Personvernerklæring

Innhold

1. Innledning

Denne personvernerklæringen beskriver hvordan HR Cluster AS (org.nr. 937 565 690) behandler personopplysninger i forbindelse med HR Cluster-plattformen. Vi er forpliktet til å beskytte personvernet til de personer hvis data behandles gjennom vår tjeneste, og til å opptre i tråd med EUs personvernforordning (GDPR) og norsk personopplysningslov.

2. Roller og ansvar

HR Cluster er en plattform for bemanningsstyring som brukes av kundeorganisasjoner til å administrere sine team. I de fleste tilfeller:

Kundeorganisasjonen er behandlingsansvarlig: de bestemmer formål og midler for behandling av personopplysninger.
HR Cluster AS er databehandler: vi behandler personopplysninger på vegne av kundeorganisasjonen for å levere tjenesten.

De nærmere vilkårene for behandlingen reguleres av vår databehandleravtale (DPA), som er tilgjengelig på forespørsel. Der HR Cluster AS opptrer som behandlingsansvarlig i eget navn, for eksempel for fakturering, kontoadministrasjon og sikkerhetslogging av tilgang til plattformen, gjelder denne personvernerklæringen direkte.

3. Data vi behandler

Avhengig av hvordan kundeorganisasjonen konfigurerer plattformen, kan følgende kategorier personopplysninger behandles:

Identitetsdata: navn, e-post, telefonnummer, fødselsdato, ansattnummer
Konto- og tilgangsdata: innloggingsinformasjon, PIN-hasher, roller, rettigheter
Ansettelsesdata: rolle, stilling, gruppe, avdeling, timesats, kontrakter
Vaktdata: vakttilordninger, tilgjengelighet, skiftplaner
Fremmøtedata: innstempling og utstempling, inkludert posisjonsdata der kunden har aktivert dette, og sesjonskorreksjoner
Dokumenter og kompetanse: sertifiseringer, kvalifikasjoner, opplæringsregistreringer, ID-dokumenter lastet opp av kunden
Operative data: hendelses- og sikkerhetsrapporter, meldinger, utstyrstilordninger
Sensitive identifikatorer: personnummer eller bankdetaljer der de registreres; lagres kryptert (AES-256-GCM)
Tekniske data: IP-adresse, nettlesertype, enhetstype og revisjonsloggtidspunkter

Når en kunde aktiverer en valgfri tredjepartsintegrasjon, kan HR Cluster også behandle API-nøkler eller tilgangstokener som kunden oppgir for å koble til den aktuelle tredjepartstjenesten. Slike opplysninger lagres sikkert og brukes utelukkende for å levere og drifte integrasjonen kunden har bedt om; de brukes ikke til noe annet formål. Valgfrie integrasjoner er nærmere beskrevet i våre vilkår for bruk.

4. Spam-, svindel- og misbrukshåndtering

For å beskytte utvalgte offentlige skjemaer og sikkerhetssensitive forespørsler mot automatisert misbruk, bruker vi Google reCAPTCHA Enterprise, levert av Google Ireland Limited.

Når du laster eller sender inn ett av disse skjemaene, kommuniserer nettleseren din direkte med Google. Opplysningene Google behandler for dette formålet inkluderer:

IP-adresse og omtrentlig geografisk plassering
Nettleser- og enhetsinformasjon (user agent, skjerm- og tidssoneinformasjon, programtillegg)
Mus-, berørings- og tastatursignaler på siden
En reCAPTCHA-spesifikk informasjonskapsel (_GRECAPTCHA) satt på Googles domene
Handlingsetiketten knyttet til skjemaet

Behandlingen er begrenset til å produsere en risikoscore som vi bruker til å avgjøre om innsendingen skal godtas. Vi mottar ikke Googles analytiske data, og vi bruker ikke reCAPTCHA til annonsering, profilering eller analyse.

Behandlingsgrunnlag. Personvernforordningen artikkel 6 nr. 1 bokstav f: vår berettigede interesse i å holde plattformen fri for spam, svindelaktige innsendinger og automatiserte angrep mot autentiseringsendepunkter. Vi har vurdert denne interessen opp mot dine rettigheter og anser den som forholdsmessig, ettersom reCAPTCHA kun kjører på et begrenset sett av offentlige endepunkter, datamengden er begrenset, og du kan utføre de samme handlingene gjennom alternative kanaler (for eksempel ved å kontakte din administrator) dersom du motsetter deg denne behandlingen.

Internasjonal overføring. Google kan behandle disse opplysningene på servere utenfor EØS, herunder i USA. Overføringer er omfattet av Europakommisjonens standardkontrakter (SCCs) og, der det er aktuelt, EU–US Data Privacy Framework.

Lagring. Vi lagrer ikke de rådata Google behandler. Vi logger verifikasjonsutfallet (handlingsetikett, godkjent/avvist, og sammenfattet kontekst som konto-ID og IP for sikkerhetsovervåking) i inntil 90 dager.

Se Googles personvernerklæring og vilkår for mer informasjon.

5. Behandlingsgrunnlag

Der HR Cluster AS behandler personopplysninger som behandlingsansvarlig, bygger vi på følgende grunnlag etter GDPR artikkel 6:

Avtale (art. 6(1)(b)): for å levere tjenesten til kundeorganisasjonen og de som bruker den.
Berettiget interesse (art. 6(1)(f)): for å opprettholde sikkerhet, forhindre misbruk, føre revisjonslogger og forbedre tjenesten. Vi veier disse interessene mot de berørtes rettigheter.
Rettslig forpliktelse (art. 6(1)(c)): for å overholde gjeldende regnskaps-, skatte- og informasjonssikkerhetslovgivning.
Samtykke (art. 6(1)(a)): for valgfrie analyseinformasjonskapsler, der dette er relevant.

Der HR Cluster AS opptrer som databehandler, er det kundeorganisasjonen som er ansvarlig for å identifisere behandlingsgrunnlaget for den underliggende behandlingen, typisk arbeidsavtale, lovpålagt krav eller berettiget interesse.

6. Hvordan data brukes

Personopplysninger som behandles gjennom HR Cluster brukes til å:

Levere og drifte plattformen
Administrere brukere, roller og organisasjonsstrukturer
Muliggjøre vaktplanlegging og bemanning
Registrere fremmøte og tidsbruk
Opprettholde sikkerhet og forhindre uautorisert tilgang
Forbedre plattformens pålitelighet og ytelse
Gi kundestøtte
Generere rapporter, statistikk og eksporter etter forespørsel fra kundeorganisasjonen

7. Arbeidsstyrke- og ansettelsesrelaterte data

HR Cluster er utviklet for bemanningsstyring og operativ bemanning. Som del av dette formålet kan plattformen behandle følgende datakategorier på vegne av kundeorganisasjonen:

Vaktplaner og skifttilordninger
Fremmøte- og tidsregistreringer
Innstempling og utstempling
Sertifiseringer, kvalifikasjoner og opplæringsregistreringer
Hendelses- og sikkerhetsrapporter
Utstyrs- og inventartilordninger
Rolle-, avdelings- og gruppeinformasjon
Tilgjengelighet og vaktpreferanser
Notater og kommentarer lagt til av administratorer

Disse dataene behandles på vegne av kundeorganisasjonen i samsvar med deres instrukser og gjeldende lovgivning.

8. Revisjonslogging

HR Cluster kan logge handlinger utført i plattformen for sikkerhets- og driftsformål. Loggede hendelser kan inkludere:

Innlogging og tilgangshendelser
Innstempling og utstempling
Vakttilordninger og endringer
Oppdateringer av brukerprofiler
Endringer i tilganger og roller
Opprettelse og statusendringer av hendelser
Dataeksporter
Administrative handlinger

Revisjonslogger brukes til sikkerhetsovervåking, tvisteløsning, operativ feilsøking og etterlevelse. Revisjonslogger kan oppbevares lenger enn andre operative data.

9. Ansvarsfraskrivelse for tidsregistrering

Tidsregistrerings- og fraværsfunksjonalitet i HR Cluster leveres utelukkende for administrative og operative formål. Kundeorganisasjoner er selv ansvarlige for lønnsberegninger, overholdelse av gjeldende arbeidsmiljølov, overtidsberegninger, pause- og hvilebestemmelser samt klassifisering av ansettelsesforhold. HR Cluster AS garanterer ikke at tidsregistreringsdata oppfyller kravene i noen bestemt jurisdiksjon eller rammeverk for arbeidsforhold.

10. Drift og datalokasjon

HR Cluster driftes på dedikert infrastruktur levert av Hetzner Online GmbH, primært i Helsinki, Finland, innenfor EU. Applikasjonstjenere, databaser, sikkerhetskopier og fillagring driftes alle i dette EU-miljøet.

Vår primære applikasjonsinfrastruktur driftes innenfor Den europeiske union. Enkelte tilleggstjenester, særlig levering av transaksjonell e-post og personvernvennlig analyse, leveres av underleverandører som kan behandle begrensede personopplysninger utenfor EØS. Der det skjer, bygger vi på vernetiltakene som er beskrevet i punkt 11 nedenfor.

11. Underleverandører

HR Cluster AS selger ikke personopplysninger. For å drifte tjenesten benytter vi et begrenset antall underleverandører, som alle er bundet av skriftlig databehandleravtale:

Hetzner Online GmbH (Tyskland): hosting, prosessering, lagring, sikkerhetskopier. Data behandles innenfor EU.
Postmark (ActiveCampaign, LLC), USA: levering av transaksjonell e-post som konto-, sikkerhets- og driftsmeldinger. Mottakerens navn, e-postadresse og meldingsinnhold behandles i USA under EUs standardavtalevilkår (SCC) og, der det er aktuelt, EU–US Data Privacy Framework.
Google Analytics (Google Ireland Limited): personvernvennlig bruksanalyse på våre markedsføringssider, lastes kun ved samtykke. IP-anonymisering brukes der det er støttet.
Google reCAPTCHA Enterprise (Google Ireland Limited): beskyttelse mot spam og misbruk på utvalgte offentlige skjemaer og sikkerhetssensitive forespørsler. Lastes som et strengt nødvendig sikkerhetstiltak; brukes ikke til analyse eller annonsering. Data behandles under SCC og EU–US Data Privacy Framework der det er aktuelt.

En oppdatert liste over underleverandører vedlikeholdes som del av vår DPA. Kunder varsles ved vesentlige endringer.

SMS-levering. SMS sendt fra plattformen, for eksempel beredskapsvarsler, leveres av 46elks AB, Sverige. 46elks er ikke en av våre underleverandører: selskapet er en registrert tilbyder av elektronisk kommunikasjon og opplyser at det behandler mottakerens mobilnummer, meldingsinnholdet (inkludert eventuelle personopplysninger det inneholder) og leveringsmetadata som selvstendig behandlingsansvarlig etter svensk ekomregulering, i henhold til egne bruksvilkår og personvernerklæring. HR Cluster AS leverer SMS-funksjonaliteten; 46elks leverer den underliggende SMS-infrastrukturen. Se vår side om underleverandører for detaljer.

Kortbetaling. Når en konto kjøper SMS-kreditter med kort, sendes den som betaler til en betalingsside som drives av Stripe (Stripe Payments Europe, Limited og Stripe Technology Europe, Limited, Irland). Kortopplysninger og andre opplysninger betaleren legger inn der, går direkte til Stripe; HR Cluster mottar aldri kortopplysninger. For å starte betalingen sender vi Stripe e-postadressen til den innloggede brukeren som starter den, beløp og valuta, en beskrivelse av det som kjøpes, og interne referansenumre for betalingen og kontoen. Når betalingen er gjennomført, sender Stripe oss resultatet, som også kan inneholde opplysninger betaleren la inn, som navn og fakturaland; vi oppbevarer bare hva som ble kjøpt, beløpene, status, hvem som startet betalingen og Stripes referanser, sammen med våre faktureringsopplysninger. Vi behandler betalerens e-postadresse og betalingsresultatet på grunnlag av vår berettigede interesse i å få betalt for tjenester kundeorganisasjonen bestiller, og i å vite hvem som la inn bestillingen (personvernforordningen art. 6(1)(f)); der kunden er et enkeltpersonforetak, er grunnlaget avtalen med kunden (art. 6(1)(b)). Vi oppbevarer betalingsopplysninger for å oppfylle våre plikter etter bokføringsloven (art. 6(1)(c)). Stripe er ikke en av våre underleverandører: selskapet behandler disse opplysningene for HR Cluster AS sin egen fakturering, ikke på vegne av våre kunder. Stripe behandler i tillegg betalingsopplysninger som selvstendig behandlingsansvarlig for egne formål, som forebygging av svindel og sine plikter som regulert betalingsleverandør, slik det er beskrevet i Stripes personvernerklæring. Se vår side om underleverandører for detaljer.

Innenfor kundeorganisasjonen kan personopplysninger også være synlige for autoriserte administratorer og ledere i samsvar med roller og tilganger konfigurert av kunden.

12. Overføring til tredjeland

Vår primære applikasjonsinfrastruktur driftes innenfor Den europeiske union, og hovedtyngden av kundedata lagres og behandles der. Et begrenset antall underleverandører, for eksempel vår leverandør av transaksjonell e-post og vår analyseleverandør, kan behandle personopplysninger utenfor EØS. Der slike overføringer skjer, bygger vi på egnede vernetiltak, inkludert EU-kommisjonens standardavtalevilkår (SCC) og, der det er aktuelt, EU–US Data Privacy Framework. Kortbetalingsopplysninger kan overføres til Stripe, LLC i USA; slike overføringer er omfattet av EUs standardavtalevilkår (SCC) og EU–US Data Privacy Framework etter Stripes Data Transfers Addendum. Vi overfører kun de personopplysningene som er nødvendige for den aktuelle tjenesten, for eksempel en mottakers navn og e-postadresse for å levere en transaksjonell e-post. SMS leveres av 46elks AB i Sverige; for å nå mottakeren overføres meldingen til mottakerens mobiloperatør, som kan befinne seg utenfor EØS der mottakerens nummer tilhører eller benytter roaming i et slikt nett.

13. Oppbevaring av data

Personopplysninger oppbevares så lenge det er nødvendig for å levere tjenesten, overholde lovkrav, løse tvister, håndheve avtaler, eller etter instruksjon fra kundeorganisasjonen.

Som generell retningslinje:

Aktive kontodata oppbevares i avtaletiden.
Operative registre, som økter (inn- og utstempling), vakter, vaktplaner, oppmøte og tilhørende personalregistre, oppbevares så lenge de er nødvendige for å levere tjenesten, ivareta kundeorganisasjonens driftshistorikk og oppfylle gjeldende lovkrav. Det gjelder i dag ingen automatisk sletting basert på alder for disse registrene.
Kontrakter, signerte dokumenter og regnskapsopplysninger oppbevares etter sine egne avtalefestede og lovpålagte oppbevaringskrav, for eksempel bokføringsregler. Dette omfatter opplysninger om kortbetalinger (hva som ble kjøpt, beløpene, status og Stripes referanser); HR Cluster mottar eller lagrer aldri kortopplysninger.
Revisjonslogger oppbevares lenger av sikkerhets- og etterprøvbarhetshensyn.
Meldingsinnhold (teksten og emnet i SMS- og e-postvarsler og i meldinger sendt fra plattformen) fjernes 90 dager etter sending. Leveringsregisteret for meldingene (mottakeradresser og telefonnumre, leverandørens meldings-ID, leveringstidspunkt og status) slettes 90 dager etter at sendingen er ferdig; meldinger som fortsatt venter på å bli sendt eller sendt på nytt, beholdes til de er ferdige. Beredskapsloggen beholder hvert varsel slik arrangøren skrev det og hvor mange det nådde, men ikke hvem som mottok det. Registre over SMS-kreditter og fakturaer oppbevares separat i den perioden bokføringsloven krever, og inneholder verken meldingsinnhold eller telefonnumre. SMS håndteres også av 46elks AB, som oppbevarer egne kopier etter egne regler som tilbyder av elektronisk kommunikasjon (se punkt 11).
Sikkerhetskopier av databasen oppbevares i et rullerende vindu og overskrives deretter. Innhold og registre som er slettet fra den aktive databasen, kan finnes i disse sikkerhetskopiene til de roteres ut, i dag etter omtrent seks måneder.

Når kundeavtalen opphører, slettes eller returneres kundens data innen rimelig tid, som beskrevet i DPA.

14. Dine rettigheter

Etter GDPR kan du ha følgende rettigheter knyttet til dine personopplysninger:

Innsyn: be om kopi av personopplysningene som er lagret om deg.
Retting: be om korrigering av unøyaktige eller ufullstendige data.
Sletting: be om at dine personopplysninger slettes.
Begrensning: be om at behandlingen av dine data begrenses.
Innsigelse: protestere mot visse typer behandling basert på berettiget interesse.
Dataportabilitet: be om overføring av dine data i et strukturert, maskinlesbart format.
Trekke samtykke: der behandlingen bygger på samtykke, kan du når som helst trekke det tilbake.

Ettersom kundeorganisasjonen normalt er behandlingsansvarlig, bør forespørsler om arbeidsrelaterte personopplysninger i de fleste tilfeller rettes til kundeorganisasjonen først. HR Cluster AS vil bistå kundeorganisasjonen med å oppfylle slike forespørsler.

15. Sikkerhet

HR Cluster AS implementerer tekniske og organisatoriske tiltak tilpasset risikoen, herunder:

TLS (HTTPS) for all trafikk i transitt
Sensitive felter (f.eks. personnummer og bankdetaljer) krypteres ved lagring med AES-256-GCM, med bruker-spesifikk salt og en pepper på serversiden
Passord lagres med bcrypt; PIN-koder hashes; sesjons-tokens er bundet til nettleseren og valideres mot databasen
Rolle- og rettighetsbasert tilgangskontroll, med datasiloing per konto håndhevet i spørre-laget
CSRF-beskyttelse på alle tilstandsendrende handlinger; rate-limiting på autentisering
Revisjonslogging av administrative handlinger
Daglige automatiske sikkerhetskopier til off-site lagring innenfor EU
Dedikert databasevert uten eksponering mot offentlig nett
Jevnlig gjennomgang av avhengigheter, tilganger og sikkerhetspraksis

Vi vil uten ugrunnet opphold varsle berørte kunder ved brudd på personopplysningssikkerheten som sannsynligvis vil medføre risiko for personers rettigheter og friheter, i tråd med GDPR artikkel 33–34.

16. Informasjonskapsler

HR Cluster bruker informasjonskapsler og lignende teknologier som beskrevet i vår retningslinje for informasjonskapsler.

17. Kontakt og tilsynsmyndighet

For spørsmål om denne personvernerklæringen eller vår behandling av data, kontakt oss på:

HR Cluster AS
Org.nr.: 937 565 690
E-post: privacy@hrcluster.com

Dersom du mener at dine personvernrettigheter er krenket, har du rett til å klage til Datatilsynet på datatilsynet.no, eller til tilsynsmyndigheten i ditt bostedsland.

Sist oppdatert: oktober 2026