Personvernerklæring
Versjon 1.2, sist gjennomgått 22. august 2026. Tekstene er utarbeidet med utgangspunkt i ekomloven § 3-15, GDPR og Datatilsynets veiledning og kvalitetssikret internt; de er ikke en advokatuttalelse. Spørsmål: [email protected].
1. Behandlingsansvarlig
Behandlingsansvarlig er Webkompaniet AS, org.nr. 999 529 860, registrert i Foretaksregisteret, forretningsadresse, telefon 75 98 77 73. Kontakt: kontakt@cookiehawk.com. Vi har ikke personvernombud; henvendelser om personvern besvares av daglig leder.
2. Opplysninger og formål
Besøk på cookiehawk.com
Når du besøker nettstedet, behandler vi IP-adresse, brukeragent og tidspunkt i tekniske logger for sikker drift og feilretting. Nettstedet laster ingen tredjepartsressurser og bruker ingen analyseverktøy. Se cookies og lagring.
Når du ber om en test eller kontakter oss
Når du sender skjemaet, lagrer vi e-postadresse (normalt en jobbadresse), nettadresse, om forespørselen gjelder eget nettsted eller et byrå, tidspunkt, brukeragent og en forkortet, kodet representasjon av IP-adressen. IP-adressen brukes også i minnet til hastighetsbegrensning. Opplysningene brukes til å håndtere forespørselen, begrense misbruk, gjennomføre testen og levere rapporten. Korrespondansen videre behandles for samme formål.
Når vi tester et nettsted
Testen behandler tekniske metadata fra offentlig tilgjengelige nettsider: nettverksforespørsler (med redigerte URL-er), cookie-navn, domene, sti og oppgitt varighet, navn på lagringsnøkler i nettleseren, observerte samtykkesignaler og eventuelle skjermbilder av offentlig innhold. Vi lagrer ikke cookieverdier i sluttrapporten. Testen logger ikke inn noe sted og fyller ikke ut skjemaer. Se Slik tester vi.
Kunder og betaling
For kunder behandler vi navn, jobbkontakt, virksomhet, organisasjonsnummer, fakturaadresse, bestilling, abonnement, beløp, betalingsstatus og Stripe-referanse. Kortopplysninger gis direkte til Stripe og lagres ikke hos oss. Grunnlaget er GDPR art. 6 nr. 1 bokstav b når personen selv er avtalepart, ellers bokstav f for å administrere B2B-avtalen, og bokstav c for bokføringsplikter. Stripe opptrer dels som databehandler for oss og dels som selvstendig behandlingsansvarlig (betalingsnettverk, svindelforebygging, lovpålagte kontroller).
Henvendelser til virksomheter (outbound)
Når vi kontakter en virksomhet uoppfordret, registrerer vi virksomhet, organisasjonsnummer, organisasjonsform, kommune, antall ansatte, telefon, domene, generell virksomhetsadresse, kilde-URL, adresseverifisering, kontaktstatus og et maskert teknisk grunnlag for henvendelsen. Dersom opplysningene kan knyttes til en person, bygger behandlingen på vår berettigede interesse i målrettet B2B-markedsføring, jf. art. 6 nr. 1 bokstav f. Kildene er virksomhetens offentlig tilgjengelige nettsted og Enhetsregisteret hos Brønnøysundregistrene. Vi sender bare til generelle virksomhetsadresser, merker henvendelsen som markedsføring, og stopper ved svar eller protest. Tause leads og markedsføringsgrunnlaget slettes 90 dager etter siste henvendelse; en minimal domene-/adressesperre beholdes for å respektere protest og hindre automatisk gjenopptakelse av et avsluttet kontaktløp.
Personopplysninger på offentlige sider
Personopplysninger kan tilfeldig fremgå av URL-er eller skjermbilder fra offentlig tilgjengelige sider. Individuell underretning vil normalt kreve identifisering av et ubestemt antall personer og anses uforholdsmessig, jf. art. 14 nr. 5 bokstav b. Vi gir derfor informasjon her, maskerer opplysninger, begrenser tilgang og lagrer bare det som er nødvendig. Vurderingen er dokumentert internt.
Banneret på kundenes nettsteder
Banneret skriver samme samtykkevalg både til førstepartscookien cookiehawk_consent og til localStorage i den besøkendes nettleser. Cookien utløper etter 365 dager. En verdi som er 365 dager gammel, brukes ikke lenger, men localStorage-elementet kan bli liggende til det overskrives, samtykket trekkes tilbake eller nettleserdata slettes. I standardoppsettet sendes valget ikke til CookieHawk, og vi mottar da ingen opplysninger om sluttbrukere fra banneret.
Samtykkelogg (valgfritt tillegg). Slår kunden på samtykkeloggen, forsøker banneret å sende ett innslag til CookieHawk hver gang en besøkende tar eller trekker tilbake et valg. Innslaget inneholder tidspunktet, hvilke kategorier som ble valgt, hvilken bannerversjon og retningslinje som gjaldt, språk og region, og cid — en tilfeldig identifikator banneret selv lager og lagrer i besøkerens egen samtykkecookie. Formålet er å støtte kundens dokumentasjonsplikt etter GDPR artikkel 7 nr. 1. Vi lagrer ikke IP-adresse, brukeragent eller henvisende side sammen med innslaget, og kombinerer det ikke med andre opplysninger. Identifikatoren er likevel en pseudonym personopplysning så lenge den kan knyttes til samme nettleser. For denne behandlingen er kunden behandlingsansvarlig og CookieHawk databehandler; behandlingen skjer etter databehandleravtalen. Innslagene lagres i fem år og slettes deretter automatisk, slik at kunden kan dokumentere samtykke også et stykke tilbake i tid.
Tekniske behandlingslag: Samtykke-API-et bruker IP-adresse i minnet til hastighetsbegrensning; tellere utløper etter én time og ryddes ved neste timekontroll. IP-adressen inngår ikke i samtykkeraden. Nginx-oppsettet deaktiverer tilgangslogging for /api/consent. Feil- og øvrige driftslogger kan inneholde tekniske forespørselsdata og behandles for sikkerhet med begrenset tilgang; størrelsesrotasjon dokumenterer ikke en aldersfrist.
Samtykkelogg med eksport er dokumentasjonsstøtte. Klientoppgitte innslag og en hashkjede beviser ikke alene hvem som handlet eller at samtykket var informert. Levering kan feile; kunden må også bevare den informasjonen og konfigurasjonen som ble vist.
3. Behandlingsgrunnlag
- Avtale, eller tiltak før avtale (GDPR art. 6 nr. 1 b): brukes når den registrerte selv er avtalepart, for eksempel en enkeltpersonforetak-eier som bestiller en test.
- Berettiget interesse (art. 6 nr. 1 f): for kontaktpersoner hos kunder og potensielle kunder bruker vi vår interesse i å håndtere forespørsler, levere og dokumentere tjenesten og følge opp kundeforholdet; for sikker drift og misbruksvern; og for tekniske data og eventuelle personopplysninger i offentlige nettsider, vår interesse i å utføre og dokumentere avtalte eller egne tekniske undersøkelser. Opplysningene stammer fra deg, fra nettstedet som testes og fra andre uttrykkelig angitte offentlige kilder. Du kan protestere, se punkt 6.
- Rettslig plikt (art. 6 nr. 1 c): regnskaps- og bokføringsmateriale.
Vi foretar ikke automatiserte avgjørelser med rettslig eller tilsvarende vesentlig virkning.
Markedsføring. Uanmodet elektronisk markedsføring sendes bare til en reelt generell virksomhetsadresse (for eksempel post@), eller til en fysisk person når forhåndssamtykke eller unntaket for eksisterende kundeforhold gjelder (markedsføringsloven § 15). Meldingen viser ved mottak at den inneholder markedsføring, hvem den sendes på vegne av, og hvordan mottakeren kostnadsfritt kan reservere seg. Ved bruk av personopplysninger til direkte markedsføring kan du når som helst protestere; opplysningene brukes da ikke videre til dette formålet. Ved første kontakt opplyser vi også om kilden til kontaktopplysningene.
4. Lagringstid
| Opplysninger | Slettes |
|---|---|
| Leadposter fra skjemaet (e-post, nettadresse, henvendelsestype, tidspunkt, kodet IP-representasjon, brukeragent) | Automatisk etter 12 måneder, eller tidligere på forespørsel |
| Offentlige stikkprøver fra «Sjekk nettstedet ditt» (resultat og rapport) | Automatisk etter 30 dager |
| Bestilte rapporter (JSON, HTML) og eventuelle skjermbilder | Etter 12 måneder, eller tidligere på forespørsel |
| Resultater fra løpende kontroll (per kunde) | Automatisk etter 13 måneder (ett år + én måned for sammenligning); historikken over «funnet og rettet» beholdes så lenge avtalen løper |
| Samtykkeinnslag fra banneret (kun når kunden har slått på samtykkeloggen): tidspunkt, valgte kategorier, bannerversjon, retningslinje, språk, region og en tilfeldig identifikator | Automatisk etter 5 år. Kunden kan be om sletting tidligere; da er dokumentasjonsverdien borte for perioden |
| Sikkerhets- og driftslogger | Applikasjonslogger roteres etter størrelse. Dette gir ingen fast maksimal alder; driftsrutinen skal kontrollere og minimere lagringen. Tilgangslogging for samtykkeendepunktet er deaktivert i proxyoppsettet. |
| Sikkerhetskopier (lagret på samme server i EØS, med begrenset filtilgang) | Automatisk etter 7 døgn |
| Midlertidige nettleserprofiler og råartefakter fra en test | Umiddelbart etter analysen |
| Kundedata | Senest 30 dager etter avsluttet avtale (eksportperiode) |
| Tause leads og markedsføringsgrunnlag (outbound) | Automatisk 90 dager etter siste henvendelse; minimal sperrepost beholdes ved protest |
| Regnskapsmateriale (primærdokumentasjon) | Normalt fem år etter utløpet av regnskapsåret, i samsvar med bokføringsreglene |
Sletting av leadposter, offentlige stikkprøver og sikkerhetskopier skjer automatisk; bestilte rapporter slettes i en månedlig rutine.
5. Mottakere og overføringer
Vi bruker underleverandørene oppført på underleverandørlisten. Kjernetjenesten og rapportene lagres på servere i EØS. Betalings-, nettverks- og e-postleverandører kan behandle opplysninger utenfor EØS som angitt i underleverandørlisten, med relevant overføringsgrunnlag etter GDPR kapittel V. Rapporter gis til innsenderen og kundens autoriserte brukere. Når et byrå bestiller, gis de også til den berørte nettstedseieren eller byråkunden. Leverandører mottar bare det som er nødvendig for levering. Opplysningene gis ikke til leverandørene for deres egen markedsføring.
6. Dine rettigheter
Du kan be om innsyn, retting, sletting, begrensning og dataportabilitet, og du kan protestere mot behandling som bygger på berettiget interesse. Skriv til kontakt@cookiehawk.com. Vi svarer uten ugrunnet opphold og senest én måned etter mottak; ved behov kan fristen forlenges med inntil to måneder, og da varsler vi innen den første måneden og begrunner forlengelsen. Rettighetene gjelder når vilkårene for den enkelte rettigheten er oppfylt; dataportabilitet gjelder særlig automatisert behandling basert på samtykke eller avtale. Du kan klage til Datatilsynet.
7. Behandlingsansvarlig eller databehandler
CookieHawk er behandlingsansvarlig for egen nettside, salg, egne undersøkelser og gratis tester du selv ber om. Når en kunde instruerer oss om å teste angitte domener løpende, eller vi drifter tjenester på vegne av kunden, kan CookieHawk være databehandler etter kundens instrukser. Da gjelder databehandleravtalen.
8. Informasjonskapsler og lagring på cookiehawk.com
Kundeportalen /min/. Når du ber om innlogging, bruker vi e-postadressen i kunderegisteret til å sende en engangslenke som utløper etter 15 minutter. Etter innlogging settes den nødvendige sesjonscookien __Host-ch_portal (HttpOnly, Secure, SameSite=Lax) i inntil 7 dager; utlogging tilbakekaller sesjonen. Innloggingstoken og sesjonsidentifikator lagres som hash på serveren, med e-posttilhørighet. Utløpte oppføringer fjernes ved neste forespørsel. Midlertidige hashbaserte forsøkstellere brukes til misbruksvern i 15 minutter, og for enkelte handlinger inntil 24 timer. Portalens applikasjon logger ikke e-postadresser, lenker eller sesjoner, og tilgangslogging er deaktivert for portalrutene. Formålet er å levere og sikre kundetilgangen, med grunnlag i avtalen og vår berettigede interesse i sikker drift. Rettings- og sletteforespørsler registreres i en tilgangsbegrenset innboks for manuell behandling; de sendes ikke automatisk som e-post til kunden. Vi beholder saksopplysningene så lenge det er nødvendig for oppfølging og dokumentasjon, og vurderer sletting når saken avsluttes. Du kan laste ned portalopplysninger og nettstedets samtykkelogg etter innlogging. For øvrig innsyn kan du kontakte oss som angitt i punkt 6.
De ordinære sidene på cookiehawk.com setter ingen informasjonskapsler (cookies) og laster ingen tredjepartsressurser. Etter et aktivt språkvalg i språkvelgeren lagres språkkoden i cookiehawk_site_lang i localStorage til du velger et annet språk eller sletter nettleserdata; vi behandler dette som nødvendig for språkfunksjonen du ba om. Lukker du den lovpålagt-stripen øverst, huskes det i ch_lawnote i sessionStorage til fanen lukkes. demosiden er et uttrykkelig unntak: demobanneret skriver cookiehawk_consent både som cookie (365 dager) og i localStorage, slik beskrevet i punkt 2. Vi verken leser eller lagrer den på serveren, men fordi cookien settes med Path=/, sendes den — som alle cookies — med i forespørslene til cookiehawk.com så lenge den finnes. Den brukes ikke til å kjenne deg igjen eller til statistikk. Vil du bli kvitt den, tilbakekall samtykket på demosiden eller slett nettleserdata. Kontrollert 1. september 2026 med vår egen skanner.