Personvernerklæring for ReferatHub

Leverandøren av ReferatHub er behandlingsansvarlig for personopplysninger som behandles for å administrere tjenesten, brukerkontoer, tilgang, sikkerhet, support, fakturagrunnlag og kommunikasjon med kunder.

Når en kunde bruker ReferatHub til egne møter, er kunden normalt behandlingsansvarlig for møteinnholdet. Leverandøren av ReferatHub behandler da opplysningene som databehandler etter kundens dokumenterte instruks og databehandleravtale.

Rollefordelingen fastsettes i avtalen med den enkelte kunden.

Konto og tilgang

• navn
• e-postadresse
• brukeridentifikator
• organisasjon og medlemskap
• roller
• møtetilganger
• innloggings- og sikkerhetshendelser

Møteinformasjon

• møtetittel
• prosjekt
• møtetype
• dato og tidspunkt
• sted
• agenda og formål
• deltakere og roller

Lyd og transkripsjon

• lydopptak og lydfiler
• tidsstempler
• transkripsjon
• taleretiketter
• talerkoblinger
• korrektur

Referat og oppfølging

• referatversjoner
• sammendrag
• beslutninger
• oppgaver
• ansvarlige
• frister
• åpne spørsmål
• godkjenning og låsing
• eksporterte dokumenter

Tekniske opplysninger

• nettleser og enhet
• IP-adresse der infrastrukturen registrerer dette
• tidspunkt
• sikkerhetshendelser og feillogger
• audit-hendelser
• opplastings- og behandlingsstatus

Opplysningene behandles for å:

• opprette og administrere brukerkontoer
• håndheve organisasjons- og møtetilgang
• opprette og administrere møter
• ta opp, laste opp, lagre og spille av lyd
• produsere og kontrollere transkripsjon
• utarbeide og kvalitetssikre referat
• registrere beslutninger, oppgaver, ansvarlige og frister
• gjennomføre godkjenning og låsing
• eksportere dokumenter
• føre revisjonsspor
• sikre, feilsøke, drifte og forbedre tjenesten
• følge opp kunder, avtaler og supporthenvendelser

For administrasjon av kundeforhold og brukerkontoer er behandlingen normalt nødvendig for å oppfylle avtalen med kunden, håndtere brukerens forespørsel eller ivareta en berettiget interesse i å drifte, sikre og forbedre tjenesten.

For møteinnhold er det virksomheten som oppretter eller gjennomfører møtet som må fastsette gyldig formål og behandlingsgrunnlag. ReferatHub fastsetter ikke ett universelt behandlingsgrunnlag for alle møter.

Samtykke er ikke nødvendigvis egnet som behandlingsgrunnlag i arbeidsforhold.

Virksomheten og brukeren som gjennomfører opptaket, er ansvarlig for at opptaket er lovlig.

Deltakerne skal informeres tydelig om:

• at møtet tas opp
• hvorfor opptaket gjøres
• hvordan lyd og transkripsjon brukes
• hvem som får tilgang
• hvor lenge opplysningene lagres
• hvordan de kan stille spørsmål eller utøve rettigheter

ReferatHub skal ikke brukes til skjulte eller ulovlige opptak, eller til formål som bryter med lov, arbeidsrettslige regler, avtaler eller virksomhetens interne retningslinjer.

Møter kan inneholde opplysninger om helse, fagforeningsforhold, personalsaker, politiske eller religiøse forhold og andre særlig beskyttede opplysninger.

Kunden må selv vurdere om slike opplysninger skal behandles i tjenesten, sikre gyldig behandlingsgrunnlag og innføre nødvendige tiltak, herunder streng begrensning av møtetilgang og lagringstid.

• autoriserte brukere med eksplisitt møtetilgang
• autorisert supportpersonell når det er nødvendig og godkjent
• tekniske leverandører som brukes til drift, autentisering, database, lagring og hosting
• myndigheter når utlevering følger av lovlig pålegg

Organisasjonsmedlemskap alene gir ikke automatisk tilgang til alle møter. Tilgang til et møte må være eksplisitt tildelt.

ReferatHub benytter tekniske leverandører for å levere tjenesten. Oversikten under viser de kategoriene som er aktive i dag:

• Applikasjons- og hostingplattform – drift av nettløsningen og serverfunksjoner (EU/EØS prioriteres)
• Database- og lagringsplattform – lagring av møtedata, transkripsjon, referater og lydfiler (EU/EØS prioriteres)
• Autentiseringstjeneste – innlogging, sesjon og tilgangskontroll (EU/EØS prioriteres)

Leverandører som ikke er aktivert, brukes ikke. Eksterne transkripsjons- og AI-tjenester aktiveres først etter en kontrollert beslutning, og oversikten oppdateres da før aktivering.

ReferatHub prioriterer behandling og lagring i EU/EØS.

Enkelte leverandører kan ha konsern-, support- eller underleverandørtilgang utenfor EØS. Der det skjer, skal det foreligge et gyldig overføringsgrunnlag med nødvendige tilleggstiltak.

Opplysninger lagres så lenge det er nødvendig for formålet, kundeforholdet, sikkerheten eller lovpålagte krav.

Kunden kan be om sletting av eget innhold, herunder:

• lydfiler
• transkripsjoner
• referatversjoner
• eksporterte dokumenter
• møter og prosjekter

Sikkerhetslogger og revisjonsspor kan beholdes noe lenger enn møteinnholdet for å ivareta sporbarhet og informasjonssikkerhet. Ved avslutning av kundeforholdet slettes eller tilbakeleveres kundens innhold etter avtale.

ReferatHub bruker nødvendige tekniske mekanismer for:

• innlogging og sesjon (sesjonsinformasjon lagres lokalt i nettleseren)
• sikkerhet og tilgangskontroll
• lokale lydopptak, som mellomlagres i nettleserens eget filsystem (OPFS) slik at et opptak kan gjenopprettes
• gjenopptakbar opplasting, der en opplastingsreferanse lagres i nettleserens IndexedDB
• brukergrensesnitt og teknisk funksjon

Løsningen bruker bare slike nødvendige tekniske mekanismer. Det er ikke aktivert markedsførings-, annonse- eller sporingsmekanismer, og derfor vises det heller ikke et samtykkebanner for ikke-nødvendige informasjonskapsler.

ReferatHub er bygget med blant annet:

• privat lydlagring
• autentisering
• roller og rettigheter
• eksplisitt møtetilgang
• revisjonsspor
• versjonshistorikk
• kontrollert godkjenning og låsing
• sperre mot klienttilgang til privilegerte nøkler

Ingen digital tjeneste kan garantere full sikkerhet. Tiltakene er risikoreduserende, ikke en garanti.

ReferatHub er utviklet for menneskelig kontroll.

Transkripsjon og automatiske forslag kan inneholde feil. Viktige opplysninger skal kunne kontrolleres mot kildegrunnlaget – transkripsjonen og lydopptaket – før de godkjennes.

ReferatHub skal ikke brukes til automatiske HR-avgjørelser, prestasjonsmåling, disiplinære beslutninger, emosjonsanalyse eller andre avgjørelser med betydelig virkning for personer uten selvstendig menneskelig vurdering.

Avhengig av rolle og behandlingsgrunnlag kan den registrerte ha rett til:

• informasjon
• innsyn
• retting
• sletting
• begrensning
• dataportabilitet
• å protestere
• å klage til Datatilsynet

Gjelder henvendelsen et kundemøte, skal den normalt rettes til virksomheten som arrangerte møtet. Leverandøren av ReferatHub bistår kunden når ReferatHub opptrer som databehandler.

Erklæringen oppdateres når funksjoner, leverandører eller behandlingsmåter endres.

Datoen øverst på siden viser siste oppdatering.