Personvernerklæring

Conspectum AS, org.nr. 984 238 002, som leverer Otal, er behandlingsansvarlig for personopplysningene som behandles i forbindelse med vår nettside og vår kundeserviceplattform. Postadresse: Sandgata 55, 7012 Trondheim. Henvendelser om personvern sendes til personvern@otal.no.

Når en virksomhet bruker Otal til å håndtere sine egne kundehenvendelser, opptrer Otal som databehandler på vegne av kunden (behandlingsansvarlig). Behandlingen er regulert av en egen databehandleravtale (DPA) som inngås ved oppstart. Sluttbrukere som er i kontakt med en Otal-kunde må forholde seg til den aktuelle virksomhetens egen personvernerklæring for spørsmål om innsyn, retting og sletting.

Avhengig av hvordan du er i kontakt med oss, kan vi behandle:

• Kontoinformasjon: navn, e-postadresse, telefonnummer, arbeidsgiver, rolle.
• Innloggingsdata: hash-kodede passord, OAuth-identifikatorer (Google), sesjonstokens.
• Kundedialog: meldinger, vedlegg, saksnotater, kategorier og statuser fra integrerte kanaler (chat, e-post, SMS, Messenger, Instagram).
• Ordredata: ordrenummer, status og kjøpshistorikk fra nettbutikk som Kunden selv har koblet til (f.eks. PrestaShop, Shopify eller Mystore).
• Kunnskapsbase og intranett: dokumenter og notater som du selv laster opp.
• Kalenderdata: hendelser fra kalendere Kunden selv kobler til, og timebestillinger (navn, e-postadresse, telefonnummer og tidspunkt) gjort via chatboten.
• Bruksdata: hvilke sider og funksjoner du bruker, samt tekniske logger (IP-adresse, nettleser, tidspunkt) for sikkerhet og feilsøking.
• Faktureringsdata: organisasjonsnummer, fakturaadresse og betalingshistorikk.

• Levere tjenesten — avtale (GDPR art. 6 nr. 1 b).
• Sikkerhet, misbruksforebygging og feilsøking — berettiget interesse (art. 6 nr. 1 f).
• Lovpålagt regnskapsføring — rettslig forpliktelse (art. 6 nr. 1 c).
• Markedsføring og nyhetsbrev — ditt samtykke, som du når som helst kan trekke tilbake (art. 6 nr. 1 a).
• Statistikk over bruken av nettsiden (Google Analytics) — ditt samtykke, som du når som helst kan trekke tilbake (art. 6 nr. 1 a).

Otal bruker AI-modeller fra Anthropic (Claude) for å foreslå svar, kategorisere saker og drive chatbot-en. Innholdet sendes kryptert til modellleverandøren og brukes ikke til å trene grunnmodellene. Vi anonymiserer ikke automatisk innholdet — du bør derfor unngå å skrive inn unødvendige personopplysninger eller sensitive opplysninger i meldinger og prompter.

Kobler en virksomhet Otal til Google Kalender, Microsoft Outlook/365, Microsoft Bookings, Calendly, Cal.com eller en ICS-lenke, leser Otal kalenderhendelsene (tidspunkt, tittel, beskrivelse og sted) for å vise dem i Otal-kalenderen og for å regne ut når virksomheten er ledig. Når chatboten booker en time, opprettes avtalen i den tilkoblede tjenesten med kundens navn, e-postadresse og eventuelt telefonnummer.

• Kunder som chatter, ser aldri innholdet i kalenderen – bare om et tidspunkt er ledig eller opptatt.
• AI-modellen får bare ledige tidspunkter og hendelser som virksomheten selv har merket som offentlige, aldri titler eller innhold fra interne hendelser.
• Tilgangsnøkler lagres kryptert (AES-256-GCM) og er aldri tilgjengelige fra nettleseren.
• Kalenderdata brukes ikke til annonsering, selges ikke og brukes ikke til å trene AI-modeller.
• Kobles en kalender fra, slettes tilgangsnøklene og alle hendelser som er hentet fra den. Tilgangen hos Google trekkes samtidig tilbake.

Otals bruk av opplysninger mottatt fra Google API-er, og overføring av dem til andre apper, følger Google API Services User Data Policy, inkludert kravene om begrenset bruk (Limited Use): Otal's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Vi deler kun opplysninger med leverandører som er nødvendige for å drifte tjenesten. Sentrale databehandlere er:

• Supabase (database, autentisering, fillagring) — EU-region.
• Cloudflare (drift, CDN, edge-funksjoner).
• Anthropic (AI-modellene bak svarforslag og chatbot).
• Mailgun (sending og mottak av e-post).
• Resend (varsler og bekreftelser på e-post, for eksempel timebekreftelser).
• Twilio (SMS-kanalen, kun ved aktiv kobling).
• Meta (Messenger- og Instagram-integrasjon, kun ved aktiv kobling).
• Google (Google Analytics, statistikk over bruken av nettsiden — kun hvis du har samtykket).
• Google, Microsoft, Calendly og Cal.com (kalenderintegrasjonene — kun når Kunden selv kobler til en konto).

Oppdatert liste over underleverandører kan fås ved å kontakte personvern@otal.no.

Kjerne­tjenestene driftes innenfor EU/EØS. Enkelte underleverandører (særlig AI-, e-post- og analyseleverandører) kan behandle opplysninger i USA. Slik overføring skjer på grunnlag av EUs standard kontraktsklausuler (SCC) og — der det er aktuelt — EU–US Data Privacy Framework.

• Aktiv kontodata lagres så lenge avtalen løper.
• Sikkerhetslogger lagres normalt i 90 dager.
• Saker og samtaler slettes 30 dager etter at avtalen avsluttes, dersom ikke annet er avtalt.
• Faktura- og regnskapsdata oppbevares i fem år i tråd med bokføringsloven.

Du har rett til innsyn, retting, sletting, begrensning og dataportabilitet, samt rett til å motsette deg behandling basert på berettiget interesse. Du kan også klage til Datatilsynet (datatilsynet.no). Henvendelser om dine rettigheter sendes til personvern@otal.no.

Otal bruker strengt nødvendige informasjonskapsler for innlogging og sikkerhet, og lagrer språk- og tema-innstillinger lokalt i nettleseren.

Hvis du samtykker, bruker vi også Google Analytics (levert av Google Ireland Ltd.) til å se hvordan nettsiden brukes, for eksempel hvilke sider som besøkes. Google Analytics setter informasjonskapslene _ga og _ga_*, som lagres i opptil to år. Google Analytics lastes ikke før du har sagt ja, og brukes ikke i den innloggede appen eller i chat-widgeten på andre nettsider. Vi bruker ikke annonseringscookies.

Du kan når som helst endre eller trekke tilbake samtykket via «Informasjonskapsler» nederst på siden. Trekker du det tilbake, slettes Google Analytics-informasjonskapslene.

Vi kan oppdatere denne erklæringen ved endringer i tjenesten eller regelverket. Vesentlige endringer varsles på e-post eller i applikasjonen.