Personvernerklæring for Guarditec og Guarditec Work
Denne erklæringen beskriver hvordan personopplysninger behandles ved bruk av Guarditec, mobilappen Guarditec Work (også kalt GuarditecWork), og nettsiden www.guarditec.no. Guarditec er et arbeidsverktøy for virksomheter og deres ansatte. Hvilke opplysninger som behandles, avhenger av hvilke moduler virksomheten bruker, din rolle og funksjonene du benytter.
1 Hvem har ansvar for opplysningene
Guarditec leveres av Ett Hakk Opp AS, organisasjonsnummer 929 888 758, med adresse Rolvsøyveien 201, 1617 Fredrikstad. Du kan kontakte oss om personvern på kontakt@guarditec.no.
Når arbeidsgiveren din eller et annet kundeselskap bruker Guarditec til å administrere ansatte, kunder og oppdrag, er kundeselskapet normalt behandlingsansvarlig. Kundeselskapet bestemmer formålene med behandlingen, hvilke opplysninger som registreres, hvem som skal ha tilgang og hvor lenge opplysningene skal oppbevares. Vi behandler disse opplysningene på kundens vegne som databehandler, i samsvar med databehandleravtalen og kundens dokumenterte instrukser.
Vi er selv behandlingsansvarlig for behandling der vi bestemmer formålet, for eksempel egne kundehenvendelser og administrasjon av vårt kundeforhold. For drifts- og sikkerhetsopplysninger avhenger rollen av om behandlingen skjer på kundens vegne eller for våre egne dokumenterte formål. Denne erklæringen erstatter ikke arbeidsgiverens informasjon om behandling av ansattopplysninger.
2 Hvilke opplysninger som behandles
Opplysninger kan komme fra deg, arbeidsgiveren din, virksomhetens administrator, andre autoriserte brukere, kunder eller integrasjoner virksomheten har tatt i bruk. Følgende kategorier kan behandles:
- Bruker og arbeidsforhold: navn, e-post, telefonnummer, bruker- og ansattidentifikator, selskapstilknytning, rolle, tilganger, skift, oppgaver og timeføringer. HR-moduler kan også inneholde kompetanse, fravær, lønnsopplysninger og personaldokumenter.
- Kunder og oppdrag: kontaktpersoner, adresser, lokasjoner, avtaler, instrukser, arbeidsordre, servicehistorikk og dokumentasjon.
- Rapportering og kommunikasjon: rapporttekst, hendelser, avvik, sjekklister, bilder, vedlegg, signaturer der funksjonen benyttes, meldinger og opplysninger om hvem som har utført eller godkjent en handling.
- Posisjon og kontrollpunkter: geografisk posisjon, posisjonens nøyaktighet, tidspunkt og tilknytning til aktivt skift eller oppdrag, samt registreringer fra NFC-kontrollpunkter.
- Enhets- og driftsdata: IP-adresse, nettleser- og enhetsopplysninger, appversjon, enhetsregistrering, varslingsidentifikatorer, innloggings- og sikkerhetshendelser og tekniske feilmeldinger.
- Integrasjoner: innhold, mottakere, kontoidentifikatorer og nødvendige tilgangsopplysninger for tjenester virksomheten har koblet til, som e-post, SMS og sosiale medier.
Rapporter og vedlegg kan inneholde opplysninger om andre personer. Registrer bare det som er nødvendig for oppdraget. Opplysninger om helse, straffbare forhold eller andre særlig beskyttede forhold krever særskilt vurdering og rettslig grunnlag hos kundeselskapet.
3 Hva opplysningene brukes til
Opplysningene brukes til innlogging og tilgangsstyring, planlegging og gjennomføring av arbeid, oversikt over aktive skift, dokumentasjon av kontrollpunkter og oppdrag, rapportering, kommunikasjon, timebehandling og oppfølging. Driftsopplysninger brukes til å levere tjenesten, rette feil og beskytte kontoer og data mot misbruk.
For opplysninger vi behandler på kundens vegne, fastsetter kunden behandlingsgrunnlaget. Arbeidsgiveren må informere ansatte særskilt om blant annet posisjonsdeling og eventuell kontroll av arbeidsutførelsen. Tillatelse til posisjon i Android er ikke i seg selv et behandlingsgrunnlag etter personvernregelverket.
For vår egen behandling er aktuelle grunnlag personvernforordningen artikkel 6 nr. 1 bokstav b når behandlingen er nødvendig for en avtale med deg som person, bokstav c for konkrete rettslige plikter og bokstav f for berettigede interesser i kundedialog, administrasjon og sikker drift. Samtykke etter bokstav a brukes der behandlingen faktisk er valgfri og samtykkebasert.
For dialog med kontaktpersoner hos bedriftskunder bygger vi på vår berettigede interesse i å besvare henvendelser og administrere kundeforhold. For sikkerhetsarbeid er interessen å beskytte tjenesten og brukernes opplysninger mot misbruk. Lovpålagt oppbevaring av regnskapsmateriale følger bokføringsregelverket. Vi vurderer nødvendighet og hensynet til den registrerte ved bruk av berettiget interesse.
Brukeridentitet og selskapstilknytning er nødvendig for å gi tilgang. Enkelte opplysninger kan være nødvendige for å gjennomføre et oppdrag eller fylle ut en pålagt rapport. Dersom du ikke gir disse opplysningene, kan den aktuelle funksjonen bli utilgjengelig. Arbeidsgiveren informerer om eventuelle arbeidsrelaterte krav.
4 Posisjon i Guarditec Work
Guarditec Work kan dele posisjonen din med autoriserte brukere i virksomheten, for eksempel operasjonssentralen (SOC), i forbindelse med et aktivt skift. Formålet er operativ oversikt, koordinering og oppfølging av oppdrag.
Posisjonsfunksjonen krever tillatelse på enheten. Ved aktiv deling bruker Android-appen en forgrunnstjeneste med et vedvarende varsel om at posisjonen deles på aktivt skift. Deling kan derfor fortsette når appen ikke er på skjermen. Dette er ikke det samme som at posisjon bare behandles mens du ser på appen.
Tjenesten kontrollerer at posisjonsdelingen fortsatt er knyttet til et gyldig aktivt skift. Du kan endre appens posisjonstillatelse i Android-innstillingene. Dersom tillatelsen fjernes, kan posisjonsbaserte funksjoner slutte å fungere.
Registreringer av kontrollpunkter og posisjon knyttet til en konkret hendelse kan inngå i oppdragsdokumentasjonen. Tilgang og lagring av slike registreringer følger formålet med oppdraget og reglene om oppbevaring nedenfor. Kontakt arbeidsgiveren din for informasjon om hvilke posisjonsfunksjoner virksomheten bruker og hvem som har tilgang.
5 Bilder NFC varsler og lokal lagring
Bilder og vedlegg: Bilder og filer du velger eller tar i forbindelse med rapportering, kan lastes opp og knyttes til oppdraget. De blir tilgjengelige for mottakere med tilgang til oppdraget eller rapporten.
NFC: NFC brukes til å identifisere kontrollpunkter og dokumentere utført kontroll. En registrering kan knytte kontrollpunktet til bruker, oppdrag og tidspunkt.
Varsler: Pushvarsler leveres via Google Firebase Cloud Messaging. Tjenesten bruker tekniske installasjons- og varslingsidentifikatorer for å levere varsler til riktig enhet. Du kan styre visning av varsler i enhetsinnstillingene.
Lokal lagring: Appen og nettklienten kan lagre nødvendige innstillinger, innloggingsinformasjon og arbeidsdata lokalt for å støtte bruk og synkronisering. Registreringer som venter på nettforbindelse kan sendes når forbindelsen er tilbake. Unngå å slette appdata før usendte registreringer er synkronisert.
På delte enheter må brukerne følge virksomhetens rutiner for innlogging, utlogging og sikring av enheten. Meldinger kan vises på låseskjermen avhengig av enhetens varslingsinnstillinger. Tilpass innstillingene dersom andre kan se skjermen.
6 Hvem kan motta opplysningene
Opplysninger kan være tilgjengelige for autoriserte brukere hos kundeselskapet og for mottakere kunden velger, for eksempel en kunde som mottar en oppdragsrapport. Tilgangen skal følge virksomhetens roller og oppdragstildeling. Leverandører som bistår med drift, lagring eller meldingslevering kan behandle nødvendige opplysninger som del av tjenestene sine.
Guarditecs tekniske oppsett omfatter Cloudflare for applikasjonsdrift og filfunksjoner, Supabase/PostgreSQL for databasefunksjoner og Google Firebase Cloud Messaging for pushvarsler. E-post, SMS, AI og andre integrasjoner kan medføre ytterligere mottakere når funksjonene tas i bruk.
- Cloudflare: applikasjonsdrift, nettverkssikkerhet og filfunksjoner; kan behandle forespørsler, IP-adresser, tekniske logger og innhold som tjenesten håndterer.
- Supabase: databasefunksjoner for virksomhets-, bruker- og oppdragsopplysninger.
- Google Firebase Cloud Messaging: levering av pushvarsler med installasjonsidentifikatorer og varslingsinnhold.
- Resend: e-postlevering, herunder mottakeropplysninger og meldingsinnhold fra nettsidens kontaktskjema.
- Google reCAPTCHA Enterprise og Google Fonts: sikkerhetskontroll for kontaktskjemaet og levering av nettsidens skrifttyper.
- Valgte integrasjoner: leverandører av AI, SMS, kart, e-post og sosiale medier kan motta de opplysningene som er nødvendige for funksjonen virksomheten bruker.
Du kan kontakte oss for nærmere informasjon om leverandører og databehandleravtaler som gjelder din bruk. Opplysninger kan også utleveres når dette følger av en rettslig plikt.
Ved bruk av Marked og SoMe kan virksomheten koble til kontoer hos eksempelvis Meta, LinkedIn, TikTok eller Google/YouTube. Innhold og nødvendig kontoinformasjon sendes til den valgte plattformen for funksjonene virksomheten bruker. Plattformenes behandling reguleres også av deres egne personvernregler.
Formålet med behandling av virksomhetens arbeidsdata er å levere og følge opp tjenesten. Virksomhetens administrator bestemmer hvilke valgfrie integrasjoner og mottakere som skal brukes.
7 Kunstig intelligens
Når virksomheten benytter AI-funksjoner, kan tekst og annen relevant informasjon som inngår i funksjonen bli behandlet av en ekstern AI-leverandør. Dette kan omfatte personopplysninger dersom de inngår i materialet som sendes. Virksomheten må begrense innholdet til det som er nødvendig og tillatt for formålet.
AI-funksjoner kan blant annet brukes til tekst- og rapportstøtte. OpenAI kan være mottaker når en funksjon benytter denne leverandøren. Den aktuelle funksjonen og innholdet som behandles bestemmer hvilke opplysninger som sendes. AI-genererte forslag må vurderes av en ansvarlig bruker før de brukes som grunnlag for oppfølging av personer. Kontakt oss for informasjon om leverandør, lagring og vilkår for den aktuelle funksjonen. Denne erklæringen gir ikke kunden et selvstendig grunnlag for å sende sensitive opplysninger til en AI-tjeneste.
8 Hvor opplysningene behandles
Guarditecs primære database er plassert i Irland, innenfor EU. Dette beskriver plasseringen av primærdatabasen og innebærer ikke at all behandling hos alle leverandører skjer i Norge eller EU/EØS.
Drift, nettverk, support og integrasjoner kan medføre behandling utenfor EU/EØS, blant annet hos internasjonale leverandører med virksomhet i USA. Dette kan gjelde tekniske data, varslingsdata og innhold som behandles gjennom e-post eller AI-funksjoner.
Overføring utenfor EU/EØS skal ha et gyldig overføringsgrunnlag. Aktuelle grunnlag er en adekvansbeslutning som dekker den aktuelle mottakeren og behandlingen, eller EU-kommisjonens standard personvernbestemmelser med nødvendige tilleggstiltak. Grunnlaget må vurderes for den enkelte leverandøren. Du kan kontakte kontakt@guarditec.no for informasjon om hvilke overføringer og garantier som gjelder opplysningene dine, og hvordan du kan få kopi eller nærmere informasjon om garantiene.
9 Hvor lenge opplysningene lagres
Innrapporterte opplysninger knyttet til ansatte, kunder og oppdrag oppbevares så lenge det aktuelle arbeids- eller kundeforholdet består og opplysningene er nødvendige for dokumenterte formål. Et aktivt forhold er ikke i seg selv grunn til å beholde alle opplysninger. Opplysninger som ikke lenger er nødvendige skal slettes eller anonymiseres, også uten at noen ber om det.
Etter at det aktuelle arbeids- eller kundeforholdet er avsluttet, er hovedregelen oppbevaring i inntil 12 måneder fra opphørsdatoen, i den utstrekning det er nødvendig for avsluttende oppfølging, dokumentasjon og håndtering av spørsmål knyttet til forholdet. Opplysningene skal deretter slettes eller anonymiseres. For kundeselskapets data gjennomføres dette etter dokumenterte instrukser fra kunden og databehandleravtalen.
Dersom selve avtalen mellom kundeselskapet og Guarditec avsluttes, håndteres tilbakelevering og sletting etter databehandleravtalen. Tolvmånedersfristen gir ikke en selvstendig rett til å beholde kundens data i strid med avtalen eller en gyldig sletteinstruks.
En gyldig sletteforespørsel kan føre til tidligere sletting. Opplysninger som må oppbevares etter lov, for eksempel bestemte regnskapsopplysninger, eller som er nødvendige for å fastsette, gjøre gjeldende eller forsvare rettskrav, kan beholdes lenger på et særskilt grunnlag. Unntaket skal begrenses til de opplysningene og den perioden som faktisk er nødvendig.
Posisjonsdata, tekniske logger og midlertidige data skal oppbevares etter sitt konkrete formål og behov; tolvmånedersfristen er ikke en generell lagringstid for kontinuerlig posisjon eller alle logger. For henvendelser som ikke fører til et kundeforhold, vurderes behovet ut fra om saken er besvart og om videre oppfølging er nødvendig.
Slettehåndteringen må også omfatte kopier, vedlegg og sikkerhetskopier. Der data i en sikkerhetskopi ikke kan slettes enkeltvis, skal de holdes utenfor vanlig bruk frem til kopien utløper, og sletting skal ivaretas ved eventuell gjenoppretting. Kontakt oss eller kundeselskapet for lagringskriteriene og slettehåndteringen som gjelder den aktuelle datakategorien.
10 Sikkerhet
Guarditec bruker innlogging, tilgangsstyring og avgrensning mellom kundeselskaper. Android-appen er konfigurert for kryptert nettkommunikasjon. Sikkerhets- og driftslogger brukes til å følge opp feil og uønskede hendelser.
Tilgang til personopplysninger skal begrenses til personer med et tjenstlig behov. Kundeselskapet har ansvar for å holde brukerrettigheter oppdatert og sikre enhetene som brukes. Mistanke om uautorisert tilgang eller andre personvernhendelser kan meldes til kontakt@guarditec.no.
11 Dine rettigheter og sletting av konto
Du kan, når vilkårene er oppfylt, be om innsyn, retting, sletting, begrensning av behandling og dataportabilitet. Du kan protestere mot behandling som bygger på berettigede interesser. Dersom behandlingen bygger på samtykke, kan du trekke samtykket tilbake uten at det påvirker lovligheten av tidligere behandling.
For opplysninger arbeidsgiveren din eller et annet kundeselskap er ansvarlig for, henvender du deg til den aktuelle virksomheten. Du kan også kontakte oss på kontakt@guarditec.no, så hjelper vi med å avklare ansvar og videre behandling av henvendelsen.
For å be om sletting av en Guarditec Work-konto og tilknyttede personopplysninger, kontakt kontakt@guarditec.no. Oppgi hvilket selskap kontoen er knyttet til og hvilken bruker henvendelsen gjelder. Ikke send passord. Identiteten din må kontrolleres før vi gir ut eller sletter opplysninger.
Å deaktivere en konto er ikke det samme som å slette personopplysninger. Dersom enkelte opplysninger må beholdes av rettslige grunner, skal du få informasjon om hvilke opplysninger dette gjelder, begrunnelsen og lagringstiden. Avinstallering av appen sletter ikke automatisk opplysninger som allerede er sendt til tjenesten.
Rettighetsforespørsler skal normalt besvares uten ugrunnet opphold og senest innen én måned. Ved behov for en lovlig fristforlengelse skal du få beskjed og begrunnelse. Du har rett til å klage til Datatilsynet.
12 Nettsiden og informasjonskapsler
Ved besøk på www.guarditec.no kan tekniske opplysninger som IP-adresse og forespørselsdata behandles for å levere og beskytte nettsiden. Opplysninger du gir i kontaktskjema eller e-post brukes til å håndtere henvendelsen. Kontaktskjemaet sender navn, bedrift, e-post, eventuelt telefonnummer, valgte moduler og melding gjennom Resend til kontakt@guarditec.no. Google reCAPTCHA Enterprise brukes for å skille legitime henvendelser fra automatisert misbruk. Google kan behandle tekniske opplysninger om nettleseren og samhandlingen med nettsiden som del av sikkerhetskontrollen. Nettsiden laster også skrifttyper fra Google Fonts, noe som medfører en forespørsel fra nettleseren til Google.
Google reCAPTCHA kan bruke informasjonskapsler og tekniske signaler for å forebygge misbruk. Google Fonts medfører at nettleseren henter skrifttyper fra Google. Se Googles personvernregler for deres behandling. Du kan styre lagring av informasjonskapsler i nettleseren, men blokkering kan påvirke kontaktskjemaets sikkerhetskontroll. Du kan alternativt kontakte oss direkte på e-post. Denne personvernsiden bruker ingen eksterne skrifttyper eller reCAPTCHA.
13 Endringer og kontakt
Vi oppdaterer erklæringen ved endringer i tjenesten eller behandlingen av personopplysninger. Datoen øverst viser når erklæringen sist ble oppdatert. Ved vesentlige endringer gir vi nødvendig informasjon til berørte brukere og kundeselskaper.
Personvernkontakt: Ett Hakk Opp AS
E-post: kontakt@guarditec.no
Postadresse: Rolvsøyveien 201, 1617 Fredrikstad