UTKAST — til juridisk gjennomgang, ikke juridisk rådgivning. Denne malen ble generert fra Itemras kildekode og må gjennomgås og ferdigstilles av grunnleggerens kvalifiserte advokat før publisering. Klammemerkede [PLACEHOLDER]-symboler angir virksomhetsspesifikke opplysninger som må bekreftes og fylles ut.

Itemras personvernerklæring

Ikrafttredelsesdato: [EFFECTIVE_DATE] Versjon: 2026-07-16 Tilgjengelige språk: Norsk (bokmål) og engelsk. (Applikasjonen leveres med norsk og engelsk språkdrakt — src/web/src/lib/i18n. Dersom språkversjonene avviker fra hverandre, må det oppgis hvilken som har forrang.)

1. Om denne erklæringen og hvem vi er

Denne personvernerklæringen forklarer hvordan [LEGAL_ENTITY_NAME] («Itemra», «vi», «oss») behandler personopplysninger på egne vegne, som behandlingsansvarlig, i forbindelse med Itemras lager- og beholdningsstyringstjeneste («Tjenesten»).

Behandlingsansvarlig (GDPR artikkel 13 nr. 1 bokstav a):

• Juridisk enhet: [LEGAL_ENTITY_NAME]
• Registrert adresse: [REGISTERED_ADDRESS]
• Organisasjonsnummer: [ORG_NUMBER]
• Generell kontakt: [CONTACT_EMAIL]
• Personvernforespørsler: [PRIVACY_CONTACT_EMAIL]

[ART27_REPRESENTATIVE] — Hvis [LEGAL_ENTITY_NAME] er etablert innenfor EØS/Norge, oppgis hovedetableringen her. Hvis virksomheten er etablert utenfor EØS, må dere utpeke og navngi en representant i EU/EØS etter artikkel 27.

To roller — les dette

Itemra har to ulike personvernroller:

1. Behandlingsansvarlig — for opplysningene som beskrives i denne erklæringen: konto- og identitetsopplysninger, faktureringsopplysninger, opplysninger fra støtte-/feilrapporter, sikkerhetslogger og telemetri. For disse opplysningene fastsetter vi formålene med og midlene for behandlingen.
2. Databehandler — for lageropplysningene som bedriftskundene våre laster opp til Tjenesten (varer, lokasjoner, beholdning, vedlegg, merknader, leverandør-/innkjøpsordrekontakter og lignende). For disse opplysningene er kunden vår behandlingsansvarlig, og vi handler kun etter kundens instrukser. Denne behandlingen reguleres av databehandleravtalen vår (DPA), ikke av denne personvernerklæringen. Hvis du er en person som har opplysninger i en kundes lagerregistre (for eksempel en navngitt bruker knyttet til en lagerbevegelse eller en leverandørkontakt), og du ønsker å utøve rettighetene dine, ber vi deg kontakte den aktuelle Itemra-kunden (den behandlingsansvarlige). Vi vil bistå kunden som påkrevd i databehandleravtalen.

2. Personvernombud / personvernkontakt

[DPO_OR_PRIVACY_CONTACT] — Oppgi enten navn og kontaktopplysninger til et utpekt personvernombud, eller oppgi at det ikke kreves personvernombud etter GDPR artikkel 37, og at personvernforespørsler skal rettes til [PRIVACY_CONTACT_EMAIL].

3. Hvilke personopplysninger vi samler inn, hvorfor og behandlingsgrunnlaget vårt

Vi samler bare inn det vi trenger for å drive Tjenesten. Ettersom dette er et B2B-produkt, gjelder de fleste kontoopplysningene ansatte hos bedriftskundene våre. Tabellen nedenfor viser personopplysningene vi behandler som behandlingsansvarlig, formålet og behandlingsgrunnlaget etter GDPR artikkel 6.

Kundekonfigurerte webhook-oppføringer. Hvis organisasjonen din aktiverer utgående webhooks, lagrer Itemra målnettadressen, valgte hendelsesfiltre, verifikasjonsmateriale for signeringshemmeligheten og historikk over leveringsstatus/-feil. Hendelsesnyttelaster kan inneholde Kundedata og sendes kun til målet organisasjonen din har valgt. Dette målet kontrolleres av kunden og er ikke en underdatabehandler valgt av Itemra. Organisasjonen din er ansvarlig for mottakeren og eventuell videreoverføring.

Interesseavveining (artikkel 13 nr. 1 bokstav d)

Der vi bygger på berettigede interesser (art. 6 nr. 1 bokstav f) — for kontosikkerhet, forebygging av svindel og misbruk, tjenestelogging, brukerstøtte, offentlig veikarttilbakemelding og forbedring av produktet/tjenesten — har vi vurdert at disse interessene ikke overstyres av dine interesser eller grunnleggende rettigheter, med hensyn til opplysningenes begrensede karakter og forretningskontekst samt sikkerhetstiltakene i punkt 9. Du kan be om et sammendrag av denne interesseavveiningen, og du har rett til å protestere (se punkt 8).

Merknad om fritekstfelt og opplastinger

Enkelte felt (merknader, beskrivelser, feilrapporter og offentlig veikarttilbakemelding) og filopplastinger godtar fritekst og vilkårlige filer. Ikke legg inn personopplysninger, fortrolige opplysninger eller særlige kategorier av personopplysninger (f.eks. opplysninger om helse, rasemessig/etnisk opprinnelse, religion, politikk, fagforeningsmedlemskap, biometri eller genetikk eller opplysninger om seksuelle forhold/orientering) i disse feltene. Itemra er et lagerprodukt og samler ikke bevisst inn særlige kategorier av personopplysninger (GDPR artikkel 9). Slike opplysninger er ikke definert noe sted i Tjenestens skjema.

4. Hvor vi får opplysningene dine fra (artikkel 14)

De fleste opplysningene kommer direkte fra deg når du bruker Tjenesten. Enkelte opplysninger kan imidlertid gis om deg av andre — særlig:

• Når en administrator i en Itemra-kundeorganisasjon inviterer deg, oppgir administratoren e-postadressen din (og av og til navnet og rollen din) for å opprette invitasjonen før du har samhandlet med Itemra. (User.Invite — src/backend/core/Itemra.Domain/Users/User.cs)
• Identitetsattributter (f.eks. bekreftet navn og innloggingshendelser) kan synkroniseres fra WorkOS, identitetsleverandøren vår, via webhooks. WorkOS er den autoritative identitetskilden. Itemras brukeroppføring er en kopi.

5. Hvem vi deler opplysninger med (mottakere og underdatabehandlere)

Vi selger ikke personopplysningene dine. Vi deler dem kun med tjenesteleverandører («underdatabehandlere») som behandler dem på våre vegne for å levere Tjenesten, og bare i den grad det er nødvendig for formålene ovenfor. Hver leverandør er bundet av en databehandleravtale.

En oppdatert, versjonert liste vedlikeholdes i listen over underdatabehandlere (lenket fra denne erklæringen og fra bunnteksten i applikasjonen). Applikasjonen og den primære SQL Server-databasen driftes på Itemra-operert infrastruktur i Norge / EØS ([VERIFY_SELF_HOSTED_APP_AND_SQL_LOCATION]). Denne førstepartsdriften innebærer ikke utlevering til en underdatabehandler. På ikrafttredelsesdatoen er de eksterne mottakerne:

To punkter som bør fremheves ved gjennomgang. (1) Feilrapporter sender rapportørens personidentifiserbare opplysninger og vedleggslenker til GitHub — bekreft at målrepositoriet er privat ([VERIFY_GITHUB_REPO_VISIBILITY]), ettersom opplysninger som legges der, består utenfor Itemras normale slettingskontroller. Lenker for nedlasting av vedlegg forblir gyldige i 30 dager. (2) SMTP-e-postleverandøren velges av organisasjonen din, ikke av Itemra — organisasjonen din er ansvarlig for leverandørens behandling av opplysningene.

Vi kan også utlevere personopplysninger der loven krever det, for å håndheve avtalene våre eller for å beskytte rettigheter, trygghet og sikkerhet.

6. Internasjonale overføringer (artikkel 13 nr. 1 bokstav f)

Vi tar sikte på å holde applikasjonen og den primære konto- og lagerdatabasen på Itemra-operert infrastruktur i Norge / EØS ([VERIFY_SELF_HOSTED_APP_AND_SQL_LOCATION]) og opplastede filer i Azure Blob Storage-region [VERIFY_AZURE_BLOB_REGION]. Enkelte av underdatabehandlerne våre er imidlertid basert i USA — nærmere bestemt WorkOS (identitet), Stripe (fakturering) og GitHub (feilrapporter). Overføringer til disse leverandørene beskyttes av ett eller flere av følgende sikkerhetstiltak:

• EU–U.S. Data Privacy Framework (DPF) der leverandøren er egenerklært sertifisert (bekreft hver leverandørs gjeldende sertifisering når dette grunnlaget brukes — Stripe egenerklærer sertifisering; [VERIFY_WORKOS_DPF_STATUS] og GitHub/Microsoft må bekreftes); og/eller
• Europakommisjonens standard personvernbestemmelser (SCC-er, 2021/914), innarbeidet i hver leverandørs databehandleravtale, sammen med supplerende tekniske tiltak (kryptering under overføring og lagring, tilgangskontroller og dataminimering).

Frankfurter innebærer ikke en internasjonal overføring av personopplysninger fordi det kun sendes valutakoder. Du kan få en kopi av de relevante overføringsgarantiene ved å kontakte [PRIVACY_CONTACT_EMAIL].

7. Hvor lenge vi oppbevarer opplysningene dine (artikkel 13 nr. 2 bokstav a)

Vi oppbevarer personopplysninger bare så lenge det er nødvendig for formålene ovenfor, og sletter eller anonymiserer dem deretter. Våre oppbevaringskriterier etter kategori:

Til juridisk gjennomgang: Itemra har nå en robust arbeidsflyt for sletting av leietakere med 30 dagers angrefrist og en datert teknisk oppbevaringspolicy. Advokaten/grunnleggeren må fortsatt godkjenne rotasjonen av sikkerhetskopier, det lovbestemte unntaket for fakturering og retningslinjene for GitHub-feilrapporter før publisering.

8. Rettighetene dine (artikkel 13 nr. 2 bokstav b)

På vilkårene i GDPR har du rett til:

• Innsyn (art. 15) — bekreftelse på om vi behandler opplysningene dine og en kopi av dem, sammen med tilhørende informasjon. Den første kopien er gratis.
• Retting (art. 16) — retting av uriktige eller ufullstendige opplysninger. (For identitetsfelt er WorkOS den autoritative kilden, så rettelser kan videreføres gjennom WorkOS.)
• Sletting (art. 17) — sletting av opplysningene dine, med forbehold om lovbestemte unntak fra sletting (f.eks. regnskapsopplysninger). Der det er relevant, videreformidler vi anmodninger om sletting til relevante underdatabehandlere.
• Begrensning (art. 18) — begrensning av hvordan vi behandler opplysningene dine mens en tvist eller kontroll av riktighet pågår.
• Dataportabilitet (art. 20) — å motta opplysninger du har gitt, i et strukturert, alminnelig anvendt og maskinlesbart format, når behandlingen er automatisert og bygger på samtykke eller avtale.
• Protest (art. 21) — å protestere mot behandling basert på berettigede interesser og når som helst mot direkte markedsføring (noe vi alltid vil respektere).
• Trekke tilbake samtykke (art. 7 nr. 3) — der vi bygger på samtykke, kan du når som helst trekke det tilbake like enkelt som du ga det, uten at dette påvirker behandling som allerede er utført.
• Klage (art. 77) — til en tilsynsmyndighet, i Norge Datatilsynet (www.datatilsynet.no), eller til din lokale tilsynsmyndighet i EØS.

Slik utøver du dem. Send e-post til [PRIVACY_CONTACT_EMAIL] eller bruk kontokontrollene i applikasjonen. Vi svarer uten ugrunnet opphold og innen én måned. Fristen kan forlenges med opptil ytterligere to måneder ved komplekse eller mange anmodninger (vi gir deg beskjed innen den første måneden hvis vi trenger en forlengelse). Vi kan ha behov for å bekrefte identiteten din på en forholdsmessig måte. Anmodninger er gratis med mindre de er åpenbart grunnløse eller overdrevne.

Ruting mellom behandlingsansvarlig og databehandler. For opplysninger vi har som behandlingsansvarlig (konto, fakturering, brukerstøtte og telemetri), svarer vi deg direkte. For lageropplysninger der vi opptrer som databehandler, videresender vi anmodningen din til den aktuelle Itemra-kunden (den behandlingsansvarlige) og bistår kunden som påkrevd i databehandleravtalen.

9. Slik beskytter vi opplysningene dine

Vi anvender tekniske og organisatoriske tiltak som er egnet for risikoen (GDPR artikkel 32), blant annet:

• Kryptering under overføring ved eksterne tjenestekall og ved lagring i Azure Blob Storage. Krypteringskontrollene for transport, database og sikkerhetskopier i den egenhostede SQL Server-instansen må fortsatt bekreftes: [VERIFY_SQL_TRANSPORT_AND_AT_REST_ENCRYPTION].
• Privat lagring — vedlegg ligger i private Blob-containere som bare åpnes via kortvarige tilgangsnettadresser for enkeltfiler (SAS) / Managed Identity. (Se Itemra.Integrations.Storage.)
• Tilgangskontroll og leietakerisolasjon — rolle-/tillatelsesbasert tilgang, der opplysningene til hver kundeorganisasjon er logisk atskilt.
• Sikre økter — HttpOnly- og SameSite-øktinformasjonskapsler og CSRF-beskyttelse. Oppdateringstokener lagres kryptert, ikke i klartekst.
• Logging og overvåking — sikkerhetsrevisjonsspor og driftstelemetri for å oppdage og undersøke hendelser.

Ingen systemer er helt sikre, men vi arbeider for å beskytte opplysningene dine og reagere raskt på eventuelle hendelser.

10. Automatiserte avgjørelser og profilering (artikkel 22)

Vi treffer ikke avgjørelser som har rettsvirkning eller på tilsvarende måte i betydelig grad påvirker deg, utelukkende basert på automatisert behandling. Tjenesten omfatter hjelpefunksjoner (f.eks. søk med naturlig språk og oppdagelse av duplikater) som kjører med lokale heuristikker, ikke treffer avgjørelser etter artikkel 22 og ikke sender opplysningene dine til noen ekstern leverandør av kunstig intelligens. (Alle slike funksjoner er lokale implementasjoner — src/backend/infrastructure/Itemra.Infrastructure/DependencyInjection.cs.)

11. Informasjonskapsler og lokal lagring

Tjenesten bruker bare strengt nødvendige informasjonskapsler (en autentiseringsøktinformasjonskapsel og et CSRF-/sikkerhetstoken) og funksjonell nettleserlagring for innstillingene dine (f.eks. språk, tema og utforming). Vi bruker ikke informasjonskapsler for analyse, annonsering eller tredjepartssporing. Under innlogging eller betaling kan WorkOS og Stripe plassere egne informasjonskapsler på sine domener. Se den separate retningslinjen for informasjonskapsler (lenket her) for en fullstendig spesifisert liste og detaljer.

12. Er det obligatorisk å oppgi opplysninger? (artikkel 13 nr. 2 bokstav e)

Det er nødvendig å oppgi visse opplysninger for å bruke Tjenesten. Vi kan for eksempel ikke opprette eller drifte en konto uten en e-postadresse, og vi kan ikke tilby betalte abonnementer uten faktureringsopplysninger. Hvis du ikke oppgir disse opplysningene, kan vi ikke tilby de relevante delene av Tjenesten.

13. Barn

Tjenesten er et forretningsverktøy som ikke er rettet mot barn, og er ikke beregnet på personer som er under alderen som kreves for å inngå en avtale i deres jurisdiksjon.

14. Endringer i denne erklæringen (artikkel 12)

Vi kan oppdatere denne erklæringen fra tid til annen. Vi publiserer den nye versjonen med oppdatert ikrafttredelsesdato og versjonsnummer, og ved vesentlige endringer varsler vi deg på en rimelig måte (f.eks. via e-post eller et varsel i applikasjonen). Den gjeldende versjonen er alltid tilgjengelig i applikasjonen og kan fås på forespørsel til [CONTACT_EMAIL].

15. Kontakt

Spørsmål om denne erklæringen eller opplysningene dine: [PRIVACY_CONTACT_EMAIL] — [LEGAL_ENTITY_NAME], [REGISTERED_ADDRESS] (org.nr. [ORG_NUMBER]). Tilsynsmyndighet: Datatilsynet (Norge), www.datatilsynet.no.

Lovvalg for denne erklæringen og Tjenesten: [GOVERNING_LAW]; verneting [VENUE]. Ingenting i denne erklæringen begrenser ufravikelige rettigheter du har etter norsk eller EUs personvernlovgivning.