Personvernerklæring

Flowee leveres av Jarning Interiørrens, organisasjonsnummer 933 311 406 («Flowee», «vi» eller «oss»).

Vi har ikke oppnevnt personvernombud. Henvendelser om personvern rettes til e-postadressen over.

Flowee brukes av virksomheter. Rollene etter personvernforordningen (GDPR) er derfor delt i to:

Flowee som behandlingsansvarlig – for kundeforholdet med deg

For opplysninger som er nødvendige for å drive selve tjenesten overfor deg som kunde – for eksempel kontoopplysninger, bedriftsprofil, kundeforholdet, fakturering og henvendelser om support og sikkerhet – bestemmer Flowee formålet og er behandlingsansvarlig.

Flowee som databehandler – for opplysningene du legger inn om dine egne kunder

Når du som virksomhet legger inn eller taler inn opplysninger om dine egne kunder, kontaktpersoner eller andre enkeltpersoner i et tilbud, er det normalt din virksomhet som er behandlingsansvarlig. Flowee behandler disse opplysningene på dine vegne og etter dine instrukser, og er da databehandler. Flowee bestemmer ikke formålet med disse opplysningene og bruker dem ikke til egne formål.

Denne behandlingen er regulert i vår databehandleravtale, som inngår i avtaleforholdet mellom oss.

Rollene kan endre seg dersom bruken endrer seg. Er du i tvil om hvilken rolle som gjelder i en konkret situasjon, ta kontakt med oss.

Kontoopplysninger

• e-postadresse
• passord (lagres av autentiseringsleverandøren, ikke i lesbar form hos Flowee)
• autentiserings- og sesjonsinformasjon som er nødvendig for å holde deg innlogget

Bedriftsprofil

• foretaksnavn
• organisasjonsnummer
• telefonnummer
• e-postadresse
• adresse
• logo (bilde du selv laster opp)

Tilbud og kundeopplysninger du legger inn

• kundenavn
• kundeadresse
• type arbeid og arbeidsbeskrivelse
• priser, tilbudslinjer og mengder/mål (m, m², m³, kg, tonn og lignende)
• generert og redigert tilbudstekst
• status og tilbudsnummer

Prisliste

• navn på vare eller tjeneste
• kategori og enhet
• standardpris

Register over brukte gratis tilbud

For å håndheve regelen om tre gratis tilbud per virksomhet lagrer Flowee et eget, minimalt register. Registeret inneholder kun organisasjonsnummeret i normalisert form (ni siffer) og antall gratis tilbud som er brukt. Det inneholder ikke navn, e-postadresse, bruker-ID eller andre opplysninger, og det er ikke tilgjengelig for brukere av tjenesten.

Et organisasjonsnummer gjelder i utgangspunktet en virksomhet. For enkeltpersonforetak kan nummeret likevel knyttes til en identifiserbar fysisk person, og vi behandler derfor denne opplysningen etter personvernreglene.

Tale

Lyd fra mikrofonen når du selv aktiverer taleinnspilling, samt teksten lyden gjøres om til. Se punkt 5.

Flowee ber ikke om særlige kategorier av personopplysninger (for eksempel helse- eller fagforeningsopplysninger), og tjenesten er ikke laget for slike opplysninger. Du bør ikke legge inn eller tale inn flere opplysninger enn det tilbudet faktisk krever.

Opplysningene behandles for å:

• opprette og administrere brukerkonto og innlogging
• vise og lagre bedriftsprofil og bruke den i tilbud og PDF-er
• lagre, redigere, beregne og hente frem tilbud og prisliste
• gjøre tale om til tekst og strukturere informasjonen i skjema
• generere og forbedre tilbudstekst
• drifte, sikre, feilsøke og videreutvikle tjenesten
• håndtere kundeforholdet, herunder fakturering og henvendelser
• hindre gjentatt misbruk av de gratis tilbudene, ved å registrere hvor mange gratis tilbud hvert organisasjonsnummer har brukt
• oppfylle rettslige forpliktelser Flowee er underlagt

Behandlingsgrunnlag

• Avtale (GDPR art. 6 nr. 1 bokstav b): behandling som er nødvendig for å levere tjenesten du har inngått avtale om, herunder konto, bedriftsprofil og tilbudsfunksjonalitet.
• Berettiget interesse (art. 6 nr. 1 bokstav f): drift, sikkerhet, feilsøking og forsvarlig videreutvikling av tjenesten, samt å hindre at de gratis tilbudene brukes gjentatte ganger av samme virksomhet.
• Rettslig forpliktelse (art. 6 nr. 1 bokstav c): der lovgivning krever at opplysninger behandles eller oppbevares, for eksempel bokføringsregler.

For opplysninger du legger inn om dine egne kunder er det din virksomhet som må ha et gyldig behandlingsgrunnlag. Flowee behandler disse opplysningene etter dine instrukser, se punkt 2.

Taleinnspilling starter kun når du selv aktiverer mikrofonen. Lyden behandles for å gjøre den om til tekst og strukturere informasjonen du har oppgitt, slik at du kan kontrollere og rette den før tilbudet lagres.

Viktig om innholdet i lyden

Lydopptaket inneholder det du faktisk sier. Sier du kundenavn, adresse eller andre opplysninger om enkeltpersoner, kan disse opplysningene bli behandlet av de aktuelle tale- og AI-leverandørene, se punkt 7. Vi kan derfor ikke si at kundeopplysninger aldri sendes til slike leverandører ved bruk av tale. Du bør ikke tale inn flere opplysninger enn tilbudet krever.

Flowee lagrer ikke selve lydopptaket, og det finnes ingen lagringsplass for lyd i tjenesten. Teksten fra opptaket lagres heller ikke i et eget permanent felt, men informasjon som stammer fra opptaket kan bli en del av tilbudet du lagrer, og lagres da som tilbudsdata.

Vi har ikke dokumentasjon som gjør at vi kan garantere hvor lenge lyd eller tekst eventuelt oppbevares hos leverandørene. Se punkt 6 og 9.

Flowee bruker AI-assistert funksjonalitet, blant annet til å gjøre tale om til tekst og til å strukturere og forbedre språket i tilbudsteksten. AI-en brukes ikke til å ta avgjørelser om enkeltpersoner, og det skjer ingen automatiserte avgjørelser med rettsvirkning eller tilsvarende betydelig virkning for enkeltpersoner. AI-generert innhold kan inneholde feil og skal kontrolleres av deg.

Når AI-assistert funksjonalitet brukes, kan Flowee sende den informasjonen som er nødvendig til relevante AI- og taleprosesseringsleverandører for å utføre den etterspurte funksjonaliteten. Flowee søker å begrense informasjonen som deles til det som er nødvendig for den aktuelle behandlingen. Ved bruk av tale kan innholdet i opptaket inneholde personopplysninger, se punkt 5.

Hva leverandørene har opplyst

• Plattformleverandøren opplyser at innhold sendt gjennom AI-formidlingen ikke brukes til å trene leverandørens modeller.
• Plattformleverandøren opplyser at avtalene med modell-leverandørene begrenser bruken av innsendt innhold til det som er nødvendig for å levere tjenesten, og forbyr bruk til modelltrening.
• Zero Data Retention er ikke bekreftet for AI-leddet.
• Det er ikke publisert noen generell lagringstid for lyd, forespørsler, tekst eller svar i AI-leddet.

Vi oppgir derfor ingen lagringstid for AI-leddet, og vi hevder ikke at innholdet slettes umiddelbart. Vi opplyser om det vi faktisk har fått bekreftet.

Flowee bruker følgende leverandører for å kunne levere tjenesten. Disse behandler personopplysninger på vegne av Flowee:

• Lovable – applikasjonsplattform, infrastruktur og tilhørende tjenesteleveranse, herunder formidling av AI-forespørsler.
• Lovable Cloud – database, autentisering og lagring av kontoopplysninger, bedriftsprofil, tilbud og prisliste.
• OpenAI – AI- og taleprosesseringstjenester som brukes i tilknytning til utvalgt funksjonalitet i Flowee.
• Google – AI-prosesseringstjenester som brukes i tilknytning til utvalgt funksjonalitet i Flowee.
• Stripe – betalingsbehandling og abonnementsadministrasjon (kun for kontoer med betalt abonnement).

Betaling: når du aktiverer et abonnement, behandles betalingen av Stripe. Stripe mottar e-postadressen din, betalingskortopplysninger og informasjon om abonnementet. Flowee mottar og lagrer aldri kortnummer eller andre fullstendige kortopplysninger. I Flowees database lagrer vi kun abonnementsstatus, periodedatoer og Stripes referanse-ID-er, slik at vi kan gi deg riktig tilgang. Grunnlaget for behandlingen er oppfyllelse av avtalen med deg (GDPR art. 6 nr. 1 bokstav b) og bokføringsplikt (art. 6 nr. 1 bokstav c). Stripes personvernerklæring: stripe.com/privacy.

Lovable vedlikeholder en offisiell oversikt over sine egne underleverandører. Flowee henviser til denne oversikten fremfor å gjengi opplysninger vi ikke selv kan verifisere: lovable.dev/subprocessors. Lovables databehandleravtale er tilgjengelig på lovable.dev/data-processing-agreement, og Lovables personvernerklæring på lovable.dev/privacy.

Vi kan bytte eller legge til leverandører når det er nødvendig for driften. Endringer som har betydning for behandling av personopplysninger på vegne av kunder, håndteres etter punktet om underleverandører i databehandleravtalen.

Produksjonsdata – kontoopplysninger, bedriftsprofil, tilbud og prisliste – er lagret innenfor EØS (Frankfurt, Tyskland).

For AI-behandling er situasjonen en annen. Leverandøren opplyser at inngangspunktet er EU-hostet, men at selve modellkjøringen likevel kan skje utenfor EØS. Det finnes ingen innstilling som garanterer at AI-behandlingen holdes fullt ut innenfor EØS.

Bruk av tale og AI-assistert funksjonalitet kan derfor innebære overføring av personopplysninger til land utenfor EØS. Leverandøren opplyser at slike overføringer er dekket av EUs standardkontraktsvilkår (Standard Contractual Clauses / SCC) gjennom leverandørens databehandleravtale, som gjelder automatisk for Flowee.

Vi kan ikke garantere at all AI-behandling skjer innenfor EØS, og oppgir derfor ikke det.

Det Flowee selv lagrer

• Kontoopplysninger: lagres så lenge kontoen finnes, med forbehold for opplysninger vi må beholde etter lov.
• Bedriftsprofil: lagres så lenge kontoen finnes, eller til du sletter opplysningene.
• Tilbud: lagres til du sletter tilbudet eller kontoen, med forbehold for eventuelle lovpålagte oppbevaringskrav.
• Prisliste: lagres til du sletter oppføringen eller kontoen.
• Lydopptak: lagres ikke av Flowee.
• Tekst fra taleopptak: lagres ikke i et eget permanent felt, men informasjon som stammer fra opptaket kan inngå i et lagret tilbud.
• Dokumentasjon på aksept av vilkår, personvernerklæring og databehandleravtale: lagres så lenge kundeforholdet varer, og i inntil 3 år etter at kontoen er avsluttet.
• Register over brukte gratis tilbud: organisasjonsnummer og antall brukte gratis tilbud lagres uten tidsbegrensning, også etter at kontoen er slettet.

Registeret over brukte gratis tilbud beholdes uten tidsbegrensning fordi regelen er at hver virksomhet får tre gratis tilbud. Dersom opplysningen ble slettet, ville den samme virksomheten kunne få nye gratis tilbud, og formålet ville falle bort. Vi lagrer kun det minimumet som er nødvendig for dette formålet: organisasjonsnummeret i normalisert form og antall brukte gratis tilbud. Registeret brukes ikke til markedsføring, profilering eller andre formål, og kobles ikke til brukerkontoer etter at kontoen er slettet.

Dokumentasjonen på aksept består av en brukeridentifikator, tidspunktet for aksepten og hvilke dokumentversjoner som ble akseptert. Den slettes ikke samtidig med kontoen, men beholdes i inntil 3 år etter at kundeforholdet er avsluttet, slik at vi kan dokumentere hvilken avtale som gjaldt og håndtere eventuelle rettskrav. Fristen på 3 år er Flowees egen oppbevaringspolicy, ikke et krav vi hevder følger direkte av norsk lov. Opplysninger kan beholdes lenger dersom det er nødvendig på grunn av et pågående rettskrav, en tvist, en tilsynssak eller en annen rettslig forpliktelse.

Hos leverandørene

For AI-leddet har vi ikke dokumentert lagringstid, og vi oppgir derfor ingen. Vi hevder heller ikke at det ikke lagres noe. Driften kan i tillegg omfatte sikkerhetskopier hos leverandøren; slike kopier fjernes etter leverandørens egne rutiner og ikke nødvendigvis samtidig med at du sletter data i tjenesten.

Plattformleverandøren tilbyr en tilleggsfunksjon som etter leverandørens opplysninger kan medføre at kontekst fra applikasjonens AI-kall oppbevares i inntil 90 dager, med hemmeligheter fjernet, dersom den er slått på. Vi har på tidspunktet for denne erklæringen ikke kunnet verifisere om innstillingen er slått på eller av for Flowee, og oppgir derfor ikke noe endelig om dette. Erklæringen oppdateres når statusen er bekreftet.

Du kan når som helst:

• slette enkelttilbud
• slette oppføringer i prislisten
• slette hele kontoen fra Bedriftsprofil

Når du sletter kontoen, sletter tjenesten:

• prislisten din
• tilbudene dine
• bedriftsprofilen din
• brukerkontoen hos autentiseringsleverandøren

Du logges samtidig ut. Sletting bekreftes ikke som gjennomført dersom noe feiler underveis; da får du en feilmelding og kan forsøke igjen.

To opplysninger slettes ikke sammen med kontoen: dokumentasjonen på aksept av avtalene (se punkt 9), og oppføringen i registeret over brukte gratis tilbud. Sistnevnte består kun av organisasjonsnummeret og antall brukte gratis tilbud, og beholdes for å hindre at den samme virksomheten kan få nye gratis tilbud ved å opprette en ny konto. For enkeltpersonforetak kan et organisasjonsnummer være knyttet til en identifiserbar person; behandlingen bygger da på berettiget interesse i å hindre misbruk av gratistilbudene, og du kan protestere mot den etter punkt 13.

Vi kan ikke love at data samtidig fjernes fra leverandørenes sikkerhetskopier eller fra eventuelle systemer hos AI-leverandørene, ettersom dette ikke er noe vi kan verifisere eller styre.

Vi beskriver kun tiltak som faktisk er på plass. Beskrivelsen holdes på et overordnet nivå, uten å oppgi tekniske implementasjonsdetaljer:

• All trafikk mellom nettleser og tjeneste er kryptert med HTTPS/TLS.
• Tilgang til data krever innlogging, og det benyttes autentiserings- og tilgangskontroller.
• Kundenes data er logisk atskilt, med tekniske kontroller som skal hindre at én kunde får tilgang til en annen kundes data.
• Privilegerte nøkler og hemmeligheter håndteres kun på tjenersiden.
• Sensitive handlinger utføres på tjenersiden med kontroll av brukerens identitet.
• Deling av opplysninger med AI-leverandører begrenses til det som er nødvendig for den aktuelle funksjonaliteten.
• Lydopptak lagres ikke av tjenesten.
• Administrativ tilgang til produksjonsmiljøet er begrenset til personer som trenger det for drift og feilsøking.
• Tjenesten bruker ingen analyse-, sporings- eller annonseverktøy.

Sikkerhetstiltakene vurderes og videreutvikles i takt med tjenesten, den tekniske utviklingen og risikobildet.

Flowee bruker ikke analyseverktøy, sporing eller annonsering. Det er ikke funnet Google Analytics, PostHog, Plausible eller tilsvarende i tjenesten.

Det som lagres lokalt i nettleseren er:

• innloggings-/sesjonsinformasjon fra autentiseringsleverandøren, slik at du forblir innlogget
• midlertidig teknisk tilstand som er nødvendig for at grensesnittet skal fungere

Dette er nødvendig for at tjenesten du har bedt om skal virke, og krever derfor ikke samtykkebanner. Du kan når som helst tømme lagringen via nettleserens innstillinger, men da blir du logget ut.

Etter personvernregelverket har du blant annet rett til å:

• få innsyn i hvilke personopplysninger vi behandler om deg
• få rettet uriktige opplysninger
• få slettet opplysninger
• kreve begrensning av behandlingen
• protestere mot behandling som bygger på berettiget interesse
• få utlevert opplysninger du har gitt oss, i et maskinlesbart format (dataportabilitet)

Mange av rettighetene kan du utøve direkte i tjenesten ved å redigere eller slette opplysninger, eller ved å slette kontoen. Ellers kan du kontakte oss påflowee.contact@gmail.com.

Gjelder henvendelsen opplysninger en Flowee-kunde har lagt inn om sine egne kunder, må henvendelsen rettes til den aktuelle virksomheten, som er behandlingsansvarlig. Flowee vil bistå virksomheten i samsvar med databehandleravtalen.

Mener du at vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet. Vi setter pris på å få høre fra deg først, slik at vi får mulighet til å rette opp.

Datatilsynet: datatilsynet.no

Erklæringen kan endres når tjenesten, leverandørene eller regelverket endrer seg. Datoen for siste oppdatering står øverst. Ved vesentlige endringer som påvirker eksisterende kunder, varsler vi innen rimelig tid.

Se også Vilkår og betingelser og Databehandleravtale.