Denne personvernerklæringen beskriver hvordan ARTI Consult AS («Recoup», «vi») behandler personopplysninger når du bruker tjenesten på recoup.no og tilhørende plattform. Erklæringen er utformet i henhold til personopplysningsloven og GDPR (forordning 2016/679).
1. Behandlingsansvarlig
ARTI Consult AS, org.nr 929 098 609, C. Sundts gate 55, 5004 Bergen (som leverer tjenesten under varemerket «Recoup»), er behandlingsansvarlig for behandling av personopplysninger om besøkende på markedssidene og brukerkontoer i applikasjonen. Når du som kunde laster opp eller integrerer fakturadata, opptrer Recoup som databehandler på vegne av din bedrift – databehandleravtalen regulerer det forholdet og er tilgjengelig på /databehandleravtale.
2. Hvilke opplysninger samler vi inn?
2.1 Ved registrering
- Navn, e-postadresse og passord (hashet)
- Bedriftens organisasjonsnummer og navn
- Bransje og rolle
- IP-adresse og enhetsinformasjon for sikkerhetsformål
2.2 Ved bruk av tjenesten
- Fakturadata fra Tripletex eller manuelt opplastede PDF-er
- Leverandørdata (navn, org.nr, kontaktinformasjon)
- Personopplysninger som måtte forekomme på fakturalinjer (f.eks. navn på konsulent, prosjektnavn)
- E-postkommunikasjon mellom deg og leverandørene dine, dersom du har aktivert e-postintegrasjon eller bruker forwarding-funksjonen
- Aktivitetslogg (innlogginger, handlinger, audit-spor)
2.3 Tekniske data
- Cookies og lokal lagring for innlogging og brukerinnstillinger
- Anonymisert produktbruksdata via PostHog (EU-region) for å forbedre tjenesten
- Feillogg via Sentry når noe går galt – uten innholdet i faktura eller e-post
3. Formål og rettslig grunnlag
| Formål | Rettslig grunnlag | Lagringstid |
|---|---|---|
| Levering av tjenesten | Avtale (GDPR art. 6(1)(b)) | Avtaleperioden + 5 år (regnskapsplikt) |
| Forbedring av AI-modeller | Berettiget interesse (art. 6(1)(f)) – krever opt-in for kryss-tenant-aggregering | Aggregert anonymisert: ubegrenset |
| Markedsføring | Samtykke (art. 6(1)(a)) | Til samtykket trekkes |
| Sikkerhet og audit | Berettiget interesse (art. 6(1)(f)) | 12 måneder |
| Regnskap og bokføring | Rettslig forpliktelse (art. 6(1)(c)) | 5 år (bokføringsloven §13) |
4. Databehandlere (sub-processors)
Vi bruker følgende underleverandører til å levere tjenesten. Alle har databehandleravtale med oss og data lagres i EU/EØS der mulig:
| Leverandør | Formål | Lokasjon |
|---|---|---|
| Supabase (Postgres + Auth + Storage) | Database, autentisering, fillagring | EU (eu-west-1) |
| Vercel | Hosting av webapplikasjon | EU (fra1) |
| Anthropic | AI-analyse av fakturaer og kontrakter. Anthropic trener ikke modellene på våre data og logger kun for misbruksdeteksjon. | USA (med GDPR-DPA) |
| Inngest | Bakgrunns-jobber og cron | EU |
| Resend | Utgående transaksjons-e-post | EU |
| Stripe | Fakturering og abonnement | EU/USA (Stripe-DPA) |
| Sentry | Feildeteksjon og overvåking | EU |
| PostHog | Bruksanalyse | EU (eu.posthog.com) |
Vi varsler kunder minst 30 dager før vi tar i bruk en ny databehandler som behandler personopplysninger.
4b. E-post-tilkobling (Gmail og Microsoft 365)
Hvis du velger å koble Gmail eller Microsoft 365 til Recoup via OAuth, får vi avgrenset lese-tilgang til e-postene dine. Vi følger Google API Services User Data Policy (inkludert Limited Use-kravene) og Microsoft Graph permissions-modellen.
Hva vi har tilgang til: Vi bruker scopen gmail.readonly for Gmail og Mail.Read for Microsoft 365. Begge er kun-lese-rettigheter.
Hva vi gjør med tilgangen:
- Søker etter leverandørfakturaer i innboksen din (basert på vedlegg og nøkkelord som «faktura», «invoice», «kvittering»)
- Laster ned vedlegg som er fakturaer (PDF, JPG, PNG, EHF-XML) for analyse mot dine kontraktspriser
- Lagrer kun selve faktura-vedlegget – aldri e-postens fritekst- innhold, andre vedlegg, kontakter eller meldinger som ikke er fakturaer
Hva vi IKKE gjør:
- Vi sender aldri e-poster fra din konto
- Vi modifiserer eller sletter aldri e-poster
- Vi endrer aldri labels, mapper eller flagg
- Vi bruker aldri Gmail-data til å trene AI-modeller eller for markedsføring
- Vi deler aldri Gmail-data med tredjeparter, utenom databehandlerne listet over (Supabase for lagring, Anthropic for fakturaanalyse) – og kun det avgrensede vedlegget, ikke e-postens innhold
Compliance med Google API Services Limited Use: Bruk og overføring av informasjon mottatt fra Google APIer til andre apper vil overholde Google API Services User Data Policy, inkludert kravene til Limited Use.
Hvordan koble fra: Du kan koble fra når som helst i Innstillinger → Integrasjoner. I tillegg kan du fjerne Recoups tilgang direkte hos:
- Google: myaccount.google.com/permissions
- Microsoft: account.live.com/consent/Manage
Når du kobler fra, sletter vi alle tilhørende refresh tokens umiddelbart og opphører å hente e-poster. Tidligere lastede faktura-vedlegg slettes i henhold til lagringstid-regelen i punkt 7.
5. Overføring til land utenfor EU/EØS
Anthropic er etablert i USA. Overføringen er sikret gjennom EUs standardkontraktbestemmelser (SCC) supplert med tekniske og organisatoriske tiltak. Vi sender aldri full kundedata til Anthropic uten formålsbegrensning – kun den konteksten som trengs for å analysere én faktura eller én kontrakt om gangen.
6. Anonymisert kryss-kunde-aggregering
Recoup tilbyr funksjonalitet for bransje-benchmark og leverandør-rykte. Dette krever eksplisitt opt-in fra hver kunde. Når opt-in er aktivert:
- Vi deler kun produktkode, leverandørs offentlige org.nr, bransjekode, måned og pris i NOK
- Vi deler aldri kundens org.nr, navn, fakturanummer, e-postadresser eller fri-tekst-beskrivelser
- Aggregater publiseres aldri med færre enn 5 unike bidragsytere (k-anonymitet)
- Du kan trekke samtykket når som helst i innstillingene
7. Lagringstid
Vi lagrer personopplysninger så lenge avtalen din er aktiv pluss inntil 5 år etter, for å oppfylle bokføringsloven. Faktura-PDFer og kontraktsdokumenter slettes automatisk 60 måneder etter siste avtale-aktivitet, med mindre kunden eksplisitt ber om sletting tidligere.
8. Dine rettigheter
Du har rett til å:
- Be om innsyn i personopplysningene vi behandler om deg
- Be om retting av uriktige opplysninger
- Be om sletting (sletteplikten må vurderes mot lovkrav)
- Be om begrensning av behandlingen
- Få utlevert opplysningene i et maskinlesbart format (dataportabilitet)
- Trekke samtykker du har gitt
- Klage til Datatilsynet (datatilsynet.no)
Henvendelser sendes til kontakt@articonsult.no. Vi svarer innen 30 dager.
9. Sikkerhet
- All trafikk krypteres i transit (TLS 1.2+)
- Data krypteres i ro
- Tripletex-tokens og integrasjons-nøkler krypteres separat
- Hver kunde er isolert på databasenivå – ingen kan se andres data
- To-faktor autentisering kreves for Pro-plan og admin-roller
- Audit-logg for alle handlinger som påvirker fakturadata
- Avvik håndteres etter Datatilsynets retningslinjer; alvorlige brudd varsles innen 72 timer
10. Cookies
Vi bruker kun nødvendige cookies for innlogging og brukerinnstillinger. Vi bruker ikke tredjeparts annonse-cookies. PostHog brukes for bruksanalyse i EU-region og kan deaktiveres i nettleseren.
11. Endringer
Hvis vi gjør endringer i denne erklæringen, varsler vi alle aktive brukere på e-post minst 30 dager før endringene trer i kraft.
12. Kontakt
ARTI Consult AS · Org.nr 929 098 609 · C. Sundts gate 55, 5004 Bergen
E-post: kontakt@articonsult.no