Personvern og databehandling

Her er svara innkjøp, juridisk og personvernombod spør etter før ein avtale: kva roller vi har etter personvernforordninga, når det trengst ein databehandlaravtale, kvar dataa ligg, kva underdatabehandlarar vi brukar, og kva som skjer når eit KI-verktøy hentar data frå Placepoint.

Send spørsmål som ikkje er svara på her, til support@placepoint.no.

Roller etter personvernforordninga

Er Placepoint behandlingsansvarleg eller databehandlar?

Begge delar, for kvar sin type data.

• For eigedoms- og selskapsdataa vi samlar inn og vidareformidlar, mellom anna frå grunnboken, matrikkelen og Brønnøysundregistrene (BRREG), er vi sjølvstendig behandlingsansvarleg etter GDPR artikkel 4 nr. 7. Vi bestemmer formål og middel for innsamlinga, og du får dataa utleverte frå oss. Det er ikkje eit databehandlaroppdrag, og det gir deg ikkje instruksjonsrett over registerdataa. Kva felt i leveransen som er personopplysningar, står i Integrasjon og tryggleik.
• For data du sjølv legg inn i Placepoint, altså eigne datasett, prosjekt, notat, taggar og det du skriv i eit søk eller eit oppslag, er du behandlingsansvarleg og vi databehandlar etter artikkel 4 nr. 8. Vi behandlar desse dataa berre for å levere tenesta til deg.
• For opplysningane om deg som brukar, det vil seie namn, e-post, telefonnummer og innloggings- og bruksdata, er vi behandlingsansvarleg. Det står i personvernerklæringa.

Du er på di side behandlingsansvarleg for kva du brukar registerdataa til vidare. Det gjeld same om du hentar dei i Fusion, gjennom Placepoint API eller gjennom eit KI-verktøy. Gir du dei vidare til andre, gjeld reglane i Utlevering av PII til tredjepart.

Kvifor er ikkje registerdataa eit databehandlaroppdrag?

Fordi vi ikkje behandlar dei på ditt oppdrag. Vi hentar grunnbok, matrikkel og føretaksdata inn frå kjeldene, set dei saman og tilbyr dei likt til alle kundane våre. Ein databehandlaravtale for registerdataa ville gitt kvar enkelt kunde instruksjons- og sletterett over eit datasett som er felles, og det lèt seg ikkje gjere. Utleveringa skjer i staden under avtalen vår med Kartverket og innanfor forskrift om utlevering, vidarebruk og anna behandling av opplysningar frå grunnboken og matrikkelen § 4, som òg krev at du som mottakar har eit sakleg behov.

Databehandlaravtale

Treng eg databehandlaravtale med Placepoint?

Ja, viss du legg personopplysningar inn i Placepoint. Det gjer du i praksis når du lastar opp eigne datasett med namn eller kontaktopplysningar, brukar Placepoint Dataset MCP mot eigne prosjekt, bestiller eit uttrekk der du sender oss personopplysningar som nøkkel, eller skriv eit fødselsnummer i eit oppslag. Då behandlar vi opplysningane på ditt oppdrag, og GDPR artikkel 28 krev ein skriftleg avtale før behandlinga startar.

Persondatafelta i Placepoint API krev òg databehandlaravtale. Brukar du berre registerdataa og kartet, trengst det ingen databehandlaravtale for det. Mange inngår han likevel fordi innkjøp ber om det, og det går fint.

Kva inneheld databehandlaravtalen til Placepoint?

Vi har ein mal etter artikkel 28 som advokat har gått gjennom, med fire bilag:

• Bilag A: kva som blir behandla, kva kategoriar av registrerte det gjeld, og formålet.
• Bilag B: underdatabehandlarane vi brukar, med teneste og land.
• Bilag C: instruksen for behandlinga.
• Bilag D: endringslogg.

Avtalen avgrensar oppdraget til dataa du sjølv legg inn. Registerdataa står utanfor, av grunnen som er skildra over. Be om avtalen frå kontaktpersonen din eller support@placepoint.no, så fyller vi ut bilaga saman.

Kan eg bruke min eigen databehandlaravtale?

Ja. Vi fyller gjerne ut malen din, og har gjort det for kommunar, bankar og forsikringsselskap. To ting ber vi om å få inn i alle malar: at registerdata frå matrikkel, grunnbok og føretaksregister blir leverte av oss som sjølvstendig behandlingsansvarleg og ikkje er omfatta av avtalen, og at lista over underdatabehandlarar er den vi publiserer på docs, slik at ho kan haldast oppdatert utan ein ny signaturrunde.

Lagring og drift

Kvar blir dataa lagra?

I Microsoft Azure i regionen Norway East, med replikert kopi i Norway West. Det gjeld registerdataa, kartlaga, brukardatabasen og datasetta du lastar opp. Nokre støttetenester, som feillogging og kundesystem, blir drivne av leverandørar med serverar i EU eller USA. Kva tenester det er, kva dei behandlar og kva overføringsgrunnlag som gjeld, står i lista over underdatabehandlarar.

Kva personopplysningar behandlar Placepoint om brukarane?

Namn, e-postadresse og telefonnummer knytte til kontoen, kva verksemd brukaren høyrer til, og loggar over innloggingar og bruk. Bruksloggen er det som lèt oss dokumentere kven som har sett kva personopplysningar, noko vi er pålagde for data frå grunnboken. Det er òg difor kvar person må logge inn med sin eigen konto.

Korleis blir dataa sikra?

• Kvar brukar har ein personleg konto, og tilgangen til personopplysningar blir sett per konto etter ei konkret vurdering av behandlingsgrunnlag.
• Innlogging frå land utanfor EU/EØS blir sperra, sjå Tilgang utanfor EU/EØS.
• All trafikk er kryptert med TLS, og databasane er krypterte i kvile med standardkrypteringa til Azure.
• Produksjonsdataa blir replikerte til ein annan Azure-region, og tilgangen til dei er avgrensa til namngitte driftsansvarlege.
• Hendingar i plattforma blir logga, slik at vi kan etterspore kven som har gjort kva.

Treng innkjøp ei utfylt tryggleiksskildring eller eit leverandørskjema, send det til support@placepoint.no.

Kva skjer ved eit tryggleiksbrot?

Vi varslar deg skriftleg utan ugrunna opphald når vi oppdagar eit brot som gjeld data vi behandlar for deg, med kva som skjedde, kva data som er råka, og kva vi gjer. Det gir deg grunnlag for di eiga vurdering etter GDPR artikkel 33. Kontaktpunktet står i databehandlaravtalen.

Kor lenge lagrar Placepoint dataa?

Eigne datasett, prosjekt og notat ligg til du slettar dei sjølv eller avtalen tek slutt. Når avtalen tek slutt, slettar eller leverer vi tilbake dataa etter det databehandlaravtalen seier, og stadfestar det skriftleg. Opplysningar om brukarane blir lagra så lenge kundeforholdet varer, og deretter så lenge rekneskaps- og avtalereglar krev.

Placepoint AI og eigne datasett

Kven er behandlingsansvarleg når eit KI-verktøy hentar data frå Placepoint?

Du. Placepoint AI er MCP-serverar som svarar på oppslag frå det KI-verktøyet du sjølv har valt, med innlogginga di og tilgangsnivået ditt. Det gjeld kvar server vi tilbyr, òg dei som kjem til. Serverane inneheld ingen språkmodell, og vi sender ingen data til ein KI-leverandør. Det er KI-verktøyet som hentar data frå oss på dine vegner, og du bestemmer kva verktøy som blir brukt, kva spørsmål som blir stilte, og kva svara blir brukte til. Dermed er du behandlingsansvarleg for det som skjer i KI-verktøyet, og avtalen din med KI-leverandøren regulerer lagring, lokasjon og eventuell trening der.

Dette er ikkje felles behandlingsansvar etter GDPR artikkel 26, sidan vi verken bestemmer formål eller middel for behandlinga i KI-verktøyet. Ansvaret vårt stoppar ved det som skjer i systema vi sjølve driftar.

Kva personopplysningar kan eit KI-verktøy få frå Placepoint?

Færre enn i Fusion. Placepoint MCP fjernar namn og fødselsnummer på privatpersonar før svaret forlèt oss, og viser dei som Privatperson, same kva tilgang kontoen din elles har. Den utvida tilgangen som enkelte kundar har gjennom dokumentert berettiga interesse, gjeld i Fusion, ikkje i Placepoint AI. Det er dataminimering etter GDPR artikkel 5 nr. 1 bokstav c og innebygd personvern etter artikkel 25, valt fordi dataa hamnar i eit verktøy vi ikkje kontrollerer. Dei personopplysningane som står att, er dei som allereie er offentlege: namn på rolleinnehavarar i selskap frå Brønnøysundregistrene, altså dagleg leiar og styre, og namn og fødselsår på aksjonærar frå Aksjonærregisteret, som Skatteetaten offentleggjer. Aksjonærar blir viste som Privatperson til KI-verktøyet ber om namn. Fødselsnummer blir aldri leverte. Detaljar: Personopplysningar er ikkje tilgjengelege.

Kva med datasett eg lastar opp via Dataset MCP?

Dei blir behandla som når du lastar dei opp i Fusion: dei blir lagra hos oss i Azure Norway East, er berre synlege for brukarar du sjølv har gitt tilgang til prosjektet, og er omfatta av databehandlaravtalen. Kva du lastar opp, og om det inneheld personopplysningar, styrer du sjølv. Inneheld det personopplysningar, må databehandlaravtalen vere på plass først.

Brukar Placepoint dataa til å trene modellar?

Nei. Vi trenar ingen modellar på kundedata eller bruksdata, og vi deler dei ikkje med tredjepartar utover driftsleverandørane i lista over underdatabehandlarar. Brukar KI-verktøyet du har valt, data til trening, er det regulert av avtalen din med den leverandøren, ikkje av oss.

Gjeld det same for Agenten i Fusion?

Agenten køyrer i Fusion med innlogginga di og følgjer tilgangsnivået ditt i plattforma, slik Agent-sida skildrar. Han er i pilot, og vi aktiverer han per verksemd.

For innkjøp og personvernombod

Kva kan eg be Placepoint om?

• Databehandlaravtalen vår, eller ein utfylt versjon av din eigen mal.
• Lista over underdatabehandlarar, med teneste, land og overføringsgrunnlag.
• Personvernerklæringa og brukarvilkåra.
• Ei skildring av tryggleikstiltaka, eller svar på eit leverandørskjema.
• Ei utgreiing om kva personopplysningar som inngår i leveransen, sjå Integrasjon og tryggleik.

Kven er kontaktpunkt for personvern?

support@placepoint.no. Førespurnaden går til rett person hos oss, og vi svarar innan 30 dagar på krav om innsyn, retting og sletting, slik personvernerklæringa skildrar.

Eg står i grunnboken eller føretaksregisteret. Kva har Placepoint om meg?

Det kjeldene har registrert: for ein heimelshavar namn, fødselsår og eigardel frå grunnboken, for ein rolleinnehavar namn og rolle frå Brønnøysundregistrene. Vi samlar ikkje inn meir om privatpersonar enn det som står i kjeldene, og vi viser privatpersonar som Privatperson for kundar utan dokumentert berettiga interesse. Vil du vite kva som er registrert om deg, eller meiner du noko er feil, kontakt oss på support@placepoint.no. Feil i kjelda blir retta hos Kartverket eller Brønnøysundregistrene (BRREG), og rettinga kjem til oss ved neste oppdatering.

Underdatabehandlarar

Leverandørane vi brukar for å drifte Placepoint, og som difor behandlar personopplysningar på vegner av oss. Databehandlaravtalen viser til denne lista, så ho blir halden oppdatert her.

Sist oppdatert 7. oktober 2026.

Leverandør	Teneste	Behandlar	Land og region	Overføringsgrunnlag
Microsoft Ireland Operations Ltd. (Azure)	Drift, databasar, lagring, innlogging (Entra)	Alle data i plattforma, inkludert eigne datasett og brukardatabasen	Noreg, Norway East med replika i Norway West	EØS
PostHog Inc. (EU-teneste)	Produktanalyse og funksjonsstyring i Fusion	Brukar-ID, hendingar i grensesnittet	EU, Tyskland	EØS
Mixpanel Inc. (EU-teneste)	Bruksanalyse	Brukar-ID, hendingar i grensesnittet	EU	EØS
Better Stack GmbH	Driftslogg for tenestene	Brukar-ID, tenant-ID, førespurnader til tenestene	EU, Tyskland	EØS
Twilio SendGrid (EU-teneste)	System-e-post, som invitasjonar og varsel	Namn, e-postadresse, innhald i varselet	EU, Tyskland	EØS
Functional Software Inc. (Sentry)	Feillogging	Brukar-ID, e-postadresse, IP-adresse, feilmeldingar	USA	EU-US Data Privacy Framework
HubSpot Inc.	Kundesystem, support-chat og e-post	Namn, e-postadresse, telefonnummer, førespurnader	USA	EU-US Data Privacy Framework
Slack Technologies LLC	Spegling av support-chat til supportteamet	Innhaldet i chat-førespurnader	EU	Standardkontraktsklausular

Kva som ikkje står i lista

Dataleverandørane våre, som Kartverket, Brønnøysundregistrene (BRREG) og dei andre på leverandørsidene, er kjelder vi hentar data frå, ikkje databehandlarar for oss. Dei behandlar ingen opplysningar om brukarane eller datasetta dine.

Kart- og analysetenester som reisetid og bakgrunnskart får koordinatar og adresser i oppslaget, ikkje kven som spurde.

KI-verktøyet du koplar Placepoint AI til, vel du sjølv, og det står under avtalen din med den leverandøren. Kvifor det er slik: Placepoint AI og eigne datasett.

Sjå òg: Integrasjon og tryggleik, Konto og innlogging, Data og kjelder, Kart og eigedommar, Placepoint AI, Databehandlaravtale (ordbok), GDPR (ordbok).