Personvernerklæring

1. Behandlingsansvarlig

Skjld Labs AS er behandlingsansvarlig for personopplysninger som behandles i forbindelse med din bruk av Skjld Cloud. Vi følger GDPR (EUs personvernforordning) og norsk personopplysningslov.

Kontakt: personvern@skjldlabs.com

2. Hva vi samler inn

• Kontoopplysninger: navn, e-postadresse, krypterte passord, eventuelt profilbilde fra OAuth-provider (Google, GitHub).
• Innhold du oppretter: sider, databaser, prosjekter, møtenotater, transkripsjoner, oppgaver, kommentarer, opplastet filer.
• Teknisk informasjon: IP-adresse, nettleser, enhetstype, tidsstempler for innlogging og hendelser (audit-log).
• Bruksinformasjon: hvilke funksjoner du bruker, navigasjon i tjenesten (anonymisert/aggregert via Google Analytics hvis aktivert).
• Betalingsinformasjon: faktureringsadresse, MVA-nummer (om relevant). Kortdata håndteres av Stripe og lagres aldri hos oss. Betaler du med Link, mottar vi navn, kontakt- og betalingsinformasjon fra Link i forbindelse med kjøpet (se §6).

3. Formål og rettslig grunnlag

Vi behandler opplysningene for å:

• Levere tjenesten du har bestilt (avtaleoppfyllelse, GDPR art. 6(1)(b))
• Sikre tjenesten og oppdage misbruk (berettiget interesse, art. 6(1)(f))
• Oppfylle lovkrav som bokføring og MVA-rapportering (art. 6(1)(c))
• Sende driftsmeldinger og support-svar
• Forbedre tjenesten basert på aggregert, anonymisert bruksdata

Markedsføring sendes kun dersom du har samtykket eksplisitt — du kan trekke samtykket når som helst.

Behandlingen som knytter seg til selve kjøpet (herunder betaling via Stripe og Link, jf. §6) skjer for å oppfylle abonnementsavtalen (GDPR art. 6(1)(b)) og for å ivareta bokføringsplikten (art. 6(1)(c)).

4. Bruksbegrensninger

Skjld Cloud er ikke godkjent for behandling av spesielle kategorier av personopplysninger (GDPR artikkel 9), personnumre for tredjepart, betalingskortinformasjon eller annen sensitiv informasjon som beskrevet i Tjenesteavtale §3.2.

Brukere som likevel laster opp slikt innhold gjør det helt på eget ansvar. Skjld Labs er ikke behandlingsansvarlig for slikt innhold, og vi kan slette eller anonymisere det uten ytterligere varsel.

5. AI-behandling

Hvis du bruker de innebygde AI-funksjonene for sammendrag og tekstgenerering, sendes relevant tekstinnhold til vår AI-leverandør (OpenAI). Vi sender ikke mer kontekst enn nødvendig.

Vår avtale med leverandørene forbyr dem å trene modeller på dine data. Innholdet behandles for å levere svaret og slettes deretter etter leverandørens retensjonsregler (typisk 30 dager).

6. Deling med tredjeparter

Kjernedata for konto, arbeidsrom og innhold lagres i Skjld Cloud-databasen på Skjld Labs' egne servere i Norge. Følgende eksterne tjenester behandler bare data i den utstrekning den aktuelle funksjonen brukes:

• Cloudflare (proxy, sikkerhet og CDN foran tjenesten; behandler trafikk- og nettverksmetadata i sitt globale edge-nettverk)
• E-postutsending (SMTP-leverandør)
• Betalingsbehandling (Stripe, når betaling aktiveres — inkludert Stripe-eide Link som betalingsmåte, se «Link»-avsnittet nedenfor)
• AI-behandling (OpenAI, når funksjonen brukes)
• Transkripsjon kjøres som standard med lokal Whisper på vår egen infrastruktur. Microsoft Azure Speech er en valgfri fallback og brukes bare når den er valgt eller aktivert.
• Google eller Microsoft (kalender/OAuth når du kobler til en konto), samt den kalenderleverandøren du selv velger ved CalDAV-tilkobling
• Analyse (Google Analytics, hvis aktivert + samtykke)

Alle databehandlere har databehandleravtale (DPA) med oss. Vi selger aldri dine personopplysninger videre.

Link — egen behandlingsansvarlig for Link-kontoen

Vi bruker Stripe til å håndtere abonnementet, og Stripe-eide Link kan da vises som betalingsmåte i kassen. Link er ikke bare en betalingsmetode: når du betaler med Link, opprettes en Link-konto hos Stripe der du kan lagre betalingsmetoder, navn, kontaktinformasjon og transaksjonshistorikk på tvers av selgere som bruker Stripe. For denne Link-kontoen er Stripe/Link selvstendig behandlingsansvarlig etter sin egen personvernerklæring (link.com/privacy) og din egen avtale/samtykke direkte med Stripe — ikke etter denne erklæringen.

Selve kjøpet håndterer vi som behandlingsansvarlig: ved Link-betaling mottar vi navn, kontaktinformasjon og betalingsinformasjon fra Link slik at vi kan levere abonnementet og fakturere deg. Link kan også markedsføre egne Link-tjenester mot deg; det er Stripe/Links markedsføring, ikke vår.

Be om innsyn i, retting av eller sletting av data i Link-kontoen din direkte hos Stripe (privacy@stripe.com, eller innstillingene på app.link.com). Å slette Skjld Cloud-kontoen din sletter ikke Link-kontoen — vi har verken tilgang til eller kontroll over den.

7. Lagringssted og overføring

Kjernedata lagres på Skjld Labs' egne servere i Norge. Trafikk til tjenesten går gjennom Cloudflare, og valgfrie funksjoner kan sende de opplysningene som er nødvendige til de navngitte leverandørene over. Dersom en leverandør behandler data utenfor EU/EØS, bruker vi et gyldig overføringsgrunnlag som standard kontraktsklausuler eller en adekvansbeslutning.

8. Oppbevaringstid

• Kontoinformasjon: så lenge kontoen er aktiv, slettes 30 dager etter du sletter kontoen
• Innhold du har opprettet: så lenge du beholder det — slettes når du sletter det eller kontoen
• Audit-logger: 24 måneder for sikkerhets- og support-formål
• Faktura- og betalingsdata: oppbevares i 5 år etter bokføringsloven
• E-post-logger: 90 dager

9. Dine rettigheter

Etter GDPR har du rett til:

• Innsyn: få kopi av personopplysningene vi har om deg
• Retting: få feilaktige opplysninger korrigert
• Sletting: få opplysningene slettet («retten til å bli glemt»)
• Begrensning: kreve at behandlingen begrenses
• Dataportabilitet: få data i maskinlesbart format
• Protest: mot behandling basert på berettiget interesse
• Trekke samtykke: når som helst, med fremtidig virkning
• Klage: til Datatilsynet (datatilsynet.no)

Send forespørsler til personvern@skjldlabs.com. Vi svarer innen 30 dager.

10. Cookies og sporing

Vi bruker kun strengt nødvendige cookies for å holde deg innlogget og for sikkerhetsformål. Analyse-cookies (Google Analytics) aktiveres kun ved samtykke gjennom cookie-banner.

11. Sikkerhet

Vi tar tekniske og organisatoriske tiltak for å beskytte dataene: HTTPS overalt, bcrypt-hashing av passord, MFA på admin-tilganger, kryptering av sensitive systeminnstillinger, regelmessige sikkerhetsoppdateringer, audit-logging og prinsippet om minste privilegium.

12. Aldersgrense

Skjld Cloud er ikke beregnet for brukere under 16 år. Hvis vi blir oppmerksomme på at en mindreårig har opprettet konto uten foreldres samtykke, sletter vi kontoen.

13. Endringer i personvernerklæringen

Vi kan endre denne erklæringen ved behov. Vesentlige endringer varsles via e-post og med ny aksept-prompt i tjenesten. Mindre endringer (typo-fix, tydeliggjøring) gjøres uten varsel.