1. Hvem som er ansvarlig
Systemverk AS, organisasjonsnummer 823 415 842, er behandlingsansvarlig for personopplysningene som beskrives her.
Denne erklæringen gjelder opplysninger om deg som kunde, bruker og besøkende. Den gjelder ikke personopplysninger du selv sender inn i API-kall – der er du behandlingsansvarlig og vi databehandler, og da gjelder databehandleravtalen. Se punkt 4.
2. Hvilke opplysninger vi behandler
| Kategori | Hva det er |
|---|---|
| Kontoopplysninger | Navn, e-postadresse, hashet passord, tidspunkt for e-postbekreftelse og hvilket arbeidsområde du har tilgang til. |
| Arbeidsområde | Navn på arbeidsområdet og e-postadressen som er registrert på det. Opplysninger til bruk ved fakturering samles først inn den dagen du velger en betalt pakke. |
| API-nøkler | Navn på nøkkelen, scopes, tidspunkt for opprettelse og sist bruk. Selve nøkkelen lagres kun som en hash. |
| Forbruksdata | Per API-kall: tidspunkt, arbeidsområde- og nøkkelidentifikator, HTTP-metode, endepunkt og sti (som kan inneholde identifikatorer fra URL-banen), statuskode, svartid, brukeragent, eventuell forespørsels-ID fra X-Request-Id eller X-Correlation-Id, og en saltet hash av IP-adressen. |
| Driftslogger | Feilmeldinger og tekniske hendelser fra applikasjonen og infrastrukturen. |
| Henvendelser | E-poster du sender oss og vår korrespondanse med deg. |
3. Formål og rettslig grunnlag
- Levere Tjenesten – opprette og administrere konto, autentisere kall, håndheve kvoter. Grunnlag: oppfyllelse av avtale, personvernforordningen artikkel 6 nr. 1 bokstav b.
- Fakturering hvis betalte pakker tilbys – beregne forbruk og sende faktura. Grunnlag: avtale, og rettslig forpliktelse (bokføringsloven) for selve regnskapsdokumentasjonen, artikkel 6 nr. 1 bokstav b og c.
- Sikkerhet og misbruksforebygging – oppdage kompromitterte nøkler, uvanlige trafikkmønstre og forsøk på å omgå kvoter. Grunnlag: berettiget interesse, artikkel 6 nr. 1 bokstav f.
- Drift og feilsøking – holde Tjenesten oppe og finne årsaken når noe feiler. Grunnlag: berettiget interesse, artikkel 6 nr. 1 bokstav f.
- Kundeoppfølging – svare på henvendelser og varsle om vesentlige endringer i Tjenesten. Grunnlag: avtale og berettiget interesse.
Vi sender ikke markedsføring uten at du har bedt om det, og vi selger aldri personopplysninger.
4. Hva vi logger av API-kallene dine
Dette punktet fortjener å være tydelig, fordi et adresse-API håndterer data som ofte er personopplysninger.
Vi logger ikke spørringsparametere, forespørselskropp
eller innholdet i svarene. Søker du opp «Storgata 10, Oslo» for en av dine
kunder, lagres ikke søkestrengen i forbrukslogen – bare at det ble gjort et
kall mot /v1/addresses, når, med hvilken nøkkel, med hvilken
statuskode og hvor lang tid det tok.
Stien lagres slik den er, og for oppslag med identifikator i URL-en –
for eksempel /v1/postal-codes/5003 – inngår den verdien i
stien. IP-adressen lagres aldri i klartekst, men som en saltet SHA-256-verdi vi bruker til å skille trafikkmønstre fra hverandre uten å kunne lese adressen ut igjen. Autorisasjonsheadere og informasjonskapsler logges
aldri.
Dette gjelder forbruksloggen. For ytelse kan enkelte API-svar fra offentlige registre også ligge midlertidig i en intern hurtigbuffer, med utløp etter endepunktets konfigurerte tidsrom eller tidligere ved dataoppdatering. Fritekstsøk og koordinatsøk mellomlagres ikke. Cache-nøkkelen for enkelte oppslag er hashet eller bruker en registeridentifikator.
Driftslogger kan i feilsituasjoner inneholde mer kontekst enn dette. De brukes bare til feilsøking og har kort levetid.
5. Hvem vi deler med
Gigahost AS leverer hosting, servere og lagring i Norge. Eventuelle underdatabehandlere hos Gigahost skal avklares. Per i dag bruker vi ingen andre eksterne leverandører til produksjonsdrift eller e-postutsending. Gjeldende liste står i databehandleravtalen.
Vi tilbyr ikke betalte pakker nå og bruker derfor ingen betalingsleverandør.
Ut over dette deler vi personopplysninger bare når vi er rettslig forpliktet til det, eller når det er nødvendig for å fastsette, gjøre gjeldende eller forsvare et rettskrav.
Vi tilstreber at behandlingen skjer innenfor EU/EØS. Skjer en overføring til land utenfor EØS, sikres den med EUs standard personvernbestemmelser (SCC) og en vurdering av forholdene i mottakerlandet.
6. Hvor lenge vi lagrer
- Kontoopplysninger – så lenge kontoen er aktiv, og slettes innen 90 dager etter at den er avsluttet.
- Detaljert forbrukslogg – 7 dager, deretter slettes hver enkelt rad automatisk. Radene brukes til forbruksoversikten din og til å bygge opp kvoteberegningen igjen.
- Aggregert forbruksstatistikk – oppsummeringer per dag beholdes i 2 år. De inneholder antall, ikke enkeltkall. Månedlige oppsummeringer beholdes uten tidsbegrensning.
- Regnskapsmateriale – 5 år etter regnskapsårets slutt, som bokføringsloven krever.
- Driftslogger – slettes fortløpende, normalt innen 30 dager.
- Henvendelser – så lenge det er nødvendig for å følge opp saken, normalt inntil 2 år.
7. Dine rettigheter
Du har rett til innsyn i opplysningene vi har om deg, til å få rettet feil, til å få opplysninger slettet, til å kreve begrensning av behandlingen, til dataportabilitet, og til å protestere mot behandling som bygger på berettiget interesse.
Send en henvendelse til post@systemverk.no, så svarer vi normalt innen 30 dager. Vi kan be om at du bekrefter identiteten din før vi utleverer opplysninger.
Mener du at vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet. Vi setter pris på om du tar det opp med oss først.
9. Sikkerhet
All trafikk går over TLS. Passord lagres hashet med en moderne algoritme, og API-nøkler lagres kun som hash – vi kan ikke lese dem ut igjen, heller ikke for å hjelpe deg. Tilgang til produksjonsdata er begrenset til dem som trenger den for å drifte Tjenesten.
Oppdager vi et brudd på personopplysningssikkerheten, melder vi fra til Datatilsynet innen 72 timer der regelverket krever det, og varsler berørte kunder uten ugrunnet opphold.
10. Endringer
Vi kan oppdatere denne erklæringen. Datoen øverst viser når den sist ble endret. Ved vesentlige endringer varsler vi på e-post til adressen som er registrert på arbeidsområdet. Se også vilkårene for bruk.
11. Kontakt
Systemverk AS
Organisasjonsnummer 823 415 842
Solveien 13B, 4879 Grimstad
post@systemverk.no
Vi har ikke plikt til å ha personvernombud og har ikke oppnevnt et. Henvendelser om personvern går til adressen over.