Personvernerklaring

1. Om denne personvernerklæringen

Denne personvernerklæringen forklarer hvordan FleetCore og ITDOK AS behandler personopplysninger i forbindelse med levering, drift, support, sikkerhet, onboarding og videreutvikling av løsningen. Erklæringen gjelder for besøkende på offentlige sider, brukere av innloggede flater, kontaktpersoner hos kunder og samarbeidspartnere, samt andre registrerte personer som opplysninger om behandles i løsningen.

2. Hvem er behandlingsansvarlig?

ITDOK AS er behandlingsansvarlig for personopplysninger som behandles i tilknytning til egne offentlige nettsider, innsalgsprosesser, supporthenvendelser, sikkerhetsarbeid, tilgangsstyring og administrasjon av FleetCore som tjeneste.

Når FleetCore brukes av en kundeorganisasjon, vil kunden normalt være behandlingsansvarlig for personopplysninger som registreres og behandles i kundens tenant, for eksempel opplysninger om ansatte, sjåfører, bileiere, kontaktpersoner, leverandører og andre registrerte. I slike tilfeller vil ITDOK AS normalt opptre som databehandler eller underleverandør, i tråd med avtaleverket med kunden.

3. Hvilke personopplysninger kan behandles?

Avhengig av hvilke moduler og prosesser som er i bruk, kan FleetCore behandle følgende kategorier personopplysninger:

1. grunnleggende identitets- og kontaktopplysninger, som navn, e-postadresse, telefonnummer, rolle, stilling og virksomhetstilknytning
2. bruker- og kontoinformasjon, som innloggingshistorikk, tenant-tilknytning, brukerroller, samtykker, passkey-oppsett, tofaktorstatus og sesjonsinformasjon
3. drifts- og aktivitetsdata, som logger, hendelser, revisjonsspor, varsler, oppgavehistorikk og annen dokumentasjon som oppstår ved bruk av løsningen
4. dokumentasjon og etterlevelsesdata, som opplastede dokumenter, kursbevis, signaturer, avvik, forespørsler og annen dokumentasjon som er relevant for arbeidsflyt, kontroll og etterlevelse
5. kommunikasjonsdata, som meldinger, supporthenvendelser, kontaktskjema, oppfølging og korrespondanse knyttet til tjenesten
6. tekniske data, som IP-adresser, nettleseropplysninger, enhetsinformasjon, sikkerhetshendelser og annen informasjon som er nødvendig for stabilitet, feilsøking og misbruksforebygging
7. opplysninger innhentet i onboarding- og signeringsprosesser, inkludert informasjon som behandles via integrasjoner og tredjepartsleverandører der dette er relevant for kundens prosess

FleetCore er ikke ment brukt til behandling av særlige kategorier personopplysninger med mindre dette er uttrykkelig avtalt og nødvendig for kundens lovlige formål.

4. Hvor får vi opplysningene fra?

Personopplysninger kan komme fra flere kilder:

1. direkte fra den registrerte, for eksempel ved innlogging, skjemaer, opplastinger, søknader eller henvendelser
2. fra kunden eller kundens administratorer, når brukere, kontaktpersoner eller annen virksomhetsrelatert informasjon registreres i løsningen
3. fra integrasjoner, offentlige registre eller tredjepartsleverandører, der dette er konfigurert av kunden eller er nødvendig for en avtalt prosess
4. automatisk generert gjennom bruk av løsningen, for eksempel ved logger, sikkerhetshendelser, revisjonsspor og systemovervåking

5. Formål med behandlingen

Personopplysninger behandles for å kunne levere og forvalte FleetCore på en sikker og effektiv måte. Dette omfatter blant annet følgende formål:

1. å opprette og administrere brukerkontoer, tilgang, roller og tenant-tilhørighet
2. å levere avtalte moduler, funksjoner, API-er, dokumentflyt og øvrige tjenester i plattformen
3. å gjennomføre onboarding, identifisering, signering, dokumentasjon og relevante arbeidsprosesser
4. å håndtere drift, overvåking, support, feilsøking, sikkerhet, revisjon og misbruksforebygging
5. å dokumentere etterlevelse, samtykker, godkjenninger, opplæring og hendelsesforløp
6. å oppfylle rettslige forpliktelser, inkludert krav etter personvernregelverk, bokføringsregler, sikkerhetskrav og eventuelle bransjespesifikke krav
7. å forbedre løsningens stabilitet, brukeropplevelse, sikkerhet og funksjonalitet

6. Behandlingsgrunnlag

Behandlingen av personopplysninger skjer på ett eller flere av følgende grunnlag, avhengig av sammenheng og rollefordeling:

1. at behandlingen er nødvendig for å oppfylle en avtale eller gjennomføre tiltak før avtaleinngåelse
2. at behandlingen er nødvendig for å oppfylle en rettslig forpliktelse
3. at behandlingen er nødvendig for formål knyttet til berettigede interesser, som sikker drift, tilgangskontroll, feilsøking, dokumentasjon og forbedring av tjenesten, så langt disse interessene ikke overstiges av den registrertes rettigheter og friheter
4. at den registrerte har gitt samtykke, der samtykke er det relevante grunnlaget

Når FleetCore brukes av en kundeorganisasjon, vil det ofte være kunden som fastsetter behandlingsgrunnlaget for opplysningene som behandles i kundens tenant.

7. Hvem kan få tilgang til opplysningene?

Tilgang til personopplysninger begrenses etter behov og rolle. Opplysninger kan være tilgjengelige for:

1. autoriserte brukere hos kunden, basert på roller, rettigheter og modultilgang
2. autoriserte medarbeidere hos ITDOK AS med behov for tilgang til drift, support, sikkerhet eller avtalte leveranser
3. databehandlere, underleverandører og integrasjonspartnere som bistår med hosting, identifisering, signering, kommunikasjon, lagring, overvåking eller annen teknisk leveranse
4. offentlige myndigheter eller andre mottakere når dette følger av lov, pålegg eller gyldig rettslig grunnlag

8. Bruk av databehandlere og tredjepartsleverandører

FleetCore kan benytte underleverandører og tredjepartsleverandører for blant annet drift, infrastruktur, sikkerhet, identifisering, signering, kommunikasjon og dokumenthåndtering. Slike leverandører brukes bare når det er saklig behov for det, og når det foreligger tilstrekkelige avtaler og organisatoriske tiltak.

Der en tredjepart behandler personopplysninger på vegne av ITDOK AS eller en kunde, skal behandlingen være regulert av databehandleravtale eller annet relevant avtalegrunnlag.

9. Overføring til land utenfor EØS

Personopplysninger skal som utgangspunkt behandles innenfor EØS, eller innenfor jurisdiksjoner og tjenestemodeller som gir et forsvarlig beskyttelsesnivå. Dersom overføring til land utenfor EØS er nødvendig, skal dette skje på grunnlag av gyldig overføringsgrunnlag, for eksempel EU-kommisjonens standard personvernbestemmelser eller annen lovlig mekanisme.

10. Lagring og sletting

Personopplysninger lagres ikke lenger enn det som er nødvendig for formålet de ble samlet inn for, med mindre lengre lagring er nødvendig for å oppfylle avtaler, rettslige forpliktelser, dokumentasjonskrav, sikkerhetsbehov eller håndtering av tvister.

Lagringstiden kan variere mellom ulike moduler, kunders oppsett og typen opplysninger det gjelder. Når opplysninger ikke lenger er nødvendige, skal de slettes, anonymiseres eller arkiveres i tråd med gjeldende regler og etablerte rutiner.

11. Informasjonssikkerhet

ITDOK AS arbeider systematisk med tekniske og organisatoriske tiltak for å beskytte personopplysninger mot uautorisert tilgang, endring, tap, misbruk eller annen ulovlig behandling. Tiltakene kan blant annet omfatte tilgangsstyring, rollebaserte rettigheter, logging, revisjonsspor, sikkerhetsoppfølging, kryptering der relevant, leverandøroppfølging og løpende forbedring av rutiner og systemer.

Ingen løsning kan garantere absolutt sikkerhet, men sikkerhetsnivået skal være tilpasset risikoen og opplysningenes art.

12. Den registrertes rettigheter

Den registrerte kan, innenfor rammene av gjeldende personvernregelverk, ha rett til å:

1. be om innsyn i hvilke personopplysninger som behandles
2. be om retting av uriktige eller ufullstendige opplysninger
3. be om sletting når vilkårene for dette er oppfylt
4. be om begrensning av behandlingen
5. protestere mot behandling som skjer på grunnlag av berettiget interesse
6. be om dataportabilitet der dette følger av regelverket
7. trekke tilbake samtykke der behandlingen bygger på samtykke

Hvis behandlingen skjer på vegne av en kundeorganisasjon, må forespørselen i mange tilfeller rettes til den aktuelle kunden som behandlingsansvarlig. ITDOK AS vil da bistå kunden i samsvar med gjeldende avtaler og regelverk.

13. Henvendelser og klager

Spørsmål om personvern i FleetCore kan rettes til ITDOK AS gjennom oppgitt kontaktkanal for personvern, support eller kontraktsoppfølging. Dersom du mener at behandlingen av personopplysninger skjer i strid med regelverket, kan du også klage til Datatilsynet eller annen relevant tilsynsmyndighet.

14. Endringer i personvernerklæringen

Denne personvernerklæringen kan oppdateres når det skjer endringer i løsningen, regelverket, leveransemodellen eller behandlingen av personopplysninger. Den nyeste versjonen skal alltid være tilgjengelig i løsningens offentlige personvernsider.