Personvernerklæring for Vexter AS

1. Innledning

Denne personvernerklæringen forklarer hvordan Vexter AS behandler personopplysninger i tilknytning til Vexters tjenester, nettsider og kommunikasjon.

Vexter er en B2B-plattform for prospektering, salgsarbeid og oppfølging av forretningskontakter. Tjenesten er utviklet for bruk mellom næringsdrivende og kan behandle bedriftsrelaterte personopplysninger om personer, typisk ansatte, brukere, kontaktpersoner og representanter for virksomheter.

Personvernerklæringen omfatter:

• behandling av personopplysninger vi samler inn direkte fra deg, for eksempel når du oppretter bruker, kontakter oss eller bruker tjenesten, og
• behandling av personopplysninger fra offentlige kilder, for eksempel offentlige registre, virksomheters nettsider og andre offentlig tilgjengelige kilder, når vi vedlikeholder kontakt- og selskapsdata i plattformen.

2. Hvem er behandlingsansvarlig

Vexter AS er behandlingsansvarlig for den behandlingen av personopplysninger som er beskrevet i denne erklæringen, med mindre noe annet fremgår uttrykkelig.

3. Når Vexter er behandlingsansvarlig og databehandler

Vexter har flere roller under personvernlovgivningen og kan ut ifra konteksten opptre som enten behandlingsansvarlig eller databehandler. Tredjeparter opptrer som selvstendig behandlingsansvarlige når de behandler personopplysninger som er tilgjengeliggjort gjennom Vexter til egne formål.

Behandlingsansvarlig

Vexter er behandlingsansvarlig for vår:

• drift og administrasjon av vår nettside og plattform,
• opprettelse og administrasjon av kundeforhold,
• håndtering av fakturering, sikkerhet, logging, support og misbruksforebygging,
• behandling, strukturering og oppdatering av offentlig tilgjengelige opplysninger om selskaper og forretningskontakter i databasen vår,
• behandling av opplysninger i forbindelse med egne markedsførings- og salgsaktiviteter,
• behandling for å følge opp etterlevelse av lovkrav.

Vexter vil som behandlingsansvarlig bestemme formålene og midlene for behandlingen av personopplysninger.

Databehandler

Når en bedrift bruker Vexter til å behandle personopplysninger i egne kampanjer, kundelister, integrasjoner eller oppfølging av leads, vil bedriften være behandlingsansvarlig og Vexter databehandler. Vexter vil da behandle personopplysninger på vegne av bedriften.

Dette gjelder når bedriften:

• legger inn egne kontakter eller kundedata i Vexter,
• bruker Vexter til utsendelse og oppfølging av kampanjer,
• kobler til e-postkonto, kalender eller andre systemer,
• bruker plattformen til å kommunisere med egne leads, kunder eller andre kontaktpersoner.

Slik behandling vil reguleres av en databehandleravtale mellom behandlingsansvarlig bedrift og Vexter som databehandler på vegne av bedriften.

4. Kategorier personopplysninger vi behandler

Hvilke opplysninger vi behandler, avhenger av hvordan du forholder deg til Vexter.

4.1 Opplysninger om kunder og brukere av plattformen

Opplysninger vi behandler om våre kunder og brukere kan være:

• navn,
• jobbrelatert e-postadresse,
• telefonnummer,
• arbeidsgiver, rolle og teamtilknytning,
• innloggings- og kontoinformasjon,
• brukerpreferanser og innstillinger,
• faktura- og betalingsopplysninger,
• support- og kommunikasjonshistorikk,
• tekniske data, som IP-adresse, enhet, nettleser og systemlogger,
• data fra tilkoblede e-post- og kalenderkontoer, som beskrevet i punkt 8.1 (e-postadresse og navn, krypterte tilgangstokens, kampanjesvar, ledig/opptatt-tider, hendelser opprettet av Vexter og en valgfri skrivestilprofil).

4.2 Opplysninger om bedrifter og kontaktpersoner

Opplysninger vi behandler om offentlig tilgjengelig informasjon kan være:

• navn,
• stilling eller rolle,
• arbeidsgiver og tilknyttet virksomhet,
• jobbrelatert e-postadresse,
• jobbrelatert telefonnummer,
• offentlig tilgjengelig informasjon om selskapet personen arbeider i,
• offentlig tilgjengelig informasjon om personens profesjonelle rolle,
• rolle- og eierinformasjon fra offentlige registre (for eksempel styreverv og aksjeposter),
• om en jobbrelatert e-postadresse er verifisert som leverbar,
• en rolleklassifisering som brukes til å foreslå den mest relevante kontaktpersonen i en virksomhet,
• alder og avledede aldersintervaller for personer med eier- eller rolletilknytning til en virksomhet, når dette er nødvendig for virksomhetsrettede søk.

Personsøk er deaktivert i Vexter-plattformen. Systemet er bygget for selskaps- og rollebasert søk, ikke oppslag på privatpersoner.

Vexters plattform skal presentere oppdaterte, tilgjengeliggjorte opplysninger om næringsvirksomheter. Vi henter regelmessig informasjon fra Brønnøysundregistrene (hver 30. dag eller oftere) og offentlig tilgjengelige bedriftshjemmesider. Dette innebærer at dersom du fjerner informasjon relatert til deg fra slike kilder, så vil opplysningene også bli oppdatert eller fjernet i vår selskapsdatabase.

4.3 Opplysninger i forbindelse med kampanjer og kommunikasjon

Når Vexter brukes til kampanjer og oppfølging, kan brukeren som behandlingsansvarlig behandle opplysninger som:

• mottaker og avsender,
• arbeidsrelatert e-postadresse,
• selskapstilknytning og rolle,
• innhold i e-postkommunikasjon som behandles i Vexter,
• status for utsendelse,
• leveringsstatus (returmeldinger, spamklager),
• klikk på lenker i kampanje-e-poster der kunden har slått på klikksporing (tidspunkt og IP-adresse),
• AI-genererte analyser av svar (intensjon, sentiment, temaer og et kort samtaleminne),
• avmelding, blokkering eller reservasjon,
• aggregert analyse av kampanjeeffektivitet.

Vexter er bygget for B2B-kommunikasjon og 1-til-1 personlig tilpasset e-post, ikke for forbrukerrettede masseutsendelser. Hver melding skal være rettet mot én mottaker i et selskap, basert på offentlig forretningsinformasjon om akkurat det selskapet.

4.4 Opplysninger vi ikke behandler

Vexter er ikke ment for behandling av særlige kategorier (sensitive) personopplysninger. Vi krever at brukere av Vexter ikke legger inn sensitive opplysninger i plattformen. Dersom vi oppdager slike opplysninger, forbeholder vi oss retten til å slette eller begrense opplysningene, samt stoppe tilgangen til Vexter, for å kunne overholde lovbestemte plikter.

5. Hvor vi får opplysningene fra

Vi samler personopplysninger både direkte fra de registrerte og fra andre kilder.

5.1 Opplysninger vi samler inn direkte fra individer

Vi samler inn opplysninger direkte fra individer når de:

• oppretter konto eller bestiller tjenesten,
• fyller ut skjemaer på nettsiden vår,
• bestiller demo, kontakter oss på e-post, telefon eller på annen måte.

5.2 Opplysninger vi samler inn fra offentlig tilgjengelige kilder

For bedriftsinformasjon og forretningskontaktdata innhenter vi opplysninger fra:

• Brønnøysundregistrene,
• Bolagsverket og tilsvarende offentlige registre når relevant,
• virksomheters egne nettsider,
• andre offentlig tilgjengelige kilder med forretningsinformasjon,
• profesjonelle profiler og åpne kilder som beskriver rolle eller arbeidssted.

Siden Vexter samler inn og oppdaterer selskaps- og kontaktinformasjon fra offentlig tilgjengelige kilder og registre, inntrer det normalt en plikt til å informere hver enkelt person direkte innen én måned etter at opplysningene ble innhentet.

Vexter sender ikke individuelle varsler til hver enkelt kontaktperson fordi:

• Opplysningene er allerede offentlig tilgjengelige og begrenset til navn, stilling, arbeidsgiver, jobb-e-post og jobb-telefon. Vår behandling berører derfor i liten grad individers personvern eller privatliv.
• Antallet kontaktpersoner er svært høyt, variabelt og blir hyppig oppdatert. Å innhente, verifisere og sende individuell informasjon innen tidsfristen ville kreve store ressurser og innebære omfattende utsendelser av e-post, SMS eller telefonhenvendelser, som også vil kunne oppleves som spam av mottakerne.

Vexter benytter seg av unntaket fra den direkte individuelle varslingsplikten i medhold av GDPR artikkel 14 nr. 5 bokstav b, da direkte varsling til enhver forretningskontakt i databasen vil kreve en uforholdsmessig stor innsats. Unntaket begrunnes med det høye antallet løpende oppdateringer for kildesynkronisering, at opplysningene utelukkende er begrenset til offentlig tilgjengelige og yrkesrelaterte kontaktopplysninger, samt at opplysningene i liten grad angår personenes privatliv. Vexter lagrer heller ikke opplysninger som vi er kjent med at har blitt slettet eller endret fra de offentlige kildene.

For å ivareta de registrertes rettigheter gjør vi denne informasjonen tilgjengelig på våre nettsider, sikrer en enkel adgang til å protestere (opt-out), og oppdaterer eller sletter dataene regelmessig i tråd med kilderegistrene. Vi stiller også krav om at brukere av Vexter opplyser om hvor opplysningene kommer fra.

6. Derfor behandler vi personopplysninger

Vi benytter opplysninger for å tilby, administrere og promotere vår plattform. Vi behandler personopplysninger kun når vi har identifisert et gyldig behandlingsgrunnlag for våre formål. Til tider kan vi også behandle personopplysninger for andre formål dersom de ikke er uforenlige med de opprinnelige formålene, f.eks. for bokføringsformål, produktutvikling og innovasjon. Dette gjelder ikke data mottatt fra Google API-er, som kun brukes som beskrevet i punkt 8.1.

6.1 Drift, levering og administrasjon av tjenesten

Vi behandler personopplysninger for å:

• opprette og administrere kontoer,
• levere funksjonalitet i plattformen,
• gi tilgang til brukerprofiler og teamfunksjoner,
• håndtere betaling, abonnement og kundeforhold,
• yte kundesupport og følge opp henvendelser.

Behandlingsgrunnlag: Her støtter Vexter seg på en interesseavveining som rettslig grunnlag, hvor avveiningen er basert på vår berettigede interesse i å drifte og gi tilgang til tjenesten til de riktige brukerne.

6.2 Sikkerhet og forebygging av misbruk

Vi behandler personopplysninger for å:

• beskytte tjenesten, brukerne og infrastrukturen,
• oppdage og håndtere misbruk, sikkerhetsbrudd og uautorisert bruk,
• dokumentere etterlevelse av avtaleforpliktelser og lovkrav,
• feilsøke, teste og forbedre stabilitet og sikkerhet.

Behandlingsgrunnlag: For mindre sikkerhetsaktiviteter nevnt her støtter Vexter seg på en interesseavveining som rettslig grunnlag, hvor avveiningen er basert på vår berettigede interesse i å sikre stabil, trygg og lovlig drift av tjenesten, beskytte Vexter, kundene og registrerte mot misbruk og sikkerhetshendelser, herunder forebygge ulovlig bruk av plattformen.

Behandlingsgrunnlag: Der behandlingen er nødvendig for å oppfylle en rettslig forpliktelse, for eksempel dokumentasjon av sikkerhetshendelser eller plikter etter lov, bygger behandlingen på rettslig forpliktelse.

6.3 Skape oversikt over selskaper og forretningskontakter

Vi behandler opplysninger for å:

• samle inn, strukturere og oppdatere offentlig tilgjengelige opplysninger om selskaper og kontaktpersoner,
• gjøre det mulig for kunder å identifisere relevant forretningsinformasjon i B2B-markedet,
• vedlikeholde oppdaterte opplysninger over selskaper, roller og jobbrelatert kontaktinformasjon,
• fjerne eller oppdatere opplysninger som ikke lenger er korrekte eller tilgjengelige,
• behandle aldersinformasjon for å kunne gi avledede aldersintervaller for personer med eier- eller rolletilknytning i virksomhetsrettede søk.

Behandlingsgrunnlag: For aktivitetene nevnt her støtter Vexter seg på en interesseavveining som rettslig grunnlag, hvor avveiningen er basert på vår berettigede interesse i å tilby en B2B-tjeneste for prospektering, kontaktetablering og salgsarbeid basert på offentlig tilgjengelig forretningsinformasjon, samtidig som behandlingen begrenses til yrkesrelaterte opplysninger og bruk i næringsmessig sammenheng.

For aldersinformasjon er formålet å gi avledede aldersintervaller for personer med eier- eller rolletilknytning i virksomhetsrettede søk. Søkeresultatet er virksomheter, ikke personer. Vi viser ikke full fødselsdato og bruker ikke opplysningene til å fastslå eller forutsi at en person ønsker å selge en virksomhet eller står foran et generasjonsskifte.

7. Hva Vexter ikke gjør

Vexter stiller strenge krav til våre kunder og brukere for bruk av plattformen.

Vexter behandler ikke særlige kategorier (sensitive) personopplysninger, som opplysninger om helse, politisk oppfatning, religion, fagforeningsmedlemskap, seksuell orientering eller lignende. Vi tillater ikke våre brukere å legge inn særlige kategorier personopplysninger i fritekstfelt, kampanjer, svar, notater eller andre deler av plattformen.

Vexter tillater ikke individrettet markedsføring eller B2C-kampanjer.

Vexter tillater ikke personsøk i plattformen, systemet er bygget for selskaps- og rollebasert søk, ikke oppslag på privatpersoner.

Vexter selger ikke personopplysninger til tredjeparter for forbrukerrettet annonsering.

8. Hvem er mottakere av personopplysninger

Informasjonen fra Vexter som tjeneste tilgjengeliggjøres for våre brukere av plattformen som er underlagt våre vilkår for bruk.

Vexter deler personopplysninger med databehandlere som er nødvendige for å levere tjenesten: hosting, database og hurtigbuffer (Render, EU – Frankfurt), levering av nettstedet og brukergrensesnittet i applikasjonen, inkludert måling av sideytelse uten informasjonskapsler (Vercel; kode på serversiden kjører i EU – Frankfurt, sider og filer leveres gjennom Vercels globale nettverk; sideadresser, ytelsesdata og tekniske tilkoblingsdata som IP-adresse), fillagring (Amazon Web Services, EU – Irland), feil- og ytelsesovervåking (Sentry, driftet i EU; feilrapporter kan inneholde innholdet som ble behandlet da feilen oppstod), transaksjonell e-post (Resend), betaling, produktanalyse (PostHog, se under) og AI-basert behandling (se under). Vercel, våre AI-leverandører og CRM-systemer som kunden selv kobler til, kan behandle data utenfor EU/EØS; se punkt 9.

Til AI-basert behandling bruker Vexter OpenAI (OpenAIs API-plattform) og Google Gemini (Googles betalte Gemini-API) som databehandlere; den ene brukes som automatisk reserveløsning for eller alternativ til den andre, og enkelte funksjoner bruker OpenAI direkte. Behandlingen hos AI-leverandørene kan skje utenfor EU/EØS, med egnede garantier som EUs standard personvernbestemmelser (SCC). Etter leverandørenes API-vilkår brukes verken prompter eller svar til å trene deres modeller; de kan lagres i en begrenset periode utelukkende for misbruksovervåking. Leverandørene behandler kampanjeinnhold utelukkende for formålene i denne erklæringen: analyse av innkommende kampanjesvar (intensjon, sentiment, temaer og et kort samtaleminne – resultatene lagres i kundens eget arbeidsområde), utarbeidelse av forslag til e-poster og svar (med en valgfri, kundeaktivert automatisk sendemodus), møtenotater og møtebeskrivelser, og den valgfrie analysen av skrivestil basert på brukerens egne sendte e-poster.

Vexter lærer også av resultatene fra kundens egne kampanjer. For hver AI-generert e-post registrerer vi utfallet (levert, besvart, sentiment i svaret, samtaleutfall som et booket møte) sammen med konteksten (mottakerens bransje, senioritet, region, selskapsstørrelse og emnelinje). Én gang i uken oppsummeres disse dataene, med hjelp fra AI-leverandørene på de samme vilkårene uten trening, til skrivemønstre som kun brukes til å forbedre fremtidige utkastforslag i det samme kundearbeidsområdet (teamet). Det en kontaktperson har sagt i tidligere samtaler (for eksempel interesser eller behov), kan på samme måte brukes i senere e-poster til denne kontaktpersonen fra det samme arbeidsområdet. Skrivemønstrene og samtaleminnet deles mellom brukerne i teamet, men deles aldri med eller brukes for andre kunder, og ingen AI-modell trenes på dem.

Når en kunde kobler til sitt eget CRM-system (HubSpot eller SuperOffice) og slår på de tilhørende synkroniseringsinnstillingene, kopierer Vexter etter kundens instruks: kampanjesvar (eller et utdrag) med klassifisering av sentiment/intensjon, sendte kampanje-e-poster, møter booket gjennom Vexter, kampanjestatus som kontaktegenskaper og, der det er aktivert, en oppfølgingsoppgave per svar. Når kunden bruker integrasjonen, kan Vexter også opprette eller oppdatere kontaktpersoner (navn, jobb-e-post, telefon og rolle) i kundens CRM-system basert på Vexters selskapsdata, koblet til den tilhørende virksomheten, og overføre prospektlister som kunden velger. En tilkobling til Microsoft Dynamics 365 brukes kun til å importere virksomheter (kontoer) til Vexter. Kopier i kundens CRM-system reguleres av kundens avtale med CRM-leverandøren.

For å beskytte mottakere og kundenes avsenderomdømme fører Vexter en felles sperreliste over e-postadresser som har gitt permanent returmelding (hard bounce), spamklage eller gjentatte midlertidige returmeldinger (soft bounce, tre ganger), og stanser videre utsendelser til disse adressene for alle Vexter-kunder. Adressen og klassifiseringen (permanent returmelding, spamklage eller gjentatte midlertidige returmeldinger) rapporteres også til Vexters selskapsdatatjeneste (Nordic Resolver), slik at adresser som ikke kan motta e-post, ikke lenger tilbys. Meldingsinnhold inngår ikke. Når en mottaker melder seg av, kan adressen også bli overført til Nordic Resolvers sperreliste, slik at personen ikke kontaktes via Vexter. Utover denne sperrelisten og slike avmeldinger deles ingen resultater av kundenes e-postutsendelser på tvers av kunder: utsendelser, svar, sentiment i svar og bookede møter blir værende i den enkelte kundens arbeidsområde, deles ikke med andre kunder og rapporteres ikke til Nordic Resolver, uansett hvilken e-postleverandør (Google, Microsoft eller IMAP) som er tilkoblet.

For å vise profilbilder i samtaler kan nettleseren din hente et bilde fra Gravatar ved hjelp av en enveis hash av korrespondentens e-postadresse. Produktanalyse (PostHog, driftet i EU) brukes på nettstedet og i applikasjonen kun dersom du har samtykket til analyse. Den registrerer hvordan de brukes, for eksempel hvilke sider som besøkes og hvilke knapper og lenker som klikkes, inkludert hvor på siden det klikkes (varmekart). Opptak av økter (session recording) er slått av.

Nettstedet og applikasjonen bruker Google Tag Manager til å laste inn Google Analytics og tagger for annonsemåling. Disse kjører i Google Consent Mode: før du har samtykket, settes ingen informasjonskapsler, og besøket ditt brukes ikke til analyse eller annonsering, men Google kan motta begrenset teknisk informasjon uten informasjonskapsler, for eksempel IP-adressen din og adressen til siden. Du kan når som helst endre valget ditt i innstillingene for informasjonskapsler.

Vi vil også kunne dele opplysninger når det er nødvendig for å oppfylle lovpålagte plikter, beskytte rettigheter, forebygge misbruk eller svare på lovlige forespørsler fra offentlige myndigheter.

8.1 Google API-tjenester – Limited Use

8.1.1 Gmail

Når du kobler til Gmail-kontoen din, ber Vexter om tilgang til å sende og lese e-post og endre etiketter (gmail.modify), samt e-postadressen og navnet ditt, og bruker dette til å:

• Sende e-post: sende salgs-e-poster, oppfølginger og svar som du har godkjent, eller som du uttrykkelig har valgt å sende automatisk, fra din egen Gmail-konto.
• Lese svar: lese nye meldinger i innboksen, inkludert hele innholdet, for å oppdage svar på Vexter-kampanjene dine. Svar som knyttes til en kampanje, lagres i arbeidsområdet ditt, analyseres av AI-leverandørene våre og brukes til å utarbeide svarforslag, som beskrevet i punkt 8. Andre meldinger lagres ikke; avsender, emne og tekniske meldings-ID-er kan forekomme i driftslogger.
• Oppdage leveringsproblemer: lese returmeldinger (bounce) og spamklager for å beskytte avsenderomdømmet ditt; et kort diagnostisk utdrag lagres.
• Markere som lest: markere behandlede svar og rapporter som lest. Dette er den eneste endringen Vexter gjør i postkassen din; Vexter sletter, flytter eller lager aldri utkast i Gmail.
• Skrivestilanalyse (valgfri, kun når du selv starter den): lese inntil 50 av dine nylig sendte e-poster for å utlede en skrivestilprofil. Selve e-postene lagres ikke; profilen (stiltrekk og typiske fraser, som kan omfatte kunde- eller prosjektnavn) lagres.

Vi får beskjed om nye meldinger gjennom Gmail-pushvarsler via Google Cloud Pub/Sub; hvert varsel logges uten meldingsinnhold.

8.1.2 Google Kalender

Når du kobler til Google Kalender, bruker Vexter den til å:

• lese ledig/opptatt-tider for å foreslå møtetider til prospekter – i et svar du godkjenner, eller automatisk dersom du har slått på automatiske svar;
• opprette en kalenderhendelse når et prospekt takker ja til et møte, med prospektet som deltaker og eventuelt en Google Meet-lenke (på enkelte bookingløp genereres beskrivelsen av AI ut fra samtalen);
• opprette kortvarige plassholderhendelser («hold») uten deltakere mens tider er tilbudt, og slette dem når tilbudet utløper;
• slette hendelser Vexter har opprettet, når du avlyser møtet i Vexter;
• lese kalenderens tidssone.

Vexter leser ikke tittel, deltakere eller innhold i hendelser Vexter ikke har opprettet, og endrer ikke dine øvrige hendelser. For hendelser Vexter oppretter, lagrer vi tittel, beskrivelse, tidspunkt, deltaker og videolenke for å vise kommende møter i Vexter.

8.1.3 Deling av Google-brukerdata

Google-brukerdata deles kun i den grad det er nødvendig for funksjonene over:

• med AI-leverandørene OpenAI og Google Gemini, som behandler innhold i svar (og sendte e-poster ved den valgfrie skrivestilanalysen) på vilkår uten trening;
• med våre leverandører av hosting og infrastruktur (Render, Amazon Web Services) og Sentry (feilrapporter kan inneholde innhold);
• med ditt eget CRM-system, kun dersom du kobler det til og slår på synkronisering;
• med Vexters selskapsdatatjeneste (Nordic Resolver), som kun mottar adresse og klassifisering ved permanente returmeldinger (hard bounce), spamklager og gjentatte midlertidige returmeldinger (soft bounce);
• med Gravatar, som mottar en enveis hash av en korrespondents e-postadresse når nettleseren din henter et profilbilde.

Google-brukerdata deles ikke med andre Vexter-kunder, bortsett fra at adresser på den felles sperrelisten (permanente returmeldinger, spamklager og gjentatte midlertidige returmeldinger) sperres for alle kunder som beskrevet i punkt 8. Vi selger ikke Google-brukerdata og bruker dem ikke til annonsering.

8.1.4 Lagring, lagringstid og sletting

• OAuth-tokens lagres kryptert til du kobler fra kontoen. Når du kobler fra, sletter vi de lagrede tokenene og stopper pushvarsler. Du kan også når som helst trekke tilbake Vexters tilgang på myaccount.google.com/permissions.
• Kampanjesvar, AI-analyser av dem, kampanjeresultater og hendelser opprettet av Vexter lagres i arbeidsområdet ditt og slettes når du ber oss om det (privacy@vexter.io).
• Logger over pushvarsler (uten innhold) slettes etter 30 dager.
• Kopier i ditt CRM-system reguleres av avtalen din med den leverandøren.

8.1.5 Sikkerhet

Alle OAuth-tokens krypteres på applikasjonsnivå før de lagres, med autentisert kryptering (Fernet: AES-128-CBC med HMAC-SHA256); krypteringsnøklene oppbevares i vertsleverandørens hemmelighetskonfigurasjon, atskilt fra databasen. Tokens lagres aldri i klartekst, tilgangstokens fornyes automatisk, og data krypteres under overføring (TLS).

8.1.6 Limited Use-forpliktelser

Dette innebærer konkret at vi forplikter oss til følgende:

1. Vi bruker kun Google-brukerdata til å levere og forbedre brukerrettede funksjoner som er beskrevet i denne erklæringen og synlige i Vexter-applikasjonen.
2. Vi overfører kun Google-brukerdata til andre når det er nødvendig for å levere eller forbedre disse funksjonene (punkt 8.1.3), av sikkerhetshensyn, for å overholde gjeldende lovgivning, eller som del av en fusjon, et oppkjøp eller salg av eiendeler etter at vi har innhentet ditt uttrykkelige forhåndssamtykke.
3. Vi bruker eller overfører ikke Google-brukerdata til annonsering, herunder retargeting og personlig tilpasset eller interessebasert annonsering.
4. Vi selger ikke Google-brukerdata.
5. Vi bruker ikke Google-brukerdata til kredittvurdering eller utlån.
6. Ingen i Vexter leser Google-brukerdataene dine, med mindre:
   • du har gitt uttrykkelig samtykke til at vi ser bestemte meldinger eller data, for eksempel i en supportsak,
   • det er nødvendig av sikkerhetshensyn, for eksempel for å undersøke misbruk eller en sikkerhetshendelse,
   • det er nødvendig for å overholde gjeldende lovgivning, eller
   • dataene er aggregert og anonymisert og brukes til interne driftsformål i samsvar med gjeldende lovgivning.
7. Vi bruker ikke Google-brukerdata til å utvikle, forbedre eller trene generelle AI- eller maskinlæringsmodeller, og ingen AI-modell trenes eller finjusteres på dem. Den eneste læringen Vexter utfører, er tilpasningen på arbeidsområdenivå beskrevet i punkt 8, som utelukkende brukes for kunden hvis kampanjer den stammer fra.

9. Overføring av personopplysninger

Vexters egen hosting, database og fillagring er i EU/EØS, og det samme gjelder feilovervåkingen vår (Sentry). Vercel, som leverer nettstedet og brukergrensesnittet i applikasjonen, og våre AI-leverandører (OpenAI og Google) kan behandle data utenfor EU/EØS, og CRM-systemer som kunden selv kobler til (for eksempel HubSpot), kan gjøre det samme; slike overføringer bygger på grunnlagene nedenfor. Vår klare hovedregel er at alle personopplysninger skal behandles innenfor EU/EØS der det er mulig.

Dersom enkelttjenester krever at personopplysninger overføres til eller kan aksesseres fra et selskap utenfor EU/EØS, skal dette bare skje når det finnes gyldig overføringsgrunnlag etter GDPR kapittel V, for eksempel:

• EU-kommisjonens beslutning om tilstrekkelig beskyttelsesnivå,
• EUs standard personvernbestemmelser (SCC), eller
• EU-U.S. Data Privacy Framework der dette er relevant.

Du kan be oss om nærmere informasjon om hvilke overføringsgrunnlag som benyttes for våre ulike underleverandører.

10. Hvor lenge vi lagrer personopplysninger

Vi lagrer ikke personopplysninger lenger enn nødvendig for formålet de ble samlet inn for, med mindre vi er rettslig forpliktet til å lagre dem lenger.

Vi lagrer:

• Kontoopplysninger lagres så lenge kontoen din finnes. Å deaktivere eller slette et arbeidsområde i applikasjonen sletter dem ikke; vi sletter dem når du ber oss om det (privacy@vexter.io).
• Sendte, mislykkede eller kansellerte oppføringer i utsendelseskøen slettes innen 31 dager.
• Sendelogger slettes innen 91 dager, og tilgangslogger for postkasser innen 31 dager.
• Logger over pushvarsler fra postkasser (uten meldingsinnhold) slettes innen 31 dager.
• Samtaleinnhold (kampanjesvar og tilhørende AI-genererte analyser), samtaleminne og kampanjeresultater som brukes til læring i teamet, lagres i kundens arbeidsområde og slettes når du ber oss om det (privacy@vexter.io).
• Lagrede tilgangstokens for en tilkoblet Google-konto slettes når du kobler fra kontoen i Vexter.
• E-postadresser som har gitt permanent returmelding, spamklage eller gjentatte midlertidige returmeldinger, eller som er avmeldt, lagres i en sperreliste så lenge det er nødvendig for å respektere sperren. Permanente returmeldinger, spamklager og gjentatte midlertidige returmeldinger sperres for alle Vexter-kunder, som beskrevet i punkt 8.
• Data hentet fra offentlige kilder oppdateres eller fjernes i vår selskapsdatabase når de endres eller fjernes i kilden.

11. Sikkerhet

Vi beskytter opplysninger med rollestyrt tilgang, kryptering ved overføring og lagring, og lagring av Vexters egne databaser og filer innenfor EU/EØS. Vi gjennomfører tekniske og organisatoriske tiltak for å hindre uautorisert tilgang.

Tiltakene omfatter blant annet:

• rollestyrt tilgang,
• kryptering ved overføring og lagring,
• lagring av Vexters egne databaser og filer innenfor EU/EØS,
• logging og overvåking av tekniske hendelser,
• rutiner for håndtering av sikkerhetshendelser,
• begrensning av tilgang til personopplysninger etter tjenstlig behov.

Vexter benytter også tekniske og organisatoriske tiltak for å sikre at personopplysninger bare behandles for autoriserte formål og av personer eller leverandører som har behov for tilgang.

Vexters ansatte leser ikke innholdet i kundenes e-post, med mindre kunden uttrykkelig har samtykket til det i en supportsak, det er nødvendig for å undersøke en sikkerhetshendelse eller misbruk, eller det kreves etter lov.

12. Dine rettigheter

Når vi er behandlingsansvarlig, har du som registrert rettigheter etter personvernregelverket. Dette inkluderer, så langt vilkårene er oppfylt:

• rett til innsyn i hvilke personopplysninger vi behandler om deg,
• rett til retting av uriktige eller ufullstendige opplysninger,
• rett til sletting,
• rett til begrensning av behandling,
• rett til dataportabilitet,
• rett til å protestere mot behandling som er basert på berettiget interesse, og
• rett til å trekke tilbake et samtykke dersom behandlingen bygger på samtykke.

Dine opplysninger er ikke gjenstand for automatiserte individuelle avgjørelser i henhold til GDPR artikkel 22.

Dersom opplysningene dine brukes til direkte markedsføring, kan du når som helst protestere mot slik behandling, jf. GDPR artikkel 21 nr. 2 og 3. Hvis du gjør dette, vil vi ikke lenger behandle personopplysningene dine for slike formål.

Dersom du ønsker å utøve rettighetene dine, kan du kontakte oss på privacy@vexter.io. Vi håndterer alle henvendelser om innsyn, sletting og andre personvernrettigheter uten ugrunnet opphold og senest innen 30 dager. Kontakt oss på privacy@vexter.io for å utøve dine rettigheter.

13. Klage til Datatilsynet

Dersom du mener at Vexter behandler personopplysninger i strid med personvernregelverket oppfordrer vi deg til å ta kontakt med oss først, så vil vi gjøre vårt beste for å svare på dine spørsmål eller rette opp eventuelle feil.

Du har også rett til å klage til Datatilsynet dersom du skulle mene at vi behandler dine personopplysninger i strid med personvernlovgivningen.

Datatilsynet kan kontaktes via www.datatilsynet.no.

14. Endringer i personvernerklæringen

Vi kan oppdatere denne personvernerklæringen fra tid til annen, for eksempel dersom vi endrer tjenesten, behandlingsaktiviteter, leverandører eller rutiner.

Den til enhver tid gjeldende versjonen vil være tilgjengelig på Vexter sin hjemmeside. Ved vesentlige endringer kan vi også informere brukere eller kunder på annen måte.