Personvernerklæring

Velmo AS er behandlingsansvarlig for opplysninger som behandles via plattformen. Spørsmål om personvern kan rettes til post@velmo.no.

Hvilken rolle Velmo har etter GDPR avhenger av hvem opplysningene gjelder:

• Er du bruker av Velmo (ansatt hos en forhandler, eller privatperson med egen konto)? Da er Velmo AS behandlingsansvarlig for konto-, plattform- og fakturadata, og for drifts- og sikkerhetslogger. Resten av denne erklæringen gjelder deg.
• Er du kunde av en forhandler som bruker Velmo (potensiell kjøper, kontraktspart, deltaker på prøvekjøring, eller mottaker av en verdivurdering)? Da er forhandleren behandlingsansvarlig for dine opplysninger, og Velmo er databehandler etter GDPR artikkel 28. Dette gjelder blant annet leads/henvendelser, kontraktsparter, kunderegisteret, forhandlerens e-postkorrespondanse med deg, prøvekjøringer og verdivurderingshenvendelser. Ønsker du innsyn, retting eller sletting av disse opplysningene, må du kontakte forhandleren direkte - Velmo bistår forhandleren med å besvare forespørselen din, jf. GDPR artikkel 28(3)(e), men kan ikke behandle den selv uten forhandlerens instruks.

• Konto- og profildata: navn, e-post, telefon, passord-hash (Supabase Auth), organisasjonstilknytning.
• Annonse- og kjøretøydata: kjøretøyspesifikasjoner, priser, bilder, tekst, status, salgs- og publiseringshistorikk.
• Kjennetegn-/Vegvesen-oppslag: svardata fra Statens vegvesen for et oppgitt registreringsnummer.
• E-postinnhold (Gmail/Microsoft): når en forhandler kobler til sin e-postkonto, hentes meldinger live fra Gmail eller Microsoft ved hver visning - selve meldingsinnholdet lagres ikke i vår database. Vi lagrer kun metadata for tråden (emne, kort utdrag, deltakernes e-postadresser) for at innboks-oversikten skal fungere.
• Internt team-chat: meldinger og vedlegg kolleger sender hverandre under "Interne meldinger" i Team.
• Prøvekjøringer: kundens navn/e-post/telefon (booking) og førerkortopplysninger (fødselsnummer, kryptert) for å dokumentere at føreren hadde gyldig førerkort.
• Kontraktsparter: navn, kontaktinfo og fødselsnummer for kjøper/selger på kontrakter, leasing- og utleieavtaler. Fødselsnummer krypteres, vises maskert i grensesnittet som standard, og hver visning av det fulle nummeret logges i revisjonssporet.
• Push-varsler: enhets-token for mobilappen, for å sende varsler om leads, oppgaver og meldinger.
• Verdivurderingshenvendelser: historiske henvendelser fra dashboardets verdivurderingsmodul. Den offentlige, uinnloggede innsendingen på forhandlerens nettbutikk er avviklet.
• AI-revisjonslogger: tidsstempel, modell, tokens, kostnad, og PII-redigert input/output for hvert AI-kall (jf. EU AI Act art. 12).
• Samtykke- og rettighetslogg: hva du har samtykket til, og forespørsler du har sendt etter GDPR kap. III.
• Forbruksregistrering (bruksbaserte priser): når en tjeneste med pris per bruk tas i bruk - BankID-signering, bildebehandling, Innkjøpsrådgiveren eller SMS - registrerer vi hvilken tjeneste det gjelder, antall, pris og tidspunkt, hvilken kilde bruken gjelder (for eksempel signeringsoppdraget, bildet eller analysen), og hvilken bruker som startet den der bruken startes av en bruker (bildebehandling og Innkjøpsrådgiveren).
• Drifts- og sikkerhetslogg: IP-adresse, enhet og tidspunkt for innlogging og sensitive endepunkter.

Vi bruker følgende databehandlere. Alle har inngått databehandleravtale (DPA) etter GDPR art. 28, med Standard Contractual Clauses og/eller EU-US Data Privacy Framework der overføring til tredjeland skjer.

Statens vegvesen er selvstendig behandlingsansvarlig for kjøretøydata vi henter via offisielle oppslag-API-er.

Forhandlernes nettsider (velmo.no/s/…) kan vise innhold forhandleren har valgt fra Google (anmeldelser og kart), YouTube og Vimeo. Anmeldelsene fra Google, med navnet og profilbildet til den som skrev, hentes av vår server hver gang siden vises, og lagres ikke (berettiget interesse, art. 6 nr. 1 f). Nettleseren din snakker da ikke med Google. Kart og video lastes først når du trykker på dem. Da får leverandøren IP-adressen din og kan lagre informasjonskapsler etter sine egne vilkår, som selvstendig behandlingsansvarlig. Kartet og anmeldelsene er underlagt Googles tilleggsvilkår for Google Maps og Googles personvernerklæring. En chat-knapp på siden er bare en lenke til WhatsApp eller Messenger.

Fiken (regnskap) er Kundens eget system; overføring dit skjer på Kundens instruks, og fødselsnummer overføres ikke.

Utover manuell sletting kjører automatiske rutiner ("retention-workere") som fjerner eller anonymiserer opplysninger når vinduet under er ute. Standardvinduer kan i noen tilfeller justeres per organisasjon.

• Konto: til du sletter den under Innstillinger → Personvern. Profilopplysningene fjernes med en gang, og sletting kan ikke angres; sikkerhetskopier roteres ut innen 30 dager.
• Aktive annonser: så lenge du ønsker.
• Soft-slettede annonser: revisjonsanker beholdes; payload fjernes etter 90 dager.
• Kjøretøy knyttet til salg: 5 år (bokføringsloven).
• Kontraktsarkiv (kald oppbevaring av signerte avtaler): 5 år (bokføringsloven).
• Forbruksregistreringer (bruksbaserte priser): 5 år etter utløpet av regnskapsåret bruken ble registrert i (bokføringsloven § 13), fordi de er grunnlaget for fakturaen. Opplysningen om hvilken bruker som startet bruken, følger samme frist.
• AI-revisjonsrad: permanent (EU AI Act art. 12); innholdspayload fjernes automatisk etter maks 18 måneder.
• Fødselsnummer i avtaleparter (kontrakter, leasing, utleie, oppdrag, forsikringstilbud): fjernes automatisk 90 dager etter at avtalen er avsluttet.
• Førerkortopplysninger og kundekontaktinfo ved prøvekjøring: 30 dager som standard etter avsluttet prøvekjøring (konfigurerbart per organisasjon).
• Tilgangslogg (revisjonsspor for sensitive endepunkter): 13 måneder.
• Varsler (bjelle-notifikasjoner): avviste slettes etter 90 dager, leste etter 12 måneder.
• Push-varsel-tokens (mobilenhet): slettes 90 dager etter deaktivering, senest 180 dager uten aktivitet.
• Kalenderhendelser: slettes 12 måneder etter hendelsens sluttidspunkt.
• Chat-meldinger (Interne meldinger): innhold tømmes 30 dager etter at meldingen er slettet.
• E-postmetadata i kaldarkiv (tråder uten kundekobling som ikke lenger er aktive): nullstilles etter 36 måneder.
• Markedsføring av produktnyheter (berettiget interesse, art. 6.1.f - med innsigelsesrett etter art. 21): inntil du reserverer deg under Innstillinger → Personvern.
• Analyse: 13 måneder.
• Samtykkebevis og rettighetsforespørsler: permanent.

• TLS 1.2+ i transitt (web og mobilapp); kryptering i ro hos alle leverandører.
• Tilgangskontroll via Supabase RLS - data segregeres per bruker og organisasjon.
• Fødselsnummer, kortnummer og IBAN fjernes automatisk før AI-kall. E-post og telefonnummer fjernes i tillegg i AI-revisjonsloggene (inkludert Spør AI), og i utvalgte AI-funksjoner også fra selve forespørselen før den sendes til modellen (blant annet svar på kundehenvendelser og dataimport).
• SHA-256 integritetsforsegling av AI-payloads.
• Kostnadstak per organisasjon på AI-bruk (AI-tak per måned og per dag).
• Avviksrutine etter GDPR art. 33-34 - Datatilsynet varsles innen 72 timer ved alvorlige hendelser.

Du har rett til innsyn, retting, sletting, begrensning, dataportabilitet, innsigelse, og å trekke samtykke.

Eksport av dataene dine, sletting av kontoen og endring av samtykke gjøres selvbetjent under Innstillinger → Personvern, som også viser revisjonsloggen for forespørslene dine.

Retting og begrensning av behandlingen sendes som en forespørsel fra samme side. Den går til oss i Velmo, behandles manuelt og besvares senest innen 30 dager - vi har intern fristovervåking som varsler oss før fristen løper ut, og du får svaret på e-post. Mens en begrensning gjelder, stopper alle AI-funksjoner for deg.

Innsigelse mot markedsføring, bruksanalyse og AI-behandling registrerer du selv på samme side, og den gjelder med en gang.

Hvis du mener vi behandler opplysninger i strid med regelverket, kan du klage til Datatilsynet.

Vi bruker strengt nødvendige cookies for innlogging og sikkerhet, og - kun med ditt samtykke - analyse- og AI-behandlings-cookies. Du kan endre samtykket når som helst, enten via Innstillinger → Personvern → Endre samtykke eller "Informasjonskapsler"-lenken nederst på siden hvis du ikke er innlogget.

Velmo bruker generativ AI til å foreslå annonsetekst, fylle ut spesifikasjoner og hjelpe med klargjøringsoppgaver. Bruken er beskrevet i detalj på ai-bruk i tråd med EU-forordningen om kunstig intelligens (AI Act).

Når vi endrer denne erklæringen, oppdaterer vi datoen øverst og ber deg samtykke på nytt der det kreves.