Personvernerklæring

Kaliba AS (under stiftelse) leverer Kaliba, et styringsverktøy for byggefirmaer: prosjekter, bemanning, timeføring, HMS og personal. Denne erklæringen forklarer hvordan vi behandler personopplysninger — og like viktig: når det ikke er vi, men arbeidsgiveren din, som bestemmer over dem.

Når din arbeidsgiver bruker Kaliba, er det arbeidsgiveren som er behandlingsansvarlig for opplysningene om deg — for eksempel navn, fødselsdato, kompetansebevis, timer, fravær og HMS-hendelser. Kaliba AS er databehandler og behandler disse opplysningene utelukkende etter instruks fra arbeidsgiveren, regulert i en databehandleravtale. Har du spørsmål om, eller ønsker innsyn i, opplysninger arbeidsgiveren din har lagt inn i Kaliba, retter du dem til arbeidsgiveren.

For vår egen virksomhet — nettsiden, kundeforholdet, brukerkontoer og support — er Kaliba AS behandlingsansvarlig. Resten av denne erklæringen handler om den delen.

• Kontoopplysninger: navn, e-postadresse og rolle i virksomheten din, når du får bruker.
• Kundeopplysninger: virksomhetens navn, organisasjonsnummer og kontaktperson, når virksomheten blir kunde.
• Henvendelser: innholdet i e-post og annen dialog med oss, når du kontakter oss.
• Tekniske logger og feilrapporter: IP-adresse, tidspunkt og hendelsestype ved innlogging og feil, i den grad det trengs for sikkerhet og feilsøking.

Vi samler ikke inn opplysninger til markedsføringsprofilering, og vi kjøper eller selger aldri persondata. Vi treffer ingen automatiserte avgjørelser med rettsvirkning for deg, og driver ingen profilering.

• Levere tjenesten og administrere kundeforholdet — avtale (GDPR artikkel 6 nr. 1 bokstav b).
• Sikre og feilsøke tjenesten — berettiget interesse i en trygg og stabil tjeneste (artikkel 6 nr. 1 bokstav f).
• Svare på henvendelser — berettiget interesse i å følge opp dialogen, eller tiltak før avtaleinngåelse (artikkel 6 nr. 1 bokstav b).
• Oppbevare regnskapsdokumentasjon — rettslig forpliktelse (artikkel 6 nr. 1 bokstav c, jf. bokføringsloven).

Tjenesten driftes av et lite antall nøye valgte underleverandører:

• Supabase — database, fillagring og innlogging. Driftes i EU (Irland). Overføringer er regulert med EUs standardavtaler.
• Vercel — drift av selve applikasjonen. Sertifisert under EU-U.S. Data Privacy Framework.
• Anthropic — den valgfrie AI-assistenten. Den behandler spørsmålet ditt og de dokumentene virksomheten din selv har lastet opp (for eksempel ansatthåndboken). Anthropic trener ikke modeller på innholdet og sletter det normalt innen 30 dager; avtalepart i EØS er Anthropic Ireland. Assistenten er avslått til administratoren i virksomheten skrur den på.

Overføringer til leverandører utenfor EØS skjer bare med gyldig overføringsgrunnlag etter GDPR kapittel V. Full og oppdatert liste, med varsling ved endringer, står i databehandleravtalens vedlegg B.

• Kontoopplysninger: så lenge kundeforholdet varer. Når en kundeavtale avsluttes, slettes eller tilbakeleveres virksomhetens data i tråd med databehandleravtalen, senest 90 dager etter opphør.
• Henvendelser: så lenge dialogen pågår, og slettes senest ett år etter at den er avsluttet.
• Tekniske logger og feilrapporter: inntil 90 dager.
• Regnskapsmateriale: fem år etter regnskapsårets slutt (bokføringsloven § 13).

All trafikk er kryptert under overføring, og dataene er kryptert der de lagres. Tilgang til data er rollestyrt i alle ledd, også på databasenivå: hver virksomhets data er teknisk avgrenset fra andres, og en bruker ser bare det rollen gir rett til. Tilgang til produksjonsdata for våre egne folk er begrenset til det driften krever.

Kaliba setter ingen informasjonskapsler — heller ingen sporings- eller markedsføringskapsler, og vi bruker ingen tredjeparts analyseverktøy på nettsiden.

Noe lagres i stedet lokalt i din egen nettleser, fordi tjenesten trenger det: innloggingsøkten din, sist brukte e-postadresse på innloggingssiden, og — for feltbrukere — registreringer som venter på nett etter at du har vært frakoblet. Dette er strengt nødvendig lagring for en tjeneste du selv ber om, og krever ikke samtykke (ekomloven § 3-15). Derfor møter du heller ikke noe samtykkebanner.

Du har rett til innsyn i, retting av og sletting av opplysninger vi er behandlingsansvarlige for, samt begrensning av behandlingen, dataportabilitet og å protestere mot behandling basert på berettiget interesse. Send kravet til adressen under, så svarer vi uten ugrunnet opphold og senest innen en måned. Du kan også klage til Datatilsynet (datatilsynet.no).

Gjelder kravet opplysninger arbeidsgiveren din har lagt inn, sender vi deg riktig vei — det er arbeidsgiveren som eier den behandlingen.

Endrer vi denne erklæringen vesentlig, varsler vi aktive kunder. Spørsmål om personvern rettes til william.hoel@bolagruppen.no.