Personvernerklæring
1. Behandlingsansvarlig
Pomor AS, org.nr. 927 203 685, er behandlingsansvarlig for personopplysningene som behandles gjennom tjenesten Pomor. Forretningsadresse: Nesbruveien 75, 1394 Nesbru. E-post: post@pomor.ai. Nettsted: pomor.ai.
Denne erklæringen beskriver hvilke personopplysninger vi behandler, hvorfor vi behandler dem, hvor lenge de lagres og hvilke rettigheter du har etter personvernforordningen (GDPR) og personopplysningsloven.
Der kunden bruker Pomor til å behandle opplysninger om sine egne ansatte, kunder og leverandører, er kunden behandlingsansvarlig og Pomor AS databehandler. For den behandlingen gjelder databehandleravtalen mellom partene, jf. punkt 7.
2. Hvilke opplysninger vi behandler
Vi behandler følgende kategorier av personopplysninger:
- Kontoopplysninger: navn, e-postadresse, passord i hashet form, og rolle i virksomheten. Ved innlogging med Google eller Vipps mottar vi navn, e-postadresse og en identifikator fra tjenesten du logger inn med.
- Virksomhetsopplysninger: organisasjonsnummer, foretaksnavn, forretningsadresse og roller, hentet fra Enhetsregisteret og fra det du selv registrerer.
- Regnskapsdata: bilag, fakturaer, kontaktpersoner, bankposteringer og annet materiale du laster opp eller lar oss hente. Dette kan inneholde personopplysninger om dine kunder, leverandører og ansatte.
- Betalingsopplysninger: ved abonnement via Vipps behandles avtaleidentifikator, beløp, status og betalingshistorikk. Vi mottar ikke og lagrer ikke kortnummer.
- Bruks- og sikkerhetslogger: IP-adresse, tidspunkt, hvilke sider som er besøkt og hvilke handlinger som er utført, brukt til drift, feilsøking og sikkerhet.
- Offentlige registerdata: EierIQ viser opplysninger fra Skatteetatens aksjonærregister — navn, fødselsår, sted og eierandel. Dette er offentlig tilgjengelige opplysninger. Vi viser aldri adresse eller kontaktinformasjon fra registeret.
3. Formål og rettslig grunnlag
- Levere tjenesten — opprette konto, utføre bokføring, fakturering og innsending. Grunnlag: oppfyllelse av avtale, GDPR artikkel 6 nr. 1 bokstav b.
- Oppfylle lovpålagte krav — bokføringsloven, regnskapsloven og skatteforvaltningsloven pålegger oss og kunden å oppbevare visse opplysninger. Grunnlag: rettslig forpliktelse, artikkel 6 nr. 1 bokstav c.
- Drift, sikkerhet og feilsøking — logger, sikkerhetskopier og misbruksbegrensning. Grunnlag: berettiget interesse, artikkel 6 nr. 1 bokstav f.
- Vise offentlige registerdata i EierIQ — Grunnlag: berettiget interesse i å gjøre offentlig tilgjengelig eierskapsinformasjon søkbar, artikkel 6 nr. 1 bokstav f.
- Kontakt og oppfølging — svar på henvendelser du selv sender oss. Grunnlag: berettiget interesse, artikkel 6 nr. 1 bokstav f.
Vi bruker ikke personopplysninger til automatiserte avgjørelser med rettsvirkning for deg. AI-funksjonene i Pomor foreslår bokføring og kontroller, men forslagene skal godkjennes av et menneske før de får virkning.
4. Informasjonskapsler
Vi bruker kun informasjonskapsler som er nødvendige for at tjenesten skal virke: innlogging og sesjon, valgt språk, og en kortlivet kapsel for invitasjonskode under registrering. Slike kapsler krever ikke samtykke etter ekomloven § 3-15. Vi bruker ikke informasjonskapsler til markedsføring eller sporing på tvers av nettsteder.
5. Lagringstid
Regnskapsmateriale oppbevares i fem år etter regnskapsårets slutt, slik bokføringsloven § 13 krever. Kontoopplysninger slettes eller anonymiseres innen tre måneder etter at kundeforholdet er avsluttet, med mindre lov krever lengre lagring. Sikkerhets- og driftslogger lagres i inntil tolv måneder. Sikkerhetskopier overskrives løpende innen 35 dager.
6. Utlevering til offentlige myndigheter
Når du bruker Pomor til innsending, overføres de aktuelle opplysningene til Skatteetaten, Altinn, Brønnøysundregistrene eller tilsvarende mottaker, via Maskinporten og ID-porten. Overføringen skjer på ditt initiativ og er nødvendig for å oppfylle dine egne lovpålagte plikter.
7. Databehandlere og underleverandører
Vi bruker leverandører som behandler personopplysninger på våre vegne, under databehandleravtale. Det gjelder blant annet leverandører av skydrift og databaser, e-postutsending, betalingsformidling (Vipps MobilePay) og innlogging (Google). Der en leverandør brukes til AI-funksjoner, sendes kun det som er nødvendig for den enkelte forespørselen, og leverandøren har ikke rett til å bruke materialet til å trene egne modeller.
Behandling skjer som hovedregel innenfor EU/EØS. Skjer det overføring til land utenfor EØS, sikres den med EU-kommisjonens standard personvernbestemmelser (SCC) og nødvendige supplerende tiltak.
8. Informasjonssikkerhet
Opplysninger overføres kryptert (TLS) og lagres kryptert hos våre skyleverandører. Passord lagres kun som hash. Tilgang til kundedata er begrenset til personell som trenger den for drift og support, og logges. Avvik som medfører risiko for den registrerte varsles Datatilsynet innen 72 timer, jf. GDPR artikkel 33.
9. Dine rettigheter
Du har rett til å:
- få innsyn i hvilke opplysninger vi behandler om deg
- få rettet opplysninger som er uriktige eller ufullstendige
- få slettet opplysninger, så langt lovpålagt oppbevaringsplikt ikke er til hinder for det
- kreve at behandlingen begrenses
- få utlevert opplysninger du selv har gitt oss, i et maskinlesbart format
- protestere mot behandling som bygger på berettiget interesse, herunder visning av opplysninger om deg i EierIQ
Henvendelser rettes til post@pomor.ai. Vi svarer uten ugrunnet opphold og senest innen én måned.
10. Klage til tilsynsmyndigheten
Mener du at vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet, postboks 458 Sentrum, 0105 Oslo. Vi setter pris på å få anledning til å rette opp i saken først.
11. Endringer
Vi kan oppdatere denne erklæringen. Vesentlige endringer varsles på e-post eller i tjenesten. Datoen øverst viser når erklæringen sist ble endret.
Behandlingsansvarlig: Pomor AS (tidligere Startfinans AS), org.nr. 927 203 685. E-post: post@pomor.ai. Se også salgsvilkårene.