Personvernerklæring

Hvem som er ansvarlig

Behandlingsansvarlig er Wonder Technologies AS, org.nr 929 267 834, Oreliveien 8, 0580 Oslo, Norge. Heyroes er navnet på tjenestene våre.

• Spørsmål om personvern: hello@heyroes.com
• Sikkerhetshull og hendelser: security@heyroes.com
• Telefon: +47 904 87 297

Vi har ikke plikt til å ha personvernombud, men en person hos oss har ansvaret for personvern og svarer på henvendelsene. Vi er etablert i Norge, som er en del av EØS, og trenger derfor ikke en egen representant i EU.

Erklæringen gjelder heyroes.com og de andre nettstedene våre, appen der heltene jobber, og arbeidet vi gjør for kundene. Den er skrevet på norsk og engelsk.

Når vi er behandlingsansvarlig og når vi er databehandler

2.1 Behandlingsansvarlig

Vi bestemmer selv hvorfor og hvordan opplysningene brukes når vi driver nettsidene våre, svarer på henvendelser og chat, tar kontakt med bedrifter, inngår og følger opp avtaler, fakturerer, gir deg en konto i appen og holder den sikker.

2.2 Databehandler for kunden

Når vi jobber for en kunde, behandler vi opplysninger på kundens vegne. Det gjelder blant annet henvendelser fra kundens nettside og annonser, salgsdata fra kundens CRM, kommentarer på kundens sider i sosiale medier, kontaktlister kunden laster opp til annonser og innholdet på nettsider vi drifter. Da er kunden behandlingsansvarlig, og vi følger kundens instrukser og databehandleravtalen.

Har du vært i kontakt med en av kundene våre, er det den bedriften som svarer for opplysningene dine. Spør dem først. Kommer spørsmålet til oss, sender vi det videre og hjelper dem å svare.

Hvilke opplysninger vi behandler

3.1 Når du besøker nettsiden

Serveren registrerer IP-adresse, nettleser, enhet, tidspunkt og hvilke sider du ber om, for å levere siden og stoppe angrep. Skjemaene er beskyttet mot spam med Cloudflare Turnstile, som ser på tekniske signaler fra nettleseren.

Statistikk (Google Analytics og Microsoft Clarity) og annonsemåling (Google Ads og Meta) skjer bare hvis du har sagt ja i cookiebanneret. Les mer på siden om informasjonskapsler.

3.2 Når du chatter med oss

Chatten på nettsiden er en KI-assistent levert av Chatbase. Den lastes først når du åpner den. Vi lagrer det du skriver, og navn, e-post og telefon hvis du oppgir det, så vi kan svare deg. Skriv ikke sensitive opplysninger i chatten.

3.3 Når du bruker de gratis verktøyene

Sjekker du en nettside med SEO-sjekken, AEO-testen eller nettsidesjekken, sender vi adressen og innholdet på den offentlige siden til Anthropic og Google PageSpeed Insights for å lage analysen. Ber du om å få rapporten tilsendt, lagrer vi e-postadressen og rapporten som en henvendelse.

3.4 Når du tar kontakt eller booker en samtale

Navn, firma, e-post, telefon og det du skriver til oss. Har du sagt ja til statistikk, registrerer vi også hvilken side, kampanje eller annonse du kom fra. Booker du en samtale, lagrer vi tidspunktet, møtelenken og notatene fra samtalen.

3.5 Når du er kunde

• kontaktpersoner, organisasjonsnummer, adresse og fakturakontakt
• tilbud, avtaler, bestillinger, fakturaer og betalingsstatus. Signerer du et tilbud digitalt, lagrer vi tidspunktet og IP-adressen som bevis på signaturen
• e-post, møter, notater og meldinger med teamet vårt
• telefonsamtaler og SMS med teamet, med nummer, tidspunkt og varighet. Vi tar ikke opp samtaler

3.6 Når du bruker appen

• Kontoen: navn, e-post, telefon, stilling, profilbilde, språk, tidssone og når du sist var innlogget. Passord lagres ikke i lesbar form. Blir du invitert av arbeidsgiveren din, får vi navnet og e-postadressen din fra dem.
• Sikkerhetslogger: innlogging, utlogging og endringer, med IP-adresse, omtrentlig sted (by og land) og om du brukte nettleser eller mobil.
• Samtaler med heltene: det du skriver, filene du laster opp og det heltene husker om bedriften for å gjøre jobben bedre.
• Bilder og merkevare: produktbilder, logoer og annet materiale du laster opp for at heltene skal lage annonser, bilder og video. Viser et bilde personer, er det personopplysninger.
• Varsler: slår du på varsler i nettleseren, lagrer vi adressen nettleseren gir oss for varslene.

3.7 Når vi tar kontakt med bedrifter

Vi finner bedrifter i Brønnøysundregistrene, hos Byndle, som leverer firmaopplysninger, og i offentlige kataloger. Vi kan lagre firmaopplysninger, navn og rolle på daglig leder eller en annen kontaktperson, bedriftens telefonnummer og e-postadresse og et sammendrag av bedriftens nettside. Har vi fått opplysningene om deg fra andre enn deg selv, gir vi deg denne informasjonen senest første gang vi tar kontakt, og innen en måned.

3.8 Sensitive opplysninger og barn

Vi ber ikke om særlige kategorier av personopplysninger, som helse, religion, politisk syn eller fagforeningsmedlemskap, eller om fødselsnummer. Ikke send oss slike opplysninger i skjemaer, e-post, chat eller samtaler med heltene. Tjenestene er laget for bedrifter og ikke for barn, og vi samler ikke bevisst inn opplysninger om personer under 18 år.

Hva vi bruker opplysningene til og hvor lenge

Tabellen viser hva vi bruker opplysningene til, hvilket grunnlag i personvernforordningen (GDPR) vi bygger på, og hvor lenge vi lagrer dem.

Når kundeforholdet er slutt, har kunden 30 dager til å hente ut dataene sine. Senest 30 dager etter det sletter eller anonymiserer vi kontoene og alle opplysningene vi har behandlet for kunden. Det vi må beholde etter bokføringsloven, eller for å forsvare et rettskrav, beholder vi så lenge det trengs. Sikkerhetskopier av databasen lagres i sju dager og forsvinner deretter av seg selv.

Der vi bygger på berettiget interesse, har vi vurdert at interessen vår veier tyngre enn ulempen for deg, blant annet fordi opplysningene er knyttet til jobben din og ikke privatlivet. Du kan be om å få vurderingen.

Du trenger ikke gi oss opplysninger. Uten kontaktopplysninger kan vi ikke svare deg, og uten opplysningene i en avtale kan vi ikke levere tjenestene.

Kunstig intelligens

Heltene i appen, chatten og de gratis verktøyene bruker KI-modeller fra andre selskaper:

• Anthropic: språkmodellene som skriver, analyserer og foreslår, og søk på nettet
• OpenAI: bilder, og tale til tekst og tekst til tale
• Higgsfield: bilder og video til annonser
• ElevenLabs: stemme til video
• Chatbase: chatten på nettsiden

Modellene får bare det som trengs for oppgaven. Når heltene sorterer henvendelser og kommentarer, sendes teksten uten navn, e-post og telefon. Etter vilkårene for tjenestene vi bruker, brukes ikke dataene til å trene modellene. Leverandørene kan lagre forespørslene i en kort periode for å avdekke misbruk, normalt inntil 30 dager.

Ingen avgjørelser som har rettslig virkning for deg, eller som påvirker deg i betydelig grad på lignende måte, tas automatisk. Som standard foreslår heltene, og kunden godkjenner før noe publiseres eller endres.

Snakker du med chatten eller en helt, er det KI og ikke et menneske. Bilder, video og tale som heltene lager, merkes som KI-generert der reglene krever det. Kunden er ansvarlig for å merke innhold kunden publiserer, se kjøpsvilkårene punkt 21 og 22.

Hvem vi deler opplysninger med

6.1 Leverandører

Leverandørene våre behandler opplysninger på våre vegne og får bare bruke dem for å levere tjenesten til oss. Vi har databehandleravtale med dem. De viktigste er:

• nettsider og hosting: Hostinger
• appen og databasen: Vercel og Supabase
• KI: Anthropic, OpenAI, Higgsfield, ElevenLabs og Chatbase
• e-post: Twilio SendGrid
• sikkerhet og drift: Cloudflare (Turnstile), Sentry (feilovervåking), Upstash (begrensning av forespørsler) og Google Cloud (sikkerhetskopier av nettsider og krypteringsnøkler)
• statistikk og annonser på nettsiden, etter samtykke: Google og Microsoft (Clarity) og Meta
• arbeidsverktøy: Google Workspace, Slack og Telavox (telefon og SMS)
• regnskap og faktura: Unimicro og DNB Regnskap
• firmaopplysninger: Byndle og Brønnøysundregistrene

Den fullstendige listen, med hva hver leverandør gjør og hvor dataene behandles, står i databehandleravtalen punkt 16.

6.2 Annonseplattformer

Når vi måler våre egne annonser, kan Google og Meta få hashede kontaktopplysninger og klikk-ID-er, men bare når du har sagt ja til markedsføring. For kundene skjer det i kundens egne annonsekontoer og etter kundens avtaler med plattformene.

For innsamlingen med Meta-pikselen er vi og Meta Platforms Ireland felles behandlingsansvarlige, og Meta er selv ansvarlig for hvordan de bruker opplysningene etterpå. Microsoft er selv ansvarlig for opplysningene Clarity samler inn. Cloudflare bruker signalene fra Turnstile også til å forbedre robotgjenkjenningen sin, og er selv ansvarlig for den bruken.

6.3 Andre vi kan dele med

Betales ikke en faktura, kan opplysningene deles med Kravia for purring og inkasso. Vi kan dele opplysninger med revisor og advokat når det trengs, og vi utleverer opplysninger når loven krever det.

6.4 Hvis virksomheten selges

Selges eller fusjoneres virksomheten, kan opplysningene følge med til den nye eieren, som må følge denne erklæringen.

Vi selger aldri personopplysninger, og vi gir dem ikke til andre for deres egen markedsføring.

Overføring til land utenfor EØS

Databasen til appen ligger i Irland, og appen kjører på servere i Stockholm. Feilovervåkingen ligger i Frankfurt, og sikkerhetskopier av nettsider og krypteringsnøkler i Finland. Nettsidene vi drifter, ligger hos Hostinger i Storbritannia, som EU har godkjent med tilstrekkelig beskyttelsesnivå.

Noen leverandører er selskaper i USA, behandler data der eller har tilgang derfra til støtte og drift, blant annet leverandørene av KI, e-post og statistikk. Overføringene bygger på EU-kommisjonens beslutning om EU-US Data Privacy Framework for selskaper som er sertifisert, og ellers på EUs standardkontrakter (SCC) med tilleggstiltak der det trengs. Hvilket grunnlag som gjelder for hver leverandør, står i databehandleravtalen punkt 16, og du kan be om en kopi av standardkontraktene.

Gyldigheten av Data Privacy Framework er prøvd for EU-domstolen. Faller den bort, bytter vi til standardkontrakter eller til en leverandør i EØS.

Informasjonskapsler og sporing

Nettsiden bruker bare informasjonskapsler som er nødvendige, til du har valgt noe annet i cookiebanneret. Du kan si nei like enkelt som ja, og endre valget når du vil. Sender nettleseren signalet Global Privacy Control, lagrer vi det som et nei til statistikk og markedsføring. Hvilke informasjonskapsler vi bruker og hvor lenge de lagres, står på siden om informasjonskapsler.

Appen bruker bare informasjonskapsler som trengs for innlogging, sikkerhet og tilkobling av tjenester, og har ingen analyseverktøy.

Nyhetsbrev og markedsføring

Vi sender markedsføring på e-post til navngitte personer bare når de har samtykket, eller når de er kunder og e-posten gjelder tjenester som ligner dem de har kjøpt. Hver e-post sier hvem den er fra og har en enkel måte å melde seg av på. Melder du deg av, stopper vi senest innen ti virkedager.

Dine rettigheter

Du har rett til

• innsyn i hvilke opplysninger vi har om deg, og en kopi av dem
• å få rettet uriktige opplysninger
• å få opplysningene slettet når vilkårene er oppfylt
• å få behandlingen begrenset
• å protestere mot behandling som bygger på berettiget interesse, og alltid mot markedsføring
• å få utlevert opplysninger du har gitt oss, i et maskinlesbart format
• å trekke tilbake samtykke, uten at det påvirker det som er gjort før
• å klage til Datatilsynet, Postboks 458 Sentrum, 0105 Oslo

Skriv til hello@heyroes.com. Det er gratis. Vi kan be deg bekrefte hvem du er før vi svarer, og vi svarer innen en måned. Er saken stor eller vanskelig, kan vi bruke to måneder til, og da sier vi fra innen den første måneden. Gjelder det opplysninger vi behandler for en kunde, sender vi forespørselen til kunden og hjelper dem å svare.

Hvis du bor i Storbritannia eller Sveits

For personer i Storbritannia gjelder UK GDPR, og for personer i Sveits den sveitsiske personvernloven. Du har de samme rettighetene som over. Du kan klage til oss først, og vi bekrefter klagen innen 30 dager. Du kan også klage til Information Commissioner's Office i Storbritannia eller til FDPIC i Sveits.

Hvis du bor i USA

Vi er et norsk selskap som selger til bedrifter, og vi tror ikke at personvernlovene i de amerikanske delstatene gjelder for oss i dag. Vi følger likevel det de krever:

• Opplysningene vi samler inn, er de som står i punkt 3: identitet og kontaktopplysninger, opplysninger om virksomheten og jobben din, kommersielle opplysninger, bruk av nettsiden og omtrentlig sted ut fra IP-adressen. Vi samler ikke inn sensitive opplysninger.
• Vi selger ikke personopplysninger. Vi deler bare data med annonseplattformer for annonser på tvers av nettsteder hvis du har sagt ja i cookiebanneret, og vi respekterer Global Privacy Control.
• Du kan be om innsyn, retting, sletting og å slippe slik deling, også gjennom en du har gitt fullmakt. Du blir ikke behandlet annerledes fordi du bruker rettighetene dine.

Sikkerhet

Vi beskytter opplysningene med kryptering når de sendes og lagres, tilgang etter rolle, skille mellom kundene i databasen, logging av innlogging og endringer og sikkerhetskopier hver dag. Tilganger til tjenester som Google Ads og Meta lagres kryptert med AES-256-GCM. Les mer på siden om sikkerhet.

Ved brudd på personopplysningssikkerheten varsler vi Datatilsynet innen 72 timer når loven krever det, og de som er berørt, når risikoen for dem er høy. Er vi databehandler, varsler vi kunden uten ugrunnet opphold.

Endringer i erklæringen

Vi oppdaterer erklæringen når tjenestene eller reglene endrer seg, og datoen øverst viser når den sist ble endret. Vesentlige endringer varsler vi kundene om på e-post eller i appen før de gjelder. Denne versjonen gjelder fra 1. januar 2027, og de tidligere versjonene får du ved å spørre oss.

Kontakt

Wonder Technologies AS, Oreliveien 8, 0580 Oslo, Norge. E-post hello@heyroes.com, telefon +47 904 87 297.