1Kort fortalt
- Vi selger ikke opplysninger, og vi driver ikke markedsføringssporing. Summs har ingen analyseverktøy, annonsenettverk eller sporingspiksler.
- Kundedata lagres og behandles i EU/EØS. Databasen ligger i EU (Belgia/Nederland), filene i Finland, og serverfunksjonene kjører i Stockholm. Unntaket er AI-behandlingen, se punkt 8.
- AI-leverandøren vår trener ikke på innholdet ditt. Lyd og tekst som sendes til OpenAI via API-et brukes ikke til å trene modeller.
- Nettstedet bruker én informasjonskapsel, og den er nødvendig for innlogging. Derfor møter du ingen samtykkebanner.
- For opplysninger om dine kunder er du ansvarlig, ikke vi. Se punkt 2 — det avgjør hvem du skal henvende deg til.
2Hvem er ansvarlig for hva
Summs har to ulike roller, og hvilken som gjelder avhenger av hvilke opplysninger det er snakk om. Skillet er ikke en formalitet: det bestemmer hvem du skal kontakte for å få innsyn eller sletting.
Vi er behandlingsansvarlig for kontoen din
Når du som ansatt i et byrå oppretter en bruker hos oss, bestemmer vi formålet med og midlene for behandlingen av kontoopplysningene dine. Det gjelder navn, e-postadresse, profilbilde, rolle og bruk av tjenesten.
Vi er databehandler for innholdet du legger inn
Alt du legger inn om dine egne kunder — møteopptak, transkripsjoner, kontaktpersoner, notater, dokumenter og tilbud — behandler vi på vegne av virksomheten din. Da er arbeidsgiveren din behandlingsansvarlig, og Summs er databehandler. Vi bruker aldri dette innholdet til egne formål.
Er du kunde av et byrå som bruker Summs?
Da er det byrået, og ikke Summs, som er ansvarlig for opplysningene om deg. Henvend deg til byrået du er i dialog med. Får du ikke svar, kan du likevel kontakte oss på hello@summs.no, så videreformidler vi henvendelsen til rett virksomhet.
Behandlingsansvarlig
- Summs AS
- Organisasjonsnummer 937 804 385
- Bryggen 9, 5003 Bergen, Norge
- hello@summs.no
Summs har ikke plikt til å utpeke personvernombud etter personvernforordningen artikkel 37, og har ikke gjort det. Henvendelser om personvern går til adressen over.
3Hvilke opplysninger vi behandler
Om deg som bruker av Summs
| Kategori | Konkret | Kilde |
|---|---|---|
| Identitet | Navn, e-postadresse, profilbilde, telefonnummer, stilling | Deg, eller kollegaen som inviterte deg |
| Konto | Bruker-ID, passord i kryptert form hos Firebase Authentication, rolle og selskapstilknytning | Registrering |
| Bruk | Aktivitetslogg for handlinger i arbeidsområdet, varsler, tidspunkt for opprettelse og endring | Automatisk ved bruk |
| Teknisk | IP-adresse og forespørselsdata i driftslogger hos våre leverandører | Automatisk |
Om virksomhetens kunder og kontakter
Dette behandler vi som databehandler, etter instruks fra virksomheten din:
| Kategori | Konkret |
|---|---|
| Kunde- og kontaktopplysninger | Virksomhetsnavn, organisasjonsnummer, adresse, kontaktpersoners navn, e-post, telefon og rolle |
| Møteopptak | Lydfil fra møtet, og dermed stemmene og innholdet i samtalen |
| Avledet av opptaket | Transkripsjon, AI-generert referat, beslutninger, oppfølgingspunkter |
| Notater og dialog | Notater rådgiveren skriver på kunde, prosjekt eller møte, samt registrert kommunikasjon |
| Dokumenter og media | Filer virksomheten laster opp, og tekst hentet ut av dem for søk |
| Tilbud | Tilbudsinnhold, priser, og tidspunkt for når mottakeren åpnet den delte lenken og eventuelt svarte |
Noen opplysninger hentes fra kilder utenfor deg selv, jf. personvernforordningen artikkel 14: foretaksopplysninger fra Enhetsregisteret hos Brønnøysundregistrene, og offentlig tilgjengelig informasjon fra en virksomhets egne nettsider når en bruker ber oss hente den.
Vi ber ikke om, og tjenesten er ikke laget for, særlige kategorier av personopplysninger etter artikkel 9 — som helseopplysninger, fagforeningsmedlemskap eller politisk oppfatning. Nevnes slikt i et møte, blir det med i opptaket, og virksomheten som gjør opptaket må ta høyde for det.
4Formål og behandlingsgrunnlag
| Formål | Grunnlag |
|---|---|
| Opprette og drive brukerkonto og arbeidsområde | Avtale, artikkel 6 nr. 1 bokstav b |
| Levere kjernefunksjonene: opptak, transkribering, referat og tilbudsgenerering | Avtale med virksomheten, artikkel 6 nr. 1 bokstav b. For innhold om virksomhetens kunder handler vi på instruks, artikkel 28 |
| Sikkerhet, feilsøking, misbruksforebygging og logging | Berettiget interesse, artikkel 6 nr. 1 bokstav f — interessen i en tjeneste som virker og ikke misbrukes |
| Forbedre og videreutvikle tjenesten | Berettiget interesse, artikkel 6 nr. 1 bokstav f. Vi bruker ikke kundenes innhold til dette uten særskilt avtale |
| Sende driftsmeldinger og svare på henvendelser | Avtale og berettiget interesse |
| Oppfylle regnskaps- og bokføringsplikt | Rettslig forpliktelse, artikkel 6 nr. 1 bokstav c, jf. bokføringsloven |
Der vi bygger på berettiget interesse, har vi vurdert at interessen ikke overstyres av dine rettigheter. Du kan protestere mot slik behandling, se punkt 11.
5Møteopptak — det som krever mest av deg
Et lydopptak av et møte er personopplysninger om alle som deltar, ikke bare om den som starter opptaket. Summs stiller funksjonen til rådighet, men det er virksomheten som gjør opptaket som er ansvarlig for at det er lov.
Ansvaret ligger hos den som tar opp
Før du starter et opptak må du ha informert deltakerne og ha et gyldig behandlingsgrunnlag. I praksis betyr det at du sier fra at møtet tas opp, hva opptaket skal brukes til, og at deltakerne har anledning til å motsette seg det. Summs kontrollerer ikke at dette er gjort — grensesnittet ber deg bekrefte det, og bekreftelsen er din.
Slik behandles et opptak teknisk:
- Lydfilen lastes opp og lagres kryptert i Google Cloud Storage i Finland, og behandles av serverfunksjoner i Stockholm.
- Filen sendes til OpenAI for transkribering. Er møtet lengre enn én time, deles lyden opp i biter først, fordi API-et ikke tar imot lengre spor.
- Transkripsjonen sendes til OpenAI på nytt for å lage et referat.
- Referatet og transkripsjonen gjøres søkbare, slik at senere tilbud kan bygge på det som faktisk ble sagt.
Opptaket blir liggende til virksomheten sletter det. Det kan slettes enkeltvis fra møtet, sammen med kunden, eller ved at hele arbeidsområdet slettes.
6AI, automatikk og hva maskinen faktisk avgjør
Summs bruker språkmodeller fra OpenAI til å transkribere lyd, skrive referater, hente ut relevante deler av dokumenter og foreslå tilbudstekst.
Ingen av delene er en automatisert avgjørelse med rettsvirkning etter personvernforordningen artikkel 22. Alt AI-en produserer er et utkast som et menneske leser, retter og bestemmer seg for. Tjenesten scorer, rangerer eller profilerer ikke personer, og tar ingen beslutninger om enkeltpersoner.
AI-en tar feil. Transkribering av norsk tale med dialekt har en målt ordfeilrate i størrelsesorden femten prosent, og et referat kan derfor inneholde feil. Det er en grunn til at lydfilen beholdes: den er fasiten et referat kan etterprøves mot.
Vi har databehandleravtale med OpenAI. Innhold som sendes gjennom API-et brukes ikke til å trene modellene deres. OpenAI kan oppbevare forespørsler i inntil 30 dager for å avdekke misbruk, og sletter dem deretter, med mindre lov krever noe annet.
7Hvem vi deler opplysninger med
Vi selger ikke personopplysninger. Vi bruker underleverandører for å kunne levere tjenesten, og alle er bundet av databehandleravtale.
| Leverandør | Hva de gjør for oss | Hvor |
|---|---|---|
| Google (Firebase / Google Cloud) | Innlogging, database og fillagring | Database i EU, filer i Finland |
| Vercel | Drift av nettsted og API | Stockholm, Sverige |
| OpenAI | Transkribering, referat, tekstgenerering og søkeindeksering | USA |
| Resend | Utsending av e-post, for eksempel invitasjoner | USA |
| Brønnøysundregistrene | Oppslag av offentlige foretaksopplysninger | Norge |
Legger en bruker inn en video fra Vimeo eller YouTube i et tilbud, lastes videoen fra den tjenesten når tilbudet åpnes. YouTube-videoer bygges inn i personvernmodus. Vi deler ikke opplysninger med disse tjenestene ut over det som følger av at nettleseren henter videoen.
Vi utleverer også opplysninger når vi er rettslig forpliktet til det, for eksempel etter pålegg fra en myndighet eller domstol.
8Overføring ut av EØS
Lagring og alminnelig behandling skjer innenfor EU/EØS: databasen i EU, filene i Finland, og serverfunksjonene i Stockholm.
To behandlinger skjer likevel i USA. Transkribering og tekstgenerering utføres av OpenAI, og lydfilen eller teksten overføres dit for formålet. Utsending av e-posthåndteres av Resend, som behandler mottakerens adresse.
Overføringene bygger på:
- EU-kommisjonens standard personvernbestemmelser (SCC) etter personvernforordningen artikkel 46 nr. 2 bokstav c, med supplerende tiltak som kryptering under overføring og lagring, og
- EU–US Data Privacy Framework etter artikkel 45, der leverandøren er sertifisert under ordningen.
Du kan be om en kopi av grunnlaget for overføringen ved å kontakte oss.
9Hvor lenge vi lagrer
| Opplysning | Lagringstid |
|---|---|
| Brukerkonto og profil | Så lenge kontoen er aktiv. Slettes innen 30 dager etter at kontoen avsluttes |
| Innhold i arbeidsområdet: opptak, transkripsjoner, referater, notater, dokumenter, tilbud | Til virksomheten sletter det, eller innen 90 dager etter at avtalen opphører |
| Invitasjoner til nye brukere | Utløper etter 7 dager |
| Drifts- og sikkerhetslogger | Inntil 12 måneder |
| Forespørsler sendt til OpenAI | Inntil 30 dager hos leverandøren |
| Regnskapsdokumentasjon | 5 år, jf. bokføringsloven § 13 |
Sikkerhetskopier overskrives løpende. Innhold som er slettet fra tjenesten kan derfor ligge i en sikkerhetskopi noe lenger enn tidene over, før den kopien rulleres ut.
10Sikkerhet
Vi har blant annet disse tiltakene:
- All trafikk går kryptert over HTTPS, og lagrede data er kryptert.
- Tilgang er delt etter arbeidsområde. En bruker ser bare data i det selskapet vedkommende er medlem av, håndhevet av regler i databasen og i fillagringen — ikke bare i grensesnittet.
- Serverfunksjoner krever gyldig innlogging, og API-et kontrollerer medlemskap for hver forespørsel.
- Tilgang for våre ansatte gis etter behov, og logges.
Oppdager vi et brudd på personopplysningssikkerheten, varsler vi Datatilsynet innen 72 timer der loven krever det, og virksomheter og personer som berøres uten ugrunnet opphold.
11Dine rettigheter
Du har rett til å:
- få vite hva vi behandler om deg, og få en kopi (innsyn),
- få rettet opplysninger som er feil,
- få slettet opplysninger vi ikke lenger har grunnlag for å ha,
- be om at behandlingen begrenses mens en innsigelse behandles,
- få opplysninger du har gitt oss utlevert i et maskinlesbart format (dataportabilitet),
- protestere mot behandling vi bygger på berettiget interesse, og
- trekke tilbake et samtykke, uten at det påvirker lovligheten av behandlingen før du trakk det.
Skriv til hello@summs.no. Vi svarer normalt innen 30 dager. Gjelder henvendelsen innhold et byrå har lagt inn om deg, må vi henvise deg videre til byrået — se punkt 2.
13Endringer i erklæringen
Vi oppdaterer denne erklæringen når tjenesten eller regelverket endrer seg. Dato og versjon står øverst. Ved vesentlige endringer varsler vi i tjenesten eller på e-post i rimelig tid før endringen trer i kraft.
14Kontakt og klagerett
- Summs AS
- Bryggen 9, 5003 Bergen
- Organisasjonsnummer 937 804 385
- hello@summs.no
Mener du at vi behandler opplysninger i strid med regelverket, vil vi gjerne høre det først, så vi får rettet opp. Du har uansett rett til å klage til Datatilsynet.
Se også vilkårene for bruk av Summs, som regulerer avtaleforholdet mellom virksomheten din og oss.