Personvernerklæring

Roller og ansvar

S5 Respons utvikles og leveres av S5 Studio AS. Bedriften som bruker S5 Respons er normalt behandlingsansvarlig for opplysninger om egne kunder og ansatte. S5 Studio AS behandler slike opplysninger på kundebedriftens dokumenterte instruks som databehandler. S5 Studio AS er selv behandlingsansvarlig for blant annet kontakt-, avtale-, faktura- og sikkerhetsopplysninger knyttet til kundeforholdet.

Opplysninger vi behandler

Dette kan omfatte konto- og firmainformasjon, roller og tilganger, kundehenvendelser, samtalehistorikk, svarutkast, oppgaver, avtaler, integrasjonsstatus, abonnements- og fakturainformasjon samt tekniske drifts- og sikkerhetslogger. Ved Google- eller Microsoft 365-tilkobling behandles valgt kontoidentitet, innvilgede scopes og nødvendige krypterte OAuth-tokens. For Gmail og Outlook lagres leveringsstatus og leverandørens melding-/forespørselsidentifikator etter sending. For Google og Microsoft Kalender lagres valgte eide kalendere og minimerte hendelsesopplysninger som tidspunkt, «Opptatt»-status og S5-avtaler som må synkroniseres.

Formål og behandlingsgrunnlag

Opplysningene brukes for å levere og administrere tjenesten, autentisere brukere, utføre handlinger brukeren ber om, sikre løsningen, håndtere support og oppfylle avtale- og lovkrav. Kundebedriften er ansvarlig for eget behandlingsgrunnlag for kunde- og ansattdata.

Google Gmail og Kalender

Gmail-integrasjonen bruker bare gmail.send til meldinger en bruker har kontrollert og godkjent. S5 Respons bruker ikke Gmail API til å lese, søke i, endre eller slette innboksen. Innkommende kundehenvendelser kommer i stedet fra bedriftens uttrykkelige videresending eller andre innganger. Kalenderintegrasjonen viser bare kalendere Google-kontoen selv eier, kontrollerer opptatt/ledig, oppretter og oppdaterer godkjente avtaler og kan avlyse en S5-administrert avtale når brukeren uttrykkelig godkjenner det.

Microsoft Outlook og Kalender

Microsoft-integrasjonen bruker delegated Mail.Send og Calendars.ReadWrite for den tilkoblede arbeidskontoen. S5 ber ikke om Mail.Read; innkommende Outlook-post bruker samme uttrykkelige videresending og S5-mottak som Gmail. Bare redigerbare kalendere som den tilkoblede kontoen selv eier kan velges. Microsofts tenant- og bruker-ID er ekstern identitet, mens S5s egen tenant og RBAC alltid avgjør tilgang.

AI og databehandlere

S5 Respons bruker OpenAI API til analyser og svarutkast. Kundehenvendelser, relevant samtalehistorikk, godkjent bedriftsoppsett og eventuelle eksplisitt klargjorte bildekopier kan sendes til OpenAI når AI-funksjonen er aktiv. Rå Google- eller Microsoft-kalenderhendelser, kalender-ID-er, Gmail-/Graph-data og OAuth-tokens sendes ikke til AI. Ved kapasitetskontroll mottar modellen bare et minimert resultat, for eksempel at kalenderen er kontrollert og om ledig tid ble funnet. Tidspunkt settes inn av S5-serveren etter modellkallet.

Data selges ikke, brukes ikke til annonsering og sendes ikke for å trene eller forbedre generelle AI-modeller. Vi påstår ikke Zero Data Retention eller Enterprise-oppsett; OpenAIs ordinære API-vilkår og datakontroller gjelder dersom ikke annet er skriftlig avtalt.

Andre leverandører og logger

Nødvendige leverandører kan behandle data for hosting, database, privat fillagring, system-e-post, betaling, AI og sikkerhet. Applikasjonen lagrer redigerte drifts- og sikkerhetslogger i S5-databasen og skriver redigerte hendelser til plattformlogger. Felter for tokens, autorisasjon, e-postinnhold, adresser og meldingsinnhold filtreres bort fra disse loggene. Kundeinnhold deles ikke mellom bedrifter.

For Google-data gjelder også vår forklaring om Google-brukerdata.

Lagring, tokens og sletting

Gjenbrukbare OAuth-tokens krypteres med en organisasjonsbundet nøkkel og er avgrenset med rolle- og tenantkontroll. Data beholdes så lenge det er nødvendig for formålet, kundeforholdet og dokumenterte lovkrav. Sikkerhets-, backup- og regnskapsdata kan måtte beholdes lenger. En administrator kan koble fra Gmail og Kalender separat under Innstillinger → Integrasjoner. Da overskrives lokale tokenhemmeligheter og S5 forsøker å tilbakekalle Google-tilgangen. Historiske saksdata slettes ikke automatisk; se fremgangsmåten for frakobling og sletting.

Rettigheter og kontakt

Henvendelser om innsyn, retting, eksport, begrensning eller sletting av data en kundebedrift kontrollerer rettes først til den aktuelle bedriften. For data S5 Studio AS selv er ansvarlig for, eller dersom du trenger hjelp til å finne riktig behandlingsansvarlig, kontakt hei@s5respons.no. Ikke send passord, OAuth-tokens eller unødvendig kundeinnhold i en vanlig supportmelding.

Sikkerhet

Tilgang avgrenses per bedrift og rolle. Integrasjonshemmeligheter krypteres, sikkerhetsrelevante handlinger loggføres, og leverandørbekreftelse kreves før eksterne handlinger vises som fullført. Meld fra straks dersom du mistenker uautorisert tilgang.

Google Limited Use

S5 Respons sin bruk og overføring av informasjon mottatt fra Google Workspace API-er følger Google API Services User Data Policy, inkludert Limited Use-kravene.