Personvernerklæring

1. Behandlingsansvarlig

KETL AS, Drammensveien 123, 0277 Oslo. Kontakt: personvern@ketl.no. For tenant-data er kunden normalt behandlingsansvarlig og KETL er databehandler — se databehandleravtalen.

1.1 Personvernombud (DPO)

KETL har ikke utpekt et eget personvernombud per GDPR artikkel 37. Vi behandler ikke personopplysninger i stort omfang som kjernevirksomhet (vår kjernevirksomhet er offentlig åpen data — ikke personopplysninger), og kvalifiserer derfor ikke som obligatorisk DPO-pliktig under Art. 37(1)(b) eller (c). Vurderingen oppdateres årlig.

Henvendelser knyttet til registrert-rettigheter (innsyn, retting, sletting, dataportabilitet, motsigelse) sendes til:

• E-post: personvern@ketl.no
• Postadresse: KETL AS, Drammensveien 123, 0277 Oslo, Norge
• Svarfrist: 30 dager fra mottak (kan forlenges med 60 dager ved kompleks forespørsel)

2. Hvilke data vi behandler og hvorfor

3. Under-processors (databehandlere)

I henhold til GDPR artikkel 28 lister vi alle under-processors vi bruker. Kunden samtykker til disse ved å signere databehandler- avtalen.

3.1 Internasjonale dataoverføringer

Noen under-processors er etablert utenfor EU/EØS. Vi sikrer tilstrekkelig beskyttelsesnivå per GDPR kapittel V via:

• EU-kommisjonens standard kontraktklausuler (SCCs) — modul 2 (controller-til-processor) inngås som vedlegg til databehandleravtalen ved alle overføringer til tredjeland uten tilstrekkelighetsbeslutning.
• Transfer Impact Assessment (TIA) utføres for hver tredjeland-overføring, med supplerende tekniske og organisatoriske tiltak der nødvendig (kryptering i transit/at-rest, pseudonymisering av personidentifikatorer der det er teknisk mulig).
• EU-US Data Privacy Framework brukes som hovedgrunnlag for amerikanske leverandører som er sertifisert (f.eks. Google, Anthropic der det er aktuelt). Vi verifiserer status årlig mot dataprivacyframework.gov.

Detaljert per-leverandør-overføringsgrunnlag fremgår av tabellen i §3 over (kolonne "Grunnlag") og i hver leverandørs DPA (lenker over).

3.2 Profilering og automatiserte avgjørelser

KETL bruker AI-modeller (Firebase AI Logic / Gemini, samt valgfrie tredjeparts-LLM-er via egen API-nøkkel) for å hjelpe brukere med å tolke og søke i datasett. Dette innebærer:

• Ingen automatiserte avgjørelser per GDPR Art. 22 som har juridisk eller tilsvarende betydelig virkning på registrerte. AI-resultatene er rådgivende og krever menneskelig vurdering før de kan brukes til beslutninger (kredittvurdering, KYC-godkjenning, ansettelse, osv.). Plattformens vilkår forbyr uttrykkelig bruk av AI-output som eneste grunnlag for slike beslutninger.
• Profilering begrenset til intern produkt- forbedring (anonymiserte bruksmønstre, A/B-test-kohort-tilordning). Vi profilerer ikke for målrettet annonsering.
• AI-audit-logg: alle AI-kall mot din brukerkonto logges og kan inspiseres via /dashboard/ai-innsyn (krever innlogging). Du kan eksportere og slette individuelle logg-poster eller hele historikken.
• Du kan kreve manuell behandling av enhver tjeneste-relatert beslutning ved å kontakte personvern@ketl.no.

4. Dine rettigheter

4.1 Varsel om sikkerhetsbrudd

Ved brudd på personopplysningssikkerheten følger vi en dokumentert prosedyre i tråd med GDPR Art. 33 og 34:

• Datatilsynet varsles innen 72 timer fra vi blir kjent med bruddet, med mindre det er usannsynlig at bruddet medfører risiko for registrertes rettigheter.
• Berørte registrerte varsles direkte (e-post til kontoens primær-adresse) når bruddet sannsynligvis medfører høy risiko, slik som ved eksponering av autentiseringsdata, betalingsinformasjon eller spesielle kategorier av personopplysninger.
• Varslet inkluderer: bruddets art, antall berørte, sannsynlige konsekvenser, og iverksatte/foreslåtte avbøtende tiltak. Vi holder også løpende offentlig status på /status.

4.2 Opt-out fra markedsføring

KETL sender kun transaksjonelle e-poster (kvitteringer, sikkerhetsvarsler, viktige tjenesteendringer) som default. Markedsføring (produktnyhetsbrev, webinarinvitasjoner) krever eksplisitt opt-in i kontoinnstillingene (/dashboard/innstillinger).

Du kan når som helst trekke samtykke tilbake ved å:

• Klikke Avregistrer-lenken nederst i hver markedsføringsmelding.
• Fjerne haken under E-postpreferanser i kontoinnstillingene.
• Sende e-post til personvern@ketl.no — vi avregistrerer innen 24 timer.

5. Klage til tilsynsmyndighet

Du kan klage til Datatilsynet (datatilsynet.no) dersom du mener vi behandler personopplysninger i strid med regelverket.

6. Endringer

Vi oppdaterer denne erklæringen ved behov. Vesentlige endringer varsles per e-post til registrerte brukere senest 30 dager før de trer i kraft.