Denne sida er skrevet for den som skal godkjenne Firmasett internt: personvernombud, compliance, innkjøp. Den sier hva vi gjør, hvorfor det er lov, og hva kunden selv må passe på.
Hva Firmasett er, juridisk
En database over norske virksomheter og rollepersoner, bygd på offentlige registre og offentlig tilgjengelig informasjon, levert til virksomheter for B2B-formål. Tiny Elephant AS er behandlingsansvarlig for databasen. Kunden er behandlingsansvarlig for sin bruk av det kunden henter ut.
Behandlingsgrunnlag
Berettiget interesse (GDPR art. 6 nr. 1 f). Interesseavveiningen:
- Interessen: virksomheter har en legitim interesse i å finne riktig beslutningstaker i andre virksomheter. Datatilsynet har lagt til grunn at kontaktopplysninger knyttet til en arbeidsrolle kan behandles for B2B-markedsføring med dette grunnlaget.
- Nødvendighet: opplysningene er begrenset til navn, rolle, selskap og kontaktpunkter for rollen. Ingen privatadresser, ingen opplysninger om privatliv, ingen fødselsdato ut.
- Den registrertes forventning: en daglig leder forventer å bli kontaktet om virksomheten. Opplysningene er allerede offentlige i Enhetsregisteret og på selskapets egen nettside.
- Tiltak: sletting på forespørsel uten begrunnelse, sperreliste, gradering som sier hvor sikker en verdi er, telefonpoeng som friksjon på mobilnumre, vilkår som forbyr bruk utenfor B2B.
Markedsføringsloven
- § 15: elektronisk markedsføring (e-post, SMS) til fysiske personer krever samtykke. Unntak for e-post til roller i næringsvirksomhet når henvendelsen gjelder virksomheten. Mobilnumre vi leverer er næringskontakter, men SMS til et mobilnummer treffer en fysisk person; vi merker derfor
kan_smssom teknisk mulighet, ikke tillatelse, og sier det i hvert svar. - Telefon: ringe en virksomhet er lov. Reservasjon i Reservasjonsregisteret gjelder privatpersoner; kunden bør likevel sjekke mot egne reservasjoner.
- Kunden er ansvarlig for at utsendelser følger loven. Vilkårene § 5 forbyr annet.
Kilder og rettigheter til data
| Kilde | Lisens |
|---|---|
| Enhetsregisteret, roller, underenheter | NLOD (Norsk lisens for offentlige data) |
| Regnskapsregisteret | Åpne data, NLOD |
| NAVs stillingsfeed | Åpen, NLOD |
| Selskapenes nettsider | Offentlig tilgjengelig, lest med vanlig nettleser-oppførsel, robots.txt respektert, kontakt- og ansattsider |
| Brukerbidrag | Vilkår § 6, kunden innestår for retten |
Ingen data fra LinkedIn er skrapet. LinkedIn-profiler vi viser er lenker selskapet selv har lagt ut, eller treff fra åpent nettsøk.
Sletting og innsyn
- E-post til [email protected], svar innen 30 dager, ingen begrunnelse nødvendig.
- Slettede personer legges på sperreliste (navn + orgnr) så de ikke kommer inn igjen.
- Kunder får beskjed gjennom
status: "ikke_funnet"og skal ikke beholde kopier av slettede personer utover egne lovlige grunnlag.
Sikkerhet
- Nøkler lagres som de er men er tilfeldige 32-tegns strenger; HTTPS overalt; nøkkelen kan roteres fra konsollen.
- Drift på Hetzner i Tyskland (EU/EØS). Ingen overføring utenfor EØS.
- Logg per kall (tidspunkt, endepunkt, antall) for fakturering og rimelig bruk, slettes etter tolv måneder.
- Fødselsdato finnes ikke i produksjonsdatabasen.
Databehandleravtale
Når kunden sender inn egne persondata til sjekk, behandler vi dem både på kundens vegne (svaret) og på egne vegne (bidrag, § 6). For svaret er vi databehandler; standard databehandleravtale fås ved å skrive til [email protected]. For bidrag er vi selvstendig behandlingsansvarlig; kunden kan reservere kontoen.
Underleverandører
Kontakt
Personvernansvarlig: Svein Økland, [email protected].