Personvernerklæring

1. Innledning

Denne personvernerklæringen beskriver hvordan HR Cluster AS, som driver SRVY-plattformen, behandler personopplysninger. Vi er opptatt av å verne personvernet til dem hvis opplysninger behandles gjennom SRVY, og av å opptre i tråd med EUs personvernforordning (GDPR) og den norske personopplysningsloven.

SRVY betjener to grupper personer: virksomhetsbrukere, som logger inn for å bygge undersøkelser og lese analyser, og respondenter, som mottar invitasjoner og svarer på undersøkelser. Denne erklæringen dekker begge, og påpeker hensyn som er særegne for respondenter der de skiller seg ut.

2. Roller og ansvar

SRVY brukes av kundevirksomheter til å gjennomføre sine egne undersøkelser. I de fleste tilfeller:

• Kundevirksomheten er behandlingsansvarlig. Den bestemmer hvilke undersøkelser som skal gjennomføres, hvem som skal inviteres, og hvorfor, og fastsetter dermed formålene med og midlene for behandlingen av respondentdata.
• HR Cluster AS er databehandler. Selskapet behandler disse dataene på kundens vegne for å levere plattformen.

Vilkårene for denne behandlingen er fastsatt i vår databehandleravtale. Der HR Cluster AS selv bestemmer formålene og midlene (herunder kontoadministrasjon, fakturering, plattformsikkerhet og tilgangslogging for virksomhetsbrukere), opptrer selskapet som behandlingsansvarlig, og denne personvernerklæringen gjelder direkte.

3. Opplysninger vi behandler om virksomhetsbrukere

For personene som logger inn for å administrere en kundevirksomhet, behandler vi:

• Identitets- og kontaktopplysninger: navn, jobb-e-post og virksomheten de tilhører.
• Konto- og tilgangsdata: passordhasher, rolle, rettigheter og foretrukket språk.
• Bruks- og tekniske data: påloggingshendelser, IP-adresse, nettleser- og enhetstype, og tidsstempler i revisjonsloggen for administrative handlinger.

4. Opplysninger vi behandler om respondenter

Hva vi behandler om en respondent, avhenger av hvordan kundevirksomheten setter opp undersøkelsen sin:

• Kontaktopplysninger. Der en undersøkelse distribueres med administrert e-post, behandler vi respondentens e-postadresse, og eventuelt navn eller egenskaper virksomheten har lagt til, for å sende invitasjonen og eventuelle påminnelser.
• Svardata. Svarene en respondent gir, sammen med undersøkelses- og sidestrukturen som trengs for å tolke dem.
• Abonnements- og samtykkedata. Abonnementsstatus for en pool eller liste, og en logg over påmeldinger eller avmeldinger, inkludert tidsstempel og IP-adresse som dokumentasjon på samtykke.
• Tekniske data. Serverne våre behandler standard forespørselsmetadata, herunder en IP-adresse, forbigående av hensyn til sikkerhet og forebygging av misbruk. Dette lagres ikke sammen med et undersøkelsessvar.

E-postadresser som brukes til invitasjoner, tokeniserte lenker og undertrykking, lagres også som en nøkkelbasert hash (HMAC-SHA256), slik at avmeldinger og undertrykking etter returer kan håndheves uten å beholde adressen i klartekst der det ikke er nødvendig.

5. Anonyme svar

SRVY er bygget slik at undersøkelsessvar ikke kan kobles til personene som gir dem. Vi lagrer verken navn, e-postadresser eller invitasjonsidentifikatorer sammen med et undersøkelsessvar, og det finnes ingen lagret kobling fra et svar til en invitasjon, en mottaker eller en e-postabonnent. Når en invitert mottaker fullfører en undersøkelse, registrerer vi det bare på invitasjonssiden, med dagsoppløsning, uten referanse tilbake til svaret. Plattformen gir ingen måte å fastslå hvilket svar som tilhører hvilken person. Å svare på en undersøkelse er dessuten øktfritt, og det settes ingen identifiserende innloggingsinformasjonskapsel på respondenter.

Dette er ikke-koblbarhet ved design, ikke et løfte om absolutt anonymitet. Det har grenser:

• Et undersøkelsesspørsmål utformet av kundevirksomheten kan be om identifiserende opplysninger, og fritekstsvar kan inneholde personopplysninger en respondent velger å dele.
• For en liten invitert gruppe er settet av mulige avsendere tilsvarende lite. SRVY håndhever ingen minste gruppestørrelse.
• Et svar som samles inn via en selskapsspesifikk lenke, brukt når en undersøkelse distribueres per deltakende selskap, tilskrives det selskapet og ikke en navngitt person. Et svar fra et eksternt panel kan bære en ugjennomsiktig leverandørreferanse som SRVY selv ikke kan knytte til en person.
• Hvis en respondent melder seg på e-post etter en undersøkelse, lagrer vi det abonnementet separat, knyttet til e-postadressen og med undersøkelsen kun som opphav. Det registrerer respondentens egen IP-adresse og datoen som dokumentasjon på samtykke, og kobles ikke til svaret.

6. Hvordan opplysningene brukes

Personopplysninger som behandles gjennom SRVY, brukes til å:

• Levere og drifte plattformen
• Administrere arbeidsområder, virksomhetsbrukere, roller og rettigheter
• Distribuere undersøkelsesinvitasjoner og påminnelser, og håndtere abonnementer
• Samle inn og lagre svar og produsere analyser for kundevirksomheten
• Ivareta sikkerhet, forebygge misbruk og føre revisjons- og leveringslogger
• Yte støtte og forbedre plattformens stabilitet

Vi selger ikke personopplysninger, og vi bruker ikke respondentdata eller undersøkelsessvar til reklame eller profilering.

7. Behandlingsgrunnlag

Der HR Cluster AS behandler personopplysninger som behandlingsansvarlig, bygger vi på følgende grunnlag etter GDPR artikkel 6:

• Avtale (art. 6 nr. 1 b), for å levere plattformen til kunden og dens virksomhetsbrukere.
• Berettiget interesse (art. 6 nr. 1 f), for å holde plattformen sikker, forebygge misbruk, føre revisjonslogger og forbedre tjenesten, avveid mot rettighetene til de berørte.
• Rettslig forpliktelse (art. 6 nr. 1 c), for å oppfylle gjeldende regnskaps-, skatte- og informasjonssikkerhetslovgivning.
• Samtykke (art. 6 nr. 1 a), for valgfrie analyseinformasjonskapsler, og for e-postabonnementer der samtykke er valgt grunnlag.

Der HR Cluster AS opptrer som databehandler, er kunden ansvarlig for å fastsette behandlingsgrunnlaget for den underliggende behandlingen av respondentdata.

8. Underdatabehandlere

For å drifte SRVY bruker vi et lite antall underdatabehandlere, hver bundet av en skriftlig databehandleravtale. Den gjeldende listen, med datakategorier, lokasjoner og garantier for hver, er publisert i vedlegget til vår databehandleravtale. Kort oppsummert:

• Hetzner Online GmbH, for drift, databehandling, lagring og sikkerhetskopier.
• Postmark (ActiveCampaign, LLC), i USA, for levering av transaksjons- og undersøkelses-e-post, herunder invitasjoner, påminnelser og abonnementsmeldinger.
• Google Analytics (Google Ireland Ltd.), for personvernvennlig, samtykkestyrt bruksanalyse på våre offentlige sider.

Innad i kundevirksomheten kan respondentdata også være synlige for de virksomhetsbrukerne virksomheten har autorisert, i tråd med rollene den har satt opp.

9. Drift

SRVY kjører på dedikert infrastruktur levert av Hetzner Online GmbH. Den nåværende driftslokasjonen er dokumentert operasjonelt. Applikasjonsservere, databasen, opplastede filer og sikkerhetskopier driftes i dette miljøet. Enkelte tilleggstjenester, særlig levering av transaksjons-e-post og analyse, leveres av underdatabehandlere som behandler personopplysninger i USA, under garantiene beskrevet nedenfor.

10. Overføring til utlandet

Enkelte underdatabehandlere behandler personopplysninger utenfor EØS, herunder vår e-post- og analyseleverandør i USA. Disse overføringene skjer under EU-kommisjonens standardavtaleklausuler og, der det er relevant, EU–US Data Privacy Framework. Vi overfører bare de dataene som er nødvendige for den aktuelle tjenesten, for eksempel en mottakers e-postadresse for å levere en undersøkelsesinvitasjon.

11. Lagringstid

Vi lagrer personopplysninger så lenge det er nødvendig for å levere plattformen, oppfylle rettslige forpliktelser, løse tvister og håndheve avtaler, eller etter instruks fra kundevirksomheten. Som en veiledende hovedregel:

• Kontodata for arbeidsområdet lagres så lenge tjenesteavtalen varer.
• Svar og undersøkelsesdata lagres for kundevirksomheten og slettes eller returneres ved avtalens opphør, eller tidligere etter virksomhetens instruks.
• Abonnements- og undertrykkingslogger lagres så lenge det er nødvendig for å respektere respondentens valg. En undertrykkingslogg beholdes slik at en avmelding forblir virksom.
• Sikkerhets-, revisjons- og leveringslogger lagres i en begrenset periode av hensyn til etterprøvbarhet.
• Sikkerhetskopier lagres etter en rullerende plan før de overskrives.

12. Dine rettigheter

Etter GDPR har du rett til å be om innsyn i opplysningene dine, retting av uriktige opplysninger, sletting, begrensning av behandlingen, å protestere mot behandling basert på berettiget interesse, og dataportabilitet for opplysninger du har gitt. Der behandlingen bygger på samtykke, kan du trekke det tilbake når som helst. Disse rettighetene er underlagt vilkårene og unntakene i loven.

Fordi kundevirksomheten normalt er behandlingsansvarlig for respondentdata, bør henvendelser om undersøkelsessvar eller abonnementer i de fleste tilfeller rettes til virksomheten som gjennomførte undersøkelsen. HR Cluster AS vil bistå virksomheten i å svare. Hver undersøkelses-e-post inneholder dessuten en avmeldingslenke som en respondent kan bruke direkte.

13. Sikkerhet

HR Cluster AS iverksetter tekniske og organisatoriske tiltak tilpasset risikoen. Disse omfatter kryptering under overføring, hashede påloggingsopplysninger, dataisolasjon per virksomhet og daglige sikkerhetskopier utenfor stedet, og er beskrevet i sin helhet på vår sikkerhetsside. Vi varsler berørte kunder uten ugrunnet opphold ved ethvert brudd på personopplysningssikkerheten som sannsynligvis medfører en risiko for enkeltpersoner, i tråd med GDPR artikkel 33 og 34.

14. Informasjonskapsler

SRVY bruker informasjonskapsler og lignende teknologier slik det er beskrevet i våre retningslinjer for informasjonskapsler.

15. Kontakt og tilsynsmyndighet

For spørsmål om denne personvernerklæringen eller vår behandling av opplysninger, kontakt:

HR Cluster AS
E-post: privacy@srvy.app

Er du i Norge eller EØS og mener at personvernrettighetene dine er krenket, kan du klage til Datatilsynet på datatilsynet.no, eller til tilsynsmyndigheten i landet der du bor.