Personvernerklæring

Sakspilot er et arbeidsverktøy for selvstendig næringsdrivende. Vi samler kun data du selv legger inn, samt teknisk metadata for at appen skal fungere.

• ✅ All data lagres i EU (Neon, Frankfurt)
• ✅ Ingen tracking-cookies - analytics uten samtykke-krav (Umami)
• ✅ Full innsyn og slette-rett innebygget i appen (Innstillinger → Sikkerhet)
• ✅ AI-funksjoner er valgfrie og merket tydelig

Sakspilot v/Helene Åsheim Grønberg
ENK, org.nr. (oppgis ved første betalende kunde)
E-post: helene@helene.cloud
Adresse: Norge

1. Kontoinformasjon

Navn, e-postadresse, kryptert passord, organisasjonsnavn, brukerrolle.

2. Innhold du legger inn

Klienter du registrerer (navn, organisasjonsnummer, kontaktinfo), prosjekter (tittel, beskrivelse, frister, status), milepæler, klistrelapper, matching-regler for tidsregistrering, og tidsregistreringer (varighet, vindustittel, applikasjonsnavn).

3. E-post-data (hvis du kobler til Outlook)

Hvis du aktiverer Outlook-integrasjonen, leser vi metadata om innkommende e-poster: avsender, mottaker, emne og første 200 tegn av brødteksten. Vi sender aldri e-poster på dine vegne.

4. Teknisk metadata

IP-adresse (kun for sikkerhet/rate-limiting, ikke lagret langsiktig), nettleserversjon, tidssone, og audit-logg over endringer i kontoen din.

5. AI-prompts (hvis du bruker AI-assistenten)

Når du klikker «Oppsummer prosjekt» eller «Skriv epost-utkast», sender vi den relevante prosjekt-konteksten (tittel, status, milepæler, eventuell klientnavn) til Anthropic Claude. Se eget avsnitt om AI-bruk under.

Vi behandler personopplysninger på følgende grunnlag (GDPR art. 6):

• Avtale (art. 6.1.b) - for å levere tjenesten du har registrert deg for
• Berettiget interesse (art. 6.1.f) - for sikkerhet, feilretting, og produktforbedring uten å påvirke dine rettigheter
• Samtykke (art. 6.1.a) - for valgfrie funksjoner som Outlook-integrasjon og AI-assistent
• Lovkrav (art. 6.1.c) - for regnskapsdata som må oppbevares iht. bokføringsloven (5 år)

All data lagres på servere i EU/EØS:

• Neon Postgres - Frankfurt, Tyskland (kunde-, prosjekt- og tidsdata)
• Render - Frankfurt, Tyskland (API-host, ingen vedvarende lagring)
• Vercel - global CDN for statiske ressurser (ingen personopplysninger)
• Umami Cloud - EU (anonym analytics)
• Microsoft Graph - EU eller annet område avhengig av din 365-tenant

Unntak: Anthropic Claude (AI) er hostet i USA. Se eget avsnitt.

Vi bruker følgende databehandlere som behandler personopplysninger på våre vegne:

* Anthropic behandler kun det du eksplisitt sender via AI-funksjonene. Standard 30-dagers retention; vi søker om Zero Data Retention.

Databehandleravtale (DPA) med hver leverandør er på plass. Du kan be om innsyn ved å sende e-post til helene@helene.cloud.

Sakspilot tilbyr valgfrie AI-funksjoner som bruker Anthropic Claude. Når du klikker «Oppsummer prosjekt», «Skriv epost-utkast» eller stiller et fritekst-spørsmål, sender vi følgende til Anthropic:

• Prosjekt-tittel, status, beskrivelse
• Milepæler og frister
• Klientens navn (firmanavn - for at AI-en skal kunne tilpasse tonen)
• Tidsstatistikk (totaltimer, ikke detaljer)
• Din spørsmål-tekst

PII-minimisering - hva Anthropic IKKE får:

• Klient-eposter eller telefonnumre
• Dine matching-regler for tidsregistrering
• E-post-innhold fra Outlook
• Tidsregistreringer-detaljer (vindustittel, appname)
• Informasjon om andre prosjekter enn det du jobber med
• Personnumre, fødselsdato, eller andre identifikatorer

Retention: Anthropic beholder prompts i opptil 30 dager for «trust & safety»-vurdering. Vi har søkt om Zero Data Retention og er i dialog med Anthropic. Data brukes ikke til å trene modellene (kontraktsfestet i Anthropic Commercial Terms).

Lokasjon: Anthropic Claude er hostet i USA. Dataoverføring er regulert av Standard Contractual Clauses (SCC) iht. GDPR art. 46.

Du kan deaktivere AI-funksjoner helt ved å la dem være - alle andre funksjoner i Sakspilot fungerer uten AI.

Sakspilot Desktop er en valgfri Windows-app som logger hvilket vindu du har aktivt hvert 15. sekund. Den ser:

• ✅ Vindustittel (f.eks. «Bygdøy 12 - rammetillatelse.docx - Word»)
• ✅ Applikasjonsnavn (f.eks. «WINWORD.EXE»)
• ✅ Filsti hvis et dokument er åpent
• ✅ Tidsstempel

Den ser IKKE: skjermbilder, tastetrykk, innhold av dokumenter, nettleserhistorikk, eller andre brukeres aktivitet.

Vindustitler kan inneholde klient-navn fra dokumenter - det regnes som personopplysninger. Vår behandling baseres på berettiget interesse: selvstendig næringsdrivende trenger korrekt tidsføring per prosjekt for fakturering.

Du kan stoppe agenten når som helst via tray-menyen og slette all logget tid fra Innstillinger → Sikkerhet.

Du har følgende rettigheter under GDPR:

• Innsyn (art. 15): Last ned all din data som JSON i appen (Innstillinger → Sikkerhet → Eksporter mine data)
• Sletting (art. 17): Slett kontoen din direkte i appen. Alle relasjoner cascades - ingenting beholdes utover audit-logg (12 mnd) og fakturahistorikk (5 år, lovpålagt).
• Korrigering (art. 16): Du kan redigere all egen-lagt data direkte i appen
• Begrensning (art. 18): Kontakt oss for å midlertidig fryse behandling
• Dataportabilitet (art. 20): JSON-eksporten er strukturert og maskinlesbar
• Innsigelse (art. 21): Du kan deaktivere AI-funksjoner og Outlook-integrasjon når som helst

Henvendelser besvares innen 30 dager. Send til helene@helene.cloud.

Klagerett: Du kan klage til Datatilsynet.

Sakspilot bruker kun nødvendige cookies for å holde deg innlogget (httpOnly session-cookie). Ingen tracking-cookies, ingen tredjeparts-annonsesystemer.

Vi bruker Umami Cloud for analytics, som er GDPR-vennlig: ingen cookies, kun anonyme aggregater (sidevisninger per dag, hvilke land, generelle bruksmønstre). Vi ser ikke hvem som har gjort hva.

Vi tar sikkerhet seriøst:

• HTTPS overalt (TLS 1.3+), HSTS-preload
• Passord lagres som bcrypt-hash (12 rounds)
• JWT-tokens kan invalideres globalt (logg-ut-alle-enheter)
• Database-passord rotert og kun i hemmelighetsstore (aldri i kode)
• Content Security Policy + X-Frame-Options + andre HTTP-headere
• Rate-limiting på alle skrive- og AI-endepunkter
• Audit-logg per skrivehandling
• OAuth refresh-tokens kryptert (AES-256-GCM) i database

Hvis du oppdager en sårbarhet, send e-post til helene@helene.cloud med emne «Security report». Vi setter pris på ansvarlig disclosure.

Vi kan oppdatere denne erklæringen ved nye funksjoner eller endrede leverandører. Du varsles via e-post ved vesentlige endringer (f.eks. ny databehandler eller endret rettslig grunnlag) minst 30 dager før endringen trer i kraft.

Mindre endringer (formuleringer, klargjøringer) publiseres med oppdatert dato øverst på denne siden.

Spørsmål om personvern, ønske om innsyn, eller henvendelser om denne erklæringen:

E-post: helene@helene.cloud
Postadresse: Helene Åsheim Grønberg, Norge
Responstid: Innen 5 virkedager