Personvernerklæring — weakestlink
Sist oppdatert: 29. september 2026
Denne erklæringen beskriver hvordan weakestlink behandler personopplysninger i de tilfellene der vi selv er dataansvarlig. Bruker arbeidsgiveren din weakestlink til sikkerhetstrening, er arbeidsgiveren dataansvarlig for medarbeideropplysningene, og weakestlink er databehandler — se Vedlegg A.
1. Dataansvarlig
WEAKESTLINK ApS (dansk CVR-nr. 46614011) er behandlingsansvarlig for behandlingen av personopplysninger på weakestlink.io. Kontakt: info@weakestlink.io.
2. Hvilke opplysninger vi behandler, hvorfor og med hvilket rettslig grunnlag
| Opplysninger | Formål | Rettslig grunnlag (GDPR art. 6) | Slettes |
|---|---|---|---|
| Kontaktperson hos kunden (navn, e-post, stilling) | Opprette og administrere organisasjonens konto | Kontrakt (art. 6(1)(b)) | Ved kundeforholdets opphør |
| Faktureringsopplysninger | Fakturering og regnskap | Rettslig forpliktelse (art. 6(1)(c)) | 5 år, jf. den danske bogføringsloven (bokføringsloven) |
| Server-logger (IP, tidspunkt) | Drift og sikkerhet | Berettiget interesse (art. 6(1)(f)) | 90 dager |
| E-postadresse, når du selv melder deg på for å få høre om en kommende modul (KI-klar, deepfake) | Gi deg beskjed når modulen er klar | Samtykke (art. 6 nr. 1 bokstav a) — du kan trekke det tilbake ved å skrive til oss | Senest 12 måneder etter påmeldingen |
| Googles klikk-ID når du kommer fra en Google-annonse, tidspunktet for klikket, og om kontoen ble opprettet eller begynte å betale | Annonsemåling: å se om en annonse hos Google førte til at en konto ble opprettet | Berettiget interesse (art. 6(1)(f)) — du kan protestere, se avsnitt 7 | 90 dager etter klikket. Hvis en konvertering er rapportert til Google, slettes den 90 dager etter rapporteringen |
| Besøksstatistikk: sidevisninger og klikk på knapper, med nettlesertype, enhet og land. Uten informasjonskapsler, og IP-adressen lagres ikke | Se hvilke sider som brukes, slik at vi kan forbedre dem. Statistikken kjører på vår egen server (Umami) og deles ikke med noen tredjepart | Berettiget interesse (art. 6(1)(f)) | Lagres som samlet statistikk uten navn, e-post eller IP-adresse |
Vi behandler ikke fødselsnummer og ingen sensitive opplysninger (GDPR art. 9).
3. AI-behandling
Vi bruker KI (Claude fra Anthropic) til å utarbeide opplæringsinnhold og simuleringsmaler — leksjoner, quizer og lokke-e-poster — internt, før det publiseres. Det sendes ingen kundedata og ingen personopplysninger om de ansatte deres til KI-tjenester, og det kjøres ingen KI på dataene deres i drift.
4. Databehandlere og underdatabehandlere
Vi bruker følgende databehandlere. For leverandører utenfor EU/EØS skjer overføringen på grunnlag av EU-kommisjonens adekvansbeslutning (EU-U.S. Data Privacy Framework) og/eller standard personvernbestemmelser (SCC):
| Leverandør | Tjeneste | Land | Overføringsgrunnlag |
|---|---|---|---|
| Anthropic PBC | KI-forfatning av treningsinnhold (offline) | USA | DPF/SCC |
| Brevo (Sendinblue SAS) | Utgående transaksjons- og varslings-e-post (f.eks. e-postbekreftelse) | Frankrig | — |
| Cloudflare, Inc. | Nettverk, TLS og DDoS-beskyttelse | USA | DPF/SCC |
Hosting skjer på egen infrastruktur i Danmark.
Betaler dere med kort, blir kortopplysninger og betalingsdata behandlet av vår betalingsløsning QuickPay (QuickPay ApS, Danmark) og kortinnløseren Clearhaus (Clearhaus A/S, Danmark) som selvstendige behandlingsansvarlige etter betalingslovgivningen — ikke som våre databehandlere. Vi mottar aldri deres fulle kortnummer. QuickPays og Clearhaus' egne personvernerklæringer gjelder for den behandlingen.
5. Videreformidling
Vi deler bare opplysninger når det er nødvendig for å levere tjenesten, når loven krever det, eller med samtykke. Ett unntak: Kom du til oss fra en Google-annonse, sender vi annonsens klikk-ID, tidspunktet og om kontoen ble opprettet eller betalt, til Google Ireland Ltd. (Google Ads), slik at vi kan se hvilke annonser som virker. Vi sender verken navn, e-post eller IP-adresse. Google kan overføre opplysningene til Google LLC i USA. Ifølge Google skjer dette på grunnlag av EU-U.S. Data Privacy Framework, som Google LLC er sertifisert under, og ellers på grunnlag av standard personvernbestemmelser (SCC). Vi selger aldri opplysninger.
6. Oppbevaring og sletting
Konkrete frister fremgår av tabellen i avsnitt 2. Regnskapsmateriale oppbevares i 5 år fra utgangen av regnskapsåret, jf. bokføringsloven. Deretter slettes eller anonymiseres opplysningene.
7. Dine rettigheter
Du har rett til innsyn, retting, sletting, begrensning av behandlingen, dataportabilitet og til å protestere (GDPR art. 15–21). Har du gitt samtykke, kan du når som helst trekke det tilbake med virkning fremover. Skriv til info@weakestlink.io – vi svarer senest én måned etter at vi har mottatt henvendelsen. Vil du ikke at vi skal bruke annonsens klikk-ID (avsnitt 2 og 5), kan du protestere (art. 21) ved å skrive til samme adresse – da sletter vi klikk-ID-en og rapporterer ikke noe om kontoen din til Google. Er du ansatt hos en kunde, kan du også henvende deg til arbeidsgiveren din, som er behandlingsansvarlig (se vedlegg A).
8. Klage
Du kan klage over vår behandling til det danske Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby, www.datatilsynet.dk. Du kan også klage til Datatilsynet i Norge, www.datatilsynet.no (i tillegg til det danske Datatilsynet som ledende myndighet).
9. Informasjonskapsler
Vi bruker to informasjonskapsler: en øktkapsel som brukes til innlogging og sikkerhet, og – hvis du selv velger språk i språkvelgeren – en kapsel som husker valget ditt. Kommer du fra en Google-annonse, lagrer vi annonsens klikk-ID i økten på serveren vår, slik at vi kan fortelle Google om klikket førte til en konto (se avsnitt 5). Selve informasjonskapselen inneholder bare en tilfeldig økt-ID. Vi bruker ingen andre sporingskapsler og ingen tredjepartskapsler, og besøksstatistikken (Umami) bruker ingen informasjonskapsler.
10. Endringer
Vesentlige endringer i denne personvernerklæringen varsles på weakestlink.io og/eller per e-post.
Vedlegg A — rollefordeling ved medarbeideropplæring
Når en virksomhet (din arbeidsgiver) bruker weakestlink til sikkerhetsopplæring og phishing-simulering, er virksomheten behandlingsansvarlig for medarbeideropplysningene, og weakestlink er databehandler. Behandlingen skjer etter instruks i en databehandleravtale som inngås ved opprettelse. Denne policyen gjelder da bare for opplysningene vi selv er behandlingsansvarlige for (kundens kontakt- og faktureringsdata samt drift).
Phishing-simuleringer kjøres kun på et dokumentert rettslig grunnlag (samtykke fra organisasjonen og en godkjent interesseavveining). Rapportene er samlet og viser bare tall for grupper på minst fem personer. Den enkelte medarbeiders resultater (risikoscore, kursforløp og simuleringshendelser) kan bare ses av organisasjonens administrator — og av ledere, hvis organisasjonen selv slår det på. Formålet er målrettet ekstra trening, aldri utstilling eller sanksjoner. Resultatene lagres under kundeforholdet og slettes når det opphører, etter databehandleravtalen. Vi lagrer aldri hva en medarbeider taster i en simulering, kun at en hendelse skjedde.