Personvernerklæring

BIOS, drevet av Nordix Systems som en del av NCS Group, er forpliktet til å beskytte personvernet og personopplysningene til alle som samhandler med nettstedet vårt (nordixbios.com), applikasjonen (app.nordixbios.com), API-et (api.nordixbios.com), plattformen og AI-assistentens kjøretid (samlet kalt "Tjenestene").

Denne personvernerklæringen forklarer hvilke data vi samler inn, hvordan og hvorfor vi bruker dem, hvem vi deler dem med, og hvilke rettigheter du har over opplysningene dine. Den dekker markedsføringsnettstedet vårt, plattformen vår for partnere og AI-assistentens kjøretid som opererer på tvers av meldingskanaler.

Vi opptrer i ulike roller avhengig av dataene og konteksten:

• Som behandlingsansvarlig bestemmer vi hvordan og hvorfor personopplysninger behandles for våre egne formål — for eksempel data som samles inn via markedsføringsnettstedet vårt, kontakt- og demoskjemaer, nyhetsbrevet, registrering av partnerkonto, fakturering og sikkerhet.
• Som databehandler (eller underdatabehandler) behandler vi personopplysninger på vegne av, og etter instruks fra, våre forretningspartnere — for eksempel samtaledataene og identitet per bruker som flyter gjennom den white-label assistenten og AI-agentene som handler på partnerens vegne. I slike tilfeller er partneren behandlingsansvarlig og ansvarlig for det rettslige grunnlaget for behandlingen og for sin egen personvernmerknad til sluttbrukere. Den behandlingen reguleres av vår databehandleravtale (DPA).

Denne personvernerklæringen beskriver vår praksis som behandlingsansvarlig, og forklarer, der det er relevant, hvordan vi støtter partnere når vi opptrer som databehandler.

Behandlingsansvarlig for formålene i EUs personvernforordning (GDPR), den britiske GDPR, den brasilianske personvernloven (LGPD) og andre gjeldende personvernlover er:

NCS — Nordic Compute System, drevet av Easy Drift AS (Norge), sammen med Nordix Systems for BIOS-Tjenestene.

For enhver personvernrelatert henvendelse, kontakt oss på privacy@nordixsystems.com. Vår kontakt for personvern er dpo@ncsengine.com. Du kan også bruke kontaktskjemaet på nettstedet vårt.

Avhengig av hvilke Tjenester du bruker, kan vi samle inn følgende kategorier av personopplysninger:

Lead- og prospektdata (behandlingsansvarlig). Når du bruker våre kontakt-, demobestillings- eller salgsskjemaer, samler vi inn navnet ditt, jobb-e-posten din, firma, telefonnummer, rolle, en beskrivelse av systemet du ønsker å koble til, meldingen din, ønsket dato og tid for demo, og språket ditt.

Nyhetsbrevdata (behandlingsansvarlig). Når du abonnerer, samler vi inn e-postadressen din, dine valgte temapreferanser, kildehenføring og et avmeldingstoken. Nyhetsbrevet bruker dobbel bekreftelse (double opt-in); du kan melde deg av når som helst.

Håndtering av demo-leads (behandlingsansvarlig). Vi behandler og administrerer demobestillinger, inkludert planleggingsstatus og et administrasjonstoken som lar deg følge eller flytte demoen din.

Skjemametadata (behandlingsansvarlig). Vi behandler forespørselsmetadata som skjematema, et CAPTCHA-/anti-bot-token (Cloudflare Turnstile) og forespørsels- og idempotens-identifikatorer, for å forhindre misbruk og dedupliserte innsendinger.

Partnerkontodata (behandlingsansvarlig). Når du registrerer en partnerkonto, samler vi inn konto- og faktureringsdetaljer, konfigurasjonen av din tilkoblede programvare, API-nøkler og legitimasjon (lagret i vault/KMS og vist maskert), verification keys, webhook-hemmeligheter, kanallegitimasjon (lagret maskert) og din white-label-profil (assistentens navn, avatar, tone og språk).

Samtaledata fra AI-kjøretiden (databehandler). Gjennom assistenten behandler vi meldingene som utveksles av en partners sluttbrukere på tvers av kanaler, maskerte forespørsels- og responsdata fra verktøy, samtaleutdrag som gir opphav til en operasjon, og identiteten per bruker fra kanalen som videreformidles fra partnerens webhook for emulert autentisering. Disse dataene behandles på partnerens vegne under DPA-en.

Kanalidentifikatorer for partnerens sluttbrukere (databehandler). For å rute og autorisere samhandlinger behandler vi kanalspesifikke sluttbrukeridentifikatorer (som en kanalbruker-ID eller et telefonnummer). Identitet per bruker løses av partnerens webhook og videreformidles; vi lagrer den ikke som en selvstendig sluttbrukerprofil.

Revisjonslogger. Hver operasjon logges med bruker, kanal, verktøy, maskerte parametere, maskert forespørsel/respons og samtaleutdraget som ga opphav til den.

Tekniske data og sikkerhetsdata. Vi behandler bruks-, enhets- og loggdata (IP-adresse, nettleser- og enhetstype, tidsstempler), våre publiserte utgående IP-adresser, data om hastighetsgrenser og feil, samt informasjonskapsler og anti-bot-signaler, som beskrevet i delen om informasjonskapsler.

Kort- og finansinstrumentdata samles inn og behandles av våre betalingsbehandlere, og lagres ikke i sin helhet av oss.

Når vi opptrer som behandlingsansvarlig, behandler vi personopplysninger for følgende formål:

• Tjenestelevering: å levere, drifte, sikre og vedlikeholde nettstedet, plattformen, lekeplassen og AI-assistentens kjøretid.
• Leads og demoer: å besvare henvendelser, planlegge og administrere demoer og følge opp salgsforespørsler.
• Kontoer og fakturering: å opprette og administrere partnerkontoer, behandle abonnementer og betalinger (via behandlere) og forhindre betalingssvindel.
• Nyhetsbrev og kommunikasjon: å sende nyhetsbrevet du abonnerte på (med dobbel bekreftelse) og tjeneste- eller transaksjonsvarsler.
• Forbedring: å analysere bruk og forbedre plattformen, funksjonene og dokumentasjonen, ved hjelp av aggregerte eller avidentifiserte data der det er mulig.
• Sikkerhet og forebygging av misbruk: å oppdage, forhindre og reagere på sikkerhetshendelser, svindel, misbruk (inkludert via CAPTCHA/Turnstile) og tekniske problemer.
• Lovsamsvar: å overholde gjeldende lover, forskrifter og lovlige forespørsler.

Når vi opptrer som databehandler, behandler vi personopplysninger kun for å levere Tjenestene i samsvar med partnerens dokumenterte instruksjoner og DPA-en.

Under GDPR, den britiske GDPR og tilsvarende lover (inkludert LGPD) baserer vi oss på følgende rettslige grunnlag:

• Avtalemessig nødvendighet: behandling som er nødvendig for å levere Tjenestene du har bedt om eller inngått avtale om.
• Berettigede interesser: å forbedre og sikre Tjenestene våre og drive B2B-markedsføring, forutsatt at disse interessene ikke går foran dine grunnleggende rettigheter.
• Samtykke: der du har gitt et klart samtykke til bestemte aktiviteter (for eksempel nyhetsbrevet eller ikke-essensielle informasjonskapsler). Du kan trekke tilbake samtykket når som helst.
• Rettslig forpliktelse: der behandlingen er nødvendig for å overholde gjeldende lov.

Tjenestene baserer seg på kunstig intelligens, inkludert tredjeparts AI-modellleverandører engasjert som underdatabehandlere.

• Ingen trening på dine data uten samtykke: vi bruker ikke Kundedata til å trene delte modeller eller grunnmodeller, og våre AI-underdatabehandlere engasjeres under avtaler som forbyr å bruke innholdet ditt til å trene deres modeller, med mindre du gir uttrykkelig instruksjon eller samtykke.
• AI-underdatabehandlere: samtale- og ledetekstinnhold kan overføres til AI-modellleverandører utelukkende for å generere svar og utføre oppgavene som partnerens konfigurasjon ber om.
• Automatiserte agenthandlinger: assistenten handler på en partners vegne i henhold til partnerens konfigurasjon, med revisjonslogging tilgjengelig og step-up-bekreftelse for destruktive operasjoner. Partnere er ansvarlige for å opprettholde menneskelig tilsyn med handlinger med stor virkning.
• Automatiserte avgjørelser: vi bruker ikke Tjenestene til å treffe avgjørelser som har rettslig virkning eller på tilsvarende måte betydelig virkning for enkeltpersoner, utelukkende basert på automatisert behandling uten passende garantier.

Når du betaler for en Tjeneste, samles kort- og finansinstrumentdata inn og behandles av lisensierte, PCI-DSS-kompatible tredjeparts betalingsbehandlere. Vi mottar kun begrensede transaksjonsdetaljer (som en tokenisert referanse, de siste sifrene i et kort, faktureringskontakten og betalingsstatus) som er nødvendige for fakturering, regnskap, svindelforebygging og støtte. Vi lagrer ikke fullstendige betalingskortnumre i systemene våre. Abonnementspriser er angitt i euro (EUR).

Nettstedet vårt bruker informasjonskapsler og lignende teknologier for å:

• Essensielle informasjonskapsler: sikre at nettstedet og applikasjonen fungerer korrekt (øktadministrasjon, sikkerhet og anti-bot-tokener som Cloudflare Turnstile).
• Analyse: forstå hvordan besøkende samhandler med nettstedet vårt for å forbedre brukervennligheten. Vi foretrekker personvernvennlig, informasjonskapselfri analyse der det er mulig, og eventuelle ikke-essensielle analyseinformasjonskapsler aktiveres kun med ditt samtykke.

Vi bruker ikke reklame- eller sporingsinformasjonskapsler på tvers av nettsteder på markedsføringsnettstedet vårt. Du kan administrere preferansene dine via nettleserinnstillingene eller våre informasjonskapselkontroller.

Vi selger ikke personopplysninger. Vi kan dele data med:

• Infrastruktur- og vertstjenesteleverandører (som skyleverandører) som opererer under databehandleravtaler.
• Tjenesteleverandører og underdatabehandlere som bistår med analyse, levering av e-post og meldinger, betalinger, AI-modellbehandling, anti-bot-beskyttelse (Cloudflare Turnstile) og støtte, hver bundet av kontraktsfestede taushets- og personvernforpliktelser.
• Kanalene og programvaren du kobler til (applikasjonens API, koderepositorier og meldingsplattformer som WhatsApp/Meta, Twilio, Telegram, Microsoft og Slack), som vi sender data til etter behov for å levere Tjenestene du konfigurerer.
• Tilknyttede selskaper i NCS Group, for å drifte og støtte Tjenestene.
• Rettslige myndigheter, når det kreves ved lov, rettskjennelse, eller for å fastslå, utøve eller forsvare rettslige krav.
• Virksomhetsoverdragelser, i forbindelse med en fusjon, et oppkjøp eller et salg av eiendeler, underlagt denne erklæringen.

Vi fører en liste over gjeldende underdatabehandlere, tilgjengelig på forespørsel på privacy@nordixsystems.com. Der data overføres utenfor Det europeiske økonomiske samarbeidsområdet (EØS) eller Storbritannia, sikrer vi tilstrekkelige garantier, inkludert EU-kommisjonens tilstrekkelighetsbeslutninger eller standard personvernbestemmelser (SCC-er), sammen med supplerende tiltak der det er nødvendig.

Vi lagrer personopplysninger kun så lenge det er nødvendig for å oppfylle formålene som er beskrevet i denne erklæringen, med mindre en lengre lagringsperiode er påkrevd eller tillatt ved lov.

• Lead-, demo- og kontodata lagres i hele forholdets varighet og i inntil 5 år etter opphør, av rettslige og revisjonsmessige hensyn.
• Nyhetsbrevdata lagres til du melder deg av, hvoretter undertrykkelsesdata beholdes for å etterkomme avmeldingen din.
• Samtale-, kjøretids- og revisjonsdata som behandles på vegne av en partner, lagres i henhold til partnerens konfigurasjon og DPA-en.
• Analysedata aggregeres eller anonymiseres, vanligvis innen 26 måneder.

Du kan be om sletting når som helst, underlagt rettslige lagringsforpliktelser og, der vi opptrer som databehandler, den behandlingsansvarlige partnerens instruksjoner.

Under GDPR, den britiske GDPR, LGPD og andre gjeldende personvernlover kan du ha rett til å:

• Få innsyn i personopplysningene dine og motta en kopi.
• Korrigere unøyaktige eller ufullstendige data.
• Slette dataene dine ("retten til å bli glemt") der det er aktuelt.
• Begrense eller protestere mot behandling under visse omstendigheter, inkludert direkte markedsføring.
• Dataportabilitet — motta dataene dine i et strukturert, maskinlesbart format.
• Trekke tilbake samtykke når som helst der behandlingen er basert på samtykke.

For å utøve disse rettighetene, kontakt privacy@nordixsystems.com. Vi vil svare innen fristen som kreves etter gjeldende lov (vanligvis innen 30 dager). Der vi behandler dataene dine på vegne av en partner (som databehandler), vil vi videresende forespørselen din til den behandlingsansvarlige og bistå med å besvare den.

Vi gjennomfører tekniske og organisatoriske tiltak for å beskytte dataene dine, inkludert:

• Kryptering under overføring (TLS) og i hvile (AES-256).
• Signering av kall på identitetsbroen: HMAC med tidsstempel og nonce for å forhindre replay, og step-up-bekreftelse for destruktive operasjoner.
• Eierskapsbevis ved den første bruker↔kanal-koblingen (som en engangskode) og rotasjon av nøkler/hemmeligheter for verification keys og webhook-hemmeligheter.
• Legitimasjon lagret i en administrert vault/KMS, vist maskert og aldri til stede i logger.
• Rollebasert tilgangskontroll, minste privilegium, isolasjon mellom leietakere (multi-tenant) og fullstendig revisjonslogging.
• En publisert tillatelsesliste (allowlist) for utgående IP-er slik at du kan begrense brannmuren din, i tillegg til hastighetsbegrensning og overvåking av misbruk.
• Prosedyrer for hendelseshåndtering og varsling om brudd i samsvar med GDPR artikkel 33/34 og tilsvarende lover.

Vi opererer på tvers av flere jurisdiksjoner og kan betjene brukere i EØS, Storbritannia, Norge, Brasil og andre steder. Uansett hvor du befinner deg, anvender vi beskyttelsen beskrevet i denne erklæringen og passende garantier for enhver grenseoverskridende overføring.

For brukere i Brasil behandler vi personopplysninger i samsvar med LGPD; for brukere i Storbritannia i samsvar med den britiske GDPR; og for brukere i EØS og Norge i samsvar med GDPR og norsk gjennomføringslovgivning.

Tjenestene våre er utformet for forretningsmessig og profesjonell bruk og er ikke rettet mot personer under 16 år (eller den gjeldende alderen i din jurisdiksjon). Vi samler ikke bevisst inn personopplysninger fra barn. Hvis du mener at vi utilsiktet har samlet inn slike data, vennligst kontakt oss slik at vi kan iverksette passende tiltak.

Nettstedet vårt og Tjenestene kan lenke til, eller integreres med, tredjeparts nettsteder og tjenester som vi ikke kontrollerer. Denne personvernerklæringen gjelder ikke for disse tredjepartene, og vi er ikke ansvarlige for deres personvernpraksis. Vi oppfordrer deg til å gjennomgå personvernmerknadene til enhver tredjepartstjeneste du bruker eller kobler til.

Vi kan oppdatere denne personvernerklæringen fra tid til annen for å gjenspeile endringer i vår praksis, Tjenestene eller rettslige krav. Vi vil publisere den oppdaterte erklæringen med en revidert ikrafttredelsesdato og, der endringene er vesentlige, gi ytterligere varsel gjennom Tjenestene eller via e-post.

Hvis du har spørsmål om denne personvernerklæringen eller vår databehandlingspraksis, kontakt oss på privacy@nordixsystems.com. Vår kontakt for personvern er dpo@ncsengine.com. Du kan også bruke kontaktskjemaet på nettstedet vårt.

Du har rett til å sende inn en klage til din lokale personvernmyndighet (for eksempel norske Datatilsynet, tilsynsmyndigheten i ditt EU/EØS-land, britiske ICO eller brasilianske ANPD) hvis du mener at dataene dine er behandlet i strid med gjeldende lov.