GDPR og databehandling

Roller: hvem er ansvarlig for hva

For nettsiden og henvendelser du sender oss er Kvad behandlingsansvarlig. For innhold du som kunde sender til tekst-til-tale-API-et er du behandlingsansvarlig, og Kvad er databehandler. Det betyr at du bestemmer formålet med behandlingen, og at vi kun behandler innholdet etter instruks fra deg og etter databehandleravtalen.

Databehandling i TTS-tjenesten

Følgende gjelder for bruk av tekst-til-tale-API-et: - Tekst du sender inn behandles for å generere tale - Lydresultatet leveres tilbake til deg - Vi bruker ikke kundeinnhold til å trene modeller - Prosessering av tekst og lyd skjer på servere i Norge Send ikke sensitive personopplysninger til API-et uten at dette er avtalt skriftlig med oss på forhånd.

Datalagring

Standardinnstillingen er null lagring. Hver konto kan slå på logging med ønsket varighet i innstillingene. Loggen slettes automatisk når perioden utløper.

Dataminimering på nettsiden

Vi samler kun inn opplysninger som er nødvendige. Fra nettsiden gjelder dette: - Navn og e-post dersom du kontakter oss - Firmanavn og emne dersom du oppgir det - Meldingen du sender oss - Anonymisert bruksstatistikk via Plausible Analytics Plausible er cookieless, lagrer ikke IP-adresser eller andre personopplysninger, og krysser aldri identifiserer besøkende på tvers av nettsteder. Dataene hostes i EU. Kvad setter ingen informasjonskapsler (cookies) på kvad.no, og fordi ingen personopplysninger samles inn kreves det ikke samtykke — du møter derfor heller ingen samtykkebanner.

Sikkerhetstiltak

Vi bruker tekniske og organisatoriske tiltak for å beskytte data: - Kryptert overføring (TLS) - Prosessering av tekst og lyd i Norge - Ingen lagring av kundeinnhold utover det du selv velger (se datalagring over) - Tilgang begrenset til dem som trenger det, med personlige kontoer - Leverandører med etablerte sikkerhetsrutiner Tiltakene utvikles i takt med tjenesten. Har du behov for en detaljert gjennomgang før du tar i bruk tjenesten, ta kontakt.

Databehandleravtaler og underleverandører

Vi inngår databehandleravtale (DPA) med underleverandører som behandler personopplysninger på våre vegne, og vi tilbyr DPA til kunder som bruker API-et. Under er en oppdatert, gjennomsiktig oversikt — ingen av underleverandørene har tilgang til inferens-data.

Vi søker å bruke leverandører innenfor EØS. Skjer behandling utenfor EØS, bygger overføringen på et gyldig grunnlag etter GDPR kapittel V, normalt EU-kommisjonens standard personvernbestemmelser (SCC).

Sertifiseringer og samsvar

Vi tror på ærlig statusrapportering. Her er hvor vi står, og hva som ligger foran.

Voice cloning og samtykke

Avvik og varsling

Ved brudd på personopplysningssikkerheten varsler vi Datatilsynet innen 72 timer der loven krever det. Er du kunde og bruddet gjelder innhold vi behandler for deg, varsler vi deg uten ugrunnet opphold, slik at du kan oppfylle dine egne plikter som behandlingsansvarlig.

Dine rettigheter under GDPR

Som registrert har du følgende rettigheter: - Rett til innsyn (art. 15) - Rett til retting (art. 16) - Rett til sletting (art. 17) - Rett til begrensning (art. 18) - Rett til dataportabilitet (art. 20) - Rett til innsigelse (art. 21) Gjelder henvendelsen innhold en av våre kunder har sendt til API-et, er det kunden som er behandlingsansvarlig. Da videreformidler vi henvendelsen til dem. Du har også rett til å klage til Datatilsynet (datatilsynet.no).

Vanlige spørsmål

Hvor prosesseres dataene mine?

All inferens kjører lokalt i Oslo på servere vi selv drifter. Inferens-data forlater aldri Norge. Databaser og støttetjenester kjører i Norge eller Sverige (GCP Stockholm).

Lagrer Kvad det jeg sender til API-et?

Standardinnstillingen er null lagring. Tekst og lyd slettes umiddelbart etter generering. Hver konto kan selv slå på 7-, 14- eller 30-dagers logging i innstillingene hvis det er ønsket.

Brukes dataene mine til å trene modellene?

Nei. Vi trener eller fininnstiller aldri modellene våre på data fra kunder.

Får jeg en databehandleravtale (DPA)?

Ja. Send en e-post til team@kvad.no, så bestiller du en databehandleravtale fra oss.

Er Kvad ISO 27001- eller SOC 2-sertifisert?

Ikke per i dag. Begge sertifiseringene står på vår roadmap. Vi følger GDPR som standard og bruker tilsvarende kontroller internt.

Bruker Kvad analyseverktøy eller cookies på nettsiden?

Vi bruker Plausible Analytics for anonymisert bruksstatistikk. Plausible er cookieless, lagrer ingen personopplysninger og krever derfor ikke samtykke. Kvad setter ingen informasjonskapsler.