Hvem som er ansvarlig

OSIA AS, org.nr. 938 691 061, Stensberggata 29, 0170 Oslo, er behandlingsansvarlig for opplysningene som beskrives i første del av denne siden. Kontaktperson for personvern er Tommy Berge, som nås på post@osia.no.

Det kundene våre legger inn i plattformen, som dokumenter, e-post, møter og innholdet i bedriftshjernen, behandler vi på vegne av kunden. Da er kunden behandlingsansvarlig og OSIA AS databehandler etter databehandleravtalen. Det står mer om hva plattformen gjør med disse dataene lenger ned.

Når du besøker osia.no

Vi bruker ingen analyseverktøy, sporingspiksler eller annonseverktøy på osia.no, og vi lager ikke statistikk over hvem som besøker sidene. Skriftene lastes fra våre egne servere, ikke fra Google.

Serverne som leverer nettsiden, behandler tekniske data som IP-adresse og nettlesertype for å kunne levere sidene og for drift og sikkerhet. Grunnlaget er vår berettigede interesse i en trygg og fungerende nettside (personvernforordningen artikkel 6 nr. 1 bokstav f).

Informasjonskapsler

Den offentlige delen av osia.no setter ingen informasjonskapsler for analyse eller markedsføring. Logger du inn, setter vi bare kapsler som trengs for at innloggingen og portalen skal virke:

• innloggingen din (Supabase), som varer til du logger ut, eller i høyst 400 dager,
• hvilke kontoer som er brukt i denne nettleseren (e-post, bedrift og rolle), slik at du kan bytte konto, i høyst 400 dager,
• hvilken bedrift du jobber i nå, hvis du har tilgang til flere,
• kortlevde kapsler under innlogging med Google og ved ekstra sikkerhetssjekk.

Valg du gjør i portalen, som lyst eller mørkt tema, sortering og visning, lagres i nettleseren din og sendes ikke til oss. Fordi vi ikke bruker kapsler som krever samtykke, viser vi ikke et samtykkebanner.

Når du tar kontakt

Vi har tre skjemaer på nettsiden:

• Kontaktskjemaet tar imot navn, bedrift, e-post, telefon (valgfritt) og meldingen din.
• «Book en gratis prat» tar imot navn, e-post og telefon, slik at vi kan ringe deg.
• Estimatoren tar imot bedrift, kontaktperson, e-post, telefon (valgfritt) og svarene dine om bedriften. Opplysninger om bedriften hentes fra Brønnøysundregistrene. For å lage oppfølgingsspørsmål og rapporten sendes opplysningene om bedriften og svarene dine til språkmodellen Claude fra Anthropic, som behandler dem i USA. Navnet og e-postadressen din sendes ikke dit.

Det du sender inn, lagres i databasen vår hos Supabase i EU (Stockholm). Vi får et varsel på e-post, sendt gjennom e-posttjenesten Resend.

Vi bruker opplysningene, og e-post du sender oss, bare til å svare deg og følge opp henvendelsen. Grunnlaget er at du har bedt om det, og vår berettigede interesse i å svare (artikkel 6 nr. 1 bokstav b og f). Vi tar vare på henvendelsen så lenge vi trenger den for å følge opp deg og et eventuelt kundeforhold. Det finnes ingen automatisk sletting i dag, men du kan når som helst be oss slette den.

Kontaktpersoner hos kunder og leverandører

Vi har navn, stilling, e-post og telefon til kontaktpersonene hos kundene og leverandørene våre, og det vi skriver med dem, for å inngå og følge opp avtalene. Grunnlaget er avtalen og vår berettigede interesse i å holde kontakten (artikkel 6 nr. 1 bokstav b og f). Fakturaer og annet regnskapsmateriale oppbevarer vi så lenge bokføringsloven krever.

Brukere av plattformen og appen

Kontoer opprettes av OSIA eller av en administrator hos kunden. For hver bruker lagrer vi navn, e-post, telefon (valgfritt), profilbilde (valgfritt), rolle og hvilke bedrifter brukeren har tilgang til. Du logger inn med e-post og passord, med passkey, eller med Google eller Apple der det er satt opp. Tofaktorinnlogging lagres på kontoen din.

For drift og sikkerhet logger vi også:

• bruk av AI-funksjonene: hvilken tjeneste og modell, antall tokens, tidspunkt, bedrift og bruker, men ikke teksten som ble sendt,
• administrative handlinger i plattformen, med IP-adresse og nettlesertype,
• når noen bekrefter vilkårene for filsynk eller en egenerklæring for et .no-domene, med tidspunkt og IP-adresse,
• enhetene som skal få push-varsler i appen eller nettleseren. Varslene går gjennom Apple eller nettleserens egen varseltjeneste og kan inneholde korte tekster.

Invitasjoner, nytt passord og varsler sendes på e-post gjennom Resend. Grunnlaget er avtalen med kunden du bruker plattformen for, og vår berettigede interesse i en trygg tjeneste (artikkel 6 nr. 1 bokstav b og f). Vi tar vare på kontoen så lenge du har tilgang, og sletter den når kunden ber om det, eller senest 60 dager etter at kundeforholdet er slutt.

Hvem vi deler opplysningene med

Vi selger ikke personopplysninger. Vi bruker underleverandører til blant annet database, drift, e-post og AI. De behandler opplysningene på våre vegne etter egne databehandleravtaler. Hele lista, med land og grunnlaget for overføring til land utenfor EØS, står under «Godkjente underdatabehandlere» i databehandleravtalen.

Dine rettigheter

Du kan be om innsyn i opplysningene vi har om deg, og be oss rette, slette eller begrense dem. Du kan også protestere mot behandling som bygger på berettiget interesse, og be om å få opplysningene utlevert i et vanlig filformat. Skriv til post@osia.no. Vi svarer innen en måned. Gjelder det opplysninger en kunde har lagt inn i plattformen, sender vi henvendelsen videre til kunden.

Mener du at vi behandler opplysninger om deg i strid med regelverket, kan du klage til Datatilsynet.

Hva plattformen gjør med kundenes data

Resten av siden beskriver hvordan plattformen behandler det kundene legger inn. Her er OSIA AS databehandler for kunden.

Hvor filene dine lagres

Filer du laster opp i portalen lagres hos Supabase i regionen eu-north-1 (Stockholm), altså innenfor EU/EØS. Hver bedrift har sitt eget adskilte område, og tilgangen håndheves både i databasen og i lagringslaget. Lenker til filene er kortlevde og signeres per forespørsel. De kan ikke deles videre eller bokmerkes.

Bedriftshjernen leser innholdet i filene for å sortere dem inn i bedriftens kunnskapsbase. Det er kjernen i tjenesten, ikke en tilleggsfunksjon.

Språkmodellen

AI-en i OSIA er Claude fra Anthropic. Teksten den skal lese eller svare på, sendes til Anthropic og behandles i USA under databehandleravtale. Hver bedrift har sitt eget område hos Anthropic med egen nøkkel, slik at ingen bedrifts data går gjennom en annens konto. Anthropic trener ikke modellene sine på dataene.

Svarene lagres i bedriftens egen bedriftshjerne hos oss, ikke hos Anthropic. Bedriften kan når som helst be om innsyn eller sletting.

Synkronisert mappe (OSIA Sync)

Bedrifter kan velge å koble en mappe på egne maskiner til Filer, slik at innholdet holdes i takt automatisk. Funksjonen er av som standard og må slås på av en eier eller administrator, som først må bekrefte punktene under. Vi lagrer hvem som bekreftet, når, og hvilken versjon av teksten det gjaldt.

Den synkroniserte mappen har to deler: Felles, som er bedriftens delte filer, og Mine filer, som er den enkelte brukerens eget område. Det private området er bare synlig for brukeren selv, ikke for kolleger og ikke for eier eller administrator i bedriften, og innholdet leses ikke av Bedriftshjernen. En maskin får Felles pluss det private området til den som koblet den til.

Unntaket er notater brukeren selv deler i Notater. Et notat delt med en kollega kan leses av den kollegaen, og et notat delt med alle kan leses av alle i bedriften og av Bedriftshjernen. Brukerens egen AI-assistent kan lese brukerens egne notater og notater som er delt med brukeren.

• Filene lagres i klartekst hos OSIAs lagringsleverandør (Supabase) slik at portalen kan vise dem og Bedriftshjernen kan lese dem. Overføring er kryptert, men dette er ikke ende-til-ende-kryptering.
• Filene kopieres til hver maskin vi godkjenner, og ligger da utenfor OSIAs kontroll — også hvis maskinen mistes eller stjeles.
• Sletting virker i begge retninger: fjerner du en fil i den synkroniserte mappen, havner den i portalens papirkurv, og tømmes papirkurven er den borte for godt.
• Bedriftshjernen leser innholdet i filene under «Felles» og sorterer dem inn i selskapets brain. Filer i ditt private område («Mine filer») leses ikke av Bedriftshjernen og deles ikke med andre i bedriften, med ett unntak: notater du selv deler i Notater. Et notat du deler med en kollega kan leses av den kollegaen, og et notat du deler med alle kan leses av alle i bedriften og av Bedriftshjernen. Din egen AI-assistent kan lese dine egne notater og notater som er delt med deg.
• Synk krever at OSIA Sync-agenten installeres og kjører på maskinen din.

Gjeldende versjon av vilkårene for filsynk: 3. Endres teksten, må bedriften bekrefte den på nytt før synkroniseringen fortsetter. Se også vilkårene for filsynk.

Når synkroniseringen slås av

En tilkoblet maskin kan fjernes når som helst i portalen. Da slutter den å synkronisere umiddelbart. Filene som allerede er kopiert til maskinen blir liggende der. De er utenfor OSIAs kontroll, og må slettes lokalt hvis de skal bort.

Sletting virker i begge retninger. Fjerner du en fil i den synkroniserte mappen, havner den i portalens papirkurv, der den kan gjenopprettes. Tømmes papirkurven, slettes filen også fra lagringen og kan ikke hentes tilbake.

Offentlige kilder vi leser

Når en bedrift tas inn i OSIA, bygger vi Bedriftshjernen blant annet av offentlige kilder om bedriften, som Enhetsregisteret og rollene i Brønnøysundregistrene og bedriftens egen nettside.

Nasjonalbiblioteket. Når arkivberikelsen er slått på, søker vi én gang, mens bedriften tas inn, i Nasjonalbibliotekets åpne API (api.nb.no) etter historiske omtaler av bedriften: aviser, tidsskrift, bøker og statlige publikasjoner som NOU-er, og katalogposter for bilder, plakater, film, radio og privatarkiv. Vi søker ikke på nytt senere.

• Vi leser bare det Nasjonalbiblioteket selv gjør åpent tilgjengelig for alle. Som standard tar vi bare med tekster uten opphavsrett; et videre lisensnivå velges bare for den enkelte bedriften.
• Vi lagrer korte utdrag rundt bedriftsnavnet, høyst omkring 1 200 tegn per kilde, med årstall, kilde og lenke til nb.no. For noen lisenser lagrer vi bare en henvisning uten tekst. For bilder, film og lyd lagrer vi bare tittel, år og en lenke til miniatyrbildet. Innholdet blir ikke transkribert.
• Gamle tekster kan nevne personer. Utdragene er sentrert om bedriften, dødsannonser og personalia filtreres bort, og kildene er merket som historiske, slik at AI-en ikke framstiller dem som dagens fakta.
• Er treffet usikkert, kan utdraget sendes til språkmodellen vi bruker (Claude fra Anthropic, behandlet i USA) for å avgjøre om det handler om bedriften. Dette er av med mindre det er slått på.
• Arkivkildene kan slettes fra bedriftens hjerne når som helst, for eksempel når bedriften eller en person som er nevnt ber om det. Ta kontakt.

Databehandleravtale

Behandlingen av personopplysninger på vegne av kundene reguleres av databehandleravtalen. Den er en del av avtalen mellom kunden og OSIA AS, og lister alle underdatabehandlerne.

Versjoner og endringer

Datoen øverst viser hvilken versjon dette er. Kunder med avtale får varsel på e-post minst 30 dager før en endring trer i kraft. Endringer som bare er til fordel for kunden, eller som loven krever, kan gjelde straks. Til en endring er varslet og har trådt i kraft, gjelder versjonen som gjaldt da avtalen ble signert.

Tidligere versjoner får du ved å skrive til post@osia.no.