Personvern og GDPR

Om AIX2 og personvern

AIX2 er utviklet i Norge og tar personvern på høyeste alvor. Vi følger alle gjeldende lover og forskrifter, inkludert personvernforordningen (GDPR) og personopplysningsloven. Denne erklæringen beskriver hvilke personopplysninger vi samler inn, hvordan vi bruker dem, og hvilke rettigheter du har som registrert.

1. Behandlingsansvarlig

AIXHUB AS (org.nr. 936 482 775) er behandlingsansvarlig for personopplysninger som samles inn og behandles gjennom AIX2-plattformen.

Kontakt:
AIXHUB AS
E-post: personvern@aix2.no
Generelle henvendelser: post@aix2.no
Nettside: www.aix2.no

2. Hvilke personopplysninger samler vi inn

2.1 Brukerkontodata

• Fornavn og etternavn
• E-postadresse
• Bedriftsnavn og organisasjonsnummer
• Eventuell nettside
• Firmatilknytning og rolle (eier, administrator, bruker)
• Innloggingsinformasjon (passord lagres kryptert med bcrypt)
• Betalingsinformasjon (behandles av vår betalingsleverandør Stripe – vi lagrer ikke kortdata)

2.2 Bedriftsdata (prospekter/leads)

• Organisasjonsnummer
• Firmanavn, adresse og nettside
• Bransje og finansielle nøkkeltall (fra offentlige registre)
• Kontaktpersoner (navn og e-postadresser funnet via offentlige kilder)

2.3 E-posttilkobling

• OAuth-tokens for Gmail og Microsoft 365 (kryptert lagring med AES-256-CBC)
• IMAP/SMTP-innstillinger dersom brukeren velger manuell oppsett (kryptert)
• E-postmeldinger som synkroniseres gjennom tilkoblingen

2.4 Bruksdata

• Hvilke funksjoner du bruker og hvor ofte
• Søkehistorikk og søkekriterier i plattformen
• Leads og selskaper du har vist interesse for
• E-poster og meldinger du genererer via plattformen
• E-postutsendelser og åpningsstatistikk

2.5 Teknisk informasjon

• IP-adresse
• Nettlesertype og versjon
• Tidssone og lokasjonsdata (på overordnet nivå)
• Sesjonsdata (innloggingstidspunkt, varighet)

Det behandles ikke særlige kategorier av personopplysninger (sensitive personopplysninger) som definert i GDPR artikkel 9.

3. Hvordan bruker vi dataene?

Vi bruker informasjonen din til å:

• Opprette og administrere din brukerkonto
• Levere og forbedre våre tjenester
• Tilpasse plattformen til dine behov
• Sende deg viktige oppdateringer om tjenesten
• Behandle betalinger og fakturering
• Forbedre produktet vårt basert på bruksmønstre
• Forebygge misbruk og svindel

4. Formål og rettslig grunnlag

Formål	Rettslig grunnlag
Opprette og administrere brukerkonto	Avtale (GDPR art. 6(1)(b))
Levere tjenesten (lead-søk, kontaktberikelse, e-postutsending)	Avtale (GDPR art. 6(1)(b))
Forbedre og videreutvikle plattformen	Berettiget interesse (GDPR art. 6(1)(f))
Fakturering og betaling	Avtale og rettslig forpliktelse (GDPR art. 6(1)(b) og (c))
Markedsføring og onboarding-e-poster	Samtykke / berettiget interesse (GDPR art. 6(1)(a) og (f))
Forebygging av misbruk og svindel	Berettiget interesse (GDPR art. 6(1)(f))
Regnskap og bokføring	Rettslig forpliktelse (GDPR art. 6(1)(c))

5. Bruk av kunstig intelligens (AI)

AIX2 benytter AI-modeller for å analysere bedriftsdata, finne kontaktinformasjon og generere bedriftsprofiler:

• Google Gemini 2.5 Flash — Primær modell for bedriftsanalyse og kontaktfunn
• OpenAI GPT-4o-mini — Fallback-modell for kontaktberikelse

Viktig: Begge tjenestene benyttes via API, og data som sendes til disse tjenestene brukes ikke til trening av AI-modeller. Dette er bekreftet i både Google Gemini API Terms og OpenAI API Data Usage Policy.

Data som sendes til AI-modellene inkluderer bedriftsnavn, organisasjonsnummer, og offentlig tilgjengelig informasjon — aldri brukerens passord eller sensitive personopplysninger.

6. Hvor lagres data

Komponent	Lokasjon	Beskrivelse
Applikasjonsserver	Norge	Webserver og applikasjonslogikk
Database (Supabase)	Stockholm, Sverige (EU)	All bruker- og forretningsdata
E-postutsending (Brevo)	Paris, Frankrike (EU)	SMTP-relay for e-postutsendelser
Betaling (Stripe)	EU/USA	PCI DSS-sertifisert betalingsbehandling
AI-tjenester	EU / USA (med SCCs)	Google Gemini, OpenAI — kun via API

All primær datalagring skjer innenfor EU/EØS. For tjenester som behandler data utenfor EU/EØS (Google Gemini API, OpenAI API), er det inngått databehandleravtaler med Standard Contractual Clauses (SCCs) i henhold til EU-kommisjonens gjennomføringsbeslutning 2021/914.

7. Datalagring og sikkerhet

Våre sikkerhetstiltak inkluderer:

• Kryptering i transit: All kommunikasjon over HTTPS/TLS 1.2+
• Kryptering av sensitiv data: E-postkredentialer og OAuth-tokens krypteres med AES-256-CBC
• Passord: Kryptert med bcrypt
• Autentisering: OAuth 2.0 med state-validering for e-posttilkoblinger
• Tilgangskontroll: Rollebasert tilgang (eier, administrator, bruker), med begrenset intern tilgang til personopplysninger
• Inputvalidering: Parametriserte spørringer og HTMLPurifier for å forhindre injeksjonsangrep
• Dataminimering: Vi samler kun inn data som er nødvendig for å levere tjenesten
• Logging og overvåking: Aktivitetslogging og regelmessige sikkerhetsgjennomganger
• Backup: Daglig sikkerhetskopiering av database

8. Lagringstid

• Brukerkontodata: Så lenge kontoen er aktiv, og slettes innen 90 dager etter oppsigelse
• Lead- og prospektdata: Tilhører kunden og slettes ved oppsigelse eller på forespørsel
• E-posttilkoblinger (OAuth-tokens): Slettes umiddelbart ved frakobling
• Bruksdata: Opptil 24 måneder
• Tekniske logger: Opptil 12 måneder
• Regnskaps- og fakturadata: 5 år (lovpålagt etter bokføringsloven)

9. Deling med tredjeparter

Vi deler personopplysninger kun med underleverandører som er nødvendige for å levere tjenesten, og kun under strenge databehandleravtaler:

• Stripe: Betalingsbehandling (PCI DSS-sertifisert)
• Supabase: Database og autentisering
• Google Cloud: AI-tjenester og infrastruktur
• Brevo: E-postutsending
• OpenAI: AI-tjenester (fallback)

En fullstendig og oppdatert oversikt finnes på vår underleverandørside. Vi selger aldri personopplysninger til tredjeparter, og brukerdata deles ikke for markedsformål.

10. Dine rettigheter

Som registrert har du følgende rettigheter etter GDPR:

• Innsyn (art. 15) — Du kan be om å få vite hvilke opplysninger vi har om deg
• Retting (art. 16) — Du kan be om å korrigere feilaktig informasjon
• Sletting (art. 17) — Du kan be om å få slettet dine data («retten til å bli glemt»)
• Begrensning (art. 18) — Du kan be om å begrense behandlingen av dine data
• Dataportabilitet (art. 20) — Du kan be om å få utlevert dine data i et maskinlesbart format
• Innsigelse (art. 21) — Du kan protestere mot visse typer behandling
• Tilbaketrekking av samtykke — Du kan når som helst trekke tilbake samtykke

For å utøve dine rettigheter, kontakt oss på personvern@aix2.no. Vi svarer normalt innen 30 dager.

11. Informasjonskapsler (cookies)

Vi bruker informasjonskapsler for å forbedre brukeropplevelsen og analysere trafikk.

• Nødvendige (sesjonskapsler): Påkrevd for innlogging og bruk av plattformen
• Funksjonelle: Husker dine preferanser, f.eks. lys/mørk modus (lagres lokalt i nettleseren via localStorage — ingen serveroverføring)
• Analytiske: Hjelper oss å forstå hvordan tjenesten brukes (Google Analytics)

Du kan administrere dine cookie-preferanser i nettleseren din.

12. Endringer i personvernerklæringen

Vi kan oppdatere denne personvernerklæringen ved behov. Ved vesentlige endringer vil du bli varslet via e-post eller gjennom plattformen. Den til enhver tid gjeldende versjonen vil alltid være tilgjengelig på denne siden.

13. Kontakt oss

Har du spørsmål om personvern eller ønsker å utøve dine rettigheter? Kontakt oss på personvern@aix2.no eller post@aix2.no.