Personvern­erklæring for bedrifter og kontaktpersoner

B.1 Hvem denne erklæringen gjelder for

Erklæringen gjelder fysiske personer på fordringshaversiden. Skyldnere dekkes av en egen erklæring.

Den gjelder deg hvis du er:

• kontaktperson, saksbehandler eller regnskapsansvarlig hos en nåværende eller mulig fordringshaver,
• signatar eller fullmektig i en oppdragsavtale,
• reell rettighetshaver eller styremedlem identifisert ved avtaleinngåelse,
• bruker av fordringshaverportalen,
• kontaktperson hos et prospekt eller mottaker av vår markedsføring,
• kontaktperson hos fordringshaverens rådgiver, revisor, bank eller leverandør.

Den dekker også andre navngitte personer i materiale fra fordringshaveren eller dens offentlige nettsider (B.12 og B.13).

B.14 er skrevet for fordringshaverens personvern- og innkjøpsmiljø og gjelder Auduns rolle for skyldneropplysninger.

B.2 Behandlingsansvarlig

Audun Collection AS Organisasjonsnummer: 937 848 293 Registrert adresse, forretningsadresse og postadresse for personvernhenvendelser: Møllergata 6, 0179 Oslo Registrert i Foretaksregisteret (Brønnøysundregistrene)

Vi har ingen representant etter artikkel 27; vi er etablert i Norge (artikkel 3 nr. 1). Personvernforordningen gjelder i Norge ved EØS-komiteens beslutning nr. 154/2018 (vedlegg XI punkt 5e).

«Audun Inc.» er et visningsnavn mot skyldnere i det amerikanske markedet, ikke avtalepart eller behandlingsansvarlig. Eget amerikansk rettssubjekt: us entity status.

B.3 Personvernombud

Personvernombud: personvernombudets navn E-post: personvernombudets e-postadresse Postadresse: personvernombudets postadresse

Kontakt ombudet direkte, også for å bruke rettighetene i B.9.

B.4 Formål, personopplysninger og rettslig grunnlag

Vi gjør ikke kundetiltak etter hvitvaskingsloven; inkassoforetak er ikke rapporteringspliktige (§ 4).

Sanksjonskontroll ved utbetaling av klientmidler: sanctions screening status. Er statusen ikke «i drift», kontrollerer vi ikke. Pålegger sanksjonsloven med forskrifter kontroll, er grunnlaget artikkel 6 nr. 1 bokstav c, og vi oppdaterer erklæringen først.

Produktanalyse skjer bare aggregert eller anonymt.

B.5 Våre berettigede interesser, konkretisert

Interessene etter artikkel 6 nr. 1 bokstav f er:

1. Å inngå og gjennomføre et lovlig inkassooppdrag – vite hvem som representerer fordringshaveren, kan gi anvisninger og kan kontaktes.
2. Å oppfylle våre plikter som inkassoforetak – avklare tvil om krav, stanse inndriving ved tvil, dokumentere det.
3. Å forsvare og forfølge rettskrav, egne og fordringshaverens, også i klagesak og rettssak.
4. Å beskytte plattformen og opplysningene – tilgangskontroll, logging, forebygging av misbruk.
5. Å tilby tjenesten til virksomheter – bare yrkesmessig kontakt, med ubetinget reservasjonsadgang.

Vi har en skriftlig interesseavveining; skriv til personvernombudets e-postadresse for en beskrivelse.

B.6 Hvem vi deler opplysningene med

Vi selger ikke personopplysninger og deler dem ikke til andres markedsføring. Fullstendig, versjonert oversikt med rettssubjekt, behandlingsland, lagringsland og overføringsgrunnlag: listen over underleverandører og mottakere.

Databehandlere

• Google Cloud Platform – drift, database, lagring, logging. Primærregion Frankfurt (europe-west3), sekundærregion Belgia (europe-west1).
• Google Firebase Authentication / Identity Platform – innlogging. Lagringsland: firebase auth residency.
• Google Workspace – e-post og identitetsforvaltning.
• Temporal Cloud – arbeidsflytorkestrering, region temporal region. Kontaktpersoner i arbeidsflyter ligger i historikken inntil temporal retention days dager.
• Grafana Cloud – måltall og driftsvisning, spurt via føderert arbeidsbelastningsidentitet.
• Slack, Linear og GitHub – intern arbeidsstyring; navn og e-post kan fremkomme i supporttråder og oppgaver.
• Mailgun (Sinch) – e-post til og fra fordringshavere. Skriftlig forpliktelse om datalagring i EU: mailgun residency commitment. AgentMail er avtalt, men ikke aktivert i produksjon før databehandleravtalen er signert.

Leverandører av språkmodeller

• Anthropic – oppsummering av fordringshaveres offentlige nettsider (B.13), behandlet i USA.
• Anthropic via Google Vertex AI – europeisk endepunkt under Googles databehandleravtale.
• OpenAI – bruk mot personopplysninger avhenger av en beslutning registrert som adr254 status; ubesluttet bruk beskrives ikke.

Selvstendige mottakere

• Rådgivere, revisor, forsikringsgiver og bankforbindelse, når nødvendig.
• Finanstilsynet, Datatilsynet og andre myndigheter, på lovlig grunnlag.
• Domstoler og klageorgan ved behov.

Bislab og andre mottakere av skyldneropplysninger får ikke opplysninger om deg (B.14).

B.7 Overføring ut av EØS

Noen leverandører behandler personopplysninger utenfor EØS, hovedsakelig i USA.

Hovedgrunnlag: beslutning om tilstrekkelig beskyttelsesnivå. EU–US Data Privacy Framework gjelder i Norge ved EØS-komiteens beslutning nr. 169/2024 (vedlegg XI punkt 5ex), i kraft 6. juli 2024. Hver overføring har en intern eier og et fast kontrollintervall for sertifiseringen.

Reserve: Europakommisjonens standard personvernbestemmelser der beslutningen ikke dekker overføringen, blir ugyldig, suspendert eller endret, eller leverandøren ikke lenger er omfattet. De gjelder i Norge ved EØS-komiteens beslutning nr. 336/2022 (vedlegg XI punkt 5ev og 5ew) og ligger klare på forhånd.

Kompetent tilsynsmyndighet i bestemmelsene er Datatilsynet. Skriv til personvernombudets e-postadresse for kopi av garantiene. Oversikten over underleverandører angir grunnlag per rad («hovedgrunnlag → reserve») og underleverandører uten tilstrekkelighetsbeslutning.

B.8 Hvor lenge vi lagrer

Håndheving. Vi har i dag ikke automatisk sletting i drift for alle kategoriene over. Sletting skjer ved dokumentert gjennomgang og på forespørsel. Automatisk håndheving av fristene er under innføring.

Lagringssted for regnskapsmateriale. Elektronisk i EØS, med skriftlig melding til skattekontoret etter bokføringsforskriften § 7-5. Dato for meldingen: skattekontor notification date.

B.9 Dine rettigheter, og hvordan du bruker dem

Du har rett til:

• innsyn
• retting av uriktige opplysninger
• sletting og begrensning
• protest mot behandling basert på berettiget interesse; mot direkte markedsføring gjelder den ubetinget
• å trekke samtykke når som helst, like enkelt som du ga det, uten virkning for lovligheten av behandlingen før du trakk det
• dataportabilitet: kopi i strukturert, alminnelig brukt og maskinlesbart format av opplysninger vi behandler automatisert på avtalegrunnlag, ikke ved berettiget interesse eller rettslig forpliktelse

Slik gjør du det. Skriv til personvernombudets e-postadresse eller personvernombudets postadresse. Vi svarer innen én måned, i komplekse saker inntil to måneder til med beskjed innen den første. Vi ber om identifikasjon bare når nødvendig. Kostnadsfritt, med mindre henvendelsen er åpenbart grunnløs eller overdreven.

Grensene for sletting. Vi kan ikke slette det vi må oppbevare, se B.8. Revisjonssporet kan identifisere deg etter annen sletting, og slettede opplysninger kan gjenopprettes fra sikkerhetskopi i inntil backup erasure lag days dager.

Klage. Klag først til personvernombudet på personvernombudets e-postadresse. Du kan uansett klage til Datatilsynet (Postboks 458 Sentrum, 0105 Oslo, datatilsynet.no) og gå til domstolene.

Finansklagenemnda Inkasso er ikke en klagevei for deg som kontaktperson. Nemnda behandler bare skriftlige klager (ikke e-post) fra forbrukere mot tilsluttede foretak, og bare om grunnlaget for utenrettslige inkassokostnader. Vår tilslutningsstatus: status for medlemskap i Finansklagenemnda.

B.10 Er du forpliktet til å gi oss opplysningene?

B.11 Automatiserte avgjørelser og profilering

Vi treffer ingen avgjørelser om deg som kontaktperson basert utelukkende på automatisert behandling som har rettsvirkning for deg eller på tilsvarende måte i betydelig grad påvirker deg. Vi profilerer deg ikke og beregner ikke kredittverdighet, betalingsevne eller pålitelighet.

Automatiserte hjelpemidler, ikke avgjørelser:

• Oppsummering av fordringshaverens offentlige nettsider med en språkmodell, se B.13, som kontekst for et menneske.
• Utkast til kommunikasjon i inkassosaker, der navnet ditt kan stå som kontaktperson. Et navngitt menneske godkjenner før utsendelse; ett dokumentert unntak gjelder bare første betalingspåminnelse til skyldner og berører ikke deg.

Skyldneropplysninger, inkludert vurderingen etter artikkel 22 og forklaringsstandarden for automatiserte utfall, dekkes av erklæringen for skyldnere, ikke av denne.

B.12 Der vi har fått opplysningene fra noen andre enn deg

Andre kilder enn deg (artikkel 14):

• Din arbeidsgiver eller en kollega, typisk fordi du er kontaktperson, saksbehandler eller signatar.
• Offentlige registre: Foretaksregisteret og Enhetsregisteret (Brønnøysundregistrene), for rolle- og signaturopplysninger.
• Fordringshaverens egne systemer, når navnet ditt følger et krav eller en anvisning.
• Fordringshaverens offentlig tilgjengelige nettsider, se B.13.
• En skyldner eller en tredjepart som oppgir deg som kontaktperson.
• En rådgiver, revisor, bank eller leverandør som opptrer for fordringshaveren.

Vi informerer deg innen én måned etter at vi fikk dem, og senest når vi først kontakter deg eller utleverer opplysningene. Ellers gjelder B.4–B.9.

B.13 Oppsummering av fordringshaveres nettsider

Ved vurdering eller etablering av et oppdrag kan vi hente og oppsummere fordringshaverens offentlig tilgjengelige nettsider for å forstå hva virksomheten selger og hvilke krav som kan komme til inndriving. Behandlingen skjer utenfor EØS.

• Hva som behandles. Sidenes innhold, også personopplysninger der siden navngir personer, for eksempel en kontaktside. Vi søker ikke etter dem, men kan ikke utelukke dem. Uttrekket er størrelsesbegrenset per side.
• Rettslig grunnlag. Artikkel 6 nr. 1 bokstav f. Interessen er å vurdere oppdraget forsvarlig, blant annet om kravene er innenfor det vi kan påta oss.
• Hvem som behandler det. Anthropic i USA. Dette er den behandlingen hos oss som bruker et amerikansk endepunkt direkte.
• Overføringsgrunnlag. Som i B.7: tilstrekkelighetsbeslutning der den dekker overføringen, ellers standard personvernbestemmelser, her under irsk rett og verneting. Leverandørens støttekjede har mottakere utenfor EØS uten tilstrekkelighetsbeslutning; grunnlag i listen over underleverandører.
• Lagring. Rad 1 i B.8, som kontekst på fordringshaverforholdet. Ikke noe eget nettsidearkiv.
• Din rett. Du kan protestere etter B.9; behandlingen er ikke nødvendig for inkassooppdraget. Protesterer en navngitt person, fjerner vi normalt vedkommende fra oppsummeringen.

B.14 Hva fordringshaveren skal vite om Audun sin rolle

Auduns rettslige rolle når du overlater et krav. Leses sammen med oppdragsvilkårene; ikke informasjon etter artikkel 13 om kontaktpersoner.

B.14.1 Audun er selvstendig behandlingsansvarlig for skyldneropplysninger

I fremmedinkasso er Audun Collection AS selvstendig behandlingsansvarlig for skyldneropplysninger, ikke din databehandler (Personvernrådets retningslinjer 07/2020, vurdert per behandlingsaktivitet). Vi bestemmer selv:

• Hvilke opplysninger. Innlesingsgrensesnittet avviser fødselsnummer; vi mottar ikke gjeldsopplysninger. Ved filopplasting er avvisning før lagring ennå ikke innført; inntil da må du ikke sende slike felt der (oppdragsavtalen punkt 8.3).
• Hvor lenge. Dokumentasjonsplikten er vår egen, ved ikrafttredelse også overfor Finanstilsynet.
• Hvem som får tilgang. Lovbestemt taushetsplikt med unntak vi selv anvender.
• Hvem behandlingen gjelder. Ved tvil om kravet stanser vi inndrivingen; ved ikrafttredelse frasier vi oss oppdraget om du ikke svarer innen rimelig tid.

B.14.2 Følgen: to instrumenter, ikke ett

• Inkassooppdraget: avtale om deling av personopplysninger mellom to behandlingsansvarlige, vedlegg til oppdragsavtalen.
• Databehandleravtale (artikkel 28): bare for reelle databehandlertjenester før forfall (reskontroføring, fakturaadministrasjon, agenturarbeid ved egeninkasso), og bare om vi tilbyr dem.

B.14.3 Artikkel 26: overleveringen er ikke felles behandlingsansvar

Tre forhold ville gjøre overleveringen til felles behandlingsansvar; de ligger under endringskontroll i avtalen:

1. Rapportering du kan konfigurere på feltnivå.
2. Lagringstid du kan sette eller forlenge hos oss.
3. Felles skåring eller modelltilpasning.

Hver part har egen informasjonsplikt. Audun gir selv skyldneren informasjon etter artikkel 14. Du må ha eget grunnlag for utleveringen, ha gitt egen informasjon og ikke ha fortalt skyldneren at inndrivingen bygger på samtykke – det gjør den ikke. Ved brudd varsler hver part sitt tilsyn, med gjensidig opplysningsplikt.

B.14.4 Bevilling og tilsyn

Bevilling. Én av disse gjelder, avhengig av dato:

• Fra dato for bevilling: Audun Collection AS har inkassobevilling nr. bevillingsnummer fra Finanstilsynet, med omfang bevillingens omfang.

Ny inkassolov § 6 krever valg mellom fremmedinkasso og oppkjøpsinkasso. Vi søker fremmedinkasso; oppkjøp krever eget foretak.

B.14.5 Grensen for fordringshaverens instruksjonsrett

I dag: god inkassoskikk (inkassoloven av 1988 § 8) og plikten til å vurdere tvil før betalingsoppfordring og rettslige skritt.

Ved ikrafttredelse også ny inkassolov § 31: skriftlig oppdragsavtale med varighet, tillatte inndrivingstiltak, vederlag, fullmakt, rutiner mot inndriving av urettmessige krav og rapporteringsplikt. Du kan ikke instruere om mer pågående tiltak enn avtalen angir.

B.14.6 Hva vi vil nekte å gjøre

• Inndrive et krav vi har grunn til å tvile på.
• Fortsette tiltak i strid med god inkassoskikk, uansett instruks.
• Iverksette tiltak utenfor oppdragsavtalen.
• Ta imot fødselsnummer eller spesifiserte gjeldsopplysninger fra gjeldsregister.
• Slette dokumentasjon på instruks mens en lovbestemt oppbevaringsfrist løper (bokføringsloven § 13, foreldelsesloven, artikkel 17 nr. 3 bokstav b og e; ved ikrafttredelse også ny inkassolov § 36). Ved oppdragets slutt returnerer vi det som skal returneres, men bekrefter ikke sletting av det vi må beholde.
• Utlevere mer om skyldnerens personlige forhold enn det som trengs for å orientere om inkassosaken (inkassoloven av 1988 § 28; ved ikrafttredelse ny inkassolov § 37 med annen unntaksliste).

B.14.7 Videre utlevering av skyldneropplysninger

Enkelte mottakere er selvstendig behandlingsansvarlige, ikke underdatabehandlere, blant annet Bislab: hvert oppslag er en utlevering mellom to behandlingsansvarlige, krever saklig behov fra en lukket liste og utløser Bislabs gjenpartsbrev til skyldneren med Audun navngitt. Beslutningsagenten vår skal ikke kunne utløse slike oppslag. Rolle per mottaker: listen over underleverandører og mottakere.

B.14.8 Direktiv (EU) 2021/2167 er ikke et EU-pass

Direktiv (EU) 2021/2167 om kredittjenesteytere gir ikke rett til inndriving i andre EU-/EØS-stater; nasjonal tillatelse kreves i hvert marked. Det gjelder bare misligholdte kredittavtaler fra en EU-kredittinstitusjon, betjent for en kredittkjøper. Oppdragsvilkårene krever derfor din erklæring om at kravene ikke er slike avtaler; er den uriktig, kan vi heve.

B.14.9 Sertifiseringer og sikkerhetsdokumentasjon

Audun Collection AS har ingen ISO 27001-sertifisering, SOC 2-rapport eller sertifisering etter personvernforordningen. Underleverandørers sertifiseringer er tilskrevet dem i mottakeroversikten.

Tekniske og organisatoriske tiltak: sikkerhetsvedlegget, med status og mangler.

Utkontraktering. IKT-forskriften § 12 gjelder for inkassoforetak i dag: avtalen med IKT-leverandøren skal gi oss rett til å kontrollere og revidere leverandøren og gi Finanstilsynet tilgang til opplysninger og tilsyn der. Vi ber om begge deler og fører datert oversikt over hvem som har gitt, delvis gitt eller avslått dette. Ved ikrafttredelse også ny inkassolov § 35: skriftlig utkontrakteringsavtale, bevillingspliktige oppgaver bare til kontraktsmedhjelpere med egen bevilling, ingen klientmidler hos kontraktsmedhjelpere.

B.15 Versjon, endringer og ikrafttredelse

Endringslogg

Vi oppdaterer erklæringen når behandling, mottaker eller overføringsgrunnlag endres, og når ny inkassolov helt eller delvis trer i kraft. Endringer som betyr noe for deg, varsler vi før de får virkning.