Endringer

Gjelder Databehandleravtalen

• Møteopptak: et møte kan tas opp uten å åpne et dokument først. Det lagres som et eget møte med referat, deltakere og samtykkebeviset, og lyden går til lagringen i biter mens møtet pågår. Formål, leverandører og oppbevaring er de samme: lyden slettes etter 90 dager.

Gjelder Underdatabehandlere

• Fly.io: databehandleravtalen er signert (13. oktober 2026). Avtalen er ikke offentlig hos Fly.io, og det står ved leverandøren.

Gjelder tillit, tilgjengelighet

• Tilgjengelighet: de fire avvikene fra målingen 7. oktober er rettet (kontrast i navigasjonen, i menyen i Innstillinger og i grå hjelpetekster, og verktøykortene på dashbordet). Ny måling 13. oktober fant ingen avvik, også i mørkt tema.
• Status er fortsatt «delvis i samsvar», fordi skjermleser, mobil, redigeringsflatene og noen sider ikke er testet ennå. Det står på siden.

Gjelder tillit, tilgjengelighet

• Ny side: tilgjengelighetserklæringen. Cure OS er målt mot WCAG 2.1 nivå AA og er delvis i samsvar. Fire avvik står oppført med hvor i appen de er, sammen med det vi ikke har testet ennå.
• Personvern og sikkerhet svarer nå også på om appen er universelt utformet.

Gjelder Personvernerklæringen

• Hurtigsjekken på app.cure.no/sjekk ber nå om navn, bedrift og e-post før sjekken starter. Opplysningene brukes til å ta kontakt om resultatet, og lagres som før i 365 dager.
• E-posten med lenken til resultatet sendes bare første gang en adresse oppgis det siste døgnet.

Gjelder Databehandleravtalen, Underdatabehandlere

• Ny underdatabehandler: HubSpot. Kunder som bruker HubSpot, kan få henvendelsene fra skjemaene på nettstedet sitt sendt dit, skjema for skjema og felt for felt.
• IP-adressen sendes bare når det er slått på for skjemaet og den besøkende har samtykket. HubSpots sporingskapsel følger bare med etter samtykke til markedsføring.
• Sletter kunden en henvendelse i Cure, må kopien i HubSpot slettes der.

Gjelder Underdatabehandlere, ai, tillit

• Ny side: AI og dataene dine. Den sier hvilke AI-leverandører vi bruker, hva de får, om de trener på innholdet og hvor lenge de beholder det, med lenke til leverandørens egne vilkår for hver påstand.
• Ny side: Personvern og sikkerhet, med korte svar på det kunder oftest spør om og lenker til alle dokumentene.

Gjelder Personvernerklæringen, Databehandleravtalen, Underdatabehandlere, Informasjonskapsler, Vilkårene

• Første publiserte versjon. Utkastmerket er tatt bort fra alle sidene.
• Hver underdatabehandler har fått adresse og kontaktpunkt for personvern, og avtaleparten er rettet der den var feil: Supabase Pte. Ltd., The Productive Company, Inc., Google Cloud EMEA Limited (Workspace og Gemini), Slack Technologies Limited, Anthropic Ireland, Limited, OpenAI Ireland Ltd og Plus Five Five, Inc. (Resend).
• OpenAI sto oppført med EU og USAs rammeverk for personvern (DPF). OpenAI er ikke sertifisert der, og grunnlaget er EUs standard personvernbestemmelser.
• Gemini sto oppført som behandlet i Irland. Google oppgir ingen fast region for Gemini API, og det står nå. Anthropic lagrer i USA og kan behandle i USA, Europa, Asia og Australia, og det står også.
• Railway kjører appen i Amsterdam, men drifter tjenesten fra USA. Møteopptak og video lagres i Europa, men ikke i Cloudflares EU-jurisdiksjon. Begge deler står nå.
• For Apple og Deepgram er overføringsgrunnlaget under vurdering. Apple har ingen databehandleravtale for push-varsler, og Deepgrams avtale inngås på forespørsel.
• Meta, LinkedIn og Meteorologisk institutt er selvstendig eller felles behandlingsansvarlige for det de mottar, og det står ved hver av dem.
• Vedlegg C sier nå at webappen kjører i Amsterdam.

Gjelder Personvernerklæringen, Databehandleravtalen, Underdatabehandlere

• Databehandleravtalen punkt 4 er rettet. Der sto det at Cure-ansatte bare har tilgang der arbeidet krever det. Det stemte ikke: alle Cure-ansatte har tilgang til kundens arbeidsområde for å levere tjenesten, og avtalen sier det nå.
• OpenAI er ført opp som mottaker for Curie. Fra 28. september 2026 kan Cure-ansatte velge GPT 5.6 Sol i Curie, og da mottar OpenAI det som skrives i chatten, vedlegg og innhold Curie henter fra kundens arbeidsområde. Kundens egne brukere kan ikke velge modellen.
• Lenken til Slacks databehandleravtale peker nå på Slacks egen avtale.
• Avtalen er utvidet med det artikkel 28 nr. 3 krever og som manglet: varighet, varsel om en instruks som bryter personvernreglene, at overføring ut av EØS er en del av instruksen, hjelp med vurdering av personvernkonsekvenser og forhåndsdrøfting, at vi svarer overfor kunden for underdatabehandlerne, at kunden velger mellom tilbakelevering og sletting, og et nytt punkt 12 om kundens ansvar. Lovvalg er nå punkt 13.
• Nytt vedlegg C beskriver sikkerhetstiltakene. En kunde får fra nå en avtale med eget vedlegg A (behandlinger) og B (underdatabehandlere) laget ut fra det kunden bruker.
• Ny behandling: databehandleravtalene med kundene, med signatar og kontaktpersoner hos kunden. De oppbevares så lenge kundeforholdet varer.
• IKKE PUBLISERT: sidene er fortsatt ikke gjennomgått av advokat.

Gjelder Personvernerklæringen

• Hurtigsjekken på app.cure.no/sjekk: kontaktopplysningene du legger igjen, går til teamet vårt i Slack, og du får en e-post med lenken til resultatet (Resend). Begge står nå som mottakere.
• Hver forespørsel om kontakt lagres for seg, og slettes etter 365 dager. Den kopieres ikke lenger til kunderegisteret vårt.
• IKKE PUBLISERT: sidene er fortsatt ikke gjennomgått av advokat.

Gjelder Personvernerklæringen

• Ny seksjon på engelsk om Google-brukerdata, etter Googles gjennomgang: hvilke data vi henter fra Google-kontoen, hva de brukes til, hvem de deles med, hvordan de beskyttes, og hvor lenge de oppbevares og hvordan de slettes.
• IKKE PUBLISERT: sidene er fortsatt ikke gjennomgått av advokat.

Gjelder Personvernerklæringen

• Ny seksjon om Google-kontoen din: hva møtebooking, Google Docs-eksport og Meet-import rører, at vi lagrer tilgangsnøkkelen og e-postadressen men ikke kalenderinnholdet, og at bruken følger Google API Services User Data Policy med kravene til begrenset bruk.
• IKKE PUBLISERT: sidene er fortsatt ikke gjennomgått av advokat.

Gjelder Personvernerklæringen, Databehandleravtalen

• Ny behandling: innspill til innholdskalenderen fra kundens butikker og ledelse. Navn, e-post, fritekst og bilder sendes gjennom et åpent skjema kunden deler med sine ansatte.
• Navn og e-post nulles ett år etter innsending. Ønsker som er lukket slettes to år etter innsending, og bildene slettes før raden.
• Bildene lagres på nytt uten metadata, så posisjon og kamerainformasjon fra telefonen følger ikke med.
• IKKE PUBLISERT: sidene er fortsatt ikke gjennomgått av advokat.

Gjelder Personvernerklæringen, Databehandleravtalen, Underdatabehandlere, Informasjonskapsler

• Ny behandling: AI-chat for besøkende på kundenes nettsteder. Anonym (ingen konto, IP bare som saltet hash), samtaler slettes etter 90 dager, IP-hashen nulles etter 30.
• Google (Gemini) og Anthropic mottar spørsmål fra besøkende og utdrag av kundens nettsted når chatten svarer.
• Chatten lagrer en besøks-id i nettleseren på kundens nettsted, først når du sender en melding.
• Frekvensgrensa: IP-adressen slettes nå senest sju døgn etter at den ble lagret, uansett hvor ofte du er innom. Fristen telte før fra siste besøk, og en adresse som var innom jevnlig kunne dermed bli liggende lenger.
• IKKE PUBLISERT: sidene er fortsatt ikke gjennomgått av advokat.

Gjelder Personvernerklæringen, Databehandleravtalen, Underdatabehandlere, Informasjonskapsler

• Møteopptak: lyden slettes automatisk etter 90 dager, referatet blir. Opptak kan slettes permanent fra møtekortet.
• Samtykket til opptak lagres nå med hvem, når og hvilken tekst som sto der (artikkel 7 nr. 1).
• Vi har meldt oss av Deepgrams modellforbedring. All lyd sendt før 2. september 2026 gikk med kontoens standard.
• Sletting av egen konto er selvbetjent, med sju dagers angrefrist.
• Innsyn i egne opplysninger er selvbetjent, som en nedlastbar pakke med manifest.
• DPIA for møteopptak og prosedyre for avviksvarsling er skrevet.
• IKKE PUBLISERT: sidene er fortsatt ikke gjennomgått av advokat.

Gjelder Personvernerklæringen, Databehandleravtalen, Underdatabehandlere, Informasjonskapsler

• Første utkast av behandlingsprotokollen. IKKE PUBLISERT: de juridiske sidene er ikke skrevet ennå, og teksten er ikke gjennomgått av advokat.