Personvernerklæring

1. Kort sagt

Kort sagt: Alt innholdet ditt behandles innenfor EU/EØS. Vi bruker det ikke til å trene språkmodeller. Google er den eneste leverandøren vår utenfor EU/EØS, og den ser hvem du er — ikke hva du laster opp.

1.1 Denne erklæringen forklarer hvordan Bestek AS behandler personopplysninger i Lov Norge. Den er informasjon til deg, ikke et vilkår du samtykker til. Vilkårene for å bruke tjenesten står i brukeravtalen.

1.2 Det viktigste, kort:

• Dokumentene og spørsmålene dine behandles hos leverandører innenfor EU/EØS.
• Vi bruker ikke kundedata til å trene språkmodeller.
• Den eneste leverandøren utenfor EU/EØS er Google, som håndterer innlogging og anonymisert trafikkmåling. Google mottar ikke innholdet i dokumentene dine.
• Du kan når som helst be om innsyn i, retting av eller sletting av opplysningene dine.

2. Hvem er behandlingsansvarlig

Kort sagt: Bruker du tjenesten gjennom jobben, er virksomheten din ansvarlig og vi er databehandler. Bruker du den privat, er vi ansvarlige.

2.1 Bestek AS, org.nr. 937 205 570, C. Sundts gate 51, 5004 Bergen, e-post post@lovnorge.no.

2.2 Hvem som er behandlingsansvarlig avhenger av hvordan du bruker tjenesten.

2.3 Bruker du Lov Norge gjennom en virksomhet — en kommune, en etat, et helseforetak eller en bedrift — er virksomheten behandlingsansvarlig for innholdet dere laster opp og spørsmålene dere stiller. Bestek AS er da databehandler og behandler opplysningene på virksomhetens instruks.

2.4 Bruker du Lov Norge som privatperson, uten tilknytning til en virksomhet, er Bestek AS behandlingsansvarlig for det du laster opp og spør om — også for opplysninger om andre personer som er nevnt i dokumentet ditt. Se punkt 5.

2.5 Bestek AS er alltid behandlingsansvarlig for kontoopplysninger, innlogging, sikkerhetslogg og trafikkmåling på nettstedet, uansett kontotype.

3. Hvilke opplysninger vi behandler

Kort sagt: Kontoopplysninger, det du laster opp og spør om, tekniske data, en logg over handlinger som sletter eller åpner dokumenter, og bekreftelsen på at du har godtatt brukeravtalen.

3.1 Kontoopplysninger: navn, e-postadresse, konto-ID, organisasjonstilhørighet og rolle, samt innloggings- og øktdata.

3.2 Innhold du sender inn: spørsmål du stiller, dokumenter du laster opp, samtalehistorikk, og resultatene av dokumentanalyser.

3.3 Avledede data: vektorrepresentasjoner (embeddings) av tekst, klassifiseringer og kontekst som brukes for å finne fram i rettskildene.

3.4 Sporbarhet per svar: for hvert svar lagrer vi spørsmålet slik det ble stilt, hvilke søk tjenesten gjorde, og hvilke kilder som ble hentet fram med tilhørende relevansscore. Dette gjør det mulig å etterprøve hvorfor tjenesten svarte som den gjorde.

3.5 Tekniske data: IP-adresse, nettlesertype, enhet, operativsystem og tidspunkt.

3.6 Sikkerhetslogg: vi logger handlinger som sletter innhold, handlinger utført av vår egen driftspersonell, og nedlasting av dokumenter. En nedlasting logges med hvem som lastet ned og når, slik at virksomheten som eier dokumentet kan få svar på hvem som har åpnet det. Loggen inneholder aktørens bruker-ID, e-postadresse, IP-adresse og en beskrivelse av hendelsen.

3.7 Bekreftelse på at du har godtatt brukeravtalen: når du godtar brukeravtalen, lagrer vi hvilken versjon du godtok, tidspunktet, og IP-adressen og nettleseren forespørselen kom fra. Dette er dokumentasjon på at avtalen er inngått, og på hvilke vilkår.

4. Hva vi bruker opplysningene til, og det rettslige grunnlaget

Kort sagt: Vi behandler opplysninger for å levere tjenesten du har bedt om, for å holde den sikker, og — bare med samtykke — for å måle trafikk.

4.1 Levere tjenesten — generere svar, utføre dokumentanalyse, lagre samtalehistorikk og administrere kontoen din. Grunnlag: avtale, personvernforordningen artikkel 6 nr. 1 bokstav b.

4.2 Sikkerhet og etterprøvbarhet — sikkerhetsloggen i punkt 3.6, og teknisk logging for å oppdage feil og misbruk. Grunnlag: berettiget interesse, artikkel 6 nr. 1 bokstav f, og ansvarlighetsprinsippet i artikkel 5 nr. 2.

4.3 Dokumentere at brukeravtalen er inngått — vi lagrer bekreftelsen beskrevet i punkt 3.7 for å kunne vise hvilken versjon av avtalen du godtok, og når. Grunnlag: avtale, artikkel 6 nr. 1 bokstav b, og berettiget interesse i å kunne dokumentere avtaleinngåelsen, artikkel 6 nr. 1 bokstav f.

4.4 Regnskap og fakturering — der det er aktuelt. Grunnlag: rettslig forpliktelse, artikkel 6 nr. 1 bokstav c.

4.5 Trafikkmåling på nettstedet — anonymisert statistikk gjennom Google Analytics. Grunnlag: samtykke, artikkel 6 nr. 1 bokstav a. Se punkt 10.

4.6 Vi bruker ikke innholdet ditt til å trene språkmodeller, verken våre egne eller leverandørenes.

4.7 Vi bruker ikke opplysningene til profilering eller automatiserte avgjørelser med rettsvirkning for deg.

5. Bruker du Lov Norge som privatperson

Kort sagt: Avtalen du laster opp nevner ofte andre enn deg. Vi behandler opplysningene om dem kun for å svare deg — aldri for å bygge profiler.

5.1 Mange privatpersoner laster opp en arbeidsavtale, en leiekontrakt eller en kjøpsavtale de selv er part i. Slike dokumenter handler sjelden bare om deg.

5.2 En arbeidsavtale kan navngi arbeidsgiveren din og kolleger. En leiekontrakt kan navngi utleieren. En kjøpsavtale kan navngi selgeren. Disse personene har verken bedt om eller samtykket til at vi behandler opplysninger om dem.

5.3 Vi behandler opplysningene om dem fordi det er nødvendig for å svare på dine spørsmål om en avtale du selv er part i — berettiget interesse etter artikkel 6 nr. 1 bokstav f. Opplysningene brukes utelukkende til å svare deg, aldri til å bygge profiler om dem eller til andre formål.

5.4 Dokumentet og samtalen er kun tilgjengelig for deg, ikke for andre brukere av tjenesten.

5.5 Last ikke opp særlige kategorier av personopplysninger — for eksempel helseopplysninger eller opplysninger om fagforeningsmedlemskap — med mindre det er nødvendig for spørsmålet ditt. Du er selv ansvarlig for at du har grunnlag for å behandle det du laster opp, jf. brukeravtalen punkt 6.

6. Er du nevnt i et dokument noen andre har lastet opp

Kort sagt: Du har rettigheter selv om du ikke er bruker hos oss. Ta kontakt, så vurderer vi henvendelsen.

6.1 Er du ikke selv bruker av Lov Norge, men nevnt i en avtale en annen person har lastet opp — som arbeidsgiver, kollega, utleier eller motpart — har du likevel rettigheter etter personvernforordningen for opplysningene som gjelder deg.

6.2 Ta kontakt på post@lovnorge.no. Vi vurderer henvendelsen din og hvilke rettigheter som gjelder, selv om du ikke har konto hos oss.

6.3 Er dokumentet lastet opp gjennom en virksomhet, er virksomheten behandlingsansvarlig, jf. punkt 2.3. Vi videreformidler da henvendelsen din til dem og bistår dem med å svare.

7. Hvem vi deler opplysninger med

Kort sagt: Alle leverandørene som ser dokumentene dine ligger i EU/EØS. Tjenesten som tolker dokumenter mottar hele dokumentet — den er den eneste tekstkilden analysen har.

7.1 Vi selger ikke personopplysninger, og deler dem ikke til markedsføringsformål.

7.2 Vi bruker følgende databehandlere for å levere tjenesten:

Leverandør	Rolle	Hvor
Azure OpenAI	KI-modeller for svar, analyse og embeddings	EU (Vest-Europa)
Azure Container Apps	Teksttolkning av opplastede dokumenter	EU (Vest-Europa)
Cloudflare R2	Lagring av opplastede og genererte filer	EU
Azure (PostgreSQL)	Hoveddatabase	EØS (Norge øst)
Qdrant	Vektordatabase for søk i lovtekst og dokumenter	EØS (Norge øst)
Resend	Utsending av e-post (innlogging og varsler)	EU (Irland)
Google	Innlogging med Google-konto og anonymisert trafikkmåling	USA
Sanity	Publiseringsverktøy for redaksjonelt innhold	EU/USA

7.3 Teksttolkningen mottar hele dokumentet. Når du laster opp en PDF eller et Word-dokument, sendes det i sin helhet til tjenesten som gjør om filen til tekst. Den er den eneste tekstkilden analysen har, og den kjører i samme region som modellene.

7.4 Google mottar ikke innholdet i dokumentene dine. Google håndterer innlogging med Google-konto og anonymisert trafikkmåling, og ser dermed kontoidentitet og besøksmønster — ikke det du laster opp eller spør om.

7.5 Sanity inneholder ingen kundedata. Verktøyet brukes bare til redaksjonelt innhold som artikler og nyheter.

7.6 Vi inngår databehandleravtaler med leverandørene våre, og deler kun de opplysningene som er nødvendige for at tjenesten skal virke.

7.7 Vi kan utlevere opplysninger der vi er rettslig forpliktet til det.

8. Overføring utenfor EU/EØS

Kort sagt: Ingen leverandør utenfor EU/EØS mottar innholdet i dokumentene dine. Google er den eneste utenfor, og overføringen bygger på EUs standardavtaler.

8.1 Ingen databehandler utenfor EU/EØS mottar innholdet i dokumentene dine. KI-modellene og teksttolkningen kjører i Azure Vest-Europa, filene ligger i EU, og databasene ligger i Azure Norge øst.

8.2 Norge er med i EØS, men ikke i EU. Vi skriver derfor «EU/EØS» og ikke «EU»: databasene står i Norge. For personvernforordningen er dette uten betydning — Norge er bundet av den gjennom EØS-avtalen, og en overføring til Norge er ikke en tredjelandsoverføring.

8.3 Google (USA) er den eneste leverandøren utenfor EU/EØS. Overføringen skjer på grunnlag av EUs standard personvernbestemmelser (Standard Contractual Clauses). Google mottar kontoidentitet ved innlogging og anonymisert besøksstatistikk, ikke dokumentinnhold.

9. Hvor lenge vi lagrer

Kort sagt: Innholdet ditt ligger der til du eller virksomheten din sletter det. Innloggingsdata slettes daglig, sikkerhetsloggen etter 24 måneder. Sletter du kontoen, slettes alt som gjelder deg — også bekreftelsen på at du godtok avtalen.

9.1 Kontoopplysninger lagres så lenge kontoen er aktiv.

9.2 Innhold du har lastet opp, samtaler og analyser har ingen automatisk slettefrist. Det lagres til du sletter det selv, til kontoen eller organisasjonen slettes, eller til du ber oss om å slette det. Vi gjennomgår jevnlig organisasjoner som ikke har vært i bruk, og sletter dem etter en intern prosess med varsel.

9.3 Utløpte innloggings- og verifiseringsdata slettes automatisk hver natt.

9.4 Sikkerhetsloggen slettes automatisk etter 24 måneder.

9.5 Sporbarhet per svar har ingen egen slettefrist. Den slettes sammen med samtalen den hører til, og sammen med organisasjonen, slik at sletting dekker den uten et eget steg.

9.6 Regnskapsmateriale oppbevares så lenge bokføringsloven krever, som for de fleste typer er fem år etter regnskapsårets slutt.

9.7 Bekreftelsen på at du har godtatt brukeravtalen har ingen egen slettefrist, fordi den dokumenterer en avtale som gjelder så lenge kontoen gjør det. Den slettes sammen med brukerkontoen din: ber du om sletting etter artikkel 17, slettes også bekreftelsen.

9.8 Ved sletting fjernes opplysningene fra databasen, fra fillagringen og fra vektordatabasen.

10. Informasjonskapsler

Kort sagt: Nødvendige informasjonskapsler settes uten samtykke. Alt annet krever at du sier ja, og du kan ombestemme deg.

10.1 Informasjonskapsler som er strengt nødvendige for å levere tjenesten — innlogging og økthåndtering — settes uten samtykke, jf. ekomloven § 3-15 andre ledd.

10.2 Alle andre informasjonskapsler, inkludert de som brukes til trafikkmåling, settes bare hvis du samtykker. Samtykket innhentes gjennom samtykkebanneret på nettstedet.

10.3 Etter ekomloven § 3-15 første ledd skal et slikt samtykke oppfylle kravene i personvernforordningen. Det betyr at det skal være frivillig, spesifikt, informert og utvetydig — og at du kan trekke det tilbake like enkelt som du ga det.

10.4 Du kan når som helst endre eller trekke tilbake samtykket ditt gjennom samtykkevalget på nettstedet, eller ved å slette informasjonskapslene i nettleseren din.

10.5 Samtykkevalget ditt lagres i inntil 13 måneder.

11. Dine rettigheter

Kort sagt: Du kan be om innsyn, retting, sletting, begrensning, dataportabilitet, og protestere mot behandlingen. Send en e-post, så svarer vi innen en måned.

11.1 Du har rett til:

• innsyn i hvilke opplysninger vi behandler om deg,
• retting av uriktige eller mangelfulle opplysninger,
• sletting («retten til å bli glemt»),
• begrensning av behandlingen,
• dataportabilitet — å få opplysningene dine utlevert i et maskinlesbart format,
• å protestere mot behandling som bygger på berettiget interesse,
• å trekke tilbake samtykke der behandlingen bygger på samtykke.

11.2 For å utøve rettighetene dine, kontakt oss på post@lovnorge.no. Vi svarer normalt innen én måned.

11.3 Bruker du Lov Norge gjennom en virksomhet, rettes forespørsler om innsyn og sletting normalt til virksomheten din, som er behandlingsansvarlig. Vi bistår virksomheten med å svare. Bruker du tjenesten som privatperson, retter du forespørselen til oss direkte.

11.4 Vi kan be om at du bekrefter identiteten din før vi utleverer eller sletter opplysninger.

12. Klage til Datatilsynet

12.1 Mener du at vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet.

12.2 Datatilsynet, Postboks 458 Sentrum, 0105 Oslo. Se datatilsynet.no for kontaktinformasjon og klageskjema.

12.3 Vi setter pris på å få høre fra deg først, på post@lovnorge.no, slik at vi får rettet opp i det.

13. Endringer i erklæringen

13.1 Vi oppdaterer denne erklæringen når behandlingen endrer seg. Versjonen og datoen står øverst på siden.

13.2 Ved vesentlige endringer varsler vi deg på e-post eller i tjenesten før endringen trer i kraft.

13.3 Denne erklæringen er informasjon, ikke et vilkår du samtykker til. Endringer i den utvider ikke hva vi kan gjøre med opplysningene dine ut over det grunnlagene i punkt 4 tillater.

14. Kontakt

14.1 Bestek AS, org.nr. 937 205 570, C. Sundts gate 51, 5004 Bergen.

14.2 Alle henvendelser om personvern — innsyn, retting, sletting eller spørsmål til denne erklæringen — sendes til post@lovnorge.no.