Personvernerklæring

Just Parity ApS er behandlingsansvarlig for behandlingen av personopplysninger om besøkende på justparity.com, kontaktpersoner hos kundene våre og brukere av plattformen (HR-medarbeidere og ledere).

For lønns- og HR-opplysninger som kundene laster opp i plattformen, er Just Parity ApS databehandler. Behandlingsansvarlig er i disse tilfellene kundens egen virksomhet, og henvendelser om opplysninger om ansatte skal rettes dit.

Personvernombud: Just Parity ApS har foreløpig ikke oppnevnt personvernombud, fordi omfanget av behandlingen per i dag ikke utløser plikten etter personvernforordningen artikkel 37. Spørsmål om personvern kan rettes til contact@justparity.com.

Vi behandler personopplysninger til følgende formål:

• å levere etterlevelsesplattformen Justparity
• kundestøtte og kommunikasjon
• fakturering og regnskap
• drift, vedlikehold og forbedring av tjenesten
• markedsføring (bare med samtykke)
• å oppfylle rettslige plikter
• å sende tilbud i næringsforhold, medregnet måling av om mottakeren har åpnet e-posten (lesebekreftelse gjennom et 1x1-pikselbilde)

Vi behandler følgende kategorier av personopplysninger:

• Kontaktopplysninger: navn, e-postadresse, telefonnummer, virksomhet, stilling
• Bruksopplysninger: loggdata, IP-adresse, nettleseropplysninger, enhetsopplysninger
• Kundeopplysninger (der vi er databehandler): lønns- og HR-opplysninger som kundene laster opp i plattformen

Lønnsopplysninger og særlige kategorier. Lønnsopplysninger behandles som alminnelige personopplysninger (artikkel 6). Behandlingen kan likevel omfatte opplysninger som faller inn under særlige kategorier (artikkel 9):

• fagforeningsmedlemskap, som indirekte kan framgå av importerte lønnsdatasett (artikkel 9 nr. 2 bokstav b)

Kjønn er selve kriteriet i kartleggingen av lønnsforskjeller. Kjønn står ikke i den uttømmende oppregningen i artikkel 9 nr. 1, og er derfor en alminnelig personopplysning som vi behandler etter artikkel 6 nr. 1 bokstav c for å oppfylle plikten til lønnskartlegging fordelt etter kjønn i likestillings- og diskrimineringsloven § 26. Vi omgir den likevel med de samme skjerpede sikkerhetstiltakene som opplysninger etter artikkel 9.

Fødselsnummer og andre entydige identifikasjonsmidler. Fra tilknyttede lønnssystemer kan vi motta nasjonale identifikasjonsnumre, for eksempel norsk fødselsnummer eller dansk CPR-nummer. Nummeret brukes utelukkende til å identifisere den ansatte på tvers av lønnsimporter og til teknisk å utlede kjønn til analysen av lønnsforskjeller. For det danske CPR-nummeret utledes kjønnet av siste siffer. Nummeret lagres ikke i databasen til Justparity, der bare kjønn og fødselsdato blir liggende.

Etter personopplysningsloven § 12 kan fødselsnummer og andre entydige identifikasjonsmidler bare behandles når det er saklig behov for sikker identifisering, og metoden er nødvendig for å oppnå slik identifisering. Behandlingsansvarlig, altså kunden, svarer for at dette vilkåret er oppfylt, og for behandlingsgrunnlaget for overføringen til oss.

Disse opplysningene lagres i egne tabeller med ekstra sikring og streng tilgangsstyring.

Vi behandler personopplysninger på følgende behandlingsgrunnlag:

• Oppfyllelse av avtale (artikkel 6 nr. 1 bokstav b): for å levere tjenestene våre og oppfylle avtalen
• Rettslig plikt (artikkel 6 nr. 1 bokstav c): regnskap, bokføring og skatterapportering, og for norske virksomheter plikten til lønnskartlegging og redegjørelse etter likestillings- og diskrimineringsloven
• Berettiget interesse (artikkel 6 nr. 1 bokstav f): drift, sikkerhet, forebygging av misbruk, produktforbedring og måling av om en mottaker har åpnet et tilbud vi har sendt i et næringsforhold (lesebekreftelse). Vi har vurdert at en slik måling ligger innenfor det mottakeren med rimelighet kan vente seg i en løpende forretningsdialog, og at inngrepet er lite (vi registrerer tidspunktet for åpningen, IP-adresse og nettlesertype). Du kan når som helst protestere mot denne behandlingen ved å kontakte oss på contact@justparity.com.
• Samtykke (artikkel 6 nr. 1 bokstav a): markedsføring, nyhetsbrev og informasjonskapsler som ikke er nødvendige

Kjønn (artikkel 6 nr. 1 bokstav c): Behandlingen av opplysninger om kjønn til kartlegging av lønnsforskjeller skjer for å oppfylle arbeidsrettslige plikter. For norske virksomheter er dette pliktene i likestillings- og diskrimineringsloven. Kjønn står ikke i den uttømmende oppregningen i artikkel 9 nr. 1, og er derfor en alminnelig personopplysning.

Særlige kategorier (artikkel 9 nr. 2 bokstav b): Behandlingen av eventuelle opplysninger om fagforeningsmedlemskap, slik de indirekte kan framgå av lønnsdatasett, skjer for å oppfylle de samme arbeidsrettslige pliktene.

Nasjonalt rettsgrunnlag for norske behandlingsansvarlige: Er kunden som behandlingsansvarlig underlagt norsk rett, følger plikten av likestillings- og diskrimineringsloven (LOV-2017-06-16-51). Etter § 26 skal offentlige virksomheter, og private virksomheter med mer enn 50 ansatte, kartlegge lønnsforholdene fordelt etter kjønn annethvert år. Har virksomheten mellom 20 og 50 ansatte, inntrer plikten når en av arbeidslivets parter i virksomheten krever det. Etter § 26 a skal virksomheten gjøre rede for arbeidet hvert år, og resultatet av lønnskartleggingen skal framgå i anonymisert form. Likelønnsregelen står i § 34.

EUs lønnstransparensdirektiv: Direktiv (EU) 2023/970 er merket EØS-relevant, men er foreløpig ikke innlemmet i EØS-avtalen. Det gjelder derfor ikke som norsk rett, og fristen 7. juni 2026 for EUs medlemsstater gjelder ikke for Norge. Direktivet er nevnt her fordi kunder med datterselskaper i EU allerede er omfattet av det der, og fordi plattformen støtter begge regelsettene. For behandling som er underlagt norsk rett, er det likestillings- og diskrimineringsloven som er grunnlaget. Behandlingsansvarlig, altså kunden, svarer for at behandlingsgrunnlaget foreligger. Justparity er databehandler for denne behandlingen.

Fødselsnummer: behandles ikke som opplysning etter artikkel 9. Fødselsnummer og tilsvarende nasjonale identifikasjonsnumre kan mottas fra lønnssystemer og brukes til sikker identifisering og til teknisk utledning av kjønn. Nummeret lagres ikke. Vilkårene i personopplysningsloven § 12 og behandlingsgrunnlaget for en eventuell overføring er behandlingsansvarliges ansvar.

Vi kan dele personopplysninger med:

Underdatabehandlere:

Offentlige myndigheter: når loven krever det.

Overføring til tredjeland utenfor EU og EØS skjer bare når det foreligger nødvendige garantier, normalt EUs standard personvernbestemmelser (SCC) etter personvernforordningen artikkel 46 nr. 2 bokstav c. Der morselskapet til en underdatabehandler kan ha tilgang fra USA, er det inngått standard personvernbestemmelser.

Markedsføringsverktøy basert på samtykke: Google Analytics og Google Ads (statistikk og annonsemåling), Meta Pixel (Meta Platforms Ireland Ltd., annonsemåling) og LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company, annonsemåling) brukes bare med samtykket ditt, og de er ikke underdatabehandlere for personopplysningene i plattformen. Opplysninger kan overføres til USA på grunnlag av EU-US Data Privacy Framework og standard personvernbestemmelser (SCC). De enkelte informasjonskapslene, formålet med dem og hvor lenge de lagres, er beskrevet i erklæringen vår om informasjonskapsler, der du også kan endre eller trekke tilbake samtykket ditt.

Begrensning av forespørsler: Beskyttelsen mot overbelastning skjer i minnet til plattformen selv og involverer ingen ekstern leverandør.

Vi lagrer personopplysninger så lenge det er nødvendig for formålene de ble samlet inn til:

• Kundeopplysninger i plattformen: slettes senest 30 dager etter at avtalen er avsluttet
• Kontaktopplysninger: 3 år etter at kundeforholdet er avsluttet, som svarer til foreldelsesfristen for krav etter avtale (§ 3 i den danske foreldelsesloven)
• Regnskapsopplysninger: 5 år (§ 12 i den danske bokføringsloven)
• Tilbud og revisjonsspor for tilbud: 5 år fra utgangen av det regnskapsåret materialet gjelder, etter § 12 første ledd i den danske bokføringsloven. Etter denne fristen pseudonymiseres opplysningene: felter som identifiserer en person, erstattes med en hash, mens identifikator og tidspunkt beholdes av hensyn til revisjonssporet.
• Markedsføringsopplysninger: til samtykket trekkes tilbake
• Loggdata: 90 dager
• Lesebekreftelser på tilbud i næringsforhold: tidspunktet for åpningen, IP-adresse og nettlesertype lagres sammen med tilbudet (5 år) etter den danske bokføringsloven og pseudonymiseres deretter

Fristene for regnskap og foreldelse følger dansk rett, fordi Just Parity ApS er etablert i Danmark og bokførings- og foreldelsespliktene våre dermed er danske. Det er altså ikke norske frister, og de begrenser ikke rettighetene dine etter personvernforordningen kapittel III.

Som registrert har du følgende rettigheter etter personvernforordningen kapittel III:

• rett til innsyn (artikkel 15)
• rett til retting (artikkel 16)
• rett til sletting, "retten til å bli glemt" (artikkel 17)
• rett til begrensning av behandlingen (artikkel 18)
• rett til underretning ved retting eller sletting (artikkel 19)
• rett til dataportabilitet (artikkel 20)
• rett til å protestere mot behandlingen (artikkel 21)
• rett til ikke å være gjenstand for en helautomatisert avgjørelse (artikkel 22)
• rett til å trekke tilbake et samtykke (artikkel 7 nr. 3). At samtykket trekkes tilbake, påvirker ikke lovligheten av behandlingen som ble gjort på grunnlag av samtykket før det ble trukket tilbake

For opplysninger der Justparity er databehandler, altså opplysninger om ansatte som er lastet opp i plattformen, skal henvendelsen rettes til behandlingsansvarlig, det vil si den virksomheten som lastet opp opplysningene. For øvrige opplysninger, som kontaktopplysninger og brukeropplysninger, kan du bruke rettighetene dine ved å kontakte contact@justparity.com. Vi svarer uten ugrunnet opphold og senest én måned etter at vi mottok henvendelsen. Er henvendelsen kompleks, kan fristen forlenges med inntil to måneder, og du får i så fall beskjed om det innen den første måneden.

Vi har gjennomført egnede tekniske og organisatoriske tiltak for å beskytte personopplysninger, blant annet:

• kryptering av opplysninger under overføring (TLS 1.3) og ved lagring (AES-256)
• rollebasert tilgangsstyring (RBAC) og tofaktorautentisering
• logging og overvåking av tilgangen til personopplysninger
• løpende sårbarhetsskanning og sikkerhetsoppdateringer
• rutiner for sikkerhetskopiering, gjenoppretting og håndtering av hendelser
• taushetserklæringer og jevnlig sikkerhetsopplæring av ansatte

Sikkerhetstiltakene er beskrevet nærmere i databehandleravtalen vår (/databehandleravtale).

Mener du at vi behandler personopplysninger i strid med regelverket, kan du klage til Datatilsynet i Norge:

Datatilsynet opplyser selv at de ikke gir veiledning i enkeltsaker på e-post, fordi vanlig e-post normalt er ukryptert. Bruk derfor telefon eller skjemaene på nettstedet deres.

Just Parity ApS er etablert i Danmark. Etter personvernforordningen artikkel 56 er det danske Datatilsynet derfor ledende tilsynsmyndighet for vår egen behandling. Du kan uansett alltid klage til Datatilsynet i Norge etter artikkel 77, og saken blir håndtert gjennom samarbeidet mellom tilsynsmyndighetene. Det danske tilsynet treffes på Carl Jacobsens Vej 35, DK-2500 Valby, Danmark, telefon +45 33 19 32 00, dt@datatilsynet.dk.

Vi tar forbehold om å oppdatere denne personvernerklæringen. Ved vesentlige endringer varsler vi de registrerte på e-post eller ved innlogging i plattformen. Den til enhver tid gjeldende versjonen ligger på denne siden.