Personvernerklæring

Gjelder fra: 1. juli 2026 · Sist oppdatert: 8. november 2026

Kort oppsummert

DEVOITEX er et utviklingsteam som bygger, endrer, tester, lanserer og vedlikeholder programvare for kunder. Utviklerne våre bruker AI-verktøy i dette arbeidet og står ansvarlige for resultatet.
På dette nettstedet bruker vi verken annonsepiksler eller sporingscookies. Besøk teller vi med Umami, et analyseverktøy uten cookies som kjører på vår egen server (punkt 11). Vi behandler også serverlogger, det du sender oss gjennom kontaktskjemaet eller på e-post, og en temainnstilling lagret i nettleseren din.
Når vi jobber med et prosjekt, kan en kunde gi oss kildekode, dokumentasjon, tilgangsopplysninger og data fra sine systemer, inkludert personopplysninger. For personopplysninger i kundenes systemer opptrer vi normalt som databehandler etter kundens instrukser (punkt 2).
Nødvendige deler av prosjektmaterialer kan behandles av eksterne AI-leverandører og andre tjenesteleverandører, også utenfor EU/EØS, etter reglene og garantiene beskrevet i punkt 4, 8 og 9.
Vi selger ikke personopplysninger og bruker ikke kundenes materialer til å trene egne modeller eller til noe formål utenfor det avtalte arbeidet uten kundens samtykke.
Du kan utøve personvernrettighetene dine ved å skrive til support@devoitex.com (punkt 13).

1. Hvem vi er og hva erklæringen dekker

Denne personvernerklæringen forklarer hvordan DEVOITEX («DEVOITEX», «vi», «oss») behandler personopplysninger når du besøker devoitex.com, kontakter oss, blir kunde hos oss eller er knyttet til et kundeprosjekt. Den beskriver også hvordan vi håndterer konfidensielle prosjektmaterialer og tilgang til kundenes systemer, fordi dette i vårt arbeid henger tett sammen med personopplysninger.

Behandlingsansvarlig: FOP Anna Andriivna Serdiukova (enkeltpersonforetak, Ukraina), skatte-ID 3117915209, adresse: Holosiivskyi Avenue 106/2, leil. 50, Kyiv 01001, Ukraina, telefon +380731234011, e-post: support@devoitex.com.
Kontakt for personvernspørsmål og -forespørsler: support@devoitex.com.
Kontakt for spørsmål om personvern: support@devoitex.com.
Representant i EU/EØS (artikkel 27 i GDPR): vi har ennå ikke utnevnt en representant. Inntil vi gjør det, kan personer i EU/EØS, også i Norge, kontakte oss direkte på support@devoitex.com, og vi svarer i tråd med GDPR. Når en representant er utnevnt, oppgir vi den her.

Denne erklæringen gir informasjonen som kreves av EUs personvernforordning (forordning (EU) 2016/679, GDPR), særlig artikkel 13 og 14, der dens bestemmelser gjelder for vår virksomhet, og av Ukrainas lov «Om vern av personopplysninger» nr. 2297-VI av 1. juni 2010 og andre gjeldende lover og forskrifter.

Erklæringen dekker ikke kundenes nettsteder, applikasjoner og systemer. De som bruker dem, omfattes av kundens egen personvernerklæring, og kunden bestemmer hvordan opplysningene deres brukes (punkt 2).

Erklæringen er ikke en avtale. Den erstatter ikke bruksvilkårene, tjenesteavtalen, en konfidensialitetsavtale (NDA) eller en databehandleravtale (DPA). Der vi behandler personopplysninger på vegne av en kunde, er det vilkårene avtalt med kunden, inkludert DPA-en, som regulerer behandlingen.

2. Vår rolle: behandlingsansvarlig eller databehandler

Etter GDPR bestemmer den behandlingsansvarlige hvorfor og hvordan personopplysninger behandles, mens en databehandler behandler personopplysninger på vegne av den behandlingsansvarlige (artikkel 4 nr. 7 og 8 GDPR). Vår rolle avhenger av hvem sine formål behandlingen tjener, ikke av hvem som fysisk har opplysningene.

Vi er behandlingsansvarlig for:

opplysninger om besøkende på nettstedet: serverlogger, innsendinger via kontaktskjemaet og e-poster til oss;
kontakt- og forretningsopplysninger om kunder, potensielle kunder og deres representanter, og korrespondansen vår med dem;
tilbud, avtaler, fakturaer, betalings- og regnskapsopplysninger;
sikkerhetslogger for våre egne kontoer og systemer, dokumentasjon av hendelser og av forespørsler fra registrerte;
opplysninger vi trenger for å oppfylle lovkrav eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.

Vi er normalt databehandler for:

personopplysninger i kundenes systemer og materialer som vi mottar eller får tilgang til for å utføre det avtalte arbeidet, for eksempel opplysninger om kundens kunder, brukere, besøkende og ansatte i databaser, logger, sikkerhetskopier, CMS, repositorier eller testdata;
personopplysninger om andre personer som kunden gir oss i prosjektet.

I disse tilfellene er kunden behandlingsansvarlig (eller databehandler for sin egen kunde), og vi behandler slike opplysninger bare etter kundens dokumenterte instrukser og innenfor avtalt omfang. Behandlingen skal reguleres av en avtale som oppfyller artikkel 28 GDPR, normalt en DPA. Innebærer et prosjekt slik behandling uten at DPA er signert, foreslår vi en før arbeidet starter.

Vi bruker ikke personopplysninger fra kundeprosjekter til egne formål. Unntaket er behandling som kreves ved lov, for eksempel dokumentasjon av en sikkerhetshendelse eller svar på en lovlig forespørsel fra en myndighet; for slik behandling er vi behandlingsansvarlig.

Kildekode, arkitektur, forretningslogikk, konfigurasjoner, nøkler og andre forretningshemmeligheter er normalt ikke personopplysninger i seg selv, men vi beskytter dem som konfidensiell informasjon (punkt 6) etter avtalene med kunden. Tilgangsopplysninger og logger inneholder ofte også personopplysninger, for eksempel en navngitt brukerkonto eller IP-adresser; da gjelder begge regelsett.

Tjenesteleverandørene vi bruker (for eksempel AI-, hosting- eller e-postleverandører) er våre databehandlere eller underdatabehandlere når de behandler opplysninger på våre vegne. For enkelte opplysninger, som egne konto-, fakturerings-, sikkerhets- eller misbruksovervåkingsdata, kan de være selvstendige behandlingsansvarlige etter sine egne vilkår (punkt 8).

3. Personopplysninger vi behandler

For hver kategori forklarer vi hvilke opplysninger det gjelder, hvorfor vi behandler dem, med hvilket behandlingsgrunnlag, hvem som mottar dem og hvor lenge vi oppbevarer dem. Rettighetene dine er beskrevet i punkt 13; her nevner vi det som er særegent for hver kategori.

A. Besøkende på nettstedet og personer som kontakter oss

Serverlogger. Når du åpner nettstedet, registrerer webserveren automatisk tekniske opplysninger, som IP-adressen din, dato og klokkeslett for forespørselen, adressen som ble etterspurt, svarkoden, mengden overførte data, henvisende side og nettleserens user-agent-streng (nettleser, operativsystem, enhetstype).
Temainnstilling. Bytter du mellom lyst og mørkt tema, lagres valget i nettleserens lokale lager. Det blir på enheten din og sendes ikke til oss.
Kontaktskjema. Navn, e-postadresse, selskap, nettadresse, melding og budsjettramme, og, hvis du kom fra en prisknapp, tjenestetypen du valgte. Sammen med dette registrerer vi dato og klokkeslett, sidens språk og IP-adressen din. Et skjult antispam-felt brukes også: fylles det ut, forkastes innsendingen og lagres ikke.
E-post og andre kanaler. Meldingen din, kontaktopplysninger og alt annet du velger å sende oss.
Formål: levere nettstedet og holde det sikkert og i drift; oppdage og undersøke angrep og feil; svare på henvendelsen din, avklare oppgaven og utarbeide et tilbud; beskytte skjemaet mot spam og misbruk, inkludert en grense for antall innsendinger fra én IP-adresse.
Behandlingsgrunnlag: tiltak på din forespørsel før en avtale inngås (artikkel 6 nr. 1 bokstav b GDPR), hvis du kontakter oss på egne vegne; vår berettigede interesse (artikkel 6 nr. 1 bokstav f GDPR) i å drive et sikkert nettsted som vises likt for alle, svare på henvendelser fra virksomheter og deres representanter og beskytte skjemaet mot misbruk. Avkrysningsboksen i skjemaet bekrefter at du er informert om denne erklæringen; vi bruker den ikke som samtykke for å svare på henvendelsen. Feltene navn, e-post og melding er obligatoriske fordi vi ikke kan svare uten dem; de andre feltene er valgfrie.
Mottakere: hostingleverandøren vår; leverandørene av verktøyene vi bruker til å lagre og analysere logger; e-postleverandøren vår, fordi hver innsending også sendes til postkassen vår (uten IP-adressen); teammedlemmer som håndterer henvendelser.
Lagringstid: webserverlogger — 30 dager, logger i sentralt loggsystem — 30 dager, lenger bare ved behov for å undersøke en konkret hendelse; henvendelser som ikke førte til samarbeid — 12 måneder etter siste kontakt; fører en henvendelse til samarbeid, oppbevares den som del av kundeopplysningene (kategori B). For innsendingsgrensen oppbevares en hashet (pseudonymisert) form av IP-adressen din i 10-minuttersvinduet og slettes ved senere behandling av skjemaet. Temainnstillingen blir i nettleseren din til du sletter nettstedsdataene.
Særlig for denne kategorien: du kan protestere mot behandling basert på berettiget interesse og be oss slette henvendelsen når vi ikke lenger trenger den.

Ikke send passord, tilgangsnøkler eller personopplysninger om andre (for eksempel kundene dine) gjennom skjemaet eller via vanlig e-post. Krever arbeidet det, avtaler vi en sikker kanal (punkt 5).

B. Kunder, potensielle kunder og deres representanter

Opplysninger: for- og etternavn, jobb-e-post, telefonnummer, stilling, selskap; korrespondanse og notater fra samtaler og møter; tilbud, avtaler og fakturaer; faktureringsopplysninger (selskapsopplysninger, organisasjons- eller mva-nummer, adresse); betalingshistorikk og samarbeidshistorikk; brukernavn i verktøy vi bruker sammen, som meldingstjenester, oppgaveverktøy eller repositorie-hosting.
Kilder: deg, kollegene dine og offentlige kilder som selskapets nettsted og foretaksregistre.
Formål: utarbeide og inngå avtaler, levere tjenestene, kommunikasjon og prosjektstyring, fakturering og betaling, regnskap og skatt, håndtering av krav og tvister.
Behandlingsgrunnlag: oppfyllelse av avtale (artikkel 6 nr. 1 bokstav b GDPR) hvis du selv er kunden, for eksempel som enkeltpersonforetak; vår berettigede interesse (artikkel 6 nr. 1 bokstav f GDPR) i å samarbeide med et kundeselskap gjennom dets representanter; rettslige forpliktelser (artikkel 6 nr. 1 bokstav c GDPR) for regnskaps- og skatteopplysninger.
Mottakere: leverandører av e-post, meldingstjenester, videomøter, oppgavestyring, dokumentlagring, fakturerings- og regnskapsverktøy; banker og betalingsleverandører; regnskapsførere, advokater og revisorer; myndigheter der loven krever det.
Lagringstid:
- kontaktopplysninger, forretningskorrespondanse og samarbeidshistorikk — så lenge samarbeidet varer og inntil 3 år etter at det er avsluttet, med mindre lengre lagring er nødvendig for å forsvare rettskrav;
- avtaler, fakturaer og regnskapsdokumenter — i periodene gjeldende lov krever;
- dokumenter som trengs for å forsvare seg mot krav og rettstvister — til de aktuelle foreldelsesfristene er utløpt.
Særlig for denne kategorien: retten til dataportabilitet gjelder opplysninger behandlet på grunnlag av en avtale med deg; sletting kan utsettes for opplysninger vi må oppbevare etter loven.

C. Prosjektmaterialer og data i kundenes systemer

Opplysninger: kildekode og repositorier, dokumentasjon og tekniske spesifikasjoner, programvarearkitektur, konfigurasjoner, logger, feilrapporter, krasjdumper og testresultater, integrasjons-, API- og infrastrukturdata, databaseuttrekk og test- eller produksjonsdata som kunden har tillatt oss å behandle. Materialene kan inneholde personopplysninger om kundens kunder, brukere, ansatte eller andre.
Kilder: kunden, eller systemer kunden gir oss tilgang til.
Vår rolle: databehandler for personopplysningene i disse materialene (punkt 2); for konfidensiell informasjon, se punkt 6.
Formål: utføre det avtalte arbeidet: analyse, utvikling, endringer, testing, utrulling, support og sikkerhetsgjennomgang; holde denne behandlingen sikker.
Behandlingsgrunnlag: fastsettes av kunden som behandlingsansvarlig; vi behandler opplysningene etter kundens dokumenterte instrukser (artikkel 28 GDPR). For vår egen dokumentasjon av utført arbeid (for eksempel for å fakturere det eller forsvare krav) — artikkel 6 nr. 1 bokstav b eller f GDPR.
Mottakere: teammedlemmer som jobber med prosjektet; leverandører av AI-tjenester, hosting og sky, repositorie-hosting og utviklingsverktøy (punkt 4 og 8). Kundens egne systemer og leverandører forblir under kundens kontroll.
Lagringstid: så lenge arbeidet varer, deretter returneres eller slettes de som beskrevet i punkt 10 og i avtalene med kunden.
Særlig for denne kategorien: ligger opplysningene dine i en kundes system, ber vi deg rette forespørsler om dem til kunden som behandlingsansvarlig; vi hjelper kunden med å svare (punkt 13).

D. Tilgangsopplysninger og hemmeligheter

Opplysninger: passord, tokener, API-nøkler, SSH-nøkler, sertifikater og andre tilgangsopplysninger; informasjon om tilgangsrettigheter og tilkoblede systemer; registreringer av tilkoblinger og handlinger, der slike registreringer føres av oss eller av systemene vi har tilgang til.
Formål: utføre det avtalte arbeidet; sikkerhet og sporbarhet for tilganger.
Behandlingsgrunnlag: der tilgangsopplysninger eller tilgangslogger kan knyttes til en identifiserbar person — behandling på kundens vegne (artikkel 28 GDPR) for prosjektarbeidet, og vår berettigede interesse (artikkel 6 nr. 1 bokstav f GDPR) for våre egne sikkerhetslogger.
Mottakere: bare teammedlemmer som trenger tilgangen til oppgaven sin, og verktøyene vi lagrer hemmeligheter i (punkt 5).
Lagringstid: til oppgaven eller prosjektet er avsluttet eller tilgangen trukket tilbake, deretter slettes de fra vårt lager (punkt 10).

E. Opplysninger behandlet med AI-verktøy

Opplysninger: prompter, instrukser og oppgavebeskrivelser; utdrag av kode, logger, dokumenter og annen prosjektkontekst; genererte resultater og resultater av analyse, testing og feilretting; metadata om vår bruk av AI-tjenesten, som kontoidentifikatorer, tidsstempler og bruksdata.
Formål, behandlingsgrunnlag og vår rolle: som for det underliggende materialet (kategori B, C eller D). AI-leverandørene er våre databehandlere eller underdatabehandlere (punkt 4).
Mottakere: selskapene som leverer AI-tjenestene vi bruker (punkt 8).
Lagringstid: i våre egne verktøy — som for prosjektmaterialene; hos leverandøren — etter dens vilkår og innstillingene vi bruker (punkt 10).

F. Betaling, sikkerhet og rettslige forpliktelser

Opplysninger: fakturaer, betalingsopplysninger og skatteopplysninger; sikkerhetslogger for våre egne kontoer og systemer; dokumentasjon av hendelser og brudd på personopplysningssikkerheten; dokumentasjon av forespørsler fra registrerte og svarene våre; korrespondanse med myndigheter, rådgivere og domstoler.
Formål: oppfylle rettslige forpliktelser, holde systemene våre sikre, dokumentere etterlevelse, fastsette, gjøre gjeldende eller forsvare rettskrav.
Behandlingsgrunnlag: rettslige forpliktelser (artikkel 6 nr. 1 bokstav c GDPR); vår berettigede interesse (artikkel 6 nr. 1 bokstav f GDPR).
Mottakere: regnskapsførere, revisorer, advokater, banker og betalingsleverandører; kompetente myndigheter og domstoler.
Lagringstid:
- regnskaps- og skattedokumenter, fakturaer og betalingsopplysninger — 5 år etter utgangen av kalenderåret dokumentene gjelder, med mindre gjeldende lov krever lengre tid;
- sikkerhetslogger — 12 måneder;
- dokumentasjon av hendelser og brudd på personopplysningssikkerheten — 3 år etter at hendelsen er lukket;
- forespørsler fra registrerte og svarene våre — 3 år etter at forespørselen er lukket;
- korrespondanse med offentlige myndigheter, rådgivere og domstoler — 3 år etter at saken eller kontakten er avsluttet, med mindre lengre tid kreves ved lov eller for å forsvare rettskrav.
Særlig for denne kategorien: retten til sletting gjelder ikke nødvendigvis så lenge loven krever at vi oppbevarer opplysningene (artikkel 17 nr. 3 GDPR).

4. Bruk av kunstig intelligens

AI-verktøy er en del av måten utviklerne våre jobber på. Kundene styrer ikke AI-agenter selv: utviklerne våre formulerer oppgavene, kontrollerer resultatene og er ansvarlige for det som leveres.

4.1. Hva vi bruker AI til

I arbeidet kan vi bruke tredjeparts AI-modeller, API-er, skymiljøer og spesialverktøy til å:

analysere krav og arkitektur;
behandle tekniske materialer fra kunden;
generere, refaktorere og rette kode;
finne sårbarheter og feil;
teste, dokumentere og optimalisere programvare;
klargjøre endringer for utrulling.

4.2. Hva en AI-tjeneste kan motta

Avhengig av verktøy og oppgave kan en AI-tjeneste motta teksten i en henvendelse, kildekode, utdrag av dokumenter, logger, konfigurasjoner, feilmeldinger, testdata eller annet materiale oppgaven krever. Noen verktøy jobber direkte i et repositorium eller utviklingsmiljø (såkalte kodeagenter): de kan lese filer i arbeidskatalogen og kjøre kommandoene vi tillater.

Når vi bruker eksterne AI-tjenester eller andre skytjenester, behandles dataene som sendes dit, på leverandørens infrastruktur. Slike data forlater våre egne systemer, og leverandørens infrastruktur kan ligge utenfor EU/EØS (punkt 9).

4.3. Hvem som behandler opplysningene

En AI-modell er programvare, ikke en mottaker av opplysninger. Mottakeren er selskapet som leverer AI-tjenesten. Avhengig av vilkårene behandler det opplysningene som vår databehandler eller underdatabehandler, og for enkelte opplysninger (for eksempel egne konto-, fakturerings-, sikkerhets- eller misbruksovervåkingsdata) som selvstendig behandlingsansvarlig.

4.4. Våre regler for bruk av AI

Bare det som trengs. Vi sender en AI-tjeneste bare dataene den konkrete oppgaven krever, så langt det er teknisk og praktisk mulig.
Vi sjekker vilkårene. Før vi bruker en AI-tjeneste på kundemateriale, sjekker vi vilkårene for konfidensialitet, lagring, bruk av data til trening og forbedring av tjenesten, underdatabehandlere og datalokasjon, samt innstillingene vi har tilgang til.
Trening på kundedata. Om en leverandør kan bruke inndata og utdata til å trene eller forbedre modellene sine, avhenger av vilkårene og av abonnementet og innstillingene vi bruker. For kundemateriale bruker vi bare tjenester der vilkår eller innstillinger utelukker slik bruk. Finnes ikke slike vilkår for et verktøy, bruker vi det ikke på kundens personopplysninger eller konfidensielle materialer uten kundens samtykke.
Lagring hos leverandøren. En leverandør kan oppbevare inndata og utdata i en begrenset periode etter sine vilkår, for eksempel for misbruksovervåking eller for å oppfylle lovkrav, selv om vi sletter våre egne kopier.
Hemmeligheter. Vi tar ikke bevisst med passord, nøkler eller tokener i forespørsler til AI-tjenester. Der verktøyet tillater det, utelukker vi filer med hemmeligheter fra konteksten. En kodeagent som jobber i et miljø med hemmeligheter, kan teknisk sett nå dem, så vi bruker test- eller begrensede tilganger der det er mulig og oppbevarer ikke produksjonshemmeligheter i miljøer der AI-verktøy kjører, med mindre oppgaven krever det og det er avtalt med kunden.
Person- og produksjonsdata. Der det er mulig, jobber vi med test-, syntetiske, anonymiserte eller pseudonymiserte data. Vi sender produksjonsdata eller personopplysninger til en AI-tjeneste bare når oppgaven krever det og kunden tillater det. Vi kan ikke garantere at alle data er anonymisert: logger og databaseuttrekk kan for eksempel inneholde personopplysninger.
Høyrisikodata. Vi sender ikke særlige kategorier av personopplysninger, opplysninger om barn, finansielle opplysninger eller lignende høyrisikodata til AI-tjenester med mindre det er strengt nødvendig og avtalt med kunden (punkt 6).
Menneskelig kontroll. Utviklerne formulerer oppgavene, gjennomgår AI-genererte resultater, tester dem og avgjør hva som leveres eller settes i drift. AI-resultater leveres ikke til kunden uten kontroll av en utvikler.
Ingen automatiserte avgjørelser om deg. Vi tar ikke avgjørelser om besøkende, kunder eller deres representanter utelukkende basert på automatisert behandling som har rettsvirkning eller tilsvarende betydelig påvirkning (artikkel 22 GDPR).
Kundens valg. En kunde kan be oss om ikke å bruke AI-verktøy i prosjektet, om å utelukke bestemte leverandører eller om å bruke bare leverandører kunden har godkjent. Dette avtaler vi i tilbudet; det kan påvirke tidsplan og pris.

4.5. Liste over leverandører

Vi fører en liste over AI-leverandører og andre tjenesteleverandører som kan behandle kundedata på våre vegne, med rolle, formål og behandlingssted. Listen gis på kundens forespørsel og som vedlegg til DPA-en. Der det finnes en DPA, informerer vi kunden på forhånd om endringer i listen, slik DPA-en fastsetter (artikkel 28 nr. 2 GDPR).

5. Tilgang til kundenes systemer

For å utføre det avtalte arbeidet kan en kunde gi oss tilgang til sine repositorier, servere, skyplattformer, databaser, nettsteder og CMS, domener og DNS, eksterne API-er og andre tjenester. Vi skiller mellom følgende handlinger:

Motta og lagre tilgangsopplysninger — bare for det avtalte arbeidet, i lageret beskrevet nedenfor;
Bruke tilgang — bare til oppgaver innenfor avtalt omfang;
Se, kopiere og endre data — bare i den grad oppgaven krever; vi kopierer produksjonsdata ut av kundens systemer bare når det er nødvendig og avtalt;
Kjøre tester, migreringer og utrullinger — etter arbeidsreglene avtalt for prosjektet;
Handlinger i produksjonsmiljøet — endringer i produksjon og potensielt destruktive handlinger (for eksempel sletting av data, migreringer som endrer data, DNS-endringer, deaktivering av tjenester) utføres etter reglene avtalt med kunden for prosjektet, inkludert hvilke handlinger som krever kundens forhåndsgodkjenning;
Koble til og fra tredjepartsintegrasjoner — bare som del av det avtalte arbeidet. En ny integrasjon kan skape nye dataflyter til tredjeparter valgt av kunden; kunden bestemmer over dem som behandlingsansvarlig.

Vi følger disse prinsippene:

Minste privilegium: vi ber bare om rettighetene oppgaven krever, og foretrekker lesetilgang der det er nok.
Personlige kontoer: der systemet tillater det, bruker hvert teammedlem en personlig konto i stedet for en delt.
Begrenset omfang: tilgangen er begrenset til prosjektet og til teammedlemmene som jobber med det.
Lagring av hemmeligheter: vi oppbevarer tilgangsopplysninger i et eget lager for hemmeligheter, som en passordbehandler, og ikke i chatter, saker eller kildekode.
Tidsbegrenset tilgang: der det er teknisk mulig, ber vi om midlertidig tilgang eller tilgang med utløpsdato.
Logging og revisjon: der kundens systemer eller våre verktøy registrerer handlinger, oppbevares registreringene etter innstillingene der. Vi anbefaler kundene å slå på revisjonslogger i sine systemer; vi lover ikke logging der det ikke er satt opp.
Tilbaketrekking av tilgang: når arbeidet avsluttes eller på kundens forespørsel slutter vi å bruke tilgangen, sletter tilgangsopplysningene fra vårt lager og ber kunden trekke tilgangen tilbake. Vi anbefaler at kundene også bytter passord og roterer nøkler som er delt med oss.
Sikker overføring: ikke send tilgangsopplysninger via vanlig e-post eller gjennom kontaktskjemaet; vi avtaler en sikker måte å overføre dem på, for eksempel sikker deling i en passordbehandler eller en engangslenke med kryptering.

Som behandlingsansvarlig for egne systemer og data bestemmer kunden hvilken tilgang som gis, og må ha rett til å gi den (se bruksvilkårene). Dette reduserer ikke våre egne forpliktelser etter avtalene med kunden og gjeldende rett.

6. Konfidensialitet i kundeprosjekter

Personopplysninger er opplysninger om en identifisert eller identifiserbar person. Konfidensiell informasjon er bredere: den omfatter kildekode, forretningshemmeligheter, arkitektur, forretningslogikk, tilgangsnøkler og ikke-offentlig dokumentasjon, enten den inneholder personopplysninger eller ikke. Personopplysninger er vernet av personvernlovgivningen; konfidensiell informasjon er vernet av avtalene med kunden (tjenesteavtalen og, der den er inngått, en NDA). Ofte gjelder begge for samme materiale.

Vi behandler kundemateriale for å utføre det avtalte arbeidet, for sikkerhet, testing og support, og for andre formål angitt i avtalene med kunden eller i denne erklæringen.
Vi bruker ikke kundens kode eller konfidensielle materialer til å trene egne modeller, til offentlige demonstrasjoner eller kundehistorier, til salg eller overføring til tredjeparter, eller til noe annet selvstendig formål, med mindre kunden har samtykket skriftlig og det finnes et lovlig grunnlag.
Bruker vi informasjon om arbeidet vårt til intern analyse (for eksempel hvor lang tid typiske oppgaver tar), bruker vi bare informasjon som ikke identifiserer personer og ikke avslører kundens konfidensielle materialer.
Utviklerne våre må lese kode, data og logger for å forstå prosjektet, rette feil og kontrollere resultater. Vi lover derfor ikke at ingen personer ser dataene; tilgangen er begrenset til teammedlemmene som jobber med prosjektet, og de er bundet av taushetsplikt.

Uventede høyrisikodata

Kundemateriale kan uventet inneholde særlige kategorier av personopplysninger (for eksempel helseopplysninger), opplysninger om barn, finansielle opplysninger som kortnumre, identitetsdokumenter, passord eller nøkler i logger eller kode, eller annen høyrisikoinformasjon. Finner vi slike data, gjør vi følgende:

behandler dem bare i den grad oppgaven krever, og kopierer dem ikke inn i AI-verktøy eller andre systemer med mindre det er nødvendig og avtalt;
informerer kunden og avtaler neste steg, som maskering, sletting av kopiene vi har, eller endring av oppgavens omfang;
anbefaler å bytte eksponerte passord og nøkler;
følger hendelsesprosedyren (punkt 12) hvis funnet tyder på et brudd.

7. Formål og behandlingsgrunnlag

Vi bruker ikke samtykke som et universelt behandlingsgrunnlag. For hvert formål bygger vi på grunnlaget som passer:

Svare på henvendelser og utarbeide tilbud — artikkel 6 nr. 1 bokstav b GDPR (tiltak på din forespørsel før avtale) eller artikkel 6 nr. 1 bokstav f (berettiget interesse, for representanter for selskaper).
Inngå og oppfylle avtaler, levere tjenestene — artikkel 6 nr. 1 bokstav b hvis du selv er kunden; artikkel 6 nr. 1 bokstav f for representanter og kontaktpersoner hos kundeselskaper.
Behandle personopplysninger i kundeprosjekter — etter kundens dokumenterte instrukser (artikkel 28 GDPR); kunden er som behandlingsansvarlig ansvarlig for å ha behandlingsgrunnlag.
Fakturering, regnskap og skatt — artikkel 6 nr. 1 bokstav c (rettslig forpliktelse) og artikkel 6 nr. 1 bokstav b.
Sikkerhet for nettstedet, våre systemer og kundetilganger; forebygging av misbruk — artikkel 6 nr. 1 bokstav f.
Undersøke hendelser og melde brudd på personopplysningssikkerheten — artikkel 6 nr. 1 bokstav c (artikkel 33 og 34 GDPR) og artikkel 6 nr. 1 bokstav f.
Oppfylle rettslige forpliktelser og lovlige forespørsler fra myndigheter — artikkel 6 nr. 1 bokstav c.
Håndtere forespørsler fra registrerte, klager og rettskrav — artikkel 6 nr. 1 bokstav c for forespørsler etter artikkel 15–22 GDPR; artikkel 6 nr. 1 bokstav f for krav; der særlige kategorier av opplysninger inngår, artikkel 9 nr. 2 bokstav f.
Nettstedsanalyse (Umami, uten cookies, på vår egen server; punkt 11) — artikkel 6 nr. 1 bokstav f, vår berettigede interesse i å forstå hvordan nettstedet brukes, og forbedre det.
Reklame — brukes ikke på dette nettstedet. Innfører vi det, oppdaterer vi denne erklæringen og ber om samtykke der loven krever det (artikkel 5 nr. 3 i direktiv 2002/58/EF og nasjonal lovgivning).

Der vi bygger på berettiget interesse, har vi veid den mot dine interesser og rettigheter; du kan protestere mot slik behandling (artikkel 21 GDPR) og be oss om mer informasjon om vurderingen. Der vi bygger på samtykke, kan du trekke det tilbake når som helst uten at det påvirker lovligheten av tidligere behandling (artikkel 7 nr. 3 GDPR).

8. Hvem som mottar opplysninger

Vi selger ikke personopplysninger og deler dem ikke for reklameformål. Internt i DEVOITEX er opplysningene tilgjengelige bare for teammedlemmer som trenger dem til oppgavene sine. Utenfor DEVOITEX kan følgende kategorier av mottakere få opplysninger, i den grad det er nødvendig:

Leverandører av AI-modeller og API-er — våre databehandlere eller underdatabehandlere; for egne konto-, sikkerhets- og misbruksovervåkingsdata selvstendige behandlingsansvarlige;
Hosting-, sky- og serverleverandører — databehandlere;
Leverandører av repositorie-hosting og av utviklings-, test- og utrullingsverktøy — databehandlere (brukes kundens egne kontoer, er de kundens leverandører);
Leverandører av e-post, meldingstjenester, videomøter, oppgavestyring, dokumentlagring, overvåking og logghåndtering — databehandlere;
Banker, betalings- og regnskapstjenester — banker og betalingsleverandører er normalt selvstendige behandlingsansvarlige; leverandører av regnskapsprogramvare er databehandlere;
Profesjonelle rådgivere (advokater, regnskapsførere, revisorer) — normalt selvstendige behandlingsansvarlige med taushetsplikt;
Underleverandører (enkeltspesialister eller selskaper som hjelper oss med å levere tjenestene), hvis vi bruker dem — databehandlere eller underdatabehandlere med skriftlige forpliktelser om konfidensialitet og personvern og, der DPA-en krever det, med kundens forhåndsgodkjenning;
Myndigheter, domstoler og politi — bare der vi er rettslig forpliktet til å utlevere opplysninger eller må gjøre det for å verne våre rettigheter. Vi kontrollerer at en forespørsel er lovlig, utleverer bare det som er nødvendig og informerer, der loven tillater det, den berørte kunden.

Vi bruker databehandlere bare under avtaler som oppfyller artikkel 28 GDPR, gir dem bare opplysningene de trenger, og bruker for overføringer utenfor EU/EØS garantiene beskrevet i punkt 9. Konkrete leverandører er navngitt i listen beskrevet i punkt 4.5.

9. Overføring til andre land

Teamet vårt, tjenesteleverandørene våre og deres underdatabehandlere kan behandle opplysninger i ulike land, også utenfor EU/EØS, for eksempel i USA. Der personopplysninger vernet av GDPR overføres til et land utenfor EU/EØS, bruker vi en av mekanismene i kapittel V GDPR:

en beslutning fra EU-kommisjonen om tilstrekkelig beskyttelsesnivå (artikkel 45 GDPR), inkludert, for sertifiserte amerikanske selskaper, EU–US Data Privacy Framework (Kommisjonens gjennomføringsbeslutning (EU) 2023/1795);
standard personvernbestemmelser godkjent av EU-kommisjonen (artikkel 46 nr. 2 bokstav c GDPR, Kommisjonens gjennomføringsbeslutning (EU) 2021/914), sammen med en vurdering av mottakerlandets lovgivning og supplerende tiltak der det trengs;
i unntakstilfeller unntakene i artikkel 49 GDPR.

Hvor en server står, avgjør ikke alene hvor opplysninger behandles: data lagret i ett land kan nås eksternt fra et annet, for eksempel av leverandørens supportpersonale, dens underdatabehandlere eller teamet vårt. Teammedlemmene og underleverandørene våre kan få tilgang til opplysninger fra Ukraina.

For personopplysninger vi behandler på vegne av en kunde, følger overføringene DPA-en og kundens instrukser. Du kan be oss om informasjon om garantiene som brukes, og om en kopi av dem (uten kommersielle detaljer) via kontaktene i punkt 18.

10. Lagring og sletting

Vi oppbevarer personopplysninger bare så lenge det er nødvendig for formålet de ble samlet inn for, eller så lenge loven krever. Periodene avhenger av formålet, avtalen, lovkrav, leverandørens innstillinger og tekniske begrensninger; de er ikke like for alle opplysninger.

Henvendelser og potensielle kunder: 12 måneder etter siste kontakt, hvis det ikke blir noe samarbeid.
Avtaler og kundeopplysninger: så lenge samarbeidet varer, og deretter 3 år etter at det er avsluttet.
Regnskaps- og skattedokumenter: 5 år etter utgangen av kalenderåret dokumentene gjelder, med mindre gjeldende lov krever en lengre periode.
Kildekode og prosjektmaterialer: så lenge arbeidet varer, og 30 dager etter at det er avsluttet, med mindre noe annet er avtalt med kunden; deretter slettes eller returneres de til kunden etter avtale, med mindre loven krever at vi oppbevarer visse opplysninger.
Tilgangsopplysninger og hemmeligheter: slettes fra vårt lager umiddelbart etter at oppgaven eller prosjektet er avsluttet eller tilgangen er trukket tilbake.
Sikkerhetslogger og webserverlogger: 30 dager for webserverlogger, 12 måneder for sikkerhetslogger; lenger bare mens en hendelse undersøkes.
Opplysninger hos AI-leverandører: etter den enkelte leverandørens vilkår og tjenesteinnstillinger; dette kan avvike fra våre egne perioder (punkt 4.4).
Sikkerhetskopier: inntil 90 dager etter at opplysningene er slettet fra aktive systemer. Til sikkerhetskopiene overskrives etter rotasjonssyklusen, kan slettede opplysninger finnes i dem; i den perioden bruker vi dem ikke til noe formål.
Personopplysninger behandlet på vegne av en kunde: ved tjenestenes slutt slettes eller returneres de etter kundens valg, med mindre loven krever lagring (artikkel 28 nr. 3 bokstav g GDPR), slik det er fastsatt i DPA-en.

Når opplysninger skal slettes, sletter vi aktive kopier i våre systemer; sikkerhetskopier og loggoppføringer slettes når lagringstiden deres utløper; kopier hos tjenesteleverandørene våre slettes med slettefunksjonene og innstillingene de tilbyr, etter deres vilkår. På forespørsel bekrefter vi overfor kunden hva som er slettet eller returnert. Vi lover ikke umiddelbar og ugjenkallelig sletting fra alle systemer på én gang, fordi sikkerhetskopisykluser, logger og leverandørvilkår kan kreve noe tid.

11. Cookies og lignende teknologier

Cookies: nettstedet setter ikke cookies selv.
Lokalt lager: bytter du tema, lagres valget (lyst eller mørkt) i nettleseren din under navnet dvx-theme. Dette er strengt nødvendig for å levere en funksjon du selv har bedt om, og krever derfor ikke samtykke (artikkel 5 nr. 3 i direktiv 2002/58/EF). Du kan slette det ved å tømme nettstedsdataene i nettleseren.
Språkvalg: velger du språk med språkvelgeren, lagres valget i nettleseren din under navnet dvx-lang, på samme måte som temaet. Det brukes bare for at nettstedet skal huske språket ditt, og sendes ikke til oss. Åpner du en engelsk side uten lagret valg og nettleseren din har norsk som språk, viser nettstedet samme side på norsk; dette avgjøres i nettleseren din ut fra språkinnstillingen, ikke ut fra land eller IP-adresse, og ingenting sendes til oss. Du kan slette valget ved å tømme nettstedsdataene i nettleseren.
Analyse: besøk teller vi med Umami, et analyseverktøy som kjører på vår egen server. Det setter ikke cookies og lagrer ikke IP-adresser. Det registrerer sidene du åpner, nettstedet du kom fra, nettleser, operativsystem, enhetstype, skjermstørrelse, språk og omtrentlig sted utledet fra IP-adressen. Det teller også når kontaktskjemaet sendes eller e-postlenken klikkes, uten noe av det du skriver i skjemaet. Vi bruker disse opplysningene bare i aggregert form for å forbedre nettstedet, deler dem ikke med tredjeparter og bruker dem ikke til å identifisere deg.
Reklame og piksler: brukes ikke på dette nettstedet. Innfører vi dem, oppdaterer vi denne erklæringen, ber om samtykke før vi bruker ikke-nødvendige teknologier der loven krever det, og lar deg trekke samtykket tilbake like enkelt som du ga det.

12. Sikkerhet og hendelser

Vi bruker tekniske og organisatoriske tiltak som står i forhold til risikoen (artikkel 32 GDPR):

tilgang til data og systemer bare for teammedlemmer som trenger det, med minst mulig rettigheter;
personlige kontoer og flerfaktorautentisering der tjenesten støtter det;
lagring av tilgangsopplysninger i et eget lager og ikke i kildekode, chatter eller saker;
oppdatert programvare og oppdaterte avhengigheter;
kryptert forbindelse (HTTPS) til nettstedet; data fra kontaktskjemaet er beskyttet mot offentlig tilgang, og antall innsendinger er begrenset;
sikkerhetskopier der det passer for dataene og systemet;
overvåking og logging der det er satt opp.

Ingen metode for overføring eller lagring er helt sikker, og vi kan ikke garantere at hendelser aldri skjer. Blir vi kjent med en sikkerhetshendelse, begrenser vi den, vurderer konsekvensene, undersøker årsakene og dokumenterer den (artikkel 33 nr. 5 GDPR). Deretter:

berører hendelsen personopplysninger vi behandler på vegne av en kunde, varsler vi kunden uten ugrunnet opphold (artikkel 33 nr. 2 GDPR) og hjelper kunden med å oppfylle sine forpliktelser;
er vi behandlingsansvarlig, melder vi bruddet til kompetent tilsynsmyndighet innen 72 timer etter at vi ble kjent med det, med mindre det er lite sannsynlig at det medfører risiko for folks rettigheter og friheter (artikkel 33 nr. 1 GDPR), og varsler de berørte uten ugrunnet opphold hvis risikoen er høy (artikkel 34 GDPR);
berører hendelsen en kundes konfidensielle informasjon eller tilganger, informerer vi kunden slik avtalene med kunden fastsetter.

13. Dine rettigheter

Etter GDPR har du rett til å:

få innsyn i personopplysningene dine og en kopi av dem (artikkel 15);
få uriktige opplysninger rettet (artikkel 16);
få opplysninger slettet (artikkel 17);
få behandlingen begrenset (artikkel 18);
motta opplysningene du har gitt oss, i et strukturert, maskinlesbart format og få dem overført til en annen behandlingsansvarlig, der behandlingen bygger på samtykke eller avtale og skjer automatisert (artikkel 20);
protestere mot behandling basert på berettiget interesse (artikkel 21 nr. 1), og når som helst protestere mot direkte markedsføring (artikkel 21 nr. 2);
trekke samtykke tilbake når som helst, der behandlingen bygger på samtykke (artikkel 7 nr. 3);
ikke være gjenstand for en avgjørelse som utelukkende bygger på automatisert behandling og har rettsvirkning eller tilsvarende betydelig påvirkning (artikkel 22); vi tar ikke slike avgjørelser;
klage til en tilsynsmyndighet, særlig i EU/EØS-landet der du bor eller jobber, eller der det påståtte bruddet skjedde (artikkel 77); i Norge er dette Datatilsynet.

Rettighetene er underlagt vilkår og unntak fastsatt i lov; vi kan for eksempel nekte å slette opplysninger vi må oppbevare etter loven (artikkel 17 nr. 3 GDPR). Gjelder annen personvernlovgivning for vår behandling av opplysningene dine, kan du ha rettigheter etter den, og vi behandler forespørselen din i samsvar med den.

Slik sender du en forespørsel. Skriv til support@devoitex.com. Er vi i rimelig tvil om identiteten din, kan vi be om opplysninger som trengs for å bekrefte den (artikkel 12 nr. 6 GDPR), og vi ber ikke om mer enn nødvendig. Vi svarer innen én måned etter mottak; for komplekse eller mange forespørsler kan fristen forlenges med ytterligere to måneder, og vi informerer deg om forlengelsen og grunnene innen den første måneden (artikkel 12 nr. 3 GDPR). Forespørsler er gratis; for åpenbart grunnløse eller overdrevne forespørsler kan vi kreve et rimelig gebyr eller avslå (artikkel 12 nr. 5 GDPR).

Opplysninger i kundenes systemer. Behandler vi opplysningene dine på vegne av en kunde (du er for eksempel bruker av en kundes nettsted), avgjør kunden forespørselen din som behandlingsansvarlig. Kontakt kunden. Kontakter du oss, videresender vi forespørselen til kunden eller forteller deg hvem du skal kontakte, og vi hjelper kunden med å svare slik det er avtalt i DPA-en (artikkel 28 nr. 3 bokstav e GDPR).

14. Barn og særlige kategorier av opplysninger

Tjenestene våre er rettet mot virksomheter og profesjonelle; nettstedet er ikke rettet mot barn. Vi samler ikke bevisst inn personopplysninger om barn gjennom nettstedet. Får vi vite at vi har mottatt slike opplysninger gjennom nettstedet uten lovlig grunnlag, sletter vi dem.

Vi ber ikke om særlige kategorier av personopplysninger (artikkel 9 GDPR), som helseopplysninger, og ber deg om ikke å sende dem gjennom kontaktskjemaet. Slike opplysninger, og opplysninger om barn, kan likevel finnes i kundenes databaser, logger eller dokumenter. Vi behandler dem bare som databehandler etter kundens instrukser, i den grad oppgaven krever, med tiltakene beskrevet i punkt 6. Skal et prosjekt behandle slike opplysninger, må det avtales særskilt i DPA-en, med egnede tiltak; kunden kan måtte gjennomføre en vurdering av personvernkonsekvenser (artikkel 35 GDPR), og vi bistår etter avtale (artikkel 28 nr. 3 bokstav f GDPR).

15. Tredjepartstjenester og lenker

Nettstedet og arbeidet vårt kan involvere tjenester, nettsteder, repositorier og plattformer fra tredjeparter, som kodehosting eller skytjenester. De behandler opplysninger etter sine egne personvernerklæringer og vilkår, og vi anbefaler å lese dem.

I kundeprosjekter velger kunden mange tjenester til egne systemer (for eksempel hosting, betalingsleverandør eller analyse i produktet). Forholdet mellom slike tjenester og kunden reguleres av deres vilkår med kunden. Vi er ansvarlige for våre egne handlinger, inkludert hvordan vi konfigurerer slike tjenester etter kundens instrukser, og hvilke leverandører vi velger for eget arbeid. Ingenting i denne erklæringen begrenser våre forpliktelser etter gjeldende rett.

16. Tilknyttede dokumenter

Denne erklæringen beskriver hvordan vi behandler personopplysninger. Andre forhold reguleres av egne dokumenter:

Bruksvilkår — bruk av nettstedet og generelle regler for samarbeidet;
Tjenesteavtale og det godkjente tilbudet — omfang, pris, forpliktelser og ansvar for arbeidet;
konfidensialitetsavtale (NDA), der den er inngått — konfidensialitet for forretningsinformasjon utover personopplysninger;
databehandleravtale (DPA) — vår behandling av personopplysninger på kundens vegne etter artikkel 28 GDPR, inkludert underdatabehandlere og overføring til andre land;
listen over leverandører (punkt 4.5);
reglene for tilganger og hemmeligheter og hendelsesprosedyren avtalt for et prosjekt — praktiske regler for arbeid i kundens systemer.

Begynner nettstedet å bruke ikke-nødvendige cookies eller lignende teknologier, publiserer vi også en egen cookie-erklæring.

17. Endringer i erklæringen

Ikrafttredelsesdato og dato for siste oppdatering står øverst på denne siden. Hver ny versjon publiserer vi på denne siden. Gjør vi vesentlige endringer, for eksempel nye behandlingsformål eller nye kategorier av mottakere, informerer vi kundene på e-post eller gjennom kommunikasjonskanalene vi bruker i samarbeidet, før endringene trer i kraft, der det kreves. Tidligere versjoner gir vi på forespørsel.

18. Kontakt

Spørsmål og forespørsler om personopplysninger: support@devoitex.com eller kontaktskjemaet.
Postadresse: Holosiivskyi Avenue 106/2, leil. 50, Kyiv 01001, Ukraina.
Kontakt for spørsmål om personvern: support@devoitex.com.

Kunder kan også stille spørsmål om et konkret prosjekt til kontaktpersonen sin i DEVOITEX.