1. Behandlingsansvarlig
Tilbudio AS, org.nr. [org.nr. fylles inn], er behandlingsansvarlig for personopplysninger om kontoeiere og brukere av Tilbudio. For data som kunden selv legger inn (egne kunder, prosjekter, leads), opptrer vi som databehandler.
2. Hvilke opplysninger vi behandler
- Konto: e-post, navn, telefonnummer, passord (hashet).
- Foretak: firmanavn, organisasjonsnummer, adresse, MVA-status.
- Betaling: kundenummer hos Stripe, abonnementsstatus, fakturahistorikk. Vi lagrer ikke kortdetaljer.
- Bruksdata: innloggingstidspunkt, IP-adresse, enhetstype, feilrapporter.
- Kommunikasjon: e-post og henvendelser til support.
3. Formål og rettslig grunnlag
- Levere og fakturere tjenesten — oppfyllelse av avtale (GDPR art. 6 nr. 1 b).
- Brønnøysund-verifisering ved registrering — berettiget interesse (art. 6 nr. 1 f).
- Tjenesteforbedring og feilretting — berettiget interesse.
- E-post om viktige endringer — oppfyllelse av avtale.
- Markedsføring av egne tjenester — samtykke (art. 6 nr. 1 a), kan trekkes når som helst.
- Lovpålagt regnskap — rettslig forpliktelse (art. 6 nr. 1 c).
4. Lagringstid
- Kontodata: så lenge abonnementet er aktivt + 30 dager etter oppsigelse.
- Fakturadata: 5 år, jf. bokføringsloven.
- Bruksloggdata: 12 måneder.
- Supporthenvendelser: 24 måneder.
5. Hvem deler vi data med
Vi bruker følgende databehandlere, alle med inngåtte databehandleravtaler:
- Supabase – database og autentisering (EU).
- Stripe Payments Europe – fakturering og betaling (EU).
- Resend – transaksjons-e-post (EU/USA, SCC).
- Twilio – SMS-verifisering (EU/USA, SCC).
- Cloudflare – hosting og DDoS-beskyttelse (EU).
Vi selger aldri dine personopplysninger. Vi utleverer kun data ved rettslig pålegg.
6. Overføring utenfor EØS
Enkelte underleverandører kan behandle data utenfor EØS. Slik overføring skjer kun på grunnlag av EU-kommisjonens standard kontraktsklausuler (SCC) eller annet gyldig overføringsgrunnlag.
7. Dine rettigheter
Som registrert har du rett til:
- innsyn i egne data,
- retting av uriktige opplysninger,
- sletting («retten til å bli glemt»),
- begrensning av behandling,
- dataportabilitet (eksport av dine data i maskinlesbart format),
- å protestere mot behandling basert på berettiget interesse,
- å klage til Datatilsynet (datatilsynet.no).
Henvendelser sendes til kontakt@tilbudio.no. Vi besvarer innen 30 dager.
8. Sikkerhet
Vi benytter kryptert kommunikasjon (TLS 1.3), kryptert lagring av database, sikker passordlagring (bcrypt/argon2), tilgangsstyring etter «least privilege», og radnivåsikkerhet (RLS) som sikrer at hver bedrifts data er fullstendig isolert.
9. Endringer i erklæringen
Endringer publiseres her og varsles på e-post ved vesentlige endringer.