Personvernerklæring

01

Innledning

Komma ApS (CVR-nr. 46208765), Paul Bergsøes Vej 16, 1. tv, 2600 Glostrup, Danmark, utvikler HR-systemet for nordiske virksomheter – hele HR samlet på ett sted, med AI-assistenten Karma innebygd. Denne personvernerklæringen forklarer hvordan vi behandler personopplysninger: hvilke opplysninger, hvorfor, hvor lenge – og hvilke rettigheter du har.

Erklæringen dekker hele reisen: ditt første besøk på nettstedet vårt, en demoforespørsel eller annen henvendelse, kundeforholdet, den daglige bruken av plattformen og mobilappen – og søknaden din hvis du søker jobb hos Komma. Uansett hvor du møter oss, finner du deg selv igjen i denne erklæringen.

Erklæringen er skrevet for å bli lest. Punkt 3 til 21 åpner hver med en «Kort fortalt»-boks: én til tre setninger i et enkelt språk som gir deg essensen før detaljene følger. Alt som passer i en tabell – kategorier av opplysninger, behandlingsgrunnlag, frister – står i tabeller, og den fullstendige ordlisten finner du i vedlegg A.

Erklæringen gjelder kommahr.com, kommahr.dk, Komma-plattformen og mobilappen. Der virksomheten din bruker plattformen, er virksomheten din behandlingsansvarlig for opplysningene i plattformen, og detaljene i vår behandling reguleres av databehandleravtalen (DPA) – se punkt 5 og 12.

Dette er versjon 1.2 av erklæringen. Den trer i kraft 31. juli 2026. Har du spørsmål underveis, kan du alltid skrive til hej@kommahr.com – se punkt 23.

02

Definisjoner

Personvern har sitt eget ordforråd. Her er de ti begrepene du oftest møter i denne erklæringen, forklart med enkle ord – den fullstendige ordlisten finner du i vedlegg A.

03

Vår personvernfilosofi

Det er dine data. Vi tar bare vare på dem. Den setningen er arbeidsdelingen i Komma: virksomheten din eier og kontrollerer opplysningene i plattformen – Komma lagrer og beskytter dem. Alt annet i denne erklæringen følger av det. Vi har omsatt det til fem forpliktelser:

• Personvern er en produktfunksjon. Tilgangsstyring på feltnivå, en revisjonslogg som ikke kan redigeres, og automatiske oppbevaringsregler er bygget inn i plattformen fra første dag – ikke tilleggsmoduler, og ikke noe du må bygge selv. Se punkt 15.
• Dataminimering fra første felt. Vi samler bare inn det et bestemt formål krever – demoskjemaet vårt har seks felter, og telefonnummeret er valgfritt. Inne i plattformen ser hver rolle bare feltene den trenger.
• Et nettsted der du bestemmer. kommahr.com og kommahr.dk setter ingen cookies, laster ingen reklamepiksler og har ingen chat-widgeter. Ved ditt første besøk spør en pop-up om du vil slå på Statistikk og Bedriftsgjenkjenning – begge er av til du sier ja. Uten ditt samtykke teller serveren vår bare, anonymt, hvor mange ganger hver side vises. Se punkt 8.
• Vi selger aldri data. Ikke til annonsører, ikke til datameglere, ikke som «anonymiserte innsikter». Dataene dine er ikke forretningsmodellen vår – plattformen er det.
• Klart språk fremfor juridisk sjargong. Denne erklæringen er skrevet for mennesker: punkt 3 til 21 åpner hver med en «Kort fortalt»-boks, og vi viser til de relevante artiklene i personvernforordningen (GDPR), slik at du selv kan kontrollere det vi påstår.

Disse fem forpliktelsene er ikke ambisjoner – de kan etterprøves. Les punkt 8 om nettstedet, punkt 14 om AI og punkt 15 om sikkerhet, og hold oss til dem.

04

GDPR-prinsippene i praksis

Artikkel 5 i personvernforordningen (GDPR) fastsetter sju prinsipper for all behandling av personopplysninger. De er målestokken vi arbeider etter – her er hvert prinsipp og hva det betyr i praksis hos Komma.

05

Våre roller: behandlingsansvarlig og databehandler

Personvernforordningen (GDPR) skiller mellom to roller. Den behandlingsansvarlige bestemmer hvorfor og hvordan personopplysninger behandles. Databehandleren behandler personopplysninger utelukkende på vegne av den behandlingsansvarlige og etter dennes instrukser.

For Komma er fordelingen enkel. Når du selv tar kontakt med oss – besøker nettstedet vårt, booker en demo, skriver til support eller søker jobb hos oss – er Komma ApS behandlingsansvarlig. Når virksomheten deres bruker Komma som HR-system, er dere behandlingsansvarlige for alt dere legger inn i plattformen: ansatte, tidligere ansatte, kandidater, innleide konsulenter og kontaktpersoner. De ansattes opplysninger tilhører dere – ikke oss. Vi behandler dem utelukkende etter deres instrukser i henhold til databehandleravtalen (DPA).

Hvis en ansatt, kandidat eller annen registrert i en kundes Komma-løsning ønsker innsyn i, retting av eller sletting av sine opplysninger, går forespørselen alltid til arbeidsgiveren – som behandlingsansvarlig kan og skal arbeidsgiveren besvare den. Mottar vi en slik forespørsel direkte, videresender vi den til kunden uten unødig opphold og besvarer den aldri på egen hånd. Vi bistår kunden med å oppfylle forespørselen, slik databehandleravtalen forplikter oss til (artikkel 28). Les mer om plattformen i punkt 12 og om rettighetene dine i punkt 19.

06

Kategorier av personopplysninger

Dette punktet viser hvilke kategorier av personopplysninger vi behandler i hver av våre to roller (se punkt 5). Punkt 7 kobler kategoriene til formål, behandlingsgrunnlag og oppbevaring.

6.1 Der Komma er behandlingsansvarlig

Der Komma er behandlingsansvarlig, samler vi bare inn det som skal til for å svare deg og drive virksomheten vår:

6.2 Der Komma er databehandler (opplysninger i plattformen)

Når virksomheten deres bruker plattformen, bestemmer dere som behandlingsansvarlig hvilke kategorier som behandles, om hvem og hvor lenge. Tabellen viser kategoriene plattformen kan inneholde:

Vi behandler særlige kategorier av personopplysninger – helseopplysninger og fagforeningsmedlemskap – utelukkende etter kundens dokumenterte instrukser og på kundens behandlingsgrunnlag, vanligvis arbeidsrettslige forpliktelser (artikkel 9 nr. 2 bokstav b). CPR-numre behandles bare der lønn eller lovpålagte formål krever det (§ 11 i den danske personvernloven (databeskyttelsesloven)).

Fraværsårsaker har egen beskyttelse i plattformen: tilgangen er begrenset i rollemodellen, og API-nøkler kan aldri hente dem – fraværsårsaker er, sammen med lønn og CPR-numre, utelukket fra API-tilgang ved kilden.

07

Behandlingsaktiviteter – oversikt

Tabellen dekker begge våre roller. I raden «Drift av plattformen» er Komma databehandler: der gjelder kundens behandlingsgrunnlag og oppbevaringsinnstillinger, og databehandleravtalen (DPA) setter rammen. I alle andre rader er Komma behandlingsansvarlig.

Der behandlingsgrunnlaget er berettiget interesse, har vi navngitt interessen i tabellen og gjennomført en interesseavveining mot dine interesser. Du kan alltid protestere mot behandling som bygger på berettiget interesse (artikkel 21) – se punkt 19.

Detaljene følger i punkt 8–13: nettsted og cookies (punkt 8), leads og markedsføring (punkt 9), demoer, webinarer og arrangementer (punkt 10), support (punkt 11), kunder og medarbeidere i plattformen (punkt 12) og jobbsøkere hos Komma (punkt 13).

08

Nettsted og cookies

Nettstedet setter ingen cookies, laster ingen reklamepiksler og har ingen chat-widgeter. Første gang du besøker kommahr.com eller kommahr.dk, spør en pop-up hvilke av tre typer lagring du godtar: Nødvendige, Statistikk og Bedriftsgjenkjenning. Nødvendige husker bare valget ditt, slik at vi ikke spør på nytt på hver side. De to andre er av til du slår dem på, og du kan når som helst endre eller trekke tilbake valget ditt med Cookie-innstillinger nederst på hver side.

8.1 Hva vi lagrer i nettleseren din

Vi lagrer bare det du har sagt ja til, og vi bruker ingen cookies til noe av det. Valget ditt i pop-upen ligger i nettleserens localStorage under nøkkelen "komma-consent" i 12 måneder, slik at vi ikke spør på nytt på hver side. Har du slått på Statistikk eller Bedriftsgjenkjenning, lagrer vi også i nettleserens sessionStorage hvilken side eller kampanje som sendte deg hit ("komma-src"), og for Bedriftsgjenkjenning en tilfeldig besøks-ID ("komma-sid"). Begge forsvinner når du lukker fanen. Språket kommer fra adressen – hvert språk har sin egen mappe, for eksempel /da/ – og lagres ikke.

8.2 Serverlogger

Webserveren registrerer automatisk tekniske logger med IP-adressen din, tidspunktet og sidene du ber om. Vi bruker dem utelukkende til sikkerhet og feilsøking – for eksempel for å oppdage angrep, misbruk og driftsfeil – på grunnlag av vår berettigede interesse i et sikkert og stabilt nettsted (artikkel 6 nr. 1 bokstav f). Loggene slettes senest etter 90 dager. Nettstedet hostes av Vercel, og serverfunksjonene våre kjører i EU (Stockholm) (se punkt 16).

I tillegg til loggene teller serveren vår hver side den leverer, for hver besøkende og uten å spørre: én til i dagens totaler for siden, nettstedet som sendte deg hit (bare navnet), eventuelle kampanjetagger i lenken og landet og regionen din (for eksempel Region Midtjylland), begge ut fra nettverkets plassering. Ingen IP-adresse, ingen nettleseropplysninger og ingen ID lagres, og ingenting leses fra eller lagres på enheten din. Forespørsler som ser automatiserte ut, telles separat. De daglige totalene slettes etter 120 dager.

8.3 Statistikk og bedriftsgjenkjenning – bare med ditt samtykke

Slår du på Statistikk, laster hver side Vercel Web Analytics fra nettstedets egen adresse. Den teller sidevisninger, henvisende nettsted, land, nettleser og enhetstype, viser oss bare totaler, setter ingen cookies og følger deg verken på tvers av andre nettsteder eller fra én dag til den neste.

Slår du på Bedriftsgjenkjenning, prøver vi å finne ut hvilken virksomhet – aldri hvilken person – et besøk kommer fra. IP-adressen din slås opp i en kopi av IPinfos database som ligger i vår egen serverfunksjon i EU (Stockholm), og i offentlig DNS og i en kopi av RIPE NCCs offentlige register over hvem IP-adresser er tildelt, som også ligger i vår egen serverfunksjon. Deretter forkastes IP-adressen; vi lagrer den aldri, heller ikke som hash. Hvis nettverket tilhører en virksomhet, lagrer vi virksomhetens navn, de viste sidene, tiden brukt på dem, hvor besøket kom fra og landet i databasen vår hos Upstash (Frankfurt) i 90 dager. De samme opplysningene kan bli et notat eller en lead i CRM-systemet vårt, Pipedrive, og salgsteamet vårt kan få en melding om besøket i Microsoft Teams. For danske virksomheter slår vi opp størrelse og bransje i CVR-registeret via cvrapi.dk – bare ut fra virksomhetens navn.

Et besøk fra en privat eller mobil forbindelse blir bare telt, aldri navngitt. Hvis forbindelsen har sitt eget domene i DNS, teller vi bare dette domenet per dag, i 30 dager, for å måle hvor godt oppslaget fungerer.

Med dette samtykket teller vi også den omtrentlige byen nettverket ligger i (for eksempel Aarhus; på mobilnett ofte operatørens by). For besøk vi ikke kan knytte til en virksomhet, teller vi dessuten per region – aldri per by – om pris-, demo- eller kontaktsiden ble vist. Begge deler lagres bare som daglige totaler uten IP-adresse eller ID og slettes etter 90 dager.

Serverloggene og den anonyme sidetellingen bygger på vår berettigede interesse (artikkel 6 nr. 1 bokstav f) i et sikkert, stabilt nettsted og i å vite hvilke sider som brukes. Statistikk og all lagring i nettleseren din utover valget ditt bygger på ditt samtykke (artikkel 6 nr. 1 bokstav a), som du når som helst kan trekke tilbake. Oppfølging av virksomhetsbesøk bygger på vår berettigede interesse i å vite hvilke virksomheter som ser på Komma (artikkel 6 nr. 1 bokstav f). Vi har gjennomført den nødvendige interesseavveiningen mot dine interesser, og du kan alltid protestere (artikkel 21) – se punkt 19.

8.4 Vårt løfte

Legger vi til nye tjenester som lagrer noe i nettleseren din eller sender opplysninger om besøket ditt, havner de bak samtykke-pop-upen, og dette punktet oppdateres før noe som helst plasseres i nettleseren din (se punkt 22 om endringer i denne erklæringen).

09

Leads og markedsføring

Komma er B2B: markedsføringen vår retter seg mot virksomheter, men det er alltid mennesker som fyller ut skjemaene. Her er nøyaktig hva vi samler inn, hvorfor vi har lov til det, og hva vi aldri gjør.

9.1 Hva vi samler inn

Nettstedet har to skjemaer. Vi samler bare inn det feltene viser, samt hvilket skjema du brukte, siden du sendte det fra og sidens språk. Det ligger ingen skjult berikelse bak: bedriftsgjenkjenning skjer bare hvis du har sagt ja til det i pop-upen eller i skjemaet (se punkt 8.3). Vi registrerer rollen eller tittelen din bare der den fremgår av henvendelsen din – for eksempel i e-postsignaturen din.

9.2 Behandlingsgrunnlag

Der vi bygger på berettiget interesse, har vi foretatt den nødvendige avveiningen av vår interesse mot dine rettigheter (interesseavveiningen). Du kan når som helst protestere mot behandlingen (artikkel 21) – og da stopper vi. Les mer om rettighetene dine i punkt 19.

9.3 Markedsføring vi ikke driver med

Det enkleste er å liste opp hva som ikke skjer når du kontakter oss:

• Ingen nurture-flyter – en demobooking utløser ikke en e-postsekvens.
• Ingen autosvar-kampanjer – det neste du hører fra oss, er et menneske som har lest meldingen din.
• Ingen nyhetsbrev – vi har ikke noe i dag, så det finnes ingenting du må huske å melde deg av.
• Ingen videresalg – vi selger eller deler aldri kontaktopplysningene dine med noen til markedsføring.

9.4 Oppbevaring

Blir virksomheten din ikke kunde, sletter vi henvendelsen og kontaktopplysningene dine 12 måneder etter vår siste aktive kontakt. Blir dere kunde, flyttes opplysningene til kundestamdata og følger kundeforholdet (se punkt 18).

9.5 Hvis vi en gang lanserer et nyhetsbrev

Lanserer vi en gang et nyhetsbrev, vil det bygge utelukkende på samtykke (artikkel 6 nr. 1 bokstav a): vi skriver bare til deg hvis du aktivt har meldt deg på, ingen eksisterende kontakter flyttes automatisk over, og du kan trekke tilbake samtykket like enkelt som du ga det – med ett klikk i hver e-post.

10

Demoer, webinarer og arrangementer

Vi viser deg heller Komma enn å snakke om det. Her er hvordan vi håndterer personopplysninger når du møter oss på en demo, i et prøvemiljø eller – en dag – på et webinar.

10.1 Demoer

En demo er en avtalt økt der vi viser deg plattformen – og etterpå følger et menneske opp med et personlig svar på det du spurte om. Du meldes ikke automatisk på noe – ingen lister, ingen flyter, ingen kampanjer. Vi behandler bookingopplysningene som beskrevet i punkt 9, og de slettes etter de samme reglene.

10.2 Prøvemiljøer

Setter vi opp et prøvemiljø for dere, gjelder én enkel regel: opplysningene i prøvemiljøet er deres. Vi behandler dem utelukkende for å levere miljøet (artikkel 6 nr. 1 bokstav b) og bruker dem verken til utvikling, statistikk eller markedsføring. Blir dere kunde, fortsetter behandlingen i henhold til databehandleravtalen som en del av kundeforholdet (se punkt 12). Utløper prøveperioden uten avtale, sletter vi prøvemiljøet og alle opplysninger i det senest 30 dager etter utløpet – og sikkerhetskopier er fullstendig renset innen høyst 90 dager, akkurat som når et kundeforhold avsluttes (se punkt 18).

10.3 Webinarer og arrangementer

Vi holder ikke webinarer i dag. Gjør vi det en gang – eller holder arrangementer med påmelding – bruker vi påmeldingsopplysningene dine bare til det konkrete arrangementet: praktisk informasjon før, under og rett etter. Du legges aldri til markedsføringslister uten et separat, aktivt samtykke (artikkel 6 nr. 1 bokstav a).

11

Support

God support krever overraskende få personopplysninger. Her er hva vi behandler når du skriver til oss – og hva vi ber deg om ikke å sende.

11.1 Hva vi behandler

Support er forbeholdt kunder som bruker Komma-plattformen, og går via support@kommahr.com. Henvendelser fra alle andre besvares på hej@kommahr.com. Når du skriver til oss, behandler vi navnet ditt, kontaktopplysningene dine på jobb og innholdet i henvendelsen – verken mer eller mindre. For kunder er support en del av avtalen vår med dere (artikkel 6 nr. 1 bokstav b). Skriver du til oss uten å være kunde, svarer vi på grunnlag av vår berettigede interesse i å besvare henvendelser om produktet vårt (artikkel 6 nr. 1 bokstav f); du kan protestere etter artikkel 21 (se punkt 19).

11.2 Ikke send ansattes personopplysninger

Vi ber deg om én ting: ikke lim inn ansattes personopplysninger i supporthenvendelser. Beskriv heller problemet – for eksempel med en ansatt-ID eller et skjermbilde uten personopplysninger. CPR-numre, lønnsopplysninger og fraværsårsaker hører hjemme i plattformen, ikke i en e-post. Mottar vi slike opplysninger likevel, sletter vi dem når saken er avsluttet.

11.3 Tilgang til opplysningene deres i plattformen

Noen saker kan bare løses ved at en i supportteamet vårt ser på opplysningene deres i plattformen. Det skjer utelukkende når det er nødvendig for å løse den konkrete saken. Tilgangen er avgrenset av plattformens rollemodell og registreres alltid i revisjonsloggen som ikke kan redigeres – så dere selv kan se hvem som så hva, og når.

11.4 Oppbevaring

12

Kunder og medarbeidere i plattformen

Dette punktet er for deg som Komma-kunde – og for deg som ansatt, kandidat eller kontaktperson i en virksomhet som bruker plattformen. Det beskriver rollefordelingen og databehandleravtalen (punkt 12.1), hva plattformen inneholder og hvordan den rydder opp av seg selv (punkt 12.2), og hvordan medarbeidernes tilgang styres og logges (punkt 12.3).

12.1 Roller og databehandleravtalen

Når virksomheten deres bruker plattformen, er dere behandlingsansvarlig for hver eneste personopplysning dere legger inn i den. Dere bestemmer formålene, velger oppbevaringsinnstillingene og gir instruksene. Komma ApS er deres databehandler og behandler opplysningene bare innenfor den rammen (artikkel 28).

Grunnlaget er databehandleravtalen vår (DPA), en fast del av hver kundeavtale. Blant annet forplikter den oss til følgende:

Hvis en ansatt, kandidat eller annen registrert kontakter oss direkte om opplysninger i plattformen deres, videresender vi forespørselen til dere og besvarer den aldri på egen hånd. Dere, som behandlingsansvarlig, svarer – vi leverer bistanden og verktøyene.

12.2 Hva plattformen inneholder – og når den sletter av seg selv

Punkt 6.2 beskriver kategoriene av personopplysninger plattformen er bygget for å inneholde – fra stamdata om ansatte og lønnsdata til fravær, rekruttering og tilbakemelding. Dere bestemmer hvilke kategorier dere bruker, og hvor lenge de oppbevares. Sletting er en innebygd funksjon, ikke et manuelt pliktløp – plattformen leveres med disse automatiske standardinnstillingene:

Standardinnstillingene gjenspeiler dansk praksis og lovpålagte oppbevaringskrav, men oppbevaringsinnstillingene er deres: dere kan tilpasse dem til egne slettefrister – innenfor lovens grenser.

12.3 Medarbeidere i plattformen

Medarbeidere er de som logger inn i plattformen deres – HR-teamet, ledere og ansatte. Tilgangen bygger på et enkelt prinsipp: hver medarbeider ser bare det rollen deres krever.

• Innlogging med Microsoft Entra ID (SSO) med automatisk tildeling og fjerning av tilgang: når en medarbeider forlater virksomheten, stenges tilgangen automatisk.
• Rollebasert tilgangsstyring helt ned på feltnivå, avgrenset etter avdeling, lokasjon og juridisk enhet.
• Revisjonslogg som ikke kan redigeres: hver lesing, endring og eksport registreres i en revisjonslogg som ikke kan redigeres.
• Anonymitetsterskler i pulsmålinger: svar vises bare i grupper som er store nok til at ingen kan identifiseres.

Er du medarbeider med tilgang til en kundes plattform, er arbeidsgiveren din behandlingsansvarlig for opplysningene dine. For å utøve rettighetene dine kontakter du arbeidsgiveren din – se punkt 19.

13

Jobbsøkere hos Komma

Søker du en stilling hos Komma – på e-post eller via en stillingsannonse – behandler vi søknaden din, CV-en din, kontaktopplysningene dine og notatene våre fra intervjuene. Vi innhenter referanser først etter avtale med deg.

Det finnes ingen automatisering i rekrutteringen vår: hver søknad leses av et menneske, og hver beslutning underveis tas av mennesker (se punkt 21).

Har du spørsmål om søknaden din eller opplysningene dine, skriv til hej@kommahr.com. Rettighetene dine er beskrevet i punkt 19.

14

AI og ansvarlig AI

AI er ikke et tillegg i Komma – det er en del av plattformen. Nettopp derfor skylder vi dere et presist svar på tre spørsmål: Hva gjør Karma? Hva gjør den ikke? Og hvem bestemmer? Dette punktet besvarer alle tre.

14.1 Hva Karma er

Karma er den innebygde AI-assistenten på tvers av plattformens moduler. Når Karma arbeider, behandler den personopplysningene som allerede ligger i plattformen deres – som deres databehandler og bare etter deres instrukser (se punkt 5). Her er den ærlige listen over hva Karma gjør:

• svarer på spørsmål ut fra levende HR-data – for eksempel «Hvor mange feriedager har teamet igjen i år?»
• lager utkast til endringer i felter og stamdata, som en medarbeider deretter godkjenner eller avviser
• tolker CV-er til kompetansescorer fra 0 til 5 som kan forklares akse for akse
• lager utkast til stillingsannonser
• matcher kandidater mot roller med en åpen, vektet formel – vektene er synlige, ikke gjemt bort
• markerer fraværsmønstre slik at en leder kan ta samtalen i god tid
• forklarer lønnslinjer i et enkelt språk
• oppsummerer evalueringer og tilbakemeldingsprosesser
• foreslår læringsløp og vaktdekning

14.2 Våre åtte forpliktelser

Hver AI-funksjon i Komma bygger på ett prinsipp: «Karma lager utkast. Et menneske bestemmer.» Det prinsippet utfolder seg i åtte forpliktelser, og de gjelder for hver eneste AI-funksjon i plattformen:

1. Ingenting skrives inn i systemet før et menneske godkjenner det.
2. Ingen automatiserte beslutninger om mennesker – og det kan ikke slås på.
3. Én kundes opplysninger trener aldri modeller som brukes for andre kunder, og prompter brukes ikke til å trene de underliggende grunnmodellene.
4. Karma arver plattformens rollemodell og kan aldri vise en medarbeider opplysninger som rollen deres ikke selv kunne se.
5. Scorer kan forklares: vektet og akse for akse – aldri et tall fra en svart boks.
6. Hvert AI-forslag havner i revisjonsloggen som ikke kan redigeres.
7. Dere kan slå AI av.
8. Karma markerer det den har utledet, og sier fra når den er usikker.

14.3 Hvor vi stopper

Ansvarlig AI handler like mye om hva man velger ikke å bygge. Vi har bevisst utelatt følgende:

• individuell produktivitetsscoring av ansatte
• sentimentanalyse av fritekst i medarbeidersamtaler og pulsmålinger
• automatisk avslag på søkere
• risikoscorer for oppsigelse som peker ut navngitte ansatte som trolig vil si opp

Disse funksjonene finnes ikke i produktet, og de kan ikke aktiveres – ikke via en innstilling, ikke mot betaling og ikke på forespørsel.

14.4 Teknologien bak Karma

Karma kjører på infrastruktur i EU og under de samme sikkerhetsreglene som resten av plattformen:

• Behandling i EU: AI-modellene bak Karma kjører på Azure OpenAI Service i Microsofts region Sweden Central (EU) – opplysningene deres forlater ikke EU for å bli behandlet av AI.
• Ingen trening: Prompter og svar brukes aldri til å trene de underliggende grunnmodellene eller modeller for andre kunder. Behandlingen er flyktig – det som lagres, er forslaget i revisjonsloggen.
• Arvet tilgangsstyring: Karma arver plattformens rollebaserte tilgangsstyring helt ned på feltnivå. Et spørsmål til Karma kan aldri bli en bakdør til opplysninger.
• Full sporbarhet: Hvert forslag registreres i revisjonsloggen som ikke kan redigeres (se punkt 15).
• Deres kontroll: Dere slår AI av og på – beslutningen ligger hos dere.

Og den rettslige stillingen: ingen beslutning med rettsvirkning eller tilsvarende betydelig virkning for en person treffes utelukkende ved automatisert behandling i Komma (artikkel 22). Karma gir beslutningsstøtte – mennesker bestemmer. Les mer om automatiserte avgjørelser og profilering i punkt 21.

15

Informasjonssikkerhet

Et HR-system inneholder noe av den mest fortrolige informasjonen en virksomhet har: lønn, fravær, helsedokumentasjon og CPR-numre. Derfor er sikkerhet ikke en funksjon i Komma – det er en forutsetning. Vi beskytter opplysningene deres med tekniske og organisatoriske tiltak (artikkel 32), og dette er de viktigste:

• Teknologi og infrastruktur
  • All trafikk krypteres under overføring (TLS 1.2 eller nyere), og alle data krypteres i hvile.
  • Plattformen kjører på Microsoft Azure i regionen Sweden Central (EU) – se også punkt 17 om internasjonale overføringer.
  • Hemmeligheter som nøkler og sertifikater lagres i Azure Key Vault, og systemkomponenter autentiserer seg med administrerte identiteter – uten delte passord.
  • Sikkerhetskopier er kryptert, ligger i EU og slettes i et rullerende vindu på maksimalt 35 dager.
• Tilgang og sporbarhet
  • Rollebasert tilgangsstyring ned på feltnivå avgjør hvem som ser hva – en leder kan for eksempel se at en medarbeider er fraværende, uten å se årsaken.
  • Hver lesing, endring og eksport registreres i en revisjonslogg som ikke kan redigeres.
  • Telemetri- og feildata renses for personopplysninger før de logges.
  • Svar på pulsmålinger vises bare i grupper som er store nok til å hindre at enkeltpersoner kan identifiseres.
• Mennesker og prosesser
  • Sikkerhet er en del av utviklingsarbeidet vårt fra design til lansering.
  • Alle ansatte i Komma har signert en taushetserklæring og blir introdusert for sikkerhetskravene våre.
  • Vi vurderer en leverandørs sikkerhet før vi tar den i bruk (se punkt 16).

Sikkerhetsprogrammet vårt er bygget opp rundt anerkjente rammeverk: kravene i artikkel 32 i personvernforordningen (GDPR) og prinsippene i ISO 27001. Komma er i ferd med å bli ISO 27001-sertifisert. Vi skriver først «sertifisert» den dagen en uavhengig part har slått det fast.

Den fullstendige katalogen over våre tekniske og organisatoriske tiltak (TOMs) finner du i vedlegg C.

16

Databehandlere og underdatabehandlere

Våre to roller (se punkt 5) har betydning her. Der vi er behandlingsansvarlig – nettstedet, leads, support og vår egen administrasjon – er leverandørene vi bruker, våre databehandlere. Der vi er databehandler for opplysningene dere legger inn i plattformen, er de samme typene leverandører underdatabehandlere. Kravene er de samme i begge tilfeller.

16.1 Slik vurderer vi databehandlerne våre

Ingen leverandør behandler personopplysninger på våre vegne før fire ting er på plass:

• En databehandleravtale. Vi inngår en DPA som oppfyller kravene i artikkel 28 nr. 3 – dokumenterte instrukser, taushetsplikt, sikkerhet, regler for ytterligere underdatabehandlere og sletting når oppdraget avsluttes.
• Forhåndsundersøkelse. Vi gjennomgår leverandørens sikkerhetsdokumentasjon, hostingsteder og etterlevelse av GDPR før vi signerer.
• EU først. Vi velger leverandører som behandler personopplysninger i EU/EØS. Alt annet er unntaket og krever et gyldig overføringsgrunnlag (se punkt 17).
• Sikkerhet på vårt eget nivå. Kryptering, tilgangsstyring og logging på det nivået vi krever av oss selv (se vedlegg C).

16.2 Hvem vi bruker i dag

Plattformen kjører på Microsoft Azure i regionen Sweden Central, og Azure OpenAI Service – i den samme EU-regionen – leverer AI-modellene bak Karma. Microsoft er derfor vår sentrale underdatabehandler: infrastruktur, database, lagring, sikkerhetskopiering og AI. Prompter og svar brukes ikke til å trene de underliggende AI-modellene (se punkt 14), og skulle Microsoft unntaksvis få behov for supporttilgang fra et tredjeland, gjelder rammen i punkt 17.

I vår egen drift hoster Vercel nettstedet (kommahr.com og kommahr.dk); serverfunksjonene våre kjører i EU (Stockholm), og sidene leveres fra Vercels nettverk nær deg. Upstash lagrer virksomhetsbesøk og samtykkeregistreringer i EU (Frankfurt). Til salgsarbeidet vårt bruker vi Pipedrive som CRM – leads og kundekontakter behandles i EU – og salgsteamet vårt mottar meldinger om virksomhetsbesøk i Microsoft Teams. Skrifttypene og alle skript leveres fra nettstedets eget domene, så nettleseren din sender ingenting til tredjeparter.

Den autoritative og alltid oppdaterte listen over underdatabehandlerne våre er vedlegg D sammen med den løpende listen det vises til i databehandleravtalen.

16.3 Endringer med minst 30 dagers varsel

Vi legger aldri til eller bytter ut en underdatabehandler i det stille. Dere får minst 30 dagers varsel før en ny underdatabehandler behandler opplysningene deres, og dere kan protestere etter prosedyren som er fastsatt i DPA-en.

16.4 Lønnssystemer er deres valg – ikke våre underdatabehandlere

Kobler dere Komma til lønnssystemet deres – Zenegy, Danløn, Dataløn, Visma, Lessor eller Intect – velger dere integrasjonen, og den kjører etter deres instruks. Lønnsleverandøren er deres egen databehandler eller en selvstendig behandlingsansvarlig, ikke en underdatabehandler for Komma. Vi overfører bare de opplysningene konfigurasjonen deres ber oss om, og avtaleforholdet med lønnsleverandøren er deres.

17

Internasjonale overføringer

Dette punktet forklarer hvor personopplysningene dine fysisk behandles, og hva som må være på plass før en overføring til et land utenfor EU/EØS – et tredjeland – i det hele tatt kan komme på tale.

17.1 Utgangspunktet: alt blir i EU/EØS

Personopplysninger i Komma lagres og behandles i EU/EØS. Plattformen – database, filer, sikkerhetskopier og AI-behandlingen bak Karma – kjører i Microsoft Azures region Sweden Central i Sverige, og nettstedets serverfunksjoner kjører i EU (Stockholm) (se punkt 16). Vi overfører ikke opplysningene deres til tredjeland som en del av den normale driften av plattformen; nettstedets dataflyter er beskrevet i punkt 17.3.

17.2 Hvis en overføring blir nødvendig

Skulle en overføring til et tredjeland noen gang bli nødvendig – for eksempel fordi en underdatabehandler yter support fra et sted utenfor EU/EØS – skjer den bare med et gyldig overføringsgrunnlag etter kapittel V i personvernforordningen (GDPR) (artikkel 44–49):

• en beslutning om tilstrekkelig beskyttelsesnivå fra Europakommisjonen (artikkel 45) – for mottakere i USA omfatter dette selskaper som er sertifisert under EU–US Data Privacy Framework (DPF) – eller
• standard personvernbestemmelser (Standard Contractual Clauses, SCC) (artikkel 46 nr. 2 bokstav c), supplert med ytterligere tiltak der en konkret vurdering viser at det er nødvendig, eller
• de særlige unntakene i artikkel 49, for eksempel ditt uttrykkelige samtykke, i enkelttilfeller.

For opplysninger i plattformen gjelder én regel til: enhver slik endring går gjennom varslingsprosessen for underdatabehandlere i punkt 16 – minst 30 dagers varsel og rett til å protestere – før den trer i kraft.

17.3 Nettstedets dataflyter til tredjeland

Nettstedet har tre dataflyter som kan forlate EU/EØS. Vercel Inc. (USA) hoster nettstedet og leverer Statistikk når du har slått det på; serverfunksjonene våre kjører i EU (Stockholm), men Vercel er et amerikansk selskap. Microsoft (USA) leverer Teams-meldingene salgsteamet vårt mottar om virksomhetsbesøk. Begge overføringene bygger på Europakommisjonens beslutning om tilstrekkelig beskyttelsesnivå for EU–US Data Privacy Framework, der Vercel Inc. og Microsoft Corporation er sertifisert. Til slutt går det omvendte DNS-oppslaget som brukes til Bedriftsgjenkjenning, og som inneholder IP-adressen, gjennom hostingleverandørens DNS-tjeneste til den som drifter nettverkets DNS, og det kan være utenfor EU/EØS. Google Fonts brukes ikke lenger – skrifttypene leveres fra vårt eget domene.

18

Oppbevaring og sletting

Vi oppbevarer personopplysninger så lenge formålet krever det, og ikke lenger (artikkel 5 nr. 1 bokstav e). For oss betyr det alltid en konkret periode eller et navngitt kriterium for hver kategori – aldri en åpen slutt.

• Automatisert der det er mulig. Plattformen har innebygde oppbevaringsinnstillinger, så sletting skjer automatisk – ikke fordi noen husker å gjøre det.
• Sikkerhetskopier rulles ut innen 35 dager. De krypterte sikkerhetskopiene våre følger et rullerende vindu på høyst 35 dager, så slettede opplysninger forsvinner fra sikkerhetskopiene etter hvert som vinduet ruller.
• Sletting omfatter produksjon og sikkerhetskopier. Når et kundeforhold avsluttes, kan dere eksportere opplysningene deres når som helst til slettingen er gjennomført. Vi sletter fra produksjon innen 30 dager etter instruksen deres, og alt – også sikkerhetskopier – er slettet senest 90 dager etter opphør (i henhold til DPA-en).
• Dere styrer oppbevaringen i plattformen. Hvor lenge opplysninger blir liggende i Komma, styres av oppbevaringsinnstillingene dere velger (se punkt 12).

Den fullstendige oppbevaringsoversikten – hver kategori, hver periode og utgangspunktet for den – finner du i vedlegg B. Og én regel binder det hele sammen: vi oppbevarer aldri personopplysninger for sikkerhets skyld.

19

Rettighetene dine

Der Komma er behandlingsansvarlig (se punkt 5), har du følgende rettigheter etter personvernforordningen (GDPR). Tabellen viser hva hver rettighet betyr, og hvordan du bruker den.

19.1 Det praktiske

• Skriv til hej@kommahr.com. Det trengs ikke noe spesielt skjema – en vanlig e-post er nok.
• Vi svarer innen 1 måned. Ved komplekse forespørsler kan fristen forlenges med inntil 2 måneder til – men i så fall hører du fra oss innen den første måneden, med en begrunnelse (artikkel 12 nr. 3).
• Det er gratis. Vi tar aldri betalt for at du utøver rettighetene dine.
• Vi bekrefter identiteten din på en forholdsmessig måte. Vi ber bare om det som er nødvendig for å sikre at opplysningene havner hos rett person – som regel er det nok at du skriver fra en e-postadresse vi allerede kjenner.

19.2 Hvis opplysningene dine ligger i arbeidsgiverens Komma-plattform

Bruker arbeidsgiveren din – eller en virksomhet du har søkt hos – Komma, er det den virksomheten, ikke Komma, som er behandlingsansvarlig for opplysningene dine i plattformen (se punkt 5). Kontakt derfor virksomheten direkte, vanligvis HR, når du vil utøve rettighetene dine. Vi hjelper virksomheten med å svare raskt og korrekt i henhold til databehandleravtalen (DPA), men vi besvarer aldri forespørsler om kundeopplysninger på egen hånd. Havner forespørselen din hos oss ved en feil, henviser vi deg til virksomheten og forklarer hvorfor.

20

Brudd på personopplysningssikkerheten

Et brudd på personopplysningssikkerheten er et sikkerhetsbrudd som fører til utilsiktet eller ulovlig tilintetgjøring, tap eller endring av personopplysninger – eller til at noen får uautorisert tilgang til dem. I praksis kan det være en e-post sendt til feil mottaker, en bærbar PC som er mistet, eller uautorisert tilgang til en database.

Vår interne håndtering følger fire faste trinn:

1. Begrense: vi stopper bruddet og sikrer systemene, slik at skaden ikke sprer seg.
2. Vurdere: vi kartlegger hvilke opplysninger og hvilke personer som er berørt, og hvilken risiko bruddet innebærer for dem.
3. Dokumentere: vi registrerer bruddet, konsekvensene og håndteringen vår i vårt interne avviksregister.
4. Lære: vi retter den grunnleggende årsaken og justerer rutiner og tekniske tiltak, slik at det ikke skjer igjen.

Hvem vi varsler, avhenger av rollen vår (se punkt 5):

Vi dokumenterer hvert brudd på personopplysningssikkerheten internt – også dem som ikke utløser noen varslingsplikt (artikkel 33 nr. 5). Det gir oss oversikten, lærdommen og dokumentasjonen vi kan vise det danske Datatilsynet.

21

Automatiserte avgjørelser og profilering

Etter personvernforordningen (GDPR) har du rett til ikke å være gjenstand for en avgjørelse som utelukkende bygger på automatisert behandling, og som har rettsvirkning eller tilsvarende betydelig virkning (artikkel 22). Hos Komma er dette ikke en risiko vi navigerer rundt – det er en funksjon vi bevisst har valgt ikke å bygge: plattformen treffer ingen slike avgjørelser, og den kan ikke konfigureres til det. Ikke av oss, og ikke av kundene våre.

Noen funksjoner kan minne om profilering – for eksempel kandidatmatching i Rekruttering og markering av fraværsmønstre i Arbeidsstyrke. De er beslutningsstøtte, ikke avgjørelser:

• Scorer som kan forklares: hver score er vektet og brutt ned akse for akse – aldri et tall fra en svart boks.
• Et menneske bestemmer: Karma foreslår; ingen forslag får virkning før en person med rett rolle aktivt godkjenner det.
• Alt logges: hvert AI-forslag registreres i revisjonsloggen, som ikke kan redigeres – så grunnlaget for en beslutning alltid kan etterprøves.

Les mer om hvordan Karma fungerer – og hva vi bevisst har valgt ikke å bygge – i punkt 14.

22

Endringer i denne erklæringen

Den gjeldende versjonen av denne erklæringen er alltid tilgjengelig på kommahr.com. Versjonshistorikken først i dette dokumentet viser hva som er endret, og når.

Vesentlige endringer kunngjør vi på nettstedet vårt. Endringer som berører plattformen – for eksempel nye underdatabehandlere eller endret behandling – varsles i tillegg til kundene våre på forhånd, før de trer i kraft.

Vi gjennomgår denne erklæringen minst én gang i året og oppdaterer den når produktet, loven eller praksisen vår endrer seg.

23

Kontakt og klage

Har du spørsmål om denne erklæringen eller om hvordan vi behandler personopplysningene dine, er du alltid velkommen til å skrive til oss.

Vi besvarer alle personvernhenvendelser selv. Det finnes ikke noe kundesenter og ingen sakskø – e-posten din leses og besvares av et menneske i Komma.

Komma har ikke utnevnt et personvernombud (DPO) – vi er ikke forpliktet til det etter artikkel 37 i personvernforordningen (GDPR). Vi har i stedet utpekt en intern personvernansvarlig, og alle spørsmål om personvern besvares direkte av oss via hej@kommahr.com.

Du kan alltid klage over vår behandling av personopplysningene dine til den danske tilsynsmyndigheten, Datatilsynet (artikkel 77). Vi setter pris på å få muligheten til å rette opp i ting først – skriv gjerne til oss – men du trenger aldri vår tillatelse for å klage.

Vedlegg A

Ordliste

Denne ordlisten forklarer begrepene som brukes i denne erklæringen, i et enkelt språk. Kortversjonen står i punkt 2 – dette er den fullstendige.

Vedlegg B

Oppbevaringsoversikt

Denne oversikten samler alle oppbevaringsperiodene i erklæringen på ett sted – med rolle, periode og grunnlag for hver kategori. Hvordan sletting fungerer i praksis, er beskrevet i punkt 18. De tre siste radene er plattformens automatiske standardinnstillinger for sletting; der er kunden behandlingsansvarlig og fastsetter oppbevaringen i plattformens innstillinger.

Vedlegg C

Tekniske og organisatoriske tiltak

Dette vedlegget beskriver de tekniske og organisatoriske tiltakene (artikkel 32) som beskytter personopplysninger i plattformen – på tvers av alle 11 moduler og Karma – og i Kommas egen drift.

Sikkerhetsprogrammet vårt er bygget opp rundt anerkjente rammeverk – prinsippene i ISO 27001 og kravene i artikkel 32 – og Komma er i ferd med å bli ISO 27001-sertifisert. Vi gjennomgår tiltakene minst én gang i året og oppdaterer dem etter hvert som teknologien og trusselbildet utvikler seg.

C.1 Konfidensialitet og tilgangsstyring

• Rollebasert tilgangsstyring helt ned på feltnivå, avgrenset etter avdeling, lokasjon og juridisk enhet. Sensitive felter som lønn og fraværsårsaker er bare synlige for roller med et tjenstlig behov.
• Enkel pålogging (SSO) via Microsoft Entra ID med automatisk tildeling og fjerning av tilgang – når en medarbeider forlater kunden, stenges tilgangen automatisk.
• Prinsippet om minste privilegium: ingen rolle har mer tilgang enn oppgaven krever.
• Hemmeligheter – nøkler, sertifikater og tilkoblingsstrenger – lagres i Azure Key Vault og hentes via administrerte identiteter, aldri i koden.
• Telemetri og driftslogger renses for personopplysninger før de lagres.
• Alle ansatte i Komma har signert en taushetserklæring.

C.2 Integritet

• Kryptering under overføring med TLS 1.2 eller høyere og kryptering av lagrede data i både database og fillagring.
• En revisjonslogg som ikke kan redigeres, registrerer hver lesing, endring og eksport – herunder Karmas forslag.
• API-nøkler er avgrenset etter rolle med eget omfang, egen grense for antall kall og egen utløpsdato per nøkkel – og lønn, CPR-numre og fraværsårsaker er utelukket ved kilden.
• Sikker utvikling: endringer testes og gjennomgås før de når produksjon.

C.3 Tilgjengelighet og robusthet

• Plattformen kjører på Microsoft Azure i EU (regionen Sweden Central) på redundant infrastruktur.
• Krypterte sikkerhetskopier i EU med et rullerende vindu på høyst 35 dager.
• Myk sletting (soft delete) og versjonering i lagringen beskytter mot utilsiktet sletting og overskriving.

C.4 Gjenopprettingsevne

• Dokumenterte rutiner for å gjenopprette opplysninger og systemtilgang etter en teknisk eller fysisk hendelse.
• Gjenopprettingsrutinene er dokumentert, og testing av gjenoppretting inngår i sikkerhetsprogrammet vårt – vi regner ikke en utestet sikkerhetskopi som en sikkerhetskopi.
• Myk sletting og versjonering gjør det mulig å gjenopprette enkeltopplysninger raskt uten en full gjenoppretting.

C.5 Testing og evaluering

• Sårbarhetsvurdering av plattformen og infrastrukturen er en fast del av sikkerhetsprogrammet.
• Tilgangsgjennomganger: roller og rettigheter kontrolleres og strammes inn når behovene endrer seg.
• Årlig gjennomgang av sikkerhetspolicyene og av tiltakene i dette vedlegget.

C.6 Organisatoriske tiltak

• Løpende opplæring av alle ansatte i personvern og informasjonssikkerhet.
• En fastsatt intern prosess for sikkerhetshendelser og brudd på personopplysningssikkerheten – se punkt 20.
• Forhåndsundersøkelse av leverandører før de tas i bruk, og løpende oppfølging – se vedlegg D.
• Dataminimerende standardinnstillinger i produktet, for eksempel automatisk sletting av søkere etter 6 måneder og anonymisering av tidligere ansatte etter 5 år (se vedlegg B).

Vedlegg D

Databehandlere og underdatabehandlere

Vi holder bevisst leverandørlisten vår kort. Dette vedlegget viser alle sammen, fordelt på våre to roller – se punkt 5 og 16.

D.1 Komma som behandlingsansvarlig

Leverandører som behandler personopplysninger i Kommas egen drift – nettsted, henvendelser, support og administrasjon.

IPinfo og cvrapi.dk er ikke databehandlere. Det samme gjelder RIPE NCC: vi bruker en kopi av det offentlige registeret deres, så ingen IP-adresse sendes til RIPE. Bedriftsgjenkjenning bruker en kopi av IPinfos database inne i vår egen serverfunksjon, så ingen IP-adresse sendes til IPinfo (IP-data fra IPinfo, lisensiert under CC BY-SA 4.0). cvrapi.dk er en offentlig oppslagstjeneste i Danmark som bare mottar virksomhetens navn.

D.2 Komma som databehandler (plattformen)

Underdatabehandlere som er involvert i leveransen av plattformen. Listen er bevisst kort.

Lønnsintegrasjonene (Zenegy, Danløn, Dataløn, Visma, Lessor og Intect) er ikke underdatabehandlere for Komma. De kjører utelukkende etter deres instrukser og er deres egne databehandlere eller selvstendige behandlingsansvarlige – se punkt 16.

Vi varsler endringer i listen over underdatabehandlere minst 30 dager i forveien, med rett til å protestere, slik det er fastsatt i databehandleravtalen (DPA). Den gjeldende listen er alltid tilgjengelig via DPA-en og på kommahr.com.