Personvernerklæring

1. Innledning og formål

Compli AS («vi», «oss», «Compli») er opptatt av å beskytte personopplysningene til alle som bruker våre tjenester. Denne personvernerklæringen forklarer hvilke personopplysninger vi samler inn, hvorfor vi samler dem inn, hvordan vi bruker dem, og hvilke rettigheter du har.

Erklæringen gjelder for:

• Besøkende på complinorge.no
• Brukere av Compli-plattformen (appen)
• Kontaktpersoner hos våre kunder og leverandører
• Leverandørkontakter som mottar spørreskjema via Compli

Vi behandler personopplysninger i samsvar med Personopplysningsloven og EUs personvernforordning (GDPR), forordning (EU) 2016/679.

2. Hvem vi behandler personopplysninger om

3. Hvilke personopplysninger vi samler inn

3.1 Systembrukere i Compli-plattformen

• Fullt navn og e-postadresse (via Clerk — vår autentiseringsleverandør)
• Rolle og tilgangsnivå i systemet
• Logg over innlogginger og aktivitet i systemet
• Innhold brukeren aktivt deler i Nano AI-samtaler (se punkt 5) — Nano ser kun det brukeren skriver inn
• Innhold i dokumenter brukeren aktivt laster opp i Dokumenter-modulen (se punkt 6)

3.2 Leverandørkontakter

• E-postadresse til kontaktperson — brukes til å sende spørreskjema og purringer
• Leverandørnavn, organisasjonsnummer og handelsbeløp foregående år — importert via Excel av kunden
• Svar på egenerklæringsskjema dersom spørreskjema sendes ut — kun dersom kunden benytter denne funksjonen

3.3 Besøkende på complinorge.no

• IP-adresse og nettleserinformasjon (via informasjonskapsler)
• Sider besøkt og tid brukt på sidene
• Informasjon fra kontaktskjema (navn, e-post, melding)

3.4 Potensielle kunder

• Navn, stilling og e-postadresse
• Virksomhetsnavn og org.nr.
• Notater fra møter og samtaler

4. Behandlingsgrunnlag og formål

Vi behandler personopplysninger basert på følgende grunnlag etter GDPR artikkel 6:

5. Nano AI-assistent — særskilte vilkår

Nano er Complis innebygde AI-assistent, drevet av Anthropic PBC (USA). Nano gir brukerne mulighet til å stille spørsmål om lover, standarder og compliance, generere dokumenter og analysere systemdata.

Hva vi lagrer:

• Nano ser kun det brukeren aktivt skriver inn i chatvinduet. Nano henter ikke automatisk data fra andre deler av systemet uten at brukeren eksplisitt ber om det eller deler det i samtalen.
• Samtalene er tilgjengelige for Complis interne team for feilsøking, kvalitetssikring og produktforbedring
• Samtalene deles med Anthropic PBC i forbindelse med API-kallet, men Anthropic benytter ikke kundedata til opplæring av sine modeller

Behandlingsgrunnlag:

Avtale (art. 6.1.b) — Nano-tjenesten er en integrert del av Compli-abonnementet. Lagring for produktforbedring skjer på grunnlag av berettiget interesse (art. 6.1.f).

Oppbevaringstid:

Nano-samtaler lagres i 12 måneder fra samtaledato, deretter slettes de automatisk.

Råd til brukerne:

Nano-samtaler lagres av Compli AS med tidsstempel og bruker-ID for feilsøking og produktforbedring. Vi anbefaler at brukere ikke deler sensitive personopplysninger, forretningshemmeligheter eller taushetsbelagte opplysninger i Nano-samtaler utover det som er nødvendig for å få bistand.

6. Dokumenter-modulen

Brukere kan laste opp egne dokumenter (prosedyrer, policyer, rapporter, kontrakter m.m.) til Compli. Disse dokumentene benyttes av Nano for å gi kontekstuell assistanse.

• Dokumenter lagres kryptert hos Cloudinary Ltd. (USA) med tilgangskontroll per bruker og virksomhet
• Kun brukere med riktig rolle i virksomhetens Compli-konto har tilgang til dokumentene
• Dokumenter slettes automatisk når de fjernes av brukeren, eller ved avslutning av abonnementet
• Kunden er ansvarlig for at opplasting av dokumenter ikke krenker tredjeparts rettigheter eller taushetsplikt

7. Informasjonskapsler (cookies)

Vi bruker informasjonskapsler på complinorge.no. Du kan administrere dine valg i cookie-banneret ved første besøk.

Du kan når som helst trekke tilbake samtykke til analytiske og markedsføringskapsler ved å gå til Innstillinger → Personvern i Compli-appen, eller ved å slette informasjonskapslene i nettleseren din.

8. Deling av personopplysninger med tredjepart

Vi deler ikke personopplysninger med tredjepart utover det som er nødvendig for å levere tjenesten. Følgende underleverandører behandler personopplysninger på vegne av oss:

SCC = Standard Contractual Clauses vedtatt av EU-kommisjonen. DPF = EU–US Data Privacy Framework. Vi krever at alle underleverandører behandler personopplysninger i samsvar med GDPR og inngåtte databehandleravtaler.

9. Overføring til land utenfor EU/EØS

Noen av våre underleverandører er lokalisert utenfor EU/EØS (primært USA). Overføring skjer kun basert på gyldige overføringsmekanismer etter GDPR kapittel V:

• Standard Contractual Clauses (SCC) vedtatt av EU-kommisjonen (beslutning 2021/914)
• EU–US Data Privacy Framework (DPF) — for leverandører som er sertifisert under denne ordningen

Vi gjennomfører Transfer Impact Assessments (TIA) for overføringer til tredjeland for å sikre tilstrekkelig beskyttelsesnivå.

10. Oppbevaringstid

Vi lagrer personopplysninger bare så lenge det er nødvendig for formålet de ble samlet inn for, eller så lenge loven krever det.

11. Dine rettigheter

For å utøve dine rettigheter, kontakt oss på hei@complinorge.no. Vi svarer innen 30 dager. Forespørsler er gratis, med mindre de er åpenbart grunnløse eller overdrevne.

Dersom du mener vi behandler opplysningene dine i strid med regelverket, kan du klage til Datatilsynet:

• Nettside: www.datatilsynet.no
• Telefon: 22 39 69 00
• Post: Datatilsynet, Postboks 458 Sentrum, 0105 Oslo

12. Informasjonssikkerhet

Vi har implementert tekniske og organisatoriske tiltak for å beskytte personopplysninger mot uautorisert tilgang, tap, endring og ødeleggelse:

• Kryptering av data i overføring (TLS 1.2+) og lagring
• Rollebasert tilgangskontroll — kun ansatte med tjenstlig behov gis tilgang
• Tofaktorautentisering for alle interne systemer
• Automatiske sikkerhetskopier av databasen
• Loggføring av all systemaktivitet med tidsstempel
• Regelmessige sikkerhetsvurderinger og penetrasjonstesting
• Taushetsplikt for alle ansatte og konsulenter med tilgang til personopplysninger
• Prosedyre for avvikshåndtering med varsling til Datatilsynet innen 72 timer ved brudd

13. Barn

Compli-plattformen er ikke beregnet for personer under 18 år. Vi samler ikke bevisst inn personopplysninger om barn. Dersom vi blir oppmerksomme på at vi har mottatt opplysninger om barn, vil vi slette disse umiddelbart.

14. Endringer i personvernerklæringen

Vi kan oppdatere denne erklæringen ved vesentlige endringer i hvordan vi behandler personopplysninger. Vesentlige endringer varsles via e-post til registrerte brukere og/eller gjennom et varsel i Compli-appen senest 30 dager før de trer i kraft. Gjeldende versjon er alltid tilgjengelig på complinorge.no/personvern. Dato for siste oppdatering fremgår av forsiden av dette dokumentet.

15. Kontakt og ansvarlig

For spørsmål om personvern, utøvelse av rettigheter eller klager, kontakt oss: