Denne erklæringen beskriver hvordan Referansio.no behandler personopplysninger i tråd med personvernforordningen (GDPR), personopplysningsloven og retningslinjer fra Datatilsynet.

1. Behandlingsansvarlig

Referansio er en tjeneste eid og drevet av WebViking.No – Gawin (org.nr. 933 842 266), som er behandlingsansvarlig for personopplysninger som samles inn gjennom tjenesten på referansio.no.

Postadresse: WebViking.No – Gawin, c/o Referansio, Oslo, Norge
Personvernhenvendelser: referansio@webviking.no
Databehandleravtale (DPA): referansio@webviking.no
Generell kontakt: referansio@webviking.no

Vi har ikke et eget personvernombud (DPO), da behandlingen ikke utløser krav om dette etter GDPR art. 37. Personvernhenvendelser besvares av daglig leder.

2. Hvilke kategorier personopplysninger behandler vi?

2.1 Rekrutterer (kontoinnehaver)

Navn, e-post, firmanavn, telefon
Påloggingsdata og hashet passord (via Supabase Auth)
Faktureringsdata (håndteres av Stripe — vi lagrer kun customer ID)
Bruksstatistikk og hendelseslogger (sikkerhet og feilsøking)

2.2 Kandidat (lagt inn av rekrutterer)

Navn, stilling, eventuelle notater fra rekrutterer
Vi behandler kun navn og stilling — ingen sensitive opplysninger (GDPR art. 9)

Rekruttereren er ansvarlig for å innhente kandidatens samtykke før referansesjekk igangsettes (jf. arbeidsmiljøloven og GDPR art. 6).

2.3 Referent

Navn, e-post, telefon (lagt inn av kandidat eller rekrutterer)
Skriftlige svar og strukturerte vurderinger
Ved AI-stemmesamtaler (kun Premium AI-plan): lydopptak, transkripsjon og AI-generert sammendrag. Referent får tydelig beskjed ved samtalestart om at samtalen utføres av AI og spilles inn — se AI-bruk.

2.4 Tekniske data

IP-adresse (hashet ved samtykke-logging og rate limiting)
Nettleser, operativsystem (User-Agent)
Tidspunkt for handlinger (sikkerhetslogger, oppbevares i 12 måneder)

3. Formål og rettslig grunnlag (GDPR art. 6)

Formål	Kategori data	Rettslig grunnlag
Levere SaaS-tjenesten (konto, dashboard)	Rekrutterer	Avtale, art. 6(1)(b)
Gjennomføre referansesjekk	Kandidat, referent	Samtykke fra kandidat innhentet av rekrutterer, art. 6(1)(a) (jf. Datatilsynets veiledning 2022)
AI-stemmesamtaler (Bland.ai)	Referent	Samtykke fra referent ved samtalestart, art. 6(1)(a) — kan avbryte når som helst
Fakturering og regnskap	Rekrutterer	Rettslig forpliktelse, art. 6(1)(c) — bokføringsloven
Sikkerhet, misbruksdeteksjon, logger	Tekniske data	Berettiget interesse, art. 6(1)(f)
Nyhetsbrev (markedsføring)	E-post	Samtykke, art. 6(1)(a) — kan trekkes når som helst
Analyse av tjenestebruk	Aggregerte tekniske data	Samtykke (cookies), art. 6(1)(a)

4. Mottakere og databehandlere

Vi deler personopplysninger med følgende underdatabehandlere:

Supabase — database, autentisering, fillagring (EU, Frankfurt — AWS).
Stripe Payments Europe Ltd. — betalingsbehandling (EU, med dataoverføring til USA under SCC).
Resend — transaksjonelle e-poster og nyhetsbrev (EU).
Bland.ai — AI-stemmesamtaler (kun ved Premium AI-plan, USA — SCC).

Komplett liste over underdatabehandlere er tilgjengelig i Databehandleravtalen. Endringer varsles minst 30 dager i forveien.

5. Overføring utenfor EØS

Hovedlagring skjer i EU (Frankfurt). Enkelte underdatabehandlere (Stripe, Bland.ai) kan behandle data i USA. Overføringen skjer på grunnlag av:

EU-kommisjonens Standardklausuler (SCC 2021/914)
EU-US Data Privacy Framework (der leverandøren er sertifisert)
Tilleggsbeskyttelse: kryptering under transport (TLS 1.3) og i hvile (AES-256)

6. Lagringstid

Konto rekrutterer: så lenge kontoen er aktiv. Slettes innen 30 dager etter sletteforespørsel.
Kandidat- og referansedata: automatisk anonymisering etter 12 måneder uten aktivitet (daglig kjørt jobb i databasen).
Lydopptak (AI-samtaler): 60 dager, med 7-dagers varsling før sletting.
Transkripsjon og AI-sammendrag: så lenge tilhørende kandidatdata oppbevares.
Faktureringsdata: 5 år (bokføringsloven § 13).
Sikkerhetslogger: 12 måneder.
Samtykke-logg (legal_acceptances): oppbevares så lenge kontoen eksisterer + 3 år etter sletting (bevis for samtykke).
Nyhetsbrev: til avmelding eller 24 måneder uten åpning.
Support-saker (tickets, meldinger og vedlegg): 6 måneder etter at saken er markert løst, deretter automatisk sletting (daglig kjørt jobb).

7. Dine rettigheter (GDPR art. 15–22)

Rett til innsyn — få kopi av personopplysninger vi har om deg.
Rett til retting — korrigere uriktige opplysninger.
Rett til sletting («rett til å bli glemt»).
Rett til begrensning — pause behandling under tvist.
Rett til dataportabilitet — få utlevert dine data i maskinlesbart format.
Rett til å motsette seg behandling basert på berettiget interesse.
Rett til å trekke samtykke — når som helst, uten at det påvirker tidligere behandling.
Rett til ikke å være underlagt automatiserte avgjørelser — vi tar ingen automatiserte ansettelsesbeslutninger.

Send forespørsel til referansio@webviking.no. Vi besvarer innen 30 dager (kan forlenges med 60 dager ved komplekse forespørsler, jf. art. 12(3)).

8. Klagerett til Datatilsynet

Du har rett til å klage til Datatilsynet hvis du mener vi behandler dine personopplysninger i strid med regelverket. Kontakt:

Postadresse: Datatilsynet, Postboks 458 Sentrum, 0105 Oslo
Nettside: datatilsynet.no

9. Sikkerhet

Vi har innført tekniske og organisatoriske tiltak for å sikre dine data: AES-256-kryptering i hvile, TLS 1.3 under transport, Row-Level Security i databasen, prinsippet om minste privilegier, automatisk varsling ved unormal aktivitet, og 72-timers brudd-varsling (GDPR art. 33). Mer detaljer: Sikkerhet.

10. Informasjonskapsler (cookies)

Vi bruker kun strengt nødvendige cookies som standard. Analytiske og markedsførings-cookies krever ditt samtykke (ekomloven § 2-7b). Se Informasjonskapsel-erklæringen for full liste og hvordan du administrerer samtykke.

11. Endringer

Vesentlige endringer i denne erklæringen varsles via e-post og i appen minst 30 dager før ikrafttredelse. Tidligere versjoner er tilgjengelige på forespørsel.

Personvernerklæring