Personvernerklæring

Brakka er et verktøy for prosjektøkonomi i byggebransjen. Vi ønsker å være helt åpne om hvilke data vi samler inn og hvorfor. Kort oppsummert: vi samler inn så lite som mulig, og deler ikke data med tredjeparter utover det som er beskrevet her.

Hvem er vi?

Brakka utvikles og driftes av Myrlund Holding AS. Har du spørsmål om personvern kan du kontakte oss på e-post: personvern@brakka.no.

Hvilke data samler vi inn?

Kontoinformasjon

Når du oppretter en konto lagrer vi navn og e-postadresse. Autentisering håndteres av WorkOS, som også lagrer påloggingsdata på våre vegne. Inviterer du en person, sendes e-postadressen deres til WorkOS for å lage invitasjonen — også før de har opprettet konto. WorkOS driftes i USA; overføringen dit skjer på grunnlag av EUs standardpersonvernbestemmelser (SCC) i WorkOS' databehandleravtale.

Prosjektdata

Alt du legger inn i Brakka — prosjekter, kontrakter, endringer, fakturaer — lagres i vår database hos Convex (EU, Dublin). Dataene tilhører din organisasjon og er ikke tilgjengelige for andre brukere.

Felt- og mobildata

I mobilappen registrerer du avvik og dagbokføringer: tittel, meldinger, område, fag, hvem som er ansvarlig, tidspunkt — og bilder du tar med kameraet eller velger fra bildebiblioteket. Dette lagres på samme måte som annen prosjektdata, hos Convex og Cloudflare R2. Appen ber ikke om tilgang til posisjon, kontakter eller mikrofon, og leser ingen av delene.

Vi utleder likevel omtrentlig sted — by eller region — fra IP-adressen din i produktanalysen. Det skjer i PostHog, ikke i appen, og gjelder både web og mobil. Vi ser altså hvilken by en økt kom fra, men aldri nøyaktig posisjon.

Slår du på push-varsler lagrer vi et varslingstoken for enheten din, knyttet til brukeren din. Selve varselet — for eksempel tittelen på et avvik — sendes gjennom Expo og videre via Apples og Googles varslingstjenester. Expo er et amerikansk selskap, sertifisert under EU-U.S. Data Privacy Framework. Du kan skru av push-varsler når som helst, i appen eller i systeminnstillingene.

Dokumenter og opplastinger

Filer du laster opp i Brakka — for eksempel fakturaer, tegninger og vedlegg — lagres hos Cloudflare R2 i EU-regionen. Filene er knyttet til din organisasjon og er ikke tilgjengelige for andre brukere.

Bruksanalyse

Vi bruker PostHog for produktanalyse — for eksempel hvilke sider som besøkes og hvilke funksjoner som brukes. Vi bruker kun identifiserte profiler for innloggede brukere. Dette hjelper oss å forbedre produktet. På web går trafikken via vår egen proxy; i mobilappen sendes den rett til PostHogs EU-servere.

Profilen vi oppretter i PostHog inneholder navn, e-postadresse, hvilken organisasjon du hører til — og lenken til profilbildet ditt, hvis du har lastet opp et. Selve bildet ligger fortsatt hos WorkOS; det er adressen til det vi sender videre.

Vi gjør også sesjonsopptak i den innloggede web-appen: en gjengivelse av hvordan du beveger deg gjennom grensesnittet, som vi bruker til å finne feil og friksjon. Opptakene er knyttet til brukeren din — de er ikke anonyme. De åpne nettsidene tas aldri opp, og mobilappen tar ikke opp økter i dag; skulle vi slå det på der, maskeres alle bilder, og vi oppdaterer denne erklæringen først. Vi maskerer tekst du skriver i skjemafelt.

Maskeringen dekker likevel mindre enn den kan se ut til: tekst som allerede står på skjermen, maskeres ikke. Åpner du et avvik eller en dagbokføring, kan tittelen og meldingene i den bli med i opptaket slik de vises. Det gjelder alle prosjekter, uavhengig av om KI-funksjonene er slått på. Organisasjonen din kan reservere seg mot sesjonsopptak ved å kontakte oss på personvern@brakka.no; da stopper vi begge opptakene for alle brukerne deres.

PostHog samler i tillegg inn feilmeldinger og krasjrapporter fra appen. Vi bruker også Better Stack i den innloggede web-appen: den samler feilmeldinger, ytelsesmålinger og sitt eget sesjonsopptak, og knytter dem til brukeren din og organisasjonen din. Better Stack tar også imot driftslogger fra serverne våre.

KI-funksjoner

Brakka bruker språkmodeller fra OpenAI til å lese dokumenter, analysere prosjektdata og gi råd i konkrete arbeidsflyter. Dette sendes til OpenAI:

• Fakturaer — hele filen sendes for å hente ut leverandør, beløp, fakturanummer og linjer.
• Prosjekt- og kontraktsdokumenter — filen sendes for å hentes ut som ren tekst.
• Endringsmeldinger — tittel, beskrivelse og vedlegg, for regelsjekk og råd mot kontraktens endringsregler.
• Semantisk søk — tekst fra dokumenter, kontrakter, endringer og fakturaer sendes for å lage søkevektorer. Når du bruker semantisk søk på web, sendes også søketeksten til OpenAI for å finne innhold med lignende betydning.

Innhold du registrerer i felt sendes ikke til OpenAI — verken tekst eller bilder fra avvik og dagbok. Søk i mobilappen er kun tekstbasert og sender ikke søketeksten til OpenAI. Søkevektorer og semantisk søk på web brukes bare i prosjekter der «Semantisk søk» er slått på. Prosjektets øvrige KI-analyser styres separat av «Prosjektassistent». Funksjonene er slått på i nye prosjekter når organisasjonens plan omfatter dem, med mindre dere slår dem av. Fakturalesing og dokumentuttrekk følger tilsvarende funksjoner for økonomi og dokumenter.

OpenAI behandler dataene som databehandler på våre vegne, under OpenAIs databehandleravtale. Fordi vi er etablert i EØS, er avtalen inngått med OpenAI Ireland Limited. Når OpenAI derfra overfører data ut av EØS — selve modellene kjøres i USA — skjer det på grunnlag av EUs standard personvernbestemmelser (SCC) eller en beslutning om tilstrekkelig beskyttelse. Innhold som sendes gjennom OpenAIs API brukes ikke til å trene modellene deres, og slettes normalt innen 30 dager. Vi sender også kall og svar fra språkmodellene til PostHog (EU) for feilsøking og kostnadsoppfølging.

Kobler dere Brakka til en KI-klient selv — for eksempel Claude eller ChatGPT, gjennom Brakkas MCP-tilkobling — går dataene klienten henter til leverandøren dere har valgt. Bruker klienten semantisk søk, sendes søketeksten i tillegg til OpenAI gjennom Brakkas søketjeneste som beskrevet over. Vanlige verktøy som bare henter data, sender ikke innholdet videre til OpenAI gjennom oss. Verktøyene følger modulene organisasjonen har slått på — feltverktøyene krever feltmodulen, endringer, kostnadskontoer, prognoser og fakturamottak økonomimodulen, og semantisk søk krever både «Prosjektassistent» og «Semantisk søk» — men prosjektoversikt, prosjektsøk, kontraktlisten, fakturalisten og hjelpedokumentasjon er tilgjengelig for enhver tilkoblet bruker uavhengig av moduler. Det er organisasjonen selv som velger og oppretter tilkoblingen, og som bestemmer vilkårene med den leverandøren — vi er ikke part i den behandlingen.

Annonsering

Vi bruker Google Ads for å måle effekten av annonser. Google-tagger lastes med Consent Mode v2. Taggen lastes bare hvis du godtar informasjonskapsler i banneret:

• Godtar du informasjonskapsler: Google-taggen lastes, Google kan sette annonseringskapsler og samle inn fullstendige målingsdata.
• Avviser du, eller har du ikke tatt et valg: Google-taggen lastes ikke, og ingenting sendes til Google — heller ikke når du sender inn demo- eller nyhetsbrevskjemaet.

Informasjonskapsler

På de åpne nettsidene setter vi ingen informasjonskapsler for analyse eller annonsering før du godtar det i banneret. PostHog kjører da uten lagring i nettleseren: hendelsene sendes uten identifikator, og besøkende telles på PostHogs server med en hash som byttes daglig. I den innloggede appen bruker vi PostHog og Better Stack uavhengig av banneret — feilsøking og produktforbedring for innloggede brukere er en berettiget interesse — og der settes informasjonskapslene under alltid.

Vi bruker følgende informasjonskapsler og lokal lagring i nettleseren:

Banneret vises på de åpne nettsidene. Vil du endre et lagret valg, trykk «Informasjonskapsler» nederst på siden, så spør banneret på nytt. Trekker du tilbake et samtykke, slettes informasjonskapslene fra PostHog og Google med en gang; Google-taggen forblir lastet til neste sidelasting, men får bare avslåtte samtykkesignaler.

Deling med tredjeparter

Vi deler data kun med tjenestene vi bruker for å drifte Brakka. Listen er delt etter hva slags data tjenesten får og hvilken rolle vi har: for prosjektdata og varselinnhold er organisasjonen din behandlingsansvarlig og vi databehandler etter databehandleravtalen; for kontoopplysninger, diagnostikk og kundeforholdsdata er vi selv behandlingsansvarlig. Prosjektdata lagres i EU/EØS; der en tjeneste behandler data utenfor EU/EØS står grunnlaget for overføringen.

Behandler prosjektdata på vegne av organisasjonen din

• Convex — database og backend. Prosjektdata. EU (Dublin)
• Cloudflare R2 — fillagring for dokumenter og bilder. Prosjektdata. EU. Bilder vises gjennom Cloudflares globale nettverk med signerte, tidsbegrensede lenker, og nedskalerte kopier kan mellomlagres der en kort periode, også utenfor EU/EØS (SCC og EU-U.S. Data Privacy Framework). Mellomlagrede kopier utleveres bare mot en gyldig signert lenke, aldri åpent
• Fly.io — søketjenesten som speiler prosjektdata for søk, og PDF-generering. Prosjektdata. EU (Stockholm)
• Vercel — hosting av web-appen. De åpne sidene er statiske; innloggede sider rendres på server og ser prosjektdata under sidelast. Prosjektdata. EU
• OpenAI (OpenAI Ireland Limited) — språkmodeller for fakturalesing, dokumentuttrekk, søk og KI-analyser. Prosjektdata i prosjekter der KI-funksjonene er på. Avtalen er med det irske selskapet; modellene kjøres i USA, se «KI-funksjoner» over
• Resend — e-post. De sender ut varsler og invitasjoner og tar imot svar du sender tilbake på varsler. Varselinnhold og mottakerens e-postadresse. USA, på grunnlag av EUs standardpersonvernbestemmelser (SCC) og EU-U.S. Data Privacy Framework. Resend lagrer også kontaktlisten for produktnyheter og nyhetsbrev (navn, e-postadresse og hvilke deler av Brakka du har tilgang til) — den er vårt eget ansvar
• Expo — levering av push-varsler til mobilappen. Varselinnhold, for eksempel tittelen på et avvik, og enhetens varslingstoken. USA, sertifisert under EU-U.S. Data Privacy Framework. Videre levering til enheten går via Apples (APNs) og Googles (FCM) varslingstjenester, som beskrevet under push-varsler ovenfor. Expo bygger også appen og distribuerer appoppdateringer, og ser da at enheten din spør etter en oppdatering

Behandler våre egne opplysninger om deg og organisasjonen din

• WorkOS — autentisering og organisasjonshåndtering. Kontoopplysninger: navn, e-postadresse, pålogging og invitasjoner. USA, på grunnlag av EUs standardpersonvernbestemmelser (SCC)
• PostHog — produktanalyse, sesjonsopptak og feilsporing, samt kall og svar fra språkmodellene. Diagnostikk. EU
• Better Stack — feilsporing, ytelsesmåling og sesjonsopptak i web-appen, samt driftslogger fra serverne. Diagnostikk. EU
• Folk — kunderegister for henvendelser og salg. Når du oppretter en organisasjon i Brakka, sendes organisasjonsnavnet og e-postadressen din dit for å opprette salgsoppfølgingen. Vi sender også daglig noen nøkkeltall om organisasjonen: sist aktivitet, antall aktive brukere og fakturaer siste 30 dager, antall åpne prosjekter, hvilken plan dere er på, om organisasjonen er intern, og når en eventuell prøveperiode utløper. Det er tall om organisasjonen, ikke om hva den enkelte gjør, og aldri prosjektdata. Kundeforholdsdata. USA (Folk Inc.), etter Folks databehandlervilkår
• Slack — internt kommunikasjonsverktøy, der vi blant annet følger opp kundeforhold og driftsvarsler. Det kan innebære metadata om kunder, som organisasjonsnavn og kontaktinformasjon, aldri prosjektdata. Kundeforholdsdata
• Google Ads — annonseringsmåling på de åpne nettsidene, se «Annonsering» over

Får ingen person- eller prosjektdata fra Brakka

• unpkg — når du forhåndsviser en PDF i nettleseren lastes en hjelpefil derfra. De ser IP-adressen din, men får ingen data fra Brakka
• Brønnøysundregistrene — slår du opp et organisasjonsnummer når du oppretter en organisasjon eller velger motpart, sender vi nummeret til Enhetsregisteret for å hente organisasjonsnavnet. Oppslaget går fra serveren vår, ikke fra nettleseren din

Vi selger aldri data til tredjeparter.

Dine rettigheter

I henhold til GDPR har du rett til å:

• Få innsyn i hvilke data vi har om deg
• Rette feil i dine data
• Slette kontoen din og personopplysningene dine
• Trekke tilbake samtykke for informasjonskapsler
• Klage til Datatilsynet

Sletting gjør du selv, direkte i Brakka — se «Sletting av konto» nedenfor. For innsyn, retting eller andre henvendelser, kontakt oss via personvern@brakka.no.

Sletting av konto

Du kan slette kontoen din selv, når som helst. Kortversjonen står på brakka.no/slett-konto.

• I mobilappen: gå til «Konto» og velg «Slett konto».
• På web: gå til «Profil» → «Kontoavslutning» (brakka.no/dashboard/profil/kontoavslutning).

Sletting skjer umiddelbart og kan ikke angres. Dette slettes:

• Påloggingen din hos WorkOS — du kan ikke lenger logge inn
• Navn og e-postadresse
• Innstillinger og varslingspreferanser
• Eventuelle datauttak og eksporter

Data som tilhører organisasjonen din — avvik, dagbokinnføringer, økonomidata, dokumenter og bilder — er en del av organisasjonens prosjektdokumentasjon og beholdes. Der du var oppført som forfatter vises «Slettet bruker» i stedet for navnet ditt.

Tre situasjoner krever et ekstra steg:

• Er du eneste administrator i en organisasjon med andre medlemmer, må du først overføre administratorrollen til noen andre.
• Er du eneste medlem i organisasjonen, slettes organisasjonen og alle prosjektene dens sammen med kontoen.
• Skylder organisasjonen din et datauttak til en samarbeidspartner som ennå ikke er levert, må det leveres først, så dokumentasjonen ikke går tapt for motparten.

Har du spørsmål om sletting, eller står du i et tilfelle som ikke passer inn her, kontakt oss på personvern@brakka.no.

Endringer

Vi kan oppdatere denne erklæringen ved behov. Vesentlige endringer vil bli kommunisert i produktet. Sist oppdatert dato finner du øverst på siden.