Personvernerklæring

1. Behandlingsansvarlig

LIMI LABS, organisasjonsnummer 938 745 048, er virksomheten bak Søknia og oppgis som behandlingsansvarlig i dette utkastet. Kontakt: kontakt@soknia.no.

Må avklares før lansering: Kontakt- og virksomhetsinformasjon må ferdigstilles med en egnet offentlig forretningsadresse uten å vise eierens private bostedsadresse eller registrerte gateadresse.

2. Opplysninger vi behandler

• Konto: e-postadresse, navn, konto-ID og opplysninger om innlogging og bekreftelse. Passordinnlogging håndteres av autentiseringstjenesten; passord lagres ikke som lesbar tekst av Søknia.
• Profil og jobbønsker: kontaktopplysninger du oppgir, samt lagrede ønsker om stillinger og arbeidssted.
• CV-er: felter du fyller ut, arbeidserfaring, utdanning, ferdigheter, eventuelle profilbilder, opplastede PDF-/DOCX-originaler og tekst hentet fra dokumentene.
• Søknader: stillingsinformasjon, egne og KI-genererte utkast, lagrede versjoner, redigeringer, avsenderopplysninger, status og notater.
• Betaling og bruk: kundereferanser, kjøps- og abonnementsstatus, samt brukerbundet KI-bruk for bruksgrenser. Eldre sikkerhets-/kvotelogger kan inneholde hash av IP-adresse og tidspunkt; dette er ikke nødvendigvis anonyme data.

Opplysninger kommer fra deg, valgte innloggingsleverandører og betalingssystemet. Offentlig stillingsinformasjon hentes fra NAV eller en annonse du selv velger. Unngå å legge inn sensitive opplysninger eller informasjon om andre som ikke er nødvendig.

3. Formål og behandlingsgrunnlag

Opplysninger brukes for å opprette og sikre kontoen, lagre dokumentene du velger, levere CV- og søknadsfunksjoner, håndtere kjøp og begrense misbruk. Konto- og dokumentfunksjoner vil normalt måtte vurderes etter GDPR artikkel 6 nr. 1 bokstav b (avtale). Sikkerhet og misbruksvern må vurderes etter bokstav f (berettiget interesse), og lovpålagt oppbevaring etter bokstav c (rettslig forpliktelse), der vilkårene faktisk er oppfylt.

Aksept av bruksvilkår er ikke GDPR-samtykke. Personvernerklæringen er informasjon, ikke en samtykkeerklæring. Et klikk på en KI-funksjon er en bestilling av den funksjonen, ikke i seg selv et generelt samtykke til annen databruk.

Må avklares før lansering: Dokumenter konkret grunnlag for hvert formål, nødvendighet, interesseavveiing for sikkerhetslogger og hvordan eventuelle særlige kategorier personopplysninger skal håndteres. Ingen endelig grunnlagsvurdering er foretatt gjennom dette utkastet.

4. Hvor lagres CV-er og søknader?

Nye kontolagrede CV-er, originalfiler og søknader lagres privat i Lovable Cloud med eierbegrenset tilgang. Opplastede originaler beholdes som originalfiler. Tidligere lokale CV-er overføres ikke automatisk til kontoen; overføring krever at du selv velger det.

Uten innlogging kan CV-er lagres i nettleseren. Nettleseren kan også beholde en lokal reservekopi for kontolagrede CV-er, miniatyrbilder og arbeid i den åpne søknadsfanen. Andre som bruker samme enhet eller nettleserprofil, kan få tilgang til lokale kopier. Bruk en privat enhet og fjern lokale data når det er nødvendig.

5. KI og eksterne leverandører

• Lovable Cloud: konto, autentisering, private dokumentdata og filoppbevaring. Drift og sikkerhet kan også innebære tekniske logger.
• Google og Apple: når du selv velger slik innlogging, håndterer leverandøren innlogging og deler opplysninger som trengs for kontoen, avhengig av innstillinger og leverandørens vilkår.
• OpenAI: ved uttrykkelig valg av KI-generering sendes valgt CV-tekst og stillingsinformasjon for å lage søknadsutkast. Ved KI-oppsummering sendes stillingsinformasjon. Søknia ber om store: false; dette er ikke en garanti om at leverandøren aldri lagrer data i sikkerhetslogger. Genererte søknadsversjoner lagres på kontoen. Avsenderens separate kontaktfelt sendes ikke som egne felt til KI; tekst fra en opplastet CV kan likevel inneholde kontaktopplysninger.
• Stripe: håndterer testbetalinger, kundeportal og abonnementsinformasjon i Sandbox. Kortopplysninger håndteres på Stripes betalingsside, ikke i Søknia.
• Google Fonts: skriften på nettsiden hentes fra Google, som mottar tekniske nettverksopplysninger ved forespørselen.

Personlige jobbanbefalinger beregnes lokalt på enheten og sender ikke CV-tekst til KI-leverandøren. Ved lesing av en ekstern annonse kontakter serveren annonsevertskapet og en DNS-tjeneste; dette er en valgt funksjon, ikke passiv besøksanalyse. Dokumenter sendes ikke automatisk til arbeidsgivere.

Må avklares før lansering: Bekreft leverandørenes juridiske enheter, rollefordeling, databehandleravtaler, underleverandører, behandlingsland, lagringstider og eventuelle overføringer utenfor EØS med gyldige overføringsgrunnlag. Ikke anta behandlingsregion eller at KI-data ikke brukes til andre formål uten dokumenterte leverandørvilkår.

6. Informasjonskapsler og nettleserlagring

Det er ikke funnet valgfrie analyse- eller reklamesporere i applikasjonskoden. Derfor legges det ikke til et samtykkebanner for slik sporing i dagens oppsett. Dette betyr ikke at all behandling er unntatt fra personvernreglene. Lagring på enheten brukes til innlogging og funksjoner du ber om:

• Innlogging: innloggingsøkt lagres i nettleseren til utlogging eller utløp, med automatisk fornyelse ved aktiv bruk.
• Lokale CV-er og originaler: lagres i localStorage og IndexedDB til du sletter dem eller fjerner nettleserdata. Eierbestemte reservekopier kan også ligge i IndexedDB.
• Åpen fane: sessionStorage holder søknadsarbeid, intern retur etter innlogging, passordgjenoppretting, valgt CV ved kjøp, miniatyrbilder og sidens rulleposisjon ved navigasjon. Dette er normalt begrenset til fanens levetid, med forbehold om nettleserens gjenoppretting av faner.

Å fjerne nettleserdata kan slette lokale dokumenter og logge deg ut. Nedlastede filer påvirkes ikke. Dersom valgfri sporing senere innføres, må den holdes avslått til gyldig samtykke er gitt, med en like enkel mulighet til å avslå og trekke samtykket tilbake.

Må avklares før lansering: Kontroller også den publiserte siden, innloggingsleverandørene og Stripes egne sider for lagring som ikke fremgår av Søknia-koden. Vurder nødvendigheten av hver lagring mot ekomloven § 3-15; dette utkastet fastslår ikke et generelt unntak for alle cookies eller all nettleserlagring.

7. Lagringstid og sletting

Det er ikke fastsatt generelle automatiske slettefrister for alle data i dagens løsning. Kontoopplysninger og lagrede dokumenter blir normalt liggende til de slettes. Du kan slette enkelt-CV-er og søknader, eller slette kontoen i Innstillinger etter særskilt bekreftelse og nylig innlogging.

Kontosletting fjerner kontoens profil, jobbønsker, CV-er og profilbilder, private originalfiler, søknadsversjoner og brukerbundet KI-bruk. Testabonnementer kanselleres først, og kontoens Sandbox-betalingskoblinger ryddes. Lokal opprydding gjelder denne enheten; eldre lokale gjeste-CV-er krever separat valg. Andre enheter og nedlastinger må ryddes av deg.

Globale betalingshendelsesreferanser og eldre IP-hash-logger kan bli stående og kan ha indirekte personkoblinger. Ved avbrutt kontosletting beholdes en begrenset markør for videre opprydding. Sletting av en Stripe-kunde garanterer ikke at Stripe sletter alle egne bilag, logger eller sikkerhetskopier.

Må avklares før lansering: Vedta slettefrister og opprydding for logger, hendelsesreferanser, sikkerhetskopier og avbrutte slettinger. Bekreft leverandørfrister. Før ekte betalinger må lovpålagt regnskapsoppbevaring og en sletteløsning som tar hensyn til den, være avklart.

8. Dine rettigheter og kontakt

Du kan kontakte kontakt@soknia.no for å be om innsyn, retting, sletting, begrensning eller dataportabilitet, og for å protestere mot behandling der regelverket gir rett til det. Hvis behandling bygger på samtykke, kan dette trekkes tilbake uten å påvirke lovligheten av tidligere behandling. Identiteten din kan måtte bekreftes på en trygg måte.

En samlet «last ned mine data»-funksjon er ikke implementert. Dette fjerner ikke rettigheter du har etter loven. Du kan klage til Datatilsynet.

Må avklares før lansering: En praktisk rutine for rettighetsforespørsler, svarfrister, manuell utlevering, hendelseshåndtering og vurdering av personvernombud/personvernkonsekvenser må dokumenteres før lansering.