Behandlingsansvarlig for personopplysninger på ModulHub-plattformen er:
For data som klienter (bedrifter) registrerer om sine egne kunder og ansatte gjennom ModulHub er klienten behandlingsansvarlig, og ModulHub fungerer som databehandler. Forholdet reguleres av en egen databehandleravtale (DPA) inngått ved oppstart av tjenesten.
ModulHub samler kun inn opplysninger som er nødvendige for å levere tjenesten. Vi lagrer ikke særlige kategorier personopplysninger (helse, religion, politisk syn, fagforening, etnisitet, biometri eller seksuell legning) eller fødselsnummer.
Vi fører et audit-spor for sikkerhetskritiske hendelser (innlogging, passord-endring, 2FA-aktivering/deaktivering, brukersletting, konfigurasjons-endringer). Sporet inneholder bruker-ID, brukernavn, klient-ID, IP-adresse, tidspunkt og hendelses-detaljer.
Vi fører også en teknisk event-logg (90 dagers oppbevaring) for drift og feilsøking, samt en aktivitetslogg (7 års oppbevaring per bokføringsloven) for forretningskritiske handlinger.
| Behandling | Formål | Rettslig grunnlag (GDPR art. 6) |
|---|---|---|
| Bruker-konto og innlogging | Levere avtalt tjeneste | (b) Avtaleoppfyllelse |
| Sikkerhetsspor (audit-log, sesjoner) | Forebygge misbruk + dokumentere hendelser | (f) Berettiget interesse + (c) bokføringslov der relevant |
| Klient-administrasjon (kontaktinfo) | Drift av tjenesten + fakturering | (b) Avtaleoppfyllelse |
| Interesseliste-påmelding | Sende informasjon om plattformen | (a) Eksplisitt samtykke (kan trekkes) |
| Anti-spam IP-hash (interesseliste) | Forhindre automatisert misbruk | (f) Berettiget interesse |
| HIBP-passordsjekk (k-anonymity) | Forhindre kjente kompromitterte passord | (f) Berettiget interesse (ingen PII overført) |
| Kategori | Oppbevaringstid | Begrunnelse |
|---|---|---|
| Brukerdata (navn, e-post osv.) | Til konto anonymiseres eller slettes | Avtaleoppfyllelse |
| Audit-spor (sikkerhetsspor) | 7 år | Bokføringsloven + sikkerhetsdokumentasjon |
| Teknisk event-logg | 90 dager (automatisk sletting) | Drift + feilsøking |
| Innloggingssesjoner (utløpte) | 90 dager etter utløp (automatisk sletting) | Drift + sikkerhets-analyse |
| E-postbekreftelses-tokens | 30 dager etter utløp (automatisk sletting) | Engangsmekanikk, ingen audit-verdi |
| Interesseliste-påmeldinger | Til avregistrering + 30 dager (automatisk sletting) | Samtykke trukket = data slettes |
| Samtykke-bevis (snapshot) | Permanent | Dokumentere at samtykke ble gitt |
| Sikkerhetskopier | 30 dager rullerende (planlagt) | Beredskap mot dataapt + ransomware-vern |
Automatisk sletting håndheves av en daglig retention-cleanup-rutine. Når en bruker anonymiseres (GDPR Art. 17), erstattes personopplysninger umiddelbart på live-databasen, mens audit-spor beholdes uten direkte identifikasjon i tråd med dokumentasjons-plikt. Eldre sikkerhetskopier overskrives automatisk innen 30 dager.
ModulHub deler ikke personopplysninger med tredjeparter for markedsføring, salg eller andre formål utenfor leveransen av tjenesten. Vi bruker følgende databehandlere innenfor EU/EØS for å drifte plattformen:
| Leverandør | Formål | Lokasjon |
|---|---|---|
| Hetzner Cloud GmbH | Server-hosting (applikasjon + database + filer) | Tyskland / Finland (EU) |
| Sinch (Mailgun) | Utsending av transaksjonelle e-poster (registrering, glemt passord, varsler) | EU-region |
| Cloudflare | DNS, sikkerhetsvakt (CDN + DDoS-beskyttelse) | Global (kun forespørsels-metadata i transit) |
| Webhuset AS | Domeneregistrering for modulhub.no | Norge |
Databehandleravtaler med disse leverandørene er inngått eller under ferdigstilling. Pwned Passwords-tjenesten (passordsjekk mot kjente kompromitterte passord) bruker k-anonymity slik at ingen passord eller identifiserende data overføres.
ModulHub overfører ikke personopplysninger til land utenfor EU/EØS i forbindelse med daglig drift. Cloudflare er en global tjeneste, men forespørsels-metadata behandles i transit innenfor EU/EØS-noder så langt det er mulig. Hvis dette endrer seg, vil vi oppdatere denne erklæringen og innhente nødvendige garantier (Standard Contractual Clauses eller adekvansvedtak).
Du har følgende rettigheter etter personvernforordningen (GDPR):
Henvendelser om rettigheter sendes til kontakt@modulhub.no. Vi svarer normalt innen 30 dager. Identiteten bekreftes før utlevering eller sletting iverksettes.
| Cookie | Formål | Varighet | Egenskaper |
|---|---|---|---|
mh_access |
Holder deg innlogget (sesjons-token) | 15 minutter (rulles ved bruk) | HttpOnly + Secure + SameSite=Strict |
mh_csrf |
CSRF-beskyttelse (Double Submit-mønster) | Samme som mh_access | Secure + SameSite=Strict |
mh_refresh |
Fornying av sesjons-token uten ny innlogging | 7 dager | HttpOnly + Secure + SameSite=Strict (path begrenset til /api/auth) |
Vi bruker ingen analyse-cookies (Google Analytics, Plausible eller lignende), ingen markedsføringspiksler (Facebook, LinkedIn osv.) og ingen sporing på tvers av nettsteder. Hvis dette noensinne endrer seg, vil vi innføre samtykke-banner og oppdatere denne erklæringen først.
Vi har innført tekniske og organisatoriske tiltak for å beskytte personopplysningene mot uautorisert tilgang, endring, sletting eller tap. Eksempler:
Sikkerhets-rapporter eller mistanke om sårbarheter rettes til kontakt-e-posten over eller via /.well-known/security.txt.
Vi kan oppdatere denne erklæringen for å reflektere endringer i tjenesten, regelverket eller praksis. Vesentlige endringer varsles til registrerte brukere via e-post minst 30 dager før de trer i kraft. Dato for siste oppdatering vises nederst.
Hvis du mener vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet: