# Etterlevelse

> GDPR, markedsføringsloven, kildene, interesseavveiningen, sletting og sikkerhet. Det kunder og personvernombud trenger for å godkjenne Firmasett.


Denne sida er skrevet for den som skal godkjenne Firmasett internt: personvernombud, compliance, innkjøp. Den sier hva vi gjør, hvorfor det er lov, og hva kunden selv må passe på.

## Hva Firmasett er, juridisk

En database over norske virksomheter og rollepersoner, bygd på offentlige registre og offentlig tilgjengelig informasjon, levert til virksomheter for B2B-formål. Tiny Elephant AS er behandlingsansvarlig for databasen. Kunden er behandlingsansvarlig for sin bruk av det kunden henter ut.

## Behandlingsgrunnlag

**Berettiget interesse (GDPR art. 6 nr. 1 f).** Interesseavveiningen:

- **Interessen:** virksomheter har en legitim interesse i å finne riktig beslutningstaker i andre virksomheter. Datatilsynet har lagt til grunn at kontaktopplysninger knyttet til en arbeidsrolle kan behandles for B2B-markedsføring med dette grunnlaget.
- **Nødvendighet:** opplysningene er begrenset til navn, rolle, selskap og kontaktpunkter for rollen. Ingen privatadresser, ingen opplysninger om privatliv, ingen fødselsdato ut.
- **Den registrertes forventning:** en daglig leder forventer å bli kontaktet om virksomheten. Opplysningene er allerede offentlige i Enhetsregisteret og på selskapets egen nettside.
- **Tiltak:** sletting på forespørsel uten begrunnelse, sperreliste, gradering som sier hvor sikker en verdi er, telefonpoeng som friksjon på mobilnumre, vilkår som forbyr bruk utenfor B2B.

## Markedsføringsloven

- **§ 15:** elektronisk markedsføring (e-post, SMS) til fysiske personer krever samtykke. Unntak for e-post til roller i næringsvirksomhet når henvendelsen gjelder virksomheten. Mobilnumre vi leverer er næringskontakter, men SMS til et mobilnummer treffer en fysisk person; vi merker derfor `kan_sms` som teknisk mulighet, ikke tillatelse, og sier det i hvert svar.
- **Telefon:** ringe en virksomhet er lov. Reservasjon i Reservasjonsregisteret gjelder privatpersoner; kunden bør likevel sjekke mot egne reservasjoner.
- **Kunden** er ansvarlig for at utsendelser følger loven. Vilkårene § 5 forbyr annet.

## Kilder og rettigheter til data

| Kilde | Lisens |
|---|---|
| Enhetsregisteret, roller, underenheter | NLOD (Norsk lisens for offentlige data) |
| Regnskapsregisteret | Åpne data, NLOD |
| NAVs stillingsfeed | Åpen, NLOD |
| Selskapenes nettsider | Offentlig tilgjengelig, lest med vanlig nettleser-oppførsel, robots.txt respektert, kontakt- og ansattsider |
| Brukerbidrag | Vilkår § 6, kunden innestår for retten |

Ingen data fra LinkedIn er skrapet. LinkedIn-profiler vi viser er lenker selskapet selv har lagt ut, eller treff fra åpent nettsøk.

## Sletting og innsyn

- E-post til hei@firmasett.no, svar innen 30 dager, ingen begrunnelse nødvendig.
- Slettede personer legges på sperreliste (navn + orgnr) så de ikke kommer inn igjen.
- Kunder får beskjed gjennom `status: "ikke_funnet"` og skal ikke beholde kopier av slettede personer utover egne lovlige grunnlag.

## Sikkerhet

- Nøkler lagres som de er men er tilfeldige 32-tegns strenger; HTTPS overalt; nøkkelen kan roteres fra konsollen.
- Drift på Hetzner i Tyskland (EU/EØS). Ingen overføring utenfor EØS.
- Logg per kall (tidspunkt, endepunkt, antall) for fakturering og rimelig bruk, slettes etter tolv måneder.
- Fødselsdato finnes ikke i produksjonsdatabasen.

## Databehandleravtale

Når kunden sender inn egne persondata til `sjekk`, behandler vi dem både på kundens vegne (svaret) og på egne vegne (bidrag, § 6). For svaret er vi databehandler; standard databehandleravtale fås ved å skrive til hei@firmasett.no. For bidrag er vi selvstendig behandlingsansvarlig; kunden kan reservere kontoen.

## Underleverandører

[Liste](/underleverandorer).

## Kontakt

Personvernansvarlig: Svein Økland, hei@firmasett.no.

---
Kilde: https://firmasett.arnu.io/etterlevelse · Firmasett, norsk B2B-data for folk og AI-agenter. Hele tjenesten: https://firmasett.arnu.io/llms.txt