Personvernerklæring

Hovedkunden (bedriften som har opprettet kontoen) er behandlingsansvarlig for dataene i sin tenant. JIWA HOLDING AS (org.nr 832 249 092), Jernbanegata 8, 1606 Fredrikstad, er databehandler og leverer TIDIT-plattformen. Databehandleravtale (DPA) inngås automatisk når du oppretter konto.

Henvendelser om personvern: e-post info@tidit.no.

• Kontodata: e-post, navn, telefon, organisasjonsnummer, fakturaadresse.
• Bruksdata: tidsregistreringer (dato, varighet, aktivitet, kommentar), hvilket prosjekt og underleverandør de gjelder.
• Lokasjonsdata (valgfritt per prosjekt):Hvis admin har aktivert lokasjons-sjekk på et prosjekt, blir nettleseren din bedt om GPS-tilgang ved start/stopp av tid. Vi lagrer kun resultatet av en avstands-sjekk: "på adresse", "ikke på adresse" eller "ikke målt". Selve GPS-koordinatene fra enheten din kastes umiddelbart etter at avstanden er beregnet - de lagres aldri. Du kan nekte GPS-tilgang i nettleseren; da registreres tiden som "ikke målt".
• Sikkerhetsdata: IP-adresse og user-agent ved innlogging og samtykke (audit-logg).
• Betalingsdata: håndteres av Stripe Inc. Vi lagrer kun referanse-IDer (customer_id, subscription_id), aldri kortdata.

• Avtale (Art. 6.1.b): for å levere tjenesten du har bestilt.
• Rettslig forpliktelse (Art. 6.1.c): bokføringsloven §13 - timer og fakturagrunnlag oppbevares i 5 år.
• Samtykke (Art. 6.1.a): for analyse-cookies og markedsføring (kan trekkes tilbake når som helst).
• Berettiget interesse (Art. 6.1.f): sikkerhets-logging og bedrageribekjempelse.

• Tidsregistreringer + fakturagrunnlag: 5 år (bokf.lov §13).
• Abonnement og fakturadata: 5 år etter avslutning (bokf.lov §13).
• Audit-logg for personvern- og samtykke-endringer: 3 år.
• Audit-logg for finansielle endringer: 5 år (bokf.lov).
• Audit-logg for innlogging og auth-hendelser: 1 år.
• Samtykke-logg: aktiv periode + 3 år (GDPR Art. 7 bevisbyrde).
• Invitasjons-tokens: 14 dager, slettes etter 30 dager.
• Stripe webhook-events: 90 dager.
• Sletteforespørsler (gdpr_requests): 3 år.
• Tekniske feillogger (Sentry): 90 dager.
• Backups (R2): 30 daglige + 12 månedlige + 7 årlige.

Full detaljert retensjonstabell finnes i intern dokumentasjon (docs/retention-table.md) og kan deles på forespørsel.

Alle data lagres i EU/EØS - Supabase Postgres (Stockholm) og Cloudflare Workers (eu-vest). Backups til Cloudflare R2 (eu). Ingen overføring til tredjeland.

• Innsyn: få en kopi av alle dine personopplysninger.
• Retting: oppdatere feilaktig informasjon.
• Sletting: rett til å bli glemt (med unntak for data vi må oppbevare lovbestemt - se §4).
• Begrensning: midlertidig stopp i behandling.
• Portabilitet: få data ut i maskinlesbart format (JSON/CSV).
• Innsigelse: protestere på behandling basert på berettiget interesse.

Send forespørsler til /personvern/forespoersel. Vi svarer innen 30 dager (GDPR Art. 12.3).

• Supabase Inc. (USA) - Postgres + Auth (data-residency: EU)
• Stripe Inc. (USA/Irland) - betaling og fakturering
• Resend (USA) - transaksjonell e-post
• Cloudflare Inc. (USA) - hosting + R2-storage (data-residency: EU)
• Sentry (USA) - feil-overvåking (kan deaktiveres)

Alle har inngått databehandleravtale med standardklausuler (SCC) der relevant.

Bedriftsdata holdes helt adskilt via Postgres Row-Level Security. Daglig backup. TLS overalt. Audit-logg på alle sensitive endringer. Rate limiting og brute-force-vern. Ingen kortdata lagres på våre systemer (PCI SAQ-A).

Du kan klage til Datatilsynet (datatilsynet.no) hvis du mener vi behandler data i strid med personvernregelverket.

Vi varsler om vesentlige endringer i denne erklæringen via e-post og inne i appen minst 30 dager før de trer i kraft. Tidligere versjoner er tilgjengelige på forespørsel.