Utkast – ikke gjennomgått av jurist. Versjon 457a79ecc336.
Personvernerklæring for NorCRM
UTKAST – må gjennomgås av jurist før bruk
Del A er NorCRM-leverandørens egen erklæring (for nettsted, salg, support). Del B er en mal kunden kan tilpasse til sin egen personvernerklæring. Felter i [hakeparenteser] fylles ut. Dokumentet er ikke juridisk rådgivning.
Del A – NorCRM som leverandør og databehandler
1. Hvem er ansvarlig? [Selskapsnavn AS], org.nr [___], [adresse], personvernkontakt: [e-post]. Vi har to roller:
- Behandlingsansvarlig for opplysninger om våre egne kunder og kontaktpersoner (avtaler, fakturering, support, markedsføring).
- Databehandler for opplysninger kunden registrerer i sin NorCRM-instans (kundens kunder, ansatte, pasienter, gjester osv.). Der er kunden behandlingsansvarlig og vi behandler kun etter databehandleravtalen og dokumenterte instrukser.
2. Hva vi behandler som behandlingsansvarlig. Kontaktpersoners navn, e-post, telefon, stilling; avtale- og faktureringsopplysninger; supporthenvendelser; teknisk driftsinformasjon (tidspunkt for feil, IP-adresse i serverlogg). Formål og grunnlag: gjennomføre avtalen (art. 6 nr. 1 b), rettslig forpliktelse som bokføring (c), berettiget interesse i sikker drift, support og kundepleie (f). Markedsføring til bedrifter etter markedsføringsloven §15 og eventuelt samtykke.
3. Hva vi behandler som databehandler. Det kunden selv legger inn. Hva systemet lagrer per bransje er beskrevet i behandlingsoversikten. Vi bruker ikke slike data til egne formål, og analyserer ikke innholdet.
4. Mottakere og underleverandører. [Hostingleverandør, land/region], [leverandør for e-post/SMTP som kunden selv kobler til], [SMS-leverandør, f.eks. Twilio – kun hvis kunden kobler til], [leverandør for sikkerhetskopier]. Oppdatert liste i databehandleravtalens vedlegg. Overføring utenfor EØS: [ingen / beskriv + overføringsgrunnlag, f.eks. SCC].
5. Lagringstid. Kundedata i instansen: så lenge avtalen varer, deretter slettet innen [30] dager etter opphør etter kundens valg (utlevering først). Sikkerhetskopier: opptil [14 dager daglige, 8 uker ukentlige, 12 måneder månedlige] – slettes ut etter rotasjon. Regnskapsmateriale: 5 år (bokføringsloven) [verifiser]. Serverlogg: [90] dager.
6. Dine rettigheter. Innsyn, retting, sletting, begrensning, dataportabilitet, innsigelse, og å trekke samtykke (art. 15–21). Henvend deg til [e-post]. Hvis du er sluttbruker hos en kunde av oss: kontakt kunden først; vi bistår dem. Du kan klage til Datatilsynet (datatilsynet.no).
7. Sikkerhet. Dataene lagres i en avskilt instans per kunde (egen database). Passord lagres hashet. Tilgang styres av roller. Transport over HTTPS. Sikkerhetskopier [krypteres]. Se databehandleravtalens vedlegg for tekniske og organisatoriske tiltak.
8. Informasjonskapsler. Kun en nødvendig sesjonscookie – se «Cookie og sporing».
9. Endringer. Vi varsler vesentlige endringer til kontaktperson og på [nettsted]. Sist oppdatert: [dato].
Del B – Mal for kundens egen personvernerklæring
(Kunden = virksomheten som bruker NorCRM. Tilpass til faktisk bruk, bransje og lagringstider. Behandlingsoversikten viser hva NorCRM lagrer.)
1. Behandlingsansvarlig: [Virksomhet], org.nr [___], [adresse], kontakt: [e-post/telefon]. Personvernombud (hvis aktuelt): [navn].
2. Hvilke opplysninger vi behandler om deg og hvorfor
| Formål | Opplysninger | Rettslig grunnlag | Lagringstid |
|---|---|---|---|
| Levere tjenesten / avtale (bestilling, booking, oppdrag) | Navn, kontaktinfo, [bransjespesifikke opplysninger, f.eks. kjøretøy, behandlingstime, reservasjon] | Avtale (art. 6 nr. 1 b) | [Så lenge kundeforholdet varer + ___] |
| Regnskap og bokføring | Fakturaer, betalinger | Rettslig forpliktelse (c) | 5 år [verifiser] |
| Kundeoppfølging, påminnelser, bekreftelser | Navn, e-post, telefon, historikk | Avtale / berettiget interesse (f) | [___] |
| Markedsføring og nyhetsbrev | Navn, e-post/telefon, samtykke | Samtykke (a) / eksisterende kunde (ekomloven §2-7b) | Til du trekker samtykket |
| [Helse-/journalopplysninger – kun helsebransje] | [Journal, helseopplysninger] | Art. 9 nr. 2 h + helsepersonelloven | [Lovpålagt, f.eks. 10 år etter siste behandling – verifiser] |
| [Kontroll av identitet/hvitvasking – kun omfattede bransjer] | [ID-kontroll, KYC] | Rettslig forpliktelse (hvitvaskingsloven) | 5 år etter avsluttet kundeforhold [verifiser] |
3. Hvem deler vi med? Leverandøren av vårt kundesystem (NorCRM, databehandler), [e-post-/SMS-leverandør], [regnskapsfører], [betalingsleverandør], offentlige myndigheter når loven krever det. Vi selger ikke personopplysninger.
4. Dine rettigheter – innsyn, retting, sletting, begrensning, portabilitet, innsigelse, trekke samtykke. Kontakt oss på [e-post]. Vi svarer innen 30 dager. Klage til Datatilsynet.
5. Sikkerhet og tilgang. Kun ansatte med tjenstlig behov har tilgang (rollebasert). [Beskriv ev. egne rutiner.]
6. Nettsiden/booking. Skjemaer på vår nettside og bookingside sender opplysningene til vårt kundesystem. Vi bruker kun nødvendige informasjonskapsler.