1. Behandlingsansvarlig
Behandlingsansvarlig for personopplysninger i Studieassistent er Marcus Håland Askerhaug («vi», «oss»). Vi er ansvarlige for at behandlingen skjer i tråd med personopplysningsloven og GDPR.
2. Personopplysninger vi samler inn
Vi behandler følgende kategorier av personopplysninger:
- Kontoopplysninger: navn, e-postadresse, passordhash og påloggingsdata (også via Google-innlogging).
- Faglig innhold du legger inn: utdanningsløp, emner, fagbeskrivelser, notater, oppgavetekster, besvarelser og litteraturlister.
- Bruksdata: hvordan tjenesten brukes, forespørsler mot AI-funksjonene, kvoteforbruk og logg over feilhendelser.
- Tekniske data: IP-adresse, enhetstype, nettleser og lignende telemetri knyttet til sikkerhet og feilsøking.
- Support-korrespondanse: meldinger du sender oss.
Betalings- og fakturadata behandles av Paddle som selvstendig behandlingsansvarlig; se punkt 6.
3. Formål og rettslig grunnlag
- Levere tjenesten (kontoopprettelse, lagring av notater, AI-analyser): avtale (GDPR art. 6 nr. 1 bokstav b).
- Sikkerhet, misbruksforebygging og feilsøking: berettiget interesse (art. 6 nr. 1 bokstav f).
- Produktforbedring og statistikk i aggregert eller anonymisert form: berettiget interesse.
- Kundeservice og oppfølging av henvendelser: avtale/berettiget interesse.
- Oppfyllelse av rettslige krav (regnskap, klager): rettslig forpliktelse.
- Markedsføring til eksisterende kunder om egne tilsvarende tjenester: berettiget interesse; annen markedsføring krever samtykke.
4. AI-behandling
Når du bruker AI-funksjoner (kunnskapspunkter, oppgaveanalyse, kompetanseoversikt) sendes relevante deler av innholdet ditt til vår AI-leverandør Anthropic (Claude) for behandling. Anthropic behandler dataene som databehandler for oss og bruker dem ikke til å trene sine modeller. Vi cacher fagbeskrivelser og pensum kort (inntil 1 time) for å redusere kostnader og forbedre svartid.
5. Lagring og oppbevaringstid
Faglig innhold og kontodata lagres så lenge du har en aktiv konto. Sletter du kontoen, sletter eller anonymiserer vi personopplysningene dine innen 90 dager, med unntak av data vi er pålagt å oppbevare (f.eks. regnskapsdata knyttet til kjøp, som lagres i inntil 5 år). Feilsøkingslogger slettes eller anonymiseres senest etter 12 måneder.
6. Deling med tredjeparter
Vi deler personopplysninger med følgende kategorier av mottakere:
- Databehandlere / underleverandører: Supabase (hosting og database), Anthropic (AI), Cloudflare (drift og edge-hosting), Resend/e-postleverandør (transaksjonelle e-poster) og feilrapportering.
- Merchant of Record: Paddle.com Market Ltd. og tilknyttede selskaper håndterer salg, abonnement, betaling, MVA og fakturering. Paddle er selvstendig behandlingsansvarlig for betalingsdata. Se Paddles personvernerklæring.
- Profesjonelle rådgivere: juridiske og regnskapsmessige rådgivere ved behov.
- Offentlige myndigheter: når loven krever det.
7. Overføring utenfor EØS
Enkelte databehandlere (bl.a. Anthropic og Cloudflare) kan behandle data i USA. Vi sikrer et lovlig overføringsgrunnlag gjennom EU-godkjente standardpersonvernbestemmelser (SCC) og eventuelle tilleggstiltak, eller EU–US Data Privacy Framework der det gjelder.
8. Sikkerhet
Vi bruker egnede tekniske og organisatoriske tiltak, herunder kryptering under overføring (TLS) og lagring, tilgangskontroller og loggføring. Radsikkerhet (RLS) i databasen sikrer at hver bruker kun kan lese sine egne data.
9. Dine rettigheter
Du har rett til å:
- Be om innsyn i egne personopplysninger.
- Kreve retting av uriktige opplysninger.
- Kreve sletting («retten til å bli glemt») innenfor lovens rammer.
- Kreve begrensning av behandlingen.
- Motsette deg behandling basert på berettiget interesse.
- Kreve dataportabilitet.
- Trekke tilbake samtykke der behandling bygger på samtykke.
- Klage til Datatilsynet (datatilsynet.no).
Vi svarer normalt på henvendelser innen én måned.
10. Informasjonskapsler (cookies)
Vi bruker kun tekniske informasjonskapsler som er nødvendige for pålogging, sesjon og sikkerhet. Vi bruker ikke informasjonskapsler for markedsføring eller tredjeparts-annonsering. Paddle kan sette egne informasjonskapsler i sin betalingsflyt; se Paddles personvernerklæring.
11. Barn
Tjenesten er ikke rettet mot barn under 15 år. Vi samler ikke bevisst inn data fra barn under denne alderen.
12. Endringer i erklæringen
Vi kan oppdatere denne erklæringen. Vesentlige endringer varsles i tjenesten eller på e-post.
13. Kontakt
Har du spørsmål om personvern eller ønsker å utøve rettighetene dine, kontakt Marcus Håland Askerhaug via kontaktinformasjonen som er oppgitt i tjenesten.