Personvernerklæring

For opplysninger som arbeidsgiveren eller du registrerer i Done HRM som del av personalforvaltningen, er arbeidsgiveren din behandlingsansvarlig. Det betyr at arbeidsgiveren bestemmer formålet med behandlingen, hvilke opplysninger som er nødvendige, hvem som skal ha tilgang og hvor lenge opplysningene skal oppbevares.

Done.ai Norway AS, org.nr. 915 006 620 («Done»), er databehandler for disse personalopplysningene og behandler dem på arbeidsgiverens vegne etter en databehandleravtale.

For et begrenset sett opplysninger som Done behandler for egne formål, for eksempel nødvendig konto- og sikkerhetsadministrasjon, dokumentasjon av misbruk eller tekniske hendelser, og administrasjon av kundeforhold og support, kan Done være selvstendig behandlingsansvarlig. Done begrenser slik behandling til det som er nødvendig for disse formålene.

Spørsmål om hvorfor en personalopplysning er registrert, hvem hos arbeidsgiveren som kan se den, eller om den skal rettes eller slettes, rettes normalt til arbeidsgiverens HR-administrator. Tekniske spørsmål om tjenesten kan sendes til sas@done.ai.

Fraværsopplysninger kan avsløre helseopplysninger, for eksempel at fraværet gjelder egenmelding, sykmelding eller sykt barn. Tjenesten er laget slik at kolleger bare ser at du er borte, ikke hvorfor. Diagnoser skal ikke registreres i fritekst.

Arbeidsgiveren din bestemmer de konkrete formålene og behandlingsgrunnlagene. Vanlige formål i et HR-system er å administrere arbeidsforhold, oppfylle lovpålagte arbeidsgiverplikter, håndtere fravær og ferie, føre timer, administrere dokumenter, gjennomføre medarbeideroppfølging, sikre systemet og dokumentere hvem som har gjort endringer.

Arbeidsgiveren skal informere deg om hvilket behandlingsgrunnlag som brukes der personvernregelverket krever det. Dette kan for eksempel være nødvendighet for å oppfylle arbeidsavtalen, rettslig plikt eller en berettiget interesse etter en konkret interesseavveining. For helseopplysninger må arbeidsgiveren i tillegg ha et gyldig grunnlag etter GDPR artikkel 9, typisk knyttet til arbeidsrettslige eller trygderettslige plikter og rettigheter.

At en funksjon i Done HRM er tilgjengelig betyr ikke i seg selv at arbeidsgiveren kan bruke den til ethvert formål. Arbeidsgiveren er ansvarlig for vurderingen av egen bruk.

En undersøkelse settes opp som anonym eller åpen. Før du svarer står det tydelig hvilken type det er.

• Anonym undersøkelse: svar lagres uten at selve svaret kobles til identiteten din. Tjenesten registrerer hvem som er invitert og har svart, for å kunne sende påminnelser, men dette kobles ikke til svarinnholdet og vises ikke sammen med det.
• Åpen undersøkelse: svaret knyttes til deg og kan vises til personer arbeidsgiveren har gitt resultattilgang. Du ser selv egne svar. Arbeidsgiveren er ansvarlig for formål, rettslig grunnlag og eventuell vurdering etter arbeidsmiljøloven dersom undersøkelsen brukes som kontrolltiltak eller individuell prestasjonsoppfølging.

• Du selv har tilgang til opplysninger arbeidsgiveren har gjort tilgjengelige for deg i tjenesten.
• Kolleger kan få tilgang til vanlig kontakt- og organisasjonsinformasjon som arbeidsgiveren velger å dele internt, og kan se at du er fraværende, ikke hvorfor.
• Nærmeste leder kan få tilgang til opplysninger som er relevante for lederrollen, avhengig av arbeidsgiverens oppsett. Arbeidsgiveren kan bestemme for hvert enkelt dokument om leder og du selv skal se det, og kan dele et dokument med navngitte personer.
• Administratorer hos arbeidsgiveren kan ha bred tilgang for å administrere personaldata og tjenesten.
• Done-personell får bare tilgang når det er nødvendig for drift, sikkerhet eller support og er underlagt taushetsplikt.
• Godkjente underleverandører behandler de opplysningene som er nødvendige for deres avgrensede del av tjenesten. Oppdatert liste finnes på /personvern/databehandlere.

Done selger aldri opplysningene dine og bruker dem ikke til markedsføring, statistikk eller til å trene kunstig intelligens. Tjenesten sender ikke opplysningene dine til noen leverandør av kunstig intelligens.

De valgte produksjonsregionene for database, applikasjon, filer og e-post er i EU/EØS. Enkelte tekniske leverandører har hovedkontor utenfor EU/EØS. Dersom en slik leverandør får fjernaksess fra et tredjeland eller på annen måte mottar personopplysninger utenfor EU/EØS, bruker Done et gyldig overføringsgrunnlag etter GDPR kapittel V og nødvendige tilleggstiltak. Mer informasjon står i databehandleravtalen og underleverandørlisten.

Mens arbeidsgiveren bruker Done HRM, er det arbeidsgiveren som bestemmer hvor lenge de enkelte personopplysningene skal oppbevares, basert på formål, lovkrav og egne dokumenterte rutiner. Arbeidsgiveren kan slette eller anonymisere opplysninger gjennom tjenesten, eller be Done om bistand der standardfunksjonene ikke er tilstrekkelige.

Done oppbevarer ikke personalopplysninger lenger enn nødvendig for å levere tjenesten etter arbeidsgiverens instrukser. Ved avslutning av hele kundens abonnement gjelder databehandleravtalens avslutningsrutine: kunden får en eksportperiode, deretter slettes data fra aktive systemer innen avtalt frist, og sikkerhetskopier utløper i ordinær rotasjon. Lovpålagt oppbevaring kan gjelde for enkelte opplysninger.

Rettighetene dine utøves normalt overfor arbeidsgiveren som behandlingsansvarlig. Du kan blant annet ha rett til innsyn, retting, sletting, begrensning, dataportabilitet og å protestere, avhengig av behandlingen og grunnlaget.

Min profil gir deg en praktisk selvbetjeningsoversikt og eksport av mange opplysninger. Denne funksjonen er ikke ment som en begrensning av innsynsretten etter GDPR artikkel 15. Dersom du ønsker fullt innsyn, inkludert opplysninger eller dokumenter som ikke er synlige i selvbetjeningen, skal du kontakte arbeidsgiveren. Arbeidsgiveren vurderer forespørselen og eventuelle lovlige unntak.

Du kan klage til Datatilsynet, datatilsynet.no, dersom du mener personopplysninger behandles i strid med regelverket. Det tas ikke automatiserte avgjørelser med rettsvirkning eller tilsvarende betydelig virkning om deg i Done HRM.

Done bruker tekniske og organisatoriske sikkerhetstiltak som tilgangsstyring, databaseisolasjon mellom kunder, kryptert transport, kryptering i hvile, særskilt beskyttelse av lønnsopplysninger, revisjonslogging, sikkerhetskopiering og begrenset produksjonstilgang. Mer detaljert informasjon finnes i databehandleravtalens sikkerhetsvedlegg.

Done HRM bruker bare nødvendige informasjonskapsler og tilsvarende lokal lagring: en innloggingskapsel, valg av aktivt selskap, og visningsvalg som mørkt tema, sammenslått meny og bredde på fraværskalenderen. Tjenesten bruker ikke markedsførings- eller tredjepartssporing.

Vesentlige endringer i denne erklæringen varsles gjennom arbeidsgiverens administrator eller i tjenesten når det er relevant. Gjeldende versjon er alltid tilgjengelig på denne siden.

Tekniske og tjenestespesifikke personvernspørsmål kan sendes til Done.ai Norway AS på sas@done.ai. Spørsmål om arbeidsgiverens formål, rettslige grunnlag eller konkrete personalavgjørelser rettes til arbeidsgiveren.