Behandlingsinformasjon for Innflyt

Sist oppdatert: 11. oktober 2026 · Versjon: 2026-10-11

Denne siden forklarer hvordan Innflyt behandler personopplysninger for kundene sine. Den er skrevet for kunder, personvernkontakter, innkjøpere og sikkerhetsrevisorer. Den oppsummerer databehandleravtalen («Databehandleravtalen»); er det forskjell, gjelder Databehandleravtalen.

Innflyt leveres av Backroad AS, et norsk aksjeselskap, organisasjonsnummer 934 341 929, Måseskjæret 18, 5035 Bergen.

Roller og avtale

Når en kunde installerer Innflyt-widgeten, er kunden behandlingsansvarlig for tilbakemeldingene sluttbrukerne sender, og Backroad AS er kundens databehandler etter artikkel 28 i personvernforordningen (GDPR).

Databehandleravtalen er en del av Innflyts brukervilkår. En kunde godtar den ved å klikke seg gjennom vilkårene når kontoen opprettes eller en Bestilling fullføres; egen signatur er ikke nødvendig. En kontrasignert kopi kan bestilles fra legal@innflyt.com.

Backroad AS handler bare etter kundens dokumenterte instrukser. Backroad AS

• bruker ikke tilbakemeldinger til å trene modeller for kunstig intelligens eller maskinlæring;
• bruker ikke tilbakemeldinger til egen reklame, profilering eller analyse;
• selger ikke tilbakemeldinger og deler dem ikke med tredjeparter for markedsføring;
• bygger ikke dataprodukter av kundedata.

Sammendrag

Opplysninger widgeten sender

Widgeten setter ingen informasjonskapsler. Den lagrer ett element i nettleserens lokale lagring, innflyt_beta_notice, bare når sluttbrukeren lukker beta-meldingen. Se Informasjonskapsler.

Hvor behandlingen skjer

• Database og fillagring: Supabase, i EU-regionen i Stockholm, Sverige (eu-north-1).
• Funksjoner på serversiden som tar imot og leverer tilbakemeldinger: Supabase, i EU-regionen i Frankfurt, Tyskland (eu-central-1), ved hvert kall.
• Dashbord og nettsteder: servere hos UpCloud i Stavanger. Dashbordet viser tilbakemeldingene til deg.
• Sikkerhetskopier: Supabase tar daglige sikkerhetskopier som oppbevares i 7 dager. En ukentlig sikkerhetskopi kopieres også til Cloudflare R2 i EU-jurisdiksjonen og oppbevares i 90 dager. Den ukentlige sikkerhetskopieringen kjører på maskiner som GitHub drifter.
• Nettverk og e-post: Cloudflares globale nettverk leverer widgeten, dashbordet og nettstedene, og sender varsler og konto-e-post.
• Feilovervåking: Sentry, i EU-regionen i Frankfurt, Tyskland, bare for kode på serversiden.

Noe behandling kan skje utenfor Det europeiske økonomiske samarbeidsområdet (EØS): avtalen med Supabase er inngått med Supabase Pte. Ltd (Singapore), og Supabase-personell gir støtte og overvåker plattformen fra hele verden, døgnet rundt; brukerstøttepersonell hos andre underdatabehandlere kan ha tilgang fra andre land; Cloudflares nettverk er verdensomspennende; vi velger ikke hvor maskinene som GitHub drifter, står; og Sentry, et amerikansk selskap, kan få tilgang til og behandle feildataene fra USA og andre land. Hvert tilfelle er dekket av EU-kommisjonens standard personvernbestemmelser (SCC) eller av EU–US Data Privacy Framework, som vist nedenfor.

Underdatabehandlere

Vi varsler kundene minst 30 dager før en underdatabehandler legges til eller byttes ut, på e-post til organisasjonens eiere og administratorer og ved å oppdatere denne siden. En kunde kan protestere; se punkt 4.2 i Databehandleravtalen.

Supabases egne underdatabehandlere står på supabase.com/legal/customer-resources/subprocessor-list.

Dine egne mottakere er ikke våre underdatabehandlere. E-postadresser, Slack, Microsoft Teams og webhooks som du konfigurerer, mottar tilbakemeldinger som dine mottakere. Backroad bruker Linear til eget produktarbeid; tjenesten sender ikke kundenes tilbakemeldinger dit, og brukervilkårene forbyr å konfigurere en mottaker som ville gjort det.

Sikkerhetstiltak

Den fullstendige listen står i vedlegg 2 til Databehandleravtalen. Kort fortalt:

• HTTPS (TLS) overalt; vanlig HTTP videresendes.
• Lagrede data krypteres hos Supabase, UpCloud og Cloudflare R2.
• Radnivåsikkerhet på alle applikasjonstabeller; widgetens anonyme rolle har ingen tilgang til tabellene med tilbakemeldinger; innloggede medlemmer når bare sin egen organisasjons prosjekter, kontrollert ved hver forespørsel; sletting av tilbakemeldinger krever nylig innlogging med en annen faktor.
• Innlogging i dashbordet uten passord (passnøkkel eller engangskode på e-post), robotbeskyttelse og hastighetsbegrensning ved innlogging, e-postvarsel ved ny enhet, og nylig innlogging kreves for sensitive handlinger.
• Skjermbilder i en privat lagringsbøtte, lastet opp og levert bare gjennom signerte lenker som utløper.
• Hver webhook signert med HMAC-SHA-256 (X-Innflyt-Signature); innsendinger uten duplikater; levering gjennom en varig kø.
• Daglig automatisk sletting når lagringstiden er ute, med en slettelogg uten sluttbrukerdata.
• Daglige sikkerhetskopier som oppbevares i 7 dager, og ukentlige sikkerhetskopier hos en annen leverandør som oppbevares i 90 dager med oppbevaringslås.
• Feilovervåking i EU, bare for kode på serversiden, med sending av personopplysninger slått av og IP-adresser fjernet.

Lagringstid og sletting

• Du velger lagringstiden. Som standard slettes tilbakemeldinger 365 dager og skjermbilder 90 dager etter at de kom inn. I dashbordets innstillinger for data og personvern kan du velge en periode fra 30 til 3 650 dager, la skjermbilder følge tilbakemeldingen, eller velge «Behold til jeg sletter dem» («behold»). «Behold» betyr ingen automatisk sletting: dataene blir liggende til du sletter dem eller kontoen avsluttes.
• Sletting er permanent og fjerner registreringene og de lagrede filene. Sletter du et prosjekt eller organisasjonen, slettes tilbakemeldingene og skjermbildene med en gang.
• Eksport er tilgjengelig i alle planer, når som helst.
• Ved avslutning. Når tjenesten opphører, eller tidligere etter skriftlig anmodning fra deg, sletter vi alle dine data innen 30 dager og bekrefter skriftlig på forespørsel. Slettede data blir liggende i sikkerhetskopier til de utløper (7 dager for daglige, 90 dager for ukentlige sikkerhetskopier).

Forespørsler fra sluttbrukerne dine

Kontakter en av sluttbrukerne dine oss for å bruke en rettighet etter GDPR, sender vi forespørselen videre til deg uten ugrunnet opphold og svarer ikke selv med mindre du skriftlig gir oss lov. I dashbordet kan du eksportere og slette tilbakemeldinger.

Brudd på personopplysningssikkerheten

Vi varsler deg om brudd på personopplysningssikkerheten som gjelder dine data, uten ugrunnet opphold og innen 48 timer der det er mulig, på e-post til organisasjonens eiere og administratorer. Du er ansvarlig for å melde fra til Datatilsynet eller din egen tilsynsmyndighet og til de berørte der GDPR krever det; vi gir deg informasjonen vi har.

Revisjon

Du kan revidere at vi overholder Databehandleravtalen, med 30 dagers skriftlig varsel, én gang i året med mindre det er grunn til mer. Skriv til legal@innflyt.com. Vi kan først gi skriftlig dokumentasjon av tiltakene våre.

Tekst til din egen personvernerklæring

Som behandlingsansvarlig må du fortelle sluttbrukerne at en databehandler er involvert. Kopier teksten nedenfor inn i personvernerklæringen din, og tilpass linjen om lagringstid til innstillingen du har valgt: bytt ut tallene i hakeparentes, eller bruk den alternative setningen hvis du har valgt «behold».

Tilbakemeldinger (Innflyt)

Vi bruker Innflyt, levert av Backroad AS (organisasjonsnummer 934 341 929,
Bergen), til å ta imot tilbakemeldingene du sender oss gjennom
tilbakemeldingsknappen på dette nettstedet. Vi er behandlingsansvarlige for
tilbakemeldingene. Backroad AS er vår databehandler etter artikkel 28 i
personvernforordningen (GDPR) og behandler dem bare etter våre instrukser,
under en databehandleravtale.

Dette samles inn når du sender en tilbakemelding: det du skriver og velger
i skjemaet; adressen til siden du var på; nettleser, operativsystem,
enhetstype, skjermstørrelse og språk; tidspunktet; og, hvis du velger å
oppgi dem, e-postadressen din slik at vi kan svare, og opptil fem
skjermbilder. Er du innlogget, kan nettstedet vårt legge til e-postadressen
og bruker-ID-en din. IP-adressen din lagres ikke sammen med
tilbakemeldingen; en omgjort (hashet) form av den brukes i opptil 24 timer
for å begrense hvor ofte det kan sendes tilbakemeldinger.

Hvor det behandles: dataene lagres i EU (Stockholm, Sverige), tas imot av
serverfunksjoner i EU (Frankfurt, Tyskland) og vises for oss i et dashbord
som kjører på servere i Norge, med sikkerhetskopier i EU. Noen av
Backroad AS' leverandører kan få tilgang fra land utenfor EØS; slike
overføringer er dekket av EU-kommisjonens standard personvernbestemmelser
eller EU-US Data Privacy Framework.

Hvor lenge det lagres: tilbakemeldinger slettes etter [365] dager og
skjermbilder etter [90] dager.
(Har du valgt «behold», bruk i stedet: Tilbakemeldinger lagres til vi
sletter dem.)

Tilbakemeldingen din brukes ikke til å trene modeller for kunstig
intelligens, brukes ikke til reklame eller profilering, og selges ikke.

Detaljer, også gjeldende liste over Backroad AS' underdatabehandlere,
er publisert på https://innflyt.no/processor-info.

Én ting denne teksten ikke kan gjøre. Tilbakemeldingstekst og skjermbilder er frie felt, så en sluttbruker kan ta med sensitive opplysninger du aldri har bedt om. Legg inn en kort linje ved tilbakemeldingsknappen som ber folk om ikke å ta med sensitive personopplysninger som tilbakemeldingen ikke trenger.

Kontakt

Backroad AS · Måseskjæret 18, 5035 Bergen. Tilsynsmyndighet: Datatilsynet.