1. Behandlingsansvarlig

Behandlingsansvarlig er den som bestemmer hvorfor og hvordan personopplysninger behandles. For opplysninger vi bruker til å drive ModulHub, administrere kundeforhold, beskytte tjenesten og holde kontakt med interesserte, er det:

• Foretak: MODULHUB DUVOLD ENK
• Organisasjonsnummer: 937 476 353
• Adresse: Tronstadvegen 23, 4645 Nodeland
• Kontakt: kontakt@modulhub.no

Når en kunde legger inn personopplysninger om egne ansatte, kunder eller andre personer i ModulHub, er kunden normalt selv behandlingsansvarlig for de opplysningene. ModulHub behandler dem da på kundens vegne. Dette reguleres av en egen databehandleravtale, som er avtalen som styrer hva vi har lov til å gjøre med opplysninger vi behandler for kunden.

2. Hvilke personopplysninger vi behandler

ModulHub samler kun inn opplysninger som er nødvendige for å levere tjenesten. Vi ber ikke om særlige kategorier personopplysninger (helse, religion, politisk syn, fagforening, etnisitet, biometri eller seksuell legning) eller fødselsnummer. Opplysninger som kunden selv legger inn om egne ansatte, kunder eller andre personer, behandles på kundens vegne og reguleres av databehandleravtalen.

2.1 Når du har en brukerkonto

• Navn og brukernavn
• E-postadresse og eventuelt telefonnummer
• Innloggings- og sikkerhetsopplysninger som beskytter kontoen din. Passordet ditt lagres aldri i lesbar form.
• Innloggingshistorikk: IP-adresse, hvilken nettleser eller enhet som ble brukt, og tidspunkt. Dette trenger vi for å oppdage misbruk av kontoen.

2.2 Om virksomheten som bruker ModulHub

• Foretaksnavn og organisasjonsnummer
• Kontaktopplysninger: telefon, e-post, adresse, postnummer, by, land og nettsted
• Hvem som har hvilke roller og er kontaktpersoner hos kunden
• Rollene i virksomheten fra Brønnøysundregistrene, for eksempel daglig leder, styret, revisor og regnskapsfører. Vi lagrer navn og rolle, aldri fødselsdato eller fødselsnummer, og rollene gir ingen tilgang i ModulHub. Opplysningene er offentlige i Enhetsregisteret, og vi henter dem fordi kunden har en berettiget interesse i å vite hvem som leder og representerer virksomheten.

2.3 Når du melder interesse på modulhub.no

• Opplysningene du skriver inn i skjemaet: navn, e-post, og hvis du oppgir det: foretaksnavn eller organisasjonsnummer, telefon og en valgfri melding
• Hvis du oppgir organisasjonsnummer, henter vi offentlig informasjon om foretaket fra Brønnøysundregistrene, for eksempel bransje, størrelse og navnet på daglig leder
• Tidspunktet for samtykket og teksten du samtykket til, så vi kan dokumentere hva du sa ja til
• En personlig avmeldingslenke du kan bruke for å trekke samtykket
• IP-adressen i omformet form som begrenser direkte identifisering. Den brukes bare til å oppdage og stoppe automatisert misbruk av skjemaet, og behandles fortsatt som en personopplysning.

2.4 Logger

Vi fører en sikkerhetslogg over viktige hendelser, for eksempel innlogging, passordbytte og endringer i tilganger. Loggen viser hvem som gjorde hva og når, og trengs for å oppdage og dokumentere misbruk.

Vi fører også en teknisk logg for drift og feilsøking. Den slettes automatisk etter 90 dager. Hvor lenge de andre loggene beholdes, står i punkt 4.

3. Formål og rettslig grunnlag

Behandling	Formål	Rettslig grunnlag (GDPR art. 6)
Brukerkonto og innlogging	Levere tjenesten du eller virksomheten har avtalt med oss	(b) Avtale når du selv er part i avtalen. (f) Berettiget interesse når du har fått kontoen gjennom arbeidsgiveren din.
Sikkerhetslogg og innloggingshistorikk	Beskytte kontoer og tjenesten, og dokumentere hendelser	(f) Berettiget interesse, og (c) lovkrav der loven krever oppbevaring
Kundeadministrasjon (kontaktopplysninger)	Drive tjenesten og administrere kundeforholdet	(b) Avtale
Interesseliste-påmelding	Sende informasjon om ModulHub til deg som har bedt om det	(a) Samtykke, som du kan trekke når som helst
Kodet IP-adresse på interesseskjemaet	Stoppe automatisert misbruk av skjemaet	(f) Berettiget interesse
Passordsjekk mot kjente lekkasjer	Hindre at du velger et passord som allerede er på avveie	(f) Berettiget interesse. Passordet ditt sendes aldri fra oss.

Bokstavene viser det rettslige grunnlaget etter personvernforordningen artikkel 6: (a) betyr at du har samtykket, (b) at behandlingen trengs for å oppfylle en avtale, (c) at loven krever det, og (f) at vi har en berettiget interesse som veier tyngre enn ulempen for deg.

4. Hvor lenge vi oppbevarer opplysningene

Kategori	Oppbevaringstid	Begrunnelse
Kontoopplysninger (navn, e-post og lignende)	Til kontoen slettes eller anonymiseres	Trengs så lenge kontoen finnes
Sikkerhetslogg (viktige hendelser)	3 år fra hendelsen	Undersøke og dokumentere alvorlige sikkerhetshendelser, misbruk og endringer i tilganger
Teknisk logg	90 dager, slettes automatisk	Drift og feilsøking
Innloggingshistorikk (utløpte innlogginger)	90 dager etter utløp, slettes automatisk	Oppdage misbruk av kontoer
E-postbekreftelseskoder	30 dager etter utløp, slettes automatisk	Engangskoder uten videre verdi
Interesseliste-påmeldinger	Til du melder deg av, deretter slettet innen 30 dager. Er du blitt kunde hos oss, står påmeldingen i kundeforholdet til brukeren din slettes.	Trukket samtykke betyr at opplysningene fjernes
Bevis på at samtykke ble gitt	Så lenge det er nødvendig for å dokumentere at behandlingen var lovlig	Dokumentasjonskrav
Sikkerhetskopier	60 dager, eldre kopier overskrives automatisk	Gjenoppretting ved feil eller angrep
Regnskapsmateriale	I periodene bokføringsregelverket krever	Lovpålagt oppbevaring

Slettingen skjer automatisk gjennom en daglig rydderutine. Når en konto slettes, fjerner vi opplysningene som identifiserer deg med en gang, mens loggene over hva som har skjedd beholdes uten direkte identifikasjon. Opplysninger som er slettet, forsvinner fra sikkerhetskopiene når kopiene overskrives.

Opplysninger som trengs for å håndtere en konkret sikkerhetshendelse, tvist eller et rettskrav, kan beholdes lenger enn den vanlige oppbevaringstiden, men bare så lenge den konkrete saken gjør det nødvendig.

5. Hvem vi deler personopplysninger med

Vi selger ikke personopplysninger, og vi deler dem ikke med andre for deres markedsføring. Vi bruker noen få leverandører som hjelper oss med å drive ModulHub. De kan bare behandle personopplysninger for de avtalte formålene og etter våre instrukser:

Leverandør	Formål	Lokasjon
Hetzner Cloud GmbH	Serverne der ModulHub og all lagret informasjon kjører	Tyskland og Finland (EU)
Sinch (Mailgun)	Utsending av e-post fra tjenesten, for eksempel registrering, glemt passord og varsler	EU
Microsoft (Microsoft 365)	E-post til og fra kontakt@modulhub.no, der henvendelser, klager og spørsmål om personvern kommer inn	Europa
Cloudflare	Navneoppslaget for modulhub.no, altså at adressen peker til serverne våre	Globalt nettverk. Trafikken til og fra sidene går ikke gjennom Cloudflare.
Webhuset AS	Domenet modulhub.no	Norge

Når du velger passord, kontrollerer vi om det er kjent fra tidligere lekkasjer på nettet. Kontrollen er bygget slik at passordet ditt aldri sendes fra oss. Oppslag mot Brønnøysundregistrene bruker organisasjonsnummer eller foretaksnavn, som er offentlig informasjon.

6. Behandling utenfor EU/EØS

Personopplysningene lagres på servere i EU. Trafikken til og fra modulhub.no går rett til serverne våre. Cloudflare svarer bare på navneoppslaget for adressen. Microsoft, som leverer e-posten til kontakt@modulhub.no, er et amerikansk selskap. Den behandlingen er regulert av Microsoft sin databehandleravtale med EUs standardvilkår for overføring. Utover dette overfører vi ikke personopplysninger ut av EU/EØS.

7. Dine rettigheter

Du har følgende rettigheter etter personvernforordningen (GDPR):

• Innsyn (art. 15): Du kan be om kopi av de personopplysningene vi har om deg.
• Retting (art. 16): Du kan kreve at uriktige eller ufullstendige opplysninger rettes. Forretnings- og kontaktopplysninger er skrivebeskyttet for å sikre korrekt regnskap og historikk — ta kontakt, så retter vi. Sikkerhetsinnstillingene dine (passord, e-postadresse og totrinnsbekreftelse) endrer du selv etter innlogging, med verifisering.
• Sletting (art. 17): Du kan be om at vi sletter personopplysningene dine når vilkårene for sletting er oppfylt. Vi fjerner da opplysningene som identifiserer deg, mens logger over hva som har skjedd beholdes uten direkte identifikasjon. Retten gjelder ikke når vi må beholde opplysninger etter lov eller for å håndtere et rettskrav.
• Begrensning av behandling (art. 18): Du kan kreve at vi begrenser bruken av opplysningene dine mens en innsigelse eller tvist behandles.
• Dataportabilitet (art. 20): Du kan be om å få utlevert opplysningene dine i et strukturert format som kan leses av andre systemer. Kontakt oss, så ordner vi utleveringen.
• Innsigelse (art. 21): Du kan motsette deg behandling som baserer seg på berettiget interesse.
• Trekke samtykke: For samtykke-basert behandling (eks. interesseliste-påmelding) kan du når som helst trekke samtykket via avregistrerings-lenken i den siste e-posten du mottok, eller ved å kontakte oss.
• Klage til tilsynsmyndighet: Du har rett til å klage til Datatilsynet.

Henvendelser om rettigheter sendes til kontakt@modulhub.no. Vi svarer uten ugrunnet opphold og normalt senest innen én måned. Har vi rimelig grunn til å tvile på hvem du er, kan vi be om den informasjonen som trengs for å bekrefte identiteten din.

8. Informasjonskapsler og lagring i nettleseren

Navn	Hva den gjør	Varighet
mh_access	Holder deg innlogget	15 minutter, fornyes mens du bruker tjenesten
mh_csrf	Beskytter mot at andre nettsteder sender forfalskede forespørsler i ditt navn	Samme som mh_access
mh_refresh	Fornyer innloggingen din uten at du må logge inn på nytt	7 dager
mh_klientbillett	Husker at passordet ditt er godkjent mens du velger klient	5 minutter, slettes når du har valgt

Etter innlogging bruker vi også nettleserens sesjonslagring til å huske hvem som er logget inn mens fanen er åpen, og noen få valg du gjør i fanen, som hvilken leverandør du sist så på. Den tømmes når fanen lukkes. I tillegg husker nettleseren noen innstillinger du har valgt, som hvordan modulene er sortert og om «Sist brukt» skal vises, og et signal som logger deg ut i alle faner samtidig. Alt dette ligger bare på din maskin, sendes ikke til oss og brukes aldri til sporing.

Vi bruker ingen informasjonskapsler til analyse, annonsering eller sporing på tvers av nettsteder. Skulle det noensinne endre seg, innfører vi samtykkeboks og oppdaterer denne erklæringen først.

9. Sikkerhetstiltak

Vi beskytter personopplysningene med tekniske og organisatoriske tiltak mot uautorisert tilgang, endring, tap og sletting. Tiltakene omfatter blant annet streng tilgangsstyring, kryptert overføring, sikker innlogging med totrinnsbekreftelse, sperring ved gjentatte innbruddsforsøk, logging av viktige hendelser og jevnlig sikkerhetskopiering. Tekniske detaljer om hvordan tiltakene er bygget, hører hjemme i sikkerhetsdokumentasjonen vår, ikke her.

Oppdager du en sikkerhetsfeil i ModulHub, meld fra til kontakt@modulhub.no. Vi bekrefter mottak innen 5 virkedager.

10. Endringer i personvernerklæringen

Vi oppdaterer erklæringen når tjenesten, regelverket eller måten vi behandler personopplysninger på endres. Vesentlige endringer varsles på en egnet måte før de gjelder når det er mulig. Dato for siste oppdatering vises nederst.

11. Klagerett

Hvis du mener vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet:

• datatilsynet.no/om-datatilsynet/kontakt-oss