Personvernerklæring

Behandlingsansvarlig

Legatus AS, organisasjonsnummer 935 624 780, er behandlingsansvarlig for personopplysningene vi samler inn. Vi kan kontaktes på personvern@legatus.no eller per post til vår forretningsadresse.

Hvilke opplysninger vi samler inn

Vi samler kun inn opplysninger som er nødvendige for å levere tjenesten. Dette inkluderer:

• Kontaktinformasjon: navn, e-postadresse og telefonnummer til brukere og kontaktpersoner hos kunder.
• Virksomhetsinformasjon: bedriftsnavn, organisasjonsnummer, bransje og adresse.
• Brukerdata: innloggingsinformasjon, roller og tilgangsrettigheter internt i plattformen.
• Brukeraktivitet: logger for innlogging, handlinger utført i plattformen og endringshistorikk.
• Dokumenter og rapporter lastet opp eller generert av brukere i tjenesten.

Formål med behandlingen

Opplysningene brukes til følgende formål:

• Levere, drifte og vedlikeholde Legatus Compliance-plattformen.
• Administrere kundeforhold, fakturering og kundestøtte.
• Varsle om endringer i tjenesten, lovkrav eller viktige hendelser.
• Sikkerhet: oppdage og forhindre uautorisert tilgang og misbruk.
• Oppfylle lovpålagte plikter, herunder regnskapslovgivning.

Rettslig grunnlag

Behandlingen er basert på følgende rettslige grunnlag etter GDPR artikkel 6:

• Avtale (art. 6 nr. 1 b): behandling som er nødvendig for å oppfylle avtalen med kunden.
• Berettiget interesse (art. 6 nr. 1 f): sikkerhet, driftslogging og produktforbedring.
• Rettslig forpliktelse (art. 6 nr. 1 c): oppfyllelse av bokføringsloven og andre lovkrav.
• Samtykke (art. 6 nr. 1 a): der vi eksplisitt ber om samtykke, f.eks. for nyhetsbrev.

Databehandlere og tredjeparter

Vi deler opplysninger kun med leverandører som er nødvendige for å levere tjenesten, og alltid med databehandleravtale:

• Supabase Inc. – databaseinfrastruktur og autentisering (EU-region).
• Vercel Inc. – hosting og leveranse av applikasjonen.
• Resend Inc. – utsending av e-poster (invitasjoner og varsler).
• Microsoft Azure – mulighet for innlogging via Azure AD / Entra ID.

Vi selger ikke personopplysninger og deler ikke data med tredjeparter for markedsføringsformål.

Dine rettigheter

Som registrert har du følgende rettigheter etter GDPR:

• Innsyn: rett til å få vite hvilke opplysninger vi har om deg.
• Retting: rett til å korrigere uriktige eller ufullstendige opplysninger.
• Sletting: rett til å kreve at opplysninger slettes («retten til å bli glemt»).
• Begrensning: rett til å begrense behandlingen under visse omstendigheter.
• Dataportabilitet: rett til å motta opplysninger i et maskinlesbart format.
• Innsigelse: rett til å protestere mot behandling basert på berettiget interesse.

Du kan også klage til Datatilsynet på datatilsynet.no dersom du mener vi behandler opplysningene dine i strid med personvernregelverket.

Lagring og sletting

Personopplysninger lagres så lenge kundeforholdet er aktivt og i den perioden det er nødvendig for å oppfylle lovpålagte plikter (typisk 5 år etter regnskapslovgivning). Etter avsluttet kundeforhold slettes eller anonymiseres opplysningene innen 90 dager, med mindre annet er påkrevd ved lov.

Kontakt

For spørsmål om personvern, utøvelse av rettigheter eller andre henvendelser, kontakt oss på: