Personvernerklæring

1. Behandlingsansvarlig

Behandlingsansvarlig for personopplysningene som beskrives i denne erklæringen er:

Synera Flow AS er ansvarlig for å fastsette formål og midler for behandlingen av personopplysninger, og er forpliktet til å sikre at behandlingen skjer i samsvar med gjeldende personvernlovgivning.

2. Definisjoner

• •Den registrerte: Den fysiske personen som personopplysningene knytter seg til.
• •Personopplysninger: Enhver opplysning om en identifisert eller identifiserbar fysisk person, jf. GDPR art. 4(1).
• •Behandling: Enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, jf. GDPR art. 4(2).
• •Behandlingsansvarlig: Den fysiske eller juridiske personen som bestemmer formålet og midlene for behandlingen, jf. GDPR art. 4(7).
• •Databehandler: Den fysiske eller juridiske personen som behandler personopplysninger på vegne av den behandlingsansvarlige, jf. GDPR art. 4(8).
• •Tjenesten: Synera Flow-plattformen, inkludert alle funksjoner, API-er, nettsider og tilknyttede tjenester levert av Synera Flow AS.

3. Hvilke personopplysninger vi samler inn

Vi samler inn og behandler følgende kategorier av personopplysninger:

4. Formål og rettslig grunnlag for behandlingen

Vi behandler personopplysninger kun for spesifikke, uttrykkelig angitte og legitime formål, i henhold til GDPR art. 5(1)(b):

Vår berettigede interesse er vurdert opp mot den registrertes rettigheter og friheter i en interesseavveining (balancing test) for hvert formål der dette grunnlaget benyttes.

5. Bruk av kunstig intelligens og automatisert behandling

Synera Flow benytter kunstig intelligens (AI) for å generere markedsføringsinnhold på vegne av våre kunder. Dette avsnittet gir detaljert informasjon i henhold til GDPR art. 13(2)(f) og art. 22.

6. Deling av personopplysninger med tredjeparter

Vi selger aldri dine personopplysninger. Vi deler kun opplysninger med tredjeparter når det er nødvendig for å levere tjenesten eller der vi er rettslig forpliktet til det.

7. Overføring av personopplysninger utenfor EØS

Enkelte av våre underleverandører behandler personopplysninger i land utenfor Det europeiske økonomiske samarbeidsområdet (EØS). Vi sikrer at alle slike overføringer skjer i samsvar med GDPR kapittel V, ved bruk av følgende mekanismer:

• •Adekvatbeslutning (DPF): For leverandører sertifisert under EU-U.S. Data Privacy Framework (DPF), anerkjent som adekvat av EU-kommisjonen.
• •Standard personvernbestemmelser (SCC): For leverandører som ikke er DPF-sertifisert, benyttes EUs standard personvernbestemmelser (SCC) vedtatt av EU-kommisjonen.
• •Supplerende tiltak: I tillegg til SCC/DPF gjennomfører vi regelmessige risikovurderinger (Transfer Impact Assessments) for å sikre at beskyttelsesnivået er tilstrekkelig.

Du kan be om kopi av de relevante overføringsmekanismene ved å kontakte oss på [email protected].

8. Lagring, sletting og oppbevaring

Vi lagrer personopplysninger kun så lenge det er nødvendig for formålet de ble samlet inn for, eller så lenge vi er rettslig forpliktet til det:

• •Kontodata: Lagres så lenge du har en aktiv konto, pluss 12 måneder etter kontoavslutning for å ivareta eventuelle krav eller tvister.
• •Generert innhold og kampanjedata: Lagres så lenge kontoen er aktiv. Ved sletting av konto fjernes data innen 90 dager, med unntak av anonymiserte aggregerte data.
• •Betalingsinformasjon: Transaksjonsdata oppbevares i 5 år etter transaksjonstidspunktet i henhold til bokføringsloven § 13.
• •Sikkerhetslogger: Oppbevares i 12 måneder for å oppdage og undersøke sikkerhetshendelser.
• •Samtykkehistorikk: Oppbevares i minimum 5 år i henhold til GDPRs ansvarlighetsprinsipp (art. 5(2)).

Du kan når som helst be om sletting av din konto og tilhørende data ved å kontakte oss på [email protected]. Vi vil bekrefte slettingen innen 30 dager.

9. Dine rettigheter som registrert

I henhold til personopplysningsloven og GDPR kapittel III har du følgende rettigheter:

• •Rett til innsyn: Du har rett til å få bekreftet om vi behandler personopplysninger om deg, og i så fall få innsyn i opplysningene og informasjon om behandlingen (GDPR art. 15).
• •Rett til retting: Du har rett til å få uriktige eller ufullstendige personopplysninger rettet uten ugrunnet opphold (GDPR art. 16).
• •Rett til sletting («retten til å bli glemt»): Du har rett til å kreve at vi sletter personopplysninger om deg under visse forutsetninger, f.eks. når opplysningene ikke lenger er nødvendige for formålet, eller du trekker tilbake samtykke (GDPR art. 17).
• •Rett til begrensning av behandling: Du har rett til å kreve at behandlingen begrenses i visse situasjoner (GDPR art. 18).
• •Rett til dataportabilitet: Du har rett til å motta dine personopplysninger i et strukturert, alminnelig anvendt og maskinlesbart format, og til å overføre disse til en annen behandlingsansvarlig (GDPR art. 20).
• •Rett til å protestere: Du har rett til å protestere mot behandling basert på berettiget interesse. Vi vil da stanse behandlingen med mindre vi kan påvise tvingende berettigede grunner (GDPR art. 21).
• •Rett til å trekke tilbake samtykke: Dersom behandling er basert på samtykke, kan du trekke tilbake samtykket når som helst. Tilbaketrekkingen påvirker ikke lovligheten av behandling som allerede har funnet sted (GDPR art. 7(3)).
• •Rett vedrørende automatiserte avgjørelser: Du har rett til ikke å bli underlagt automatiserte avgjørelser som har rettsvirkning for deg (GDPR art. 22).

10. Informasjonssikkerhet

Vi tar informasjonssikkerhet svært alvorlig og har implementert omfattende tekniske og organisatoriske tiltak for å beskytte personopplysninger, i samsvar med GDPR art. 32:

11. Informasjonskapsler og sporingsteknologier

Vi benytter informasjonskapsler (cookies) og lignende teknologier på nettsiden vår. I henhold til den norske ekomloven § 3-15 (med virkning fra 1. januar 2025) og GDPR, kreves det gyldig samtykke før bruk av andre informasjonskapsler enn de som er strengt nødvendige for tjenestens funksjon.

12. Særskilt om personvern ved bruk av AI-generert innhold

Synera Flow er et AI-verktøy som genererer markedsføringsinnhold. Vi gjør følgende presiseringer:

• •Nøyaktighet: AI-generert innhold kan inneholde unøyaktigheter. Du er selv ansvarlig for å gjennomgå, redigere og godkjenne alt innhold før publisering.
• •Tredjeparters personopplysninger: Vi anbefaler at du ikke legger inn personopplysninger om tredjeparter (f.eks. kunders personopplysninger) som input til AI-verktøyet.
• •Databehandling ved AI-leverandør: AI-leverandøren mottar dine prompts for å generere innhold. Denne behandlingen skjer under databehandleravtale og dataen brukes ikke til modelltrening.
• •Eierskap til generert innhold: Du beholder eiendomsretten til innhold du genererer via tjenesten, med de begrensninger som følger av brukervilkårene.
• •EU AI Act – transparens: I henhold til EUs AI-forordning (Regulation (EU) 2024/1689, art. 50) informerer vi om at innhold generert gjennom Synera Flow er produsert ved bruk av kunstig intelligens. Dersom du publiserer AI-generert innhold, anbefaler vi at du merker det i samsvar med gjeldende krav til transparens.

13. Barns personvern

Synera Flow er en bedriftsrettet tjeneste (B2B) som ikke er rettet mot barn under 18 år. Vi samler ikke bevisst inn personopplysninger fra personer under 18 år. Dersom vi oppdager at vi har mottatt opplysninger fra et barn, vil vi slette disse umiddelbart. Kontakt oss på [email protected] dersom du mener dette har skjedd.

14. Personvernombud

Basert på virksomhetens nåværende omfang og type behandlingsaktiviteter, har vi vurdert at det per i dag ikke er lovpålagt å utpeke et personvernombud (DPO) etter GDPR art. 37. Denne vurderingen revurderes jevnlig.

For alle henvendelser om personvern, kontakt: [email protected]. Denne e-postadressen fungerer som kontaktpunkt for alle personvernrelaterte henvendelser, inkludert forespørsler som normalt ville vært rettet til et personvernombud (DPO).

15. Vurdering av personvernkonsekvenser (DPIA)

Vi gjennomfører vurderinger av personvernkonsekvenser (DPIA) i henhold til GDPR art. 35 ved innføring av nye behandlingsaktiviteter som sannsynligvis medfører høy risiko for de registrertes rettigheter og friheter. Bruk av AI-teknologi i vår tjeneste er en faktor som kan utløse behov for DPIA, og vi har gjennomført slike vurderinger for vår AI-baserte innholdsgenerering.

16. Brudd på personopplysningssikkerheten

I tilfelle brudd på personopplysningssikkerheten (datainnbrudd), vil vi:

• •Melde til tilsynsmyndigheten: Varsle Datatilsynet uten ugrunnet opphold og senest innen 72 timer etter å ha blitt kjent med bruddet, i henhold til GDPR art. 33.
• •Varsle berørte: Dersom bruddet medfører høy risiko for dine rettigheter og friheter, vil vi varsle deg direkte uten ugrunnet opphold, i henhold til GDPR art. 34.
• •Dokumentere og håndtere: Vi har interne prosedyrer for å dokumentere, undersøke og begrense konsekvensene av ethvert brudd.

17. Endringer i personvernerklæringen

Vi kan oppdatere denne personvernerklæringen for å reflektere endringer i vår praksis, tjenester eller gjeldende lovgivning. Ved vesentlige endringer vil du bli varslet via e-post eller gjennom tjenesten minst 30 dager før endringene trer i kraft.

Dato for siste endring vises øverst i dette dokumentet. Vi oppfordrer deg til å gjennomgå erklæringen regelmessig.

18. Synera-plattformen og fremtidige tjenester

Synera Flow AS kan over tid utvide sitt tjenestetilbud med nye produkter og tjenester. Dersom nye tjenester lanseres, kan din konto benyttes på tvers av disse – forutsatt at du gir eksplisitt samtykke. Denne personvernerklæringen vil da utvides eller suppleres med tjenestespesifikke vilkår.

19. Kontaktinformasjon

Dersom du har spørsmål om denne personvernerklæringen eller vår behandling av personopplysninger: