Personvernerklæring

Personvernerklæring | Mynder

Slik behandler Mynder AS personopplysninger om besøkende, kunder, partnere og brukere av Mynder-plattformen.

Personvernerklæringen dekker behandlingen av personopplysninger uavhengig av hvordan du kommer i kontakt med oss – som besøkende på nettsiden, som partner, som sluttkunde gjennom en partner eller som direktekunde.

Mynder AS behandler personopplysninger som en del av virksomheten vår. Når Mynder er behandlingsansvarlig, bestemmer vi hvorfor og hvordan personopplysningene behandles. Nedenfor finner du informasjon om hvilke personopplysninger vi behandler, hvorfor vi behandler dem, hvilket rettslig grunnlag vi bruker, hvor lenge vi lagrer dem og hvem opplysningene eventuelt deles med.

Hvis du har spørsmål eller ønsker å vite mer om hvordan vi behandler personopplysninger, kan du kontakte oss. Kontaktopplysningene står nedenfor.

Mynders situasjon: hvorfor denne erklæringen har et ekstra lag

Mynder brukes av flere typer aktører: besøkende på mynder.io, partnere og deres ansatte, sluttkunder som bruker plattformen gjennom en partner, og direktekunder som bruker plattformen uten partner. Brukere kan også legge inn innhold i plattformen på vegne av sin virksomhet.

Derfor må vi alltid avklare to ting: (i) om Mynder er behandlingsansvarlig eller databehandler for opplysningen, og (ii) hvem som er behandlingsansvarlig dersom Mynder er databehandler.

Denne erklæringen gjelder bare der Mynder selv er behandlingsansvarlig. Det gjelder for eksempel opplysninger om deg som besøkende, kontaktperson, partner eller kunde. Innhold som du eller virksomheten din legger inn i plattformen som kunde, reguleres i stedet av databehandleravtalen mellom Mynder og virksomheten din. Da er virksomheten din behandlingsansvarlig, og Mynder er databehandler.

Situasjon

Behandlingsansvarlig

Hvilket dokument gjelder

Du besøker mynder.io

Mynder

Denne erklæringen

Du kontakter oss

Du er kontaktperson hos en partner eller kunde

Innhold du/din virksomhet legger inn i plattformen som kunde

Din arbeidsgiver eller oppdragsgiver

Databehandleravtalen

Du kobler en Mynder-connector til Claude, ChatGPT eller en annen KI-flate

1. Hvem er ansvarlig for behandlingen?

Mynder AS er behandlingsansvarlig for behandlingen som beskrives i denne erklæringen, og som ikke omfattes av en databehandleravtale. Det betyr at Mynder bestemmer formålet med behandlingen og hvilke hjelpemidler som brukes.

Adresse: Edvard Griegs vei 3C, 5059 Bergen

E-post: personvern@mynder.no

Organisasjonsnr.: 831 377 372

Kontaktperson for personvern: Sue Janne Alsaker, telefon +47 932 45 800, e-post personvern@mynder.no

2. Hvorfor samler vi inn personopplysninger, og hvilke opplysninger behandler vi?

Vi samler inn og bruker personopplysninger til ulike formål avhengig av hvem du er og hvordan du kommer i kontakt med oss.

All behandling av personopplysninger skjer i samsvar med gjeldende personvernregler, blant annet personopplysningsloven og personvernforordningen (GDPR).

Med «personopplysninger» mener vi alle opplysninger som kan knyttes til en fysisk person.

Med «behandling» mener vi alt som gjøres med personopplysninger. Det kan for eksempel være innsamling, registrering, lagring, bruk, deling, endring, sammenstilling, sletting eller annen håndtering.

Når vi behandler personopplysninger, må vi alltid ha en lovlig grunn. Dette kalles «behandlingsgrunnlag» i personvernlovgivningen. Kort fortalt betyr det hvorfor vi har lov til å bruke opplysningene dine.

I Mynder behandler vi særlig disse opplysningene, avhengig av hvordan du kommer i kontakt med oss eller bruker tjenesten:

Besøk på nettsiden:

tekniske logger, for eksempel IP-adresse, tidspunkt, nettleser-/enhetsinformasjon og annen teknisk informasjon som er nødvendig for drift, sikkerhet, feilsøking og forebygging av misbruk.

Venteliste, demo og henvendelser:

fornavn, etternavn, e-postadresse, firma, melding og eventuelle andre opplysninger du selv gir oss. Ved videre dialog kan vi også behandle kommunikasjonslogg og oppfølgingshistorikk.

Jobbsøknader:

navn, e-postadresse, CV, søknadstekst, LinkedIn-URL, motivasjon, vedlegg, intervjunotater, referanser og eventuelle vurderinger knyttet til rekrutteringsprosessen.

Brukere hos direktekunder:

navn, e-postadresse, firmanavn, rolle, tilganger, kontoinformasjon og annen informasjon som er nødvendig for å opprette og administrere brukerforholdet.

Brukere gjennom partner:

navn, e-postadresse, firmanavn, rolle, tilganger, kontoinformasjon, partnerrelasjon og informasjon om hvilke moduler eller funksjoner partneren har aktivert på virksomhetens vegne.

Innlogging og sikkerhet:

innloggingsdata, for eksempel tidspunkt, IP-adresse, enhets-/nettleserinformasjon der relevant, påloggingsforsøk og endringer i autentiseringsoppsett.

Aktivitetslogg i plattformen:

sentrale handlinger i kontoen eller arbeidsområdet, for eksempel innstillinger, tilgangsendringer, administrative handlinger og sikkerhetsrelevante hendelser. Loggen begrenses til hvem som gjorde hva og når, samt relevante systemreferanser.

Agenttjenester og innhold i plattformen:

tekstinput, opplastet eller innlagt innhold, metadata om bruk og eventuell informasjon i systemer, policyer, vurderinger eller annet materiale virksomheten legger inn i plattformen. For innhold virksomheten legger inn som kunde, er Mynder normalt databehandler og virksomheten behandlingsansvarlig.

Kontaktpersoner hos kunder og partnere:

navn, stilling/rolle, arbeidsgiver, e-postadresse, telefonnummer, avtalereferanser, møtereferater, kommunikasjon og oppfølgingshistorikk.

Fakturering og økonomi:

kontaktopplysninger, fakturainformasjon, avtaleopplysninger, betalingsinformasjon, transaksjonshistorikk og regnskapsdokumentasjon.

Bruk av Mynder-connectors:

IP-adresse, tilgangsnøkkel/token-identifikator, tidspunkt, hvilket verktøy som ble kalt, innholdet i spørringen, hvilket regelverk og hvilken bestemmelse som ble hentet, samt teknisk beslutningsspor for oppslaget.

Hvem gjelder det

Opplysninger

Formål

Behandlingsgrunnlag

Kilde

Lagringstid

Databehandlere/mottakere ved behov

Partneren kan få tilgang til din virksomhets arbeidsområde i plattformen

Du kan se i plattformen hva partneren har aktivert på din virksomhets vegne

Din virksomhet eier sin egen Trust Profile og sine egne data

Opphører forholdet til partneren, beholder din virksomhet dataene og de aktiverte modulene

Partneren er en selvstendig virksomhet. Mynder er ikke ansvarlig for partnerens egen behandling av personopplysninger utenfor Mynders plattformleveranse.

For bruk av Mynder gjennom partner legger Mynder til grunn at kunden er behandlingsansvarlig for innhold og personopplysninger som kunden eller kundens brukere legger inn i plattformen. Mynder er databehandler for kunden for selve plattformleveransen. Partneren er ikke underdatabehandler for Mynder, men opptrer som selvstendig databehandler for kunden for de tjenestene partneren leverer til kunden. Kunden har dermed to parallelle databehandlere: Mynder for plattformen og partneren for partnerens tjenester.

Partneren kan samtidig være behandlingsansvarlig for egne drifts- og forretningsopplysninger knyttet til sitt kundeforhold, for eksempel CRM-, salgs-, support- og økonomidata. Denne behandlingen skjer utenfor Mynders instruks og omfattes av partnerens egen personvernerklæring.

Mynder tilbyr regelverksbiblioteket vårt som en connector — et MCP-endepunkt som kan kobles til KI-verktøy som Claude og ChatGPT. Connectoren er kun lesende. Den gir tilgang til Mynders eget regelverksmateriale, og gir ikke tilgang til kundedata, arbeidsområder, dokumenter eller annet innhold i Mynder-plattformen. Sensitivitetsnivået er teknisk låst til offentlig innhold på serversiden.

Hva som skjer teknisk. Du kobler til fra KI-verktøyet ditt med en tilgangsnøkkel. Når du stiller et spørsmål, kan KI-verktøyet sende en spørring til Mynder på dine vegne. Mynder svarer med regelverkstekst og kildemetadata. Selve samtalen din foregår hos leverandøren av KI-verktøyet — Mynder ser bare de spørringene verktøyet faktisk sender oss.

Om innhold i spørringer. Spørringen som sendes til Mynder formuleres av KI-verktøyet ut fra det du skriver, og kan derfor inneholde opplysninger du selv har lagt inn i samtalen. Vi oppfordrer deg til ikke å legge inn personopplysninger eller fortrolig informasjon i spørringer mot connectoren. Den er laget for oppslag i regelverk, ikke for behandling av personopplysninger.

Vi bruker ikke spørringene dine til å trene KI-modeller, og vi deler dem ikke med tredjeparter for deres egne formål.

Om KI-verktøyet du bruker. Anthropic (Claude), OpenAI (ChatGPT) og andre plattformleverandører er selvstendige behandlingsansvarlige for sin egen behandling av samtalene dine. Denne behandlingen skjer utenfor Mynders kontroll og reguleres av deres vilkår og personvernerklæringer.

Rettigheter i praksis. Bruk av connectoren krever ingen brukerkonto hos Mynder. Vi identifiserer bruk gjennom tilgangsnøkkelens identifikator. Ønsker du innsyn eller sletting, oppgir du denne identifikatoren når du kontakter oss, slik at vi kan finne de aktuelle loggene. Uten den kan vi normalt ikke knytte logger til deg, og kan da ikke etterkomme forespørselen, jf. GDPR artikkel 11.

Forholdet til plattformavtalen. Er du allerede kunde eller partner hos Mynder, endrer ikke bruk av connectoren rollefordelingen i databehandleravtalen for plattformen. Connectoren står på egne ben og reguleres av egne bruksvilkår.

3. Hvor lenge lagrer vi personopplysninger?

Vi oppbevarer personopplysninger så lenge det er nødvendig for det formål personopplysningene ble samlet inn for, og sletter opplysningene i tråd med krav i regelverket. Hvor lenge vi behandler de enkelte typene opplysninger, er tatt inn ovenfor hvor de enkelte behandlingene omtales.

Det betyr for eksempel at personopplysninger vi behandler på grunnlag av samtykke, slettes hvis du trekker samtykket tilbake. Opplysninger vi behandler for å oppfylle en avtale, slettes når avtalen er oppfylt og vi ikke lenger har plikter som krever videre lagring. Slike plikter kan for eksempel gjelde regnskap eller oppfølging av kundeforhold. Opplysninger vi må behandle på grunn av lovpålagt plikt, slettes når vi ikke lenger har plikt til å oppbevare dem.

4. Når deler vi personopplysninger med andre?

Vi gir ikke personopplysningene dine videre til andre med mindre det foreligger et lovlig grunnlag for dette. Eksempler på slikt grunnlag vil typisk være en avtale med deg eller lovmessig plikt som pålegger oss å gi ut informasjonen.

Vi bruker databehandlere som samler inn, lagrer eller på annen måte behandler personopplysninger på våre vegne. Fullstendig og oppdatert oversikt over våre underdatabehandlere — hvem de er, hva de gjør og hvor de behandler data — finnes i Vedlegg B — Underbehandlere, som er eneste kilde for dette. Ved bruk av databehandlere inngår vi databehandleravtaler som skal sikre informasjonssikkerhet og riktig behandling i alle ledd.

Partneren er ikke databehandler for Mynder og inngår derfor ikke i listen over Mynders databehandlere ovenfor. Når partneren behandler personopplysninger i kundens arbeidsområde eller som del av partnerens tjenester, skjer dette på kundens instruks og i henhold til avtalen mellom kunden og partneren, jf. punkt 2.

All behandling av personopplysninger som Mynder foretar som behandlingsansvarlig, og som er beskrevet i denne erklæringen, skjer i dag innenfor EU/EØS-området. Mynder bruker ikke leverandører eller supportfunksjoner for denne behandlingen som innebærer overføring av personopplysninger til land utenfor EU/EØS. Dette gjelder også behandlingen i Mynder-connectors, som kjører på samme infrastruktur som Mynder-plattformen, i Microsoft Azure Norway East. Merk at KI-verktøyet du kobler fra kan være driftet utenfor EU/EØS — den overføringen skjer mellom deg og leverandøren av KI-verktøyet, ikke via Mynder.

Dersom Mynder senere tar i bruk leverandører eller løsninger som innebærer overføring av personopplysninger til land utenfor EU/EØS, vil dette bare skje i samsvar med GDPR kapittel V. Det innebærer at overføringen enten må skje til et land EU-kommisjonen har godkjent, eller på annet gyldig overføringsgrunnlag, for eksempel EUs standard personvernbestemmelser. Personvernerklæringen vil da oppdateres med informasjon om mottaker, kategorier personopplysninger, formål og overføringsgrunnlag.

5. Hvordan sikrer vi personopplysningene?

Vi sikrer personopplysninger med nødvendige tekniske og organisatoriske tiltak.

Vi håndterer informasjon slik at den er riktig, tilgjengelig og beskyttet i tråd med hvor sensitiv informasjonen er. Vi bruker sikkerhetsteknologi og rutiner for informasjonssikkerhet for å beskytte personopplysninger mot uautorisert tilgang, bruk og deling. Vi gjennomfører også risikovurderinger av behandlingen vår.

Vi har inngått databehandleravtaler med alle våre leverandører som behandler personopplysninger, hvor de påtar seg samme grad av sikkerhet som vi har for vår egen behandling. Vi begrenser tilgangen til personopplysninger til det personalet og de tredjepartene som skal behandle opplysningene på våre vegne. Disse er underlagt konfidensialitetsplikt.

Det er etablert rutiner for håndtering av brudd på informasjonssikkerhet (personvernbrudd). Dersom et personvernbrudd gjelder behandling der Mynder er behandlingsansvarlig, og bruddet medfører risiko for de registrertes rettigheter og friheter, vil vi melde bruddet til Datatilsynet uten ugrunnet opphold og, der det er mulig, senest innen 72 timer etter at vi fikk kjennskap til bruddet. Dersom bruddet sannsynligvis vil medføre høy risiko for de registrertes rettigheter og friheter, vil vi også varsle de berørte uten ugrunnet opphold.

Mynder-plattformen driftes i Microsoft Azure, med applikasjon, databaser og dokumentlagring i Norway East (Norge) og identitetstjeneste i North Europe (Irland), innenfor EU/EØS. Data krypteres under lagring og overføring, og hemmeligheter og tilgangsnøkler håndteres i sikre nøkkellagre, ikke i kode eller klartekst.

Tilgang til personopplysninger er rollebasert og begrenses til personer og leverandører som trenger tilgang for å levere, drifte, sikre eller støtte tjenesten. Kundedata er logisk adskilt mellom kunder, og sentrale handlinger og sikkerhetsrelevante hendelser logges for sporbarhet, feilsøking og hendelseshåndtering.

Mynder har rutiner for håndtering av sikkerhetshendelser og personvernbrudd. Hendelser registreres og vurderes etter alvorlighetsgrad. For behandling der Mynder er behandlingsansvarlig, varsler Mynder Datatilsynet og eventuelt berørte registrerte i samsvar med GDPR artikkel 33 og 34.

For Mynder-connectors gjelder i tillegg: tilgang krever gyldig tilgangsnøkkel, det er satt grenser for antall kall per nøkkel og per IP-adresse for å hindre misbruk og overbelastning, sensitivitetsnivået er låst til offentlig innhold på serversiden, og alle oppslag logges med et sporbart beslutningsspor.

6. Hvilke rettigheter har du?

Nedenfor finner du en oversikt over rettighetene dine. Hvis du vil bruke rettighetene dine, kan du kontakte oss. Kontaktinformasjonen står i punkt 1.

Vi svarer så raskt som mulig, og senest innen én måned. Hvis vi trenger mer tid, gir vi deg beskjed.

Vi kan be deg bekrefte identiteten din eller gi oss mer informasjon før vi behandler forespørselen. Det gjør vi for å sikre at vi bare gir tilgang til personopplysninger til rett person.

Informasjon

Du har rett til å få informasjon om de personopplysningene vi behandler om deg. Gjennom denne erklæringen informerer vi deg om vår behandling av personopplysninger. Du kan også kontakte oss om du ønsker mer informasjon.

Innsyn

Du har rett til å kreve innsyn i personopplysningene som behandles om deg. Ta kontakt med oss om du ønsker innsyn.

Endring og sletting

Du kan også be oss om å rette feilaktige opplysninger vi har om deg, eller be oss om å slette personopplysninger. Vi vil så langt som mulig imøtekomme en forespørsel om å slette personopplysninger, men vi kan ikke gjøre dette dersom vi fremdeles har behov for opplysningene.

Dersom henvendelsen gjelder innhold som din arbeidsgiver, oppdragsgiver eller virksomhet har lagt inn i Mynder-plattformen, er det denne virksomheten som er behandlingsansvarlig for innholdet. Mynder er da databehandler og behandler opplysningene på vegne av virksomheten. Du kan likevel kontakte Mynder, så vil vi hjelpe med å videreformidle henvendelsen eller bistå den behandlingsansvarlige der dette er nødvendig etter databehandleravtalen.

Behandling på grunnlag av samtykke

Behandler vi personopplysninger på grunnlag av ditt samtykke, kan du til enhver tid trekke tilbake samtykket. Den enkleste måten å gjøre dette på, er å bruke den måten som er opplyst om da du ga samtykket, eller å kontakte oss.

Rett til å begrense behandlingen

Du har rett til å få behandlingen begrenset i visse tilfeller, se GDPR artikkel 18. Dette gjelder blant annet dersom:

Du bestrider riktigheten av personopplysningene – behandlingen begrenses i en periode som gjør det mulig for oss å kontrollere riktigheten av personopplysningene.

Behandlingen er ulovlig, og du motsetter deg sletting av personopplysningene og i stedet ber om at bruken begrenses.

Vi ikke lenger trenger personopplysningene til formålet med behandlingen, men du har behov for opplysningene for å fastsette, gjøre gjeldende eller forsvare rettskrav.

Rett til å protestere

Når vi behandler personopplysninger på grunnlag av berettiget interesse, kan du protestere mot behandlingen etter GDPR artikkel 21. Vi vil da vurdere om det foreligger tungtveiende berettigede grunner til å fortsette behandlingen som går foran dine interesser, rettigheter og friheter.

Retten til dataportabilitet

For opplysninger som du har gitt til oss og som er nødvendige for å gjennomføre en avtale med oss, og som behandles automatisk, kan du be om å få personopplysningene om deg utlevert eller overført til annen leverandør i et strukturert, alminnelig anvendt og maskinlesbart format (dataportabilitet).

Automatisert behandling, herunder profilering

Det vil ikke bli foretatt automatisert behandling, herunder profilering, basert på dine personopplysninger som har rettsvirkninger eller som i betydelig grad påvirker de som personopplysningene gjelder, se GDPR artikkel 22 nr. 1 og 4.