Personvernerklæring

Introline AS · Versjon 1.0 · Gjelder fra 2. september 2026

Introline finner mulige samarbeidspartnere for norske bedrifter. For å gjøre det behandler vi opplysninger om bedrifter — og dermed også noen personopplysninger om menneskene som representerer dem. Denne erklæringen forklarer hva vi behandler, hvorfor, med hvilket rettslig grunnlag, hvor lenge vi beholder det, og hvilke rettigheter du har.

Erklæringen dekker:

• A. Bedrifter i databasen vår — også dem vi ennå ikke har hatt kontakt med
• B. Bedrifter som selv registrerer seg hos oss
• C. Besøkende på introline.no
• D. Introlines egne brukerkontoer — punkt 12

Finner du ikke svaret her, skriv til [email protected]. Vi svarer uten ugrunnet opphold og senest innen én måned.

1. Behandlingsansvarlig

Introline AS, org.nr. 937 520 034, Martin Skatvedts vei 12, 0950 Oslo, er behandlingsansvarlig for behandlingen som beskrives her.

Alle henvendelser om personvern: [email protected]

Vi har ikke plikt til å utpeke personvernombud, og har ikke gjort det. Kjernevirksomheten vår består ikke i regelmessig og systematisk monitorering av personer i stort omfang, og vi behandler ingen særlige kategorier av personopplysninger etter artikkel 9 — ingen opplysninger om helse, politisk oppfatning, religion, fagforeningsmedlemskap, biometri eller seksuelle forhold. Tjenesten retter seg mot bedrifter, ikke mot privatpersoner eller barn.

2. Bedrifter i databasen vår (gruppe A)

Dette punktet gjelder deg som er tilknyttet en norsk bedrift som finnes i Introlines database, uavhengig av om bedriften har hatt kontakt med oss.

Hva databasen inneholder

Databasen består av opplysninger om foretak, ikke om personer:

• Foretaksopplysninger fra Brønnøysundregistrene: foretaksnavn, organisasjonsnummer, foretaksform, næringskode og forretningsadresse.
• Offentlig publisert informasjon fra bedriftens egen nettside og andre åpne kilder: beskrivelse av virksomheten, varer og tjenester, geografisk dekning og bransje.
• En strukturert bedriftsprofil utarbeidet av oss på grunnlag av det over.

Databasen er bygget for å inneholde norske aksjeselskaper. Enkeltpersonforetak registreres ikke, fordi opplysninger om et enkeltpersonforetak i praksis er opplysninger om en person. Registreringsskjemaet kontrollerer organisasjonsformen mot Brønnøysundregistrene og avviser alt annet enn aksjeselskap, og importen til databasen er gjort på samme grunnlag. Ingen enkeltpersonforetak har vært registrert. Skulle noen komme inn ved en feil, slettes de.

Vi samler ikke inn navn, stillinger, telefonnumre eller e-postadresser til kontaktpersoner til denne databasen. Slike opplysninger ble hentet fra Brønnøysundregistrene i en tidligere fase av arbeidet vårt, og er slettet:

• Navn på daglige ledere og andre roller ble slettet i juli 2026. Eksakt dato kan vi ikke gjenfinne, og vi oppgir den derfor som et anslag framfor å oppgi en presisjon vi ikke har.
• Samtlige lagrede e-postadresser — 2 284 i alt — ble slettet fra databasen 22. august 2026. Sikkerhetskopier som inneholdt dem utløper senest 21. september 2026. Slettingen er endelig fullført da.

Vi kontrollerer at slike opplysninger ikke er kommet inn igjen. Kontrollen 24. august 2026 gikk gjennom samtlige tekstkolonner i databasen og fant ingen personnavn, ingen telefonnumre og ingen navngitte e-postadresser. Det eneste treffet på e-postmønster var én stedsbasert rolleadresse til et foretak, kontrollert manuelt. Kontrollen gjentas ved hver halvårsgjennomgang, og finner vi noe, slettes det.

Vil vi ha kontaktopplysninger om en navngitt person, får vi dem fra bedriften selv, gjennom registreringsskjemaet. Da gjelder punkt 3.

Hvorfor dette som regel ikke er personopplysninger — og når det likevel er det

Opplysninger om et aksjeselskap er ikke personopplysninger, og personvernforordningen gjelder ikke for dem. En generell foretaksadresse identifiserer normalt ingen fysisk person.

Det finnes et unntak vi mener det er riktig å være åpen om: i et aksjeselskap med én eier som også er eneste ansatt, tilhører fellesadressen i praksis én identifiserbar person. I en base på over 60 000 foretak er dette ikke et randtilfelle, og det er ikke mulig å se på adressen om det gjelder. For disse mottakerne behandler vi personopplysninger, og de har alle rettighetene i punkt 15 på lik linje med enhver annen.

Automatisert analyse av offentlige kilder

Vi bruker automatiserte verktøy, blant annet KI-basert tekstanalyse fra Anthropic, til å sammenstille offentlig tilgjengelig informasjon til en bedriftsprofil. Under lesingen kan verktøyene komme over personopplysninger som står i kildene — for eksempel navnet på en ansatt i en referanseomtale på bedriftens nettside.

Verktøyene er instruert om å utelate personnavn, e-postadresser og telefonnumre fra alt som lagres, og vi kontrollerer stikkprøver av profiler kvartalsvis. En kontroll av samtlige tekstkolonner i databasen 24. august 2026 fant ingen personnavn eller telefonnumre lagret i foretaksdataene. Vi vil likevel være tydelige på hva slags tiltak dette er: kontrollen hviler på instruks og stikkprøver, ikke på en teknisk sperre som gjør lagring umulig. En slik sperre i databasen er under vurdering.

Opplysningene som passerer gjennom verktøyet, lagres ikke hos oss. Hos Anthropic, som er vår databehandler, beholdes det som sendes inn og ut i inntil 30 dager. Det er derfor lagringstiden for disse opplysningene må leses hos databehandleren, ikke hos oss.

For denne kortvarige behandlingen er grunnlaget berettiget interesse, artikkel 6(1)(f). Vi har gjennomført og dokumentert en interesseavveining, og du kan be om et sammendrag av den på [email protected].

Utgående førstegangskontakt

Denne behandlingen er besluttet og beskrevet, men er ikke i drift når denne erklæringen publiseres — vi har i dag ingen lagrede kontaktadresser å sende til. Vi beskriver den likevel her, fordi informasjonen skal være tilgjengelig før innsamlingen starter, ikke etterpå.

Når den settes i drift, gjelder følgende. Tar vi kontakt med en bedrift vi ikke har hatt kontakt med før, går e-posten til bedriftens generelle adresse — aldri til en navngitt person vi har funnet på egen hånd. Vi lagrer bare adressen, tidspunktet, hvilken utsendelse som ble sendt og om den kom fram. Vi registrerer ikke om e-posten ble åpnet eller om lenker ble klikket, og vi driver ingen profilering av mottakere.

For de mottakerne som i praksis er enkeltpersoner (se over), er grunnlaget berettiget interesse, artikkel 6(1)(f): vår interesse i å presentere tjenesten for foretaket, veid mot et inngrep som er så lite som en e-post kan bli. Hver utsendelse opplyser hvem vi er, hvor opplysningene om foretaket er hentet fra, og hvordan man reserverer seg.

Vi kjøper ikke adresselister, og vi selger ikke opplysninger videre.

Dine valg — STOPP og SLETT

• STOPP — vi stanser all utgående kontakt til bedriften, også forespørsler om en introduksjon, men beholder bedriftsprofilen. I praksis betyr det at en introduksjon ikke kan gjennomføres, siden den forutsetter at vi spør dere først og at dere sier ja. Ønsker dere likevel en introduksjon senere, tar dere kontakt med oss. Dette er protestretten etter artikkel 21.
• SLETT — vi sletter opplysningene om bedriften og eventuelle kontaktopplysninger fra våre systemer innen 30 dager, med unntak av det vi er rettslig forpliktet til å beholde (se punkt 7 og punkt 11, og oversikten i punkt 14). Dette er slettingsretten etter artikkel 17.

Begge utøves ved å svare STOPP eller SLETT på en e-post fra oss, eller ved e-post til [email protected]. Vi bekrefter innen én måned.

Se punkt 11 om hva vi beholder etter en sletting, og hvorfor.

3. Bedrifter som registrerer seg (gruppe B)

Registrerer bedriften et behov eller et tilbud gjennom skjemaet på introline.no, behandler vi i tillegg:

• Bedriftsopplysninger dere oppgir: organisasjonsnummer, navn, bransje, beskrivelse, geografi, behov og ønsket partnertype. Tjenesten er ment for aksjeselskaper, så dette er normalt ikke personopplysninger.
• Kontaktopplysninger: navn, e-postadresse, telefonnummer og stilling til kontaktpersonen. Disse ligger i en egen tabell med strengere tilgangskontroll, atskilt fra bedriftsdataene.
• Avtalebevis: ved aksept av vilkårene lagrer vi tidspunkt, hvilken versjon av vilkårene som ble vist, den eksakte teksten, IP-adresse og en beskrivelse av enheten, som bevis på at avtale er inngått. En IP-adresse er en personopplysning, og vi nevner den derfor uttrykkelig.
• Korrespondanse: e-post og annen kommunikasjon om oppdraget.
• Valgfritt nyhetsbrevsamtykke — se punkt 10.

Rettslig grunnlag: avtale, artikkel 6(1)(b), for å levere tjenesten. Berettiget interesse, artikkel 6(1)(f), for avtalebeviset — vi må kunne dokumentere at en avtale er inngått. Samtykke, artikkel 6(1)(a), for nyhetsbrev.

Alle kontaktopplysninger i denne gruppen er oppgitt frivillig av bedriften selv. Ingenting er hentet fra Brønnøysundregistrene eller andre tredjekilder.

Skjemaet og nettleseren din. Skjemaet beskyttes av Cloudflare Turnstile (botfilter). Cloudflare ser da IP-adressen din og setter en kortlivet sikkerhetskapsel. Den behandlingen skjer hos Cloudflare og lagres ikke hos oss.

Blir et registreringsforsøk avvist — for eksempel fordi organisasjonsnummeret ikke finnes i Enhetsregisteret, eller fordi organisasjonsformen ikke er et aksjeselskap — lagrer vi organisasjonsnummer, organisasjonsform, morselskapsnummer, blokkeringsgrunn, kilde og tidspunkt i 90 dager. Organisasjonsform og morselskapsnummer lagres bare når de er relevante; de tre feltene som alltid fylles ut er organisasjonsnummer, blokkeringsgrunn og tidspunkt. Ingen IP-adresse og ingen opplysninger om personen som forsøkte.

Utfylte verdier mellomlagres i nettleserens localStorage til skjemaet sendes inn — det skjer på ditt eget utstyr, og bruker du en delt maskin, bør du tømme nettleseren etterpå.

E-post om selve tjenesten — bekreftelser, introduksjoner, oppfølging av et oppdrag — er ikke markedsføring, og sendes uten eget samtykke. Nyhetsbrev er noe annet, og krever samtykke.

4. Henvendelser og møtebooking

Sender du en henvendelse gjennom kontaktskjemaet eller på e-post, behandler vi navn, e-postadresse, bedrift og innholdet i henvendelsen. Booker du en innledende samtale, behandler vi navn, e-postadresse og valgt tidspunkt. Møtebooking skjer gjennom Google Calendars avtaleplan.

Rettslig grunnlag: berettiget interesse, artikkel 6(1)(f) — å kunne svare på en henvendelse du selv har sendt oss.

Henvendelser som ikke fører til et kundeforhold beholdes i 12 måneder. Blir bedriften kunde, følger opplysningene fristene i punkt 14.

Nettstedet og tjenestens serverfunksjoner skriver tekniske driftslogger, som kan inneholde IP-adresse. Driftsloggene fra serverfunksjonene beholdes i inntil 7 dager. Grunnlaget er berettiget interesse, artikkel 6(1)(f), i å drifte og sikre egne systemer. Blir en hendelseslogg tatt i bruk i selve applikasjonen, oppdaterer vi denne erklæringen med formål og lagringstid for den før den settes i drift.

5. Introduksjoner — hva vi deler, og når

Tjenestens kjerne er at bedriftens profil og kontaktinformasjon deles med en konkret motpart. Det skjer i en fast rekkefølge:

1. Motparten får først et anonymisert behovsnotat — bransje, størrelseskategori, geografi, behov og tidshorisont. Ingenting som identifiserer bedriften deres.
2. Begge parter bekrefter hver for seg at de ønsker introduksjonen (dobbel opt-in).
3. Først da sendes introduksjonen, og identiteten og kontaktopplysningene deles.

Rettslig grunnlag: avtale, artikkel 6(1)(b), overfor bedrifter som er registrert hos oss. Berettiget interesse, artikkel 6(1)(f), der en part ennå ikke har et avtaleforhold med oss — den behandlingen kan du protestere mot etter artikkel 21.

Mottakeren av en introduksjon er selvstendig behandlingsansvarlig for sin videre bruk av opplysningene. Har vi utlevert opplysninger om deg i en introduksjon og du senere ber om retting eller sletting, underretter vi mottakeren, og du kan få vite hvem det er (artikkel 19).

Beslutningen om å introdusere tas alltid av et menneske. Automatiserte verktøy brukes til forberedende sortering av bedriftsprofiler, men det treffes ingen automatiserte avgjørelser med rettsvirkning eller tilsvarende betydelig virkning for deg (artikkel 22). Sorteringen gjelder foretakets tilbud mot et behov — ingen egenskap ved deg som person inngår i den.

Innsigelse mot en konkret introduksjon. Mener en bedrift at den allerede hadde et kundeforhold til motparten, kan den melde det til oss innen 14 dager etter introduksjonen, med dokumentasjon. Vi registrerer innsigelsen og dokumentasjonen som en rettighetsutøvelse, med samme frister som andre henvendelser om rettigheter (punkt 15).

6. Oppfølging etter en introduksjon

Etter en introduksjon tar vi kontakt for å høre hvordan det gikk — normalt etter 30, 60 og 90 dager, og deretter omtrent halvårlig så lenge honorarplikten løper. Formålet er å følge opp oppdraget, måle kvaliteten på introduksjonene og fastslå om det har oppstått et honorarkrav.

Vi behandler da korrespondansen om statusen, og de opplysningene leverandørsiden rapporterer om fakturert beløp. Har vi grunn til å kontrollere en rapportering, kan vi etter leverandørvilkårene v1.0 kreve en utskrift av kundereskontroen for den introduserte kunden, bekreftet av regnskapsfører eller av daglig leder. En slik utskrift kan inneholde navn, og behandles etter grunnlaget og fristene i punkt 7.

Rettslig grunnlag: avtale, artikkel 6(1)(b), og berettiget interesse, artikkel 6(1)(f), i å kunne fastslå og dokumentere et honorarkrav.

7. Fakturering, regnskap og avtaledokumentasjon

Blir det avtale mellom to introduserte bedrifter, fakturerer vi vårt honorar til leverandørsiden. Da behandler vi navn og kontaktopplysninger på fakturaer og i avtaledokumentasjon, samt korrespondanse om rapporterte avtaler.

Rettslig grunnlag: rettslig forpliktelse, artikkel 6(1)(c), etter bokføringsloven, og avtale, artikkel 6(1)(b). Regnskapsmateriale oppbevares i 5 år etter regnskapsårets slutt, jf. bokføringsloven § 13. Denne plikten går foran en slettingsforespørsel.

Mottakere: Skatteetaten ved lovpålagt rapportering, og eventuell regnskapsfører.

8. Besøkende på introline.no (gruppe C)

Vi bruker Google Analytics 4, men bare hvis du samtykker i banneret. Avviser du, lastes ikke Google Analytics i det hele tatt. «Avvis alle», «Tilpass» og «Godta alle» står side om side, med samme størrelse og samme antall klikk.

Samtykker du, samles sidevisninger, navigasjonsmønster, omtrentlig geografi (land og region), enhetstype og referansekilde, knyttet til en tilfeldig generert identifikator i _ga-kapselen. Vi samler aldri navn eller e-postadresse i analysen.

Om IP-adresser: Google opplyser at Google Analytics 4 ikke lagrer IP-adresser — de brukes til å utlede omtrentlig geografi og forkastes deretter. Dette er en egenskap ved verktøyet, ikke et tiltak vi har slått på, og vi vil ikke framstille det som noe annet. IP-adressen din overføres og behandles av Google før den forkastes.

«Google Signals» er slått av. Det hindrer at analysedataene sammenstilles med Googles egne kontodata på tvers av enheter.

Rettslig grunnlag: samtykke, artikkel 6(1)(a), jf. ekomloven § 3-15 for lagring av informasjon på utstyret ditt. Analysedata beholdes i 14 måneder.

Trafikkstatistikk fra hostingleverandøren. Cloudflare, som drifter nettstedet, produserer trafikkstatistikk som et biprodukt av å levere sidene. Den er serverbasert: den bygger på forespørslene serveren uansett mottar, laster ingen skript i nettleseren din og setter ingen informasjonskapsel for analyseformål. Grunnlaget er berettiget interesse, artikkel 6(1)(f), i å drifte og sikre nettstedet. Statistikken settes ikke sammen med analysen i Google Analytics og brukes ikke til å følge deg over tid. Informasjonskapslene Cloudflares sikkerhetstjeneste setter, står i punkt 9.

9. Informasjonskapsler

Strengt nødvendige kapsler settes uten samtykke, jf. ekomloven § 3-15. Grunnlaget for behandlingen av opplysningene i dem er berettiget interesse, artikkel 6(1)(f), i å drifte og sikre nettstedet. Alle andre kapsler settes bare etter at du har samtykket.

Kapslenes levetid på 2 år er lengre enn lagringstiden på 14 måneder for analysedataene. Det er Google som setter levetiden på kapselen.

Du kan endre eller trekke samtykket når som helst gjennom lenken «Informasjonskapsler» nederst på siden. Trekker du samtykket, lastes ikke Google Analytics ved senere besøk. Kapsler som alt er satt i nettleseren din, kan du slette gjennom nettleserens egne innstillinger for nettstedsdata.

I tillegg mellomlagrer registreringsskjemaet utfylte verdier i nettleserens localStorage, jf. punkt 3. Det er ikke en informasjonskapsel, og lagringen er strengt nødvendig for at skjemaet skal virke.

Se den fullstendige cookie-erklæringen og endre samtykket ditt →

10. Nyhetsbrev

Krysser dere av for nyhetsbrev i registreringsskjemaet, lagrer vi samtykket med tidspunkt og teksten som ble vist. Avkryssingsboksen er ikke forhåndsavkrysset — dere må krysse den av selv, og samtykket er aldri et vilkår for å bruke tjenesten.

Rettslig grunnlag: samtykke, artikkel 6(1)(a), jf. markedsføringsloven § 15. Samtykket kan trekkes med ett klikk i enhver utsendelse. Vi beholder dokumentasjon på samtykket i 1 år etter at det er trukket, for å kunne vise at utsendelsene var lovlige.

11. Sperrelisten — hva vi beholder etter en sletting

Ber du om SLETT, sletter vi opplysningene. Men vi må kunne sørge for at forespørselen din blir respektert over tid — ellers vil neste oppdatering fra Brønnøysundregistrene eller en gjenoppretting fra sikkerhetskopi legge inn bedriften på nytt, og du ville måtte be om det samme igjen.

Derfor beholder vi én oppføring på en sperreliste. Den inneholder:

• E-postadressen i hashet form. En hash er en teknisk omregning som gjør at vi kan kjenne igjen adressen hvis den kommer inn på nytt, uten å ha den lesbar. Vi kaller den ikke anonym — en hash av en e-postadresse er en pseudonymisering, ikke en anonymisering, og oppføringen er derfor fortsatt en personopplysning.
• Organisasjonsnummeret, i lesbar form. Det identifiserer et foretak og ikke en fysisk person, og det må være lesbart for at sperren skal kunne virke på foretaksnivå: en hash kan ikke sammenlignes med en ny rad som kommer inn fra Brønnøysundregistrene.
• Om forespørselen var STOPP eller SLETT, hvor den kom fra, og datoen.
• Tellere for hvor mange ganger sperren har virket — hvor mange innføringer den har avvist, og når sist. Vi lagrer ikke hvert enkelt forsøk, bare antallet.
• Formål: å hindre at du blir kontaktet igjen etter at du har bedt om å slippe.
• Rettslig grunnlag: rettslig forpliktelse, artikkel 6(1)(c), for håndteringen av rettighetsforespørsler etter artikkel 15–22, og berettiget interesse, artikkel 6(1)(f), for selve sperrelisten — minimal lagring er nødvendig for at sperringen skal holde over tid.
• Lagringstid: varig. Formålet er varig sperring, og en sperreliste som utløper er ingen sperreliste. Ber du oss fjerne oppføringen, gjør vi det — men da kan vi ikke lenger hindre at du havner i databasen ved en senere import.

Kontrollen mot sperrelisten er bygget inn i selve databasen, ikke i et importskript, nettopp for at den også skal gjelde etter en gjenoppretting fra sikkerhetskopi. Den virker både når en ny rad forsøkes lagt inn og når en eksisterende rad forsøkes endret. En fullstendig test av sletteflyten er gjennomført og loggført 1. september 2026, og gjentas årlig.

Ber du om STOPP i stedet, beholder vi adressen på sperrelisten uten å slette bedriften fra databasen. Vi fører også en logg over forespørsler og svar i 3 år, som dokumentasjon på at vi har etterlevd pliktene våre.

Om sikkerhetskopier og restkopier hos leverandører

Vi sletter ikke selektivt i sikkerhetskopier — det er ikke teknisk mulig uten å ødelegge kopien. Sikkerhetskopier av databasen beholdes i 30 dager. Sletting i vår egen database er derfor endelig fullført senest 30 dager etter at vi har utført den. Gjenoppretter vi en sikkerhetskopi, spilles slettingsforespørsler som kom inn etter kopieringspunktet av på nytt umiddelbart.

Hos databehandlerne våre kan restkopier løpe lenger, etter deres egne sletterutiner:

Vi opplyser om dette når det er relevant for en konkret slettingsforespørsel.

12. Introlines egne brukerkontoer (gruppe D)

Introlines partnere og eventuelle medarbeidere har brukerkontoer i vår egen løsning. Vi behandler e-postadresse, passord i hashet form, tidspunkt for opprettelse og innlogging, aktive økter og oppsett for tofaktorautentisering.

Formål: å gi tilgang til systemene og kunne spore hvem som har gjort hva ved feilsøking.

Rettslig grunnlag: berettiget interesse, artikkel 6(1)(f), i å sikre og kontrollere tilgangen til egne systemer. Der behandlingen følger av partneravtalen, er grunnlaget avtale, artikkel 6(1)(b).

Lagringstid: så lenge personen har en rolle som krever tilgang. Ved fratredelse suspenderes kontoen samme dag og slettes innen 30 dager.

13. Databehandlere og overføring til tredjeland

Vi deler aldri personopplysninger med tredjeparter for deres egne markedsføringsformål, og vi selger ingen opplysninger. Følgende leverandører behandler opplysninger på våre vegne, under databehandleravtale etter artikkel 28 — for noen som egen signert avtale, for andre innlemmet i leverandørens vilkår, med aksepten dokumentert:

DPF er EU–US Data Privacy Framework, EU-kommisjonens beslutning om at USA har tilstrekkelig beskyttelsesnivå for virksomheter som er sertifisert under ordningen. SCC er EUs standardavtalevilkår, som gjelder som reservegrunnlag der leverandørens avtale har dem.

Datatilsynet har påpekt at overføringer under DPF innebærer en restrisiko dersom beslutningen skulle bli trukket tilbake. Vi begrenser omfanget ved å sende hver leverandør bare det som er nødvendig, ved at analyse først skjer etter samtykke, og ved at databasen med kontaktopplysninger ligger i EU. Faller DPF bort, vurderer vi hver overføring på nytt.

Vi bruker ingen tredjeparts CRM-løsning. Kundeoppfølging skjer i vårt eget verktøy, på Supabase og Cloudflare.

Vi har avtalefestet med Anthropic at opplysningene ikke brukes til å trene modeller, og at de ikke selges eller deles videre.

14. Hvor lenge vi beholder opplysningene

Om de fire årene for introduksjonshistorikk og avtalebevis: en introduksjon kan utløse et honorarkrav i 24 måneder. For avtaler som inngås i de siste 12 av dem, kan fakturering i inntil 12 måneder etter også utløse krav — den ytterste horisonten er derfor 36 måneder fra introduksjonen. Et krav som oppstår helt på slutten av den perioden foreldes først tre år senere. Full dekning ville krevd om lag seks år. Vi har vurdert det som uforholdsmessig lenge for kontaktopplysninger, og satt fristen til fire år — nok til å dekke hele perioden kravet kan oppstå i, pluss ett år til å oppdage og fremme det. Etter fire år beholder vi bedrift, dato og utfall, og sletter kontaktopplysningene.

Oppstår en konkret tvist, kan vi beholde de opplysningene tvisten gjelder så lenge den pågår, jf. artikkel 17 nr. 3 bokstav e.

15. Dine rettigheter

Du har rett til:

• Innsyn i opplysningene vi har om deg (artikkel 15)
• Retting av uriktige opplysninger (artikkel 16)
• Sletting — «retten til å bli glemt» (artikkel 17), jf. SLETT i punkt 2
• Begrensning av behandlingen (artikkel 18)
• Dataportabilitet — å få opplysningene i et maskinlesbart format (artikkel 20)
• Å protestere mot behandling basert på berettiget interesse (artikkel 21), jf. STOPP i punkt 2
• Å trekke et samtykke når som helst, uten at det påvirker lovligheten av behandling som allerede har skjedd (artikkel 7 nr. 3)
• Å klage til Datatilsynet (artikkel 77)

Rettighetene utøves ved e-post til [email protected]. Vi svarer uten ugrunnet opphold og senest innen én måned. Er saken kompleks, kan vi forlenge med to måneder, men da sier vi det innen den første måneden og forklarer hvorfor.

Vi kan be om opplysninger som bekrefter hvem du er, men bare der det er nødvendig — og ikke mer enn nødvendig.

Datatilsynet: Postboks 458 Sentrum, 0105 Oslo · 22 39 69 00 · [email protected] · datatilsynet.no

Klagen til Datatilsynet er gratis. Vi setter pris på om du kontakter oss først, slik at vi får mulighet til å ordne opp direkte — men det er ingen forutsetning for å klage.

16. Sikkerhet

• Opplysningene er kryptert både under overføring og ved lagring.
• Kontaktopplysninger ligger atskilt fra bedriftsdataene, bak strengere tilgangskontroll. KI-verktøyene som analyserer bedriftsdata kan ikke lese kontaktopplysninger fra databasen. Behandles kontaktopplysninger i et KI-verktøy, skjer det i definerte arbeidsflyter, på våre kommersielle kontoer med databehandleravtale.
• Tofaktorautentisering er påkrevd på alle kontoer vi bruker.
• Databasen ligger i EU-region.
• Tilgang gis bare til personer som trenger den for å utføre arbeidet.
• Vi har en skriftlig rutine for avvik og sikkerhetsbrudd. Blir vi kjent med et brudd som medfører risiko for dine rettigheter, varsler vi Datatilsynet innen 72 timer, og deg direkte dersom risikoen er høy (artikkel 33 og 34).
• Registreringsskjemaet beskyttes av et botfilter.

17. Endringer i denne erklæringen

Vi oppdaterer erklæringen når behandlingen endrer seg. Vesentlige endringer varsles på nettsiden, og for registrerte bedrifter også per e-post. Tidligere versjoner kan fås ved henvendelse til [email protected].

Denne erklæringen speiler Introlines interne behandlingsprotokoll etter artikkel 30. Ved avvik mellom de to er det protokollen som beskriver den faktiske behandlingen, og erklæringen som rettes.

Versjon 1.0 · Gjelder fra 2. september 2026 · Erstatter tidligere upubliserte utkast.