Personvernerklæring – HighKey

Sist oppdatert: 26. mai 2026 Versjon: 1.0

1. Innledning

Denne personvernerklæringen forklarer hvordan HighKey ("vi", "oss", "tjenesten") samler inn, lagrer og bruker personopplysninger.

HighKey er et verktøy som hjelper lokale bedrifter med å samle inn tilbakemeldinger og Google-anmeldelser via SMS. Vi tar personvern på alvor og behandler all data i tråd med personopplysningsloven og personvernforordningen (GDPR).

Viktig: Denne erklæringen gjelder vår behandling av personopplysninger. Når du som bedrift bruker HighKey til å sende SMS til dine egne kunder, er du behandlingsansvarlig for disse kundenes opplysninger. Vi opptrer da som databehandler på dine vegne, regulert av databehandleravtalen mellom oss.

2. Behandlingsansvarlig

Behandlingsansvarlig: HighKey, drevet av Aiwerioba [Adresse] [Postnummer og sted] Organisasjonsnummer: [Org.nr]

Kontakt: E-post: sander@efosa.no Telefon: +47 479 54 990 Nettside: https://highkey.no

For spørsmål om personvern eller for å utøve dine rettigheter, kontakt oss på e-postadressen over og merk henvendelsen med "Personvern".

3. Hvilke personopplysninger vi behandler

3.1 Bedriftsbrukere av HighKey

Når du registrerer deg og bruker HighKey som bedrift, behandler vi:

• Kontaktinformasjon: navn, e-postadresse, telefonnummer, stillingstittel

• Bedriftsopplysninger: bedriftsnavn, organisasjonsnummer, fakturaadresse

• Innloggingsdata: telefonnummer brukes til pålogging via engangskoder på SMS

• Betalingsinformasjon: håndteres av vår betalingsleverandør (Stripe). Vi lagrer ikke kortnummer selv, kun referanse til betalingsmetoden og fakturahistorikk.

• Bruksdata: når du logger inn, hvilke funksjoner du bruker, IP-adresse, nettlesertype, enhetsinformasjon, omtrentlig geografisk lokasjon

• Kommunikasjon: korrespondanse med vår support

3.2 Sluttkunder (mottakere av SMS)

Når du som bedriftsbruker laster opp en kundeliste til HighKey, behandler vi følgende om dine kunder på dine vegne:

• Fornavn (eller annen identifikator du oppgir)

• Mobiltelefonnummer

• Tidspunkt for SMS-utsendelse og leveringsstatus

• Kundens svar på SMS (tall fra 1–5, samt eventuell fritekst)

• Tidspunkt for svar

• Hvilken oppfølging som ble sendt (positiv/negativ rute)

Vi lagrer ikke fødselsnummer, adresse, betalingsinformasjon eller andre sensitive opplysninger om sluttkundene. Du skal heller ikke laste opp slik informasjon til HighKey.

4. Behandlingsgrunnlag

Vi behandler personopplysninger med følgende rettslige grunnlag etter GDPR artikkel 6:

Behandling Grunnlag Levere tjenesten til deg som kunde Avtale (art. 6 nr. 1 bokstav b) Behandle betaling og fakturere Avtale + rettslig forpliktelse (bokføringsloven) Sende driftsmeldinger og support Avtale (art. 6 nr. 1 bokstav b) Forbedre tjenesten gjennom anonymiserte bruksanalyser Berettiget interesse (art. 6 nr. 1 bokstav f) Behandle sluttkundedata på vegne av deg Databehandlerrolle — du har grunnlaget Oppfylle lovpålagte krav (regnskap, klagebehandling) Rettslig forpliktelse (art. 6 nr. 1 bokstav c)

Du som bedrift er selv ansvarlig for å ha gyldig grunnlag for å sende SMS til dine kunder, jf. markedsføringsloven § 15 og GDPR artikkel 6. Se punkt 12 nedenfor.

5. Formål med behandlingen

Vi behandler personopplysninger for å:

1. Tilby og drifte HighKey-tjenesten

2. Sende SMS til kunder du har lastet opp, og motta deres svar

3. Vise statistikk og oversikter i appen

4. Behandle betaling og sende fakturaer

5. Yte kundeservice og support

6. Sende viktige meldinger om tjenesten (oppetid, sikkerhet, prisendringer)

7. Forhindre svindel, misbruk og brudd på vilkårene

8. Forbedre og videreutvikle tjenesten

Vi bruker ikke personopplysningene dine eller dine kunders opplysninger til:

• Salg eller utveksling med tredjepart for kommersielle formål

• Profilering eller automatiserte beslutninger med rettsvirkning

• Markedsføring av tredjeparts produkter eller tjenester

6. Deling med tredjeparter og underleverandører

For å levere tjenesten benytter vi følgende underleverandører (databehandlere). Alle er forpliktet gjennom databehandleravtaler:

Leverandør Formål Datalokasjon Supabase Database og autentisering EU (Frankfurt) [SMS-leverandør, f.eks. LinkMobility / Sveve / Twilio] Utsendelse og mottak av SMS EU/Norge Stripe Betalingsbehandling EU/USA n8n Automatisering av arbeidsflyt EU (selvhostet) Vercel / Framer Hosting av nettside og applikasjon EU/USA [E-postleverandør, f.eks. Postmark / Resend] Transaksjonell e-post EU/USA

Vi deler kun de opplysningene som er strengt nødvendige for at leverandøren skal kunne utføre sin oppgave.

Vi deler ikke personopplysninger med Google. Når kunden din etter eget valg klikker seg videre til en Google-anmeldelse, foregår dette i kundens egen nettleser, og Google behandler da kundens data etter Googles egne vilkår.

7. Overføring utenfor EØS

Enkelte av våre underleverandører kan behandle data i land utenfor EØS, primært USA (Stripe, Vercel). Slike overføringer skjer på grunnlag av:

• EU–US Data Privacy Framework, eller

• EU-kommisjonens standardklausuler (SCC), supplert med tekniske og organisatoriske tiltak

Du kan kontakte oss for mer informasjon om disse mekanismene.

8. Lagringstid

Vi lagrer personopplysninger så lenge det er nødvendig for formålet:

Type data Lagringstid Aktiv konto og kundedata Så lenge abonnementet er aktivt Etter oppsigelse — kontodata 90 dager (mulighet for å gjenåpne), deretter slettes alt Kundelister og SMS-historikk Slettes innen 30 dager etter at abonnementet avsluttes Fakturahistorikk og regnskapsdata 5 år (bokføringsloven § 13) Loggdata for sikkerhet 12 måneder Support-korrespondanse 3 år

Du kan når som helst be om at dine data slettes tidligere, med mindre vi har lovpålagt plikt til å oppbevare dem.

9. Sikkerhet

Vi tar tekniske og organisatoriske tiltak for å beskytte personopplysningene:

• All trafikk krypteres med TLS 1.3 (HTTPS)

• Data lagres kryptert (AES-256) i ro

• Pålogging skjer med engangskoder på SMS

• Engangskoder utløper raskt og kan bare brukes én gang

• Sesjoner kan trekkes tilbake fra kontoinnstillinger og logger deg ut overalt

• Strenge tilgangskontroller internt og logging av tilganger

• Regelmessige sikkerhetsoppdateringer av infrastruktur

• Underleverandører kontrolleres for sikkerhetsnivå (ISO 27001, SOC 2 e.l. der relevant)

Dersom det oppstår et brudd på personopplysningssikkerheten som medfører høy risiko, vil vi varsle Datatilsynet innen 72 timer og berørte personer uten ugrunnet opphold.

10. Cookies og lokal lagring

HighKey bruker minimalt med cookies, og ingen markedsførings- eller sporings-cookies fra tredjeparter.

Type Formål Levetid Sesjon-cookie Holde deg innlogget Slettes ved utlogging eller etter 30 dager localStorage Mellomlagre utkast og innstillinger lokalt på din enhet Til du sletter nettleserdata Anonymisert analyse Forstå hvilke funksjoner som brukes (uten å identifisere deg) 12 måneder

Du kan slette cookies via din nettlesers innstillinger. Det vil føre til at du må logge inn på nytt.

11. SMS-utsendelse, takt og Googles retningslinjer

HighKey er bygget for å støtte deg som bedrift i å samle anmeldelser innenfor rammene av Googles retningslinjer for Google Business Profile, og innenfor norsk lov.

Hvorfor SMS sendes ut i et jevnt tempo:

Google kan filtrere eller fjerne anmeldelser som kommer inn unaturlig raskt eller i klynger, fordi dette ligner spam-mønstre. For å beskytte din Google-profil mot dette, fordeler HighKey utsendelser over tid (rate limiting). Det betyr at:

• SMS sendes ikke nødvendigvis umiddelbart etter opplasting

• Store kundelister fordeles utover dager eller uker

• Vi følger anbefalinger om naturlig review-frekvens

Dette er en del av tjenesten og en bevisst designvalg, ikke en tilfeldig forsinkelse. Det innebærer at:

• Du som bedrift får mer stabil og varig effekt på lokal synlighet

• Risikoen for at Google filtrerer bort anmeldelser reduseres

• Du må påregne at noen utsendelser kan ta lenger tid enn andre

Vi anbefaler ikke og støtter ikke:

• Aggressiv "review gating" (kun positive kunder ledes til Google)

• Insentivering for å gi positive anmeldelser

• Fake reviews eller manipulasjon av anmeldelser

Slike metoder er i strid med Googles retningslinjer og kan føre til at hele din Google Business Profile suspenderes.

12. Markedsføringsloven og ditt ansvar som bruker

Når du sender SMS til dine kunder gjennom HighKey, må du selv overholde markedsføringsloven § 15 om elektronisk kommunikasjon i markedsføring.

Hovedregelen er at:

• Du må ha forhåndssamtykke fra kunden for å sende SMS, eller

• SMS-en sendes i et eksisterende kundeforhold og gjelder dine egne tilsvarende varer/tjenester (§ 15 tredje ledd), og kunden har fått mulighet til å reservere seg

I tillegg gjelder GDPR. Du må:

• Ha gyldig grunnlag for å behandle kundens telefonnummer

• Ha en personvernerklæring som beskriver dette overfor dine egne kunder

• Gi kunden en enkel måte å trekke samtykket / reservere seg på (f.eks. "Svar STOPP")

HighKey filtrerer ikke ut numre som er reservert i Reservasjonsregisteret. Dette er ditt ansvar som bedrift.

Brudd på markedsføringsloven kan medføre bøter og pålegg fra Forbrukertilsynet.

13. Dine rettigheter

Du har følgende rettigheter etter GDPR:

• Innsyn — få vite hvilke opplysninger vi har om deg

• Retting — få uriktige opplysninger korrigert

• Sletting — be om at vi sletter opplysningene dine (med visse unntak)

• Begrensning — be om at behandlingen begrenses midlertidig

• Dataportabilitet — få ut dine opplysninger i et maskinlesbart format

• Innsigelse — protestere mot behandling basert på berettiget interesse

• Tilbaketrekking av samtykke — der vi behandler basert på samtykke

For å utøve rettighetene dine, kontakt oss på e-post. Vi svarer normalt innen 30 dager.

For sluttkunder som mottar SMS fra en bedrift som bruker HighKey: Henvend deg til bedriften som sendte SMS-en, ettersom de er behandlingsansvarlig for dine opplysninger. Vi kan veilede deg videre om nødvendig.

14. Klager til Datatilsynet

Hvis du mener vi ikke behandler personopplysningene dine i samsvar med regelverket, har du rett til å klage til Datatilsynet:

Datatilsynet Postboks 458 Sentrum, 0105 Oslo postkasse@datatilsynet.no www.datatilsynet.no

Vi setter pris på at du tar kontakt med oss først slik at vi kan løse saken direkte.

15. Automatiserte beslutninger og profilering

HighKey foretar ingen automatiserte beslutninger med rettsvirkning eller tilsvarende vesentlig betydning for deg eller dine kunder.

Filtreringen av om en kunde får SMS med Google-lenke eller med kontaktskjema, skjer basert på et tall (1–5) som kunden selv oppga, og er en oppfølgingsregel du som bedrift selv har konfigurert.

16. Endringer i denne erklæringen

Vi kan oppdatere denne personvernerklæringen ved vesentlige endringer i tjenesten, regelverket eller vår praksis. Den til enhver tid gjeldende versjonen ligger tilgjengelig på https://highkey.no/personvern.

Ved vesentlige endringer varsler vi alle aktive kunder per e-post minst 30 dager før endringen trer i kraft.

17. Kontakt

Har du spørsmål om denne erklæringen eller hvordan vi behandler personopplysninger?

E-post: sander@efosa.no Telefon: +47 479 54 990 Postadresse: [Adresse]

Denne personvernerklæringen er utarbeidet i tråd med personvernforordningen (GDPR) og norsk personopplysningslov. Den er ment som generell informasjon og erstatter ikke individuell juridisk rådgivning. Bedrifter som bruker HighKey, anbefales å konsultere advokat ved spørsmål om eget personvernansvar.