Personvernerklæring

Oversikt

Den er utarbeidet for å overholde artiklene 13 og 14 i EUs personvernforordning (forordning (EU) 2016/679, «GDPR») og Republikken Litauens lov om personvern. Neste avsnitt identifiserer behandlingsansvarlig; resten av siden tar opp hvert tema etter tur.

Hvem er behandlingsansvarlig

Tjenesten drives av MB Libranet, et lite ansvarlig selskap med forretningsadresse i Vilnius, Lithuania, og er eneansvarlig behandlingsansvarlig etter GDPR artikkel 4 nr. 7. For personvernhenvendelser, skriv til [email protected]. Fullstendige juridiske enhetsopplysninger, inkludert organisasjons- og MVA-nummer, finnes på selskapsinformasjonssiden.

Vi har ikke utnevnt et personvernombud fordi vår behandling ikke oppfyller tersklene i artikkel 37. Den personen som er ansvarlig for personvern, kan nås på e-postadressen ovenfor.

Hvilke opplysninger vi behandler

Vi behandler følgende begrensede kategorier av personopplysninger, på de rettslige grunnlagene som er angitt:

• Kontoopplysninger. Ditt navn, e-postadresse og et bcrypt-hashet passord (eller offentlig nøkkel for passkey). Rettslig grunnlag: Oppfyllelse av kontrakt – GDPR art. 6 nr. 1 bokstav b.
• Faktura- og klientopplysninger du oppretter. Kun de opplysningene du selv velger å angi: klientnavn, adresser, MVA-numre, linjeartikler, totaler og betalingsstatus. Rettslig grunnlag: Oppfyllelse av kontrakt – GDPR art. 6 nr. 1 bokstav b.
• Received invoices (Inbox). E-invoices you receive into your Inbox, either by uploading a file or by directing them to your personal inbox address. We parse the supplier, totals and tax breakdown into readable fields and keep the original file for audit. We operate a mail receiver only for that dedicated subdomain; it is processed automatically and not read by us. Rettslig grunnlag: Performance of contract - Art. 6(1)(b) GDPR.
• Sesjons- og sikkerhetsinformasjonskapsler. En signert sesjonskapsel og en CSRF-tokenkapsel som brukes til å holde deg innlogget og blokkere forfalskede forespørsler. Rettslig grunnlag: Strengt nødvendig – GDPR art. 6 nr. 1 bokstav f, berettigede interesser.
• Serverlogger. IP-adresse, brukeragent og forespørselsmetadata, lagret kortvarig for å forebygge misbruk og feilsøking. Rettslig grunnlag: Berettigede interesser – GDPR art. 6 nr. 1 bokstav f.
• VIES-revisjonslogg. Når du validerer et EU-kjøpers MVA-nummer, lagrer vi forespørselsidentifikatoren, det spørrede landet og nummeret samt svaret, som dokumentasjon i henhold til rådsforordning (EU) 904/2010 artikkel 31. Rettslig grunnlag: Rettslig forpliktelse – GDPR art. 6 nr. 1 bokstav c.

Noe av denne informasjonen tilhører ikke deg, men dine fakturaklienter (GDPR art. 14). Kilden er deg – vi mottar den kun fordi du registrerer den i fakturaene dine. Vi behandler den på grunnlag av vår kontrakt med deg og din berettigede interesse som næringsdrivende i å oppbevare et avgiftsmessig korrekt fakturagrunnlag.

Underdatabehandlere

Vi benytter et bevisst lite utvalg underdatabehandlere. Ingen av dem er annonserings- eller analysenettverk. Hver er bundet av en databehandleravtale og behandler kun de minimale opplysningene som er nødvendig for sin funksjon.

SMTP2GO (transaksjons-e-post)

Når du sender en faktura på e-post eller mottar et systemvarsel, sendes meldingen via SMTP2GO gjennom EU-regionen (mail-eu.smtp2go.com). Delte opplysninger: avsender, mottakeradresse, emne, innhold og eventuelle vedlagte PDF-filer. SMTP2GO Inc. er etablert i New Zealand med EU-infrastruktur; overføringer er dekket av standard kontraktsbestemmelser.

Cloudflare Turnstile (botbeskyttelse)

Skjemaene /login og /register viser en Cloudflare Turnstile-utfordring for å blokkere automatisert misbruk. Widgeten lastes fra challenges.cloudflare.com og utveksler et kortvarig token med Cloudflares siteverify-endepunkt. Delte opplysninger: din IP-adresse, brukeragent og ett engangstoken. Turnstile setter ikke sporingsinformasjonskapsler og brukes ikke til annonsering. Cloudflare, Inc. er USA-basert; overføringer er dekket av EU-US Data Privacy Framework og standard kontraktsbestemmelser.

bunny.net (skrift-CDN)

Nettstedet laster to webskrifter fra fonts.bunny.net, et personvernvennlig skrift-CDN drevet av BunnyWay d.o.o. (Slovenia, EU). Delte opplysninger: din IP-adresse og brukeragent i forbindelse med skriftforespørselen. Se deres personvernerklæring.

European Commission VIES (MVA-validering)

Når du validerer et kjøpers MVA-nummer, sendes landkoden og MVA-nummeret du har angitt, til EU-kommisjonens MVA-informasjonsutvekslingssystem (VIES) på ec.europa.eu. Mottakeren er en EU-institusjon; behandlingen er regulert av forordning (EU) 2018/1725.

Hosting og PDF-generering (intern)

Applikasjonen kjøres på dedikert infrastruktur innenfor Den europeiske union. Faktura-PDF-er genereres internt ved hjelp av mPDF på våre egne servere. Ingen tredjeparts PDF-tjeneste eller hosting-forhandler er involvert.

Ingen Google-tjenester. Ingen Meta- eller Facebook-piksler. Ingen analyse-SDK-er. Ingen tredjeparts feilrapporteringstjenester.

Informasjonskapsler

Vi setter kun strengt nødvendige informasjonskapsler. I henhold til artikkel 5 nr. 3 i ePersonverndirektivet (2002/58/EF) krever strengt nødvendige informasjonskapsler ikke samtykke, og du vil derfor ikke se et kapselsamtykke-banner.

Ingen analyseinformasjonskapsler. Ingen annonseringsinformasjonskapsler. Ingen tredjeparts informasjonskapsler settes av oss. Cloudflare Turnstile-utfordringen beskrevet i avsnitt 04 kan sette sin egen kortvarige kapsel begrenset til challenges.cloudflare.com; denne kapselen er strengt nødvendig for botbeskyttelsesutfordringen og brukes ikke til sporing.

Lagringstid

Konto- og fakturadata oppbevares så lenge kontoen er aktiv. Ved sletting av konto fjernes alle vanlige personopplysninger innen 30 dager, med mindre litauisk regnskapslovgivning (som fastsetter en oppbevaringstid på 10 år for fakturagrunnlag) krever at vi beholder spesifikke dokumenter lenger – i så fall flyttes disse til et tilgangsbegrenset arkiv og oppbevares kun så lenge loven krever.

Serverlogger oppbevares i opptil 30 dager med mindre de er nødvendig lenger for en aktiv sikkerhetshendelse. VIES-revisjonsloggrader oppbevares i minst 10 år for å oppfylle dokumentasjonskravene i rådsforordning (EU) 904/2010.

Dine rettigheter etter personvernforordningen

Etter GDPR har du rett til innsyn (art. 15), retting (art. 16), sletting (art. 17), begrensning av behandling (art. 18), dataportabilitet (art. 20) og innsigelse (art. 21). Dersom behandlingen er basert på samtykke, kan du trekke dette tilbake når som helst (art. 7 nr. 3).

Du har også etter GDPR artikkel 77 rett til å klage til en tilsynsmyndighet – vanligvis den i det EU/EØS-landet der du bor, arbeider eller der den påståtte overtredelsen fant sted. Siden operatøren er etablert i Litauen, er den ledende tilsynsmyndigheten Statens datatilsyn (State Data Protection Inspectorate of Lithuania, VDAI).

For en trinnvis veiledning om hvordan du kan utøve hver rettighet, inkludert frister og hva du bør inkludere i en henvendelse, se den dedikerte GDPR-rettighetssiden.

Automatisert beslutningsprosess

FreeBillGen benytter ikke automatisert beslutningsprosess eller profilering i henhold til GDPR artikkel 22. Ingen beslutning som har rettslig eller tilsvarende betydelig virkning for deg, treffes utelukkende på grunnlag av automatisert behandling. Vi scorer, rangerer eller profilerer ikke brukere til annonseringsformål, kreditt, svindeldeteksjon eller noe annet formål.

Datasikkerhet

Tekniske og organisatoriske tiltak (GDPR art. 32):

• Passord lagret som bcrypt-hasher; passkeys (WebAuthn) støttes.
• Valgfri tidsbasert tofaktorautentisering via en hvilken som helst TOTP-kompatibel autentiseringsapp.
• CSRF-tokens på alle forespørsler om tilstandsendringer.
• Parameteriserte spørringer overalt – ingen sammensatt SQL fra strenger.
• HTTPS/TLS under overføring; HTTP Strict Transport Security er aktivert.
• Innholdssikkerhetspolicy (Content Security Policy) og andre sikkerhetstiltak i overskrifter.
• Revisjonslogg på applikasjonsnivå for sikkerhetssensitive handlinger.
• Krypterte databasesikkerhetskopier med begrenset tilgang.

Overføring til utlandet

Personopplysninger behandles som standard innenfor Den europeiske union. To av underdatabehandlerne nevnt i avsnitt 04 kan innebære overføring til et tredjeland:

• Cloudflare Turnstile – overføringer til USA, dekket av EU-US Data Privacy Framework og EU-kommisjonens standard kontraktsbestemmelser.
• SMTP2GO – driftsselskapet er etablert i New Zealand (et land med EU-kommisjonens tilstrekkelighetsavgjørelse) og bruker EU-regionsinfrastruktur for levering. Der overføringer finner sted, er de dekket av standard kontraktsbestemmelser.

Ingen andre overføringer til tredjeland finner sted. Dersom dette endres, vil vi benytte egnet overføringsmekanisme etter GDPR kapittel V og oppdatere denne erklæringen før den nye overføringen begynner.

Barn

FreeBillGen er et forretningsverktøy og er ikke rettet mot barn under 16 år. Vi samler ikke bevisst inn personopplysninger fra barn.

Endringer i erklæringen

Dersom vi gjør vesentlige endringer, vil vi publisere den oppdaterte teksten på denne siden med en ny «sist oppdatert»-dato og varsle aktive kontoer per e-post. Gjeldende versjon identifiseres ved datoen øverst på siden.

Kontakt

Personvernspørsmål og rettighetsforespørsler: [email protected]. Postadresse og fullstendige juridiske enhetsopplysninger finnes på selskapsinformasjonssiden.