Hosaits personvernmanifest

1. Hvem som er ansvarlig

Hosait AS er behandlingsansvarlig for personopplysningene som beskrives her: kontoen din, bruken din av hosait.com og kontakten din med oss.

• Selskap: Hosait AS, Norge
• Organisasjonsnummer: MANGLER: organisasjonsnummer
• Registrert adresse: MANGLER: registrert forretningsadresse
• Kontakt om personvern: help@hosait.com MANGLER: eieren bør avgjøre om en egen personvernadresse (for eksempel personvern@hosait.com) er ønsket

Hosait har ikke utnevnt et personvernombud. MANGLER: bekreft at personvernombud ikke er påkrevd (GDPR art. 37)

Når du publiserer en app på Hosait og appen lagrer opplysninger om dine brukere, er du behandlingsansvarlig for dem, og Hosait behandler dem bare på dine vegne. Det reguleres av databehandlervilkårene i punkt 7 i vilkårene

2. Hvilke opplysninger vi behandler

• Konto: e-postadresse, navn, passord (lagres bare som saltet hash, aldri i klartekst), språk, rolle, plan, om e-posten er bekreftet, når du godtok vilkårene for forhåndsversjonen, og når kontoen ble opprettet og endret.
• Innlogging med Google eller Microsoft: hvis du velger det, mottar vi en ID, e-postadressen din, navnet ditt og, fra Google, en lenke til profilbildet ditt.
• GitHub: hvis du kobler til GitHub, lagrer vi GitHub-brukernavnet og den numeriske ID-en din, et tilgangstoken (kryptert) og hvilke installasjoner av Hosaits GitHub-app som hører til deg.
• Økter og sikkerhet: for hver innlogging lagrer vi når den startet, når den sist ble brukt, når den utløper, nettleseren din (user agent) og IP-adressen. Du kan se og avslutte øktene dine under Konto.
• Aktivitetslogg: innlogginger, mislykkede innlogginger, utlogginger, endringer du gjør (for eksempel å opprette eller slette et prosjekt), nedlastinger, og hvilke sider du ser på mens du er innlogget — med tidspunkt, IP-adresse, nettleser og henvisende side.
• Besøk på hosait.com: webserveren vår registrerer hver forespørsel: IP-adresse, tidspunkt, side, status, henvisende side og nettleser. Ut fra IP-adressen finner vi land på vår egen server — ingen ekstern tjeneste blir spurt.
• Prosjekter: prosjektnavn og beskrivelser, tilkoblet repository og gren, opplastede filer, domenenavn, publiseringshistorikk og logger, innstillinger, og miljøvariabler og nøkler du legger inn (kryptert).
• Samtaler med Hosa (AI-assistenten): meldingene og eventuelle bilder du sender, pluss en kort linje om hvilken side eller hvilket steg du er på. Hosa fungerer uten konto. Hosait lagrer ikke samtalen; den sendes til AI-leverandøren vår for å få et svar.
• Tilbakemeldinger: det du skriver, kategorien, vedlagte skjermbilder eller filer, siden, nettleseren og skjermstørrelsen din, og svaret vårt.
• E-post til oss: meldinger du sender til help@hosait.com og svarene våre.
• «Gi meg beskjed»-listen: hvis du legger igjen e-postadressen din for å få beskjed når Hosait åpner, lagrer vi den sammen med språket ditt og hvor på nettstedet du meldte deg på.
• Invitasjoner: i den inviterte forhåndsversjonen lagrer vi e-postadressene vi har invitert, et kort internt notat og om invitasjonen er brukt.
• Betaling (slått av i forhåndsversjonen): Hosait ser eller lagrer aldri kortnummer. Vi lagrer en kunde- og abonnements-ID fra Stripe, plan, pris, status og fakturaer.
• Meldinger om ulovlig innhold eller misbruk: navnet og e-postadressen til den som melder (ikke nødvendig ved meldinger om overgrepsmateriale mot barn), IP-adressen meldingen ble sendt fra, nettadressen som er meldt, kategorien og beskrivelsen, og avgjørelsen vår. Gjelder en melding eller en kontroll prosjektet ditt, lagrer vi også en kopi av bevisene vi bygget på og hva vi gjorde.
• Kontroller ved publisering: for hver publisering resultatet av den automatiske kontrollen — hvilken regel som slo ut, filen, imaget eller kommandoen der det ble funnet, og når. Hemmelige verdier som miljøvariabler lagres aldri i resultatet. Vi lagrer også om kontoen din er ny eller betrodd, noe som avgjør ressursgrensene dine.

3. Hvorfor vi behandler opplysningene, og rettslig grunnlag

Vi bruker bare opplysningene dine til formålene under. Hvert formål har et rettslig grunnlag i personvernforordningen (GDPR):

• Drift av kontoen og tjenesten (innlogging, prosjekter, publisering, e-post om kontoen din) — for å oppfylle avtalen med deg, art. 6 nr. 1 bokstav b.
• Sikkerhet og hindring av misbruk (økter, aktivitetslogg, besøkslogger, begrensning av antall forsøk) — vår berettigede interesse i å holde tjenesten, deg og andre kunder trygge, art. 6 nr. 1 bokstav f.
• Statistikk om hosait.com (hvilke sider som brukes, hvor besøkende kommer fra) — vår berettigede interesse i å forbedre nettstedet, art. 6 nr. 1 bokstav f. Vi respekterer nettlesersignalene «Do Not Track» og «Global Privacy Control» for sidevisninger mens du er innlogget.
• Svar i Hosa-chatten — vår berettigede interesse i å hjelpe besøkende, art. 6 nr. 1 bokstav f, og for kunder avtalen, art. 6 nr. 1 bokstav b.
• Support og tilbakemeldinger — avtalen, art. 6 nr. 1 bokstav b, og vår berettigede interesse i å rette feil, art. 6 nr. 1 bokstav f. En AI-modell lager et første sammendrag av tilbakemeldingen; et menneske leser og svarer.
• «Gi meg beskjed»-listen — ditt samtykke, art. 6 nr. 1 bokstav a. Du kan trekke det tilbake når som helst.
• Betaling og regnskap (når betalte planer starter) — avtalen, art. 6 nr. 1 bokstav b, og vår rettslige plikt etter bokføringsloven, art. 6 nr. 1 bokstav c.
• Rettskrav og henvendelser fra myndigheter — rettslig plikt, art. 6 nr. 1 bokstav c, eller vår berettigede interesse, art. 6 nr. 1 bokstav f.
• Behandling av meldinger om ulovlig innhold og hindring av misbruk (meldinger, bevis, kontroller ved publisering, avgjørelser og begrunnelser) — vår rettslige plikt etter forordningen om digitale tjenester (DSA), art. 6 nr. 1 bokstav c, og vår berettigede interesse i å beskytte tjenesten, andre kunder og allmennheten, art. 6 nr. 1 bokstav f.

Vi selger aldri personopplysningene dine, vi bruker dem ikke til målrettet reklame, og vi bruker dem ikke til å trene AI-modeller.

4. Hvem vi deler opplysninger med

Vi bruker disse leverandørene. De som er merket «databehandler», behandler bare opplysninger etter våre instrukser under en databehandleravtale. Google, Microsoft og GitHub er bare involvert hvis du selv velger å bruke dem, og da er de ansvarlige for kontoen din hos dem.

AI-assistenter du kobler til selv: Kobler du Claude Code, Codex eller ChatGPT til et prosjekt, mottar leverandøren av assistenten (Anthropic eller OpenAI) de prosjektdataene du ber den lese.

Serverne våre driftes av Hosait på maskinvare i Norge; tjenesten kjører ikke hos en stor skyleverandør. Ansatte i Hosait ser kontoopplysninger bare så langt rollen deres krever (support, administrasjon), og handlingene deres logges. Vi deler opplysninger med politiet eller andre myndigheter bare når loven krever det.

MANGLER: bekreft at det er inngått databehandleravtale med hver leverandør (Mimer, Mailjet, Anthropic, Domeneshop, Stripe), og om Mimer er databehandler eller bare leier ut plass/nett

5. Overføring til land utenfor EU/EØS

Konto- og prosjektdataene dine lagres på serverne våre i Norge, som er en del av EØS. Noen leverandører i tabellen er i USA: Anthropic (Hosa-chatten og sammendrag av tilbakemeldinger), Google, Microsoft og GitHub (bare hvis du bruker dem), Stripe (bare når betaling starter), Let’s Encrypt (bare domenenavn) og leverandørene som leverer nettstedets skrifttyper og stilskript.

For disse overføringene bygger vi på EU–US Data Privacy Framework der leverandøren er sertifisert under den, og ellers på EUs standard personvernbestemmelser (GDPR art. 46 nr. 2 bokstav c). Du kan be oss om en kopi av garantiene. MANGLER: kontroller for hver leverandør hvilket grunnlag som faktisk gjelder (DPF-sertifisering eller standardkontrakter i leverandørens databehandleravtale)

6. Hvor lenge vi lagrer opplysningene

• Konto, prosjekter, tilbakemeldinger og GitHub-tilkobling: så lenge kontoen din finnes. Når du sletter kontoen, slettes de med en gang. Det finnes ingen sikkerhetskopier i forhåndsversjonen, så ingenting blir liggende igjen i en kopi.
• Økter: inntil 30 dager, eller til du logger ut. Lenker for å bekrefte e-post varer i 24 timer, lenker for nytt passord i 1 time.
• Besøkslogger for hosait.com: 60 dager i sin helhet; deretter beholdes bare daglige tall uten IP-adresser. MANGLER: hvor lenge webserverens rå loggfiler og systemloggene lagres
• Aktivitetslogg: 400 dager; handlinger utført av ansatte i Hosait 730 dager. Oppføringene er sikkerhetslogger og beholdes i denne perioden også etter at du har slettet kontoen, sammen med e-postadressen din.
• Hosa-chat: lagres ikke av Hosait. AI-leverandøren vår kan beholde meldingene en begrenset tid etter egne vilkår. MANGLER: Anthropics lagringstid for API-data etter Hosaits avtale
• E-post til help@hosait.com: MANGLER: lagringstid for support-postkassen
• «Gi meg beskjed»-listen: til du ber om å bli fjernet, eller til vi har fortalt deg at Hosait har åpnet. MANGLER: bestem lagringstid og lag en måte å melde seg av på
• Invitasjoner: MANGLER: lagringstid for invitasjoner (i dag blir de liggende etter at kontoen er slettet)
• Fakturaer og betalingsopplysninger: 5 år etter regnskapsårets slutt, slik bokføringsloven krever — også etter at kontoen er slettet.
• Meldinger om ulovlig innhold eller misbruk: 12 måneder etter at vi har tatt en avgjørelse om meldingen — også etter at kontoen er slettet. Kopier av bevis slettes sammen med meldingen. Slettes et prosjekt uten at det finnes en åpen melding om det, slettes bevisene med en gang.
• Resultater av publiseringskontrollen: som del av prosjektets publiseringshistorikk; slettes når prosjektet eller kontoen din slettes. Når kontrollen stopper en publisering, registrerer vi det også som en sak for de ansatte, som lagres som misbruksrapportene over.

7. Dine rettigheter

Du har disse rettighetene etter personvernforordningen:

• Innsyn — å få en kopi av opplysningene vi har om deg (art. 15).
• Retting — å få feil opplysninger rettet (art. 16).
• Sletting — å få opplysningene dine slettet (art. 17).
• Begrensning — å få behandlingen begrenset mens noe blir undersøkt (art. 18).
• Dataportabilitet — å få opplysningene du har gitt oss i et maskinlesbart format (art. 20).
• Protest — å protestere mot behandling som bygger på vår berettigede interesse (art. 21).
• Trekke samtykke — når som helst, der vi bygger på samtykke. Det påvirker ikke det som skjedde før.

Gjør det selv i Hosait: under Konto kan du endre navn og språk, se og avslutte innlogginger, laste ned en kopi av opplysningene dine (Eksporter data, en JSON-fil med konto, økter, aktivitet, tilbakemeldinger og betalinger) og slette kontoen din for godt (Slett konto). Koden i prosjektene dine er ikke med i eksporten — ta vare på din egen kopi.

Mens et prosjekt eller en konto er suspendert: du kan ikke selv slette kontoen eller det suspenderte prosjektet før saken er avklart. Vi tar vare på det saken trenger – kontoen, avgjørelsen og eventuelle bevis vi har sikret – slik at en feil kan rettes, og slik at vi kan fastsette, gjøre gjeldende eller forsvare rettskrav (GDPR art. 17 nr. 3 bokstav e). Alt annet kan fortsatt slettes på forespørsel. Når saken er avklart, kan kontoen slettes som vanlig, og opplysningene i saken slettes senest 12 måneder etter avgjørelsen. Skriv til help@hosait.com hvis du vil at kontoen skal slettes når saken er avsluttet.

For alt annet kan du skrive til help@hosait.com. Vi svarer innen én måned og kan be deg bekrefte hvem du er først.

8. Klage

Hvis du mener vi behandler opplysningene dine feil, si gjerne fra til oss først, så vi kan rette det. Du har også rett til å klage til Datatilsynet, eller til tilsynsmyndigheten i det EU/EØS-landet der du bor eller arbeider.

9. Informasjonskapsler og lagring i nettleseren

Hosait setter bare informasjonskapsler som er strengt nødvendige for tjenesten du ber om:

• __Host-hosait_session — holder deg innlogget. Inntil 30 dager.
• __Host-hosait_csrf — beskytter kontoen din mot forfalskede forespørsler. Inntil 30 dager.
• __Host-hosait_gh_state, __Host-hosait_gh_app_state, __Host-hosait_gh_return og __Host-hosait_ms_nonce — brukes bare mens du kobler til GitHub eller logger inn med Microsoft. 10 minutter.
• Nettleserens lokale lagring holder små innstillinger på din egen enhet: språket ditt, hvilke meldinger og tips du har lukket, om menyen er slått sammen, om du har sett Hosas hilsen, og hvor langt du har kommet i publiseringsveiviseren. De forlater aldri enheten din.

Fordi alle disse er strengt nødvendige for en tjeneste du har bedt om, krever ikke loven (ekomloven § 3-15 og EUs ePrivacy-direktiv art. 5 nr. 3) samtykke for dem, og derfor viser vi ingen cookie-banner. Vi bruker ingen reklame-informasjonskapsler og ingen tredjeparts analyse som Google Analytics.

Sidene våre henter skrifttyper fra Google Fonts og et stilskript fra cdn.tailwindcss.com, og hver side henter Googles innloggingsskript i bakgrunnen, så knappen «Logg inn med Google» er klar. Nettleseren din kontakter da disse leverandørene, som ser IP-adressen din, og Google kan lese sine egne informasjonskapsler. MANGLER: etterlevelsesspørsmål: legg skrifter og skript på hosait.com i stedet, og last Googles skript først når brukeren klikker «Logg inn med Google»

Når du er innlogget, forteller noen sider serveren vår hvilken side du åpnet, ved hjelp av innloggingskapselen du allerede har. Dette er vår egen statistikk; ingenting går til andre, og det er slått av hvis nettleseren din sender «Do Not Track» eller «Global Privacy Control». MANGLER: etterlevelsesspørsmål: bekreft med advokat at denne bruken av innloggingskapselen til statistikk ikke krever samtykke

10. Sikkerhet

Passord lagres bare som saltede hasher. Tilgangstokener for GitHub og miljøvariablene og nøklene du legger inn for et prosjekt, krypteres i databasen (AES-256-GCM). Innloggingskapsler kan bare settes av hosait.com selv og sendes bare over krypterte forbindelser. All trafikk bruker TLS. Ansattes tilgang er begrenset etter rolle og logges, og kundenes apper kjører i egne containere som ikke når vårt interne nett.

Hvis et sikkerhetsbrudd gir høy risiko for rettighetene dine, gir vi deg beskjed uten ugrunnet opphold, og vi melder brudd til Datatilsynet innen 72 timer når loven krever det.

11. Automatiserte avgjørelser

Vi tar ingen avgjørelser om deg som bare bygger på automatisert behandling og som har rettsvirkning eller tilsvarende betydelig virkning (GDPR art. 22). AI-sammendraget av tilbakemeldinger er bare et forslag til de ansatte, og automatiske grenser for antall forsøk bremser bare en kort stund.

Den automatiske kontrollen når du publiserer (punkt 5 i vilkårene), kan stoppe en publisering. Den stopper bare den ene publiseringen: alene stanser den ikke prosjektet eller kontoen din og har ingen andre følger, og du kan publisere på nytt når du har gjort endringen. Nye kontoer får også automatisk strammere ressursgrenser de første dagene. Mener du at en automatisk kontroll tok feil, kan du be om at et menneske ser på det, på help@hosait.com.

12. Barn

Du må være minst 16 år for å opprette en konto hos Hosait. Norsk lov lar barn fra 13 år samtykke til nettjenester, men en Hosait-konto er en bindende avtale og lar deg publisere innhold til hele internett, så vi har satt grensen til 16 år. Hvis vi får vite at noen under 16 har opprettet en konto, sletter vi den. MANGLER: registreringsskjemaet har ingen alderbekreftelse ennå

13. Endringer i erklæringen

Vi oppdaterer erklæringen når tjenesten eller loven endres. Datoen øverst viser siste versjon. Hvis en endring har betydning for deg, sier vi fra på e-post eller i produktet før den trer i kraft.

14. Kontakt

Spørsmål om denne erklæringen eller opplysningene dine: help@hosait.com.