1. Innledning

Denne personvernerklæringen redegjør for hvordan Nordive AS («Nordivé», «vi», «oss») behandler personopplysninger i forbindelse med drift av nettstedet nordive.ai og tjenesten Nordivé («tjenesten»). Erklæringen er utarbeidet i samsvar med personopplysningsloven (LOV-2018-06-15-38) og EUs personvernforordning (forordning 2016/679, GDPR).

Behandlingsansvarlig er Nordive AS med organisasjonsnummer 938 011 710. Spørsmål om denne erklæringen eller behandlingen vår av personopplysninger kan rettes til kontakt@nordive.ai.

2. Personopplysninger vi behandler

2.1 Besøkende på nordive.ai

Nordivé bruker ingen analyseverktøy, statistikkverktøy eller sporingspiksler på nordive.ai. Vi måler ikke besøk, sidevisninger eller tid brukt på siden.

Det som likevel registreres, er de tekniske tjenesteloggene hostingleverandøren vår (Vercel) fører for å levere og sikre nettstedet:

• IP-adresse
• Nettleseridentifikator (user agent)
• Hvilken adresse som ble forespurt, og tidspunktet

Disse loggene opprettes av Vercel som ledd i driften, ikke av Nordivé for analyseformål, og slettes etter Vercels egne oppbevaringsrutiner. Behandlingsgrunnlag: berettiget interesse i sikker og stabil drift (GDPR art. 6 nr. 1 bokstav f).

Nettstedet henter skrifttyper fra Google Fonts. Når siden lastes, sender nettleseren din IP-adresse og nettleserinformasjon til Google. Google Fonts setter ingen cookies. nordive.ai setter heller ingen egne cookies.

2.2 Kontakt- og demoforespørsler

Når du sender forespørsel via kontaktskjema eller e-post, behandler vi:

• Navn, e-postadresse og telefonnummer
• Firmanavn og rolle
• Innhold i meldingen din

Behandlingsgrunnlag: avtaleinngåelse på din anmodning (GDPR art. 6 nr. 1 bokstav b). Opplysningene oppbevares i inntil 24 måneder etter siste kontakt, deretter slettes de.

2.3 Brukerkontoer i Nordivé-tjenesten

Brukere av tjenesten logger inn med sin eksisterende Microsoft 365-konto (Microsoft Entra ID), eller med Google Workspace der firmaet bruker det. Vi mottar følgende opplysninger fra identitetstilbyderen:

• Navn og e-postadresse
• Microsoft Object ID (OID) eller tilsvarende konto-ID fra Google: unik intern identifikator
• Firma-domene (for organisasjonstilhørighet)
• Tilgangs- og refresh-tokens (for å hente data på dine vegne)

Behandlingsgrunnlag: oppfyllelse av kontrakt med kunden (advokatfirmaet): GDPR art. 6 nr. 1 bokstav b.

2.3.1 Support-henvendelser i tjenesten

Bruker du support-chatten i Nordivé, lagrer vi meldingene og eventuelle vedlegg du laster opp, sammen med e-postadressen din. Én løpende tråd per bruker. Innholdet skrives av deg, og et skjermbilde kan inneholde klientinformasjon dersom du velger å sende det. Vi ber deg maskere eller utelate klientopplysninger som ikke er nødvendige for å løse saken.

Behandlingsgrunnlag: oppfyllelse av kontrakt (GDPR art. 6 nr. 1 bokstav b). Support-meldinger slettes automatisk, i dag etter 30 dager, og vedlegg etter 7 dager. Ingen support-tråd oppbevares lenger enn 12 måneder.

2.4 Innhold som behandles gjennom tjenesten

Når en advokat bruker Nordivé til å analysere e-poster, dokumenter eller andre datakilder, behandles personopplysninger om tredjeparter (klienter, motparter, vitner m.fl.) som kan inneholde særlige kategorier av personopplysninger jf. GDPR art. 9 og opplysninger om straffedommer jf. art. 10. For slike data er kunden (advokatfirmaet) behandlingsansvarlig, og Nordivé opptrer som databehandler. Forholdet reguleres av en databehandleravtale i tråd med GDPR art. 28, og Nordivé behandler opplysningene utelukkende etter dokumenterte instrukser fra behandlingsansvarlig, jf. art. 28 nr. 3 bokstav a.

Nordivé har ingen egen database for e-post, dokumenter eller saksinnhold. Når du ber om en analyse, sendes innholdet i transitt til en språkmodell i EU og behandles der uten å bli brukt til modelltrening:

• Terra og Sol kjøres i Microsoft Azure (Azure OpenAI, ressurs i Sweden Central, EU-datasone). Azure OpenAI ble lagt til i underbehandlerlisten 25. september 2026. Det er modellene som brukes til analyse av e-post og til svarutkast.
• Claude (Anthropic) kjøres i AWS Bedrock med EU-inferensprofiler, med kall fra eu-west-1 (Irland). Brukes blant annet til dokumentanalyse og i assistenten når du velger det.

Resultatet lagres i kundens egen Microsoft OneDrive, i Nordivés appmappe. Skannede dokumenter uten tekstlag kan sendes til Azure Document Intelligence for tekstgjenkjenning. Se underbehandlerlisten (NOR-UND-001) og sikkerhetsarkitekturen (NOR-ARK-001) for regioner og lagring.

Automatisert avgjørelse: AI-genererte forslag og analyser fra Nordivé er rådgivende og skal verifiseres av advokaten. Tjenesten foretar ikke automatiserte avgjørelser med rettsvirkning eller tilsvarende vesentlig betydning for personer, jf. GDPR art. 22.

2.4.1 Bakgrunnsanalyse av e-post

Slår du på bakgrunnsanalyse, analyseres nye e-poster også når Nordivé ikke er åpent. Microsoft varsler Nordivés backend om ny e-post. Backend henter e-posten med en fornyelsesnøkkel (refresh-token) du har gitt tilgang til, analyserer den i minnet og skriver resultatet til din egen OneDrive-appmappe. E-postinnholdet lagres ikke på Nordivés servere.

Fornyelsesnøkkelen lagres i Azure Table Storage, kryptert med en nøkkel som er beskyttet i en maskinvaresikkerhetsmodul (HSM) i Azure Key Vault. Den slettes når du slår av funksjonen, og etter 90 dager uten bruk. Funksjonen er av til du selv slår den på.

2.4.2 Tjenester firmaet selv kobler til

Enkelte funksjoner henter eller sender opplysninger til systemer firmaet allerede bruker. Det skjer bare når firmaet eller brukeren har koblet dem til:

• PowerOffice GO og Tripletex: Når du sender timeføringer, overføres sak eller prosjekt, aktivitet, dato, antall timer og beskrivelse. Nordivé henter kunder, prosjekter og aktiviteter for å koble timene til riktig sak.
• Telia Smart Connect (Phonero): Når firmaets administrator kobler til sentralbordet, henter Nordivé samtaledata for firmaets brukere: eget nummer, motpartens nummer, retning, tidspunkt og varighet. Opplysningene lagres i Azure Table Storage (Norway East) i 90 dager og brukes til å foreslå timeføringer. Lyd eller innhold i samtaler behandles ikke.
• Microsoft Teams: Slår firmaet på Teams-varsler, sender Nordivé korte oppsummeringer til kanalen firmaet har valgt.

Oppslag i offentlige kilder (Lovdata, Brønnøysundregistrene, Kartverket og svenske rettskilder) er beskrevet i underbehandlerlisten, § 3.1.

2.5 Mobilappen for Android

Nordivé finnes også som app for Android. Appen er den samme tjenesten som app.nordive.ai, med de samme kontoene og de samme filene i din egen Microsoft 365. I tillegg kan appen, dersom du selv skrur det på, foreslå timeføring for telefonsamtaler. Det krever tilgang til to ting på telefonen:

• Samtaleloggen (READ_CALL_LOG): Appen leser tidspunkt, varighet og nummer for samtaler som er ført på telefonen, og sammenligner nummeret lokalt med klientregisteret ditt for å foreslå hvilken sak samtalen hører til. Forslaget, med tidspunkt, varighet og nummer, skrives til din egen OneDrive-appmappe sammen med de andre timene dine. Samtaleloggen sendes ikke til Nordivés servere. Samtaler som ikke ble besvart, og samtaler under et halvt minutt, blir ikke foreslått.
• Telefonstatus (READ_PHONE_STATE): Brukes bare til å oppdage at en samtale er avsluttet, slik at appen kan spørre om samtalen skal føres mens du fortsatt husker hva den gjaldt. Varselet viser hvor lenge samtalen varte, ikke hvem du snakket med.

Begge tilgangene er valgfrie og kan trekkes tilbake når som helst i telefonens innstillinger. Uten dem virker resten av appen som før: innboks, assistent, oppgaver og timeføring. Appen ber også om lov til å vise varsler (om nye e-poster, frister og samtaler). Varslene lages på telefonen ut fra data appen allerede har hentet på dine vegne, og ingen varslingstjeneste hos tredjepart er involvert.

Innloggingstokens lagres i telefonens krypterte nøkkellager (Android Keystore). Filene i OneDrive-appmappen er kryptert på samme måte som i nettappen, se sikkerhetsarkitekturen § 5.

Behandlingsgrunnlag: samtykke (GDPR art. 6 nr. 1 bokstav a) for samtaleloggen og telefonstatus, som gis ved å gi appen tilgangen. For resten av appen gjelder det samme grunnlaget som for tjenesten ellers, se 2.3 og 2.4.

2.6 Nordivé Tid på Mac og Windows

Nordivé Tid er et panel på Mac eller Windows som registrerer arbeidsaktivitet og lager forslag til timeføring. Windows-utgaven er ikke lansert ennå; beskrivelsen gjelder begge når den blir tilgjengelig. Etter at du har aktivert tidsfangst, registreres aktivt program, vindustittel, tilgjengelig nettadresse, tidspunkt og varighet. Titler og adresser kan inneholde klientnavn, dokumentnavn eller andre personopplysninger. Panelet registrerer inaktivitet for å avgrense tidsøkter. Det lagrer ikke tastetrykk og tar ikke opp lyd. Du kan pause fangsten og velge programmer som ikke skal registreres.

Aktivitetsøktene lagres på maskinen og synkroniseres til Nordivés appmappe i din OneDrive (tillatelsen Files.ReadWrite.AppFolder). Øktfilene krypteres ikke separat av panelet; de er beskyttet av Microsofts kryptering i OneDrive og av tilgangen til maskinen. For å vise ikoner henter panelet nettstedsikonet (favicon) direkte fra nettsteder som finnes i aktiviteten din.

2.6.1 Nordwatch (valgfritt, av som standard)

Nordwatch foreslår fakturatekst ut fra teksten i vinduene du jobber i. Funksjonen er av til du slår den på, og kan slås av når som helst. Når den er på, leser panelet teksten i det aktive vinduet med skjermopptak og tekstgjenkjenning på maskinen, bare i programmer og på nettsteder du har valgt. Bildet forkastes etter tekstlesingen, og bare den gjenkjente teksten beholdes. På Mac kan brukeren selv velge å beholde skjermbildene; de lagres da kryptert på maskinen og synkroniseres ikke. Private programmer, passordfelt i fokus og perioder der fangsten står på pause, leses ikke.

Teksten lagres kryptert på maskinen (AES-GCM, med nøkkelen i Macens nøkkelring eller beskyttet av Windows for din brukerkonto) og slettes automatisk etter sju dager, eller tidligere hvis sporet passerer 250 MB. Skjermteksten synkroniseres ikke til OneDrive. Bare et forslag du selv velger å bruke, blir en del av timeføringen.

Som standard lages forslagene på maskinen uten AI. Velger du forslag med Sol, og firmaet har aktivert tjenesten, sendes et utvalg av teksten via Nordivés backend til språkmodellen Sol i Microsoft Azure (EU-datasone). Navn, e-postadresser, telefonnumre og hemmeligheter maskeres på maskinen før sending. Maskeringen er mønsterbasert og ikke en garanti. Kallet gjøres uten lagring av svaret hos Azure (store: false), Nordivé lagrer ikke teksten, og kostnadsloggen inneholder bare modell, antall tokens og konto-ID. Ingen skjermbilder sendes.

For aktivitetsdata og skjermtekst er kunden (advokatfirmaet) behandlingsansvarlig og Nordivé databehandler, på samme måte som for innhold i 2.4.

3. Formålet med behandlingen

4. Lagringstid

Vi oppbevarer personopplysninger ikke lenger enn nødvendig for formålet de er samlet inn for:

• Tjenestelogger på nordive.ai: etter Vercels oppbevaringsrutiner
• Kontaktforespørsler: 24 måneder etter siste kontakt
• Aktive brukerkontoer: så lenge avtalen med kunden består
• Brukerkontoer etter avtaleopphør: slettes senest 30 dager etter at avtalen er avsluttet. Slettingen gjøres i dag manuelt av Nordivé; inaktive kontoer slettes ikke automatisk
• Tokens og sesjonsdata: automatisk utgått etter 8 timer inaktivitet
• Support-meldinger og vedlegg: 30 dager for meldinger og 7 dager for vedlegg, aldri mer enn 12 måneder
• Fornyelsesnøkkel for bakgrunnsanalyse: til funksjonen slås av, og slettes etter 90 dager uten bruk
• Samtaledata fra sentralbord (Phonero): 90 dager
• Nordwatch-tekst på maskinen: sju dager, eller til sporet passerer 250 MB
• Bruks- og kostnadslogg (konto-ID, funksjon, modell og antall tokens): så lenge kundeforholdet varer, og slettes senest 30 dager etter avtaleopphør
• Applikasjons- og sikkerhetslogger (Azure Application Insights og Azure-aktivitetsloggen): 90 dager
• Fakturering og regnskap: 5 år (jf. bokføringsloven § 13)

5. Utlevering til tredjeparter

Vi selger ikke personopplysninger og deler dem ikke med tredjeparter for markedsføringsformål. Personopplysninger kan likevel overføres til følgende kategorier mottakere:

• Databehandlere som leverer tjenester på våre vegne:
  • Microsoft Ireland Operations Limited (Azure Functions og Azure Container Apps i Norway East, Azure OpenAI i Sweden Central med EU-datasone, Azure Table Storage, Azure Key Vault, Entra ID-autentisering, OneDrive-lagring i kundens egen tenant, Document Intelligence)
  • Amazon Web Services EMEA SARL (AWS Bedrock med EU-inferensprofiler for Claude-modellene)
  • Anthropic PBC (modell-leverandør via AWS Bedrock; mottar ikke kundedata direkte)
  • Vercel Inc. (hosting av nordive.ai og app.nordive.ai)
  Fullstendig oversikt med datalokasjon og overføringsmekanisme finnes i separat dokument «Liste over underbehandlere» (NOR-UND-001).
• Offentlige myndigheter når vi er rettslig forpliktet til det (skatteetaten, politi etter rettslig kjennelse)
• Profesjonelle rådgivere (revisor, advokat) ved behov for juridisk eller regnskapsmessig bistand

6. Overføring til tredjeland

Personopplysninger behandles innenfor EU/EØS i normal drift. Backend kjører i Microsoft Azure Norway East (Oslo-området). Språkmodellene Terra og Sol kjøres i Azure OpenAI med en EU-datasone-utrulling: ressursen ligger i Sweden Central, og en forespørsel kan behandles i et hvilket som helst EU-land innenfor datasonen. Claude-modellene kjøres i AWS Bedrock med EU-inferensprofiler, som kan fordele forespørsler mellom AWS-regioner i EU. Bedrock lagrer ikke forespørsler og svar, og Anthropic mottar dem ikke. Azure OpenAI lagrer ikke forespørsler og svar i modellen, og Nordivé bruker ikke Microsofts funksjon for lagrede svar. Microsofts misbruksovervåking kan likevel velge ut forespørsler og svar og oppbevare dem midlertidig for kontroll (Microsoft har oppgitt inntil 30 dager). Slike data lagres i EU, eventuell manuell gjennomgang skjer i EØS, og de brukes ikke til modelltrening.

Selv om disse underbehandlerne leverer tjenester fra EU-baserte datasenter, har morselskapene i Microsoft, AWS, Anthropic og Vercel hovedkontor i USA. For å imøtekomme kravene etter Schrems II har Nordivé etablert følgende rettslige forsvarslag:

• Alle underbehandlerne er sertifisert under EU-U.S. Data Privacy Framework (DPF), sist kontrollert mai 2026
• Standard Contractual Clauses (SCC) er inntatt i underleverandøravtalene som subsidiær mekanisme
• Transfer Impact Assessment (TIA) er gjennomført og dokumentert
• Tekniske tiltak (kryptering i transitt og ved lagring, EU-regioner og EU-datasone for all AI-behandling, ingen lagring hos Bedrock) reduserer risikoen ytterligere

7. Dine rettigheter

Du har følgende rettigheter etter personvernforordningen:

• Innsyn i hvilke personopplysninger vi behandler om deg (GDPR art. 15)
• Retting av uriktige opplysninger (art. 16)
• Sletting i visse tilfeller, «retten til å bli glemt» (art. 17)
• Begrensning av behandlingen (art. 18)
• Dataportabilitet: utlevering i strukturert maskinlesbart format (art. 20)
• Innvendinger mot behandling basert på berettiget interesse (art. 21)
• Trekke samtykke tilbake der vi har innhentet det (art. 7 nr. 3)
• Ikke gjenstand for automatiserte avgjørelser med rettsvirkning (art. 22). Nordivé foretar ikke slike avgjørelser.

Henvendelser sendes til kontakt@nordive.ai. Vi besvarer innen én måned etter mottak, jf. GDPR art. 12 nr. 3. Ved komplekse henvendelser kan svarfristen forlenges med inntil to ytterligere måneder, og vi varsler deg om dette innen én måned. Identitet kan måtte verifiseres før utlevering. Behandlingen er gratis. Du har også rett til å klage til Datatilsynet (postmottak@datatilsynet.no, telefon 22 39 69 00, www.datatilsynet.no).

8. Sikkerhet

Vi har implementert tekniske og organisatoriske tiltak for å beskytte personopplysninger mot uautorisert tilgang, endring eller sletting:

• Kryptering i transitt (TLS 1.2 eller nyere) og ved lagring (AES-256)
• Innlogging med Microsoft (Entra ID), slik at firmaets egne regler for multifaktor og betinget tilgang gjelder
• Minimal datalagring: ingen egen database for e-post, dokumenter eller saksinnhold
• Fornyelsesnøkler for bakgrunnsanalyse beskyttet av en HSM-nøkkel i Azure Key Vault
• Tilgangskontroll med prinsipp om minste privilegium
• Avhengighetsovervåking og skanning etter hemmeligheter i kildekoden
• Drift hos sertifiserte skyleverandører (Microsoft Azure, AWS, Vercel)
• Mobilappen holder tokens i Android Keystore og sender ikke samtaleloggen til Nordivés servere

Se sikkerhetsarkitektur-dokumentet for utfyllende informasjon.

9. Cookies og lokal lagring

Nettstedet og tjenesten bruker tekniske cookies og lokal lagring (localStorage, IndexedDB) for å levere kjernefunksjonalitet. Vi bruker ikke markedsføringscookies eller sporing for tredjeparts annonsering. Detaljer om hvilke cookies som settes, finnes i eget dokument «Lagring og cookies».

10. Endringer i denne erklæringen

Vi kan endre denne personvernerklæringen ved vesentlige endringer i hvordan vi behandler personopplysninger. Ved vesentlige endringer varsler vi aktive brukere per e-post 30 dager før endringen trer i kraft. Mindre redaksjonelle endringer publiseres uten varsel; gjeldende versjon og dato vises alltid øverst i dokumentet.

11. Kontakt

Spørsmål om personvern, anmodninger om innsyn eller andre henvendelser knyttet til denne erklæringen sendes til:

Nordive AS
Brønnveien 1A, 0283 Oslo
E-post: kontakt@nordive.ai
Org.nr 938 011 710