Personvernerklæring – kontodata

Denne erklæringen gjelder personopplysninger Specly samler inn for å drive brukerkontoen din i Specly («kontodata»). Den gjelder ikke innholdet du eller din organisasjon legger inn i egne prosjekter i Specly («Prosjektinnhold») – for den behandlingen er din organisasjon behandlingsansvarlig, og Specly er databehandler etter databehandleravtale.md.

1. Hvem er behandlingsansvarlig

Devly AS, org.nr 835 541 762 (leverer tjenesten under produktnavnet/varemerket Specly), [FYLL INN: registrert adresse — eier: Juridisk/salg, frist: før avtalepakken sendes til KPMG-pilotkunden, jf. docs/pilot-readiness.md runde 1] er behandlingsansvarlig for kontodata. Spørsmål om denne erklæringen kan rettes til [FYLL INN: personvern-kontakt-e-post — eier: Juridisk/salg, samme frist].

2. Hvilke opplysninger vi samler inn

Når du oppretter en brukerkonto og logger inn i Specly, lagrer vi:

• Brukerprofil: navn, e-postadresse, om e-postadressen er verifisert, og et eventuelt profilbilde.
• Sesjonsdata: en sesjonsidentifikator, når sesjonen utløper, opprettelses- og oppdateringstidspunkt, samt IP-adresse og user-agent (nettleser/klient) knyttet til innloggingen – brukt til å holde deg innlogget og oppdage mistenkelig aktivitet.
• Innloggingsmetode: teknisk kobling mellom brukerkontoen og innloggingsmetoden (f.eks. passord), inkludert et sikkert hashet passord der du bruker passordinnlogging. Vi lagrer aldri passordet ditt i klartekst.
• Roller og tilganger: hvilke systemroller og prosjektmedlemskap kontoen din har, slik at tjenesten kan vise deg riktig innhold og håndheve tilgangsstyring.
• Brukerpreferanser: UI-innstillinger (f.eks. språk, sidepanel-layout) knyttet til kontoen din, for å gi en konsistent opplevelse på tvers av økter.

3. Formål og rettslig grunnlag

Formål	Rettslig grunnlag
Autentisering og pålogging	Oppfyllelse av avtale (GDPR art. 6 nr. 1 bokstav b) – nødvendig for å levere tjenesten du/din organisasjon har inngått avtale om
Sesjonshåndtering og sikkerhet (f.eks. å oppdage mistenkelig innlogging)	Berettiget interesse (art. 6 nr. 1 bokstav f) i å beskytte tjenesten og dine data
Tilgangsstyring (roller/prosjektmedlemskap)	Oppfyllelse av avtale
Lagring av UI-preferanser	Berettiget interesse i å gi deg en bedre brukeropplevelse

4. Hvor lenge lagres opplysningene

• Sesjoner utløper etter 7 dager fra siste fornyelse, og fornyes automatisk (rullerende, med et intervall på 1 dag) ved aktiv bruk. En sesjon kan også avsluttes tidligere ved utlogging.
• Brukerprofil, roller og preferanser lagres så lenge kontoen din er aktiv, og slettes eller anonymiseres når kontoen slettes – enten fordi du selv ber om det, eller fordi din organisasjons avtale med Specly opphører.

5. Hvem opplysningene deles med

Kontodata behandles av Specly og av Specly sin infrastrukturleverandør UpCloud (hosting av applikasjon og database, innenfor EØS), som er underdatabehandler for denne behandlingen på samme vilkår som beskrevet i underdatabehandlere.md. Kontodata deles ikke med Databricks, GitHub eller andre integrasjonsmotparter – de mottar kun Prosjektinnhold når du eller din organisasjon aktivt aktiverer en integrasjon.

Kontodata selges ikke og deles ikke med tredjeparter for markedsføringsformål.

6. Informasjonskapsler (cookies)

Specly bruker én nødvendig informasjonskapsel til innlogging (sesjonscookie). Den er satt som httpOnly (ikke tilgjengelig for JavaScript), secure i produksjon (sendes kun over kryptert forbindelse) og SameSite=Lax. Den er strengt nødvendig for at tjenesten skal fungere, og krever derfor ikke samtykke etter ekomloven § 3-11.

7. Dine rettigheter

Du har, etter personvernforordningen, rett til:

• innsyn i hvilke opplysninger vi har om deg;
• retting av uriktige opplysninger (f.eks. via kontoinnstillinger);
• sletting av kontoen din og tilhørende kontodata;
• dataportabilitet – å få utlevert dine kontodata i et strukturert format;
• å protestere mot behandling basert på berettiget interesse.

Henvendelser rettes til [FYLL INN: personvern-kontakt-e-post — eier: Juridisk/salg, frist: før avtalepakken sendes til KPMG-pilotkunden; samme adresse som punkt 1]. Du har også rett til å klage til Datatilsynet (datatilsynet.no) dersom du mener behandlingen er i strid med regelverket.

8. Endringer

Vi kan oppdatere denne erklæringen. Endringer publiseres med nytt versjonsnummer og dato i toppen av dokumentet.

---

Endringslogg

• v0.1.1 (2026-08-17): Behandlingsansvarlig fylt ut (Devly AS, org.nr 835 541 762 – leverer tjenesten som Specly); registrert adresse og personvern-kontakt-e-post gjenstår.
• v0.1.0 (2026-08-10): Første utkast, til juridisk gjennomgang.