Personvernerklæring

1. Hvem vi er og hvilken rolle vi har

NivoTek leverer en AI-chatbot som bedrifter legger på sine egne nettsider. Denne erklæringen gjelder både deg som bruker plattformen på vegne av en bedrift, og deg som chatter med en NivoTek-chatbot på en bedrifts nettside.

• For kontoopplysninger om våre egne brukere og for besøk på nivotek.com er NivoTek behandlingsansvarlig.
• For samtaler og henvendelser som besøkende har med en bedrifts chatbot, er bedriften behandlingsansvarlig og NivoTek databehandler. Da gjelder også databehandleravtalen.
• Etter EUs KI-forordning (AI Act), som innføres i Norge gjennom EØS-avtalen, er NivoTek tilbyder av chatbotsystemet, og bedriften som setter det på sin nettside, er den som tar systemet i bruk.

Kontakt: erik@nivotek.com.

2. Hvor opplysningene behandles

• Database og filer lagres hos Supabase i Frankfurt, Tyskland (EU). Sikkerhetskopier ligger samme sted.
• Applikasjonen kjører på Cloudflares nettverk. Forespørsler fra besøkende i Europa behandles normalt på servere i Europa.
• AI-svarene lages av språkmodeller som kjøres i EU via OpenRouter, med null datalagring: leverandøren beholder ikke innholdet etter at svaret er laget, og bruker det ikke til trening. Dette er standardvalget for alle nye chatboter.
• Søkeindeksen i kunnskapsbasen (embeddings) og modeller som ikke er merket «EU» i modellvalget, går via Lovables AI-gateway til OpenAI eller Google. Da kan tekst behandles utenfor EØS, under EU-kommisjonens standardkontrakter. Bedriften velger selv modell per chatbot.

3. Hvilke opplysninger vi behandler

• Kontoopplysninger for bedriftens brukere: navn, e-postadresse, passord (kryptert) og tidspunkt for når vilkårene ble godtatt.
• Innhold bedriften legger inn: nettsider, dokumenter, tekst, godkjente svar og hjelpeartikler til kunnskapsbasen.
• Samtaler: meldingene mellom den besøkende og chatboten, en anonym besøks-ID, hvilken side chatten ble åpnet på, språk og teknisk metadata.
• Henvendelser og leads: navn, e-post, telefon, melding og vedlegg som den besøkende selv fyller inn i kontaktskjemaet eller skjemaet før chatten. Samtykke til markedsføring er en egen, tom avkrysning, og lagres med tekst og tidspunkt.
• Opplysninger som brukes i øyeblikket, men ikke lagres hos oss: ordrenummer og e-post ved oppslag av ordrestatus, sporingsnummer ved pakkesporing, stedsnavn ved værvarsel, og det som sendes til bedriftens eget API når chatboten bruker det. Angreskjemaet fylles ut og lages som PDF i din egen nettleser.
• Bruksdata: hendelser i chatten (åpnet, lenke klikket, produkt vist, svar på «Fikk du booket?»), logger, feilmeldinger og en tilgangslogg over hvilke brukere som har åpnet hvilke samtaler.

4. Formål og behandlingsgrunnlag

• Svare besøkende på vegne av bedriften og vise samtaler, henvendelser og statistikk til bedriften: oppfyllelse av avtalen med bedriften (GDPR artikkel 6 nr. 1 bokstav b) og bedriftens berettigede interesse i å gi kundeservice (bokstav f).
• Drift, sikkerhet og misbrukskontroll: berettiget interesse (bokstav f).
• Markedsføring til besøkende: bare med samtykke (bokstav a), som den besøkende gir i et eget felt og kan trekke tilbake.
• Forbedring av svarene: bedriften leser egne samtaler og retter svar. Vi bruker ikke samtaler til å trene AI-modeller, og det gjør ikke leverandørene våre heller.

5. Kunstig intelligens

Chatboten er et KI-system. Slik oppfyller vi kravene i KI-forordningen og GDPR:

• Du får alltid vite at du snakker med en AI. Chatten viser teksten «Du chatter med en AI-assistent. Svarene kan inneholde feil» på besøkendes eget språk, med mindre bedriftens egen tekst i chatten allerede sier det.
• Ingen avgjørelser om deg. Chatboten svarer på spørsmål, viser produkter og hjelper med skjemaer. Den tar ingen avgjørelser med rettslige eller lignende virkninger, driver ikke profilering, og gjenkjenner ikke følelser.
• Et menneske er alltid tilgjengelig. Du kan be om å få kontakt med bedriften, og chatboten åpner kontaktskjemaet. Bedriften kan lese samtalene og rette svar.
• Personvernsperre. Når bedriften har slått den på, stoppes meldinger med personnummer, kortnummer, kontonummer eller opplysninger om egen helse før de sendes til AI-modellen, samtalen slettes, og du får beskjed.
• Ingen trening. Samtaler sendes til AI-leverandøren bare for å lage svaret, og brukes ikke til å trene modeller, verken av oss eller av leverandørene.
• Sporbarhet. For hvert svar lagres hvilke kilder chatboten brukte, slik at bedriften kan se hvorfor den svarte som den gjorde.

6. Nettbutikker (Shopify og WooCommerce)

Nettbutikker kobler butikken sin til NivoTek uten å gi oss noen nøkler. For Shopify bruker chatboten butikkens åpne MCP- og Storefront-grensesnitt, for WooCommerce butikkens åpne Store API. Det er de samme dataene som alle kan se i butikken: produkter, priser, lagerstatus, kategorier og butikkens egne vilkårssider. Vi lagrer bare butikkens adresse og, når butikken har slått på søk på mening, en kopi av produktkatalogen.

Ber du om det, kan chatboten legge en vare i en handlekurv i butikken og gi deg lenken til kassen. Kurven ligger hos butikken, ikke hos oss. Chatboten kan aldri fullføre et kjøp, og kan ikke endre ordre, priser eller produkter.

Ordrestatus kan chatboten bare slå opp hvis butikken i tillegg installerer NivoTek-appen i Shopify. Da oppgir du selv ordrenummer og e-postadressen bestillingen ble gjort med, og svaret vises bare i samtalen, uten navn, adresse eller telefonnummer. Ordredata lagres ikke hos oss. Tilgangsnøkkelen for appen lagres kryptert og slettes når butikken fjerner appen. Vi følger Shopifys krav om innsyn og sletting: ber en kunde av butikken om sletting, fjerner vi leads med samme e-postadresse.

7. Google-tilgang (Gmail)

Hvis bedriften kobler Gmail til NivoTek, henter vi kun e-poster som er svar på henvendelser opprettet gjennom plattformen, slik at svaret kan vises i innboksen. Vi bruker ikke Google-data til annonsering, selger dem ikke videre, og bruker dem ikke til å trene AI-modeller. Tilgangstokener lagres kryptert, og tilgangen kan kobles fra når som helst. NivoTeks bruk av informasjon fra Google API-er følger Google API Services User Data Policy, inkludert kravene om begrenset bruk.

8. Underleverandører

Disse behandler opplysninger på våre instrukser og under databehandleravtale. Ved overføring utenfor EØS brukes EU-kommisjonens standardkontrakter (SCC) eller EU–US Data Privacy Framework.

• Supabase (database, filer og innlogging): Frankfurt, EU.
• Cloudflare (servere og nettverk): globalt nettverk, EU for besøkende i Europa.
• Lovable (Sverige; utviklings- og driftsplattform, utsending av e-post og AI-gateway til OpenAI og Google for søkeindeks og modeller som ikke er merket EU).
• OpenRouter med EU-ruting og null datalagring, og modellene den videreformidler til: Anthropic, OpenAI, Google og Mistral. Hovedsvar og hjelpekall (sortering, klassifisering, omskriving).
• Firecrawl: henter innhold fra bedriftens egne, offentlige nettsider til kunnskapsbasen. Ingen besøkendedata.
• Meteorologisk institutt (MET) og Yr: værvarsel når bedriften har slått det på. Bare stedsnavnet sendes.
• ParcelsApp: pakkesporing når du oppgir et sporingsnummer. Bare sporingsnummeret sendes.
• Shopify, WooCommerce, Slack, Google og bedriftens eget API: bare når bedriften selv kobler dem til.

9. Lagring i nettleseren

Chatten lagrer en anonym besøks-ID og samtalens tilstand i nettleseren din, slik at samtalen kan fortsette når du bytter side. Den husker også om du har lukket en melding fra chatboten. Vi bruker ikke informasjonskapsler fra tredjeparter og ingen sporing for annonsering.

10. Lagringstid

• Samtaler og henvendelser lagres til bedriften sletter dem, og senest 90 dager etter at avtalen med bedriften er avsluttet. Du kan selv slette samtalen din i chatten.
• Samtaler som stoppes av personvernsperren, slettes med en gang.
• Tellere som hindrer misbruk, slettes fortløpende etter to døgn.
• Lenker som sendes til bedriftens leder for å rette svar, virker i 30 dager.
• Kontoopplysninger lagres så lenge kundeforholdet varer.

11. Sikkerhet

Tilgang er rollestyrt, og hver chatbots data er isolert fra andre bedrifters data i databasen. Besøks-ID-er signeres av serveren, tilgangsnøkler lagres kryptert (AES-256-GCM), og all trafikk går over kryptert forbindelse. Antall meldinger per besøkende er begrenset for å hindre misbruk. Hvem som åpner en samtale, logges. Ved brudd på personopplysningssikkerheten varsler vi berørte bedrifter innen 48 timer.

12. Dine rettigheter

Du har rett til innsyn, retting, sletting, begrensning, dataportabilitet og å protestere mot behandling. Har du chattet med en bedrifts chatbot, kan du kontakte bedriften direkte eller oss på erik@nivotek.com. Du kan også klage til Datatilsynet.

13. Endringer

Vi kan oppdatere denne erklæringen. Ved vesentlige endringer varsler vi bedriftene som bruker plattformen.