Personvernerklæring

1. Behandlingsansvarlig

VinnVinn Reklame AS («Snakkr»), org.nr. 914 154 642, Peder Falcks veg 2-8, 7044 Trondheim, er behandlingsansvarlig for personopplysninger om besøkende på snakkr.no, innloggede brukere i dashboardet og operatører hos våre kunder.

Kontakt: jonasjohansen@vvreklame.no.

2. Databehandler-rolle

Når Snakkr behandler personopplysninger på vegne av en kunde — for eksempel meldinger som sluttbrukere sender til kundens chat-widget — er Snakkr databehandler og kunden er behandlingsansvarlig. Den behandlingen reguleres av en separat databehandleravtale (DPA) mellom Snakkr og kunden.

3. Hvilke data vi behandler

Avhengig av relasjonen din til Snakkr kan vi behandle:

• Kontoinformasjon: navn, e-postadresse, rolle, tilknyttet organisasjon, hashet passord, MFA-status.
• Bruksdata: innloggingstidspunkt, IP-adresse, handlinger i administrasjonsgrensesnittet (revisjonslogg).
• Samtaledata (på vegne av kunde): meldinger mellom sluttbrukere og AI-agenten, tidsstempler, kanal-metadata, eventuelle kontaktopplysninger sluttbrukeren selv oppgir (e-post, telefon, navn).
• Tekniske data: cookies, enhetsinformasjon, feilsøkings- og sikkerhetslogger.

4. Lovlig grunnlag (GDPR art. 6)

• Avtale (art. 6 nr. 1 b): levering av Tjenesten til kunder og brukere.
• Berettiget interesse (art. 6 nr. 1 f): sikkerhetslogging, misbruksdeteksjon, produktforbedring i aggregert eller anonymisert form.
• Samtykke (art. 6 nr. 1 a): aktivering av widget-chat hos sluttbrukere (samtykkebanneret), samt eventuell markedsføring rettet mot Snakkrs egne kunder.
• Rettslig forpliktelse (art. 6 nr. 1 c): bokførings- og regnskapsoppbevaring.

5. Datalagring og oppbevaringstid

• Samtaledata oppbevares så lenge kundens avtale løper, og slettes eller anonymiseres innen rimelig tid etter opphør (typisk 30 dager).
• Operasjonelle hendelser (AI-retrieval, tool- kall, cache-treff) oppbevares i 90 dager.
• Webhook- og e-postleveringshendelser oppbevares i 180 dager.
• Revisjonslogg oppbevares i hele kundens avtaleperiode, deretter aggregeres eller slettes innen 90 dager.
• Regnskapsmateriale oppbevares i fem år, jf. bokføringsloven § 13.

6. Dine rettigheter

Du har rett til å:

• be om innsyn i hvilke personopplysninger vi behandler om deg,
• kreve retting av uriktige opplysninger,
• be om sletting («retten til å bli glemt»),
• kreve begrensning av behandlingen,
• kreve dataportabilitet (en kopi i maskinlesbart format),
• protestere mot behandling som er basert på berettiget interesse,
• trekke tilbake samtykke når som helst.

Henvendelser rettes til jonasjohansen@vvreklame.no. Vi besvarer normalt innen 30 dager.

7. Cookies og lokal lagring

Administrasjonsgrensesnittet bruker strengt nødvendige cookies for autentisering og sikkerhet (sesjons-JWT, MFA-utfordring, CSRF-beskyttelse).

Snakkr-widgeten lagrer minimumsdata lokalt i nettleseren for å holde samtalen åpen mellom sidevisninger og for å huske at sluttbrukeren har akseptert samtykkebanneret. Det benyttes ikke sporings- eller annonseringscookies.

8. Tredjeparter og underdatabehandlere

Snakkr benytter følgende kategorier underdatabehandlere for å levere Tjenesten:

• OpenAI — AI-modellkall (chat, embedding, moderation). OpenAI bruker ikke API-data til modelltrening, jf. deres standard databehandleravtale.
• DigitalOcean — hosting av appserver, database og cache i EU-region.
• Postmark — transaksjonell e-post (passordreset, MFA-koder, samtaletranskript).

En fullstendig og oppdatert liste over underdatabehandlere er tilgjengelig som vedlegg til databehandleravtalen.

9. Internasjonale overføringer

Data lagres primært i EU/EØS. Når OpenAI behandler innhold sendt til AI-modellen, kan dette innebære overføring til USA under EU-US Data Privacy Framework (DPF). OpenAI er sertifisert under DPF og er derfor godkjent overføringsmottaker.

10. Sikkerhet

Vi treffer organisatoriske og tekniske tiltak for å beskytte personopplysninger:

• kryptering av sensitiv data i hvile (AES-256-GCM),
• TLS for all transport,
• tofaktor-autentisering (TOTP) påkrevd for administratortilgang,
• automatisk og uendelig revisjonslogg for sikkerhetshendelser,
• regelmessige sikkerhetsgjennomganger.

11. Klage til Datatilsynet

Dersom du mener vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet (datatilsynet.no).

12. Endringer i denne erklæringen

Vi kan oppdatere denne erklæringen ved endringer i tjenesten eller regelverket. Vesentlige endringer varsles per e-post til registrerte brukere. Datoen øverst angir når erklæringen sist ble revidert.

13. Kontakt

Spørsmål om denne erklæringen eller om personvern generelt rettes til jonasjohansen@vvreklame.no.