Personvernerklæring

1. Behandlingsansvarlig

Good2Know
Org.nr: Under registrering
E-post: hei@good2know.no
Nettsted: good2knowos.polsia.app

Good2Know er behandlingsansvarlig for dine personopplysninger etter EUs personvernforordning (GDPR) og norsk personopplysningslov.

2. Personopplysninger vi behandler

Vi samler inn følgende opplysninger om deg:

Vi samler ikke inn fødselsnummer, helseopplysninger eller andre særlige kategorier av personopplysninger som standardopplysning.

2b. Særlige kategorier av personopplysninger (GDPR art. 9)

Good2Know er utformet for å minimere innsamling av særlige kategorier. Vi ber aldri eksplisitt om helsedata, etnisk opprinnelse, politisk overbevisning, religiøs tilhørighet, fagforeningsmedlemskap eller biometriske data.

Dersom du frivillig inkluderer slike opplysninger i samtalen din med KI-assistenten — for eksempel for å forklare en NAV-sak, helserelatert klage eller gjeldssituasjon — behandles disse utelukkende for å levere tjenesten du etterspurte. Rettslig grunnlag: eksplisitt samtykke (GDPR art. 9 nr. 2 a) — ved å sende inn slike opplysninger gir du aktivt samtykke til at de behandles for å besvare din henvendelse.

Ekstra sikkerhet for sensitive opplysninger: Juridisk informasjon om helse, NAV, gjeld og lignende behandles med samme tekniske sikkerhetstiltak som øvrige data (kryptering i transit og ved lagring, tilgangskontroll). Slike opplysninger brukes kun for å gi deg veiledning — de deles ikke med tredjeparter utover det som er strengt nødvendig, og brukes aldri til trening av AI-modeller.

Vi oppfordrer deg til kun å dele sensitive opplysninger i den grad det er nødvendig for å få hjelp med saken din. Du kan bruke generelle beskrivelser der det er tilstrekkelig.

Særlig sensitive opplysninger slettes etter samme retningslinjer som øvrige personopplysninger (se punkt 5).

2c. Anonymisert og aggregert data

Vi lagrer anonymisert og aggregert informasjon om sakstyper, handlinger og utfall (MOAT-modellen) for å forbedre kvaliteten på veiledningen. Denne dataen:

• Inneholder ingen personopplysninger — ingen navn, fødselsnummer, adresser eller rå samtaletext.
• Kan ikke spores tilbake til enkeltpersoner — mønstre lagres, ikke identiteter.
• Brukes utelukkende til å forbedre anbefalinger og gi mer presise svar basert på erfaringsdata fra liknende saker.
• Personopplysninger fjernes automatisk (PII-stripping) før data anonymiseres og lagres.

Rettslig grunnlag: Berettiget interesse (GDPR art. 6 nr. 1 f) eller samtykke (art. 6 nr. 1 a) basert på opt-in valg i innstillinger. Du kan når som helst reservere deg mot anonym datainnsamling via kontoinnstillinger.

3. Rettslig grunnlag (GDPR art. 6)

Vi behandler dine personopplysninger på følgende grunnlag:

• Avtale (art. 6 nr. 1 b): Behandling nødvendig for å oppfylle tjenesteavtalen med deg — brukerautentisering, KI-veiledning, dokumenthåndtering.
• Samtykke (art. 6 nr. 1 a): Markedsføring via e-post, informasjonskapsler (cookies) som ikke er strengt nødvendige, og opt-in til anonymisert datainnsamling. Du kan trekke samtykke når som helst.
• Berettiget interesse (art. 6 nr. 1 f): Sikkerhet, feilsøking, forbedring av tjenesten og anonymisert mønsteranalyse (se punkt 2c).
• Rettslig forpliktelse (art. 6 nr. 1 c): Bokføring og skattemessig dokumentasjon.

4. Tredjeparter og databehandlere

Vi deler data med følgende underleverandører (databehandlere) utelukkende for å levere tjenesten:

SCCs = Standard Contractual Clauses (EU-standardavtaler for overføring til tredjeland). Vi har inngått databehandleravtaler med alle leverandører og krever at de behandler data utelukkende etter våre instrukser. Data deles ikke med andre tredjeparter enn det som er nødvendig for å levere tjenesten.

Vi selger eller utleier aldri dine personopplysninger til tredjeparter for markedsføring eller andre formål.

4b. Juristsjekk — dataflyt og jurist som databehandler

Jurist registrert i Advokattilsynets juristregister

Juristsjekk formidles til jurister registrert i Advokattilsynets juristregister i henhold til advokatlov av 2025 (trådte i kraft 1. januar 2025). Juristen er en selvstendig tjenesteyter og ikke ansatt i Good2Know.

I personvernrettslig forstand er juristen en databehandler for de personopplysningene som inngår i dokumentutkastet du sender til gjennomgang. Good2Know inngår databehandleravtale (DPA) med alle jurister som er tilknyttet Juristsjekk-tjenesten. Juristens behandling av dine opplysninger er begrenset til gjennomgang av det aktuelle dokumentet.

Dataflyt mellom SaaS-delen og Juristsjekk

• SaaS-lag (Good2Know AI-plattform): Samtalehistorikk, dokumentgenerering, rettighetsprofil og anonymisert mønsterdata behandles utelukkende av Good2Know og underleverandørene i tabell ovenfor (Render, Neon, Anthropic). Juristene har ikke tilgang til dette laget.
• Juristsjekk-lag (formidlingstjeneste): Dokumentutkastet du sender til gjennomgang, din kontaktinformasjon (e-post for leveranse) og oppdragsbeskrivelsen overføres til den aktuelle juristen. Juristen benytter disse opplysningene utelukkende for å utføre gjennomgangen.
• Juristen har databehandleravtale med Good2Know og er forpliktet til å behandle mottatte opplysninger konfidensielt og i samsvar med GDPR.
• Etter at oppdraget er levert, beholder juristen ikke dine opplysninger utover det som er påkrevd av bokførings- eller profesjonslovgivning.

Lagringstid for Juristsjekk-data

Opplysninger knyttet til Juristsjekk-oppdrag oppbevares av Good2Know i 3 år etter utført oppdrag for dokumentasjons- og eventuelle tvisteformål, og deretter slettes de.

4c. Tredjelandsoverføring og Schrems II-tiltak

Etter Schrems II-dommen (C-311/18) og gjeldende EDPB-retningslinjer er det ikke tilstrekkelig å basere seg på SCCs alene ved overføring til USA. Vi har derfor gjennomført en Transfer Impact Assessment (TIA) og implementert følgende supplerende tiltak (supplementary safeguards):

Rettslig grunnlag for overføring til Anthropic (USA)

• Databehandleravtale (DPA): Good2Know har inngått databehandleravtale med Anthropic i henhold til Anthropics kommersielle vilkår (ikke forbruker-API). Anthropic er bundet av DPA-forpliktelser og kan ikke bruke data til egne formål.
• Standard Contractual Clauses (SCCs): EU-Kommisjonens standardavtaler av 2021 er implementert som overføringsgrunnlag.
• Antropics forpliktelse: Anthropic sletter innsendte forespørsler og svar etter 30 dager og bruker dem ikke til trening av AI-modeller — bekreftet i DPA.

Tekniske supplerende tiltak (supplementary safeguards)

• PII-anonymisering FØR API-kall: Personopplysninger (personnummer, telefonnummer, e-postadresser, kontonummer, adresser m.m.) anonymiseres automatisk av vårt system før samtalen sendes til Anthropics API. Personopplysninger erstattes med plassholdere (f.eks. [PERSONNUMMER], [EPOST], [KONTONR]) og aldri i klartekst.
• Minimert dataeksponering: Kun den anonymiserte samtalehistorikken nødvendig for å generere svar overføres. Brukerens identitet (navn, e-post, bruker-ID) overføres aldri til Anthropic.
• Kryptering i transit: All kommunikasjon med Anthropics API skjer over TLS (HTTPS). Data overføres aldri ukryptert.

Vurdering av risiko

Basert på vår TIA (Transfer Impact Assessment, intern dokumentasjon datert april 2026) er risikoen vurdert som akseptabel med følgende begrunnelse:

• Anthropic er underlagt kommersielle vilkår (ikke forbruker-API) og behandler data som databehandler.
• Personopplysninger anonymiseres server-side før overføring — selv ved teoretisk myndighetstilgang ville innholdet ikke inneholde direkte identifiserbare opplysninger.
• Anthropic har ikke EU-eksklusiv API-region per i dag, men SCCs + DPA + teknisk anonymisering utgjør tilstrekkelige supplementary safeguards iht. EDPB Guidelines 05/2021.

Dersom du ønsker innsyn i TIA-dokumentet, kontakt oss på hei@good2know.no.

5. Oppbevaringsperiode og slettingsprosess

Vi oppbevarer dine personopplysninger så lenge kontoen din er aktiv. Lagringsperiodene per datakategori er:

Eksakt slettingsprosess

6. Dine rettigheter

Etter GDPR har du følgende rettigheter — kostnadsfritt og uten begrunnelse:

• Innsyn (art. 15): Be om en kopi av alle personopplysninger vi har registrert om deg.
• Retting (art. 16): Korrigere uriktige eller ufullstendige opplysninger.
• Sletting (art. 17): Be om sletting av kontoen og alle personopplysninger («retten til å bli glemt»). Vi sletter innen 30 dager.
• Dataportabilitet (art. 20): Motta dine data i et strukturert, maskinlesbart format (JSON/CSV) slik at du kan flytte dem til en annen tjeneste.
• Innsigelse (art. 21): Protestere mot behandling basert på berettiget interesse.
• Begrensning (art. 18): Be om midlertidig stopp i behandlingen, for eksempel mens en tvist pågår.
• Trekke samtykke (art. 7 nr. 3): Tilbakekalle samtykke når som helst. Dette påvirker ikke lovligheten av behandling gjort før tilbakekallet.

Du har rett til å klage til Datatilsynet dersom du mener vi behandler dine opplysninger i strid med loven:

Datatilsynet
Nettside: datatilsynet.no
Postadresse: Postboks 458 Sentrum, 0105 Oslo
E-post: postkasse@datatilsynet.no

7. Informasjonskapsler (cookies)

Vi bruker et begrenset sett med informasjonskapsler:

Nødvendige (krever ikke samtykke)

• Sesjon og autentisering: JWT-token lagret i localStorage for innlogging. Nødvendig for at tjenesten skal fungere.

Analytiske (krever samtykke)

• Vi bruker per i dag ikke tredjeparts analyseverktøy. Dersom dette innføres, vil samtykke innhentes først.

Du kan styre informasjonskapsler via nettleserinnstillingene dine, men merk at blokkering av nødvendige cookies kan gjøre at tjenesten ikke fungerer.

8. Datasikkerhet

Vi beskytter dine data med følgende tekniske og organisatoriske tiltak:

• Kryptering i transit: All dataoverføring skjer via HTTPS/TLS. Data sendes aldri ukryptert over nettet.
• Kryptering ved lagring: Sensitive data (inkludert tilgangstokens) krypteres med AES-256-GCM i databasen.
• Passordfri autentisering: Innlogging via magisk lenke — ingen passord lagres.
• Tilgangskontroll: Kun autoriserte systemer og personer med tjenstlig behov har tilgang til personopplysninger.
• Minimalitetsprinsippet: Data deles ikke med tredjeparter utover det som er strengt nødvendig for å levere tjenesten.
• Regelmessig sikkerhetsgjennomgang: Kodebase og infrastruktur gjennomgås jevnlig for sårbarheter.

Dersom vi oppdager et sikkerhetsbrudd som berører deg, vil vi varsle deg og Datatilsynet innen 72 timer i samsvar med GDPR art. 33–34.

9. Bruk av kunstig intelligens (KI)

Good2Know bruker kunstig intelligens som del av en digital selvhjelpsplattform for å analysere spørsmål, generere informerende svar og produsere dokumentmaler til eget bruk. Teknologien er levert av Anthropic, PBC (USA) og behandler dine samtaledata for å gi relevante svar.

KI-selvhjelpsverktøyet innebærer at:

• Personopplysninger anonymiseres FØR AI-behandling: Personnummer, telefonnummer, e-postadresser, kontonummer og adresser erstattes automatisk med plassholdere av vårt system før samtalen sendes til Anthropic. Dette er et teknisk supplerende tiltak (supplementary safeguard) i henhold til Schrems II-retningslinjene — se avsnitt 4b for detaljer.
• Den anonymiserte samtalehistorikken overføres til Anthropics servere i USA for å generere svar (rettslig grunnlag: avtale, med SCCs og DPA som overføringsgrunnlag).
• Samtaledata lagres ikke av AI-leverandøren utover 30 dager og brukes ikke til trening av AI-modeller — bekreftet i databehandleravtale (DPA) med Anthropic.
• Brukerens identitet (navn, e-post) overføres aldri til Anthropic — kun anonymisert samtaleinnhold.
• Anthropic har egne retningslinjer for personvern og databehandling — se anthropic.com/privacy.
• KI-genererte svar er statistiske mønstertilpasninger basert på treningsdata — ikke individuell juridisk vurdering eller rådgivning.
• Svarene kan inneholde feil, mangler eller utdatert informasjon om gjeldende rett. Brukeren oppfordres til å verifisere informasjon mot lovdata.no og andre offisielle kilder.
• Good2Know gjennomfører ikke automatisert individuell beslutningstaking (GDPR art. 22) — KI-innholdet er veiledende informasjon, og ingen avgjørelser treffes automatisk basert på det.

Dersom du ønsker gjennomgang av et dokument av et menneske (jurist), kan du bestille Juristsjekk-tillegget — en avgrenset kvalitetsgjennomgang av brukerens eget dokumentutkast. Se vilkårene for nærmere informasjon.

10. Endringer i erklæringen

Vi kan oppdatere denne personvernerklæringen. Vesentlige endringer varsles via e-post til registrerte brukere minst 30 dager i forkant. Dato for siste revisjon vises øverst på siden.

11. Kontakt

For spørsmål om personvern, innsyn, sletting eller klager:

E-post: hei@good2know.no
Emne: «Personvern — [ditt navn/e-post]»
Svar innen: 30 dager

12. Personvernansvarlig (DPO)

GDPR art. 37 krever utpeking av en personvernombud (DPO) for virksomheter som i stor skala behandler særlige kategorier av personopplysninger, eller som foretar systematisk overvåking i stor skala.

Ansvaret for personvern og GDPR-etterlevelse ivaretas direkte av daglig ledelse. For alle henvendelser om personvern, bruk kontaktinformasjonen ovenfor (punkt 11). Vi behandler slike forespørsler med samme prioritet som en DPO-funksjon ville gjort — svar innen 30 dager.

Dersom omfanget av vår behandling endres, vil vi vurdere utpeking av personvernombud og oppdatere denne erklæringen tilsvarende.