Sist oppdatert: 28. oktober 2026
Denne erklæringen forklarer hvilke personopplysninger Sustifi behandler når du bruker nettstedet og tjenesten vår, hvorfor og på hvilket rettslig grunnlag, hvem som mottar dem, hvor lenge vi lagrer dem og hvilke rettigheter du har etter EUs personvernforordning (GDPR).
Behandlingsansvarlig for personopplysningene dine er Sustifi.
Kontakt i alle personvernspørsmål, også for å utøve rettighetene dine: info@susti.fi
Vi har ikke utnevnt et personvernombud, fordi behandlingen vår ikke krever det. Kontakten over svarer på alle personvernspørsmål.
Vi behandler bare de opplysningene hvert formål nedenfor krever.
Opplysninger: E-postadresse, passord (lagret som hash), navn, firmanavn og firmatype, land, innloggings- og øktdata, abonnementsdetaljer.
Rettslig grunnlag: Oppfyllelse av avtale, GDPR art. 6(1)(b).
Opplysninger: Det du legger inn eller laster opp: kontoutskrifter og transaksjoner (beskrivelser og motparters navn lagres kryptert), kvitteringer med bilder, rapporter fra kundekort, energi- og oppvarmingsdata, manuelle aktiviteter, prosjekter og utslippstallene vi beregner fra dem.
Rettslig grunnlag: Oppfyllelse av avtale, art. 6(1)(b).
Opplysninger: Hvis du kobler til Procountor eller Lilith (eller Netvisor, når den åpner): påloggingsopplysningene dine (lagret kryptert; brukernavnet og passordet ditt for Lilith sendes videre én gang for å åpne en økt, og bare den krypterte økten lagres) og importerte fakturaer, transaksjoner og kvitteringsfiler.
Rettslig grunnlag: Oppfyllelse av avtale, art. 6(1)(b).
Opplysninger: De delene av opplysningene dine en funksjon trenger, som beskrevet i punkt 3.
Rettslig grunnlag: Oppfyllelse av avtale, art. 6(1)(b); for andre personer som nevnes i opplysningene dine, berettiget interesse, art. 6(1)(f).
Opplysninger: Organisasjonsopplysninger, medlemmer og roller, invitasjoner, rapportinnhold, karbonavtrykksredegjørelser og merker. En redegjørelses kontrollside og merket dens er offentlige med vilje.
Rettslig grunnlag: Oppfyllelse av avtale, art. 6(1)(b); for en invitert persons e-post før invitasjonen godtas, berettiget interesse, art. 6(1)(f).
Opplysninger: Hvis du velger å oppføre bedriften din: firmanavn, beskrivelse, adresse, kontaktopplysninger, nettsted og bilder, samt det oppføringen viser om bedriften: karbonavtrykkstallene dine (nåværende månedlig karbonavtrykk, trend og reduksjon i prosent), vurderingen og anmeldelsene dine, og hvor mange ganger oppføringen er vist. Anmeldere: navn, e-post, vurdering og kommentar.
Rettslig grunnlag: Oppføringen din: samtykke, art. 6(1)(a), som du trekker tilbake ved å avpublisere den. Anmeldelser: berettiget interesse, art. 6(1)(f).
Opplysninger: Navn, e-post, firma, hvordan du hørte om oss, hvorfor du søker, språk og nettstedet du kom fra (bare adressen, uten siden).
Rettslig grunnlag: Tiltak på din forespørsel før en avtale inngås, art. 6(1)(b).
Opplysninger: Sikkerhetshendelser for kontoen din, som innlogginger, dataeksporter og forespørsler om sletting, med IP-adresse og brukeragent.
Rettslig grunnlag: Berettiget interesse i å beskytte kontoer og tjenesten, art. 6(1)(f).
Opplysninger: Når noen åpner en redegjørelses kontrollside eller en katalogoppføring, eller søker i bedriftskatalogen: en hash av IP-adressen laget med et salt som byttes ut og destrueres hver dag, nettleserfamilie, nettstedet den besøkende kom fra (bare adressen), tidspunkt og, ved søk, søkeordene. Selve IP-adressen lagres ikke.
Rettslig grunnlag: Berettiget interesse i å hindre misbruk av offentlige redegjørelser og i samlet statistikk, art. 6(1)(f).
Opplysninger: IP-adresse og, når du er logget inn, bruker-ID-en din og en hash av API-nøkkelen din, som kortlivede tellere.
Rettslig grunnlag: Berettiget interesse i sikkerhet, art. 6(1)(f).
Opplysninger: Tekniske forespørselsdata, inkludert IP-adresse, i driftsleverandørens logger; samlet, informasjonskapselfri bruks- og ytelsesstatistikk.
Rettslig grunnlag: Berettiget interesse i å drive et sikkert nettsted, art. 6(1)(f).
Opplysninger: E-postadressen din og det du skriver til oss.
Rettslig grunnlag: Art. 6(1)(b) når det gjelder kontoen din; ellers berettiget interesse, art. 6(1)(f).
Opplysninger: Opplysninger om forespørsler om eksport, sletting og gjenoppretting, inkludert en eventuell begrunnelse du gir og, i 90 dager, IP-adresse og brukeragent.
Rettslig grunnlag: Rettslig forpliktelse, art. 6(1)(c).
Opplysningene dine kan inneholde opplysninger om andre personer, for eksempel motparter i banktransaksjonene dine eller personer som nevnes på en kvittering eller faktura. Organisasjonen din bestemmer hva den legger inn og er behandlingsansvarlig for disse opplysningene; vi behandler dem på dens vegne for å levere tjenesten.
Kontoopplysninger trengs for å bruke tjenesten. Alt annet er frivillig, men funksjonene som bygger på det, virker ikke uten.
Noen funksjoner bruker AI-modeller fra eksterne leverandører. Anthropic (Claude) foreslår transaksjonskategorier og anbefalinger, leser kontoutskrifter vi ikke kan tolke på annen måte, klassifiserer kvitteringslinjer og produkter og driver prognosechatten, VS- og CSRD-assistentene og koblingen av informasjonsforespørsler. Anthropic (Claude) leser også kvitteringsbilder, og Microsoft (Azure AI Document Intelligence, i EU) leser dem en gang til for å kontrollere avlesningen. OpenAI gjør spørsmålet ditt til CSRD-assistenten om til en søkevektor. Hver leverandør får bare teksten eller bildet funksjonen trenger, som kan omfatte transaksjonsbeskrivelser, motparters navn og kvitteringsdetaljer. Vi treffer ingen avgjørelser om deg med rettsvirkning eller tilsvarende betydelig virkning på automatisert vis.
Vi bruker tjenesteleverandørene nedenfor for å drive Sustifi. De behandler personopplysninger på våre vegne og bare for den angitte funksjonen. Listen over underleverandører viser hver leverandørs formål, opplysningene den mottar, regionen og overføringsmekanismen.
Vi selger ikke personopplysningene dine og bruker dem ikke til reklame.
Konto- og tjenesteopplysningene dine lagres i EU (Irland). Opplysninger forlater EU/EØS når du bruker AI-støttede funksjoner (Anthropic og OpenAI, USA) og når du søker som betatester eller et driftsvarsel sendes (Slack, USA). Supabase, Vercel, Upstash og Microsoft er amerikanske selskaper der ansatte kan få tilgang til opplysninger for støtte og drift. Disse overføringene skal dekkes av EU-US Data Privacy Framework der leverandøren deltar i det, og ellers av EU-kommisjonens standard personvernbestemmelser. Vi har ennå ikke bekreftet hva som gjelder for hver leverandør, eller databehandleravtalene deres; listen over underleverandører viser status og oppdateres etter hvert som hver bekreftes.
| Opplysninger | Lagres |
|---|---|
| Konto- og tjenesteopplysninger, inkludert opplastinger, importer, rapporter og redegjørelser | Så lenge kontoen din finnes. Etter at du har slettet kontoen, 30 dager; deretter slettes de permanent (punkt 7). |
| Sikkerhetshendelser for innloggede brukere | IP-adresse og brukeragent fjernes etter 90 dager; bruker-ID-en din fjernes når kontoen din slettes permanent. |
| Logg over sletting og gjenoppretting av kontoer | IP-adresse og brukeragent fjernes etter 90 dager; bruker-ID-en din fjernes ved permanent sletting. |
| Besøksstatistikk på offentlige sider (IP-hash med daglig salt, nettleserfamilie, henvisende nettsted, katalogsøk) | Fjernes etter 90 dager. Saltet destrueres hver dag, så hashene kan ikke kobles sammen på tvers av dager. |
| Tellere for begrensning av forespørsler (IP-adresse, bruker-ID) | Bare i begrensningsvinduet; de utløper automatisk innen to timer. |
| Søknader som betatester | 12 måneder, deretter slettes de. |
| Ledetekster og feilmeldinger i loggene våre over AI-bruk | 90 dager. |
| Opplysninger om forespørslene dine om dataeksport | 2 år. |
| E-post til oss | Så lenge det trengs for å behandle saken din. |
| Sikkerhetskopier | Slettede opplysninger forsvinner fra driftsleverandørens sikkerhetskopier etter hvert som de roteres. |
Etter GDPR har du rett til å:
For å utøve rettighetene dine, send e-post til info@susti.fi. Vi svarer innen én måned.
Du kan også klage til en tilsynsmyndighet. I Finland er det personvernombudets kontor (Tietosuojavaltuutetun toimisto), tietosuoja.fi. Du kan også klage i EU- eller EØS-landet der du bor eller arbeider, i Norge Datatilsynet.
Vi bruker bare de informasjonskapslene og den nettleserlagringen tjenesten trenger for å virke eller for å huske et valg du har gjort. Vi bruker ingen informasjonskapsler for reklame eller sporing.
Vi bruker Vercel Web Analytics og Speed Insights til å måle sidevisninger og ytelse i appen og på offentlige redegjørelsessider. De bruker ingen informasjonskapsler, og vi ser bare samlede tall.
Opplysninger krypteres under overføring og ved lagring. Beskrivelser og motparters navn i banktransaksjoner, og påloggingsopplysningene til tjenestene du kobler til, krypteres i tillegg felt for felt. Databasens tilgangsregler gjør at hver organisasjon bare ser sine egne opplysninger.
Vi kan oppdatere denne erklæringen. Vi publiserer hver endring på denne siden og oppdaterer datoen over. Hvis en endring vesentlig påvirker hvordan vi bruker opplysningene dine, forteller vi det også i tjenesten.