Personvernerklæring – kontodata

Denne erklæringen beskriver hvordan Specly behandler personopplysninger knyttet til brukerkontoen din («kontodata»), og hvem som er ansvarlig for behandlingen. Innholdet du eller din organisasjon legger inn i prosjekter («Prosjektinnhold») behandles alltid på vegne av organisasjonen din, som er behandlingsansvarlig for det.

1. Hvem er behandlingsansvarlig

Hvem som er ansvarlig for kontodataene dine avhenger av hvordan du bruker Specly:

• Du bruker Specly gjennom organisasjonen din (arbeidsgiver eller oppdragsgiver som har inngått databehandleravtale med Devly Consulting AS). Da er organisasjonen din behandlingsansvarlig for både kontodata og Prosjektinnhold, og Devly Consulting AS behandler opplysningene som databehandler på organisasjonens vegne og etter dens instrukser. Organisasjonen bestemmer hvem som får konto, hvilke roller de har, og når kontoen slettes. Denne erklæringen er da informasjon om hvordan Devly Consulting AS utfører behandlingen for organisasjonen; rettighetene dine (punkt 7) utøves overfor organisasjonen.
• Du har registrert deg selv uten en organisasjonsavtale (f.eks. for å prøve tjenesten). Da er Devly Consulting AS behandlingsansvarlig for kontodataene dine.

Uavhengig av dette er Devly Consulting AS selv behandlingsansvarlig for tekniske driftslogger og sikkerhetsovervåking av plattformen (punkt 2 og 3), og for kontaktopplysninger om kundeforholdet.

Devly Consulting AS, org.nr. 935 656 362, Breigata 21, 0187 Oslo, leverer tjenesten under produktnavnet/varemerket Specly. Spørsmål om denne erklæringen kan rettes til hei@specly.no.

2. Hvilke opplysninger vi samler inn

Når du oppretter en brukerkonto og logger inn i Specly, lagrer vi:

• Brukerprofil: navn, e-postadresse, om e-postadressen er verifisert, og et eventuelt profilbilde.
• Sesjonsdata: en sesjonsidentifikator, når sesjonen utløper, opprettelses- og oppdateringstidspunkt, samt IP-adresse og user-agent (nettleser/klient) knyttet til innloggingen – brukt til å holde deg innlogget og oppdage mistenkelig aktivitet.
• Innloggingsmetode: teknisk kobling mellom brukerkontoen og innloggingsmetoden (passord, eller SSO via organisasjonens identitetsleverandør), inkludert et hashet passord der du bruker passordinnlogging. Vi lagrer aldri passordet ditt i klartekst.
• Roller og tilganger: hvilke systemroller og prosjektmedlemskap kontoen din har, slik at tjenesten kan vise deg riktig innhold og håndheve tilgangsstyring.
• Brukerpreferanser: UI-innstillinger (f.eks. språk, sidepanel-layout) knyttet til kontoen din, for å gi en konsistent opplevelse på tvers av økter.
• Revisjonslogg: hvilke handlinger kontoen din har utført i tjenesten (innlogging, endringer i medlemskap og roller, import/eksport, innholdsendringer) og når. Loggen er tilgjengelig for administratorene i organisasjonen din.
• Tekniske driftslogger: feilsøkings- og sikkerhetslogger fra tjenesten, med bruker-ID, IP-adresse og tidspunkter. Ved innlogging, invitasjoner og e-post til support kan også e-postadressen stå i loggen. Disse behandler Devly Consulting AS på egne vegne for å drifte og sikre plattformen.
• Feilrapporter og tilbakemeldinger du sender fra appen: teksten du skriver, nettleser, siste tekniske feilmeldinger, og e-postadressen din bare hvis du ber om svar.
• Henvendelser til hei@specly.no: innholdet i e-posten og avsenderadressen.

3. Formål og rettslig grunnlag

Formål	Rettslig grunnlag
Autentisering og pålogging	Oppfyllelse av avtale (GDPR art. 6 nr. 1 bokstav b) – nødvendig for å levere tjenesten du/din organisasjon har inngått avtale om
Sesjonshåndtering og sikkerhet (f.eks. å oppdage mistenkelig innlogging)	Berettiget interesse (art. 6 nr. 1 bokstav f) i å beskytte tjenesten og dine data
Tilgangsstyring (roller/prosjektmedlemskap)	Oppfyllelse av avtale
Lagring av UI-preferanser	Berettiget interesse i å gi deg en bedre brukeropplevelse
Revisjonslogg over handlinger	Oppfyllelse av avtale – organisasjonen din trenger sporbarhet i eget innhold
Tekniske driftslogger og sikkerhetsovervåking (Devly Consulting AS som behandlingsansvarlig)	Berettiget interesse (art. 6 nr. 1 bokstav f) i å drifte, feilsøke og sikre plattformen

Når organisasjonen din er behandlingsansvarlig, er det organisasjonen som vurderer og dokumenterer det rettslige grunnlaget for sine ansatte; tabellen over beskriver grunnlaget slik Devly Consulting AS legger det til grunn.

4. Hvor lenge lagres opplysningene

• Sesjoner utløper etter 7 dager fra siste fornyelse, og fornyes automatisk (rullerende, med et intervall på 1 dag) ved aktiv bruk. En sesjon kan også avsluttes tidligere ved utlogging.
• Brukerprofil, roller og preferanser lagres så lenge kontoen din er aktiv, og slettes når kontoen slettes – av organisasjonens administrator, eller på din egen forespørsel der Devly Consulting AS er behandlingsansvarlig.
• Revisjonsloggen tilhører organisasjonen. Den beholdes når en enkelt konto slettes, og slettes sammen med organisasjonen.
• Når en organisasjons avtale med Specly opphører, kan organisasjonen eksportere innholdet i 30 dager. Deretter slettes organisasjonens kontoer og alt innhold.
• Tekniske driftslogger slettes automatisk etter 30 dager.
• Sikkerhetskopier av databasen slettes automatisk innen tre uker.
• Feilrapporter og e-post til support lagres så lenge de trengs for å følge opp saken.

5. Hvem opplysningene deles med

Kontodata behandles av Specly og av infrastrukturleverandøren UpCloud (applikasjon og database i Norge, sikkerhetskopier, logger og opplastede bilder i Sverige). Når vi sender deg e-post (e-postverifisering, invitasjoner, passordkoder), går navn og e-postadresse via e-postleverandøren Lettermint i Nederland. E-post du sender til hei@specly.no tas imot av Lettermint og leveres til en innboks hos Infomaniak i Sveits, som EU-kommisjonen har godkjent med tilstrekkelig beskyttelsesnivå. Ingen opplysninger sendes ut av EØS eller Sveits. Kontodata deles ikke med Databricks, GitHub eller andre integrasjonsmotparter – de mottar kun Prosjektinnhold når du eller din organisasjon aktivt aktiverer en integrasjon.

Kontodata selges ikke og deles ikke med tredjeparter for markedsføringsformål.

6. Informasjonskapsler (cookies)

Specly bruker bare informasjonskapsler som trengs for innloggingen: en sesjonscookie og en kortvarig kopi av sesjonen (5 minutter) som gjør appen raskere. De er satt som httpOnly (ikke tilgjengelig for JavaScript), secure i produksjon (sendes kun over kryptert forbindelse) og SameSite=Lax. Den er strengt nødvendig for at tjenesten skal fungere, og krever derfor ikke samtykke etter ekomloven § 3-15. Innstillinger som tema og panelvalg lagres lokalt i nettleseren din. Vi bruker ingen analyse- eller sporingsverktøy.

7. Dine rettigheter

Du har, etter personvernforordningen, rett til:

• innsyn i hvilke opplysninger vi har om deg;
• retting av uriktige opplysninger (f.eks. via kontoinnstillinger);
• sletting av kontoen din og tilhørende kontodata;
• dataportabilitet – å få utlevert dine kontodata i et strukturert format;
• å protestere mot behandling basert på berettiget interesse.

Bruker du Specly gjennom organisasjonen din, retter du henvendelser om disse rettighetene til organisasjonen, som er behandlingsansvarlig; Devly Consulting AS bistår organisasjonen med å besvare dem og videresender henvendelser vi mottar direkte. Ellers rettes henvendelser til hei@specly.no. Du har også rett til å klage til Datatilsynet (datatilsynet.no) dersom du mener behandlingen er i strid med regelverket.

8. Endringer

Vi kan oppdatere denne erklæringen. Endringer publiseres med nytt versjonsnummer og dato i toppen av dokumentet.

---

Endringslogg

• v0.2.0 (2026-10-28): Kontrollert mot koden. Rettet: driftslogger kan inneholde e-postadresse, og revisjonsloggen beholdes når en konto slettes. Lagt til feilrapporter, support-e-post (Lettermint og Infomaniak), lagringstid for sikkerhetskopier (som ligger i Sverige), SSO-innlogging og den korte sesjonscookien. Lenken til underdatabehandlerlisten er fjernet, fordi den ikke virket på nettsiden. Behandlingsansvarlig rettet til Devly Consulting AS, org.nr. 935 656 362 (var Devly AS, et annet selskap).
• v0.1.5 (2026-09-14): Personvern-kontakt-e-post fylt inn (hei@specly.no, repoets eneste reelle overvåkede kontaktadresse) i punkt 1 og punkt 7.
• v0.1.4 (2026-09-09): Rollemodell endret i tråd med pilot-databehandleravtalen (dpa/): når en bruker tilhører en organisasjon med databehandleravtale, er organisasjonen behandlingsansvarlig også for kontodata, og Devly AS er databehandler. Devly AS er behandlingsansvarlig kun for selvregistrerte brukere, tekniske driftslogger/sikkerhetsovervåking og kundeforholdet. Revisjonslogg og driftslogger lagt til i punkt 2–4 med 30 dagers slettefrist for driftslogger og 30 dager etter avtaleopphør for organisasjonens kontoer. Registrert adresse fylt inn.
• v0.1.3 (2026-09-09): Punkt 5: Resend (USA) erstattet av Lettermint (Nederland, EØS); ingen tredjelandsoverføring ved transaksjons-e-post lenger.
• v0.1.2 (2026-09-08): Punkt 5: Resend (USA) oppgitt som mottaker av navn/e-post ved transaksjons-e-post; UpCloud-lokasjon presisert (Norge/Sverige).
• v0.1.1 (2026-08-17): Behandlingsansvarlig fylt ut (Devly AS, org.nr 835 541 762 – leverer tjenesten som Specly); registrert adresse og personvern-kontakt-e-post gjenstår.
• v0.1.0 (2026-08-10): Første utkast, til juridisk gjennomgang.