1. Behandlingsansvarlig
OrbitCRM er behandlingsansvarlig for personopplysninger om brukere av plattformen (kontoinformasjon, innlogging, betalingsinformasjon). For data du legger inn om dine egne kunder er du behandlingsansvarlig og vi er databehandler.
2. Hvilke opplysninger samler vi inn?
- Konto: Navn, e-post, telefonnummer, organisasjonsnummer, rolle.
- Bruksdata: Innloggingstidspunkt, IP-adresse, nettleser, handlinger i systemet (audit-logg).
- Betaling: Faktureringsadresse og kvitteringshistorikk. Kortdata håndteres av Stripe og lagres aldri hos oss.
- Kundedata du legger inn: Navn, e-post, telefon, kontrakter, logger om dine egne kunder.
3. Behandlingsgrunnlag
- Avtale (GDPR art. 6.1.b): For å levere CRM-tjenesten du har bestilt.
- Rettslig forpliktelse (art. 6.1.c): Regnskaps- og bokføringslov.
- Berettiget interesse (art. 6.1.f): Sikkerhetslogging, svindelforebygging, produktforbedring.
4. Lagringssted og varighet
All data lagres innenfor EU/EØS (Frankfurt, Tyskland) hos våre underdatabehandlere. Aktive kontoer lagres så lenge abonnementet løper. Ved oppsigelse beholdes data i 30 dager før permanent sletting. Fakturadata oppbevares i 5 år iht. bokføringsloven.
5. Underdatabehandlere
- Supabase / AWS (Frankfurt): Database- og filhåndtering.
- Stripe (EU): Betalingsbehandling.
- SMS-gateway (EU): SMS-utsendelse.
- Cloudflare: DNS, sikkerhet og CDN.
- Tripletex / Microsoft / Google: Kun ved kundens eksplisitte tilkobling.
Alle underdatabehandlere er bundet av databehandleravtaler som tilfredsstiller GDPR art. 28.
6. Dine rettigheter
Du har rett til innsyn, retting, sletting, dataportabilitet og å trekke tilbake samtykke. Henvendelser sendes til post@orbitcrm.no og besvares innen 30 dager.
7. Sikkerhet
All trafikk krypteres med TLS 1.3. Passord lagres med bcrypt. Sensitive felt (e-postpassord, API-nøkler) krypteres i database. Audit-logger sporer all admintilgang. Vi gjennomfører jevnlige sikkerhetsskanninger og penetrasjonstester.
8. Cookies
Vi bruker kun nødvendige cookies (innlogging, sesjon). Ingen markedsføringscookies eller tredjepartssporing.
9. Klage
Du kan klage til Datatilsynet (datatilsynet.no) dersom du mener vi behandler personopplysninger i strid med GDPR.
10. Endringer
Vesentlige endringer i personvernerklæringen varsles på e-post minst 30 dager før de trer i kraft.