Personvernerklæring

Behandlingsansvarlig er Kommunikasjonshuset, organisasjonsnummer fylles inn, forretningsadresse fylles inn.

Kontakt i personvernsaker: nikolas@k-huset.no. Generelle henvendelser: klab@k-huset.no.

Vi har ikke personvernombud, og har heller ikke plikt til å ha det. Legger du personopplysninger om dine kunder eller ansatte inn i tjenesten, er du behandlingsansvarlig for de opplysningene og vi er databehandler. Da bør vi ha en egen databehandleravtale — ta kontakt.

Om deg som bruker

Vi ber ikke om fødselsnummer, adresse, telefonnummer eller kortopplysninger. Vi behandler ingen særlige kategorier av personopplysninger (helse, politisk oppfatning og liknende), og tjenesten er ikke laget for det.

Om virksomheten du måler

Dette er hovedsakelig virksomhetsopplysninger, ikke personopplysninger — men de henger sammen med kontoen din, så du skal vite hva de er:

• Firmanavn, domene, logo og merkefarge
• Bransje, egen beskrivelse av virksomheten, produkter og tjenester
• Målgrupper, kundetyper og beslutningstakerroller du velger
• Konkurrenter du følger
• Marked, geografi og språk
• Innholdet på nettsiden din. Serveren vår henter forsiden og leser tittel, beskrivelse, overskrift og inntil 5 000 tegn brødtekst for å forstå hva dere leverer. Vi henter bare offentlig tilgjengelige sider, og vi identifiserer oss med et eget brukeragentnavn («K-Lab/1.0»). Vi gjør det samme med konkurrentenes offentlige forsider.

Måledata som tjenesten produserer

• Spørsmålene vi sender til KI-modellene, og modellenes fulle svar
• Om og hvordan du blir omtalt, sitert og anbefalt, og hvilke kilder som brukes
• Beregnet synlighet, andel av samtalen, sentiment og historikk over tid
• Rapporter du lager, og hvor mange ganger en delt rapport er åpnet

Fakturering

Vi lagrer Stripe-kundenummer, abonnementsnummer, status og neste fornyelsesdato. Kortopplysninger kommer aldri innom våre systemer — betaling skjer på Stripes egen betalingsside.

Search Console-data (bare hvis du kobler til)

Klikk, visninger, klikkrate og posisjon for ditt eget nettsted, samt søkeord og sider. Disse tallene hentes ferskt fra Google hver gang du åpner siden — vi lagrer dem ikke i vår egen database. Det vi lagrer, er tilgangsnøklene (kryptert) og hvilken Search Console-eiendom du har valgt.

Vi bruker ikke opplysningene dine til å trene egne KI-modeller, og vi selger dem ikke videre.

Dette er kjernen i tjenesten, og det er en overføring til tredjeland. Les det nøye.

For å måle hvordan KI-tjenester omtaler deg, må vi stille dem spørsmål om deg. Vi sender derfor firmanavnet ditt, domenet ditt og bransjen din til KI-modeller vi ikke selv drifter. Ofte står identiteten i spørsmålet selv — omtrent «X, et norsk selskap innen [bransje], …». I tillegg sender vi, avhengig av hva som skal beregnes:

• Din egen beskrivelse av virksomheten, og teksten vi hentet fra forsiden din
• Produkter og tjenester, målgrupper, kundetyper og beslutningstakerroller
• Navn på konkurrenter du følger, og tekst fra deres offentlige forsider
• Marked, geografi og språk
• Søkeord og søkevolum for domenet ditt
• Modellenes egne svar, når vi sender dem tilbake for kvalitetssjekk
• Det du selv skriver i «Spør K-Lab» og i fritekstfelt for tiltak

Ett bevisst unntak: domenet ditt legges ikke inn i selve spørsmålsteksten som går ut som en måling — det ville forurenset målingen. Domenet går likevel til modellene i andre kall, som grunnlag for å identifisere selskapet riktig.

Hvilke leverandører

Når en måling skal være web-forankret, kjører OpenRouter i tillegg et live nettsøk på spørsmålet. Det betyr at spørsmålsteksten når enda en underleverandør — hvilken søkemotor OpenRouter bruker framgår ikke av vår kode, og må bekreftes mot OpenRouters egen dokumentasjon før den kan navngis her.

Overføring ut av EØS

Alle leverandørene over er amerikanske eller opererer globalt, så opplysningene overføres ut av EØS. Grunnlaget for overføringen er EU-kommisjonens standard personvernbestemmelser (SCC) og/eller EU–US Data Privacy Framework, slik det følger av den enkelte leverandørens databehandlervilkår. Hvilket grunnlag hver enkelt leverandør faktisk hviler på må bekreftes mot deres gjeldende vilkår, og databehandleravtale må være signert med hver av dem.

Trening på våre data

Vi ber ikke leverandørene om å bruke innholdet til modelltrening. Samtidig er vi ærlige om at koden vår i dag ikke sender et eget teknisk «ikke-tren-på-dette»-flagg med hvert kall. Om innhold kan brukes til trening styres derfor av leverandørens vilkår og av innstillingene på kontoen vår hos dem. Må bekreftes: at trening er slått av på OpenRouter-kontoen, og at OpenAIs vilkår for API-bruk (ingen trening på API-data som standard) er de vi faktisk er omfattet av.

Praktisk råd: legg ikke inn opplysninger i fritekstfeltene som du ikke ville sendt til en ekstern leverandør — særlig ikke navngitte personer, kundelister eller konfidensielle avtaler. Tjenesten trenger dem ikke.

Kobler du til Google Search Console, ber vi om ett tilgangsområde:

https://www.googleapis.com/auth/webmasters.readonly

• Hva vi bruker det til: hente klikk, visninger, klikkrate og posisjon for nettstedet ditt, samt topp søkeord og sider, slik at du kan se KI-synlighet og faktisk søketrafikk side om side.
• Bare lesing. Vi kan ikke endre, legge til eller slette noe i Search Console, og vi ber ikke om tilgang til Gmail, Drive, kontakter eller andre Google-tjenester.
• Hva vi lagrer: en kryptert oppdateringsnøkkel (refresh token) og hvilken eiendom du valgte. Selve tallene lagres ikke — de hentes på nytt hver gang.
• Hvordan du trekker det tilbake: «Koble fra» i tjenesten sletter nøkkelen hos oss, og da kan vi ikke lese mer. Vil du i tillegg fjerne selve tillatelsen i Google-kontoen din, gjør du det på myaccount.google.com/permissions. De to stegene er uavhengige av hverandre.

Begrenset bruk av Google-data

K-Lab sin bruk av og overføring av opplysninger mottatt fra Google-API-er følger Google API Services User Data Policy, inkludert kravene om begrenset bruk (Limited Use). Konkret betyr det at Search Console-data:

• bare brukes til å vise deg dine egne tall i tjenesten,
• ikke brukes til annonsering eller annonseprofilering,
• ikke selges eller overføres til andre,
• ikke sendes til KI-modellene i punkt 4 og ikke brukes til å trene noen KI-modell,
• ikke leses av mennesker hos oss, med unntak av når du selv ber om støtte, når det er nødvendig av sikkerhetsgrunner, eller når loven krever det.

K-Lab inneholder også kode for å koble til Google Calendar, Microsoft 365, LinkedIn, Facebook og Webflow. Disse hører til modulene Content og Strategi, som er låst ved lansering. Ingen kunde kan koble dem til i dag, og vi behandler ingen data fra dem.

Vi nevner dem likevel, fordi det er ærligere enn å late som koden ikke finnes. Skulle en av dem bli åpnet, oppdaterer vi denne erklæringen først og ber om samtykke fra deg før noe kobles til.

Utover dette utleverer vi opplysninger bare når vi er rettslig forpliktet til det. Ved en eventuell virksomhetsoverdragelse vil vi varsle deg før opplysningene overføres.

Det er lettere å love enn å dokumentere, så her er det vi har kontrollert i koden vår:

• Ingen analyse- eller sporingsverktøy. Ingen Google Analytics, ingen Meta-piksel, ingen PostHog, Plausible eller Vercel Analytics. Derfor har vi heller ikke noe cookie-banner — det er ingenting å samtykke til.
• Ingen feilsporingstjeneste. Sentry eller tilsvarende er ikke koblet til. Feil havner i driftsloggene hos Vercel og Supabase.
• Ingen tredjeparts e-postutsender. E-post fra tjenesten (engangslenker, passordtilbakestilling) sendes gjennom Supabase Auth. Vi har ingen markedsføringsutsender koblet til.
• Ingen profilering eller automatiserte avgjørelser med rettsvirkning for deg.

Informasjonskapsler

Vi bruker bare det som er nødvendig for at innlogging og innstillinger skal virke. Ingen av dem brukes til markedsføring eller sporing på tvers av nettsteder:

Vi lagrer i tillegg noe lokalt i nettleseren din (localStorage) for at utkast du skriver i arbeidsflaten ikke skal forsvinne. Det blir liggende på din egen maskin og sendes ikke til oss.

Logoer og favikoner

For å vise logoen til din virksomhet og til konkurrentene laster nettleseren din bilder fra offentlige favikon-tjenester (blant andre unavatar.io, icon.horse, icons.duckduckgo.com og Googles favikon-tjeneste). Da ser de tjenestene domenet det gjelder og IP-adressen til nettleseren din. Ingen kontoopplysninger sendes dit.

Vi har i dag ingen automatisk sletterutine som fjerner gamle måledata etter et fast antall måneder. Vi sier det rett ut framfor å oppgi en frist vi ikke overholder. Ber du om sletting, gjør vi det manuelt innen fristen i punkt 10.

Sletter du et arbeidsområde i tjenesten, fjernes alle underliggende data automatisk og umiddelbart — medlemskap, spørsmål, svar, kilder, historikk, rapporter og tilkoblinger. Det kan ikke angres.

Etter personvernforordningen kan du kreve:

• Innsyn — å få vite hva vi har om deg, og en kopi av det (art. 15).
• Retting — å få feil rettet og mangler utfylt (art. 16).
• Sletting — å få opplysningene slettet når vi ikke lenger har grunnlag for å ha dem (art. 17). Faktureringsopplysninger må vi likevel beholde så lenge bokføringsloven krever.
• Begrensning — å få behandlingen satt på pause mens en uenighet avklares (art. 18).
• Dataportabilitet — å få opplysningene du har gitt oss i et maskinlesbart format, eller overført til en annen leverandør (art. 20). Tjenesten har ingen selvbetjent eksportknapp i dag; ber du om det, sender vi deg en maskinlesbar fil (JSON eller CSV).
• Innsigelse — mot behandling vi bygger på berettiget interesse (art. 21).
• Å trekke samtykke — for eksempel Search Console-koblingen eller markedsføring, uten at det påvirker lovligheten av det som skjedde før (art. 7).

Send henvendelsen til nikolas@k-huset.no. Vi svarer innen 30 dager. Vi kan be om at du bekrefter hvem du er, slik at vi ikke gir opplysninger til feil person.

Å være tydelig om hvordan dette faktisk skjer: tjenesten har i dag ingen knapp for å slette hele kontoen din selv, og ingen knapp for å laste ned alt vi har om deg. Du kan slette et arbeidsområde med alle måledata på egen hånd, men innsyn, full sletting og dataportabilitet gjør vi manuelt når du ber om det på e-postadressen over. Rettigheten er den samme — det er utførelsen som er manuell, og vi holder fristen.

Mener du at vi behandler opplysningene dine i strid med regelverket, kan du klage til Datatilsynet. Vi vil helst at du sier det til oss først, så vi får rettet det.

• All trafikk går kryptert over HTTPS.
• Databasen bruker radnivåsikkerhet (row level security), slik at spørringer bare treffer arbeidsområder du er medlem av.
• Tilgangsnøkler for eksterne koblinger lagres kryptert med en nøkkel som ikke ligger i databasen.
• Passord lagres aldri i klartekst — Supabase Auth lagrer dem som hash. Vi kan ikke lese passordet ditt.
• Delte rapporter ligger bak en tilfeldig, ikke-gjettbar URL som vi ber søkemotorer om ikke å indeksere, og kan i tillegg passordbeskyttes.

Ved et brudd på personopplysningssikkerheten som medfører risiko for deg, varsler vi Datatilsynet innen 72 timer og deg uten ugrunnet opphold.

Vi oppdaterer denne erklæringen når tjenesten endrer seg — for eksempel når vi tar i bruk en ny KI-leverandør. Datoen øverst viser når den sist ble endret. Ved vesentlige endringer varsler vi deg på e-post før de trer i kraft.

Spørsmål om noe her: nikolas@k-huset.no.