Personvern for Låvli Bedrift
1 Om dokumentet
Dette dokumentet er for deg som bruker Låvli Bedrift, og for andre som omtales i innholdet. Opplysninger om andre som omtales, kommer fra det brukerne skriver eller laster opp i tjenesten. Det forklarer hvilke personopplysninger som behandles, hvem som er ansvarlig, og hvilke rettigheter du har. For virksomheten du bruker tjenesten for, er dokumentet også beskrivelsen av behandlingen Låvli gjør på vegne av virksomheten. Gjeldende versjon av dokumentet er tilgjengelig på vilkar.lavli.no.
Det er frivillig å gi opplysninger, men du må oppgi kontaktinformasjon for å få tilgang til tjenesten.
2 Hvem er behandlingsansvarlig?
Virksomheten du bruker tjenesten for, er behandlingsansvarlig for innholdet. Låvli er databehandler for innholdet og behandler det bare etter virksomhetens instruks. For noen opplysninger er Låvli selv behandlingsansvarlig.
| Opplysninger | Formål | Behandlingsansvarlig |
|---|---|---|
| Spørsmål, KI-svar, opplastede dokumenter og tidsstempel, som kan omfatte særlige kategorier av personopplysninger | Levere tjenesten | Virksomheten |
| Spørsmål, KI-svar og opplastede dokumenter | Anonymisering for å lage aggregert statistikk | Virksomheten |
| Navn, e-postadresse, rolle, innloggingsmetode, sesjonstokener og IP-adresse | Innlogging, brukerkonto og tilgangskontroll | Låvli |
| Trafikkdata, nettlesertype og operasjonelle logger, uten meldingsinnhold | Drift, feilretting og sikkerhet | Låvli |
| Tekniske spor av agentkjøringer, som kan inneholde spørsmål og svar | Feilsøking i KI-funksjonene | Virksomheten |
| Logg over hvem som har fått tilgang til eller åpnet innhold, og når | Kontroll med tilgang til innhold | Virksomheten |
| Kopier av opplysningene over | Gjenoppretting etter feil eller hendelser | Virksomheten |
| Navn og e-postadresse | Meldinger om konto, sikkerhet, innlogging og endringer i tjenesten og vilkårene | Låvli |
| Pseudonymiserte utdrag av spørsmål og svar | Forskningsprosjektet med SINTEF AS | Låvli |
| Bruksstatistikk uten informasjonskapsler og uten lagret IP-adresse | Forstå hvordan tjenesten brukes, og forbedre den | Låvli |
| Fritekst brukeren skriver i tilbakemeldingsskjemaet | Behandle tilbakemeldinger og forbedre tjenesten | Låvli |
3 Hva behandles for virksomheten?
Låvli behandler disse opplysningene på vegne av virksomheten, for å levere tjenesten. Det rettslige grunnlaget fastsettes av virksomheten.
| Opplysninger | Registrerte | Formål | Lagringstid | Sletting |
|---|---|---|---|---|
| Spørsmål, KI-svar, opplastede dokumenter og tidsstempel, som kan omfatte særlige kategorier av personopplysninger | Brukere og personer som omtales i samtaler og dokumenter | Levere tjenesten | 270 dager | Automatisk i trinn, med arkivering, gjenopprettingsperiode og permanent sletting. Ved opphør etter 30 dager, når fristen for å kreve eksport er ute, og i sikkerhetskopier innen ytterligere 30 dager |
| Spørsmål, KI-svar og opplastede dokumenter | Brukere og personer som omtales i samtaler og dokumenter | Anonymisering for å lage aggregert statistikk | Ikke lenger enn innholdet. Statistikken inneholder ikke personopplysninger | Når lagringstiden er ute |
| Tekniske spor av agentkjøringer, som kan inneholde spørsmål og svar | Brukere og personer som omtales i samtaler | Feilsøking i KI-funksjonene | Om lag 14 dager | Når lagringstiden er ute |
| Logg over hvem som har fått tilgang til eller åpnet innhold, og når | Brukere og Låvlis driftspersonell | Kontroll med tilgang til innhold | 400 dager | Når lagringstiden er ute |
| Kopier av opplysningene over | Som for opplysningene som kopieres | Gjenoppretting etter feil eller hendelser | Et begrenset antall generasjoner, lagret i EU/EØS | Innen 30 dager etter at opplysningene er slettet ved opphør |
4 Hva behandler Låvli selv?
For disse opplysningene er Låvli behandlingsansvarlig.
| Opplysninger | Registrerte | Formål | Rettslig grunnlag | Lagringstid | Sletting |
|---|---|---|---|---|---|
| Navn, e-postadresse, rolle, innloggingsmetode, sesjonstokener og IP-adresse | Brukere | Innlogging, brukerkonto og tilgangskontroll | GDPR art. 6 nr. 1 bokstav f (berettiget interesse i å gi virksomhetens brukere sikker tilgang) | Så lenge kontoen eller avtalen består. Sesjoner så lenge sesjonen varer | Når lagringstiden er ute |
| Trafikkdata, nettlesertype og operasjonelle logger, uten meldingsinnhold | Brukere | Drift, feilretting og sikkerhet | GDPR art. 6 nr. 1 bokstav f (berettiget interesse i sikker og stabil drift) | 30 dager | Når lagringstiden er ute |
| Navn og e-postadresse | Brukere | Meldinger om konto, sikkerhet, innlogging og endringer i tjenesten og vilkårene | GDPR art. 6 nr. 1 bokstav f (berettiget interesse i å informere brukerne) | Så lenge kontoen består | Når lagringstiden er ute |
| Pseudonymiserte utdrag av spørsmål og svar | Brukere og personer som omtales i samtaler | Forskningsprosjektet med SINTEF AS | GDPR art. 6 nr. 1 bokstav f (berettiget interesse i å forske på kvalitetssikret juridisk KI), jf. art. 89 nr. 1. Særlige kategorier etter art. 9 nr. 2 bokstav j, jf. personopplysningsloven § 9 | Til forskningsprosjektet er avsluttet | Senest 1. mars 2028. Slettes ikke når samtalen slettes, fordi utdragene ikke kan knyttes til brukeren |
| Bruksstatistikk uten informasjonskapsler og uten lagret IP-adresse | Brukere | Forstå hvordan tjenesten brukes, og forbedre den | GDPR art. 6 nr. 1 bokstav f (berettiget interesse i å forbedre tjenesten) | 1 år | Når lagringstiden er ute |
| Fritekst brukeren skriver i tilbakemeldingsskjemaet | Brukere | Behandle tilbakemeldinger og forbedre tjenesten | GDPR art. 6 nr. 1 bokstav f (berettiget interesse i å forbedre tjenesten) | 1 år | Når lagringstiden er ute |
Interesseavveiningen for behandlingen som bygger på berettiget interesse, får du på forespørsel.
5 Forskning
Fra et utvalg samtaler tar Låvli forskningsuttrekk til forskningsprosjektet. Formålet er å utvikle metoder for kvalitetssikret juridisk KI, blant annet kildevalidering og menneskelig tilsyn. Virksomheten har tillatt dette i avtalen med Låvli, og Låvli er selv behandlingsansvarlig for forskningsuttrekkene.
- Forskningsuttrekkene pseudonymiseres før forskerne får tilgang, og forskningsdatasettet har ingen kobling tilbake til deg eller samtalen.
- Bare navngitte forskere hos Låvli og SINTEF AS har tilgang, i et lukket miljø med tilgangskontroll og logging. Alle har signert taushetserklæring.
- SINTEF AS er selvstendig behandlingsansvarlig for forskningsuttrekkene SINTEF får tilgang til.
- Tekniske metadata og innloggingsdata er ikke med.
- Forskningsuttrekkene brukes ikke til å trene KI-modeller.
- Ved publisering brukes bare anonymiserte opplysninger.
- Behandlingen skjer i EU/EØS.
- Låvli har vurdert personvernkonsekvensene og gjort en skriftlig interesseavveining for forskningen. Interesseavveiningen gjennomgås hvert år.
- Etter 1. september 2027 kan Låvli bare bruke forskningsuttrekkene hvis du samtykker.
Du kan protestere mot forskningsbruken når som helst ved å skrive til personvern@lexolve.com fra e-postadressen knyttet til kontoen din. Fra protesten er mottatt, tar Låvli ikke nye forskningsuttrekk fra samtalene dine, og du kan bruke tjenesten som før. Virksomheten kan også reservere alle sine brukere.
Forskningsuttrekk som allerede er tatt, kan ikke knyttes til deg. Låvli kan derfor ikke finne eller slette dem, med mindre du gir opplysninger som gjør det mulig.
6 Hvem får opplysningene?
Tabellen viser hvem som får opplysninger, og om de er underleverandører som behandler opplysningene for Låvli, eller selvstendig behandlingsansvarlige.
| Mottaker | Oppgave | Rolle | Gjelder | Opplysninger | Lokasjon | Overføringsgrunnlag |
|---|---|---|---|---|---|---|
| Google Cloud (Google Ireland Ltd.) | Infrastruktur, database, lagring og kjøring av KI-modeller | Underleverandør | Begge | All lagring | EU | Standardkontrakter (SCC) som tilleggsgaranti |
| Anthropic | Claude-modeller for hovedresonnering, kjørt via Google Cloud | Underleverandør | Begge | Spørsmål og svar | EU | Standardkontrakter (SCC) som tilleggsgaranti |
| Google (Gemini) | Sekundæroppgaver som klassifisering, oppslag og titler | Underleverandør | Begge | Spørsmål og svar | EU | Standardkontrakter (SCC) som tilleggsgaranti |
| Amazon Web Services | Reserve for kjøring av KI-modeller ved failover | Underleverandør | Begge | Spørsmål og svar ved failover | EU | Standardkontrakter (SCC) som tilleggsgaranti |
| Kinde | Innlogging og sesjon | Underleverandør | Låvlis egen behandling | Identitets- og autentiseringsdata | EU | Standardkontrakter (SCC) |
| LangChain (LangSmith) | Teknisk sporing av agentkjøringer, med kort oppbevaring | Underleverandør | Begge | Kan inneholde spørsmål og svar | EU | Standardkontrakter (SCC) som tilleggsgaranti |
| PostHog | Produktanalyse uten informasjonskapsler, autocapture eller opptak av økter | Underleverandør | Låvlis egen behandling | Bruksstatistikk. Ikke samtaleinnhold, men fritekst i tilbakemeldingsskjemaet | EU | Standardkontrakter (SCC) som tilleggsgaranti |
| Staan.ai | Websøk utenfor rettskildebasene, med maskert søkestreng | Underleverandør | Begge | Maskert søkestreng | EU | – |
| Customer.io | Tjenestemeldinger | Underleverandør | Låvlis egen behandling | Kontaktopplysninger | EU | Standardkontrakter (SCC) som tilleggsgaranti |
| SINTEF AS | Forskningspartner i forskningsprosjektet | Selvstendig behandlingsansvarlig | Låvlis egen behandling | Pseudonymiserte forskningsuttrekk | Norge eller EU/EØS | – |
| Lovdata | Søk i rettskilder | Selvstendig behandlingsansvarlig | Behandling for virksomheten | Automatisk genererte søkeord | Norge | – |
| Offentlige myndigheter | Utlevering når loven krever det | Selvstendig behandlingsansvarlig | Begge | Det loven krever | Norge | – |
Opplysningene lagres og behandles i EU/EØS. For leverandører med morselskap utenfor EU/EØS brukes EUs standardkontrakter som tilleggsgaranti.
Samarbeidspartnere som gir virksomheter tilgang til Låvli Bedrift, får bare samlet statistikk uten personopplysninger. Låvli slår også opp i Enhetsregisteret og Regnskapsregisteret. Tekst fra samtalene sendes ikke dit.
7 Dine rettigheter
Du har rett til innsyn, retting, sletting, begrensning, dataportabilitet og å protestere (GDPR art. 15–21). Du kan når som helst trekke tilbake et samtykke du har gitt.
For innholdet kontakter du virksomheten du bruker tjenesten for, og Låvli hjelper virksomheten. For opplysningene Låvli behandler selv, kontakter du Låvli. Låvli svarer innen én måned.
Låvli treffer ikke avgjørelser som utelukkende bygger på automatisert behandling, og som har rettsvirkning for deg eller påvirker deg i betydelig grad.
8 Kontakt og klage
Låvli AS, org.nr. 918 567 852, Kongens gate 3, 0153 Oslo, er behandlingsansvarlig for opplysningene Låvli behandler selv. For henvendelser om personvern kan du bruke personvern@lexolve.com.
Du kan klage til Datatilsynet, Postboks 458 Sentrum, 0105 Oslo, datatilsynet.no.