Personvernerklæring

Flyt (lett.nu) er en tjeneste levert av Agens AS. Vi er forpliktet til å beskytte personvernet ditt. Denne personvernerklæringen forklarer hvordan vi samler inn, bruker, lagrer og beskytter dine personopplysninger i samsvar med personopplysningsloven og EUs personvernforordning (GDPR).

Behandlingsansvarlig for personopplysningene som behandles i tjenesten er:

Agens AS
Org.nr: 932 037 877
E-post: personvern@agens.no

Vi samler inn personopplysninger når du oppretter en konto og bruker tjenesten. Dette inkluderer:

• Kontoinformasjon: Navn og e-postadresse.
• Lydopptak og transkripsjoner: Lydopptak du tar opp eller laster opp, samt transkripsjoner generert fra disse. Lagres i sikker objektlagring på europeisk infrastruktur.
• Notater: AI-genererte og manuelt redigerte møtereferater, inkludert oppsummeringer, beslutninger og aksjonspunkter.
• Organisasjonsinformasjon: Navn på organisasjonen din og medlemskap.
• Autentiseringsdata: Intern bruker-ID i vårt selvhostede ZITADEL, samt hvilken innloggingsmetode du brukte (GitHub eller Google) og tilhørende ekstern bruker-ID. Vi lagrer ikke passord.
• Tekniske data: AI-brukshistorikk (operasjonstype, tokenforbruk) for drift og feilsøking.

Vi behandler personopplysningene dine for følgende formål:

• Levering av tjenesten (GDPR art. 6(1)(b) — avtale): Opprette og administrere din konto, transkribere lydopptak, generere møtereferater, og lagre notater.
• Sikkerhet og drift (GDPR art. 6(1)(f) — berettiget interesse): Logging av feil, overvåking av tjenesten, og forebygging av misbruk.

Flyt bruker AI-leverandører for to formål: transkripsjon (tale-til-tekst) og notatgenerering (oppsummering, aksjonspunkter osv.). Data som sendes til disse leverandørene behandles i henhold til databehandleravtaler, og brukes ikke til å trene modellene deres.

I produksjon i dag bruker vi Gladia (EU) for transkripsjon og OpenAI for notatgenerering. I tillegg er OpenAI Whisper og AssemblyAI tilgjengelige som alternative transkripsjonsleverandører.

Hvilken AI-leverandør som brukes kan konfigureres per organisasjon. Organisasjonens aktive leverandører vises i innstillingene i tjenesten. Vi varsler kunder om vesentlige endringer i underleverandørlisten.

Vi bruker følgende tredjepartsleverandører i driften av tjenesten:

I tillegg driver vi flere sentrale komponenter selv på Hetzner-infrastrukturen i Finland, i stedet for å bruke tredjepartstjenester: autentisering (ZITADEL), objektlagring (Garage, S3-kompatibel) og nøkkelhåndtering (HashiCorp Vault). Disse behandler data innenfor vår egen infrastruktur og er ikke underleverandører.

For overføringer til land utenfor EØS (USA) baserer vi oss på EU-US Data Privacy Framework eller EUs standardkontrakter (SCCs). Vi varsler kunder om vesentlige endringer i underleverandørlisten.

Applikasjon, database og objektlagring er hostet på Hetzner Cloud i Helsinki. All kommunikasjon mellom deg og tjenesten er kryptert med TLS.

Applikasjons-kryptering av sensitivt innhold. Notater, transkripsjoner og tekst hentet ut fra opplastede filer krypteres på applikasjonsnivå før de lagres i databasen. Hver verdi får en engangs datakrypteringsnøkkel (DEK), og DEK-en krypteres igjen med en masternøkkel (KEK) som oppbevares utenfor databasen i vår selvhostede HashiCorp Vault. Dette mønsteret kalles envelope-kryptering. Konsekvensen er at selv et fullstendig databasedump ikke avslører innholdet — man trenger også tilgang til Vault for å kunne dekryptere.

Egen infrastruktur for auth og nøkler. Autentisering (ZITADEL) og nøkkelhåndtering (Vault) driver vi selv på samme Hetzner-infrastruktur. Ingen tredjepart har tilgang til brukerdatabasen eller krypteringsnøklene.

Oppbevaringstid. Personopplysningene dine lagres så lenge du har en aktiv konto. Råopptak (lyd) og opplastede filer slettes i henhold til organisasjonens oppbevaringspolicy. Du kan når som helst slette en enkelt notat eller hele kontoen selv — da fjernes tilhørende lyd, transkripsjon og notat umiddelbart. Driftslogger oppbevares i opptil 30 dager.

Du har rett til innsyn, retting, sletting, dataportabilitet, innsigelse og begrensning av behandling etter GDPR.

Kontakt oss på personvern@agens.no for å utøve dine rettigheter. Vi svarer innen 30 dager.

Du kan også klage til Datatilsynet.