Personvernerklæring

Behandlingsansvarlig etter den sveitsiske personvernloven (DSG) er:

Fristo — et tilbud fra Hoang Nguyen
Hohfurristrasse 24, 8408 Winterthur, Sveits
datenschutz@fristo.ch

For kunder i EØS: Vi behandler data fra Sveits. EU anerkjenner at Sveits har et tilstrekkelig personvernnivå.

Denne erklæringen beskriver hva vi selv gjør med data: på nettstedet vårt, ved innlogging, fakturering og kundestøtte.

For dataene som en virksomhet registrerer i Fristo — også dataene om virksomhetens medarbeidere og eksterne firmaer og feilmeldingene via QR-klistremerker —, er virksomheten behandlingsansvarlig. Vi behandler dem på virksomhetens vegne og etter dens instrukser (forretningsvilkårene, § 8, og databehandleravtalen). Spørsmål om dette retter du best til virksomheten; det som kommer til oss, sender vi videre til den.

Konto: navn, e-postadresse, telefonnummer (frivillig), rolle, språk.

Virksomhetsdata: bygninger, anlegg, arbeidsordrer, feilmeldinger, kontrollfrister, dokumenter, bilder og tegninger og tilhørende dokumentasjon — altså det du selv registrerer.

Meldinger: Meldinger, bilder og filer som personer i en virksomhet skriver til hverandre, lagrer vi som virksomhetsdata på vegne av virksomheten. De kan leses av medlemmene i samtalen; en samtale om en arbeidsordre av alle som har lov til å se denne arbeidsordren. Virksomhetens administrasjon leser ikke direkte samtaler og grupper som den ikke er medlem av. En slettet melding mister tekst og vedlegg umiddelbart. I nettleseren kommer meldinger fram via en tjeneste fra Laravel Cloud i Frankfurt, på telefonen via Apple (avsnittet «Fristo-appen»). De lagres så lenge virksomhetens avtale løper.

Feilmeldinger uten konto: Den som melder en feil via et QR-klistremerke, oppgir en tekst og frivillig navn og e-postadresse — adressen for å få vite hvordan det går. Det opprettes ingen konto.

Forhåndsmeldinger uten konto: Eksterne firmaer melder via en lenke inn oppdraget sitt hos en virksomhet med tilleggsmodulen Adgang og nøkler — med kontaktperson, personene som kommer, og en underskrift; et renholdsfirma bekrefter arbeidet sitt i tilleggsmodulen Renhold via lenken til passet sitt. Ansvarlig er virksomheten (avsnittet «Hva virksomheten er ansvarlig for»); det opprettes ingen konto.

Innlogging: tidspunktet for siste innlogging, økten og innloggingskodene, hver med IP-adresse (avsnittet «Logger og IP-adresser»).

Aksept av vilkårene: Den som oppretter en konto, godtar forretningsvilkårene og bruksvilkårene. Vi registrerer hvem som har godtatt hvilken versjon, når og på hvilket språk.

Avtaler: Signerer du en avtale med oss i Fristo, registrerer vi navn, funksjon, e-postadresse, tidspunkt, IP-adresse og nettleseridentifikasjon som bevis.

Fakturering: fakturaadresse, nivå, fakturaer og betalinger. Kortdata ser vi aldri. Velger du QR-faktura, kontrollerer vi virksomhetens UID-nummer i det offentlige UID-registeret til det sveitsiske forbundsstatistikkontoret. Vi registrerer resultatet, virksomhetsnavnet ifølge registeret og tidspunktet og tar hensyn til betalingshistorikken din hos oss (purringer). Vi spør ikke et kredittopplysningsbyrå.

E-post til oss og adresseboken vår: Den som skriver til oss — via kontaktskjemaet eller på e-post —, står deretter i adresseboken vår med navn, e-postadresse og det vedkommende forteller oss (for eksempel firma, telefon, funksjon), i tillegg til selve meldingene. Slik finner vi igjen korrespondansen og slipper å begynne på nytt med hvert svar.

Innsyn, sletting og begrensning: Vi registrerer hvem som har bedt om hva og når, og hva vi har gjort — som bevis, i en signert protokoll.

Kontaktskjemaet og besøk på de offentlige sidene våre: i hvert sitt avsnitt nedenfor.

Til drift av applikasjonen: beregne frister, fordele arbeidsordrer, lage dokumentasjon, logge deg inn og varsle deg. I tillegg til fakturering og kundestøtte, til sikkerhet og for å finne og rette feil. Virksomhetsdataene dine blir ikke analysert til andre formål, og de blir ikke solgt til tredjeparter.

Avhengig av formålet:

Oppfyllelse av avtale (art. 31 nr. 2 bokstav a DSG, art. 6 nr. 1 bokstav b GDPR) — for driften av applikasjonen og faktureringen.

Berettiget interesse (art. 31 nr. 1 DSG, art. 6 nr. 1 bokstav f GDPR) — for sikkerhet, forebygging av misbruk og feilsøking, den anonyme tellingen av sidevisninger, spambeskyttelsen i kontaktskjemaet og oppbevaringen av dokumenter som sveitsisk rett krever.

Samtykke (art. 6 nr. 1 bokstav a GDPR) — utelukkende for besøksstatistikken med identifikator. Du kan når som helst trekke det tilbake via «Innstillinger for informasjonskapsler» nederst på hver side; det som er registrert fram til da, forblir lovlig.

Utover dette gjør vi ingenting som ville kreve samtykke: ingen annonsesporing, ingen profiler, ingen utlevering til andres formål. Vi treffer ingen automatiserte individuelle avgjørelser.

Applikasjonen og databasen kjører på servere i Frankfurt am Main (region eu-central-1), driftet via Laravel Cloud på Amazon Web Services. Der ligger også de daglige sikkerhetskopiene.

Filer — bilder, dokumenter, tegninger, dokumentasjon — ligger i en lagringstjeneste fra Cloudflare (R2) som Laravel Cloud drifter for oss. Lagringsstedet er ikke bundet til EU.

Fra et sveitsisk perspektiv er dette en utlevering til utlandet. Til statene i EØS er den tillatt fordi det sveitsiske forbundsrådet anerkjenner at de har et tilstrekkelig personvernnivå (vedlegg 1 til den sveitsiske personvernforskriften). Hva som går til USA, og hvilken garanti vi støtter oss på for det, står i neste avsnitt.

Noen av tjenesteleverandørene våre har sete i USA og kan der bli pålagt av myndighetene å utlevere data. Avtalene med dem forplikter dem til å vurdere slike anmodninger og informere oss, så langt loven tillater det. Overføringen er kryptert, og selv utleverer vi bare de dataene loven pålegger oss å utlevere.

Vi bruker tjenesteleverandører som behandler data på våre vegne. Med hver av dem har vi inngått en databehandleravtale.

– Laravel Holdings Inc. (USA) med Laravel Cloud: drift av applikasjon, database, fillagring og sikkerhetskopier. Laravel bruker til dette egne underdatabehandlere, særlig Amazon Web Services (datasentre i Frankfurt) og Cloudflare (fillagring og nettverket som videresender hver forespørsel og avverger angrep; da behandles IP-adressen din).

– Laravel Nightwatch (også Laravel Holdings Inc.): overvåking av feil og responstider. For hver forespørsel registreres den forespurte adressen, tidspunkt, varighet og resultat, i tillegg en forkortet IP-adresse og identifikatoren til den innloggede personen — ikke navnet, ikke e-postadressen og ikke det du skriver inn i skjemaer. Dessuten feilmeldinger og emnefeltet i e-poster som er sendt. Dataene ligger i EU og slettes etter 90 dager.

– cyon GmbH (Basel, Sveits): utsending av e-postene våre — innloggingskoder, varsler, mottaksbekreftelser, fakturaer. Behandlingen skjer i Sveits.

– Anthropic PBC (USA): bare når du bruker «Hent fra dokument», romgjenkjenningen i plantegningen eller modulen KI-bilagsregistrering. Det valgte dokumentet sendes til en språkmodell for analyse; forslaget kommer tilbake i et skjema som du ser og endrer før du lagrer. Anthropic bruker etter avtalen ikke dataene til trening og sletter inndata og resultater innen 30 dager — med mindre selskapet må oppbevare dem lenger på grunn av misbruk eller fordi loven krever det. Den samme modellen kan hjelpe oss med å formulere svar på meldingene dine; da sendes teksten i meldingen med.

– Stripe Payments Europe Ltd. (Irland): kortbetalinger, så snart du betaler et betalt abonnement med kort. Kortdata går direkte til Stripe; vi ser og lagrer dem aldri. For forebygging av svindel og lovpålagte plikter er Stripe selv behandlingsansvarlig og overfører data til Stripe Inc. (USA) for dette formålet.

– Google LLC (USA): reCAPTCHA i kontaktskjemaet (avsnittet «Kontaktskjemaet og spambeskyttelsen»).

– Apple (Apple Distribution International Ltd., Irland, og Apple Inc., USA): levering av varsler til Fristo-appen. Apple baserer overføringen til USA på EU-kommisjonens standardkontraktsbestemmelser.

Innbetalinger på QR-fakturaer henter PostFinance AG (Bern) for oss; som bank behandler den dataene på eget ansvar.

For vår egen kommunikasjon og administrasjon — e-post, kontorprogrammer, regnskap, forsendelse — bruker vi vanlige tjenester med sete eller datasentre i Sveits og EU. Det du skriver til oss, ligger der.

Til USA går data til Laravel, Cloudflare, Anthropic, Stripe, Google og Apple. Laravel, Cloudflare, Stripe og Google er sertifisert under EU-US Data Privacy Framework og den tilhørende Swiss-US-delen; for sertifiserte selskaper anerkjenner Sveits og EU et tilstrekkelig beskyttelsesnivå. For Anthropic gjelder EU-kommisjonens standardkontraktsbestemmelser i den versjonen som er anerkjent av det sveitsiske personvernombudet (EDÖB); det samme gjelder i tillegg for alle de andre dersom en sertifisering faller bort.

Utover dette gir vi ikke data videre — med mindre loven pålegger oss det.

Ved hver forespørsel behandler vertsleverandøren vår og nettverket dens IP-adressen din for å levere siden og avverge angrep.

Selv begrenser vi innloggingsforsøk, feilmeldinger og henvendelser via kontaktskjemaet per IP-adresse; disse tellerne utløper etter høyst én time. Sammen med en innloggingskode lagrer vi e-postadressen og IP-adressen din og sletter begge etter 30 dager. Økten din kan inneholde IP-adresse og nettleseridentifikasjon; den avsluttes to timer etter siste sidevisning. Signerer du en avtale i Fristo, registrerer vi IP-adresse og nettleseridentifikasjon som bevis så lenge avtalen skal oppbevares.

Utover dette lagrer vi ingen IP-adresse — heller ikke i kontaktskjemaet eller ved feilmeldinger via et QR-klistremerke.

Så lenge kontoen din finnes. Etter at avtalen er avsluttet, er virksomhetens data fortsatt tilgjengelige en tid, men bare i lesemodus, slik at du kan eksportere dem fullstendig — minst 30 dager og høyst ett år; den nøyaktige fristen oppgir vi i forbindelse med oppsigelsen. Deretter sletter vi dem. Dokumentasjon du selv har arkivert, forblir uendret lesbar fram til da.

Sikkerhetskopiene går én måned tilbake; eldre sikkerhetskopier slettes. Så lenge kan slettede data fortsatt finnes der.

Innloggingskoder: 30 dager. Henvendelser fra kontaktskjemaet og e-post til oss, inkludert korrespondansen om dem: to år etter siste melding — da sletter vi dem automatisk, og sammen med dem oppføringen i adresseboken, med mindre du er kunde eller forretningspartner. Besøksstatistikk med identifikator: 14 måneder. Protokoller over innsyn, sletting og begrensning: ti år, som bevis.

Fakturaer og regnskapsbilag oppbevarer vi i ti år, fordi den sveitsiske obligasjonsretten krever det (art. 958f OR). Signerte avtaler og aksepten av vilkårene oppbevarer vi så lenge krav som følger av dem, ennå ikke er foreldet — inntil ti år etter at avtalen er avsluttet (art. 127 OR).

Tekniske og organisatoriske tiltak etter dagens tekniske standard:

Kryptert overføring (TLS) på alle forbindelser.

Innlogging uten passord — med engangskode eller passnøkkel. Med en passnøkkel blir fingeravtrykk og ansikt værende på enheten din; vi mottar dem aldri.

Virksomhetene er skilt fra hverandre på databasenivå, ikke først i brukerflaten.

Daglige sikkerhetskopier og loggført tilgang for kundestøtten.

Fullstendig sikkerhet kan ingen garantere. Oppdager vi et brudd på personopplysningssikkerheten som berører deg, informerer vi deg og — der loven krever det — tilsynsmyndigheten.

Ved første besøk spør vi deg hvilke informasjonskapsler du tillater. Valget ditt kan du når som helst endre via «Innstillinger for informasjonskapsler» nederst på hver side.

Nødvendige — alltid aktive, fordi siden ikke fungerer uten dem:
– fristo-session: økten og innloggingen din, to timer etter siste sidevisning
– XSRF-TOKEN: beskyttelse mot misbruk av skjemaer, like lenge
– appearance: valget ditt av utseende, ett år; sidebar_state: om sidepanelet i applikasjonen er åpent, sju dager
– fristo_consent: svaret ditt på dette spørsmålet, ett år
– fristo_reinigung: passet til et renholdsfirma på telefonen som åpnet lenken til passet, ett år

Analyse — bare med ditt samtykke:
– fristo_av: en tilfeldig identifikator som vi gjenkjenner gjentatte besøk på, ett år. Den inneholder ingenting om deg og leses bare på de offentlige sidene våre.

I tillegg lagrer siden følgende i nettleserens lagringsplass (ikke som informasjonskapsel, og uten å sende det til oss): innstillingene dine for lesehjelp, valgt valuta for prisene og valget ditt for informasjonskapsler.

Vi setter ingen informasjonskapsler for tredjeparter. Eneste unntak er Google reCAPTCHA: Den lastes så snart avsnittet med kontaktskjemaet vises på skjermen, og kan da sette egne informasjonskapsler (avsnittet «Kontaktskjemaet og spambeskyttelsen»).

Det du skriver i skjemaet — navn, e-postadresse, frivillig virksomhet og telefon, meldingen din —, lagrer vi for å kunne svare. Henvendelsen og korrespondansen om den sletter vi automatisk to år etter siste melding.

Mot masseutsendelser bruker vi Google reCAPTCHA v3. Så snart avsnittet med skjemaet vises på skjermen, laster nettleseren din inn et skript fra Google. Fra da av går tekniske opplysninger om enheten din og atferden din på siden til Google — også til USA —, og når du sender skjemaet, regnes de om til en poengsum som sier hvor sannsynlig det er at du er et menneske. Grunnlaget er vår berettigede interesse i et skjema som forblir tilgjengelig (art. 31 nr. 1 DSG, art. 6 nr. 1 bokstav f GDPR); for overføringen til USA støtter vi oss på EU-US Data Privacy Framework og den tilhørende Swiss-US-delen, som Google er sertifisert under.

I tillegg gjelder Googles personvernerklæring og vilkår for bruk (policies.google.com). Fra denne kontrollen lagrer vi bare poengsummen, for å kunne vurdere om terskelen er riktig satt. Holder spambeskyttelsen tilbake henvendelsen din, når du oss på e-post til email@fristo.ch.

Vi vil vite hvordan de offentlige sidene våre — forsiden, de juridiske sidene, registreringen — blir brukt, for å kunne forbedre dem. Til det finnes det to nivåer.

Uten samtykke teller vi anonymt: én linje per dag med side, språk, enhetstype (telefon eller datamaskin) og navnet på nettstedet den besøkende kom fra — og en teller. Ingen IP-adresse, ingen identifikator i nettleseren din, intet klokkeslett. Ut fra dette kan ingen besøk spores tilbake, heller ikke av oss.

Med ditt samtykke registrerer vi i tillegg for hver sidevisning:
– den tilfeldige identifikatoren fra informasjonskapselen fristo_av og en identifikator for økten
– siden som ble åpnet, med adressen, inkludert kampanjeopplysninger (utm)
– siden du kom fra
– nettleser, operativsystem og enhetstype, utledet fra identifikasjonen som nettleseren din sender med
– land og, der det er tilgjengelig, by — fastslått ut fra IP-adressen av nettverket som ligger foran vertsleverandøren vår
– språk, tidspunkt og hvor raskt siden svarte

Det som ikke lagres, er IP-adressen din (heller ikke kryptert eller forkortet), navnet ditt, e-postadressen din eller en kobling til en konto. Dataene ligger hos vertsleverandøren vår i Frankfurt, blir ikke gitt videre og slettes etter 14 måneder.

Bak innloggingen finnes det ingen besøksstatistikk og ingen analyse av atferden din. For at Fristo skal fungere pålitelig, registrerer vi der tekniske opplysninger om hver forespørsel — hvilken side, hvor raskt, om det oppstod en feil (Nightwatch, avsnittet «Hvem andre som har tilgang»).

Vi informerer kontoene til kundene våre i Fristo om nye funksjoner, vedlikehold og driftsforstyrrelser, inviterer til arrangementer og sender en hilsen på helligdager. Et slikt rundskriv vises blant varslene og under «Nyheter»; viktige rundskriv sender vi i tillegg per e-post eller som varsel til telefonen (avsnittet «Fristo-appen»).

Til dette bruker vi det kontoen din allerede inneholder — navn, språk, rolle og virksomhet —, slik at et rundskriv når de riktige personene, på deres språk og med navnet deres. For hver person registrerer vi om og når vedkommende har åpnet det, om det allerede er vist ved åpning av Fristo, og om det er sendt per e-post: Slik regnes det som lest og vises ikke to ganger. Bare antallet blir analysert, aldri den enkelte personen — vi ser hvor mange som har åpnet et rundskriv, ikke hvem. Vi registrerer ikke om du åpner en e-post.

Du kan når som helst melde deg av rundskriv per e-post om arrangementer, helligdager og nye funksjoner — via lenken i hver e-post med rundskriv eller i Fristo under «Nyheter». I selve Fristo vises de fortsatt. Unntatt er meldinger om driftsforstyrrelser, vedlikehold og rettelser og personlige meldinger om avtalen din: De er en del av tjenesten vår og kommer også etter at du har meldt deg av.

Bilder i rundskriv ligger på en offentlig adresse med et tilfeldig navn, den samme for alle mottakere — ellers ville e-postprogrammet ditt ikke vise dem. De inneholder ingen data fra virksomheter.

En språkmodell fra Anthropic kan foreslå og oversette teksten for oss (avsnittet «Hvem andre som har tilgang»). Dit går bare våre egne tekster, ingen opplysninger om deg eller virksomheten din.

Grunnlaget for meldinger om driftsforstyrrelser, vedlikehold, rettelser og avtalen din er oppfyllelse av avtale (art. 31 nr. 2 bokstav a DSG, art. 6 nr. 1 bokstav b GDPR); for de øvrige rundskrivene er det vår berettigede interesse i å informere kundene våre om Fristo (art. 31 nr. 1 DSG, art. 6 nr. 1 bokstav f GDPR).

Appen for iPhone er enda en tilgang til den samme applikasjonen; alt i denne erklæringen gjelder også for den. I tillegg gjelder:

Enhet: Ved sammenkobling registrerer vi hva enheten er («iPhone»), versjonene av appen og operativsystemet, et navn som «iPhone til Marco» og når den sist ble brukt. Slik ser du og virksomheten din i Fristo hvilke enheter som er logget inn, og kan logge ut hver enkelt. En enhet som ikke er brukt på 90 dager, logges ut automatisk — i virksomheter med eget innloggingssystem etter 30 dager.

Varsler: Tillater du varsler, får appen en ID fra Apple som vi sender varsler til — for eksempel «Ny arbeidsordre til deg» med tittel og sted for arbeidsordren, eller en ny melding med avsender og begynnelsen av teksten. De leveres via Apples push-tjeneste. Når du logger ut, sletter vi ID-en.

Kamera og bilder: Kameraet leser QR-koder på enheten; bare den gjenkjente koden overføres. Bilder du tar ved en arbeidsordre, en feilmelding eller i en samtale, eller velger fra bildene dine, går til Fristo som et bilde lastet opp i nettleseren.

Diktering: Talegjenkjenningen skjer på enheten. Bare den gjenkjente teksten overføres, aldri opptaket.

Face ID og kode: Kontrollen gjøres av operativsystemet. Appen får bare vite om den lyktes.

På enheten: For at du skal kunne arbeide uten dekning, lagrer appen dine egne arbeidsordrer med tilhørende bygninger, anlegg og dokumenter samt registreringer som ennå ikke er sendt — med operativsystemets filbeskyttelse. Widgeter, låseskjermen og Dynamic Island viser bare det som allerede ligger på enheten. Når du logger ut, sletter appen alt dette.

Ingen reklame, ingen sporing: Appen inneholder ingen reklame og ingen analyse- eller sporingstjenester fra tredjeparter.

Nedlasting og oppdateringer skjer via App Store; det er Apple selv ansvarlig for.

Du kan kreve innsyn i dataene dine og en kopi av dem, få dem rettet, slettet eller begrenset og motta dem i et alminnelig brukt elektronisk format for å gi dem videre (art. 25, 28 og 32 DSG, art. 15 til 20 GDPR).

Det meste klarer du uten oss. Innsynsrapporten laster du ned i profilen din under «Dine data» — en signert PDF til å lese og en JSON-fil til å gi videre; for hele virksomheten gjør administrasjonen det under «Brukerstøtte og personvern». Opplysningene dine retter du i profilen; dataene til hele virksomheten laster administrasjonen ned fullstendig med dataeksporten. Sletting og begrensning ber du om på de samme stedene; vi utfører dem innen 30 dager og sender deg en signert protokoll. Begrenset betyr: Dataene dine forblir lagret og lesbare, men de blir ikke lenger endret eller behandlet videre.

Det vi må oppbevare som bevis, blir værende også etter en sletting — fakturaer, signerte avtaler og aksepten av vilkårene (avsnittet «Hvor lenge»). Der virksomheten din viser til deg i sine dokumenter — arbeidsordrer, tilbakemeldinger, dokumentasjon —, står det deretter «Ex-Mitarbeiter/in» (tidligere medarbeider). Opplæringer i medisinsk utstyr beholder navn, ansattnummer og underskrift, fordi virksomheten oppbevarer dem som dokumentasjon for utstyret (utstyrsjournal).

Uten konto eller ved spørsmål: datenschutz@fristo.ch. Gjelder det data som en virksomhet har registrert i Fristo, er virksomheten behandlingsansvarlig; ber du om sletting eller begrensning i applikasjonen, informerer vi virksomheten, og den kan protestere innen ti dager. Kommer du ikke videre, kan du henvende deg til det sveitsiske føderale personvern- og offentlighetsombudet (edoeb.admin.ch); i EØS til tilsynsmyndigheten som er ansvarlig for deg.

Der vi støtter oss på en berettiget interesse, kan du når som helst protestere mot behandlingen — av grunner som har sammenheng med din særlige situasjon. Det er nok med en melding til datenschutz@fristo.ch. Vi behandler da ikke dataene videre, med mindre det foreligger tvingende grunner for behandlingen som veier tyngre enn dine interesser, eller vi trenger dataene for å gjøre gjeldende eller forsvare rettskrav.

I det daglige ser vi dataene dine bare når du synlig gir tilgang for en bestemt sak. Tilgangen er tidsbegrenset og blir loggført; loggen kan du se.

Unntatt er det som er nødvendig uten at du har gitt tilgang: å rette en driftsforstyrrelse eller en sikkerhetshendelse, å gjenopprette en sikkerhetskopi, å følge opp et tips om misbruk eller å oppfylle en lovpålagt plikt. Slike tilganger begrenser vi til det nødvendige, og vi registrerer dem.

Vi tilpasser denne erklæringen når applikasjonen eller rettstilstanden endres. Øverst står det når den sist ble oppdatert. Ved vesentlige endringer informerer vi administrasjonen i virksomhetene per e-post eller i applikasjonen.