Personvernerklæring

Hvem som er ansvarlig

Devos AS, org.nr. 927 807 149, Skiviklia 6, 8014 Bodø, er behandlingsansvarlig for opplysningene om deg når du bruker Hugra som privatperson. Kontakt for personvern: Kim Grytøyr, kim@devos.no. Vi har ikke personvernombud.

Bruker du Hugra gjennom en organisasjon (team eller bedrift), er organisasjonen behandlingsansvarlig for innholdet du lager der, og Devos er databehandler etter en databehandleravtale med organisasjonen. Kontoopplysningene dine behandler vi likevel som beskrevet her.

Hva vi behandler, og hvorfor

• —Kontoopplysninger — e-postadresse, navn, passordhash (aldri selve passordet), innstillinger for totrinnsinnlogging og passnøkler, tidspunkt for innlogging og siste aktivitet. Brukes til å opprette kontoen, logge deg inn og sikre den. Grunnlag: avtalen med deg (GDPR art. 6 nr. 1 b).
• —Innlogging med Vipps — velger du Vipps, får vi navnet ditt, e-postadressen og en fast ID fra Vipps, som vi lagrer for å kjenne deg igjen neste gang. Vi ber ikke om telefonnummer, adresse eller fødselsnummer. Vipps får vite at du logger inn hos Hugra, men ingenting om hva du gjør her. Grunnlag: avtalen med deg.
• —Innhold — samtaler, titler, minner, prosjekter, filer, egne assistenter og notatbøker. Lagres bare kryptert med nøkler vi ikke har, og behandles i klartekst bare i det øyeblikket språkmodellen lager et svar. Grunnlag: avtalen med deg.
• —Bruksdata — antall tokens, modell, tidspunkt og kostnad per forespørsel, uten innhold. Brukes til kreditter, kvote og fakturering. Grunnlag: avtalen med deg.
• —Betalingsopplysninger — abonnement, beløp og betalingsstatus fra Mollie. Vi lagrer ikke kortnummer. Grunnlag: avtalen med deg og bokføringsloven (art. 6 nr. 1 c).
• —Søk og henting av nettsider — søkeord og adresser sendes til søkeleverandøren når du eller Hugra søker på nettet. Søkeordene lages ut fra samtalen. Grunnlag: avtalen med deg.
• —Misbruksvern — IP-adressen din brukes i noen minutter i minnet for å begrense antall innloggings- og registreringsforsøk. Registrerer du deg via en vennelenke, lagrer vi en hash av IP-adressen i kort tid for å hindre misbruk av verveordningen. Grunnlag: berettiget interesse i å sikre tjenesten (art. 6 nr. 1 f).
• —Markedsføringsmåling — bare hvis du kom via en Google-annonse, se eget avsnitt. Grunnlag: berettiget interesse.

Innholdet du legger inn, kan inneholde alle slags opplysninger, også særlige kategorier som helse. Fordi det er kryptert med dine nøkler, kan vi ikke lese det. Vi bruker aldri innholdet ditt til å trene språkmodeller, og vi tar ingen automatiserte avgjørelser med rettsvirkning for deg.

Hvem som får opplysningene

Vi bruker underleverandører i EØS til drift, språkmodeller, lagring, e-post og søk. Hvem de er og hva de gjør, står i tabellen under «Leverandører» lenger ned. Alle er bundet av databehandleravtaler og bruker ikke opplysningene til egne formål. Mollie behandler betalinger som selvstendig behandlingsansvarlig. Vi selger ikke opplysninger og deler dem ikke med andre, med mindre loven krever det.

Opplysningene lagres og behandles i Norge, Finland, Frankrike og Sverige. Vi overfører ikke opplysninger til land utenfor EØS.

Hvor lenge vi lagrer

• —Innhold lagres til du sletter det eller kontoen. Midlertidige samtaler slettes 24 timer etter siste aktivitet, og samtaler «Uten spor» lagres aldri.
• —Gratiskontoer uten aktivitet i 90 dager, som ikke er med i en organisasjon, slettes automatisk etter varsel på e-post.
• —Når du sletter kontoen, slettes alt innhold og alle kontoopplysninger. Kopier i sikkerhetskopier slettes senest 35 dager senere.
• —Betalingshistorikk beholdes så lenge bokføringsloven krever (fem år).
• —Hashen av IP-adressen fra vennelenker slettes automatisk når vernevinduet er over. Vi fører ingen varige logger over IP-adresser.

Dine rettigheter

Du har rett til innsyn i, retting av og sletting av opplysningene om deg, til å få dem utlevert i et maskinlesbart format, og til å protestere mot behandling som bygger på berettiget interesse. Det meste kan du gjøre selv: innholdet ditt ser og sletter du i Hugra, og kontoen sletter du under Konto. Fordi innholdet er kryptert med dine nøkler, kan vi ikke levere det ut i lesbar form på andre måter enn gjennom Hugra.

Andre henvendelser sender du til kim@devos.no. Vi svarer innen 30 dager. Er du uenig i hvordan vi behandler opplysningene dine, kan du klage til Datatilsynet (datatilsynet.no).

Sikkerhetsbrudd og endringer

Skjer det et brudd på sikkerheten som kan gi høy risiko for deg, varsler vi deg på e-post uten ugrunnet opphold, og Datatilsynet innen 72 timer. Endrer vi denne erklæringen vesentlig, varsler vi deg på e-post før endringen trer i kraft.

Hva er kryptert

Følgende innhold krypteres med din personlige hovednøkkel (MK) før det lagres hos oss. Vi kan ikke lese dette — heller ikke ved politiforespørsel, serverinnbrudd eller backup-lekkasje.

• —Chatmeldinger — innholdet i alle meldinger du sender og mottar.
• —Samtaletitler — tittelen som vises i sidepanelet er kryptert og dekrypteres kun i nettleseren din.
• —Minner — fakta Hugra husker om deg (korte og lange minner) er kryptert.
• —Prosjektnavn og -kontekst — navn, instruksjoner og AI-forslag i prosjektene dine.
• —Søkekilder — nettsider og utdrag du leser gjennom nettsøk krypteres sammen med meldingen de tilhører.
• —Klassifiseringer — dersom en melding får en intern klassifisering (f.eks. fra analyser av samtalen), lagres både type, kategori og eventuelle notater kryptert. Ingenting om klassifiseringen er lesbart for oss.
• —Vedlegg — filer og bilder du laster opp (PDF, Word, Excel, tekst, bilder) krypteres i nettleseren din før de lastes opp til Scaleway i Paris. Filnavn, innhold og bildebeskrivelser er alle kryptert. For PDF-er på mobil (iOS Safari) leses teksten ut på vår EU-server kortvarig i minnet — aldri lagret eller logget — før resultatet krypteres i nettleseren din igjen.
• —Prosjektfiler (kunnskapsbase) — filer og nettsider dere knytter til et prosjekt parses og deles i biter på vår EU-server, men hver bit krypteres i nettleseren din før den lagres. Filnavn, kildelenker og bitenes tekstinnhold er alle kryptert. Verken vi eller en eventuell angriper med databaseaksess kan lese innholdet uten passordet ditt.

All kryptering skjer i nettleseren din med hovednøkkelen (MK) som er låst av passordet ditt. Serveren lagrer kun kryptert tekst.

Hva vi MÅ ha i klartekst

Noe informasjon kan vi ikke kryptere — enten fordi den er nødvendig for drift, fakturering eller lovkrav.

• —E-postadresse — brukes for å logge inn og sende engangskoder.
• —Team-/organisasjonsnavn og organisasjonsnummer — nødvendig for fakturering og for å identifisere juridisk ansvarlig part.
• —Betalingsdata — Mollie (betalingsleverandøren vår) krever navn, beløp og transaksjonsstatus i klartekst for å prosessere og dokumentere betalinger. Vi lagrer ikke kortnummer.
• —Bruksstatistikk — antall tokens brukt per konto lagres for kostnadskontroll og kvoteberegning. Ingen meldingsinnhold er inkludert.
• —Embedding-vektorer for prosjektfiler — når dere knytter en fil til et prosjekt, lagrer vi en tallvektor (2560 desimaltall) per bit i klartekst ved siden av den krypterte teksten. Vektoren er nødvendig for at vi skal kunne finne de mest relevante bitene når dere chatter i prosjektet — uten den blir det ikke noe gjenfinning. Den originale teksten er ikke kodet inn i vektoren på en måte som lar oss rekonstruere den, men vektorene er ikke fullstendig anonyme: en motivert analytiker med databaseaksess kan utlede grov tematisk kontekst (uten å gjenskape originalteksten). Funksjonen er tilgjengelig for betalende brukere og kan brukes eller la være etter eget skjønn.

Hva skjer når du chatter

Når du sender en melding, dekrypteres historikken i nettleseren din og sendes i klartekst over TLS til leverandøren som kjører modellen: Scaleway i Paris, eller Blix.ai i Norge hvis du selv har valgt en av deres modeller. Begge har null datalagring for inferens: meldingen lagres ikke der, logges ikke, og brukes aldri til å trene modeller.

Vi logger heller ikke forespørselstekst på applikasjonsserveren vår. Etter at svaret er generert, krypteres det i nettleseren din før det lagres i databasen. Serveren ser aldri det ferdige svaret i klartekst etter at det er kryptert.

Det uunngåelige kompromisset: For at en språkmodell skal kunne svare deg, må den se meldingen din mens den genererer svaret. Vi minimerer eksponeringen ved å bruke europeiske leverandører (Scaleway i Paris og Blix.ai i Norge) med avtalefestet null datalagring og ingen trening på kundedata, og ved å aldri lagre noe i klartekst selv. Dette dokumenterer vi åpent fremfor å skjule det.

Om passordet og gjenopprettingskoden

Passordet ditt avleder krypteringsnøkkelen din (KEK) lokalt i nettleseren ved hjelp av Argon2id. Passordet sendes aldri til oss — kun en kryptografisk hash brukes for å verifisere at du er den du sier du er.

Gjenopprettingskoden er en 24-tegns kode som du genererer ved registrering. Den lar deg gjenopprette tilgang til dataene dine dersom du glemmer passordet — men bare hvis du har koden.

Mistet passord + mistet gjenopprettingskode = tapt tilgang til alle krypterte data. Dette er tilsiktet. Ingen — heller ikke Hugra — kan hjelpe deg om begge er borte.

Oppbevar gjenopprettingskoden på et trygt sted: passordhåndterer, utskrift i bankboks, eller begge deler.

Tillitsgrensen for nettleserkryptering

Krypteringen i Hugra kjører i nettleseren din — men koden som utfører krypteringen leveres fra våre egne servere. Det setter en grense for hva krypteringen kan beskytte mot:

• —Normal drift: Hugra kan ikke lese dine lagrede meldinger. Serveren mottar kun kryptert tekst og har ingen tilgang til hovednøkkelen din.
• —Kompromittert infrastruktur: En angriper med skrivetilgang til vår distribusjonspipeline kunne i prinsippet sende modifisert JavaScript som eksfiltrerer passordet ditt ved neste innlogging. Dette er en kjent, grunnleggende begrensning ved all nettleserkryptering — ikke unik for Hugra.

Mobilappen har en sterkere tillitsmodell: koden er signert av Apple og Google og distribuert via offisielle appbutikker. En stille erstatning av koden er vesentlig vanskeligere. Brukere som krever den sterkeste garantien bør bruke mobilappen.

Leverandører

Vi holder infrastrukturen vår i EU/EØS. Her er hvem vi bruker til hva:

Markedsføringsmåling

Vi laster ingen tredjeparts-trackere i nettleseren din og setter ingen informasjonskapsler for markedsføring.

Hvis du klikker en av annonsene våre på Google, legger Google en klikk-ID i URL-en. Ved registrering sender vår server klikk-ID-en, tidspunktet og en SHA-256-hash av e-postadressen din til Google for å koble registreringen mot annonseklikket. Rettslig grunnlag er berettiget interesse (GDPR art. 6(1)(f)). Ta kontakt om du vil reservere deg.

Sletting av inaktive kontoer

Kontoer som ikke har hatt aktivitet på 90 dager, og som ikke har et aktivt abonnement eller er medlem av et team, slettes automatisk. Vi sender en varslings-e-post 48 timer før sletting slik at du kan logge inn og beholde kontoen hvis du ønsker det.