Personvernerklæring

SJA.AI er et produkt levert av SIMA AI AS, org.nr. 936 746 144. SIMA AI AS er behandlingsansvarlig for personopplysninger som samles inn gjennom tjenesten. Henvendelser om personvern sendes til personvern@sima.ai.

Vi behandler følgende kategorier personopplysninger:

• Kontoopplysninger: e-postadresse, navn, bedriftstilhørighet, kryptert passord.
• Innhold du oppretter: arbeidsbeskrivelser, bilder fra arbeidsplassen, GPS-koordinater (hvis tilgjengelig), risikovurderinger og tiltak.
• Signaturdata: navn på den som signerer, signaturbilde, tidspunkt, IP-adresse, nettleser-/enhetsinformasjon og en enhets-fingeravtrykksverdi (for å hindre dobbeltsignering).
• Tekniske data: innloggingsøkter, sikkerhetslogger og hendelseslogger som er nødvendige for drift.

• Kontoopplysninger lagres så lenge kontoen er aktiv, og slettes innen 90 dager etter avslutning.
• SJA-dokumenter og signaturer lagres som hovedregel i minst 5 år for å oppfylle krav til HMS-dokumentasjon.
• Sikkerhetslogger lagres i opptil 12 måneder.
• Anonymiserte analysedata har ingen sluttdato.

Vi deler personopplysninger med følgende databehandlere, regulert av databehandleravtaler:

• Supabase (database, autentisering, fillagring) — leverandør av backend-infrastruktur.
• Cloudflare — hosting og leveranse av webtjenesten.
• Google (Gemini) og/eller OpenAI — AI-analyse av opplastede bilder og tekstutkast for SJA. Innhold sendes til modellen kun for å generere svaret og brukes ikke til å trene modellene.
• Paddle.com Market Ltd — Merchant of Record for betalinger og fakturering. Paddle behandler navn, e-post, faktureringsadresse og betalingsopplysninger. Kortdata håndteres direkte av Paddles PCI-DSS-sertifiserte betalingsleverandører — SJA.AI lagrer aldri kortnumre.
• Resend — utsendelse av transaksjons-e-poster (velkomst, prøveperiode-varsler, kvitteringer). Behandler kun e-postadresse og innholdet i meldingen.

Personopplysninger lagres innenfor EU/EØS der det er mulig. Ved overføring til tredjeland brukes EU-kommisjonens standard personvernbestemmelser (SCC) som overføringsgrunnlag.

Etter GDPR har du rett til å:

• Få innsyn i hvilke personopplysninger vi har om deg (art. 15).
• Få rettet uriktige opplysninger (art. 16).
• Be om sletting (art. 17), så lenge ikke lov forhindrer det.
• Be om begrensning av behandlingen (art. 18).
• Få utlevert opplysningene dine i et maskinlesbart format (art. 20).
• Protestere mot behandling basert på berettiget interesse (art. 21).
• Trekke tilbake samtykke der behandlingen bygger på det.

Henvendelser sendes til personvern@sja.ai. Du har også rett til å klage til Datatilsynet.

Vi bruker kryptering i transitt (TLS) og hviletilstand, tilgangsstyring per rolle, radnivå-sikkerhet (RLS) i databasen, og logger for å beskytte opplysningene. Ved mistanke om personopplysningssikkerhetsbrudd varsles Datatilsynet innen 72 timer i henhold til GDPR art. 33.

Bilder og tekst du laster opp kan analyseres av store språk- og synsmodeller for å foreslå farer og tiltak. Forslagene er rådgivende — arbeidsleder er ansvarlig for innholdet i den ferdige SJA. Vi gjør ikke automatiserte beslutninger med rettslig virkning etter GDPR art. 22.

Tjenesten bruker kun strengt nødvendig lokal lagring for å holde deg innlogget. Du kan styre eventuell analyse-/markedsføringssamtykke via vårt cookie-panel.

Erklæringen kan endres. Ved vesentlige endringer varsler vi i tjenesten eller på e-post. Datoen øverst viser når den sist ble oppdatert.