Personvernerklæring

Sist oppdatert: 9. mars 2026

1. Innledning

Denne personvernerklæringen beskriver hvordan Somsagt Online («vi», «oss», «vår», «Tjenesten») samler inn, bruker, lagrer og beskytter personopplysninger når du bruker vår plattform for direktestrømming og videoarkiv.

Somsagt Online er en skybasert tjeneste (SaaS) rettet mot ansatte i norsk helsesektor. Tilgang til tjenesten gis gjennom din arbeidsgiver eller avdelingsleder som en del av arbeidsforholdet. Du registrerer deg ikke selv og avslutter ikke abonnementet på egen hånd.

Vi behandler personopplysninger i samsvar med EUs personvernforordning (GDPR), den norske personopplysningsloven og tilhørende forskrifter.

2. Behandlingsansvarlig og databehandler

Behandlingsansvarlig

Din arbeidsgiver (organisasjonen som har kjøpt tilgang til Somsagt Online) er behandlingsansvarlig for personopplysninger som behandles i forbindelse med din bruk av tjenesten. Arbeidsgiveren bestemmer formålet med og midlene for behandlingen.

Databehandler

Somsagt AS opptrer som databehandler på vegne av din arbeidsgiver. Vi behandler personopplysninger kun i henhold til instrukser fra behandlingsansvarlig og i tråd med gjeldende databehandleravtale.

Kontaktinformasjon

• Somsagt AS: post@somsagt.no

3. Hvilke personopplysninger vi samler inn

3.1 Kontoinformasjon (opprettet av din arbeidsgiver/avdelingsleder)

3.2 Autentiserings- og sikkerhetsdata

3.3 Sesjonsdata

3.4 Videobruksdata

3.5 Engasjementsdata (beregnet daglig)

Disse dataene brukes av din organisasjon til å forstå samlet bruksmønster og sikre at tjenesten gir verdi. Engasjementsdata er tilgjengelig for administratorer i din organisasjon.

3.6 Spørsmål og interaksjoner

3.7 E-post- og varseldata

4. Behandlingsgrunnlag (GDPR artikkel 6)

5. Deling av data med tredjeparter

Vi deler kun personopplysninger med tredjeparter som er nødvendige for å levere tjenesten. Alle tredjeparter er bundet av databehandleravtaler.

5.1 Underdatabehandlere

5.2 Overføringer utenfor EØS

Visse av våre underdatabehandlere opererer i USA. Vi sikrer lovlig overføring gjennom:

1. EU–US Data Privacy Framework (der leverandøren er sertifisert)
2. EUs standardkontraktsklausuler (SCC) med tilleggstiltak der nødvendig
3. Regelmessig vurdering av beskyttelsesnivået i mottakerlandet

5.3 Data vi IKKE deler

• Vi selger aldri personopplysninger til tredjeparter
• Vi deler ikke data med annonsører eller markedsføringsplattformer
• Vi bruker ingen tredjeparts analyseverktøy (som Google Analytics e.l.)
• Vi deler ikke brukerdata på tvers av organisasjoner

6. Informasjonskapsler og lokal lagring

6.1 Nødvendige informasjonskapsler

6.2 Lokal lagring (localStorage)

Vi bruker ingen informasjonskapsler til sporing, profilering, reklame eller analyse utover det som er beskrevet ovenfor.

7. Datasikkerhet

Tekniske tiltak

• Kryptering i transit: All kommunikasjon over HTTPS/TLS
• Passordsikkerhet: Passord lagres kun som kryptografisk hash
• Signerte avspillingstokens: Videoinnhold beskyttes med signerte JWT-tokens med begrenset gyldighet
• Tofaktorautentisering: Valgfri TOTP-basert tofaktor med reservekoder
• Hastighetsbegrensning: Beskyttelse mot brute-force-angrep
• Webhook-verifisering: HMAC-signaturverifisering for innkommende webhooks
• Tilgangskontroll: Rollebasert tilgang med organisasjonsskille

Organisatoriske tiltak

• Begrenset tilgang til produksjonsdata
• Databehandleravtaler med alle underdatabehandlere
• Regelmessig gjennomgang av tilganger og sikkerhetsrutiner

8. Oppbevaringstid

Når din tilgang avsluttes av arbeidsgiveren, vil kontoen din deaktiveres og tilhørende sesjoner avsluttes umiddelbart. Personopplysninger slettes etter en rimelig overgangsperiode, med mindre lovpålagt oppbevaring krever annet.

9. Dine rettigheter

I henhold til GDPR har du følgende rettigheter. Siden din arbeidsgiver er behandlingsansvarlig, bør forespørsler som hovedregel rettes til din arbeidsgiver. Du kan også kontakte oss direkte.

Slik utøver du rettighetene

1. Via din arbeidsgiver: Kontakt din avdelingsleder eller organisasjonsleder.
2. Direkte til oss: Send e-post til personvern@somsagt.no med din forespørsel.
3. Klage til Datatilsynet: Du har rett til å klage til Datatilsynet (datatilsynet.no) dersom du mener personopplysningene dine behandles i strid med regelverket.

E-postpreferanser

Du kan selv administrere hvilke e-postvarsler du mottar under innstillinger i tjenesten. Alle e-poster inneholder også en lenke for direkte avmelding fra den aktuelle varselkategorien.

10. Spesielt om helsesektoren

Somsagt Online er en plattform for videokommunikasjon og -arkiv. Vi behandler ikke helseopplysninger (sensitive personopplysninger etter GDPR artikkel 9) som en del av tjenestens kjernefunksjonalitet.

Viktig for brukere: Ikke del pasientopplysninger, helseopplysninger om enkeltpersoner eller annen taushetsbelagt informasjon gjennom spørsmålsfunksjonen eller andre interaksjonsverktøy i tjenesten.

Viktig for administratorer: Sørg for at videoinnhold som strømmes eller arkiveres ikke inneholder identifiserbare pasientopplysninger, med mindre egne tiltak for informasjonssikkerhet er iverksatt utenfor denne tjenesten.

11. Automatiserte beslutninger og profilering

Tjenesten beregner engasjementspoeng basert på innloggings- og seeraktivitet. Dette brukes til å identifisere inaktive brukere for oppfølging og gi organisasjonsledere oversikt over bruken av tjenesten.

Engasjementspoeng har ingen automatiserte konsekvenser for din tilgang, arbeidsforhold eller rettigheter. Det fattes ingen automatiserte beslutninger med rettslig virkning basert på disse dataene.

12. Endringer i personvernerklæringen

Vi kan oppdatere denne personvernerklæringen ved behov. Ved vesentlige endringer vil vi oppdatere datoen øverst i dokumentet og varsle behandlingsansvarlige (organisasjoner) om endringene.

13. Kontakt

For spørsmål om personvern og denne erklæringen:

• E-post: personvern@somsagt.no
• Datatilsynet: www.datatilsynet.no

Denne personvernerklæringen gjelder fra 9. mars 2026.