Personvernerklæring

1. Behandlingsansvarlig

Ansvaret er delt, og hvem du henvender deg til avhenger av hvilke opplysninger det gjelder.

UnitBoard AS (org.nr 937 942 397, Biskop Gunnerus' gate 14A, 0185 Oslo) er behandlingsansvarlig for opplysningene som hører til selve plattformen: brukerkontoer, innlogging og engangskoder, sesjoner, varslingspreferanser, sikkerhetsloggen, tilbakemeldinger om plattformen og fakturering av våre egne tjenester. Kontakt oss på post@unitboard.no ved spørsmål om personvern.

Det enkelte boligselskapet er behandlingsansvarlig for opplysningene i sine egne registre: eiere og beboere, boliginformasjon, saker og oppfølging av dem, styredokumenter og parkering, inkludert gjesteparkering. Her behandler UnitBoard opplysningene på vegne av boligselskapet som databehandler, etter boligselskapets instruks. Vi er i ferd med å inngå formelle databehandleravtaler etter GDPR artikkel 28 med hvert enkelt boligselskap. Innsyn, retting og sletting i disse opplysningene ber du styret om. Kontakter du oss i stedet, videreformidler vi henvendelsen.

2. Hvilke personopplysninger behandler vi?

Kategori	Opplysninger	Hvem gjelder det
Kontaktinformasjon	Navn, e-post, telefonnummer	Alle brukere
Boliginformasjon	Adresse, boenhet, eierandel, innflytting, husleie	Eiere og leietakere
Sakshåndtering	Saker, kommentarer, bilder, tilbud	Alle brukere
Varslingspreferanser	Valg for e-post, push og SMS per hendelsestype	Alle brukere
Parkering	Parkeringsplass, bilregistreringsnummer	Eiere og leietakere
Gjesteparkering	Bilregistreringsnummer, valgt varighet og eventuell plass, eventuelt navnet på den gjesten besøker, og ved betaling betalingsreferanse og beløp fra Vipps	Gjester, uten at de er brukere av UnitBoard
Teknisk informasjon	Sesjonsinformasjon, push-abonnement	Alle brukere
Sikkerhetslogg	Handlinger utført i systemet, bruker-ID, IP-adresse og tidspunkt	Alle brukere
Fakturaer og økonomi	Fakturareferanse, beløp og forfallsdato/faktureringsperiode knyttet til oppdrag og plattformabonnement	Leverandører og boligselskap
Innloggingskoder	E-postadresse eller telefonnummer, og for e-post en hashet engangskode med kort levetid	Alle brukere
Styrearbeid	Signering av møtereferater, og stemmer/fullmakter i generalforsamlingsmodulen der den er i bruk	Eiere og styremedlemmer
Kontaktpersoner	Navn, telefon og e-post for nødkontakter og forsikringskontakter	Eiere og styremedlemmer
Tilbakemeldinger	Innsendte tilbakemeldinger om plattformen	Alle brukere

3. Rettslig grunnlag

Vi behandler personopplysninger på følgende grunnlag:

Grunnlag	Artikkel	Brukes til
Rettslig forpliktelse	Art. 6(1)(c)	Borettslagsloven og eierseksjonsloven pålegger styret å føre register over eiere og beboere. Regnskapsloven krever oppbevaring av økonomisk dokumentasjon.
Avtale	Art. 6(1)(b)	Behandling som er nødvendig for å oppfylle avtalen mellom boligselskapet og dets medlemmer, mellom boligselskapet og leverandører, og mellom boligselskapet og en gjest som registrerer eller kjøper gjesteparkering.
Berettiget interesse	Art. 6(1)(f)	Administrasjon av vedlikehold, kommunikasjon mellom styre og beboere, kontroll av at gjesteparkeringen brukes etter reglene, og drift av plattformen. Vår interesse er veid mot den registrertes rettigheter og friheter.

Vi bruker ikke samtykke som rettslig grunnlag for kjernebehandlingen. For valgfrie varslingskanaler (SMS, push, e-post) velger du selv hva du ønsker å motta under varslingsinnstillingene.

4. Databehandlere

Vi bruker følgende tredjepartsleverandører som behandler personopplysninger på våre vegne:

Leverandør	Formål	Lokasjon
SkyeTec AS (org.nr 924 783 427), konsernselskap	Drift og utvikling av tjenesten, og avtalepart for infrastrukturleverandørene under. Personellet er underlagt taushetsplikt	Norge
Hetzner	Hosting, database og fillagring	EU (Finland)
Microsoft Azure (Communication Services)	E-postutsending	EU (Irland, Azure-regionen «Nord-Europa»)
Twilio	SMS-verifisering og SMS-varsler	USA (med EU Standard Contractual Clauses og EU–US Data Privacy Framework)
Sentry	Feilsporing og feillogger, inkludert en maskert teknisk gjengivelse av siden ved feil	Data lagres i EU (Tyskland); selskapet er amerikansk, med EU Standard Contractual Clauses og EU–US Data Privacy Framework
Cloudflare (Turnstile)	Botvern på registreringsskjemaet og på gjesteparkeringssiden. Ser IP-adresse og tekniske nettleseropplysninger, ikke innholdet i skjemaet	Cloudflares globale nettverk; selskapet er amerikansk, med EU Standard Contractual Clauses og EU–US Data Privacy Framework
Nettleserens push-tjeneste (Google, Apple eller Mozilla, avhengig av nettleseren du bruker)	Levering av push-varsler. Innholdet er kryptert; tjenesten ser bare metadata	USA/EU, avhengig av leverandør

Den samme listen er publisert med egen versjon på underleverandørsiden, som databehandleravtalen med boligselskapene viser til.

Vipps MobilePay er ikke databehandler for oss. Betaler du for gjesteparkering, er Vipps MobilePay selvstendig behandlingsansvarlig for selve betalingen og behandler opplysningene etter sin egen personvernerklæring. Vi mottar kun en betalingsreferanse og et beløp tilbake.

Cloudflare er databehandler for selve botsjekken, men bruker i tillegg de samme tekniske opplysningene (IP-adresse og nettleseropplysninger) som selvstendig behandlingsansvarlig for å forbedre sin egen bot-deteksjon, etter Cloudflares personvernvilkår for Turnstile.

Alle databehandlere er underlagt databehandleravtaler i henhold til GDPR artikkel 28. Feilrapporter til Sentry inneholder bruker-ID og brukerrolle for feilsøking. E-postadresser, telefonnumre, navnefelt og verdier fra databasespørringer fjernes automatisk før noe sendes. Oppstår det en feil i nettleseren din, kan Sentry i tillegg motta en maskert teknisk gjengivelse av hvordan siden var bygget opp og hva du gjorde de siste sekundene før feilen, slik at vi kan finne årsaken. Dette er ikke et skjermbilde eller en video: all tekst, alle skjemaverdier og alle bilder maskeres i nettleseren din før noe sendes, og innholdet i nettverkskall sendes ikke. Feilfri bruk av tjenesten sender ingen slik gjengivelse. Innholdet i push-varsler krypteres før sending og dekrypteres først i nettleseren din, slik at push-tjenesten som leverer varselet ikke kan lese teksten i det.

5. Oppbevaring og sletting

Vi oppbevarer personopplysninger så lenge det er nødvendig for formålet de ble samlet inn for, eller så lenge vi er rettslig forpliktet til det. Når et brukerforhold opphører, slettes eller anonymiseres opplysningene med mindre annen lovgivning krever lengre oppbevaring (f.eks. regnskapsloven, 5 år). Engangskoder til innlogging utløper kort tid etter utsending og kan bare brukes én gang. Sikkerhetsloggen oppbevares for å kunne etterprøve hendelser og ivareta sikkerheten i tjenesten.

Gjesteparkering: bilregistreringsnummeret og navnet på den gjesten besøker, slettes senest 90 dager etter at parkeringen er utløpt. Selve registreringen består uten disse, slik at boligselskapet beholder statistikk over bruken. Ber du om kvittering på e-post, brukes adressen kun til den ene utsendelsen og lagres ikke. Betalinger som aldri ble fullført, slettes i sin helhet.

6. Dine rettigheter

Som registrert har du rett til:

Innsyn — be om kopi av opplysningene vi har om deg (Art. 15)
Retting — korrigere uriktige opplysninger (Art. 16)
Sletting — be om at opplysningene dine slettes (Art. 17)
Dataportabilitet — motta dine data i et maskinlesbart format (Art. 20)
Innsigelse — protestere mot behandling basert på berettiget interesse (Art. 21)

Gjelder det plattformopplysningene i punkt 1, kontakter du oss på post@unitboard.no. Gjelder det boligselskapets egne registre, inkludert gjesteparkering, retter du henvendelsen til styret i boligselskapet, som er behandlingsansvarlig for dem. Er du usikker, skriv til oss, så videreformidler vi.

7. Klage

Du har rett til å klage til Datatilsynet dersom du mener at behandlingen av personopplysningene dine ikke er i samsvar med personvernregelverket.

8. Sikkerhet

Vi beskytter personopplysninger gjennom tilgangskontroll på databasenivå (Row Level Security), kryptert kommunikasjon (HTTPS), og autentisering via engangskode sendt på SMS eller e-post. Tilgang til data er begrenset til den rollen brukeren er tildelt.

9. Informasjonskapsler (cookies) og lokal lagring

UnitBoard bruker tre informasjonskapsler. Ingen av dem brukes til analyse eller sporing, og ingen deles med tredjeparter.

auth-session identifiserer den innloggede økten din. Den er nødvendig for å holde deg innlogget og for at systemet skal kunne håndheve tilgangskontroll, varer i inntil 30 dager og sendes kun over HTTPS.
guest_parking_receipt settes bare hvis du registrerer gjesteparkering via en QR-plakat, og peker tilbake til kvitteringen din så du finner den igjen ved å skanne koden på nytt. Den inneholder kun kvitteringsreferansen, utløper når parkeringen utløper, og gir ingen tilgang i seg selv.
ub_setup_checklist_collapsed settes bare hvis du som styremedlem minimerer «Kom i gang»-kortet på forsiden, og husker det valget i inntil 30 dager. Den inneholder ingen personopplysninger.
ub_unitbob_card_hidden settes bare hvis du som styremedlem lukker UnitBob-kortet på forsiden, og husker det valget i inntil 30 dager. Den inneholder ingen personopplysninger.

De to første er strengt nødvendige for tjenesten du selv har bedt om, og de to siste lagrer bare et visningsvalg du selv har gjort. Ingen av dem krever samtykke etter ekomloven § 3-15.

I tillegg lagrer appen enkelte innstillinger og kladder lokalt i nettleseren din (localStorage og sessionStorage), for eksempel at du har avvist spørsmålet om push-varsler, en påbegynt sak du ikke har sendt inn, svar i en HMS-vurdering du holder på med, og hvilke boligselskap du sist besøkte som forvalter. Disse opplysningene forlater aldri nettleseren din, sendes ikke til oss og slettes når du tømmer nettleserdataene dine.

Feilsporingstjenesten Sentry (se punkt 4) setter ikke egne informasjonskapsler og lagrer ingenting i nettleseren din.

10. Kontaktskjema på unitboard.no

Når du sender inn kontaktskjemaet på forsiden, behandler vi navn, e-post, rolle og eventuell melding for å besvare henvendelsen din. Opplysningene sendes som e-post til kontakt@unitboard.no og lagres ikke separat i UnitBoards database.

Formål: Besvare henvendelsen og eventuelt følge opp om demo eller samarbeid.
Rettslig grunnlag: Berettiget interesse (Art. 6(1)(f)) — å besvare henvendelser fra interesserte. Du kan når som helst be om at vi sletter henvendelsen.
Lagringstid: Henvendelser slettes fra innboksen senest 12 måneder etter siste kontakt, med mindre dialogen har resultert i et kundeforhold.
Mottakere: Kun ansatte i UnitBoard AS med behov for å besvare henvendelsen. E-post leveres via Microsoft Azure Communication Services (se punkt 4).

11. Endringer

Denne erklæringen kan oppdateres. Ved vesentlige endringer vil vi varsle berørte brukere gjennom plattformen.