Personvernerklæring

1. Hvem vi er

Baktam er en skytjeneste for bilverksteder som drives av Fatih Bilgiç («Baktam», «vi», «oss»). Spørsmål om personvern kan sendes til [email protected].

2. Vår rolle: behandlingsansvarlig og databehandler

Når Baktam er behandlingsansvarlig

Vi bestemmer hvordan og hvorfor personopplysninger behandles for våre egne formål: brukerkontoer, abonnement og fakturering, henvendelser til kundestøtte, meldinger sendt via kontaktskjemaet, besøk på nettstedet og sikkerheten i tjenesten.

Når Baktam er databehandler

Hvert verksted (vår kunde, «bedriften») bestemmer hvilke opplysninger det registrerer om egne kunder, kjøretøy og ansatte. For disse opplysningene er bedriften behandlingsansvarlig, og Baktam behandler dem på vegne av bedriften og bare for å levere tjenesten. Er du kunde hos et verksted og vil bruke rettighetene dine, kontakter du først verkstedet; vi hjelper verkstedet med å svare. Databehandleravtale for bedriftskunder: [skal bekreftes].

3. Opplysninger vi behandler

• Kontoopplysninger: navn, telefonnummer, e-postadresse, foretrukket språk og et passord som bare lagres som en enveis-hash.
• Bedrifts- og faktureringsopplysninger: firmanavn, adresse, land, valuta, organisasjonsnummer eller mva-nummer, plan og betalingsopplysninger.
• Opplysninger bedriften registrerer i Baktam: kunders navn, telefonnumre, e-postadresser og organisasjonsnumre; kjøretøy (reg.nr., understellsnummer/VIN, merke, modell, kilometerstand); arbeidsordrer, salg, betalinger, påminnelser, notater, bilder og signaturer.
• Offentlige sider: når en kunde bruker en side for nettbestilling, mottar vi navnet, telefonnummeret, reg.nr. og merknaden kunden skriver inn; når kunden svarer via en godkjenningslenke, registrerer vi svaret, navnet og signaturen.
• Tekniske opplysninger: IP-adresse, informasjon om nettleser eller enhet og innloggingshistorikk, som brukes til å holde kontoer sikre, begrense misbruk og feilsøke. Mobilappene lagrer et token for push-varsler hvis du tillater varsler.

4. Hvorfor vi bruker opplysningene, og behandlingsgrunnlaget

I Norge gjelder personvernforordningen (GDPR) gjennom EØS-avtalen og personopplysningsloven. For opplysningene vi er behandlingsansvarlige for, bygger vi på disse behandlingsgrunnlagene:

• Oppfyllelse av avtale: opprette og drifte kontoen din, levere tjenesten og kundestøtte, og fakturere.
• Rettslig forpliktelse: oppbevare fakturaer og regnskapsopplysninger så lenge loven krever.
• Berettiget interesse: sikre tjenesten, hindre svindel og misbruk og rette feil, avveid mot dine rettigheter.
• Samtykke: e-post med markedsføring og eventuell valgfri analyse. Du kan trekke samtykket tilbake når som helst.

Vi bruker ikke personopplysninger til automatiserte avgjørelser som har rettsvirkning eller tilsvarende betydelig virkning for deg.

5. Hvor opplysningene lagres

Skytjenesten til Baktam driftes i EU, i datasentre i Tyskland. Daglige sikkerhetskopier oppbevares i en begrenset periode slik at data kan gjenopprettes. Enterprise-kunder kan i stedet kjøre Baktam på sin egen server; da blir opplysningene på den serveren, og bedriften er selv ansvarlig for drift, sikkerhetskopiering og sikkerhet.

Enkelte tjenesteleverandører som en bedrift selv velger å koble til (for eksempel leverandører av SMS eller WhatsApp), kan behandle opplysninger utenfor EØS. Når opplysninger overføres ut av EØS, bygger vi på egnede garantier, som beslutninger om tilstrekkelig beskyttelsesnivå eller EUs standard personvernbestemmelser [skal bekreftes].

6. Tjenesteleverandører (underdatabehandlere)

Vi deler personopplysninger bare i den grad hver leverandør trenger dem for å utføre oppgaven sin:

• Drift: infrastrukturleverandør med datasentre i Tyskland.
• Utsending av e-post: en e-posttjeneste for kontoe-post som tilbakestilling av passord og daglige oppsummeringer.
• Meldinger som bedriften velger: SMS via Twilio, eller WhatsApp Business (Cloud API) fra Meta, med bedriftens egen konto og avtale med leverandøren. (Netgsm er bare tilgjengelig for bedrifter i Tyrkia.)
• Push-varsler i mobilappene: Expos push-tjeneste, som leverer varsler via Apple og Google.
• Analyse av nettstedet: Microsoft Clarity, bare på det offentlige nettstedet og bare med ditt samtykke (se punkt 7).
• Feilovervåking: Sentry, bare hvis det er slått på. Tjenesten er satt opp til ikke å sende personopplysninger som standard; telefonnumre og e-postadresser maskeres, og informasjonskapsler, autorisasjonshoder og innholdet i forespørsler fjernes.

En liste over de konkrete leverandørene fås på forespørsel. Vi kan utlevere opplysninger når loven krever det, eller etter gyldig pålegg fra domstol eller myndighet.

7. Informasjonskapsler og lignende teknologi

Nødvendige informasjonskapsler

Disse trengs for at tjenesten skal fungere, og krever ikke samtykke: en øktkapsel som holder deg innlogget, en kapsel som husker språket ditt, og baktam_consent, som lagrer valget ditt om informasjonskapsler i 6 måneder. Nettpanelet lagrer også noen innstillinger for brukergrensesnittet (som favoritter) i nettleserens lokale lagring.

Analysekapsler (bare med ditt samtykke)

På det offentlige nettstedet vårt (baktam.com, inkludert sidene på norsk) bruker vi Microsoft Clarity for å forstå hvordan besøkende bruker nettstedet, og for å forbedre det. Clarity lastes først når du velger «Godta analyse» i banneret om informasjonskapsler; før du har valgt, eller hvis du avviser, sendes ingen data til Clarity. Behandlingsgrunnlaget er samtykket ditt (GDPR art. 6 nr. 1 bokstav a og reglene om informasjonskapsler i ekomloven).

• Hva som samles inn: klikk, rulling, musebevegelser, besøkte sider, øktens varighet, informasjon om enhet og nettleser og omtrentlig plassering. Tekst du skriver i skjemafelt, maskeres og registreres aldri.
• Informasjonskapsler: _clck (1 år) og _clsk (1 dag), satt av Clarity. Vi avslår lagring for annonseformål; opplysningene brukes ikke til annonsering av oss.
• Hvem som behandler opplysningene: Microsoft Corporation, som vår tjenesteleverandør; opplysningene kan lagres utenfor Norge og EØS, blant annet i USA.
• Hvor Clarity aldri kjører: nettpanelet til Baktam, innloggingssidene, lenkene for godkjenning, kvittering og nettbestilling som verksteder sender til kundene sine, og utskriftssider.

Du kan trekke samtykket tilbake når som helst: åpne «Innstillinger for informasjonskapsler» nederst på nettstedet og velg «Avvis». Da stoppes Clarity, kapslene slettes, og Clarity lastes ikke ved senere besøk. Å trekke samtykket tilbake påvirker ikke behandling som har skjedd før.

Vi bruker ikke informasjonskapsler for annonsering eller sporing på tvers av nettsteder.

8. Hvor lenge vi oppbevarer opplysninger

• Konto- og bedriftsopplysninger: så lenge abonnementet er aktivt.
• Etter oppsigelse: opplysningene kan eksporteres i 60 dager og slettes deretter, med mindre bedriften ber om tidligere sletting [skal bekreftes].
• Sikkerhetskopier: overskrives løpende etter en begrenset periode [oppbevaringstid skal bekreftes].
• Fakturaer og faktureringsopplysninger: så lenge skatte- og regnskapsreglene krever.

Opplysninger som en bedrift registrerer om egne kunder, oppbevares etter bedriftens instrukser og slettes når bedriften sletter dem eller avslutter kontoen.

9. Hvordan vi beskytter opplysningene

• Alle forbindelser bruker kryptert HTTPS (TLS).
• Passord og API-nøkler lagres bare som enveis-hasher.
• Lenker for godkjenning av tilbud og kvitteringer bruker tilfeldige tokens som bare lagres som hasher. Offentlige sider (godkjenninger, kvitteringer, nettbestilling og delt kjøretøyhistorikk) har begrensning på antall forespørsler og viser personopplysninger maskert.
• Påloggingsopplysninger for leverandører av SMS, WhatsApp og e-faktura krypteres (AES-256-GCM) i databasen og vises aldri igjen i brukergrensesnittet eller i svar fra API-et.
• Opplysningene til hver bedrift er skilt fra andre bedrifters, og rollebaserte tilganger begrenser hva hver bruker ser: mekanikere ser for eksempel ikke priser eller kostnader.
• Viktige handlinger registreres i en aktivitetslogg, og opplysningene sikkerhetskopieres daglig.

Rammer et avvik personopplysningene dine, varsler vi den berørte bedriften og, der det kreves, Datatilsynet uten ugrunnet opphold.

10. Dine rettigheter

Etter personvernforordningen (GDPR) og personopplysningsloven har du rett til innsyn i opplysningene dine, til å få dem rettet eller slettet, til å kreve begrenset behandling eller protestere mot behandlingen, til å få dem utlevert i et flyttbart format og til å trekke tilbake samtykke.

For å bruke rettighetene dine sender du e-post til [email protected]. Vi svarer innen én måned. Du har også rett til å klage til Datatilsynet (datatilsynet.no), eller til tilsynsmyndigheten i landet der du bor.

11. Barn

Baktam er en tjeneste for bedrifter og er ikke rettet mot barn.

12. Endringer i denne erklæringen

Vi kan oppdatere denne erklæringen fra tid til annen. Vesentlige endringer varsler vi kontoeierne om på e-post før de trer i kraft.

13. Kontakt

Spørsmål om denne erklæringen eller opplysningene dine: [email protected].