PERSONVERNERKLÆRING FOR STYRMIND

Sist oppdatert: 9. oktober 2026

1. Hvem vi er, og hva erklæringen gjelder

Styrmind er en tjeneste for næringsvirksomheter som samler og viser informasjon fra systemer virksomheten bruker, og støtter planlegging og oppfølging.

Styrmind AS, organisasjonsnummer 937 555 741, Dronningens gate 2A, 4610 Kristiansand, Norge, er behandlingsansvarlig for personopplysninger vi behandler til egne formål. Det gjelder blant annet administrasjon av brukerkontoer og kundeforhold, henvendelser, betaling, markedsføring og sikring av tjenesten.

Når vi behandler personopplysninger på kundens vegne for å levere tjenestens funksjoner, er vi databehandler. Kunden bestemmer formålet og har ansvar for behandlingsgrunnlag og informasjon til de registrerte. Denne behandlingen reguleres av databehandleravtalen.

Rollen vår avhenger av formålet med den enkelte behandlingen. Aktivitetsopplysninger som behandles for kundens dokumentasjon, omfattes av databehandleravtalen. Opplysninger som er nødvendige for Styrminds egen sikkerhets- og misbrukshåndtering, behandles til dette særskilte formålet.

Du kan kontakte oss om personvern på personvern@styrmind.com. Tjenesten er tilgjengelig på app.styrmind.no, og informasjon og bestilling på styrmind.no.

2. Opplysninger vi behandler til egne formål

Brukerkonto og tilgang

Vi behandler navn, e-postadresse, tilknytning til virksomhet og nødvendige konto- og tilgangsopplysninger for å opprette og administrere tilgang. Vi behandler også opplysninger som er nødvendige for innlogging, tofaktorautentisering og gjenoppretting av kontoen. Passord lagres ikke i klartekst.

Grunnlaget er vår berettigede interesse i å administrere og sikre tilgangen til tjenesten. Der behandlingen er nødvendig for en avtale du selv er part i, kan grunnlaget være oppfyllelse av avtale.

Opplysningene beholdes mens kontoen har tilgang til én eller flere virksomheter. Når all tilgang er avsluttet og kontoen ikke lenger er nødvendig, slettes kontoopplysningene. Nødvendig dokumentasjon for sikkerhet, oppgjør eller rettskrav behandles separat etter kriteriene nedenfor. Sletting av medlemskap i én virksomhet avslutter ikke nødvendigvis kontoen i andre virksomheter.

Sikkerhet og drift

Vi behandler nødvendige innloggings-, enhets- og hendelsesopplysninger, blant annet brukerreferanse, tidspunkt, IP-adresse og nettleseropplysninger, for å beskytte tjenesten, gjenkjenne enheter, oppdage misbruk og undersøke sikkerhetshendelser.

Grunnlaget er vår berettigede interesse i sikker og stabil drift. Tilgang begrenses til autoriserte personer med tjenstlig behov.

Lagringstiden vurderes ut fra behovet for å oppdage gjentatt misbruk, følge opp en konkret hendelse og administrere aktive økter eller kjente enheter. Opplysninger slettes når behovet opphører. Ved en konkret sikkerhetssak kan nødvendig dokumentasjon beholdes mens saken undersøkes og eventuelle rettskrav håndteres.

Henvendelser

Ved henvendelser behandler vi opplysningene du oppgir, som navn, e-post, telefonnummer, firmanavn og meldingsinnhold, for å svare og følge opp saken. Grunnlaget er vår berettigede interesse i å håndtere henvendelser. Ved nødvendige tiltak før en avtale med deg personlig kan grunnlaget være artikkel 6 nr. 1 bokstav b.

Henvendelser beholdes mens saken følges opp og så lenge det er nødvendig å dokumentere svar eller avtalte tiltak. Ved vurderingen legger vi vekt på om saken er avsluttet, om det forventes videre oppfølging og om dokumentasjonen er nødvendig for et konkret rettskrav. Databasehistorikken for henvendelser og tilhørende svar har en oppryddingsperiode på to år. Kopier i e-postkontoer vurderes etter de samme formålene, men omfattes ikke automatisk av oppryddingen i databasen.

Vi behandler også henvendelsens kategori, referanse, oppfølgingsstatus og dokumentasjon på eventuelt markedsføringssamtykke. Innholdet i svar sendt fra administrasjonen lagres i en meldingslogg og slettes sammen med henvendelsen. Henvendelsen formidles også til Styrminds salgspostkasse. Kopier i egne e-postkontoer og hos e-postleverandøren følger egne sletterutiner.

Vi bruker beskyttelse mot automatiserte innsendinger. Unngå å sende særlige kategorier personopplysninger eller annen unødvendig sensitiv informasjon i kontaktskjemaet.

Nyheter og tilbud

Vi sender nyheter og tilbud på e-post når du har samtykket. Samtykke er frivillig og kan trekkes tilbake når som helst ved å svare på e-posten eller kontakte personvern@styrmind.com. Tilbaketrekking påvirker ikke lovligheten av tidligere behandling.

Vi behandler e-postadresse og eventuelt navn og firma, samt dokumentasjon på samtykket, så lenge samtykket gjelder og opplysningene er nødvendige for dette formålet. Ved tilbaketrekking stopper utsendelsene. Dokumentasjon på samtykke beholdes mens samtykket brukes, og deretter så lenge det er nødvendig for å dokumentere en aktuell utsendelse eller håndtere en konkret klage. En begrenset sperreoppføring kan beholdes så lenge det er nødvendig for å hindre at adressen blir lagt til igjen uten et nytt samtykke. Grunnlaget for denne begrensede behandlingen er vår berettigede interesse i å respektere reservasjonen og dokumentere etterlevelse.

Kjøp, abonnement og fakturering

Vi behandler virksomhetsnavn, organisasjonsnummer, kontakt- og fakturaopplysninger, betalingsstatus og nødvendige kunde- og abonnementsreferanser for å administrere kundeforhold og betaling.

For personlige avtalepartnere er grunnlaget oppfyllelse av avtale. Kontaktpersonopplysninger behandles på grunnlag av vår berettigede interesse i å administrere virksomhetens kundeforhold. Lovpålagt regnskapsmateriale behandles for å oppfylle rettslige forpliktelser.

Opplysningene beholdes under kundeforholdet og deretter så lenge det er nødvendig for utestående oppgjør, dokumentasjon av avtalen eller lovpålagt regnskapsoppbevaring. Oppbevaringen av regnskapsmateriale følger den lovbestemte fristen for den aktuelle dokumenttypen, regnet fra det relevante regnskapsårets slutt. Kortopplysninger registreres hos Stripe og lagres ikke av Styrmind.

Invitasjoner og kontogjenoppretting

Vi behandler mottakerens e-postadresse eller brukerreferanse og nødvendige sikkerhetsopplysninger for invitasjoner og gjenoppretting av konto. Grunnlaget er vår berettigede interesse i å administrere og sikre tilgang. Invitasjons- og gjenopprettingsopplysninger beholdes så lenge de er nødvendige for å gjennomføre forespørselen. Etter bruk eller utløp beholdes bare eventuell dokumentasjon som er nødvendig for å undersøke feil, misbruk eller en konkret sikkerhetshendelse. Slik dokumentasjon slettes når dette behovet opphører.

Statistikk på det offentlige nettstedet

Når du samtykker til statistikk, bruker vi Google Analytics 4 til å forstå besøk og måle vellykkede henvendelser på markedsnettstedet, nyhetssidene og de offentlige avtalesidene. Grunnlaget er samtykke. Vi bruker Cookiebot til å innhente og håndtere valgene dine. Nærmere informasjon om databruk, oppbevaring og tilbaketrekking står i punkt 9.

For berettiget interesse vurderer vi nødvendigheten av behandlingen opp mot personvernulempene. Du kan protestere på grunnlag av din særlige situasjon. Vi gir nærmere informasjon om vurderingen på forespørsel.

Nødvendige konto- og kontaktopplysninger må oppgis for at vi skal kunne opprette tilgang og følge opp henvendelser. Nødvendige fakturaopplysninger må oppgis for å gjennomføre kjøpet. Uten slike opplysninger kan vi ikke levere den aktuelle tjenesten. Opplysninger til markedsføring er frivillige.

3. Opplysninger vi behandler på kundens vegne

Avhengig av valgte funksjoner og tilkoblinger behandler vi:

Kontakt- og virksomhetsopplysninger om kunder, leverandører, kontaktpersoner og prospekter, inkludert enkeltpersonforetak.
Personopplysninger i regnskaps-, faktura-, tilbuds-, salgs- og oppgaveinformasjon.
Kontaktroller, notater, ansvarlige brukere, oppfølgings- og aktivitetsopplysninger.
Opplysninger om ansatte og selgere, som navn, stillingsprosent, planlagte timer, mål for fakturerbar tid og provisjonsgrunnlag.
Bookingopplysninger, som gjestenavn, bookingreferanse, beløp, datoer og de fire siste sifrene i telefonnummeret.
Kjennemerker og kjøretøyopplysninger når kunden bruker denne funksjonen.
E-post- og kalenderopplysninger som beskrevet i punkt 4.
Avtaleopplysninger, ansvarlige personer, årshjul, påminnelser og dokumentopplysninger, inkludert innhold ved opplasting, søkeindeksering eller bestilt KI-lesing, som beskrevet i punkt 4 og 5.

Opplysningene kommer fra kunden, kundens brukere og tilkoblede systemer, blant annet Microsoft 365 og regnskapssystemer som Tripletex, Unimicro og PowerOffice når den aktuelle integrasjonen er tilgjengelig og kunden har aktivert den. Relevante opplysninger kan også hentes fra Brønnøysundregistrene og Statens vegvesen. Norges Bank brukes som kilde til offentlig økonomisk informasjon, som valutakurser, der funksjonen benyttes. Kunden har ansvar for at innsamling og bruk er lovlig, og for å begrense fritekst og andre opplysninger til det nødvendige. Tjenesten er ikke beregnet for særlige kategorier personopplysninger eller opplysninger om straffedommer og lovovertredelser.

Vi behandler kundens opplysninger etter dokumenterte instrukser for å levere tjenesten, og bruker dem ikke til egne produktutviklingsformål, modelltrening eller analyser på tvers av kunder.

4. Microsoft 365: e-post, kalender og dokumenter

Tilkobling er valgfri. Du eller virksomhetens administrator godkjenner tilgangen gjennom Microsoft. Tilgangsgodkjenningen er en teknisk autorisasjon; kunden må i tillegg sørge for lovlig behandling av opplysningene.

Tilgangen brukes til å identifisere kontoen, opprettholde den godkjente tilkoblingen, opprette og sende e-post, behandle relevante bookingvarsler og vise kalenderinformasjon. Der dokumentfunksjonen er aktivert, kan brukeren søke etter avtalevedlegg og hente vedlegg vedkommende velger. Kalenderendringer begrenses til hendelser opprettet gjennom Styrmind.

Microsofts tillatelser kan gi videre teknisk tilgang enn funksjonene Styrmind bruker. Tilgangen som forespørres, vises ved godkjenningen hos Microsoft. Styrminds behandling begrenses til de beskrevne formålene. Kunden styrer hvem som kan bruke tilkoblede postkasser.

Bookingvarsler

Bookingbehandling avgrenses til relevante varsler fra kjente bookingavsendere. Lesingen kan kjøres automatisk når kunden har aktivert tilkoblingen. Kunden kan også laste opp et bookingvarsel som e-postfil. Fra varsler lagrer vi nødvendige bookingopplysninger, som referanse, gjestenavn, beløp og datoer. Utbetalingsvarsler kan føre til automatisk registrering av innbetaling og oppdatering av beløp i utleiemodulen. Dette er ikke i seg selv bokføring i kundens regnskapssystem.

Vi lagrer nødvendige krypterte tilgangsopplysninger, postkasseadresse og tilganger for autoriserte medlemmer. For utsendelser lagrer vi avsender, mottaker, postkasse og ansvarlig bruker for sporbarhet. Vi lagrer ikke hele bookingmeldinger eller meldingsinnhold fra ordinære utsendelser i Styrminds database.

Kalender

Eksisterende kalenderhendelser vises uten varig lagring i Styrminds database. For hendelser Styrmind oppretter, lagres nødvendige titler, tidspunkter og referanser. Vi endrer eller sletter bare hendelser opprettet gjennom Styrmind. Kalenderen kan vise hendelser fra flere virksomheter som samme bruker har tilgang til. Tilgang og endringer skal følge brukerens rettigheter i den aktuelle virksomheten.

E-post- og kalenderopplysninger brukes ikke av Styrmind til annonsering, profilering, markedsføring eller modelltrening. Vanlig bookingbehandling og kalendervisning sender ikke innhold til KI-leverandører. Et vedlegg hentet fra e-post kan derimot senere inngå i bestilt KI-lesing av dokumenter etter punkt 5.

Du kan koble fra postkassen i tjenesten eller trekke tilgangen tilbake hos Microsoft. Ved frakobling i Styrmind slettes lagrede tilgangstokens fra aktive systemer. Allerede uthentede opplysninger følger kundens instruks og slettefristene i punkt 7.

Dokumenter og SharePoint

Når kunden aktiverer dokumentfunksjonen, kobles et valgt SharePoint-område til Styrmind. Administrator gir tilgang til det valgte området hos Microsoft. Rettigheter brukt under oppsettet skal begrenses til det som er nødvendig for å etablere tilkoblingen; løpende tilgang brukes bare til de avtalte dokumentfunksjonene.

Originaldokumentene lagres i kundens SharePoint. Styrmind behandler dokumentopplysninger og bruker Cloudflare til midlertidige arbeidsfiler. Midlertidige opplastinger beskyttes av kryptering under overføring og ved lagring. Mellomkopier slettes etter vellykket overføring. Opplastingsområdet har i tillegg en automatisk utløpsregel på ett døgn, og eksportområdet en utløpsregel på sju dager. Fysisk sletting skjer normalt innen 24 timer etter utløpet, men kan ta lengre tid ved leverandørforsinkelser. Reglene gjelder ikke originaler i SharePoint eller tekstkopier og søkeindekser for dokumentsøk.

På brukerens forespørsel kan Styrmind søke etter relevante avtalevedlegg i e-post. Søket behandler nødvendige meldings- og vedleggsopplysninger uten varig lagring av søkeresultatet. Bare vedlegg brukeren velger, hentes til SharePoint. Hentingen starter ikke KI-lesing.

Når dokumentsøk er aktivert, kan innhold i tilgjengelige PDF- og tekstfiler behandles automatisk for fulltekstsøk uten KI. En kryptert tekstkopi lagres hos Cloudflare, og en søkeindeks lagres i databasen. Indeksen kan inneholde personopplysninger selv om den ikke er en kopi av hele dokumentet. Søkeresultater kan vise korte tekstutdrag.

Kunden kan begrense tilgang og innholdsbehandling gjennom dokumentfunksjonens tilganger og innholdssperrer. Dokumenter med innholdssperre brukes ikke til KI-lesing, tekstkopiering eller søkeindeksering, men kan fortsatt registreres med filnavn og lenke.

Sletting av en avtale sletter ikke i seg selv originalfilen i SharePoint. Den særskilte handlingen «Slett dokument» kan derimot flytte originalen til SharePoints papirkurv og slette tilknyttede opplysninger hos Styrmind. Kundens SharePoint-regler avgjør hvor lenge papirkurvkopier og andre Microsoft-kopier beholdes.

Ved frakobling av SharePoint slettes arbeidskopier, søkeindeks og forslag som ikke er lagret som avtaler. Dokumentlenker merkes utilgjengelige. Kunden må selv trekke tilbake appens SharePoint-tilgang hos Microsoft. Frakobling alene sletter ikke avtaleregisteret eller originalene i SharePoint.

5. Kunstig intelligens

Ved valgfri skanning av visittkort sendes bildet til Anthropic for kontaktuttrekk. Styrmind lagrer utleste kontaktopplysninger, men ikke bildet i egne varige lagringssystemer eller logger. Regnskapsdata, e-post og kalender sendes ikke til selve visittkortfunksjonen.

Ved bestilt KI-lesing av dokumenter sendes uttrukket dokumenttekst til Anthropic for å foreslå avtaleopplysninger. Teksten kan inneholde navn, kontaktopplysninger, signaturangivelser og annet innhold kunden har lagt i dokumentet. Dokumentet kan være hentet fra SharePoint, opplastet av kunden eller importert som vedlegg fra e-post.

KI-lesing starter bare etter en autorisert brukers uttrykkelige handling. Opplasting, henting fra e-post og vanlig søkeindeksering starter ikke KI-lesing. Brukeren må kontrollere og bekrefte forslag før opplysninger lagres i avtaleregisteret. Styrmind lagrer forslag, nødvendige kildeutdrag, tolkningshistorikk og forbruksopplysninger. Tekstkopier og søkeindeks behandles etter punkt 4.

Forslag, kildeutdrag og behandlingshistorikk beholdes så lenge de er nødvendige for å kontrollere og følge opp den bestilte dokumentbehandlingen, eller etter kundens instruks. Lagrede avtaleopplysninger, tekstkopier og søkeindekser følger kundens bruk av dokumentfunksjonen og sletting etter punkt 7. Disse opplysningene omfattes ikke av utløpsreglene for midlertidige opplastings- og eksportfiler.

Styrmind bruker ikke kundens opplysninger til egen modelltrening. Vi bruker ikke KI til avgjørelser som utelukkende er automatiserte og har rettsvirkning eller tilsvarende vesentlig virkning for deg.

6. Mottakere og behandling utenfor EØS

Vi selger ikke personopplysninger eller deler dem med andre for deres markedsføring. Autoriserte leverandører behandler nødvendige opplysninger for sine angitte oppgaver.

Underleverandører som behandler personopplysninger på kundens vegne, og deres oppgaver og aktuelle opplysningskategorier fremgår av databehandleravtalens vedlegg B. Relevante behandlingssteder og overføringsgarantier skal gjøres tilgjengelige for kunden før behandlingen starter. Databehandleravtalen er tilgjengelig på styrmind.no/databehandleravtale. Oversikten omfatter Neon, Vercel, Cloudflare, GitHub, Resend, Anthropic og Better Stack i den utstrekning de faktisk behandler slike opplysninger.

For Styrminds egne formål bruker vi også:

Stripe: betaling og abonnementsadministrasjon. Stripe kan også være selvstendig behandlingsansvarlig for blant annet svindelforebygging og lovpålagte kontroller. Se https://stripe.com/privacy.
Tripletex: fakturering og bokføring av Styrminds egne kundeforhold.
Cloudflare Turnstile: beskyttelse av kontaktskjema mot misbruk.
Google Analytics 4, og Google Tag Manager når denne brukes til å administrere analysetaggene: besøksstatistikk og måling av henvendelser etter samtykke til statistikk.
Usercentrics A/S (Cookiebot): innhenting, lagring og dokumentasjon av samtykkevalg på det offentlige nettstedet.
Resend: formidling av henvendelser og e-post fra Styrmind.
Neon og Vercel: lagring og drift.
Better Stack: nødvendige drifts- og sikkerhetsopplysninger ved overvåking og feilhåndtering, i den utstrekning disse inneholder personopplysninger. Oppetidskontroll uten personopplysninger omfattes ikke av denne erklæringen.

Cloudflares oversikt over underdatabehandlere er tilgjengelig på https://www.cloudflare.com/gdpr/subprocessors/cloudflare-services/. Anvendelsen avhenger av hvilke Cloudflare-tjenester og støttefunksjoner som brukes.

Den primære databasen er plassert i Frankfurt i EU. Enkelte leverandører kan behandle eller ha tilgang til opplysninger utenfor EØS. Slike overføringer skal ha gyldig grunnlag etter personvernforordningen kapittel V, for eksempel en relevant adekvansbeslutning eller standard personvernbestemmelser med nødvendige tilleggstiltak. EU-lagring er ikke alene en garanti mot tredjelandsoverføring.

Kontakt personvern@styrmind.com for nærmere informasjon og kopi av relevante overføringsgarantier.

Opplysninger kan også utleveres når loven krever det, eller når det er nødvendig og lovlig for å fastsette, gjøre gjeldende eller forsvare rettskrav.

7. Lagring og sletting av kundens opplysninger

Kundens opplysninger beholdes mens kunden bruker tjenesten, i samsvar med kundens instrukser. Kunden kan be om sletting eller tilbakelevering.

Ved avslutning slettes opplysninger som behandles på kundens vegne fra aktive systemer innen 30 dager, med mindre loven krever fortsatt lagring. Kunden kan be om tidligere sletting eller tilbakelevering før sletting.

Styrmind tar sikkerhetskopier av hele databasen for å kunne gjennomføre full databasegjenoppretting ved behov. Avtalen omfatter ikke en garanti for separat gjenoppretting av én kundes data til et valgt tidspunkt. Eventuelle særskilte krav til slik gjenoppretting må avtales skriftlig.

Sikkerhetskopiområdet for liveversjonen hos Cloudflare har en aktiv utløpsregel på 90 dagers objektalder. Etter utløpet fjernes kopiene normalt innen 24 timer, men det kan ta lengre tid ved forsinkelser hos leverandøren. Utløpsperioden gjelder sikkerhetskopienes alder. Fysisk sletting fra sikkerhetskopier er en egen prosess etter sletting fra aktive systemer. I perioden før endelig sletting begrenses behandlingen til nødvendig sikkerhet og gjenoppretting. Tidligere sletteinstrukser skal gjennomføres på nytt ved gjenoppretting før opplysningene brukes i ordinær drift.

Styrminds egne regnskapsopplysninger og nødvendige sikkerhetsopplysninger følger lagringsfristene og kriteriene i punkt 2. Dette gir ikke adgang til å beholde kundens samlede innhold for egne formål.

8. Sikkerhet

Vi bruker tekniske og organisatoriske tiltak tilpasset risikoen, blant annet kryptering under overføring og lagring, tilgangskontroll, adskillelse av kundedata, sikkerhetslogging og krypterte sikkerhetskopier. Tilgang gis bare til autoriserte personer med tjenstlig behov. Tofaktorautentisering kan aktiveres, og virksomheten kan kreve den for sine brukere. Vi følger opp sikkerhetssvakheter og tilpasser tiltakene til risikoen.

Ved brudd som gjelder kundens opplysninger, varsler vi kunden uten ugrunnet opphold i samsvar med databehandleravtalen. For behandling vi selv er ansvarlige for, varsler vi Datatilsynet når meldeplikten gjelder, uten ugrunnet opphold og om mulig innen 72 timer etter at vi fikk kjennskap til bruddet. Berørte personer varsles uten ugrunnet opphold når lovens vilkår er oppfylt, herunder ved høy risiko.

9. Informasjonskapsler og lokal lagring

Det offentlige nettstedet

Vi bruker Cookiebot til å gi informasjon om informasjonskapsler og håndtere samtykke. Du kan avvise valgfrie kategorier eller velge hvilke formål du samtykker til. Valgfrie kategorier er ikke forhåndsvalgt. Kontaktskjemaet kan brukes selv om du avviser statistikk.

Google Analytics 4 lastes først når du har samtykket til statistikk. Dersom Google Tag Manager brukes til å administrere analysetaggene, lastes denne også først etter statistikksamtykke. Statistikksamtykket omfatter ikke annonsering eller nye formål. Målingen gjelder markedsnettstedet, nyhetssidene og de offentlige avtaledokumentene. Appen, oppstartssiden «Kom i gang», demo-/forslagssider og forhåndsvisningsdomener omfattes ikke av denne målingen. Google Ads brukes ikke i dette oppsettet.

Vi måler sidevisninger og vellykkede skjemainnsendinger, inkludert demoforespørsler. Målingen kan omfatte informasjonskapselbaserte nettleseridentifikatorer, enhets- og nettleseropplysninger, besøkte sidestier, refererende domene, godkjente henvendelseskategorier og faste kanalbetegnelser. Den brukes til besøksstatistikk og til å vurdere hvilke kanaler som fører til henvendelser.

Vi sender ikke navn, e-postadresse, telefonnummer, firmanavn, meldingsinnhold eller CRM-identifikatorer fra skjemaet til GA4. URL-parametere, fragmenter og full refererende URL utelates fra målingen. Nettleserhistorikken knyttes ikke til kunderegisteret. Selv med disse begrensningene kan analyseopplysningene være personopplysninger.

GA-informasjonskapslene er konfigurert med 180 dagers varighet. Nettleserens egne begrensninger og sletting av nettleserdata kan gi kortere varighet. I GA4 er oppbevaring satt til to måneder for øvrige hendelsesdata og 14 måneder for brukerdata, inkludert relevante nøkkelhendelsesdata. Oppbevaringsperioden for brukeridentifikatoren starter på nytt ved ny aktivitet. Dette innebærer at den kan beholdes lenger enn 14 måneder fra første besøk. Innstillingene gjelder ikke de aggregerte standardrapportene.

Du kan når som helst åpne «Endre samtykke» i bunnteksten. Ved tilbaketrekking stoppes videre GA4-måling, analyseinformasjonskapslene fjernes og siden lastes på nytt. Handlinger før samtykke sendes ikke til GA4 i ettertid. Tilbaketrekking påvirker ikke lovligheten av tidligere behandling og sletter ikke automatisk opplysninger som allerede er mottatt av Google. Rettighetene dine følger punkt 10.

Cookiebot lagrer nødvendige opplysninger om valget ditt for å huske og dokumentere det. Den konkrete oversikten over informasjonskapsler, tilbydere, formål og varighet skal være tilgjengelig sammen med cookieinformasjonen på nettstedet. Behandling hos Google og Cookiebot omfattes også av informasjonen om mottakere og overføringer i punkt 6.

Innlogging og bestilling

Innloggingen bruker informasjonskapsler for å opprettholde og kontrollere økten. Ved bestilling brukes informasjonskapsler for å knytte bestillingen til riktig konto. Varigheten avhenger av den aktuelle innloggings- eller bestillingsøkten og tjenestens innstillinger. Nettleseren lagrer også brukerinnstillinger, som språk, tema og visningsvalg, til du endrer dem eller sletter nettleserdata. Dette er adskilt fra GA4-målingen på det offentlige nettstedet.

Lagring som er strengt nødvendig for en tjeneste du uttrykkelig har bedt om, kan brukes uten samtykke. Reglene gjelder både informasjonskapsler og tilsvarende lokal lagring. Ved betaling på Stripes egne sider gjelder også deres informasjon om personvern og informasjonskapsler: https://stripe.com/privacy.

10. Rettighetene dine

Når vilkårene i regelverket er oppfylt, kan du be om innsyn, retting, sletting, begrensning av behandling og dataportabilitet. Du kan protestere mot behandling som bygger på berettiget interesse. Samtykke kan trekkes tilbake når som helst. Rettighetene kan være underlagt lovbestemte begrensninger.

Kontakt personvern@styrmind.com dersom henvendelsen gjelder behandling Styrmind er ansvarlig for. Gjelder den opplysninger om deg hos en kunde som bruker Styrmind, kontakt kunden. Vi hjelper med å finne riktig mottaker og bistår kunden med å håndtere henvendelsen.

Henvendelser om egne behandlinger håndteres uten ugrunnet opphold og senest innen én måned. Ved lovlig behov for forlengelse informerer vi om dette og begrunnelsen innen den første måneden. Vi kan be om nødvendig informasjon for å bekrefte identiteten din.

Selvbetjent eksport i tjenesten erstatter ikke retten til å be om innsyn eller utlevering. Dersom funksjonen ikke dekker forespørselen, kan du kontakte oss.

Du kan klage til Datatilsynet, datatilsynet.no. Du trenger ikke kontakte oss først.

11. Endringer

Vi oppdaterer erklæringen når behandlingen endres. Vesentlige endringer varsles i appen eller på e-post før ny behandling starter, der det er nødvendig. Nye formål eller behandlinger som krever samtykke, innføres ikke bare ved å endre denne teksten. Tidligere versjoner er tilgjengelige på forespørsel.

Kontakt: Styrmind AS, personvern@styrmind.com.

PRIVACY POLICY FOR STYRMIND

Last updated: 9 October 2026

1. Who we are and what this policy covers

Styrmind is a service for businesses that gathers and displays information from the systems a business uses, and supports planning and follow-up.

Styrmind AS, organisation number 937 555 741, Dronningens gate 2A, 4610 Kristiansand, Norway, is the controller for personal data we process for our own purposes. These include administration of user accounts and customer relationships, enquiries, payments, marketing and securing the service.

When we process personal data on a customer's behalf to deliver the service's functions, we are a processor. The customer determines the purpose and is responsible for a legal basis and information to data subjects. This processing is governed by the data processing agreement.

Our role depends on the purpose of each processing activity. Activity information processed for the customer's documentation is covered by the data processing agreement. Information necessary for Styrmind's own security and abuse handling is processed for that separate purpose.

You can contact us about privacy at personvern@styrmind.com. The service is available at app.styrmind.no, with information and ordering at styrmind.no.

2. Information we process for our own purposes

User accounts and access

We process names, email addresses, business affiliations and necessary account and access information to establish and administer access. We also process information necessary for sign-in, two-factor authentication and account recovery. Passwords are not stored in plain text.

The basis is our legitimate interest in administering and securing access to the service. Where processing is necessary for an agreement to which you personally are a party, the basis may be performance of a contract.

Information is retained while the account has access to one or more businesses. When all access has ended and the account is no longer necessary, account information is deleted. Necessary documentation for security, settlement or legal claims is processed separately under the criteria below. Deleting membership of one business does not necessarily close the account in other businesses.

Security and operations

We process necessary sign-in, device and event information, including user references, times, IP addresses and browser information, to protect the service, recognise devices, detect misuse and investigate security incidents.

The basis is our legitimate interest in secure and stable operation. Access is restricted to authorised persons with a work-related need.

Retention is assessed based on the need to detect repeated misuse, follow up a specific incident and administer active sessions or known devices. Information is deleted when the need ends. In a specific security case, necessary documentation may be retained while the case is investigated and any legal claims are handled.

Enquiries

For enquiries, we process information you provide, such as your name, email address, telephone number, company name and message content, to respond and follow up. The basis is our legitimate interest in handling enquiries. For necessary steps before a contract with you personally, the basis may be Article 6(1)(b).

Enquiries are retained while the matter is being followed up and for as long as necessary to document responses or agreed actions. In assessing this, we consider whether the matter is closed, whether further follow-up is expected and whether documentation is necessary for a specific legal claim. The database history of enquiries and associated responses has a cleanup period of two years. Copies in email accounts are assessed according to the same purposes, but are not automatically covered by database cleanup.

We also process the enquiry's category, reference, follow-up status and documentation of any marketing consent. The content of responses sent from the administration interface is stored in a message log and deleted together with the enquiry. The enquiry is also forwarded to Styrmind's sales mailbox. Copies in separate email accounts and at the email provider follow separate deletion procedures.

We use protection against automated submissions. Avoid sending special categories of personal data or other unnecessarily sensitive information through the contact form.

News and offers

We send news and offers by email when you have consented. Consent is voluntary and may be withdrawn at any time by replying to the email or contacting personvern@styrmind.com. Withdrawal does not affect the lawfulness of previous processing.

We process email addresses and, where applicable, names and companies, as well as consent documentation, for as long as consent applies and the information is necessary for this purpose. On withdrawal, mailings stop. Consent documentation is retained while consent is used, and thereafter for as long as necessary to document a relevant mailing or handle a specific complaint. A limited suppression record may be retained for as long as necessary to prevent the address being added again without new consent. The basis for this limited processing is our legitimate interest in respecting the opt-out and documenting compliance.

Purchases, subscriptions and invoicing

We process business names, organisation numbers, contact and billing information, payment status and necessary customer and subscription references to administer customer relationships and payments.

For individuals who are parties to a contract, the basis is performance of a contract. Contact persons' information is processed on the basis of our legitimate interest in administering the business's customer relationship. Statutory accounting records are processed to comply with legal obligations.

Information is retained during the customer relationship and thereafter for as long as necessary for outstanding settlements, documentation of the agreement or statutory accounting retention. Accounting records are retained for the statutory period for the relevant document type, calculated from the end of the relevant financial year. Card details are registered with Stripe and are not stored by Styrmind.

Invitations and account recovery

We process the recipient's email address or user reference and necessary security information for invitations and account recovery. The basis is our legitimate interest in administering and securing access. Invitation and recovery information is retained for as long as necessary to complete the request. After use or expiry, only documentation necessary to investigate errors, misuse or a specific security incident is retained. Such documentation is deleted when that need ends.

Statistics on the public website

When you consent to statistics, we use Google Analytics 4 to understand visits and measure successful enquiries on the marketing website, news pages and public agreement pages. The basis is consent. We use Cookiebot to obtain and manage your choices. Further information about data use, retention and withdrawal is provided in section 9.

For legitimate interests, we assess the necessity of processing against its privacy impact. You may object on grounds relating to your particular situation. We provide further information about the assessment on request.

Necessary account and contact information must be provided for us to establish access and follow up enquiries. Necessary billing information must be provided to complete a purchase. Without such information, we cannot deliver the relevant service. Information for marketing is voluntary.

3. Information we process on the customer's behalf

Depending on selected functions and connections, we process:

Contact and business information about customers, suppliers, contacts and prospects, including sole traders.
Personal data in accounting, invoice, quotation, sales and task information.
Contact roles, notes, responsible users, follow-up and activity information.
Information about employees and salespeople, such as names, employment percentages, planned hours, billable-time targets and commission bases.
Booking information, such as guest names, booking references, amounts, dates and the last four digits of telephone numbers.
Registration plates and vehicle information when the customer uses that function.
Email and calendar information as described in section 4.
Agreement information, responsible persons, annual schedules, reminders and document information, including content during upload, search indexing or requested AI reading, as described in sections 4 and 5.

Information comes from the customer, its users and connected systems, including Microsoft 365 and accounting systems such as Tripletex, Unimicro and PowerOffice when the relevant integration is available and the customer has enabled it. Relevant information may also be retrieved from the Brønnøysund Register Centre and the Norwegian Public Roads Administration. Norges Bank is used as a source of public economic information, such as exchange rates, where the function is used. The customer is responsible for lawful collection and use, and for limiting free text and other information to what is necessary. The service is not intended for special categories of personal data or information relating to criminal convictions and offences.

We process the customer's information under documented instructions to deliver the service, and do not use it for our own product development, model training or cross-customer analytics.

4. Microsoft 365: email, calendar and documents

Connection is optional. You or the business's administrator approves access through Microsoft. Approval of access is a technical authorisation; the customer must additionally ensure lawful processing of the information.

Access is used to identify the account, maintain the approved connection, create and send email, process relevant booking notifications and display calendar information. Where document functionality is enabled, users may search for agreement attachments and retrieve attachments they select. Calendar changes are limited to events created through Styrmind.

Microsoft permissions may provide broader technical access than the functions Styrmind uses. Requested access is shown during approval at Microsoft. Styrmind's processing is limited to the described purposes. The customer controls who may use connected mailboxes.

Booking notifications

Booking processing is limited to relevant notifications from known booking senders. Reading may run automatically when the customer has enabled the connection. The customer may also upload a booking notification as an email file. From notifications, we store necessary booking information, such as references, guest names, amounts and dates. Payout notifications may lead to automatic registration of payments received and updating of amounts in the rental module. This is not, in itself, bookkeeping in the customer's accounting system.

We store necessary encrypted access information, mailbox addresses and access permissions for authorised members. For outgoing messages, we store the sender, recipient, mailbox and responsible user for traceability. We do not store complete booking messages or message content from ordinary outgoing messages in Styrmind's database.

Calendar

Existing calendar events are displayed without permanent storage in Styrmind's database. For events created by Styrmind, necessary titles, times and references are stored. We change or delete only events created through Styrmind. The calendar may display events from several businesses to which the same user has access. Access and changes must follow the user's permissions in the relevant business.

Styrmind does not use email and calendar information for advertising, profiling, marketing or model training. Ordinary booking processing and calendar display do not send content to AI providers. An attachment retrieved from email may, however, subsequently be included in requested AI reading of documents under section 5.

You can disconnect a mailbox in the service or revoke access at Microsoft. On disconnection in Styrmind, stored access tokens are deleted from active systems. Information already retrieved follows the customer's instructions and the deletion periods in section 7.

Documents and SharePoint

When the customer enables document functionality, a selected SharePoint site is connected to Styrmind. An administrator grants access to the selected site at Microsoft. Permissions used during setup must be limited to what is necessary to establish the connection; ongoing access is used only for the agreed document functions.

Original documents are stored in the customer's SharePoint. Styrmind processes document information and uses Cloudflare for temporary working files. Temporary uploads are protected by encryption in transit and at rest. Intermediate copies are deleted after successful transfer. The upload storage area additionally has an automatic expiration rule of one day, and the export storage area an expiration rule of seven days. Physical deletion normally occurs within 24 hours after expiration, but may take longer in the event of provider delays. The rules do not apply to originals in SharePoint or to text copies and search indexes for document search.

At the user's request, Styrmind may search for relevant agreement attachments in email. The search processes necessary message and attachment information without permanent storage of the search result. Only attachments selected by the user are retrieved into SharePoint. Retrieval does not start AI reading.

When document search is enabled, content in available PDF and text files may be processed automatically for full-text search without AI. An encrypted text copy is stored at Cloudflare, and a search index is stored in the database. The index may contain personal data even though it is not a copy of the entire document. Search results may display short text excerpts.

The customer may restrict access and content processing through the document function's permissions and content restrictions. Documents with a content restriction are not used for AI reading, text copying or search indexing, but may still be registered with a filename and link.

Deleting an agreement does not, in itself, delete the original file in SharePoint. The separate "Delete document" action may, however, move the original to SharePoint's recycle bin and delete associated information at Styrmind. The customer's SharePoint rules determine how long recycle bin copies and other Microsoft copies are retained.

On disconnection of SharePoint, working copies, the search index and suggestions not saved as agreements are deleted. Document links are marked unavailable. The customer must itself revoke the application's SharePoint access at Microsoft. Disconnection alone does not delete the agreement register or originals in SharePoint.

5. Artificial intelligence

During optional business card scanning, the image is sent to Anthropic for contact extraction. Styrmind stores extracted contact details, but not the image in its own permanent storage systems or logs. Accounting data, email and calendar information are not sent to the business card function itself.

For requested AI reading of documents, extracted document text is sent to Anthropic to suggest agreement information. The text may contain names, contact details, signature indications and other content the customer has included in the document. The document may have been retrieved from SharePoint, uploaded by the customer or imported as an email attachment.

AI reading starts only following an authorised user's explicit action. Uploading, retrieval from email and ordinary search indexing do not start AI reading. The user must check and confirm suggestions before information is saved in the agreement register. Styrmind stores suggestions, necessary source excerpts, interpretation history and usage information. Text copies and the search index are processed under section 4.

Suggestions, source excerpts and processing history are retained for as long as necessary to check and follow up the requested document processing, or under the customer's instructions. Saved agreement information, text copies and search indexes follow the customer's use of document functionality and deletion under section 7. This information is not covered by the expiration rules for temporary upload and export files.

Styrmind does not use the customer's information for its own model training. We do not use AI for decisions based solely on automated processing that have legal or similarly significant effects on you.

6. Recipients and processing outside the EEA

We do not sell personal data or share it with others for their marketing. Authorised providers process necessary information for their specified tasks.

Subcontractors processing personal data on the customer's behalf, their tasks and relevant data categories are specified in Appendix B of the data processing agreement. Relevant processing locations and transfer safeguards must be made available to the customer before processing starts. The data processing agreement is available at styrmind.no/databehandleravtale. The overview includes Neon, Vercel, Cloudflare, GitHub, Resend, Anthropic and Better Stack insofar as they actually process such information.

For Styrmind's own purposes, we also use:

Stripe: payments and subscription administration. Stripe may also act as an independent controller for purposes including fraud prevention and statutory checks. See https://stripe.com/privacy.
Tripletex: invoicing and bookkeeping for Styrmind's own customer relationships.
Cloudflare Turnstile: protection of the contact form against misuse.
Google Analytics 4, and Google Tag Manager when used to administer analytics tags: visitor statistics and measurement of enquiries following consent to statistics.
Usercentrics A/S (Cookiebot): obtaining, storing and documenting consent choices on the public website.
Resend: delivery of enquiries and email from Styrmind.
Neon and Vercel: storage and operations.
Better Stack: necessary operational and security information for monitoring and error handling, insofar as it contains personal data. Uptime monitoring without personal data is not covered by this policy.

Cloudflare's overview of subprocessors is available at https://www.cloudflare.com/gdpr/subprocessors/cloudflare-services/. Its application depends on the Cloudflare services and support functions used.

The primary database is located in Frankfurt in the EU. Some providers may process or have access to information outside the EEA. Such transfers must have a valid basis under GDPR Chapter V, for example a relevant adequacy decision or standard contractual clauses with necessary supplementary measures. EU storage alone is not a guarantee against transfers to third countries.

Contact personvern@styrmind.com for further information and copies of relevant transfer safeguards.

Information may also be disclosed where required by law, or where necessary and lawful to establish, exercise or defend legal claims.

7. Retention and deletion of the customer's information

The customer's information is retained while the customer uses the service, in accordance with its instructions. The customer may request deletion or return.

On termination, information processed on the customer's behalf is deleted from active systems within 30 days, unless the law requires continued retention. The customer may request earlier deletion or return before deletion.

Styrmind backs up the entire database to enable full database recovery when needed. The agreement does not include a guarantee of separate recovery of one customer's data to a selected point in time. Any specific requirements for such recovery must be agreed in writing.

The backup storage area for the live version at Cloudflare has an active expiration rule of 90 days of object age. After expiration, copies are normally removed within 24 hours, but removal may take longer in the event of provider delays. The expiration period concerns the age of the backups. Physical deletion from backups is a separate process following deletion from active systems. Until final deletion, processing is limited to necessary security and recovery. Previous deletion instructions must be carried out again on recovery before the information is used in ordinary operations.

Styrmind's own accounting information and necessary security information follow the retention periods and criteria in section 2. This does not permit retention of the customer's entire content for our own purposes.

8. Security

We use technical and organisational measures adapted to risk, including encryption in transit and at rest, access control, separation of customer data, security logging and encrypted backups. Access is granted only to authorised persons with a work-related need. Two-factor authentication may be enabled, and a business may require it for its users. We address security weaknesses and adapt measures to risk.

For breaches concerning the customer's information, we notify the customer without undue delay in accordance with the data processing agreement. For processing for which we are the controller, we notify the Norwegian Data Protection Authority when the notification obligation applies, without undue delay and, where possible, within 72 hours after becoming aware of the breach. Affected persons are notified without undue delay when the statutory conditions are met, including in cases of high risk.

9. Cookies and local storage

The public website

We use Cookiebot to provide information about cookies and manage consent. You may reject optional categories or choose the purposes to which you consent. Optional categories are not preselected. The contact form can be used even if you reject statistics.

Google Analytics 4 is loaded only after you have consented to statistics. If Google Tag Manager is used to administer analytics tags, it too is loaded only after consent to statistics. Statistics consent does not cover advertising or new purposes. Measurement covers the marketing website, news pages and public agreement documents. The application, the "Get started" page, demo/proposal pages and preview domains are not included in this measurement. Google Ads is not used in this setup.

We measure page views and successful form submissions, including demo requests. Measurement may include cookie-based browser identifiers, device and browser information, visited page paths, referring domains, approved enquiry categories and fixed channel labels. It is used for visitor statistics and to assess which channels lead to enquiries.

We do not send names, email addresses, telephone numbers, company names, message content or CRM identifiers from the form to GA4. URL parameters, fragments and full referring URLs are excluded from measurement. Browser history is not linked to the customer register. Even with these restrictions, analytics information may constitute personal data.

GA cookies are configured with a duration of 180 days. Browser restrictions and deletion of browser data may result in a shorter duration. In GA4, retention is set to two months for other event data and 14 months for user data, including relevant key-event data. The retention period for the user identifier restarts on new activity. This means it may be retained for longer than 14 months from the first visit. These settings do not apply to aggregated standard reports.

You may open "Cookie settings" in the footer at any time. On withdrawal, further GA4 measurement stops, analytics cookies are removed and the page reloads. Actions before consent are not sent to GA4 retrospectively. Withdrawal does not affect the lawfulness of previous processing and does not automatically delete information already received by Google. Your rights follow section 10.

Cookiebot stores necessary information about your choice to remember and document it. The specific overview of cookies, providers, purposes and durations must be available together with the cookie information on the website. Processing at Google and Cookiebot is also covered by the information on recipients and transfers in section 6.

Sign-in and ordering

Sign-in uses cookies to maintain and verify the session. During ordering, cookies are used to associate the order with the correct account. Duration depends on the relevant sign-in or ordering session and the service's settings. The browser also stores user preferences, such as language, theme and display choices, until you change them or delete browser data. This is separate from GA4 measurement on the public website.

Storage strictly necessary for a service you have expressly requested may be used without consent. The rules apply to both cookies and equivalent local storage. When paying on Stripe's own pages, its privacy and cookie information also applies: https://stripe.com/privacy.

10. Your rights

Where the conditions in the rules are met, you may request access, rectification, erasure, restriction of processing and data portability. You may object to processing based on legitimate interests. Consent may be withdrawn at any time. Rights may be subject to statutory restrictions.

Contact personvern@styrmind.com if your request concerns processing for which Styrmind is responsible. If it concerns information about you held by a customer using Styrmind, contact that customer. We help identify the correct recipient and assist the customer in handling the request.

Requests concerning our own processing are handled without undue delay and no later than within one month. Where an extension is lawfully needed, we inform you of this and the reasons within the first month. We may request necessary information to confirm your identity.

Self-service export in the service does not replace the right to request access or disclosure. If the function does not cover your request, you may contact us.

You may complain to the Norwegian Data Protection Authority, datatilsynet.no. You do not need to contact us first.

11. Changes

We update the policy when processing changes. Material changes are notified in the application or by email before new processing starts, where necessary. New purposes or processing requiring consent are not introduced merely by changing this text. Previous versions are available on request.

Contact: Styrmind AS, personvern@styrmind.com.