Personvernerklæring

Anvist tilbyr lead-generering og salgsverktøy for norske markedsføringsbyråer. Vi er behandlingsansvarlig for personopplysningene som beskrives nedenfor (med unntak som beskrevet i seksjon 3a).

Kontakt for personvern-henvendelser: personvern@anvist.no. Generell kontakt: hei@anvist.no. Organisasjonsnummer publiseres her så snart Anvist er registrert i Foretaksregisteret.

Anvist behandler personopplysninger om norske næringsdrivende (typisk daglig leder, innehaver, styreleder) fra offentlige registre, samt om dine ansatte som brukere av tjenesten. Ingen særlige kategorier (helse, etnisk opprinnelse, politiske oppfatninger, biometri osv.) i henhold til GDPR art. 9.

Rettslig grunnlag for behandling av Brreg-data til B2B-prospektering: berettiget interesse (GDPR art. 6(1)(f)). Vi har gjennomført balansetest — næringsdrivendes interesse i å motta relevante B2B-tilbud veier opp mot deres rettigheter, forutsatt at de når som helst kan reservere seg (GDPR art. 21). For konto- og bruks-data er grunnlaget oppfyllelse av avtale (art. 6(1)(b)). For sikkerhets-logger er grunnlaget rettslig forpliktelse + berettiget interesse (art. 6(1)(c) og (f)).

• Bedriftsdata fra Brønnøysund­registrene — bedriftsnavn, org.nr, bransjekode, adresse, daglig leder/innehaver/styreleder, evt. telefon og e-post som de selv har registrert offentlig.
• Telefonnumre fra 1881/Gule Sider/180.no (når integrasjonene er live) — utelukkende bedrifts-numre eller numre næringsdrivende har valgt å publisere.
• Konto-informasjon — fullt navn, bedrifts-e-post, organisasjonsnummer, valgt pakke, hashet passord (saltet og iterert nøkkelavledning — aldri klartekst).
• Bruksdata — leads du henter, tagger du setter, notater og oppfølgings-datoer.
• Teknisk logg — IP-adresse, tidspunkt, user-agent, hvilken side. Brukes til sikkerhet (brute-force-deteksjon, misbruksvarsler, audit-spor) og feilsøking.
• Demo-data, inkludert om tredjepersoner — prøver du demoen på anvist.no, lagrer vi bransje- og kommunevalget ditt, en teknisk fingeravtrykks-hash og IP-adressen din. Bruker du «Send til daglig leder», lagrer vi i tillegg navnet og e-postadressen til mottakeren — en person som ikke selv har vært i kontakt med oss. Grunnlaget er berettiget interesse (art. 6(1)(f)) i å begrense gjentatte utsendelser til samme mottaker. Mottakeren får informasjon om behandlingen i selve e-posten (art. 14) og kan melde seg av. Vi sporer ikke om e-posten blir åpnet.
• Strengt nødvendige cookies — anvist-session (innlogging, httpOnly, Secure, SameSite=Lax), anvist-test-plan (kun for eiere av Anvist). Vi bruker ingen tracking-cookies, analytics, eller tredjeparts-pixels uten ditt samtykke.

Alle kundedata lagres i Irland (Turso EU-region, aws-eu-west-1). Backup-er, audit-logger og sesjons-data ligger samme sted.

Vi bruker følgende databehandlere (alle dekket av databehandler­avtale):

For overføringer til USA har vi gjennomført Transfer Impact Assessment (TIA) i tråd med Schrems II. Innhold som sendes til Anthropic for AI-svar brukes ikke til trening (kontraktfestet).

For Brreg-data og lead-discovery er Anvist behandlingsansvarlig — vi velger hvilke registre vi henter fra. For dine tagger, notater og kundebase er Anvist databehandler — du bestemmer, vi utfører. Databehandleravtale signeres separat per byrå før første lead lagres (se Databehandleravtale).

Vi beholder data så lenge det er nødvendig for formålet og lovkravene tilsier. Tabellen under viser konkrete frister:

Unntakene fra 30-dagers-fristen for teknisk logg. IP-adressen i audit-loggen er en del av selve handlingssporet — hvem gjorde hva, når og hvorfra. Fjernes den, mister loggen den opplysningen som gjør den brukbar til å undersøke en sikkerhetshendelse i ettertid. Den følger derfor audit-loggens frist på 5 år. IP-adressen som lagres når din admin signerer databehandleravtalen er signeringsbevis, og beholdes så lenge avtalen er relevant. I alle andre tabeller — sesjoner, sikkerhets-events, betrodde enheter og demo-data — nulles IP og user-agent automatisk 30 dager etter at raden ble skrevet, mens selve raden lever ut sin egen frist.

Du har full rett til innsyn (art. 15), retting (art. 16), sletting (art. 17), begrensning (art. 18), data-portabilitet (art. 20) og innsigelse (art. 21) etter GDPR. Vi besvarer alle forespørsler innen 30 dager — som regel innen én virkedag.

• Eksporter dine data som ZIP (CSV per tabell) når som helst fra dashbordet → Eksport
• Be om sletting eller innsyn via personvern@anvist.no. Sletting skjer ikke automatisk når du sier opp — du må be om den, og da gjennomfører vi den innen 30 dager og bekrefter skriftlig. Audit-logg og regnskapsbilag består i den lovpålagte perioden, se tabellen over
• Reserver deg mot at din virksomhet vises som lead i Anvist — send oss org.nr og forretningsadresse på samme e-post. Vi registrerer org.nr i en sperreliste som filtrerer bort bedriften i alle uttrekk, også i den offentlige demoen, slik at den ikke kan hentes inn igjen ved en senere kjøring
• Klage til Datatilsynet hvis du mener vi ikke oppfyller pliktene våre:
  Datatilsynet · Postboks 458 Sentrum · 0105 Oslo · datatilsynet.no

Tekniske og organisatoriske tiltak vi har på plass:

• Multi-tenant-isolering på type-nivå — det er fysisk umulig at byrå A ser byrå B sine data (kompile-tids-sjekk i kode)
• Passord lagret med saltet og iterert nøkkelavledning — klartekst-passord eksisterer aldri på våre servere
• HTTPS-tvang (HSTS preload), strict Content-Security-Policy, X-Frame-Options DENY
• Audit-log er kun-INSERT (immutable) — historikken kan ikke endres i ettertid
• Brute-force-vern: automatisk kontolåsing ved gjentatte feilede login-forsøk
• Automatisk deteksjon av og alarm på skannere og mistenkelig aktivitet
• SSRF-vern på alle eksterne URL-fetcher
• Avhengighets- og hemmelighetsskanning før hver deploy

Vi oppgir ikke tekniske parametre, terskelverdier eller deteksjonsregler offentlig — slike detaljer gjør det lettere å omgå vernet de beskriver. Kunder som gjennomfører leverandørvurdering får detaljert sikkerhetsvedlegg på forespørsel.

Rapporter sikkerhets-funn til security@anvist.no (svar innen 48 timer). Se security.txt (RFC 9116).

Hvis vi oppdager et brudd som påvirker personopplysninger:

1. Berørt funksjonalitet midlertidig deaktivert om nødvendig (innen 2 timer)
2. Patch utviklet og deployet (innen 24 timer)
3. Berørte kunder varslet per e-post (innen 24–72 timer)
4. Datatilsynet varslet innen 72 timer hvis kravet i GDPR art. 33 er utløst
5. Post-mortem publisert offentlig innen 7 dager når situasjonen tillater det

Skulle Anvist gå konkurs eller avvikle, leverer vi alle byrå-data som komplett eksport innen 14 dager. Vi kan ikke overdra eller beholde dem — de tilhører byrået ditt.

Vi varsler om vesentlige endringer per e-post 30 dager før de trer i kraft. Mindre presiseringer logges nederst på denne siden med dato.