Personvernerklæring

Denne erklæringen gjelder selskapet som driver telkit, telkit.no og dashbordet.

Du når oss på kontaktsiden.

Hvilken rolle vi har, avhenger av hvilke opplysninger det gjelder. Rollen avgjør hvem du skal kontakte.

Databehandler

For innholdet kundene sender og mottar gjennom telkit: meldinger, samtaler, opptak, transkripsjoner, brev og kontaktlister. Kunden bestemmer formålet, og vi behandler opplysningene på kundens vegne etter personvernforordningen (GDPR) artikkel 28.

Behandlingsansvarlig

For opplysninger om kundene våre og brukerne deres: innlogging, bedriften, verifisering, betaling og logger. Her bestemmer vi formålet selv.

Har du fått en SMS, en e-post, et brev eller en oppringning fra en bedrift som bruker telkit, er det bedriften som er behandlingsansvarlig. Kontakt bedriften om opplysningene dine. Vi kan ikke svare på bedriftens vegne.

Som behandlingsansvarlig behandler vi disse opplysningene:

Innlogging og bruker

Navn, e-postadresse og mobilnummer, hvilke bedrifter du er medlem av og hvilken rolle du har. Innloggingen håndteres av Clerk. Mobilnummeret og e-postadressen til eieren brukes til varsler når saldoen blir lav.

Bedriften

Organisasjonsnummer, navn og adresse. Når en bedrift registreres, henter vi navn og adresse fra Enhetsregisteret i Brønnøysundregistrene. Vi lagrer også når vilkårene ble godtatt.

Verifisering

Før bedriften kan sende brev, ringe eller få eget nummer, verifiserer vi den. Da lagrer vi firmaattesten, juridisk navn og adresse, navn, rolle og e-postadresse til den som kan signere, reelle rettighetshavere med eierandel, hva tjenestene skal brukes til, og når bruksreglene og erklæringen om nødnummer ble godtatt. Brukes BankID i verifiseringen, lagrer vi navn, fødselsdato og rollen personen har i Enhetsregisteret. Fødselsnummeret lagrer vi ikke, bare en kontrollsum laget med en hemmelig nøkkel.

Betaling

Kortbetalinger går gjennom Stripe. Vi lagrer en referanse til kortet, kortmerke, de fire siste sifrene og utløpsdato, hvem som samtykket til at kortet kan belastes, og hver påfylling, avgift og refusjon. Kortnummeret har vi ikke.

Invitasjoner

E-postadressen til den som inviteres, og rollen. En invitasjon gjelder i 7 dager. Av lenken lagrer vi bare en kontrollsum, ikke selve lenken.

API-nøkler

Navnet på nøkkelen, hvem som laget den og når den sist ble brukt. Selve nøkkelen lagrer vi bare som kontrollsum.

Logger

Meldinger, samtaler og brev registreres med hvilken API-nøkkel eller person som sendte dem. Når en ansatt i telkit åpner en kundes data, logges det med begrunnelse og tidspunkt.

Hver behandling har et grunnlag i personvernforordningen artikkel 6 nr. 1:

• Å opprette og drive kontoen, levere tjenestene og ta betalt: avtalen med bedriften (bokstav b) når du selv er part i den, ellers vår berettigede interesse i å levere det bedriften har bestilt (bokstav f).
• Å verifisere bedrifter før brev, telefoni og egne numre: vår berettigede interesse i å vite hvem som sender, og å hindre misbruk av tjenesten (bokstav f).
• Å føre regnskap: rettslig forpliktelse (bokstav c) etter bokføringsloven.
• Sikkerhet, feilsøking og å oppdage misbruk: vår berettigede interesse i en trygg tjeneste (bokstav f).
• Varsler om lav saldo og andre meldinger om kontoen: avtalen med bedriften (bokstav b) eller vår berettigede interesse i å holde kunden informert (bokstav f).

Som databehandler behandler vi det kundene sender og mottar gjennom telkit:

• SMS: avsender, mottakernummer, tekst og leveringsstatus, og svar som kommer inn.
• E-post: avsender, mottakere, emne og innhold, og e-post som kommer inn.
• Brev: mottakerens navn og adresse, og PDF-en som sendes digitalt i Digipost eller på papir.
• Samtaler: numrene, tidspunkter, varighet og tekst som leses opp.
• Opptak og transkripsjoner, når kunden ber om det for en samtale, og lydfiler kunden sender inn til transkripsjon.
• Kontakter: navn, telefonnummer, e-postadresse, adresse og notater.
• Mottakere som har reservert seg mot SMS fra en avsender.
• Hendelser som sendes til kundens eget system (webhooks).

Kunden bestemmer hva opplysningene skal brukes til, og må ha et rettslig grunnlag for det. Vi behandler dem for å levere tjenesten kunden har bestilt.

• Hendelsesloggen som kundens system henter hendelser fra, beholder hver hendelse i 30 dager.
• Kontakter, maler, webhooks og transkripsjonsjobber kan kunden slette selv. Når en transkripsjonsjobb slettes, fjernes teksten med en gang, og lydfilen slettes etterpå.
• Meldinger, samtaler, opptak, transkripsjoner av samtaler og brev slettes ikke automatisk. Kunden kan be oss slette dem.
• Opplysninger om bruker, bedrift og verifisering beholder vi så lenge bedriften er kunde.
• Regnskapsmateriale oppbevarer vi så lenge bokføringsloven § 13 krever: fem år etter regnskapsårets slutt for bokførte opplysninger og dokumentasjon, og tre år og seks måneder for avtaler og korrespondanse.

Noen oppgaver gjør leverandører for oss. De behandler opplysninger på våre vegne:

• Sveve sender SMS og tar imot svar.
• Resend sender og tar imot e-post.
• Digipost leverer brev digitalt eller på papir.
• DIDWW gir oss norske telefonnumre og kobler samtaler til telefonnettet.
• LiveKit fører lyden i samtalene og tar opp samtaler.
• ElevenLabs gjør tekst om til tale og tale om til tekst.
• Stripe tar imot kortbetalinger.
• Clerk håndterer innloggingen.
• Anthropic er språkmodellen bak sammendrag, AI-agenter, talte menyvalg og gjenkjenning av telefonsvarer, når språkmodellen er slått på.
• Cloudflare sjekker at demoene på forsiden brukes av mennesker (Turnstile).

Hele listen, med hva hver leverandør gjør og hvor den behandler data, står på siden om underleverandører. Organisasjonsnummer, navn og adresse slår vi opp i Enhetsregisteret, som er et offentlig register.

ElevenLabs behandler tekst som leses opp og lyd som gjøres om til tekst i USA. Resend sender e-post fra EU-regionen i Irland, men lagrer kontodata som logger og metadata i USA. Anthropic kan behandle tekst fra samtaler i USA, Europa, Asia og Australia når språkmodellen er slått på. Behandlingsstedet er ikke dokumentert for alle leverandørene; se underleverandørsiden for status for hver av dem.

En slik overføring krever et grunnlag etter personvernforordningen kapittel V, for eksempel en beslutning om tilstrekkelig beskyttelsesnivå (artikkel 45) eller standard personvernbestemmelser (artikkel 46). Du kan be oss om å opplyse hvilket grunnlag som gjelder for hver leverandør.

• Innloggingen bruker informasjonskapsler fra Clerk, for eksempel __session og __client_uat. De trengs for at du skal holde deg innlogget.
• Dashbordet husker i nettleseren hvilken bedrift og hvilken profil du valgte sist.
• Dashbordet lagrer handlinger som ikke er sendt ferdig i nettleseren, slik at de ikke sendes to ganger hvis du laster siden på nytt.

Vi bruker ingen verktøy for analyse eller annonser på telkit.no.

Etter personvernforordningen kapittel III kan du be om:

• innsyn i opplysningene vi har om deg (artikkel 15)
• retting av opplysninger som er feil (artikkel 16)
• sletting (artikkel 17), når vi ikke har plikt eller grunn til å beholde dem
• begrensning av behandlingen (artikkel 18)
• å få opplysningene utlevert i et maskinlesbart format (artikkel 20)
• å protestere mot behandling vi gjør på grunnlag av berettiget interesse (artikkel 21)

Vi svarer innen én måned. Fristen kan forlenges med to måneder når forespørselen er omfattende, og da sier vi fra innen den første måneden. Det koster ingenting.

Gjelder det innhold en bedrift har sendt deg gjennom telkit, skal forespørselen gå til bedriften. Vi hjelper bedriften med å svare.

• API-nøkler, invitasjonslenker og fødselsnummer fra BankID lagres bare som kontrollsummer.
• Filer som opptak, lydfiler, firmaattester og brev lagres med en nøkkel. Lenken til en fil lages først når noen åpner den, og den varer kort.
• Hendelser som sendes til kundens system, er signert, slik at kunden kan kontrollere at de kommer fra oss.
• Ansatte i telkit som åpner en kundes data, må oppgi en grunn. Tilgangen varer en begrenset tid og logges.

Oppdager vi et brudd på sikkerheten som gjelder opplysninger vi behandler for en kunde, varsler vi kunden uten ugrunnet opphold, slik personvernforordningen artikkel 33 krever.

Mener du at vi behandler opplysningene dine i strid med regelverket, kan du klage til Datatilsynet (personvernforordningen artikkel 77). Datatilsynet anbefaler at du først tar kontakt med oss, fordi det ofte løser saken.

Vi oppdaterer erklæringen når behandlingen endrer seg. Datoen øverst viser når den sist ble endret.