Personvernerklæring

Blixtgo Agency AB, svensk organisasjonsnummer 559069-9038, Drottninggatan 6A, 212 11 Malmö, Sverige, leverer tjenesten Blixtflow og nettstedet blixtflow.com. Vi er behandlingsansvarlig for behandlingen som beskrives i denne erklæringen.

Send spørsmål om personvern til hello@blixtflow.com. Vi svarer vanligvis innen en uke og senest innen en måned.

Det er viktig å skille mellom to situasjoner:

• Vi er behandlingsansvarlig for opplysninger om besøkende på nettstedet, personer som kontakter oss, kundenes kontaktpersoner og Brukere (for eksempel konto, innlogging, fakturering og support), og for hvordan vår egen tjeneste fungerer og beskyttes.
• Vi er databehandler når en virksomhet bruker Blixtflow til å kommunisere med kundene sine. Hvis du har sendt e-post, chattet, ringt eller sendt SMS til en virksomhet som bruker Blixtflow, er den virksomheten behandlingsansvarlig for opplysningene dine. Vi behandler dem bare etter virksomhetens instruks og i henhold til vår databehandleravtale. Vil du utøve rettighetene dine i et slikt tilfelle, ta først kontakt med virksomheten – vi hjelper gjerne virksomheten med å svare deg.

Vi samler ikke inn posisjonsdata, kontakter fra telefonen din eller sensitive personopplysninger (som helseopplysninger) til egne formål.

Der vi bygger på berettiget interesse, har vi veid vår interesse mot ditt personvern og kommet til at vår interesse veier tyngst. Du har rett til å protestere – se avsnittet om rettighetene dine.

Når virksomheter bruker Blixtflow, omfatter dataene som behandles e-post, chatmeldinger, SMS, meldinger via WhatsApp, Messenger og Instagram, samtaler med opptak og transkripsjoner, kontaktopplysninger, bestillinger, bookinger og vedlegg. Virksomheten bestemmer hvilke kanaler som kobles til og hvor lenge data lagres.

Vi behandler disse dataene bare som databehandler, i henhold til databehandleravtalen. Vi ser ikke på innholdet, unntatt når det er nødvendig for å løse en supportsak kunden har bedt om, og da via en logget supportmodus.

Blixtflow har AI-funksjoner som AI-resepsjonisten, chatboten, svarforslag og sammendrag. For disse gjelder:

• Personnumre, kortnumre og IBAN-numre maskeres automatisk før tekst sendes til AI-tjenesten.
• Data som sendes til AI-behandling, brukes bare til å lage svaret til kunden – ikke til å trene generelle AI-modeller, verken av oss eller av AI-leverandørene våre.
• AI-en treffer ingen avgjørelser som har rettsvirkning eller tilsvarende betydelige følger for deg (art. 22 GDPR).
• Virksomheter som bruker AI-resepsjonisten eller chatboten, må fortelle kundene sine at de snakker med en AI.

Hvis du velger å koble en Google-konto til Blixtflow – for eksempel Gmail for å motta og sende e-post i innboksen, eller Google Kalender for å synkronisere møter – får Blixtflow, med din uttrykkelige godkjenning via Google-innlogging, tilgang til dataene som tillatelsen omfatter.

Hva vi får tilgang til og hvorfor

• E-post (Gmail): meldinger, overskrifter (headere), vedlegg og etiketter i innboksen du kobler til – for å vise dem i den felles innboksen, la teamet ditt svare og sende svar fra adressen din.
• Kalender: hendelser i kalenderne du velger – for å vise ledige tider, la AI-resepsjonisten booke og speile møter mellom Blixtflow og Google Kalender.
• Grunnleggende profil: navn, e-postadresse og profilbilde – for å identifisere den tilkoblede kontoen.

Slik bruker, lagrer og deler vi dataene

• Dataene brukes bare til å levere og forbedre de brukerrettede funksjonene i Blixtflow som du ser og bruker.
• De lagres kryptert i Tjenesten så lenge tilkoblingen og kontoen finnes. Tilgangstokener lagres kryptert og slettes når du kobler fra kontoen.
• De deles ikke med tredjeparter, unntatt med de underdatabehandlerne som trengs for å drive Tjenesten, når loven krever det, eller med ditt uttrykkelige samtykke.
• De brukes aldri til annonsering, selges aldri og brukes ikke til å trene generelle AI- eller maskinlæringsmodeller.
• Ingen mennesker leser dataene, unntatt når du uttrykkelig har bedt oss om det (for eksempel i en supportsak), når det er nødvendig av sikkerhetshensyn, eller for å overholde loven.

Blixtflows bruk og overføring til andre apper av informasjon mottatt fra Google API-er følger Google API Services User Data Policy, inkludert kravene om begrenset bruk (Limited Use).

Du kan når som helst koble fra Google i Blixtflow under Innstillinger → Kanaler, eller fjerne Blixtflows tilgang på myaccount.google.com/permissions. Hentede data slettes da som beskrevet i avsnittet om sletting nedenfor.

Hvis en virksomhet kobler en Facebook-side, en Instagram-konto eller WhatsApp Business til Blixtflow, behandler vi meldinger, kommentarer, avsenderens navn og profilbilde samt bilder og vedlegg, slik at de kan vises og besvares i innboksen. Hvis virksomheten publiserer innlegg via Blixtflow, sendes tekst og bilder til Meta for publisering.

Dataene brukes bare til å levere disse funksjonene. Virksomheten kan koble fra kontoen i Blixtflow eller i Metas innstillinger. Veiledning for sletting av data finnes i avsnittet Slett dataene dine.

Mobilappen samler ikke inn statistikk og inneholder ingen sporere. Når du logger inn, sendes enhetens navn, modell, plattform og appversjon til oss, slik at du kan se enhetene dine og logge dem ut. Hvis du tillater varsler, opprettes et push-token som brukes til å levere varsler via Expo og Apple (iPhone) eller Google (Android). Innholdet i varsler kan skjules på låseskjermen.

Innloggingen din lagres kryptert i telefonens sikre lagring, og data som mellomlagres for bruk uten nett, er kryptert. Alt fjernes fra telefonen når du logger ut. Appen ber bare om tilgang til kamera og bilder når du vil legge ved en fil.

Vi selger aldri personopplysninger. Vi deler dem bare når det er nødvendig:

• Underdatabehandlere som hjelper oss med å drive Tjenesten, for eksempel hosting, e-post, SMS, varsler og AI. Den gjeldende listen finnes på siden Underdatabehandlere. Alle er bundet av avtaler som beskytter dataene.
• Tjenester du selv kobler til, for eksempel Google, Microsoft, Meta eller en nettbutikk. Deres vilkår og personvernerklæringer gjelder da også.
• Myndigheter og andre når loven krever det, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.
• Ved en virksomhetsoverdragelse til en kjøper som fortsetter å behandle dataene i henhold til denne erklæringen.

Vi tar sikte på å behandle personopplysninger innenfor EU/EØS. Noen underdatabehandlere kan behandle data i land utenfor EU/EØS, for eksempel USA. Da sørger vi for at overføringen er lovlig gjennom en beslutning om tilstrekkelig beskyttelsesnivå fra EU-kommisjonen (som EU-US Data Privacy Framework for sertifiserte selskaper) eller EU-kommisjonens standardpersonvernbestemmelser, supplert med ytterligere garantier der det trengs. Siden Underdatabehandlere viser hvor hver underdatabehandler behandler data, og hvilken garanti som gjelder.

• Kryptert overføring (HTTPS/TLS) og kryptering av nøkler og vedlegg.
• Passord lagres med Argon2id, og innloggingstokener bare som hasher.
• Totrinnsbekreftelse, sperring etter gjentatte mislykkede innlogginger og utlogging ved inaktivitet.
• Rollebasert tilgang, private kanaler og full isolasjon mellom ulike virksomheters data.
• E-post vises isolert, og sporingspiksler blokkeres som standard.
• Avspilling av samtaleopptak logges.

Hvis det likevel skulle oppstå et brudd på personopplysningssikkerheten som kan innebære en risiko for deg, melder vi det til den svenske personvernmyndigheten (Integritetsskyddsmyndigheten, IMY) innen 72 timer og informerer deg når det kreves.

Etter GDPR har du rett til

• innsyn i opplysningene dine,
• retting av uriktige opplysninger,
• sletting av opplysninger («retten til å bli glemt») når de ikke lenger er nødvendige eller behandlingen mangler rettslig grunnlag,
• begrensning av behandlingen, for eksempel mens en protest vurderes,
• protest mot behandling basert på berettiget interesse, og alltid mot direkte markedsføring,
• dataportabilitet – å motta opplysninger du har gitt, i et maskinlesbart format, og
• tilbaketrekking av samtykke der behandlingen bygger på samtykke, uten at det påvirker behandling som allerede har funnet sted.

Send forespørselen din til hello@blixtflow.com. Vi kan måtte bekrefte identiteten din. Vi svarer innen en måned; i kompliserte saker kan fristen forlenges med ytterligere to måneder, og i så fall gir vi deg beskjed.

Slik får du dataene dine slettet:

• Blixtflow-brukere: logg inn og velg Konto → Slett konto (i appen: Mer → Sikkerhet → Slett konto). Kontoen og personopplysningene dine slettes. Samtaler du har jobbet med, tilhører virksomheten din og blir værende hos virksomheten.
• Virksomheter (kunder): en administrator kan si opp abonnementet og be om sletting av hele arbeidsområdet. Data slettes senest 30 dager etter at avtalen er avsluttet.
• Tilkoblede Google- eller Meta-kontoer: koble fra kontoen under Innstillinger → Kanaler. Data hentet fra kontoen slettes innen 30 dager, med mindre virksomheten har valgt å beholde samtalehistorikken.
• Hvis du har kontaktet en virksomhet som bruker Blixtflow: kontakt virksomheten, som er ansvarlig for opplysningene dine. Du kan også skrive til oss, så videresender vi forespørselen din.
• Alle andre: send e-post til hello@blixtflow.com med emnet «Slett dataene mine» og oppgi e-postadressen eller telefonnummeret det gjelder.

Vi bekrefter slettingen innen 30 dager. Opplysninger vi er lovpålagt å oppbevare, som regnskapsmateriale, slettes når oppbevaringstiden er ute.

Nettstedet blixtflow.com bruker ingen cookies til sporing, statistikk eller annonsering. Selve tjenesten bruker bare cookies som er nødvendige for innlogging og sikkerhet. Les mer i cookieerklæringen vår.

Blixtflow er en tjeneste for virksomheter og er ikke rettet mot barn. Vi samler ikke bevisst inn personopplysninger om barn under 16 år til egne formål.

Hvis du er misfornøyd, ta gjerne kontakt med oss først, så prøver vi å løse det. Du har alltid rett til å klage til den svenske personvernmyndigheten, Integritetsskyddsmyndigheten (IMY), Box 8114, SE-104 20 Stockholm, Sverige, www.imy.se, eller til personvernmyndigheten i EU/EØS-landet der du bor eller arbeider.

Vi oppdaterer erklæringen når behandlingen vår endres eller loven krever det. Dato og versjon står øverst. Ved vesentlige endringer informerer vi kunder og Brukere via e-post eller i Tjenesten før endringen trer i kraft.