingassistent til timebaserte bedrifter. Kontakt: tidvara.app@gmail.com.

2. Våre to roller

• Behandlingsansvarlig: for kontodata til bedriftene som registrerer seg hos oss, besøkende på nettsiden og personer som kontakter oss.
• Databehandler: for personopplysninger om bedriftens egne kunder (for eksempel de som chatter med assistenten eller booker time). Bedriften er behandlingsansvarlig, og vi behandler dataene kun etter dokumenterte instrukser i vår databehandleravtale.

3. Hva vi samler inn

• Kontodata: navn, e-post, bedriftsnavn, tidssone, språk og kryptert (hashet) passord.
• Betalingsdata: abonnementsstatus og betalingsreferanser fra betalingsleverandøren. Vi ser eller lagrer aldri fullstendige kortnumre.
• Kontaktskjema: navn, e-post, eventuelt bedriftsnavn og meldingen din.
• Assistent- og bookingdata (som databehandler): chatmeldinger, navn og kontaktinformasjon kunden oppgir ved booking, og timedetaljer.
• Tekniske data: sikkerhetslogger og nødvendige informasjonskapsler for innlogging og språkvalg.

4. Formål og rettslig grunnlag

• Levere tjenesten du har registrert deg for (avtale, GDPR art. 6 nr. 1 b).
• Svare på henvendelser (samtykke, art. 6 nr. 1 a; kan trekkes tilbake når som helst).
• Sikkerhet, misbruksforebygging og revisjonslogger (berettiget interesse, art. 6 nr. 1 f).
• Oppfylle bokføringsplikt (rettslig forpliktelse, art. 6 nr. 1 c).

5. AI-behandling

Kundemeldinger sendes til AI-leverandøren kun for å lage et svar. Etter leverandørens kommersielle API-vilkår brukes ikke inndata og utdata til å trene modellene. Vi bruker aldri kundedata til å trene AI-modeller. Assistenten sier alltid at den er en AI.

6. Underleverandører

Vi bruker følgende leverandører. Oppdatert liste kan alltid fås ved forespørsel.

• Supabase — database og innlogging. Data lagres i Stockholm, Sverige (EU).
• Vercel — hosting av nettsiden og serverfunksjoner.
• Anthropic — AI-modell (Claude API), USA. Mottar kun chatmeldingene som trengs for å lage et svar; brukes ikke til trening.
• Resend — transaksjonelle e-poster (bekreftelser og påminnelser), sendt fra EU (Irland).
• Stripe — abonnementsbetaling. Kortopplysninger går direkte til Stripe og når aldri oss.
• Google — kalenderintegrasjon, kun når bedriften kobler til Google Kalender. Tilgangsnøkkelen lagres kryptert.
• Arbeidsflytautomatisering (selvdriftet n8n) — starter kun planlagte jobber og lagrer ikke kundedata.

6a. Overføring utenfor EØS

Noen leverandører (for eksempel Anthropic og deler av Google og Stripe) er basert i USA. Slike overføringer bygger på garantiene i leverandørenes databehandlervilkår, for eksempel EUs standard personvernbestemmelser (SCC).

7. Lagringstid

• Kontodata: så lenge kontoen finnes, deretter slettet innen 30 dager etter avslutning.
• Kontaktmeldinger: inntil 12 måneder.
• Chatsamtaler: som standard inntil 180 dager, kan justeres av bedriften.
• Regnskapsdata: så lenge bokføringsloven krever.

8. Dine rettigheter

Du kan be om innsyn, retting, sletting, begrensning, dataportabilitet og protestere mot behandling. Er du kunde av en bedrift som bruker Tidvara, kontakt bedriften først; vi bistår dem. Du kan klage til Datatilsynet.

9. Sikkerhet

Hver bedrifts data er isolert på databasenivå med radnivåsikkerhet, forbindelser er kryptert, nøkler lagres kun på serveren, og viktige kontohendelser logges.