Samsvar med norsk regelverk

For meldinger, samtaler, opptak, transkripsjoner og brev er bedriften behandlingsansvarlig og telkit databehandler. Personvernforordningen artikkel 28 krever at behandlingen er regulert i en avtale, at databehandleren bare følger den behandlingsansvarliges instrukser, og at den ikke tar i bruk nye underleverandører uten at den behandlingsansvarlige kan protestere.

Pliktene telkit har som databehandler, står i vilkårene. Hva vi behandler og hvor lenge, står i personvernerklæringen.

Siden om underleverandører viser hver leverandør, hva den gjør, og hvor den behandler data der vi har dokumentert det. To leverandører behandler data i USA:

• ElevenLabs gjør tekst om til tale og tale om til tekst.
• Resend sender e-post fra sin region i EU, men lagrer kontodata som logger og metadata i USA.

Overføring av personopplysninger ut av EØS krever et grunnlag etter personvernforordningen kapittel V, for eksempel en beslutning om tilstrekkelig beskyttelsesnivå (artikkel 45) eller standard personvernbestemmelser (artikkel 46).

Filer som opptak, lydfiler og brev lagres med en nøkkel. En lenke til filen lages først når noen åpner den, og den varer kort.

Markedsføringsloven § 15 forbyr markedsføring til privatpersoner på e-post, SMS og med automatiske oppringninger (talemaskin) uten at mottakeren har samtykket på forhånd. SMS regnes som elektronisk post etter bestemmelsen.

Unntaket er eksisterende kunder. Har bedriften fått e-postadressen eller nummeret i forbindelse med et salg, kan den markedsføre egne varer og tjenester som ligner dem kundeforholdet bygger på. Kunden skal da enkelt og gratis kunne reservere seg, både når adressen samles inn og i hver melding.

Forbrukertilsynet har en veiledning om markedsføring via e-post og SMS.

I telkit kan mottakeren svare med et av ordene STOPP, STOP, AVMELD på en SMS. Da sender profilen ikke flere SMS til nummeret før mottakeren svarer START, og forsøk på å sende blir avvist. Samtykket til markedsføring må bedriften selv innhente og kunne dokumentere.

I Reservasjonsregisteret hos Brønnøysundregistrene kan privatpersoner reservere seg mot telefonsalg og adressert reklame. Bedrifter og enkeltpersonforetak kan ikke reservere seg.

• Telefonsalg til forbrukere som har reservert seg, er forbudt (markedsføringsloven § 12). Det samme gjelder adressert reklame i posten (§ 13), også brev som sendes på papir gjennom telkit.
• Bedriften skal sjekke adresseregisteret sitt mot Reservasjonsregisteret før første henvendelse, og i den måneden markedsføringen skjer (§ 13 a).
• Telefonsalg til forbrukere er forbudt på lørdager, søn- og helligdager og før kl. 09.00 og etter kl. 21.00 på hverdager. Det er også forbudt å ringe fra skjult nummer, eller fra et nummer som ikke er registrert og søkbart i nummeropplysningen (§ 14).
• Eksisterende kunder kan kontaktes om tilsvarende varer og tjenester selv om de har reservert seg (§ 12).

telkit slår ikke opp i Reservasjonsregisteret for deg. Sjekken må bedriften gjøre før den ringer eller sender reklame.

Datatilsynet regner innholdet i en samtale, og også hvordan stemmen høres ut, som personopplysninger. Det finnes ingen egne regler om lydopptak, så de vanlige personvernreglene gjelder (Datatilsynet om lydopptak). Datatilsynet skriver at virksomheter som hovedregel må be om samtykke før de tar opp samtaler med kunder.

Hemmelig opptak av en samtale mellom andre er straffbart (straffeloven § 205). Den som tar opp, må selv delta i samtalen.

I telkit tas en samtale opp bare når bedriften ber om det for den samtalen. Bedriften er behandlingsansvarlig for opptaket og må sørge for at de som deltar, vet om det.

Nkom beskriver spoofing som å manipulere nummeret slik at det ser ut som om anropet kommer fra noen andre. På SMS kan avsenderen også være en tekst i stedet for et nummer (Nkom om digital svindel). telkit hindrer dette slik:

• En samtale går bare ut fra et aktivt nummer som bedriften har fått gjennom telkit, og bare til norske numre.
• Avsendernavn for SMS, avsendere for e-post og brevhoder godkjennes av oss før de kan brukes.
• Telefonnumre og egne SMS-numre godkjennes av oss før de tas i bruk.

• Ved registrering slår vi opp organisasjonsnummeret i Enhetsregisteret i Brønnøysundregistrene.
• Før en bedrift kan sende brev, ringe eller få eget SMS-nummer, verifiserer vi den med firmaattest, hvem som kan signere, reelle rettighetshavere og hva tjenestene skal brukes til.
• Bedriften godtar reglene for bruk og en erklæring om nødnummer (112) som del av verifiseringen.
• Et organisasjonsnummer kan bare høre til én verifisert konto.

• API-nøkler, invitasjonslenker og fødselsnummer fra BankID lagres bare som kontrollsummer.
• Hendelser som sendes til bedriftens system, er signert.
• Ansatte i telkit som åpner en kundes data, må oppgi en grunn. Tilgangen varer en begrenset tid og logges.
• Ved brudd på sikkerheten varsler vi bedriften uten ugrunnet opphold, slik personvernforordningen artikkel 33 krever av en databehandler.