Personvernerklæring

Spiss bygger CV-er på dine egne kilder. Da skylder vi deg samme ærlighet om dataene dine: her står hva vi lagrer, hvorfor, og hva du kan gjøre med det.

Behandlingsansvarlig

Larsen Utvikling (org.nr. 937 464 819, enkeltpersonforetak drevet av Stian Larsen) er behandlingsansvarlig for personopplysninger i Spiss. Kontakt: stian@larsenutvikling.no.

Hvilke opplysninger vi behandler

• Kontoopplysninger: navn, e-postadresse, profilbilde, konto-ID, rolle og abonnement. Clerk håndterer innlogging og passord. Spiss lagrer ikke passordet ditt.
• Innhold du laster opp: CV-er, attester og dokumenter, samt innhold fra lenker du selv peker på (GitHub-profil, nettside). Originalfilene lagres privat slik at du kan se og laste dem ned igjen.
• Utledet innhold: byggeklossene i masterprofilen din, utlysninger du limer inn, kravmatriser, genererte CV-er og evalueringer.
• Bruksdata: tellere for handlinger som import og CV-generering, samt tekniske hendelser fra Clerk og Stripe. Dette brukes til kvoter, feilsøking og misbruksvern. Vi kjører ingen tredjeparts annonseverktøy.
• Betalingsdata: Stripe-kunde-ID, abonnementsstatus, pris-ID og fakturaopplysninger. Kortnummer og fullstendige kortdetaljer behandles av Stripe og lagres ikke i Spiss-databasen.

Hvorfor vi behandler dem

Alt over behandles for å levere tjenesten du har opprettet konto for (avtale, GDPR artikkel 6 nr. 1 b): bygge masterprofilen din, evaluere utlysninger mot den og generere kildesporede CV-er. Vi bruker ikke dataene dine til markedsføring, og vi selger dem ikke. Opplysninger om betaling behandles også for fakturering og lovpålagt bokføring.

AI-behandling

Når Spiss trekker ut klosser fra kildene dine eller genererer en CV, sendes relevant tekst til Anthropic (Claude) via API. I henhold til Anthropics vilkår for kommersielle tjenester brukes ikke API-inndata eller API-utdata til modelltrening med mindre kunden uttrykkelig velger det. Spiss deltar ikke i et slikt program. Anthropic opplyser at API-inndata og API-utdata som standard slettes fra deres systemer innen 30 dager, med avgrensede unntak for blant annet misbruksvern og lovkrav. AI-kall for én bruker får ikke andre brukeres profilinnhold som kontekst. Du kan lese mer i Anthropics informasjon om lagringstid for kommersielle API-data.

Leverandører

Spiss bruker Clerk for innlogging, Stripe for betaling, Anthropic for AI-behandling, Vercel for drift og dbhost.app for PostgreSQL. Disse leverandørene behandler bare opplysninger som er nødvendige for sin del av tjenesten. Enkelte leverandører kan behandle data utenfor EØS under sine avtalte overføringsmekanismer. Anthropic opplyser at data fra API-et lagres i USA og kan behandles i flere regioner.

Hvor dataene lagres

Applikasjonen kjører på Vercel, og dataene lagres i en PostgreSQL-database hos dbhost.app. Originalfiler lagres i en privat Vercel Blob-store. Nedlasting går gjennom en kortlivet, tilgangskontrollert app-rute, og de private Blob-adressene deles ikke offentlig. All trafikk går over HTTPS. Se også sikkerhetssiden for hvordan dataene beskyttes.

Informasjonskapsler

Clerk bruker nødvendige informasjonskapsler og nettleserlagring for å holde deg innlogget og beskytte sesjonen. Spiss bruker ikke egne annonse- eller markedsføringskapsler.

Lagringstid og sletting

• Innholdet ditt lagres så lenge du har konto, slik at masterprofilen kan gjenbrukes per utlysning.
• Du kan laste ned en kopi av kontodataene og originalfilene dine fra profilen før du sletter kontoen.
• Når du sletter kontoen, sperres tilgangen straks, et aktivt Stripe-abonnement avsluttes og produktdata og originalfiler slettes.
• En pseudonym slettingstombstone beholdes i 30 dager for å hindre at forsinkede tekniske hendelser gjenoppretter kontoen.
• Produktanalyse og ferdigbehandlede tekniske hendelser slettes etter 90 dager. Rå webhook-payloads beholdes ikke etter validering og behandling.
• Faktura- og regnskapsopplysninger beholdes i fem år etter slutten av regnskapsåret når bokføringsreglene krever det. Opplysningene anonymiseres eller begrenses til det nødvendige.

Dine rettigheter

Du har rett til innsyn, retting, sletting, begrensning og dataportabilitet etter GDPR. Du kan eksportere data fra profilen eller kontakte oss på e-post. Du kan også klage til Datatilsynet hvis du mener behandlingen bryter regelverket.

Endringer

Endrer vi denne erklæringen vesentlig, varsler vi deg i appen eller på e-post. Datoen øverst viser alltid gjeldende versjon.