Personvernpolicy

Introduksjon

Y4 Works Oy ("Suunta.ai," "vi," "oss" eller "vår") driver Suunta.ai-plattformen, en AI-drevet strategisk planleggingstjeneste for bedrifter. Denne personvernpolicyen forklarer hvordan vi samler inn, bruker, avslører og beskytter din personlige informasjon når du bruker våre Tjenester.

Suunta.ai er en business-to-business (B2B)-tjeneste. Denne personvernpolicyen gjelder for representanter for våre forretningskunder og deres autoriserte brukere.

Behandlingsansvarlig: Y4 Works Oy, Organisasjonsnummer: 2978296-6, Finland, E-post: privacy@suunta.ai

1. Informasjon vi samler inn

1.1 Informasjon du oppgir

Kontoinformasjon

SSO-brukere autentiserer via Google eller Microsoft og har ikke et Suunta.ai-passord.

Organisasjonsinformasjon

Forretningsdata

• Strategidokumenter og planer
• OKRs (Objectives and Key Results)
• KPIs (Key Performance Indicators) og målestokk
• Prosjekter og oppgaver
• Dokumenter for AI-analyse (RAG-kilder)
• Chattsamtaler med vår AI-assistent
• Annen forretningsdata som du sender inn

Disse forretningsdataene behandles for å levere våre Tjenester til deg.

1.2 Informasjon samlet inn automatisk

Tekniske data

Bruksdata

Viktig: Vi lagrer IKKE dine AI-prompts eller AI-genererte svar. Kun metadata om AI-bruk (slik som tokenantal og responstider) logges.

1.3 Informasjon fra tredjeparter

Single Sign-On (SSO) Hvis du logger inn via Google eller Microsoft, mottar vi ditt navn, e-post og profilbilde fra SSO-leverandøren.

Betalingsinformasjon Vi bruker Stripe for betalingsbehandling. Stripe samler inn og behandler dine betalingskortinformasjon direkte. Vi mottar kun din Stripe Customer ID og abonnementsstatus—aldri dine kortdetaljer.

Integrasjoner Hvis du kobler til tredjepartstjenester (Slack, Google Workspace, etc.), mottar vi data som er nødvendige for integrasjonen som konfigurert av deg.

2. Hvordan vi bruker din informasjon

Vi gjør IKKE følgende:

• Selger din personlige informasjon
• Bruker dine data til reklame
• Deler dine data med datameglere
• Bruker dine forretningsdata til å trene AI-modeller (uten uttrykkelig samtykke)

3. AI-databehandling

3.1 Hvordan AI-funksjoner fungerer

1. Dine prompts og kontekst sendes til våre AI-leverandører (Anthropic, OpenAI, Google, Mistral)
2. AI-leverandøren behandler din forespørsel og returnerer et svar
3. Vi viser svaret til deg
4. Vi logger kun metadata (tokens brukt, behandlingstid, kostnad)

3.2 Hva vi lagrer

3.3 AI-leverandørs datahåndtering

• OpenAI: store=False flagg for å deaktivere lagring
• Anthropic: Standard API uten trening på inputs
• Google Vertex AI: EU-region hvor tilgjengelig
• Mistral: EU-basert leverandør

Vi tillater ikke våre AI-leverandører å bruke dine data til modelltrening.

3.4 RAG (dokumentanalyse)

1. Tekst ekstraheres fra ditt dokument
2. Tekst konverteres til vektorembeddings
3. Originaltekst ryddes innen 24 timer
4. Embeddings og tekststykker beholdes for søkefunksjonalitet
5. Sletting av en kilde fjerner all tilknyttet data

4. Informasjonsdeling

4.1 Tjenesteleverandører (underbehandlere)

For den komplette listen, se vår liste over underbehandlere på https://suunta.ai/legal/subprocessors.

4.2 Kundeinitierte integrasjoner

• Slack: Meldinger, varsler som konfigurert
• Google Workspace: Kalenderhendelser, regnearkdata som konfigurert
• Zapier/Make: Webhook-nuttdata som konfigurert

Du kontrollerer hvilke integrasjoner som er aktivert og hvilke data som deles.

4.3 Rettslige krav

• For å overholde gjeldende lov eller rettslig prosess
• For å svare på lovlige forespørsler fra offentlige myndigheter
• For å beskytte våre rettigheter, personvern, sikkerhet eller eiendom
• I forbindelse med en fusjon, oppkjøp eller salg av eiendeler

4.4 Med ditt samtykke

Vi kan dele informasjon med tredjeparter når du har gitt uttrykkelig samtykke.

5. Internasjonale overføringer

5.1 Hvor vi behandler data. Primær behandling skjer i EU (AWS Stockholm, eu-north-1). AI-behandling kan forekomme i USA gjennom AI-leverandører.

5.2 Overføringssikkerhet. For overføringer utenfor EØS forlitar vi oss på standardavtalevilkår (SCCs) godkjent av Europakommisjonen, supplerende tiltak inkludert kryptering og tilgangskontroller, og leverandørscertifiseringer (f.eks. SOC 2, ISO 27001).

6. Databevar

6.1 Lagringsperioder

6.2 Kontosletting

• Din personlige informasjon anonymiseres
• Din e-post erstattes med en plassholder
• Dine organisasjonsmedlemskap fjernes
• Dine sesjoner tilbakekalles
• Revisjonslogger beholdes for overholdelse (med anonymisert aktør-ID)

6.3 Organisasjonssletting

• 30-dagers respittperiode (kan avbrytes)
• All organisasjonsdata slettes permanent
• Brukerkontoer forblir men mister organisasjonstilgang
• Uforanderlig overholdelsesrevisjonsloggpost opprettes

7. Dine rettigheter

Under GDPR har du følgende rettigheter og kan utøve dem via Innstillinger eller ved å kontakte privacy@suunta.ai:

• Rett til innsyn (artikkel 15): Innstillinger → Eksporter data
• Rett til retting (artikkel 16): Innstillinger → Profil
• Rett til sletting (artikkel 17): Innstillinger → Slett konto / Slett organisasjon
• Rett til begrensning (artikkel 18): E-post privacy@suunta.ai
• Rett til dataportabilitet (artikkel 20): Innstillinger → Eksporter data
• Rett til innvending (artikkel 21): E-post privacy@suunta.ai
• Rett til å trekke tilbake samtykke: Innstillinger → Markedsføringspreferanser

Du har også rett til å klage til en tilsynsmyndighet. I Norge er dette:

Datatilsynet
Postboks 458 Sentrum, 0105 Oslo
postkasse@datatilsynet.no
+47 22 39 69 00

8. Cookies og lignende teknologier

8.1 Cookies vi bruker

8.2 Hva vi ikke bruker

• Google Analytics
• Facebook Pixel
• Markedsføringscookies
• Tredjeparts sporingcookies

8.3 Lokal lagring

8.4 Tredjepartsskript

• Stripe (js.stripe.com): Betalingsbehandling
• Google Fonts: Typografi
• Font Awesome: Ikoner

Disse tjenestene kan sette sine egne cookies. Se deres respektive personvernpolicyer.

9. Sikkerhet

9.1 Tekniske tiltak

• Kryptering: TLS 1.2+ under overføring, AES-256 i hvile
• Passordsikkerhet: PBKDF2-SHA256 hashing
• Sesjonssikkerhet: HttpOnly, Secure, SameSite cookies
• Tilgangskontroll: Rollbasert, organisasjonsisoleret

9.2 Organisatoriske tiltak

• Konfidensialitetsforpliktelser for personell
• Sikkerhetsbevissthetstrening
• Hendelsesresponsprosedyrer
• Regelmessige sikkerhetsvurderinger

9.3 Dine ansvar

• Hold passordet ditt sikkert
• Bruk et sterkt, unikt passord
• Rapporter mistenkelig aktivitet umiddelbart
• Logg ut på delte enheter

10. Barns personvern

Suunta.ai er en B2B-tjeneste beregnet for forretningsfagfolk. Tjenestene er ikke rettet mot personer under 18 år. Vi samler ikke bevisst inn personlig informasjon fra barn.

11. Endringer i denne policyen

Vi kan oppdatere denne personvernpolicyen fra tid til annen. Vi vil varsle deg om vesentlige endringer via e-postvarsel minst 30 dager før endringene trer i kraft og fremtredende varsel på vår nettside. Fortsatt bruk av Tjenestene etter endringer utgjør aksept.

12. Kontakt oss

For personvernrelaterte spørsmål eller for å utøve dine rettigheter: Y4 Works Oy (Suunta.ai), E-post: privacy@suunta.ai. For generelle henvendelser: team@suunta.ai.

13. Tilleggsinformasjon for EØS-brukere

13.1 Rettsgrunnlagssammendrag

13.2 Databeskyttelsesansvarlig

Som en liten bedrift har vi ikke utnevnt en formell DPO. For databeskyttelseshenvendelser, kontakt: privacy@suunta.ai.

13.3 Automatisert beslutningstaking

Vi tar ikke automatiserte beslutninger som produserer juridiske effekter eller på lignende måte påvirker deg betydelig. AI-funksjoner gir anbefalinger og analyse, men endelige beslutninger tas av deg.