Personvernerklæring

1. Behandlingsansvarlig

Lexera AS er behandlingsansvarlig for personopplysninger som samles inn via lexera.no og Lexera-plattformen. Når Lexera brukes av en organisasjon, opptrer Lexera AS som databehandler på vegne av organisasjonen (behandlingsansvarlig).

For spørsmål om personvern, kontakt oss på support@lexera.no.

2. Hvilke opplysninger vi samler inn

Vi samler inn følgende personopplysninger for å levere tjenesten:

• Navn og e-postadresse (ved kontoopprettelse eller OAuth-innlogging)
• Organisasjonstilhørighet, avdeling og rolle
• Profilbilde (fra Google/Microsoft-konto, eller opplastet)
• Aktivitetslogg: systemvurderinger, godkjenninger, opplæringsfremdrift, verktøytilganger
• Teknisk informasjon: IP-adresse, nettlesertype og innloggingstidspunkt (i logger)

3. Rettslig grunnlag

Vi behandler personopplysninger basert på følgende grunnlag:

• Avtale – behandling som er nødvendig for å oppfylle avtalen om bruk av plattformen (GDPR art. 6(1)(b))
• Berettiget interesse – sikkerhetslogging, feilsøking og produktforbedring (GDPR art. 6(1)(f))
• Rettslig forpliktelse – oppbevaring av revisjonslogger som påkrevd av tilsynsmyndigheter (GDPR art. 6(1)(c))

4. Underdatabehandlere

Vi bruker følgende tredjeparter for å levere tjenesten:

• Microsoft Azure – skyinfrastruktur og database (Norge, EU/EØS-region)
• Google Identity Services – autentisering via Google-konto (kun ved bruk av Google-innlogging)
• Microsoft Entra ID – autentisering via bedriftskonto (kun ved bruk av Microsoft-innlogging)
• Anthropic (Claude API) – KI-assistanse i systemvurderinger og DPA-analyse (USA, med EU Standard Contractual Clauses og databehandleravtale). Data brukes ikke til modellopplæring.
• Resend – utsending av transaksjonelle e-postvarsler (USA, med EU Standard Contractual Clauses)
• PostHog – produktanalyse og bruksstatistikk (EU-hostet, Frankfurt)
• Sentry – feilsporing på server (EU-hostet, Tyskland). Feilrapporter konfigureres uten personopplysninger

Alle underdatabehandlere er bundet av databehandleravtaler som sikrer behandling i henhold til GDPR. For overføring til USA benyttes EUs standardkontraktsklausuler (SCCs) som overføringsgrunnlag.

5. Oppbevaring

Personopplysninger oppbevares så lenge din organisasjon har en aktiv avtale med Lexera. Ved oppsigelse slettes data innen 90 dager, med unntak av revisjonslogger som kan oppbevares i opptil 3 år i henhold til lovkrav.

Automatiske databasesikkerhetskopier oppbevares i opptil 7 dager og slettes deretter automatisk.

6. Dine rettigheter

I henhold til GDPR har du følgende rettigheter:

• Innsyn – be om kopi av dine personopplysninger
• Retting – be om korrigering av uriktige opplysninger
• Sletting – be om sletting av dine opplysninger (med forbehold om lovpålagt oppbevaring)
• Dataportabilitet – motta dine data i et strukturert, maskinlesbart format
• Klage – du kan klage til Datatilsynet dersom du mener dine rettigheter ikke er ivaretatt

For å utøve dine rettigheter, kontakt din organisasjonsadministrator eller send e-post til support@lexera.no.

7. Informasjonskapsler

Lexera bruker følgende informasjonskapsler:

• Sesjonskapsel – JWT-basert autentiseringstoken (HTTPOnly, Secure)
• Organisasjonsvalg – midlertidig kapsel for bytte mellom organisasjoner
• Temavalg – lagrer preferanse for lyst/mørkt tema (localStorage, ikke kapsel)
• Språkpreferanse – NEXT_LOCALE-kapsel (1 år) lagrer ditt valgte språk
• Produktanalyse – PostHog-kapsler (ph_*) for bruksstatistikk, lagret i EU

Vi bruker PostHog (EU-hostet) til produktanalyse. Ingen data deles med annonsenettverk, og vi bruker ingen tredjeparts annonse- eller sporingskapsler.

8. Endringer

Vi kan oppdatere denne personvernerklæringen ved behov. Vesentlige endringer varsles til organisasjonsadministratorer via e-post og i plattformen. Dato for siste oppdatering vises alltid øverst på denne siden.

Spørsmål om personvern? Kontakt oss på support@lexera.no