Personvernerklæring

1. Hvem vi er

Chatmerce er en samtaleagent-plattform drevet av Prosit AS, et selskap registrert i Norge (organisasjonsnummer: fylles inn etter registrering). Kontakt-e-post: hello@chatmerce.eu. Prosit AS er behandlingsansvarlig i henhold til forordning (EU) 2016/679 (GDPR).

I denne erklæringen betyr «vi», «oss» og «Chatmerce» Prosit AS. «Du» betyr den registrerte — som oftest en bruker av dashbordet app.chatmerce.eu, men også en sluttbruker som snakker med en agent satt opp av vår kunde.

2. Hvilke data vi samler inn

2.1 Konto- og registreringsdata

• Navn og e-postadresse (fra OAuth: Google, Microsoft, Apple)
• Ekstern autentiserings-ID (sub fra OAuth, ugjennomsiktig for oss)
• Avatar (URL fra OAuth-leverandøren, valgfritt)
• Firmanavn, MVA-nummer, fakturaadresse (når du registrerer som organisasjon)
• Passord når aldri våre systemer — autentisering håndteres av Clerk (se underleverandører)

2.2 Tekniske data og logger

• IP-adresse (anonymisert etter 30 dager)
• User-Agent-header
• Innloggingstidspunkt og handlinger i dashbordet
• Sesjons-ID (HttpOnly-cookie)

2.3 Konfigurasjonsdata («Customer Data»)

• Agent-prompts og -instrukser
• Opplastede kunnskapskilder (PDF-er, lenker, ren tekst)
• Agent-konfigurasjon

Disse dataene tilhører deg. Vi behandler dem kun for å drive tjenesten.

2.4 Samtaledata

• Innholdet i meldinger fra sluttbrukeren og agenten
• Sesjons-ID (anonym for web-widget; telefonnummer for RCS)
• Tidspunkt for meldinger, kanal (web/RCS), agent-versjon
• Tekniske metadata: antall tokens, samtalekostnad, LLM-modell brukt

2.5 Faktureringsdata

• Firmanavn, MVA-nummer, fakturaadresse
• Betalingshistorikk (Stripe, når betalt fakturering aktiveres)

3. Hvorfor vi samler det inn og på hvilket rettslig grunnlag

Formål	Rettslig grunnlag (GDPR art. 6)	Data
Levering av tjenesten (konto, agent-drift)	art. 6 nr. 1 bokstav b — kontraktsoppfyllelse	konto, konfig, samtaler
Fakturering, skatteforpliktelser	art. 6 nr. 1 bokstav c — rettslig forpliktelse	fakturering
Sikkerhet, forebygging av misbruk	art. 6 nr. 1 bokstav f — berettiget interesse	logger, IP
Egen markedsføring (nyhetsbrev, hvis du melder deg på)	art. 6 nr. 1 bokstav a — samtykke	e-post
Bruksstatistikk, produktforbedring	art. 6 nr. 1 bokstav f — berettiget interesse	aggregater (uten samtaleinnhold)

4. Hvem vi deler data med (underleverandører)

Hver underleverandør har inngått databehandleravtale (DPA) med oss og er enten etablert i EØS eller opererer under Standard Contractual Clauses (SCC) i samsvar med Kommisjonens gjennomføringsbeslutning (EU) 2021/914.

Underleverandør	Hva de behandler	Lokasjon
Google Cloud (Cloud Run, Firestore, BigQuery, Secret Manager)	hosting, database, hemmeligheter	europe-west4 (Nederland)
Google (Gemini API)	LLM-spørringer	europe-west4
Clerk, Inc.	brukerautentisering	USA — SCC + DPF
SerwerSMS (Vercom S.A.)	RCS-meldingslevering (hvis du bruker denne kanalen)	Polen
Cloudflare, Inc.	CDN, hosting av markedsføringssiden	globalt — SCC + DPF
Stripe Payments Europe	abonnementsfakturering (etter aktivering)	Irland

Aktuell fullstendig liste med endringsdatoer fås på forespørsel: hello@chatmerce.eu. Enterprise-plan: liste leveres som vedlegg til avtalen.

5. Internasjonale dataoverføringer

Av underleverandører utenfor EØS bruker vi Clerk (USA) og Cloudflare (globalt). Begge er sertifisert under EU–U.S. Data Privacy Framework (DPF) og har signert Standard Contractual Clauses med oss. Alle øvrige data forblir i EØS.

6. Hvor lenge vi lagrer data

• Brukerkonto: til kontoen slettes + 30 dager (angre-vindu)
• Samtaler: 24 måneder fra siste melding (med mindre du sletter dem tidligere)
• Tekniske logger: 90 dager
• Fakturaer og faktureringsdata: 5 år (polsk regnskapslov, art. 74)
• Sikkerhetskopier: 35 dager

Etter utløp slettes eller anonymiseres data automatisk av en planlagt jobb.

7. Dine rettigheter (GDPR art. 15–22)

Du har rett til:

• Innsyn i dine data (art. 15)
• Retting av uriktige data (art. 16)
• Sletting («retten til å bli glemt», art. 17) — fra panelet eller per e-post
• Begrensning av behandling (art. 18)
• Dataportabilitet i JSON/CSV-format (art. 20)
• Innsigelse mot behandling basert på berettiget interesse (art. 21)
• Ikke være underlagt avgjørelser basert utelukkende på automatisert behandling (art. 22)

Alle forespørsler sendes til hello@chatmerce.eu. Vi svarer innen 30 dager (art. 12 nr. 3 GDPR).

Du kan også klage til en tilsynsmyndighet:

• Norge: Datatilsynet, Postboks 458 Sentrum, 0105 Oslo, datatilsynet.no
• Polen: UODO, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl
• Eller myndigheten i ditt bostedsland.

8. Cookies

Vi bruker et minimum av cookies:

• chatmerce-theme — tema-preferanse (lys/mørk). 1 år.
• __session (Clerk) — innlogget sesjon. Varighet av sesjonen.
• cf_bm (Cloudflare) — bot-beskyttelse. 30 minutter.

Vi bruker ikke analyse- eller markedsføringscookies uten ditt uttrykkelige samtykke. Markedsføringssiden har ingen Meta- eller Google Ads-piksler. For besøksstatistikk bruker vi Cloudflare Web Analytics — uten cookies, uten profilering og uten sporing på tvers av nettsteder. Rettslig grunnlag er vår berettigede interesse (GDPR art. 6(1)(f)), og vi behandler kun aggregerte data. Cloudflare er en av våre underleverandører.

9. Barn

Chatmerce er ikke rettet mot personer under 16 år. Vi samler ikke bevisst inn data fra barn.

10. Sikkerhet

• Kryptering i transitt (TLS 1.3) og i hvile (AES-256, nøkler styrt av Google KMS)
• Hemmeligheter i Google Secret Manager — aldri i databasen, logger eller kildekode
• Produksjonstilgang begrenset til to personer (Prosit AS-grunnleggere), med 2FA påkrevd
• Ekstern pentest: første planlagt i Q3 2026 (årlig deretter)
• Driftskontinuitetsplan: kryss-regional backup, RTO 24t, RPO 1t

11. Sikkerhetsbrudd

Hvis vi fastslår at et brudd utgjør risiko for dine rettigheter:

• Vi varsler tilsynsmyndigheten innen 72 timer (art. 33 GDPR)
• Vi varsler deg direkte hvis risikoen er høy (art. 34 GDPR)
• Vi publiserer en post-mortem på status.chatmerce.eu innen 14 dager

12. Endringer av erklæringen

Vesentlige endringer kunngjøres på e-post med 30 dagers varsel. Endringshistorikken er tilgjengelig på forespørsel på hello@chatmerce.eu.

13. Kontakt

Personvernsaker: hello@chatmerce.eu

Personvernombud: ikke utnevnt. Behandlingen Prosit AS utfører krever ikke utnevnelse i henhold til art. 37 nr. 1 GDPR. Alle personvernsaker behandles direkte av grunnleggerne av Prosit AS.

Korrespondanseadresse: Prosit AS — fylles inn etter registrering i Brønnøysundregistrene.