1. Roller og ansvar
I plattformen er det to roller i personvernforordningen (GDPR):
- Behandlingsansvarlig (data controller) — virksomheten som bruker 1-CMS for å drifte sine ansatte og oppdrag. Det er denne virksomheten som bestemmer hvilke opplysninger som behandles, hvorfor og hvor lenge — innenfor rammene av norsk lov.
- Databehandler (data processor) — navn kommer, som leverer og drifter 1-CMS-plattformen. Vi behandler personopplysninger kun på dokumentert instruks fra behandlingsansvarlig, regulert av databehandleravtale etter GDPR art. 28.
Du som ansatt: dersom du er ansatt hos en av våre kunder, er det din arbeidsgiver som er behandlingsansvarlig. Henvendelser om dine personopplysninger skal i utgangspunktet rettes dit. Vi som leverandør bistår arbeidsgiveren med å effektuere dine rettigheter.
2. Hva erklæringen dekker
Denne erklæringen gjelder for hele plattformen:
- 1-CMS web — operativ kjerne (vakt, kontroll, dokument, lønn)
- navn kommer — mobil-app for ansatte (egen utfyllende personvernerklæring)
- 1-CMS POS — kassemodul for kunder i restaurant/hospitality
- Regnskapsgateway — sentral integrasjon mot regnskapsleverandører
- 1-CMS PTT — push-to-talk driftsradio
- KI-assistent — agent koblet til foretakets data
- Leverandørportal — scoped tilgang for eksterne foretak
3. Kategorier av personopplysninger
Følgende kategorier kan behandles, avhengig av hvilke moduler kunden bruker:
- Identitet og kontakt: navn, fødselsdato, personnummer (kun der lovpålagt), adresse, e-post, telefonnummer, bilde, ansattnummer.
- Arbeidsforhold: stilling, rolle, lønnskategori, ansettelsesperiode, fraværstyper, arbeidsavtaler.
- Tidsdata: vakter, stempling, timer, overtid, hviletid, helgevaktfrekvens, ferie og avspasering.
- Lønn og ytelser: lønnslinjer, satser, A-melding-grunnlag, sykepenger, refusjonskrav, feriepenger.
- Kompetanse: vekterbevis, kursdatoer, sertifiseringer, vandelsstatus (ja/nei), tilknyttede dokumenter.
- Driftsdata: kontrollpunkt-utførelse, NFC-/QR-skanninger, foto- og målebevis, avvik og tiltak.
- Kommunikasjon: PTT-kanal-tilhørighet og hendelseslogg (innhold i samtaler lagres ikke).
- Posisjon (kontekstuell): deles kun når ansatt aktivt sender på PTT eller utfører et kontrollpunkt — ikke kontinuerlig sporing.
- Helseopplysninger (særlig kategori): sykmeldinger og fraværsårsaker — bare der det er nødvendig for refusjon, oppfølging eller tilrettelegging.
- Kunde- og kontraktsdata: kundens orgnr (BRREG), kontaktpersoner og avtaler.
- Tekniske data: innloggings- og handlingslogger, IP-adresse, brukeragent, enhets-/push-token.
4. Behandlingsgrunnlag
For hver kategori har vi et eksplisitt grunnlag etter GDPR art. 6 — og art. 9 for særlige kategorier.
| Formål | Grunnlag | Hjemmel |
|---|---|---|
| Inngåelse og oppfølging av ansettelsesforhold | art. 6(1)(b) |
Arbeidsavtale · Arbeidsmiljøloven kap. 14 |
| Vaktplanlegging, hviletid og makslengde | art. 6(1)(c) |
Arbeidsmiljøloven §10-3 og §10-7 |
| Lønnsutbetaling og lønnsbilag | art. 6(1)(b) + 6(1)(c) |
Arbeidsmiljøloven · Bokføringsloven §13 |
| A-melding til Skatteetaten / NAV | art. 6(1)(c) |
A-opplysningsloven · Skatteforvaltningsloven |
| Sykefravær, refusjon og arbeidsgiverperiode | art. 6(1)(c) + 9(2)(b) |
Folketrygdloven kap. 8 · Arbeidsmiljøloven §4-6 |
| Internkontroll, HMS, risikovurdering, avvik | art. 6(1)(c) |
Internkontrollforskriften · Arbeidsmiljøloven kap. 3 |
| Vekterregister og kompetanse | art. 6(1)(c) |
Vaktvirksomhetsloven · Vaktvirksomhetsforskriften |
| Kunde- og kontraktsdata | art. 6(1)(b) |
Avtaleforhold · Bokføringsloven §10 |
| Driftslogger og sikkerhetsovervåking | art. 6(1)(f) |
Berettiget interesse — balansetest dokumentert |
| Frivillige tilleggsfunksjoner (f.eks. profilbilde) | art. 6(1)(a) |
Samtykke — kan trekkes tilbake når som helst |
5. Lovpålagt arbeidsgiverdata
En vesentlig del av databehandlingen i 1-CMS er ikke valgfri. Norsk lov pålegger arbeidsgivere å samle inn og oppbevare bestemte opplysninger uavhengig av hvilket verktøy de bruker:
- Arbeidstid og hviletid — Arbeidsmiljøloven §10-7 krever oversikt over hvor mange timer hver arbeidstaker arbeider. Plattformen lagrer og rapporterer dette.
- Lønnsregnskap — Bokføringsloven §13 krever oppbevaring av lønnsbilag i fem år etter regnskapsårets slutt.
- A-melding — Skatteetaten krever månedlig innrapportering av arbeidsforhold, lønn, forskuddstrekk og arbeidsgiveravgift.
- Sykefravær — Folketrygdloven krever dokumentasjon for å utbetale sykepenger og kreve refusjon fra NAV.
- HMS-dokumentasjon — Internkontrollforskriften §5 krever skriftlig oversikt over HMS-arbeid, risikoer, avvik og tiltak.
- Vekterregister — Vaktvirksomhetsloven krever at vaktvirksomheter fører register over godkjente vektere med kompetansebevis.
Konsekvens: Du som ansatt kan ikke kreve sletting av data som arbeidsgiver er lovpålagt å oppbevare før den lovpålagte perioden er utløpt. Når perioden utløper, slettes opplysningene etter dokumentert rutine — med mindre et annet grunnlag fortsatt foreligger (f.eks. pågående tvist).
6. Oppbevaringstid og sletting
Personopplysninger oppbevares ikke lenger enn nødvendig for formålet. Når lovpålagt periode utløper og det ikke foreligger annet grunnlag, slettes data etter dokumentert prosedyre.
| Datatype | Oppbevaring | Hjemmel |
|---|---|---|
| Lønnsbilag og A-meldinger | 5 år | Bokføringsloven §13 |
| Arbeidsavtaler og personalsaker | Ansettelse + 5 år | Foreldelsesloven · arbeidsrettslige krav |
| Vaktplaner og timeregistrering | 5 år | Arbeidsmiljøloven §10-7 · Bokføringsloven |
| Sykefravær og refusjonsdokumentasjon | 5 år etter avsluttet sak | Folketrygdloven · NAV-praksis |
| Vaktrapporter og kontrollpunktbevis | 3–10 år | Bransje- og avtalekrav · FG-/NS-EN-spesifikt |
| Vekterkompetanse og bevis | Ansettelse + 3 år | Vaktvirksomhetsloven |
| HMS-/internkontrolldokumentasjon | 5–10 år | Internkontrollforskriften |
| Innloggings- og handlingslogger | 12 måneder | Berettiget interesse · sikkerhetsformål |
| Driftslogger uten personreferanse | 90 dager | Driftssikkerhet |
| Backup (kryptert) | Inntil 35 dager | Driftssikkerhet · DPA |
7. Mottakere og underleverandører
Personopplysninger deles ikke for markedsføring eller salg. Følgende mottakere kan behandle data på vegne av oss eller etter lovpålagt rapportering:
- Skatteetaten / NAV — A-melding og sykepenger (lovpålagt).
- Hetzner Online GmbH — hosting i Tyskland (EØS). Databehandleravtale på plass.
- Posten Signering / BankID — digital signering når kunden benytter dette.
- Regnskapsleverandører via Accounting Gateway — Tripletex, Fiken, PowerOffice Go, Visma eAccounting. Kun når kunden eksplisitt har aktivert posting.
- Modellleverandører for KI-funksjoner — Anthropic og/eller OpenAI under null-retensjon-vilkår for enterprise. Data brukes ikke til modelltrening.
- Brønnøysundregistrene (BRREG) — utlevering av offentlige firmadata.
- Push-varslingsleverandører — Apple Push Notification og Firebase Cloud Messaging (kun varseldata, ikke innhold).
En oppdatert underleverandørliste er tilgjengelig i databehandleravtalen og varsles ved endring.
8. Overføring utenfor EØS
Primær lagring og behandling skjer innenfor EØS. Hvor utenlands overføring forekommer (eksempelvis ved bruk av enkelte modellleverandører), gjøres dette på grunnlag av EU-Kommisjonens standardkontrakter (SCC), supplerende tiltak og en dokumentert risikovurdering. Sensitive HR-data overføres ikke utenfor EØS uten eksplisitt grunnlag.
9. Sikkerhetstiltak
- Hosting i Hetzner Tyskland (EØS) — Falkenstein og Nürnberg.
- Kryptering i transitt (TLS 1.2+) og i ro (AES-256, full disk og databasenivå).
- Daglig
pg_dumpverifisert medpg_restore, lagret som kryptert Borg-arkiv i isolert Hetzner Storage Box-subkonto. - Rolle- og oppgavebasert tilgangskontroll (minste privilegium).
- Påkrevd to-faktor (MFA) på admin-tilganger.
- BankID-signering for sensitive flyt der det er aktuelt.
- Audit-logg på handlinger, koblet til bruker, tid og kontekst.
- Restriksjoner i KI-assistenten med eksplisitte servicetokens og handlingslogg.
- Penetrasjonstesting og avviksrutiner ved sikkerhetshendelser, med varsling innen 72 timer ved brudd som kan medføre risiko.
10. Rettighetene dine
Etter GDPR har du som registrert disse rettighetene:
- Innsyn (art. 15) — få vite hvilke opplysninger som behandles og hente kopi.
- Retting (art. 16) — korrigere feil eller utfylle mangelfulle opplysninger.
- Sletting (art. 17) — slette opplysninger som ikke lenger har grunnlag.
- Begrensning (art. 18) — midlertidig låse behandling under tvist eller verifisering.
- Dataportabilitet (art. 20) — få utlevert egne data i strukturert, maskinlesbart format.
- Innsigelse (art. 21) — motsette behandling basert på berettiget interesse.
- Klagerett til Datatilsynet (se nedenfor).
Sletting er ikke en absolutt rett. Når data er lovpålagt oppbevart (lønn, A-melding, HMS), kan sletting først skje når den lovpålagte perioden er utløpt.
11. Mindreårige
Plattformen er ikke rettet mot barn under 15 år. For ansatte under 18 år behandles opplysninger kun innenfor de rammer arbeidsmiljøloven kap. 11 setter for arbeid og skoletid.
12. Endringer i erklæringen
Erklæringen kan oppdateres når plattformen, leverandørene eller regelverket endrer seg. Vesentlige endringer kommuniseres til kunder før de trer i kraft. Versjon og dato vises øverst i dokumentet.
13. Kontakt og klagerett
navn kommer · databehandler for 1-CMS
Personvernhenvendelser:
personvern@firstsecurity.no
Generell kontakt:
post@firstsecurity.no
Nettsted: firstsecurity.no
Hvis du mener vi behandler dine personopplysninger i strid med regelverket, kan du klage til Datatilsynet.