Personvernerklæring

1.Hvem er vi?

Gromis leveres av Gromis AS (org.nr. 937 804 377). Denne personvernerklæringen forklarer hvordan vi behandler personopplysninger når du bruker Gromis eller besøker våre nettsider.

Har du spørsmål om personvern, kan du kontakte oss på support@gromis.no.

2.Hvem er behandlingsansvarlig?

For opplysninger knyttet til brukerkontoen din, abonnement, support og bruk av tjenesten er Gromis AS behandlingsansvarlig.

Når du bruker Gromis til å lagre eller behandle opplysninger om dine egne kunder, ansatte eller leverandører, er du behandlingsansvarlig og Gromis AS databehandler. Dette reguleres nærmere i vår databehandleravtale.

3.Hvilke opplysninger behandler vi?

• Kontoopplysninger: navn, e-postadresse, rolle og tilgangsnivå, språkvalg og innloggingsinformasjon.
• Virksomhetsopplysninger: firmanavn, organisasjonsnummer, adresse, MVA-status og fakturainnstillinger.
• Regnskaps- og fakturadata: bilag, kvitteringer, fakturaer, kunder, leverandører, kontoplan, transaksjoner og rapporter.
• Lønnsopplysninger: der lønnsfunksjonalitet brukes kan vi behandle navn, bankkonto, fødselsnummer, lønnsopplysninger og skattekortinformasjon.
• Tekniske opplysninger: IP-adresse, nettleserinformasjon, sikkerhetslogger, feilmeldinger og bruksmønstre som er nødvendige for drift og sikkerhet.

4.Hvorfor behandler vi opplysningene?

Vi behandler personopplysninger for å:

• levere Gromis
• opprette og administrere brukerkontoer
• levere regnskapstjenester
• sende fakturaer
• tilby support
• oppfylle lovpålagte krav
• ivareta sikkerhet
• forebygge misbruk
• forbedre tjenesten

5.AI-funksjoner

Gromis kan benytte kunstig intelligens for å analysere bilag, kvitteringer, dokumenter eller andre opplysninger som brukeren selv velger å behandle gjennom AI-funksjoner.

Slike funksjoner brukes utelukkende for å levere tjenesten og forbedre brukeropplevelsen. AI-leverandører benyttes som databehandlere eller underdatabehandlere og er underlagt avtaler som skal sikre personvernet.

6.Deling av opplysninger

Vi selger aldri personopplysninger. Opplysninger deles kun når det er nødvendig for å levere tjenesten eller når vi er rettslig forpliktet til det. Eksempler kan være:

• banker
• offentlige myndigheter
• betalingsleverandører
• tekniske tjenesteleverandører

7.Underdatabehandlere

Vi benytter eksterne leverandører for drift og levering av tjenesten. Eksempler på slike leverandører er Vercel (hosting og drift), Anthropic og OpenAI (AI-funksjonalitet og OCR), Google (e-post og støttetjenester), Resend (utsending av e-post), Sentry (feilsøking), PostHog (produktanalyse og sesjonsopptak, kun ved samtykke), Turso (database), Neonomics (bankintegrasjoner), Digitaliseringsdirektoratet (Maskinporten og ID-porten) og Slack (support og intern håndtering av henvendelser).

Oppdatert oversikt over underdatabehandlere finner du på siden Underleverandører.

8.Overføring utenfor EØS

Dersom personopplysninger behandles utenfor EØS, skjer dette i samsvar med GDPR. Der det er nødvendig benyttes EUs standard kontraktsbestemmelser (SCC) og andre lovlige overføringsgrunnlag.

9.Hvor lenge lagrer vi opplysningene?

Vi lagrer personopplysninger så lenge det er nødvendig for å levere tjenesten eller oppfylle lovpålagte krav. Regnskapsdata kan være underlagt oppbevaringskrav etter bokføringsloven.

Når du sletter kontoen din, fjernes regnskapsdataene dine, men Gromis beholder sine egne salgs- og betalingsbilag som identifiserer deg som kunde (navn, kontaktopplysninger og betalingshistorikk) så lenge bokføringsloven krever det, normalt fem år.

Sikkerhetslogger kan lagres i inntil tre år for å ivareta sikkerhet og avdekke misbruk. Når opplysninger ikke lenger er nødvendige, slettes eller anonymiseres de.

10.Support og tilgang til data

Ansatte hos Gromis AS kan få tilgang til kundedata når det er nødvendig for support, feilsøking, sikkerhet, drift og videreutvikling av tjenesten. Tilgangen begrenses til det som er nødvendig for formålet.

11.Informasjonskapsler

Vi bruker nødvendige informasjonskapsler for innlogging, sikkerhet, språkvalg og drift av tjenesten. Disse kan ikke slås av.

I tillegg bruker vi PostHog til produktanalyse og sesjonsopptak, slik at vi kan se hvordan tjenesten faktisk brukes og rette feil. Dette skjer kun dersom du aktivt samtykker. Før du har samtykket lastes ikke PostHog-koden i det hele tatt, ingen informasjonskapsler settes, og ingen data sendes. Trekker du samtykket tilbake, stopper vi all innsamling umiddelbart og nullstiller det PostHog har lagret i nettleseren din.

Sesjonsopptak lagrer en maskert gjengivelse av hvordan du beveger deg i grensesnittet: klikk, scrolling, sidevisninger og hvor elementene ligger på skjermen. All tekst og alle skjemafelter maskeres i nettleseren din før noe sendes, og kvitteringer, fakturaer, lønnsslipper, kontrakter og andre dokumenter utelates helt. Vi kan altså se hvor du klikket, men ikke hva som sto der. Opptaket er ikke anonymt: er du innlogget, knyttes det til brukerkontoen og virksomheten din, slik at vi kan følge opp en konkret feil du har meldt.

Analyse og sesjonsopptak er helt avslått på sider som åpnes med engangslenke for signering, betaling, godkjenning eller invitasjon, og i våre interne administrasjonsverktøy.

Du kan når som helst endre eller trekke tilbake valget ditt under Juridisk og personvern på profilsiden, eller via lenken Informasjonskapsler nederst på forsiden. Valget lagres i informasjonskapselen gromis_analytics_consent i inntil tolv måneder.

12.Dine rettigheter

Du kan be om innsyn, retting, sletting, begrensning av behandling, dataportabilitet og protest mot behandling. Rettighetene følger av personvernregelverket.

13.Klager

Dersom du mener at vi behandler personopplysninger i strid med regelverket, kan du kontakte oss på support@gromis.no. Du har også rett til å klage til Datatilsynet.

14.Endringer

Vi kan oppdatere denne personvernerklæringen ved behov. Vesentlige endringer varsles på e-post eller i tjenesten.