Personvernerklæring

PAYD AS er behandlingsansvarlig for personopplysningene vi behandler om deg når du bruker tjenesten. Det betyr at vi bestemmer hvorfor og hvordan opplysningene behandles, og er ansvarlige overfor deg og Datatilsynet.

Lyser en oppdragsgiver ut et oppdrag og behandler opplysninger om søkere ut over det tjenesten legger opp til, er oppdragsgiveren selvstendig behandlingsansvarlig for sin egen behandling.

Når du registrerer deg

• Navn og e-postadresse
• Telefonnummer
• Passord (lagres kun som kryptografisk hash — vi kan aldri lese det)
• Profilbilde (valgfritt)
• Rolle: arbeidstaker, oppdragsgiver eller gruppe
• Bekreftelse på at du er over 18 år

Arbeidstakerprofil

• Kompetanse, ferdigheter og arbeidserfaring
• Sertifikater, kurs og dokumentasjon du laster opp
• Språkkunnskaper
• Timesats, tilgjengelighet og transportmidler
• Sted eller område du ønsker å jobbe i

Oppdragsgiverprofil

• Selskapsnavn, organisasjonsnummer og bransje
• Beskrivelse av virksomheten og kontaktinformasjon
• Opplysninger hentet fra Brønnøysundregistrene og Altinn for å verifisere virksomheten

Når du bruker tjenesten

• Søknader, kontrakter, vaktplaner og timelister
• Meldinger du sender og mottar i plattformen
• Vurderinger du gir og mottar
• Betalingsopplysninger — beløp, status og referanse. Kortnummer håndteres av Stripe og lagres aldri hos oss.
• Rapporter og saker du melder inn

Tekniske data

• IP-adresse, enhets- og nettleserinformasjon
• Innloggingstidspunkt, aktivitetslogg og sikkerhetshendelser
• Feilrapporter fra applikasjonen
• Informasjonskapsler — se cookie-erklæringen

All behandling har et rettslig grunnlag etter personvernforordningen artikkel 6. Under ser du formålene og grunnlaget for hvert av dem.

Behandling basert på berettiget interesse er vurdert opp mot personvernet ditt. Du kan når som helst protestere mot slik behandling, jf. punkt 13.

Vi selger aldri personopplysninger, og vi deler dem ikke til markedsføring hos tredjeparter. Deling skjer i tre situasjoner:

Andre brukere

• Søker du på et oppdrag, ser oppdragsgiveren profilen din, kompetansen din, vurderinger og det du skriver i søknaden.
• Oppdragsgiverens navn, virksomhet og vurderinger er synlige for arbeidstakere.
• Deler av profilen din kan være synlig for søkemotorer dersom du har valgt å være åpen for oppdrag. Du styrer dette i innstillingene.

Databehandlere

Leverandører som behandler opplysninger på våre vegne, etter databehandleravtale og kun etter våre instrukser:

Myndigheter og rettslige krav

Vi utleverer opplysninger til politi, Skatteetaten, Arbeidstilsynet eller andre myndigheter når vi er rettslig forpliktet til det, eller når det er nødvendig for å fastsette, gjøre gjeldende eller forsvare et rettskrav. Ved en virksomhetsoverdragelse kan opplysninger overføres til den nye eieren — du varsles i så fall på forhånd.

Hovedregelen er at dataene dine lagres og behandles innenfor EU/EØS. For noen tjenester skjer det likevel overføring til USA, slik det er merket i tabellen over.

• Overføringene skjer på grunnlag av EU-kommisjonens standard personvernbestemmelser (Standard Contractual Clauses), supplert med tekniske og organisatoriske tiltak som kryptering og tilgangsbegrensning.
• Vi har vurdert overføringene og mener beskyttelsesnivået er tilstrekkelig, men du bør være klar over at amerikanske myndigheter etter amerikansk rett kan ha utvidet tilgang sammenlignet med EU/EØS.
• Du kan be om en kopi av grunnlaget for overføringen ved å kontakte oss.

Oppdragsgivere kan be om et AI-generert sammendrag av kommunikasjonen rundt et arrangement — hva som er bekreftet, hva som er uavklart og hva som haster. Dette skjer bare når oppdragsgiveren aktivt ber om det, aldri automatisk.

Behandlingsgrunnlaget er berettiget interesse (artikkel 6 nr. 1 bokstav f): å gi oppdragsgivere oversikt over egen bemanning. Ønsker du ikke at meldinger fra deg inngår i slike sammendrag, kan du kontakte oss og protestere mot behandlingen.

PAYD beregner en matchpoengsum som viser hvor godt profilen din passer til et oppdrag, basert på kompetanse, erfaring, tilgjengelighet, avstand og tidligere vurderinger. Poengsummen rangerer og synliggjør — den bestemmer ingenting.

• En oppdragsgiver ser alltid alle søkere, og velger selv hvem som skal kontaktes eller ansettes.
• Ingen søknad avslås automatisk av systemet.
• Du er derfor ikke gjenstand for en avgjørelse utelukkende basert på automatisert behandling med rettsvirkning for deg, jf. personvernforordningen artikkel 22.
• Du kan be om en forklaring på hvordan poengsummen for et konkret oppdrag ble beregnet.

Vi lagrer personopplysninger så lenge det er nødvendig for formålet de ble innhentet for, og deretter sletter eller anonymiserer vi dem.

• Aktive brukerprofiler: så lenge kontoen er aktiv.
• Slettet konto: profil og innhold slettes eller anonymiseres innen 30 dager.
• Inaktive kontoer: varsles etter 24 måneder uten aktivitet, og slettes deretter.
• Kontrakter, fakturaer og bilag: 5 år etter regnskapsårets slutt (bokføringsloven).
• Meldinger knyttet til et oppdrag: 24 måneder etter at oppdraget er avsluttet.
• Vurderinger: beholdes i avidentifisert form, fordi de er en del av motpartens historikk.
• Samtykkelogg: 5 år, slik at vi kan dokumentere at samtykket ble gitt.
• Tekniske logger og sikkerhetshendelser: 90 dager.
• Saker under behandling hos oss, en myndighet eller en domstol: til saken er endelig avsluttet.

Vi har tekniske og organisatoriske tiltak som står i forhold til risikoen, jf. personvernforordningen artikkel 32:

• All trafikk krypteres med TLS, og data krypteres også når de er lagret.
• Radnivå-sikkerhet i databasen, slik at brukere kun får tilgang til data de skal ha.
• Tofaktorautentisering, og passord lagret som saltede hasher.
• Rollestyrt og loggført tilgang for våre ansatte, etter prinsippet om minst mulig tilgang.
• Automatisk beskyttelse mot forfalskede forespørsler, hyppige oppslag og innloggingsforsøk.
• Overvåking og feillogging som varsler oss om unormale hendelser.
• Sikkerhetskopier med testet gjenoppretting, og jevnlige gjennomganger av sikkerheten.

Skjer det et brudd på personopplysningssikkerheten, melder vi fra til Datatilsynet uten ugrunnet opphold og senest innen 72 timer etter at vi ble kjent med bruddet, med mindre det er usannsynlig at bruddet medfører risiko for deg.

Er det sannsynlig at bruddet medfører høy risiko for dine rettigheter og friheter, varsler vi deg direkte, og forklarer hva som har skjedd, hvilke opplysninger som er berørt og hva du bør gjøre. Oppdager du selv en sårbarhet, setter vi pris på at du melder fra til personvern@testpayd.no.

PAYD har 18-årsgrense. Vi retter oss ikke mot barn, og samler ikke bevisst inn personopplysninger om personer under 18 år. Blir vi klar over at en konto tilhører en mindreårig, stenger vi den og sletter opplysningene. Er du foresatt og tror barnet ditt har registrert seg, ta kontakt så ordner vi det.

Vi bruker nødvendige informasjonskapsler for innlogging og sikkerhet, og valgfrie kapsler bare med ditt samtykke. Du velger selv ved første besøk, og kan endre eller trekke tilbake valget når som helst. Full oversikt over hvilke kapsler vi setter finner du i cookie-erklæringen.

Etter personvernforordningen har du følgende rettigheter. De er gratis å bruke, og vi svarer normalt innen 30 dager.

Noen rettigheter har unntak — for eksempel kan vi ikke slette bilag vi må oppbevare etter bokføringsloven, eller opplysninger vi trenger for å forsvare et rettskrav. Vi forklarer alltid hvorfor dersom vi ikke kan etterkomme en forespørsel fullt ut. Du kan når som helst klage til Datatilsynet.

Vi oppdaterer denne erklæringen når tjenesten, leverandørene eller regelverket endrer seg. Datoen øverst viser når den sist ble endret. Ved endringer av betydning varsler vi deg på e-post eller i tjenesten før de trer i kraft, og ber om nytt samtykke der det kreves. Tidligere versjoner utleveres på forespørsel.

Har du spørsmål om hvordan vi behandler personopplysningene dine, eller ønsker du å bruke rettighetene dine? Ta kontakt:

Vi svarer innen 30 dager, i tråd med personvernforordningen artikkel 12. Er saken kompleks, kan fristen forlenges med to måneder — da gir vi deg beskjed innen den første måneden.