PERSONVERNERKLÆRING

- gjeldende for FAVER AS – V2 – 04.09.2026

1. Behandlingsansvarlig

FaVer AS (FaVer) behandler personopplysninger i forbindelse med taktisk og teknisk utredning og granskning.

Ved oppdrag for virksomhetskunder er FaVer som hovedregel databehandler, mens oppdragsgiveren er behandlingsansvarlig, jf. GDPR artikkel 4 nr. 7 og 8.

Personopplysningene behandles etter oppdragsgiverens instrukser og gjeldende databehandleravtale. Det skal fremgå av korrespondansen hvem som er behandlingsansvarlig.

Ved oppdrag for privatkunder er FaVer behandlingsansvarlig, jf. GDPR artikkel 4 nr. 7. FaVer er også behandlingsansvarlig for personopplysninger knyttet til administrasjon av virksomhetskunder, samarbeidspartnere, markedsføring og ansatte.

Kontakt: FaVer AS v/daglig leder Stein Naustdal, Postboks 1228 Vika, 0113 Oslo. Organisasjonsnummer 997 329 694.

2. Hvem vi behandler personopplysninger om

Denne personvernerklæringen retter seg mot vår behandling av personopplysninger om følgende personer:

• Private kunder
• Kontaktpersoner hos våre virksomhetskunder
• Kontaktpersoner hos våre leverandører og samarbeidspartnere
• Personer som er involvert i saker vi utreder
• Andre personer som er omtalt i saksdokumenter vi får tilgang til
• Besøkende på vår nettside og i våre kontorlokaler

3. Formål, typer personopplysninger og rettslig grunnlag

Nedenfor er det gitt en oversikt over hvilke formål vi behandler personopplysninger for, hvilke typer personopplysninger vi behandler, og det rettslige grunnlaget for behandlingen.

3.1 Etablering av kundeforhold

For privatkunder behandler vi navn, adresse, telefonnummer og e-postadresse for å oppfylle kundeavtalen, jf. GDPR artikkel 6 nr. 1 bokstav b.

For virksomhetskunder behandler vi navn, telefonnummer og e-postadresse til kundens kontaktpersoner. Behandlingen bygger på vår berettigede interesse i å administrere kundeforholdet, jf. GDPR artikkel 6 nr. 1 bokstav f.

3.2 Sakshåndtering og opplysninger om personer som er involvert i saken

I utrednings- og granskningsarbeidet behandler vi personopplysninger som er relevante og nødvendige for saken. Opplysningene vil variere etter sakstype og gjelder typisk faktiske forhold som er nødvendige for å vurdere og avklare oppdraget.

Når FaVer utfører oppdrag for virksomhetskunder, for eksempel forsikringsselskaper, behandler vi personopplysninger på deres vegne. Formål, opplysningstyper og behandlingsgrunnlag fastsettes av oppdragsgiveren som behandlingsansvarlig. Bruk av KI- verktøy i slike oppdrag skjer innenfor oppdragsgiverens instrukser og de avtalte rammene for oppdraget

Vi kan få tilgang til personopplysninger om personer som berøres av saken, blant annet gjennom dokumenter og korrespondanse fra kunden. Dette kan gjelde kravstillere, motparter, kontraktsparter, vitner, kundens kontaktpersoner og andre med tilknytning til saksforholdet.

For privatkunder bygger behandlingen på GDPR artikkel 6 nr. 1 bokstav b. For andre personer som omfattes av utredningen, bygger den på artikkel 6 nr. 1 bokstav f. Dersom behandlingen bygger på samtykke, innhentes dette særskilt etter artikkel 6 nr. 1 bokstav a.

Når det er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav, kan vi behandle særlige kategorier personopplysninger, herunder helseopplysninger og opplysninger om fagforeningsmedlemskap, samt opplysninger om straffbare forhold og lovovertredelser.

Behandlingen bygger på GDPR artikkel 9 nr. 2 bokstav f og personopplysningsloven § 11. Dersom behandling av særlige kategorier personopplysninger bygger på uttrykkelig samtykke, innhentes dette etter GDPR artikkel 9 nr. 2 bokstav a.

3.2.1 Bruk av Microsoft 365 Copilot

Som ledd i saksbehandlingen kan FaVer bruke Microsoft 365 Copilot til søk, sammenstilling og oppsummering av informasjon og til å utarbeide tekstutkast. Behandlingen kan omfatte personopplysninger i dokumenter og andre saksopplysninger som en autorisert medarbeider har tilgang til, samt instruksjoner til og svar fra verktøyet.

Microsoft 365 Copilot brukes som støtteverktøy. Innhold som skal brukes videre i en sak, kontrolleres av en kvalifisert medarbeider mot relevante kilder før det inngår i rapporter, vurderinger, anbefalinger eller annet beslutningsgrunnlag.

3.2.2 Lydopptak, transkripsjon og bruk av Klang AI

Når en samtale eller et møte tas opp, kan FaVer bruke Klang AI til transkripsjon, oppsummering og avgrenset analyse. Behandlingen kan omfatte lydopptak, stemme, kontaktopplysninger, opplysninger om arbeidsforhold og øvrige personopplysninger som fremkommer i samtalen, herunder særlige kategorier personopplysninger og opplysninger om straffbare forhold når dette er relevant og lovlig for saken.

Lydopptak foretas bare når det foreligger et gyldig behandlingsgrunnlag. Når behandlingen bygger på samtykke, gis informasjon og samtykket innhentes før opptaket starter.

Transkripsjoner, sammendrag og analyser kontrolleres mot originalopptaket og øvrige

relevante saksopplysninger av en kvalifisert medarbeider før de brukes videre. Deltakeren kan få anledning til å kommentere et sammendrag eller referat.

3.2.3 Ikke automatiserte avgjørelser

Microsoft 365 Copilot og Klang AI brukes ikke til å treffe avgjørelser som utelukkende er basert på automatisert behandling og som har rettsvirkning for, eller på tilsvarende måte i betydelig grad påvirker, den registrerte. Verktøyene brukes som beslutningsstøtte, og en medarbeider foretar en reell og selvstendig vurdering/kontroll av innhold som skal brukes videre.

3.3  Kundeadministrasjon

Kundesaker registreres i vårt saksbehandlingssystem, hvor saksdokumenter, tidsforbruk og kostnader lagres som grunnlag for fakturering og salæravregning. Behandlingen kan omfatte saksnummer, saksnavn og kontaktperson hos virksomhetskunden.

For privatkunder bygger behandlingen på GDPR artikkel 6 nr. 1 bokstav b. For virksomhetskunder bygger den på vår berettigede interesse i å administrere kundeforholdet, jf. artikkel 6 nr. 1 bokstav f.

3.4 Lagring av saksdokumenter

Saksdokumenter lagres sikkert med streng tilgangskontroll i inntil to måneder etter avsluttet oppdrag. Materiale som midlertidig behandles i KI-verktøy, følger de særskilte sletterutinene beskrevet i punkt 5.

Behandlingen bygger på det behandlingsgrunnlaget som gjelder for den aktuelle saken, herunder GDPR artikkel 6 nr. 1 bokstav b eller f og, når relevant, artikkel 9 nr. 2 bokstav f og personopplysningsloven § 11.

3.5 Avdekke og forebygge økonomisk kriminalitet

For å oppfylle kravene i hvitvaskingsloven § 4 andre ledd nr. 3, jf. §§ 17 og 18, behandler vi nødvendige kundeopplysninger, normalt navn, fødselsnummer, adresse og opplysninger om legitimasjon.

Behandlingsgrunnlaget er GDPR artikkel 6 nr. 1 bokstav c.

3.6 Besøkende i våre kontorlokaler

Ved besøk i våre lokaler registrerer vi navn, dato, eventuell virksomhetstilknytning, hvem som besøkes, samt ankomst- og avreisetidspunkt. Opplysningene lagres i to måneder.

Behandlingen er nødvendig for adgangskontroll, besøkendes sikkerhet og informasjonssikkerhet. Behandlingen bygger på vår berettigede interesse i å sikre personer, lokaler og informasjon, jf. GDPR artikkel 6 nr. 1 bokstav f, og der det er relevant på rettslige forpliktelser etter artikkel 6 nr. 1 bokstav c, jf. artikkel 32.

3.7 IT-drift og sikkerhet

Leverandørene våre kan få tilgang til personopplysninger i IT-systemene ved drift, oppdateringer, sikkerhetstiltak, feilretting og vedlikehold.

Behandlingen bygger på vår berettigede interesse i disse aktivitetene, jf. GDPR artikkel 6 nr. 1 bokstav f, og vår plikt til å sikre tilfredsstillende informasjonssikkerhet, jf. artikkel 6 nr. 1 bokstav c og artikkel 32.

3.8 Kontaktpersoner hos våre leverandører og samarbeidspartnere

Vi behandler navn, stilling, telefonnummer og e-postadresse til kontaktpersoner hos leverandører og samarbeidspartnere for å følge opp avtaler og samarbeid.

Behandlingen bygger på vår berettigede interesse i slik oppfølging, jf. GDPR artikkel 6 nr. 1 bokstav f.

3.9 Markedsføring, kursvirksomhet og utsendelse av nyhetsbrev

Vi bruker Faver.no til å markedsføre tjenestene våre.

Nettsiden bruker informasjonskapslene FaVer_session, som slettes når nettleseren lukkes, og cookie_notice_accepted, som lagrer samtykket ditt i ett år.

Rettslig grunnlag for behandlingen følger av GDPR artikkel 6 nr. 1 bokstav a (samtykke).

4. Hvem vi deler personopplysninger med

Vi bruker underleverandører til lagring, drift og vedlikehold av IT-systemene våre. De kan få tilgang til personopplysninger når det er nødvendig for drift, oppdateringer, sikkerhetstiltak, feilretting og vedlikehold. Leverandørene behandler opplysningene etter våre instrukser og databehandleravtaler, jf. GDPR artikkel 28.

Leverandørene og deres godkjente underdatabehandlere kan få tilgang til personopplysninger i den utstrekning det er nødvendig for å levere tjenestene. Når leverandørene opptrer som databehandlere, behandler de opplysningene etter dokumenterte instrukser og databehandleravtaler, jf. GDPR artikkel 28. Vi stiller krav til konfidensialitet, informasjonssikkerhet, bruk av underdatabehandlere, behandlingssteder og sletting.

En oppdatert oversikt over sentrale databehandlere, underdatabehandlere og behandlingssteder kan fås ved henvendelse til oss eller personvernombudet.

Alle medarbeidere er underlagt streng taushetsplikt, og opplysninger fra oppdrag behandles konfidensielt. Personopplysninger utleveres bare som beskrevet her, etter kundens uttrykkelige anmodning eller samtykke, eller når loven krever det.

5. Hvor lang tid personopplysningene lagres

Personopplysninger lagres så lenge det er nødvendig for formålet, eller så lenge lagring er tillatt eller pålagt ved lov. Når FaVer er databehandler, slettes eller returneres opplysningene i samsvar med oppdragsgiverens instrukser og databehandleravtalen.

Lagringstidene er:

• Kundeopplysninger og opplysninger om kontaktpersoner hos virksomhetskunder: så lenge kundeforholdet varer og inntil 10 år etter opphør.
• Saksdokumenter og personopplysninger om personer som omfattes av saken: inntil to måneder etter avsluttet oppdrag.
• Midlertidige kopier som opprettes for bruk av Microsoft 365 Copilot: slettes når oppgaven er avsluttet og senest i samsvar med den til enhver tid gjeldende, teknisk konfigurerte sletterutinen.
• Lydfiler, transkripsjoner og KI-generert materiale i Klang AI: slettes fra Klang AI når arbeidsprosessen er avsluttet og senest innen den avtalte og teknisk verifiserte slettefristen. Materiale som skal bevares, overføres til riktig sak før sletting.
• Opplysninger som behandles for å avdekke og forebygge økonomisk kriminalitet: fem år etter avsluttet kundeforhold eller gjennomført transaksjon, med mindre lov eller forskrift krever lengre lagring. Opplysningene slettes senest ett år etter at oppbevaringsplikten opphørte.
• Opplysninger om besøkende: to måneder.
• Opplysninger om kontaktpersoner hos leverandører og samarbeidspartnere: så lenge avtalen eller samarbeidet varer og inntil 10 år etter opphør.
• Opplysninger til markedsføringsformål: som angitt i punkt 3.9.
• Regnskapsdokumenter lagres så lenge regnskapslovgivningen krever det.

Opplysninger som beholdes for et bestemt formål, brukes bare til dette formålet i lagringsperioden.

6. Dine rettigheter

Etter GDPR kapittel III har du rettigheter når personopplysninger om deg behandles. Rettighetene kan være begrenset etter GDPR, personopplysningsloven, annen lovgivning eller omstendighetene for øvrig. Når FaVer er databehandler, kan du kontakte oss eller den behandlingsansvarlige oppdragsgiveren. FaVer videresender og bistår med henvendelsen i samsvar med oppdragsgiverens instrukser.

6.1 Trekke tilbake samtykke

Du kan når som helst trekke tilbake et samtykke. Dette påvirker ikke lovligheten av behandling som allerede er utført, eller behandling som bygger på et annet rettslig grunnlag.

6.2 Innsyn og informasjon

Du kan be om informasjon om formålet med behandlingen, hvilke kategorier personopplysninger vi behandler, mottakere, forventet lagringstid og opplysningenes kilde. Du kan også be om kopi av opplysningene. Dette kan omfatte lydopptak, transkripsjoner, KI- genererte sammendrag og annet KI-generert materiale som inneholder personopplysninger om deg, i den utstrekning innsynsretten gjelder.

Vi kan kreve skriftlig begjæring eller annen identitetskontroll for å sikre at opplysningene utleveres til rett person.

Retten til informasjon og innsyn kan begrenses etter GDPR artikkel 14 nr. 5 og personopplysningsloven § 16. Dette gjelder blant annet opplysninger som må hemmeligholdes av hensyn til forebygging, etterforskning, avsløring eller rettsforfølgning av straffbare handlinger, opplysninger underlagt lovbestemt taushetsplikt, og tilfeller der informasjon er umulig eller uforholdsmessig krevende å gi.

6.3 Retting og sletting

Du kan be om retting av uriktige opplysninger, herunder feil i en transkripsjon eller et KI- generert sammendrag. Du kan kreve sletting når vilkårene i GDPR artikkel 17 er oppfylt. Retten til sletting gjelder ikke dersom fortsatt behandling er nødvendig på et annet gyldig rettslig grunnlag, blant annet for å fastsette, gjøre gjeldende eller forsvare rettskrav.

6.4 Dataportabilitet

I enkelte tilfeller kan du få utlevert opplysninger du har gitt oss, i et maskinlesbart format. Dersom det er teknisk mulig, kan opplysningene overføres direkte til en annen virksomhet.

6.5 Protestere mot behandlingen

Du kan protestere mot behandling som bygger på en interesseavveining etter GDPR artikkel 6 nr. 1 bokstav f. Dersom behandlingen bygger på samtykke, kan du i stedet trekke samtykket tilbake, se punkt 6.1.

 6.6 Klage

Hvis du mener at behandlingen strider mot personvernreglene eller krenker dine rettigheter, kan du klage skriftlig til Datatilsynet, Postboks 8177 Dep., 0152 Oslo. Datatilsynets vedtak kan påklages til Personvernnemnda.

Før du klager til Datatilsynet, kan du kontakte personvernombudet vårt, se punkt 8.

7. Sikkerhet

Vi har tekniske og organisatoriske tiltak for sikker behandling av personopplysninger. Sikkerheten i sentrale systemer vurderes jevnlig, og leverandørene er avtalerettslig forpliktet til å ivareta tilfredsstillende informasjonssikkerhet.

Tilgangen til personopplysninger og kunde- og saksinformasjon er begrenset til medarbeidere med tjenstlig behov. Tilgang til Microsoft 365 Copilot og Klang AI skal følge de samme prinsippene og være begrenset til autoriserte og opplærte brukere.

KI-generert innhold skal kvalitetssikres før videre bruk. For Klang AI skal kontrollen omfatte sammenhold med originalopptaket og øvrige relevante saksopplysninger. Materiale som skal bevares, overføres til riktig sak, og midlertidig materiale slettes etter fastsatte rutiner.

Vi har interne IT- og KI-retningslinjer og gir de ansatte jevnlig opplæring i informasjonssikkerhet, personvern og forsvarlig bruk av IT- og KI-systemer.

Vi har interne IT-retningslinjer og gir de ansatte jevnlig opplæring i informasjonssikkerhet og forsvarlig bruk av IT-systemer.

8. Personvernombud

Advokat Erik Fjeldstad er vårt personvernombud og kan kontaktes ved spørsmål om behandlingen av personopplysninger og dine personvernrettigheter.

Kontakt: Partner/advokat Erik Fjeldstad, Advokatfirma Kogstad Lunde & Co DA, Postboks 1360 Vika, 0113 Oslo. E-post: ef@klco.no

* * *

Vi vil kunne gjøre mindre endringer i denne personvernerklæringen. Du vil alltid finne siste versjon på vår nettside. Ved vesentlige endringer vil vi varsle om dette.