Personvernerklæring for Ansattmappa
*Utkast, ikke publisert. Sist oppdatert: [DATO]. Gjennomgås før lansering, og helst av en advokat.*
Ansattmappa (ansattmappa.no) er en nettjeneste der arbeidsgivere lager, lagrer og gjenbruker arbeidsavtaler, arbeidsattester og støttedokumenter. Denne erklæringen forklarer hvilke personopplysninger vi behandler, hvorfor, hvor lenge og hvilke rettigheter du har.
1. Hvem vi er
Massiv Media AS, org.nr. 999 056 679, c/o Knut Eirik Gården, Lerkevegen 36, 6443 Tornes i Romsdal
E-post for personvern: personvern@ansattmappa.no
Vi har ikke personvernombud, og det er heller ikke et krav for virksomheter av vår type og størrelse. Spørsmål om personvern sender du til adressen over.
2. To roller: behandlingsansvarlig og databehandler
Vi har to ulike roller etter personvernforordningen (GDPR):
| Hvem opplysningene gjelder | Vår rolle | Hvem bestemmer |
| Våre kunder: kontaktpersoner, brukere og den som betaler (også innehaveren av et enkeltpersonforetak) | Behandlingsansvarlig (art. 4 nr. 7) | Vi |
| Kundens ansatte og jobbsøkere: opplysninger arbeidsgiveren legger inn i kontrakter, attester og støttedokumenter | Databehandler (art. 4 nr. 8 og art. 28) | Arbeidsgiveren (kunden) |
Når vi er databehandler, behandler vi opplysningene bare etter kundens instruks, slik det står i databehandleravtalen som kunden godtar ved registrering. Er du ansatt hos en av kundene våre og har spørsmål om opplysningene dine, bør du kontakte arbeidsgiveren din først. Se punkt 4.
3. Når vi er behandlingsansvarlig
| Formål | Opplysninger | Behandlingsgrunnlag | Lagringstid |
| Opprette og drifte kundekonto, levere tjenesten | Navn, e-post, telefon (valgfritt), rolle, bedriftsnavn, org.nr., adresse, innloggingsdata | Art. 6 nr. 1 b (avtale) når kunden er et enkeltpersonforetak. Art. 6 nr. 1 f (berettiget interesse i å levere avtalen til bedriften) for kontaktpersoner i AS og andre selskaper | Så lenge kontoen er aktiv, og deretter inntil [6] måneder etter at kundeforholdet er avsluttet |
| Betaling, faktura og regnskap | Fakturaopplysninger, kjøpshistorikk, betalingsstatus. Kortnummer håndteres av Stripe, og vi ser det ikke | Art. 6 nr. 1 c (rettslig plikt etter bokføringsloven) | Bokføringsloven § 13: 5 år etter regnskapsårets slutt for primærdokumentasjon, ellers 3 år og 6 måneder |
| Forhåndsbestilling før lansering (reservasjon uten betaling) | E-post, navn (valgfritt), bedriftsnavn, org.nr., organisasjonsform, adresse og antall ansatte (hentet fra Enhetsregisteret), tidspunkt for bestilling og bekreftelse | Art. 6 nr. 1 b (tiltak du ber om før avtale inngås) | Ubekreftede bestillinger slettes automatisk etter 31 dager. Bekreftede lagres til betalingen åpner og du har kjøpt eller takket nei, og deretter som for kundekonto og betaling over |
| Tjenestemeldinger (kvittering, varsel om fornyelse, endringer i vilkår, viktige lovendringer, påminnelser kunden har bedt om) | E-post, navn | Art. 6 nr. 1 b | Så lenge kundeforholdet varer |
| Kundeservice | Henvendelsen og svaret | Art. 6 nr. 1 f (å kunne hjelpe og dokumentere hva som er avtalt) | [12] måneder etter at saken er avsluttet |
| Sikkerhet, feilsøking og misbruksvern | IP-adresse, tidspunkt, nettleser- og enhetsinformasjon, hendelseslogg | Art. 6 nr. 1 f (å holde tjenesten sikker) | [90] dager, lenger bare hvis et konkret sikkerhetsavvik krever det |
| Markedsføring på e-post | E-post, navn | Til eksisterende kunder om lignende tjenester fra oss: markedsføringsloven § 15 tredje ledd og art. 6 nr. 1 f, med enkel og gratis reservasjon i hver e-post. Til andre: samtykke etter art. 6 nr. 1 a | Til du reserverer deg eller trekker samtykket |
| Statistikk og produktforbedring | Aggregert og anonymisert bruk, for eksempel antall kontrakter per måned | Art. 6 nr. 1 f | Anonymiserte data er ikke personopplysninger |
| Rettslige krav | Relevante opplysninger fra punktene over | Art. 6 nr. 1 f | Så lenge kravet kan gjøres gjeldende |
Vi selger ikke personopplysninger, og vi bruker dem ikke til profilering eller automatiserte avgjørelser med rettsvirkning (art. 22).
4. Når vi er databehandler for arbeidsgiveren
Hva: Opplysninger arbeidsgiveren legger inn om ansatte, tidligere ansatte og kommende ansatte. Det kan være navn, adresse, fødselsdato (valgfritt), stilling, arbeidssted, arbeidstid, lønn og tillegg, start- og sluttdato, prøvetid, ferie, grunnlag for midlertidig ansettelse eller deltid, innholdet i arbeidsattesten og annen tekst i støttedokumenter.
Ansvar: Arbeidsgiveren er behandlingsansvarlig. Det betyr at arbeidsgiveren må ha behandlingsgrunnlag, informere de ansatte og svare på krav fra dem. Grunnlaget vil normalt være arbeidsavtalen (art. 6 nr. 1 b) og arbeidsgiverens plikter etter arbeidsmiljøloven, blant annet §§ 14-5, 14-6, 14-1 b og 15-15 (art. 6 nr. 1 c).
Hva vi gjør: Vi lagrer opplysningene, lager dokumentene og gjør dem tilgjengelige for kunden. Vi bruker dem ikke til egne formål, og vi bruker dem ikke til å trene KI-modeller.
Fødselsnummer: Tjenesten ber ikke om fødselsnummer. Det kan bare brukes når det er saklig behov for sikker identifisering og fødselsnummeret er nødvendig for det (personopplysningsloven § 12). En arbeidsavtale trenger ikke fødselsnummer. Kunden skal heller ikke skrive fødselsnummer eller særlige kategorier av personopplysninger (art. 9), som helseopplysninger eller fagforeningsmedlemskap, i fritekstfelt.
Ansatte som vil bruke rettighetene sine, for eksempel få innsyn, kontakter arbeidsgiveren. Kommer kravet til oss, sender vi det videre til arbeidsgiveren og hjelper til med å svare.
5. Underleverandører (databehandlere og andre mottakere)
Vi bruker leverandører til drift. De behandler personopplysninger på våre vegne etter databehandleravtaler, og når vi er databehandler for kunden, er de underdatabehandlere. Oppdatert liste:
| Tjeneste | Leverandør | Hvor dataene lagres | Rolle |
| Hosting, database, innlogging og fillagring | [LEVERANDØR, f.eks. Lovable Cloud/Supabase eller Softr] | [EU-region, f.eks. Frankfurt] | Underdatabehandler |
| Betaling og abonnement | Stripe ([STRIPE-ENHET, f.eks. Stripe Payments Europe Ltd., Irland]) | EU, med mulig overføring til USA | Databehandler for betalingen. Stripe er også selvstendig behandlingsansvarlig for enkelte formål, for eksempel svindelforebygging og hvitvaskingsregler. Se Stripes personvernerklæring |
| PDF-generering | [LEVERANDØR, f.eks. PDFMonkey] | [EU] | Underdatabehandler |
| E-post (kvitteringer og varsler) | [LEVERANDØR] | [REGION] | Underdatabehandler |
| Elektronisk signering med BankID (valgfritt, senere) | [LEVERANDØR] | [REGION] | Underdatabehandler. BankID-signering innebærer at leverandøren behandler identitetsopplysninger om den som signerer |
| KI-funksjoner i tjenesten (hvis tatt i bruk) | [LEVERANDØR] | [EU-region] | Underdatabehandler. Bare med avtale om at data ikke brukes til trening |
| Konverteringsmåling for annonser (bare etter samtykke, se punkt 9) | Google Ireland Ltd. (Google Ads) | EU, med mulig overføring til USA (DPF) | Google er selvstendig behandlingsansvarlig for egne formål |
| Statistikk på nettsiden (bare etter samtykke, se punkt 9) | Seline (seline.com) | EU/USA (se leverandørens personvernerklæring) | Databehandler |
| Forhåndsbestilling på nettsiden (lagring og e-post med bekreftelseslenke) | Cloudflare, Inc. (Workers KV og Email Service) | Cloudflares globale nettverk, med mulig overføring til USA (DPF og EUs standardkontraktsbestemmelser) | Databehandler |
| Regnskap | [REGNSKAPSSYSTEM/REGNSKAPSFØRER] | [REGION] | Databehandler |
6. Overføring ut av EU/EØS
Vi lagrer og behandler personopplysninger i EU/EØS når det er mulig. Overføres opplysninger til land utenfor EU/EØS, for eksempel til USA gjennom en underleverandør, skjer det bare med gyldig overføringsgrunnlag etter kapittel V i GDPR. Det kan være EUs adekvansbeslutning for USA (EU–US Data Privacy Framework) for sertifiserte selskaper, eller EUs standardkontraktsbestemmelser (art. 46). *Merk: Adekvansbeslutningen ble opprettholdt av EU-domstolen (Retten) 3. september 2025, men saken er anket (C-703/25 P). Det må følges med på.*
7. Sikkerhet
Vi beskytter opplysningene i tråd med art. 32. Det gjelder blant annet kryptering under overføring og lagring, at hver kunde bare ser egne data (tilgangsstyring på kundenivå), tofaktorinnlogging for administratorer, logging, sikkerhetskopier og minst mulig intern tilgang. Ved et brudd på personopplysningssikkerheten varsler vi Datatilsynet innen 72 timer når det kreves (art. 33). Når vi er databehandler, varsler vi kunden uten ugrunnet opphold.
8. Dine rettigheter
Du har rett til innsyn (art. 15), retting (art. 16), sletting (art. 17), begrensning (art. 18), dataportabilitet (art. 20) og til å protestere mot behandling som bygger på berettiget interesse eller er direkte markedsføring (art. 21). Har du gitt samtykke, kan du trekke det tilbake når som helst. Vi svarer innen én måned (art. 12 nr. 3). Du kan klage til Datatilsynet (datatilsynet.no), men vi setter pris på om du kontakter oss først.
9. Informasjonskapsler (cookies) {#informasjonskapsler}
Etter ekomloven § 3-15, som gjelder fra 1. januar 2025, må vi ha samtykke før vi lagrer eller leser informasjon på enheten din. Unntaket er når det er strengt nødvendig for en tjeneste du har bedt om. Samtykket må oppfylle kravene i GDPR.
Slik gjør vi det på ansattmappa.no:
- Første gang du besøker siden, spør vi om du godtar informasjonskapsler for statistikk og annonsemåling. «Godta» og «Avslå» er like store og like enkle å velge, og ingenting er forhåndsvalgt.
- Ingenting fra Google eller Seline lastes før du har trykket «Godta». Velger du «Avslå» eller lar banneret stå, sendes ingenting til Google eller Seline.
- Vi bruker Google Consent Mode v2, og alle samtykketyper står som «avslått» til du har godtatt.
- Valget ditt lagres i nettleseren din (localStorage, nøkkel
am_samtykke_v1) i 12 måneder, slik at vi ikke spør på hver side. Etter 12 måneder spør vi på nytt. - Du kan når som helst endre eller trekke tilbake samtykket med lenken «Informasjonskapsler» nederst på hver side. Trekker du det tilbake, sletter vi Google-informasjonskapslene vi kan slette fra nettstedet.
| Navn | Leverandør | Formål | Lagringstid | Samtykke? |
am_samtykke_v1 (localStorage) | Ansattmappa | Husker valget ditt i banneret | 12 måneder | Nei, strengt nødvendig |
am_konv_* (localStorage) | Ansattmappa | Hindrer at samme kjøp måles to ganger på takkesiden | Til du sletter nettleserdata | Bare satt etter samtykke |
_gcl_au, _gcl_aw m.fl. | Google Ireland Ltd. (Google Ads) | Måle om et klikk på annonsen vår førte til forhåndskjøp (konverteringsmåling) | Inntil 90 dager | Ja |
| Seline (script fra cdn.seline.com) | Seline | Måle besøk og sidevisninger på nettsiden | Se Selines personvernerklæring | Ja |
| Informasjonskapsler i Stripe Checkout (checkout.stripe.com) | Stripe | Betaling, sikkerhet og svindelforebygging | Se Stripes erklæring om informasjonskapsler | Nei, strengt nødvendig for betalingen du har bedt om |
Hva Google får ved samtykke: at en annonse ble klikket, sidevisning og at et kjøp ble fullført, med kjøpets verdi (490 kr) og en tilfeldig ordre-ID fra Stripe. Vi sender ikke navn, e-post eller betalingsopplysninger til Google. Vi bruker ikke Google Analytics og ikke annonsepersonalisering ut over konverteringsmålingen. Google kan behandle opplysninger i USA. Se punkt 6 og Googles personvernerklæring (policies.google.com/privacy).
Hva Seline får ved samtykke: sidevisninger og tekniske opplysninger om besøket (for eksempel nettleser og sideadresse), for å lage statistikk over bruken av nettsiden. Vi sender ikke navn, e-post eller betalingsopplysninger til Seline. Se Selines personvernerklæring (seline.com/privacy).
Behandlingsgrunnlag: samtykke (ekomloven § 3-15 og GDPR art. 6 nr. 1 a).
Forhåndsbestilling: Når du søker opp bedriften din i skjemaet, slår vi opp i Enhetsregisteret (data.brreg.no) via vår egen server. Sender du skjemaet, lagrer vi bedriftsopplysningene og e-postadressen din hos Cloudflare og sender en e-post med en bekreftelseslenke. Forhåndsbestillingen er gyldig først når du har bekreftet. Bekrefter du ikke, slettes opplysningene automatisk etter 31 dager. IP-adressen din brukes kortvarig (inntil én time) for å hindre misbruk av skjemaet, og lagres ikke sammen med bestillingen. Vi bruker e-postadressen til å sende bekreftelseslenken og si fra når betalingen åpner og tjenesten lanseres. Du kan be oss slette forhåndsbestillingen når som helst.
10. Endringer
Vi oppdaterer erklæringen ved behov. Vesentlige endringer varsler vi kunder om på e-post før de trer i kraft.
11. Kontakt
Massiv Media AS, c/o Knut Eirik Gården, Lerkevegen 36, 6443 Tornes i Romsdal, personvern@ansattmappa.no
Kilder brukt i arbeidet (fjernes før publisering)
- Datatilsynet, *Hvordan lage en databehandleravtale*: https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/hvordan-lage-en-databehandleravtale/
- Datatilsynet, *Behandlingsansvarlig og databehandler*: https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/behandlingsansvarlig-og-databehandler/konsekvensene-av-om-det-foreligger-et-databehandleroppdrag-eller-ikke/
- Datatilsynet, *Fødselsnummer*: https://www.datatilsynet.no/rettigheter-og-plikter/personopplysninger/fodselsnummer/ og personopplysningsloven § 12: https://lovdata.no/nav/lov/2018-06-15-38/kap3
- Datatilsynet, *Samtykke til bruk av informasjonskapsler*: https://www.datatilsynet.no/personvern-pa-ulike-omrader/internett-og-apper/bruk-av-informasjonskapsler-og-andre-sporingsteknologier/ og ekomloven § 3-15: https://lovdata.no/dokument/NL/lov/2024-12-13-76/
- Datatilsynet, *EU-domstolen opprettholder adekvansbeslutningen for USA* (2025): https://www.datatilsynet.no/aktuelt/aktuelle-nyheter-2025/eu-domstolen-opprettholder-adekvansbeslutningen-for-usa/
- Bokføringsloven § 13: https://lovdata.no/nav/lov/2004-11-19-73/%C2%A713
- Markedsføringsloven § 15: https://lovdata.no/dokument/NL/lov/2009-01-09-2
- Personvernforordningen (GDPR), norsk tekst: https://lovdata.no/dokument/NL/lov/2018-06-15-38