Personvernerklæring

1. Innledning

Mustvedt Sentinel ("vi", "oss") respekterer ditt personvern. Denne personvernerklæringen forklarer hvilke personopplysninger vi samler inn, hvordan vi bruker dem, og dine rettigheter etter personopplysningsloven og EUs personvernforordning (GDPR).

Vi tilstreber å samle minst mulig data og bare det som er nødvendig for å levere tjenesten.

2. Hvem er behandlingsansvarlig

Behandlingsansvarlig er:

3. Hvilke data vi samler

3.1 Når du bruker tjenesten anonymt

Du kan bruke gratis-versjonen uten å registrere deg. I dette tilfellet samler vi:

• IP-adresse (hashet med salt for anti-misbruk)
• Skanninger du utfører (URL-er, e-poster, IP-er du sjekker)
• Tidspunkt for skanninger
• Anonym statistikk via Umami (uten cookies, uten personlig identifikator)

3.2 Når du registrerer en PLUSS-konto

I tillegg til det over:

• Navn
• E-postadresse
• Telefonnummer (valgfritt, påkrevd for bedrift)
• Bedriftsnavn og org.nr (kun for bedrifter)
• Adresse (kun for bedrifter, hentet fra Brønnøysund)
• Bransje (kun for bedrifter)
• Innloggings-historikk (PIN-koder, tidspunkter)

3.3 Når du bruker overvåknings-funksjoner

• Domener du registrerer for overvåkning
• E-postadresser du registrerer for lekkasje-sjekk
• IP-er og eiendeler du registrerer for sikkerhetsskann
• Resultater fra automatiske sjekker

3.4 Når du betaler

• Betalingsmetadata (beløp, tidspunkt, faktura-nummer)
• Vi lagrer ALDRI kortinformasjon, håndteres av Stripe (kort) eller Vipps (mobilbetaling)
• Telefonnummer formidles til Vipps for autentisering, men lagres ikke hos oss

3.5 Når du bruker mobilappen

• Push-token (Firebase Cloud Messaging) — en anonym enhets-token som lar oss sende deg push-varsler om lekkasjer, SSL-utløp og domeneendringer. Behandles av Google Firebase som databehandler. Du kan skru av push-varsler i appens innstillinger når som helst, og token slettes ved utlogging.
• Enhetsinformasjon (plattform, modell, OS-versjon, app-versjon) knyttet til push-token, kun for å levere og feilsøke varsler.
• Biometrisk app-lås håndteres lokalt på enheten av operativsystemet. Vi mottar eller lagrer aldri fingeravtrykk eller biometriske data.
• Datasletting i appen — du kan laste ned alle dine data eller slette kontoen permanent direkte under Innstillinger → Personvern og data.

4. Formålet med behandlingen

Vi behandler dine personopplysninger for å:

• Levere tjenesten du har etterspurt (skanninger, overvåkning, etc.)
• Sende relevante varsler (sikkerhetsvarsler, månedsrapport, faktura)
• Fakturere og håndtere abonnement
• Beskytte tjenesten mot misbruk og angrep
• Forbedre tjenesten basert på anonym statistikk
• Oppfylle juridiske forpliktelser (regnskap, skatt)

5. Rettslig grunnlag

Vår behandling er basert på:

• Avtale (GDPR art. 6.1.b), for å levere tjenesten
• Berettiget interesse (GDPR art. 6.1.f), anti-misbruk, sikkerhet, statistikk
• Samtykke (GDPR art. 6.1.a), for nyhetsbrev og markedsføring
• Rettslig forpliktelse (GDPR art. 6.1.c), bokføringsloven, skattelov

6. Lagringstid

7. Deling med tredjeparter

Vi deler ikke dine personopplysninger med andre enn:

• Underdatabehandlere som hjelper oss å levere tjenesten (se §8)
• Offentlige myndigheter, hvis pålagt av norsk lov
• Politiet, ved mistanke om straffbare forhold

Vi selger aldri dine data til tredjeparter for markedsførings-formål.

8. Underdatabehandlere

Vi bruker følgende underdatabehandlere:

9. Internasjonale overføringer

Noen av våre underdatabehandlere er lokalisert utenfor EU/EØS (f.eks. USA, Australia). For disse overføringene baserer vi oss på:

• EUs standardkontraktklausuler (SCC), for alle vendors utenfor EU/EØS
• EU-US Data Privacy Framework (DPF), Anthropic, Stripe og Brevo er DPF-sertifisert (offentlig kontrollerbart på dataprivacyframework.gov)
• Tekniske og organisatoriske tiltak (kryptering under overføring og lagring)

10. Sikkerhet

Vi tar datasikkerhet på alvor og bruker:

• HTTPS/TLS for alle forbindelser
• Sterke passord-hash (bcrypt) for sensitive data
• Tilgang basert på need-to-know-prinsippet
• Regelmessig sikkerhetsoppdateringer på server
• Strict CSP (Content Security Policy)
• Rate-limiting og anti-misbruks-mekanismer
• Daglige backuper

Hvis vi oppdager et databrudd, vil vi varsle berørte brukere innen 72 timer i tråd med GDPR art. 33.

11. Dine rettigheter

Du har følgende rettigheter etter GDPR:

11.1 Rett til innsyn

Du kan be om en kopi av all informasjon vi har om deg. Send forespørsel til Christer@mustvedt.net.

11.2 Rett til retting

Hvis vi har feil eller mangelfull informasjon om deg, kan du be om retting.

11.3 Rett til sletting ("rett til å bli glemt")

Du kan be om at vi sletter dine personopplysninger. Vi sletter dem så fort vi kan, med mindre vi har juridisk plikt til å beholde dem (f.eks. faktura-data i 5 år).

11.4 Rett til begrensning

Du kan be om at vi begrenser behandlingen av dine data, f.eks. mens en klage behandles.

11.5 Rett til dataportabilitet

Du kan be om å få dine data utlevert i et maskinlesbart format (JSON/CSV).

11.6 Rett til å motsette deg behandling

Du kan motsette deg behandling basert på berettiget interesse eller markedsføring.

11.7 Rett til å trekke tilbake samtykke

Hvis behandlingen er basert på samtykke, kan du trekke det tilbake når som helst, uten konsekvenser for tidligere lovlig behandling.

12. Cookies og lokal lagring

Mustvedt Sentinel bruker:

12.1 Tekniske cookies (nødvendige)

• localStorage for å huske dine innstillinger (tema, login-status, etc.)
• Session-cookies ved innlogging på PLUSS

12.2 Statistikk-cookies

Vi bruker Umami som er privacy-vennlig:

• Ingen cookies brukes for sporing
• Ingen IP-adresser lagres
• Ingen personlige data samles
• Bare anonymiserte besøksstatistikker (sider sett, geografisk område)

12.3 Markedsførings-cookies

Vi bruker ingen markedsførings-cookies eller tredjeparts-trackere.

13. Barn under 13 år

Mustvedt Sentinel er ikke rettet mot barn under 13 år. Vi samler ikke bevisst inn personopplysninger fra barn. Hvis du er forelder og oppdager at vi har data fra barnet ditt, kontakt oss umiddelbart for sletting.

14. Endringer i personvernerklæringen

Vi kan oppdatere denne erklæringen ved behov. Vesentlige endringer varsles via:

• E-post til registrerte brukere
• Banner på nettsiden
• Oppdatert "Sist oppdatert"-dato

Ved fortsatt bruk av tjenesten etter endringer, anses du å ha akseptert den nye erklæringen.

15. Klager til Datatilsynet

Hvis du mener at vi behandler dine personopplysninger i strid med GDPR, kan du klage til:

Vi oppfordrer deg likevel til å kontakte oss først, så vi kan løse problemet sammen.

16. Kontakt oss