Personvernerklæring

Brakka er et verktøy for prosjektøkonomi i byggebransjen. Vi ønsker å være helt åpne om hvilke data vi samler inn og hvorfor. Kort oppsummert: vi samler inn så lite som mulig, og deler ikke data med tredjeparter utover det som er beskrevet her.

Hvem er vi?

Brakka utvikles og driftes av Myrlund Holding AS. Har du spørsmål om personvern kan du kontakte oss på e-post: personvern@brakka.no.

Hvilke data samler vi inn?

Kontoinformasjon

Når du oppretter en konto lagrer vi navn og e-postadresse. Autentisering håndteres av WorkOS, som også lagrer påloggingsdata på våre vegne. Inviterer du en person, sendes e-postadressen deres til WorkOS for å lage invitasjonen — også før de har opprettet konto. WorkOS driftes i USA; overføringen dit skjer på grunnlag av EUs standardpersonvernbestemmelser (SCC) i WorkOS' databehandleravtale.

Prosjektdata

Alt du legger inn i Brakka — prosjekter, kontrakter, endringer, fakturaer — lagres i vår database hos Convex (EU, Dublin). Dataene tilhører din organisasjon og er ikke tilgjengelige for andre brukere.

Felt- og mobildata

I mobilappen registrerer du avvik og dagbokføringer: tittel, meldinger, område, fag, hvem som er ansvarlig, tidspunkt — og bilder du tar med kameraet eller velger fra bildebiblioteket. Dette lagres på samme måte som annen prosjektdata, hos Convex og Cloudflare R2. Appen ber ikke om tilgang til posisjon, kontakter eller mikrofon, og leser ingen av delene.

Vi utleder likevel omtrentlig sted — by eller region — fra IP-adressen din i produktanalysen. Det skjer i PostHog, ikke i appen, og gjelder både web og mobil. Vi ser altså hvilken by en økt kom fra, men aldri nøyaktig posisjon.

Slår du på push-varsler lagrer vi et varslingstoken for enheten din, knyttet til brukeren din. Selve varselet — for eksempel tittelen på et avvik — sendes gjennom Expo og videre via Apples og Googles varslingstjenester. Expo er et amerikansk selskap, sertifisert under EU-U.S. Data Privacy Framework. Du kan skru av push-varsler når som helst, i appen eller i systeminnstillingene.

Dokumenter og opplastinger

Filer du laster opp i Brakka — for eksempel fakturaer, tegninger og vedlegg — lagres hos Cloudflare R2 i EU-regionen. Filene er knyttet til din organisasjon og er ikke tilgjengelige for andre brukere.

Bruksanalyse

Vi bruker PostHog for produktanalyse — for eksempel hvilke sider som besøkes og hvilke funksjoner som brukes. Vi bruker kun identifiserte profiler for innloggede brukere. Dette hjelper oss å forbedre produktet. På web går trafikken via vår egen proxy; i mobilappen sendes den rett til PostHogs EU-servere.

Profilen vi oppretter i PostHog inneholder navn, e-postadresse, hvilken organisasjon du hører til — og lenken til profilbildet ditt, hvis du har lastet opp et. Selve bildet ligger fortsatt hos WorkOS; det er adressen til det vi sender videre.

Vi gjør også sesjonsopptak i den innloggede web-appen: en gjengivelse av hvordan du beveger deg gjennom grensesnittet, som vi bruker til å finne feil og friksjon. Opptakene er knyttet til brukeren din — de er ikke anonyme. De åpne nettsidene tas aldri opp, og mobilappen tar ikke opp økter i dag; skulle vi slå det på der, maskeres alle bilder, og vi oppdaterer denne erklæringen først. Vi maskerer tekst du skriver i skjemafelt.

Maskeringen dekker likevel mindre enn den kan se ut til: tekst som allerede står på skjermen, maskeres ikke. Åpner du et avvik eller en dagbokføring, kan tittelen og meldingene i den bli med i opptaket slik de vises. Det gjelder alle prosjekter, uavhengig av om KI-funksjonene er slått på. Organisasjonen din kan reservere seg mot sesjonsopptak ved å kontakte oss på personvern@brakka.no; da stopper vi begge opptakene for alle brukerne deres.

PostHog samler i tillegg inn feilmeldinger og krasjrapporter fra appen. Vi bruker også Better Stack i den innloggede web-appen: den samler feilmeldinger, ytelsesmålinger og sitt eget sesjonsopptak, og knytter dem til brukeren din og organisasjonen din. Better Stack tar også imot driftslogger fra serverne våre.

KI-funksjoner

Brakka bruker språkmodeller fra OpenAI til å lese dokumenter, analysere prosjektdata og gi råd i konkrete arbeidsflyter. Dette sendes til OpenAI:

• Fakturaer — hele filen sendes for å hente ut leverandør, beløp, fakturanummer og linjer.
• Prosjekt- og kontraktsdokumenter — filen sendes for å hentes ut som ren tekst.
• Endringsmeldinger — tittel, beskrivelse og vedlegg, for regelsjekk og råd mot kontraktens endringsregler.
• Semantisk søk — tekst fra dokumenter, kontrakter, endringer og fakturaer sendes for å lage søkevektorer. Når du bruker semantisk søk på web, sendes også søketeksten til OpenAI for å finne innhold med lignende betydning.

Innhold du registrerer i felt sendes ikke til OpenAI — verken tekst eller bilder fra avvik og dagbok. Søk i mobilappen er kun tekstbasert og sender ikke søketeksten til OpenAI. Søkevektorer og semantisk søk på web brukes bare i prosjekter der «KI» er slått på. Når «KI» er slått av i et prosjekt, sendes ingen data fra prosjektet til OpenAI. Funksjonene er slått på i nye prosjekter når organisasjonens plan omfatter dem, med mindre dere slår dem av. Fakturalesing og dokumentuttrekk følger tilsvarende funksjoner for økonomi og dokumenter.

OpenAI behandler dataene som databehandler på våre vegne, under OpenAIs databehandleravtale. Fordi vi er etablert i EØS, er avtalen inngått med OpenAI Ireland Limited. Når OpenAI derfra overfører data ut av EØS — selve modellene kjøres i USA — skjer det på grunnlag av EUs standard personvernbestemmelser (SCC) eller en beslutning om tilstrekkelig beskyttelse. Innhold som sendes gjennom OpenAIs API brukes ikke til å trene modellene deres, og slettes normalt innen 30 dager. Vi sender også kall og svar fra språkmodellene til PostHog (EU) for feilsøking og kostnadsoppfølging.

Kobler dere Brakka til en KI-klient selv — for eksempel Claude eller ChatGPT, gjennom Brakkas MCP-tilkobling — går dataene klienten henter til leverandøren dere har valgt. Bruker klienten semantisk søk, sendes søketeksten i tillegg til OpenAI gjennom Brakkas søketjeneste som beskrevet over. Vanlige verktøy som bare henter data, sender ikke innholdet videre til OpenAI gjennom oss. Verktøyene følger modulene organisasjonen har slått på — feltverktøyene krever feltmodulen, endringer, kostnadskontoer, prognoser og fakturamottak økonomimodulen, og semantisk søk krever at «KI» er slått på — men prosjektoversikt, prosjektsøk, kontraktlisten, fakturalisten og hjelpedokumentasjon er tilgjengelig for enhver tilkoblet bruker uavhengig av moduler. Det er organisasjonen selv som velger og oppretter tilkoblingen, og som bestemmer vilkårene med den leverandøren — vi er ikke part i den behandlingen.

Annonsering

Vi bruker Google Ads for å måle effekten av annonser. Google-tagger lastes med Consent Mode v2. Taggen lastes bare hvis du godtar informasjonskapsler i banneret:

• Godtar du informasjonskapsler: Google-taggen lastes, Google kan sette annonseringskapsler og samle inn fullstendige målingsdata.
• Avviser du, eller har du ikke tatt et valg: Google-taggen lastes ikke, og ingenting sendes til Google — heller ikke når du sender inn demo- eller nyhetsbrevskjemaet.

Salgskontakter fra Brønnøysundregistrene

Vi fører et eget salgsregister over bedrifter vi er i kontakt med eller ønsker å selge Brakka til. For hver bedrift henter vi navnet på daglig leder og styreleder fra Brønnøysundregistrene, som deler dette som åpne data (NLOD 2.0), og lagrer navnet sammen med rollen.

Opplysningene ligger hos oss bare så lenge bedriften står i salgsregisteret, og slettes sammen med den. Vi bruker dem til salg til bedrifter, på grunnlag av berettiget interesse.

Vil du ikke stå i registeret vårt, skriv til personvern@brakka.no, så sletter vi deg. Resten av rettighetene dine står under «Dine rettigheter» nedenfor.

Informasjonskapsler

På de åpne nettsidene setter vi ingen informasjonskapsler for analyse eller annonsering før du godtar det i banneret. PostHog kjører da uten lagring i nettleseren: hendelsene sendes uten identifikator, og besøkende telles på PostHogs server med en hash som byttes daglig. I den innloggede appen bruker vi PostHog og Better Stack uavhengig av banneret — feilsøking og produktforbedring for innloggede brukere er en berettiget interesse — og der settes informasjonskapslene under alltid.

Vi bruker følgende informasjonskapsler og lokal lagring i nettleseren:

Banneret vises på de åpne nettsidene. Vil du endre et lagret valg, trykk «Informasjonskapsler» nederst på siden, så spør banneret på nytt. Trekker du tilbake et samtykke, slettes informasjonskapslene fra PostHog og Google med en gang; Google-taggen forblir lastet til neste sidelasting, men får bare avslåtte samtykkesignaler.

Deling med tredjeparter

Vi deler data kun med tjenestene vi bruker for å drifte Brakka. Listen er delt etter hva slags data tjenesten får og hvilken rolle vi har: for prosjektdata og varselinnhold er organisasjonen din behandlingsansvarlig og vi databehandler etter databehandleravtalen; for kontoopplysninger, diagnostikk og kundeforholdsdata er vi selv behandlingsansvarlig. Prosjektdata lagres i EU/EØS; der en tjeneste behandler data utenfor EU/EØS står grunnlaget for overføringen.

Behandler prosjektdata på vegne av organisasjonen din

• Convex — database og backend. Prosjektdata. EU (Dublin)
• Cloudflare R2 — fillagring for dokumenter og bilder. Prosjektdata. EU. Bilder vises gjennom Cloudflares globale nettverk med signerte, tidsbegrensede lenker, og nedskalerte kopier kan mellomlagres der en kort periode, også utenfor EU/EØS (SCC og EU-U.S. Data Privacy Framework). Mellomlagrede kopier utleveres bare mot en gyldig signert lenke, aldri åpent
• Fly.io — søketjenesten som speiler prosjektdata for søk, og PDF-generering. Prosjektdata. EU (Stockholm)
• Vercel — hosting av web-appen. De åpne sidene er statiske; innloggede sider rendres på server og ser prosjektdata under sidelast. Prosjektdata. EU
• OpenAI (OpenAI Ireland Limited) — språkmodeller for fakturalesing, dokumentuttrekk, søk og KI-analyser. Prosjektdata i prosjekter der KI-funksjonene er på. Avtalen er med det irske selskapet; modellene kjøres i USA, se «KI-funksjoner» over
• Resend — e-post. De sender ut varsler og invitasjoner og tar imot svar du sender tilbake på varsler. Varselinnhold og mottakerens e-postadresse. USA, på grunnlag av EUs standardpersonvernbestemmelser (SCC) og EU-U.S. Data Privacy Framework. Resend lagrer også kontaktlisten for produktnyheter og nyhetsbrev (navn, e-postadresse og hvilke deler av Brakka du har tilgang til) — den er vårt eget ansvar
• Expo — levering av push-varsler til mobilappen. Varselinnhold, for eksempel tittelen på et avvik, og enhetens varslingstoken. USA, sertifisert under EU-U.S. Data Privacy Framework. Videre levering til enheten går via Apples (APNs) og Googles (FCM) varslingstjenester, som beskrevet under push-varsler ovenfor. Expo bygger også appen og distribuerer appoppdateringer, og ser da at enheten din spør etter en oppdatering

Behandler våre egne opplysninger om deg og organisasjonen din

• WorkOS — autentisering og organisasjonshåndtering. Kontoopplysninger: navn, e-postadresse, pålogging og invitasjoner. USA, på grunnlag av EUs standardpersonvernbestemmelser (SCC)
• PostHog — produktanalyse, sesjonsopptak og feilsporing, samt kall og svar fra språkmodellene. Diagnostikk. EU
• Better Stack — feilsporing, ytelsesmåling og sesjonsopptak i web-appen, samt driftslogger fra serverne. Diagnostikk. EU
• Folk — vårt tidligere kunderegister for henvendelser og salg, nå bare et arkiv. Vi sender ikke lenger noe dit. Arkivet har organisasjonsnavnet og e-postadressen til den som opprettet organisasjonen, og noen nøkkeltall om organisasjonen fra før vi sluttet: sist aktivitet, antall aktive brukere og fakturaer siste 30 dager, antall åpne prosjekter, hvilken plan dere var på, om organisasjonen er intern, og når en eventuell prøveperiode utløp. Det er tall om organisasjonen, ikke om hva den enkelte gjør, og aldri prosjektdata. Kundeforholdsdata. USA (Folk Inc.), etter Folks databehandlervilkår
• Slack — internt kommunikasjonsverktøy, der vi blant annet følger opp kundeforhold og driftsvarsler. Det kan innebære metadata om kunder, som organisasjonsnavn og kontaktinformasjon, aldri prosjektdata. Kundeforholdsdata
• Linear — saksstyring for henvendelser til kundestøtte og oppfølging av kundeforhold. Innholdet i e-post til kundestøtte, med avsenderens navn og e-postadresse, og fra kunderegisteret vårt organisasjonsnavn, domene og nøkkeltall om kundeforholdet. Fra kunderegisteret sender vi aldri prosjektdata; en henvendelse inneholder det avsenderen selv skriver. Kundeforholdsdata. EU; varsler og brukerkontoer går via USA, på grunnlag av EUs standardpersonvernbestemmelser (SCC)
• Google Ads — annonseringsmåling på de åpne nettsidene, se «Annonsering» over

Får ingen person- eller prosjektdata fra Brakka

• unpkg — når du forhåndsviser en PDF i nettleseren lastes en hjelpefil derfra. De ser IP-adressen din, men får ingen data fra Brakka
• Brønnøysundregistrene — slår du opp et organisasjonsnummer når du oppretter en organisasjon eller velger motpart, sender vi nummeret til Enhetsregisteret for å hente organisasjonsnavnet. Oppslaget går fra serveren vår, ikke fra nettleseren din. For bedrifter i salgsregisteret vårt henter vi også navnet på nøkkelpersoner — se «Salgskontakter fra Brønnøysundregistrene»

Vi selger aldri data til tredjeparter.

Dine rettigheter

I henhold til GDPR har du rett til å:

• Få innsyn i hvilke data vi har om deg
• Rette feil i dine data
• Slette kontoen din og personopplysningene dine
• Trekke tilbake samtykke for informasjonskapsler
• Klage til Datatilsynet

Sletting gjør du selv, direkte i Brakka — se «Sletting av konto» nedenfor. For innsyn, retting eller andre henvendelser, kontakt oss via personvern@brakka.no.

Sletting av konto

Du kan slette kontoen din selv, når som helst. Kortversjonen står på brakka.no/slett-konto.

• I mobilappen: gå til «Konto» og velg «Slett konto».
• På web: gå til «Profil» → «Kontoavslutning» (brakka.no/dashboard/profil/kontoavslutning).

Sletting skjer umiddelbart og kan ikke angres. Dette slettes:

• Påloggingen din hos WorkOS — du kan ikke lenger logge inn
• Navn og e-postadresse
• Innstillinger og varslingspreferanser
• Eventuelle datauttak og eksporter

Data som tilhører organisasjonen din — avvik, dagbokinnføringer, økonomidata, dokumenter og bilder — er en del av organisasjonens prosjektdokumentasjon og beholdes. Der du var oppført som forfatter vises «Slettet bruker» i stedet for navnet ditt.

Tre situasjoner krever et ekstra steg:

• Er du eneste administrator i en organisasjon med andre medlemmer, må du først overføre administratorrollen til noen andre.
• Er du eneste medlem i organisasjonen, slettes organisasjonen og alle prosjektene dens sammen med kontoen.
• Skylder organisasjonen din et datauttak til en samarbeidspartner som ennå ikke er levert, må det leveres først, så dokumentasjonen ikke går tapt for motparten.

Har du spørsmål om sletting, eller står du i et tilfelle som ikke passer inn her, kontakt oss på personvern@brakka.no.

Endringer

Vi kan oppdatere denne erklæringen ved behov. Vesentlige endringer vil bli kommunisert i produktet. Sist oppdatert dato finner du øverst på siden.