1. Hvem er behandlingsansvarlig
ProdForm drives av ProdForm AS, org.nr 938 601 887, registrert i Foretaksregisteret (Ortugrenden 9, 5143 Fyllingsdalen). ProdForm AS er behandlingsansvarlig for persondata om kunder (organisasjoner som bruker plattformen) og besøkende på prodform.com. For deltaker-data som samles inn gjennom en test, er kunden behandlingsansvarlig og ProdForm databehandler. Forholdet reguleres av en databehandleravtale (DPA) som er en del av Vilkårene.
2. Hvilke persondata vi samler
Konto-data: navn, e-post, organisasjonstilhørighet, rolle. Henvendelser: navn, e-post og bedrift når du ber om en demo eller kontakter oss. Bruksdata: hvilke tester du oppretter, innstillinger, tidspunkter for innlogging, og hvilke sider og funksjoner du bruker, telt per dag og knyttet til kontoen din. Tekniske data: IP-adresse, nettleser-type, enhetstype, samtykke-status for cookies. Deltaker-data (lagret på vegne av kunde): svar på tester, eventuelle valgfrie demografi-felt, deltakerkode eller e-post hvis testen krever identifikasjon, og sted hvis kunden har slått på innsamling av posisjon. Vi samler aldri sensitive kategorier (helse, biometri, religion, politisk overbevisning) med mindre kunden eksplisitt konfigurerer det og innhenter eget samtykke.
3. Formål og rettslig grunnlag
Konto-data behandles for å levere tjenesten (avtale, GDPR art. 6(1)(b)). Henvendelser behandles for å svare på forespørselen din (berettiget interesse, art. 6(1)(f)). Bruksdata og tekniske data behandles for å drifte, sikre og forbedre plattformen (berettiget interesse, art. 6(1)(f)); det omfatter feilsporing og besøksstatistikk uten cookies. Analyse-cookies og opptak av klikk og scrolling brukes kun med ditt samtykke (art. 6(1)(a)), som du når som helst kan trekke tilbake. Deltaker-data behandles på vegne av kunden – rettslig grunnlag fastsettes av kunden, typisk samtykke fra deltakeren før testen starter.
4. Hvem behandler dataene (underleverandører)
ProdForm bruker følgende databehandlere: Supabase (database, auth, fil-lagring – EU-region), Vercel (hosting, CDN og besøksstatistikk uten cookies), Resend (e-post), Sentry (feillogging), Anthropic (AI-funksjoner – kun når du eksplisitt bruker AI-verktøy). Alle har inngåtte databehandleravtaler. Har du samtykket til analyse, brukes også Microsoft Clarity til opptak av klikk og scrolling; Microsoft er selv behandlingsansvarlig for disse dataene. Oppdatert liste over underleverandører finnes på prodform.com/subprocessors. Kunder varsles minst 30 dager før vi tar i bruk nye underleverandører som behandler persondata.
5. Overføring utenfor EØS
Hoveddata lagres i EU, inkludert feillogging hos Sentry (Tyskland). Tre leverandører behandler data i USA: Anthropic når du bruker AI-funksjonene, Resend, som lagrer e-postmetadata og logger der, og Microsoft Clarity hvis du har samtykket til analyse. Overføringen til Anthropic skjer på grunnlag av EU-kommisjonens standardkontrakter (SCC) supplert med et teknisk tiltak: deltaker-identifikatorer sendes ikke, og dataene brukes ikke til modelltrening. Overføringen til Resend skjer på grunnlag av EU–US Data Privacy Framework og standardkontraktene, og overføringen til Microsoft på grunnlag av Data Privacy Framework. Vi vurderer overføringene løpende mot gjeldende rettspraksis.
6. Hvor lenge vi lagrer data
Aktive tester: data lagres så lenge testen pågår. Avsluttede tester: deltaker-svar med personidentifikatorer lagres i 24 måneder etter avslutning, deretter anonymiseres de – koblingen mellom svar og person fjernes permanent. Anonymiserte aggregat-data kan beholdes uten tidsbegrensning. Bruker- og organisasjons-kontoer lagres så lenge kontoen er aktiv, og slettes innen 30 dager etter at kontoen avsluttes (sikkerhetskopier overskrives i tråd med leverandørens faste rotasjon). Bruksdata om hvilke sider og funksjoner du bruker, og aktivitetsloggen for kontoen, lagres i 12 måneder. Øvrige logs og tekniske data lagres i opptil 90 dager.
7. Dine rettigheter
Du har rett til innsyn, retting, sletting ("retten til å bli glemt"), begrensning, dataportabilitet og innsigelse mot behandling. Samtykke du har gitt, kan du når som helst trekke tilbake. Deltakere med konto finner selvbetjente verktøy for innsyn og sletting på deltakersiden når de er logget inn. For konto-data og henvendelser: send forespørsel til contact@prodform.com – vi svarer innen 30 dager. Du kan klage til Datatilsynet (datatilsynet.no) hvis du mener vi behandler dataene dine i strid med GDPR.
8. Sikkerhet
Vi bruker kryptering i transit (TLS 1.2 eller nyere) og ved lagring (AES-256 på databasefiler, indekser og transaksjonslogger). Intern tilgang til persondata er rollebasert, og endringer utført av administratorer logges med bruker, tidspunkt og handling. Isolasjonen mellom kunder håndheves i applikasjonslaget, med Row Level Security i databasen som et ekstra lag på spørringer som går direkte fra nettleseren. Tilgang til kundedata er begrenset til ProdForms eiere, som er bundet av taushetsplikt. Gis noen andre slik tilgang — ansatt, innleid eller underleverandør — skjer det først etter skriftlig taushetserklæring. Brudd på persondatasikkerheten som berører kundens data, varsles kunden uten ugrunnet opphold og senest innen 24 timer, slik databehandleravtalen beskriver.
9. Barn og aldersgrense
ProdForm er ikke beregnet på personer under 16 år. Kontoer for testorganisasjoner krever at brukeren er minst 18 år. Deltakere må være minst 16 år for å kunne gi gyldig samtykke til behandling av persondata uten foreldresamtykke. Tester rettet mot personer under 16 år krever særskilt avtale med ProdForm.
10. Endringer i erklæringen
Vi kan oppdatere denne erklæringen ved endringer i tjenesten eller regelverk. Vesentlige endringer varsles på e-post til registrerte brukere minst 30 dager før de trer i kraft. Datoen øverst viser når erklæringen sist ble endret. Tidligere versjoner kan fås ved henvendelse.