Personvernerklæring

1. Behandlingsansvarlig

HEM, et enkeltpersonforetak registrert i Norge med organisasjonsnummer 924 807 342 og forretningsadresse Folke Bernadottes vei 6, 0862 Oslo, er behandlingsansvarlig for personopplysninger som samles inn gjennom HMS Lederkurs (hmslederkurs.no). HMS Lederkurs er foretakets handelsnavn for denne tjenesten.

Personvernhenvendelser: kontaktskjemaet på hmslederkurs.no/no/support, merket «personvern».

Tjenesten er ikke rettet mot barn under 16 år. Vi behandler ikke bevisst personopplysninger om mindreårige.

2. Hvilke opplysninger vi behandler

Vi samler inn:

• Navn og e-post (innlogging, kursbevis, kommunikasjon).
• Arbeidsgiver / virksomhet hvis oppgitt for kursbeviset.
• Kursprogresjon, leksjons-quiz-svar og resultat på avsluttende test.
• Fakturadata (kjøpsbeløp, kjøper, ev. organisasjonsnummer ved næringskjøp) for bokføring.
• Innholdet i support-henvendelser og ticket-tråder.
• Teknisk: IP-adresse, user-agent, attribusjons-tagger ved kjøp (gclid, utm_*, referrer, landing-side).
• Sesjonscookie (hms-session). første-parts, strengt nødvendig for innlogging.
• Verneombudskurset på 40 timer: svar og bilder du legger inn i arbeidsplassoppgavene, timene du selv oppgir, og den aktive tiden plattformen registrerer per leksjon og dag.
• Lederens navn, e-post, rolle, svar og tidspunkt når du ber leder bekrefte tiltaksplanen (oppgave 5).
• Forespørsler om KI-tips, når funksjonen er slått på: teksten i ett oppgavesvar etter at vi automatisk har fjernet navn vi kjenner til, e-postadresser, telefonnumre, organisasjonsnumre, fødselsnumre og lenker (automatisk fjerning er ikke feilfri), tipsene som kommer tilbake, og en logg over forespørslene uten tekst (tidspunkt, oppgave, utfall og omfang).
• Tilbakemelding du gir på et kurs: stjerner, teksten du skriver og svaret ditt om eventuell visning på nettsiden.

3. Formål og rettslig grunnlag

• Levere kurset og utstede kursbevis: GDPR art. 6(1)(b) (kontrakt).
• Føre regnskap og oppbevare bilag i 5 år: art. 6(1)(c) (bokføringsloven §13).
• Forebygge svindel, sikre tjenesten, måle aggregert bruk: art. 6(1)(f) (berettiget interesse).
• Måle effekten av markedsføringskanaler via egen attribusjon (gclid, utm_*): art. 6(1)(f). Vi setter ingen tredjeparts-cookies uten ditt samtykke.
• Sende deg e-post om liknende kurs vi selv tilbyr etter at du har kjøpt hos oss: art. 6(1)(f) (berettiget interesse), innenfor rammen av markedsføringsloven §15 tredje ledd. Du kan reservere deg allerede når du oppgir e-postadressen i kjøpet, og i hver enkelt e-post vi sender. Den samme reservasjonen stopper også forespørselen om tilbakemelding (se punktet om tilbakemelding nedenfor).
• Levere verneombudskurset på 40 timer, vurdere oppgavene og lage rapporten til arbeidsgiver når du har kjøpt kurset selv: art. 6(1)(b) (kontrakt med deg). Har arbeidsgiveren din kjøpt plassen, er avtalen mellom arbeidsgiveren og oss. Da bygger levering, vurdering, oversikten over framdrift og status på mappen mens kurset pågår, og rapporten til den som bestilte plassene (når mappen er vurdert og ferdig) på art. 6(1)(f): arbeidsgiverens berettigede interesse i å dokumentere opplæringen av verneombud, jf. arbeidsmiljøloven §6-5 og forskrift om organisering, ledelse og medvirkning §3-18. Du kan protestere mot denne behandlingen etter art. 21(1), se rettighetene dine nedenfor. Registrert aktiv tid brukes bare som dokumentasjon i rapporten, aldri til å stoppe deg.
• Lederbekreftelsen: lederen er en tredjeperson. Vi behandler opplysningene for å dokumentere gjennomgangen av tiltaksplanen på oppdrag fra deltakeren og arbeidsgiveren, med grunnlag i art. 6(1)(f) (berettiget interesse). Lederen får informasjon om dette i e-posten og kan la være å svare. Lederen kan protestere mot behandlingen etter art. 21(1) og be om innsyn eller sletting via kontaktskjemaet, merket «personvern».
• KI-tips: bare hvis du selv slår dem på og ber om dem. Grunnlaget er ditt samtykke etter art. 6(1)(a), som du kan trekke tilbake når som helst. Da sletter vi tipsene. En logg over forespørslene uten tekst beholder vi i inntil 90 dager for å hindre misbruk og styre kostnadene, med grunnlag i art. 6(1)(f). Tipsene påvirker ikke vurderingen, og kursansvarlig ser dem aldri.
• Be om og ta imot tilbakemelding på kursene, for å gjøre kursene og tjenesten bedre: art. 6(1)(f) (berettiget interesse). Etter hvert kursbevis kan vi spørre deg én gang på e-post om det kurset, og høyst én gang per 30 dager. Du kan reservere deg allerede når du oppgir e-postadressen i kjøpet og i den e-posten, og vi spør ikke hvis du har reservert deg mot e-post fra oss. Arbeidsgiveren din ser ikke tilbakemeldingen.
• Visning av tilbakemeldingen din på nettsiden, anonymt eller med fornavn: bare hvis du har sagt ja til det, art. 6(1)(a) (samtykke). Du kan trekke samtykket tilbake når som helst i det samme skjemaet eller via kontaktskjemaet. Sier du nei, brukes tilbakemeldingen bare internt.

4. Lagring og sletting

Konkrete oppbevaringstider:

• Fakturabilag og betalingsreferanser: 5 år (bokføringsloven §13 primærdokumentasjon).
• Kursbevis-data: så lenge brukerkontoen din er aktiv. Du kan be om sletting når som helst (men bilaget over består de 5 årene).
• Kursprogresjon og quiz-svar: så lenge kontoen er aktiv; anonymiseres ved sletting.
• Support-tråder: 24 måneder fra siste melding.
• Attribusjonsdata (gclid, utm_*): 24 måneder.
• Sesjonscookie og logg-inn-koder: sesjon 30 dager rullerende, engangskoder 10 minutter.
• E-postlogger (mottaker, emne og leverings-status): 12 måneder. E-poster med oppgavesvar, vurderingskommentarer eller lederens svar lagres ikke med innhold etter at de er sendt.
• Oppgavesvar, bilder, lederbekreftelse, registrert tid og vurderingskommentarer i verneombudskurset: 2 år etter at mappen ble vurdert og godkjent (én periode som verneombud), slik at rapporten kan hentes igjen i den tiden. Deretter slettes alt dette automatisk, mens kursbeviset beholdes. En mappe som ble sendt tilbake og ikke er endret siden, slettes 2 år etter siste vurdering og siste endring. Du kan be om sletting tidligere. Svar, registrert tid og merknaden til kursansvarlig i en mappe som aldri er sendt inn, slettes når ingenting i kurset er endret på 12 måneder. Bilder i en mappe som ikke er betalt, slettes når du ikke har gjort noe i kurset på 30 dager, og oppgaven bildene hørte til, settes tilbake til utkast. Forespørsler til leder som ikke ender med en bekreftelse, slettes 30 dager etter at de er utløpt, avslått eller trukket tilbake, sammen med e-postene som gjelder dem. Et bilde du fjerner etter at mappen har vært sendt inn, beholdes i vurderingshistorikken og slettes når mappen er vurdert, tidligst 30 dager etter at du fjernet det. Trekker du deg fra kjøpet etter at mappen er sendt inn, eller refunderes plassen, slettes mappen 30 dager etter refusjonen, også om den ikke er sendt inn ennå. En mappe som allerede er vurdert og godkjent, følger toårsregelen over.
• Logg over KI-forespørsler, med tidspunktet for samtykket og hvilken versjon av samtykketeksten forespørselen bygget på: 90 dager. Trekker du samtykket, sletter vi tipsene med en gang, men loggen beholdes ut perioden som dokumentasjon på at forespørslene hadde samtykke.
• Tilbakemeldinger på kurs: 3 år fra du sendte eller sist endret dem. Deretter slettes de automatisk.

Ønsker du tidligere sletting, send oss en melding via kontaktskjemaet (merk den «personvern») så fjerner vi det vi kan innenfor lovkrav.

5. Databehandlere og mottakere

Vi deler personopplysninger med følgende kategorier av leverandører, kun i den grad det er nødvendig for å levere tjenesten. Databehandleravtale (GDPR art. 28) er på plass med hver av leverandørene i listen.

• Stripe. betalingsbehandling. Hovedkontor EU (Irland), datakanaler USA. Overføringsgrunnlag: Standard Contractual Clauses + EU-US Data Privacy Framework.
• Resend. e-postutsendelse (transaksjonell + support-svar). EU-region eu-west-1.
• Hetzner Online GmbH. server- og databasehosting. EU (Nürnberg / Falkenstein, Tyskland).
• Cloudflare. CDN, edge-TLS og DDoS-beskyttelse. Globalt nettverk med EU-/USA-noder; overføringsgrunnlag SCC + EU-US DPF.
• Bugsink. feilrapportering fra nettsiden og serveren. Vi drifter Bugsink selv på den samme Hetzner-serveren som over (Tyskland, EU), og rapportene sendes via vårt eget domene. Ingen ekstra leverandør får feil-dataene.

Mottakere som ikke er databehandlere

Arbeidsgiveren din, hvis den har kjøpt plassen din i verneombudskurset på 40 timer: den som bestilte plassene kan laste ned rapporten med oppgavesvar, bilder, oppgitt tid, samlet registrert tid og lederbekreftelsen når mappen er vurdert og ferdig. Arbeidsgiveren er mottaker, ikke vår databehandler. Har du kjøpt kurset selv, bestemmer du selv om du gir rapporten videre. Har en bedrift kjøpt plassen din i et hvilket som helst kurs, ser den som bestilte plassene mens kurset pågår hvor langt du har kommet (antall fullførte leksjoner og om kursbeviset er utstedt). I verneombudskurset på 40 timer ser de også status på mappen (ikke sendt inn, til vurdering, sendt tilbake, vurdert), men ikke svarene eller kommentarene før rapporten er klar.

Vi selger aldri personopplysninger, og bruker dem ikke til markedsføring fra tredjeparter.

6. Dine rettigheter

Etter GDPR har du rett til:

• innsyn i hvilke opplysninger vi har om deg,
• retting av uriktige opplysninger,
• sletting der det er mulig innenfor lovkrav (bokføring er et unntak),
• begrensning eller innsigelse mot behandling basert på berettiget interesse,
• innsigelse mot direkte markedsføring (GDPR art. 21(2)). Sier du nei, stanser vi all markedsførings-e-post til deg, uten begrunnelse og uten kostnad,
• dataportabilitet for opplysninger du har gitt oss.

Send forespørselen via kontaktskjemaet på hmslederkurs.no/no/support, merket «personvern». Vi svarer normalt innen 30 dager.

7. Klage til Datatilsynet

Du har rett til å klage på vår behandling av personopplysninger til Datatilsynet. Vi oppfordrer deg gjerne til å kontakte oss først via kontaktskjemaet slik at vi kan forsøke å løse saken direkte.

8. Automatiserte avgjørelser

Vi gjør ingen automatiserte avgjørelser eller profilering som har juridiske eller tilsvarende vesentlige virkninger for deg. Quizene og den avsluttende kunnskapstesten scores automatisk, men resultatet er en mekanisk telling av riktige svar. ikke en vurdering av personen.

Vurderingen av arbeidsplassoppgavene i verneombudskurset gjøres av et menneske. KI-tips er bare veiledning til deg og inngår ikke i vurderingen.

9. Informasjonskapsler

Strengt nødvendige (alltid satt, kan ikke skrus av uten at tjenesten slutter å virke):

• hms-session: første-parts øktkapsel som holder deg innlogget. Levetid 30 dager rullerende. Settes først etter at du har logget inn.
• Korte tekniske kapsler for CSRF-beskyttelse og språkvalg. Levetid avgrenset til økten eller maksimalt 30 dager.

Markedsføring og attribusjon (settes kun hvis du kommer inn med en sporings-parameter i URL-en, typisk fra en Google Ads-annonse):

• hms-gclid og hms-gclid-type: første-parts kapsler som lagrer Googles klikkidentifikator (gclid, gbraid eller wbraid) når den finnes i landings-URL-en. Levetid ca. 90 dager. Formål: knytte et eventuelt kjøp tilbake til den opprinnelige annonsen, slik at vi kan måle hvilke kampanjer som faktisk leverer kunder. Behandlingsgrunnlag: art. 6(1)(f), berettiget interesse i å måle effekten av markedsføring.
• utm_*-parametere (utm_source, utm_medium, utm_campaign m.fl.) leses kun fra URL-en ved kjøp og lagres knyttet til ordren i databasen, ikke i en informasjonskapsel.

Vi setter ingen tredjeparts sporings-, analyse- eller annonse-kapsler, og bruker verken Google Analytics, Facebook Pixel eller lignende verktøy. All måling skjer utelukkende på vår egen server gjennom kapslene listet over.

10. Endringer i erklæringen

Vi kan oppdatere denne erklæringen ved endringer i tjenesten eller regelverket. Gjeldende versjon publiseres på denne siden. Vesentlige endringer varsles per e-post til registrerte brukere.

11. Kontakt

For spørsmål om personvern og alle andre henvendelser: kontaktskjemaet på hmslederkurs.no/no/support. Vi mottar ikke e-post, men svarer til adressen du oppgir i skjemaet.