1. Hvem erklæringen gjelder for
10 X Holding AS, org.nr. 911 709 163, leverer HRflyt. Personvernhenvendelser: partner@hrflyt.no.
Forretningsadresse: 10 X Holding AS, Teglverksveien 17, 3413 Lier · org.nr. 911 709 163.
Vi har to ulike roller etter personvernregelverket. Rollene og ansvaret er forklart nedenfor.
2. HRflyt som behandlingsansvarlig
10 X Holding AS er behandlingsansvarlig når vi bestemmer hvorfor og hvordan opplysninger behandles i forbindelse med nettsiden og kundeforholdet.
| Formål og opplysninger | Rettslig grunnlag | Lagringstid | Mottakere |
|---|---|---|---|
| Opprette og administrere kundeforholdet: kontaktperson, virksomhet, konto og kommunikasjon | Avtale, art. 6(1)(b), og berettiget interesse i å administrere bedriftskunder, art. 6(1)(f) | Så lenge kundeforholdet varer, og inntil 3 år etter avslutning for å håndtere eventuelle krav (foreldelsesloven § 2). | Lovable, Supabase og e-posttjenesten |
| Kontaktskjema, demo- og partnerforespørsler: navn, e-post, telefon og opplysninger i henvendelsen | Tiltak før avtale, art. 6(1)(b), eller berettiget interesse i å besvare henvendelser, art. 6(1)(f) | Inntil 12 måneder etter siste kontakt, med mindre det inngås avtale. | Lovable, Supabase og e-posttjenesten |
| Betaling og fakturering: kunde-, abonnements- og transaksjonsopplysninger | Avtale, art. 6(1)(b), og rettslig forpliktelse, art. 6(1)(c) | Salgsdokumenter og annen primærdokumentasjon oppbevares i 5 år etter regnskapsårets slutt, avtaler og korrespondanse som gir tilleggsinformasjon til bokførte opplysninger i 3 år og 6 måneder (bokføringsloven § 13). | Stripe og relevante driftsleverandører |
| Sikkerhet og drift: IP-adresse, tidspunkt, nettleser-/enhetsdata og tekniske logger | Berettiget interesse i sikker og stabil drift, art. 6(1)(f) | Normalt inntil 12 måneder, lenger ved pågående hendelse eller tvist. | Lovable, Supabase og Vercel |
| Tjenestemeldinger og nødvendig informasjon til kunder om tjenesten (f.eks. sikkerhetsvarsler, endringer i vilkår) | Avtale, art. 6(1)(b) | Så lenge kundeforholdet varer, og inntil 3 år etter avslutning for å håndtere eventuelle krav (foreldelsesloven § 2). | E-posttjenesten |
| Markedsføring på e-post til bedriftskunder og kontaktpersoner i bedrifter | Berettiget interesse, art. 6(1)(f), jf. markedsføringsloven § 15 | Til du reserverer deg. Hver e-post har enkel avmelding. | E-posttjenesten |
Berettiget interesse: Der vi bygger på art. 6(1)(f), har vi vurdert at vår interesse i å drifte, sikre og følge opp kundeforholdet veier tyngre enn personvernulempen, fordi opplysningene er begrensede og knyttet til en bedriftsrelasjon. Du kan be om vurderingen og protestere, jf. art. 21.
Plikt til å oppgi opplysninger: Opplysninger som kreves for å opprette konto og levere tjenesten, er nødvendige for å inngå avtalen. Uten dem kan vi ikke levere tjenesten. Øvrige opplysninger er frivillige.
Automatiserte avgjørelser: Vi treffer ikke avgjørelser som utelukkende bygger på automatisert behandling, herunder profilering, med rettsvirkning eller tilsvarende betydning for deg (art. 22). Kvitteringstolkning (OCR) gir bare et forslag som brukeren selv kontrollerer og sender inn.
3. HRflyt som databehandler
For personopplysninger arbeidsgiveren legger inn om ansatte, er arbeidsgiveren behandlingsansvarlig og 10 X Holding AS databehandler. Dette omfatter blant annet timer, fravær, utlegg, arbeidsavtaler, lønnsopplysninger, medarbeidersamtaler og dokumenter.
Fraværstyper som egenmelding og sykmelding kan være helseopplysninger etter GDPR art. 9. Brukere bes om ikke å oppgi diagnose. Behandlingen skjer etter arbeidsgiverens dokumenterte instrukser og reguleres av vår databehandleravtale.
Arbeidsgiverens behandling av opplysninger om fravær på grunn av sykdom bygger normalt på GDPR art. 9(2)(b), jf. personopplysningsloven § 6 og folketrygdlovens regler om egenmelding og sykmelding. Arbeidsgiver har ikke krav på diagnose.
Tidsregistrering og oversikt over arbeidstid skjer for å oppfylle arbeidsgivers plikt etter arbeidsmiljøloven § 10-7. Arbeidsgiveren er ansvarlig for å informere ansatte og eventuelt drøfte kontrolltiltak med tillitsvalgte etter arbeidsmiljøloven kapittel 9.
HRflyts personell har ikke rutinemessig tilgang til kundenes ansattdata. Tilgang gis bare når det er nødvendig for brukerstøtte, feilretting eller sikkerhet, etter Kundens instruks, og tilgangen er begrenset og logges.
Ansatte som vil bruke rettighetene sine, skal kontakte arbeidsgiveren. Vi bistår arbeidsgiveren med å besvare slike krav. Ansatte kan også laste ned egne data i appen.
Svar i anonyme medarbeiderundersøkelser lagres uten kobling til person. Resultater vises først når minst fem svar er mottatt.
HRflyt-assistenten (AI-chat) brukes bare når arbeidsgiverens administrator har slått den på. Da sendes det brukeren skriver og nødvendige data for forespørselen til Google Gemini via Lovable AI Gateway. Assistenten kjører med brukerens egne tilganger, krever bekreftelse før endringer lagres, og samtaler slettes etter 30 dager. Assistenten skal ikke brukes til å oppgi eller behandle diagnose.
4. Underleverandører og overføringer
Data lagres i EU. Enkelte leverandører er amerikanske, og behandling kan derfor innebære overføring utenfor EU/EØS.
| Navn | Formål | Lokasjon og overføringsgrunnlag |
|---|---|---|
| Lovable | Applikasjonsplattform, drift og e-posttjeneste fra notify.hrflyt.no | Svensk selskap (EU). Behandling i EU/EØS der tjenesten tilbyr det. Eventuelle overføringer til USA bygger på SCC og/eller EU–US Data Privacy Framework. |
| Supabase | Database, autentisering og fillagring gjennom Lovable Cloud | Data lagres i EU. Konkret driftsregion er ikke bekreftet av eier. Eventuelle overføringer til USA bygger på SCC og/eller EU–US Data Privacy Framework. |
| Vercel | Hosting og levering av frontend | Amerikansk leverandør. Overføring bygger på SCC og/eller EU–US Data Privacy Framework. |
| Stripe | Betalingsbehandling og faktureringsrelaterte opplysninger | Amerikansk leverandør. Overføring bygger på SCC og/eller EU–US Data Privacy Framework. |
| Kvitteringstolkning og HRflyt-assistenten (AI-chat) med Gemini via Lovable AI Gateway. Assistenten brukes bare når kundens administrator har slått den på; da sendes det brukeren skriver og nødvendige data for forespørselen til leverandøren. | Amerikansk leverandør. Behandlingen kan innebære overføring utenfor EU/EØS og bygger på SCC og/eller EU–US Data Privacy Framework. | |
| Lovables e-posttjeneste | Utsending av tjenestemeldinger fra notify.hrflyt.no | Behandling i EU/EØS der tjenesten tilbyr det. Eventuelle overføringer til USA bygger på SCC og/eller EU–US Data Privacy Framework. |
5. Sletting og eksport
Kunden kan be om sletting av bedriftskontoen i appen. Kunden må eksportere data den har behov for før sletting. Data slettes permanent 30 dager etter forespørselen. Kopier i sikkerhetskopier slettes ved ordinær rotasjon og senest innen 90 dager. Data i sikkerhetskopier er ikke tilgjengelige for annen bruk i mellomtiden.
Kunden er selv ansvarlig for lovpålagt oppbevaring, blant annet etter bokføringsloven, og må eksportere nødvendig materiale før sletting.
6. Dine rettigheter
Du kan, når vilkårene i loven er oppfylt, be om innsyn, retting, sletting, begrensning og dataportabilitet, og protestere mot behandling som bygger på berettiget interesse. Send krav til partner@hrflyt.no. Vi svarer uten ugrunnet opphold og senest innen én måned. Fristen kan forlenges med inntil to nye måneder ved komplekse eller mange krav; da får du beskjed innen én måned (art. 12(3)).
Du kan klage til Datatilsynet, Postboks 458 Sentrum, 0105 Oslo.
7. Informasjonskapsler
Nettsiden bruker kun nødvendige informasjonskapsler og lokal lagring for tekniske funksjoner, som økthåndtering, jf. ekomloven § 3-15. Nødvendige informasjonskapsler krever ikke samtykke. Dersom vi senere tar i bruk analyse- eller markedsføringsverktøy, innhenter vi samtykke først. Kodegjennomgangen per versjonsdato fant ingen analyse-, sporings- eller reklameverktøy på nettsiden.
8. Endringer og kontakt
Vi oppdaterer erklæringen når behandlingen eller regelverket endres. Vesentlige endringer varsles når det er nødvendig. Spørsmål kan sendes til partner@hrflyt.no.
Dokumentet er utarbeidet med utgangspunkt i GDPR, personopplysningsloven, arbeidsmiljøloven, bokføringsloven, e-handelsloven, markedsføringsloven og ekomloven. Spørsmål kan rettes til partner@hrflyt.no.