Personvernerklæring

Ikrafttredelsesdato: 15. mai 2026

Sist oppdatert: 15. juni 2026

Versjon: 1.3

1. Oversikt

Soria Labs AS (heretter «Selskapet», «vi», «oss») er et selskap registrert i Norge, og er forpliktet til å beskytte personopplysningene til brukere av Soria (heretter «Tjenesten»).

Denne personvernerklæringen er utarbeidet i samsvar med EUs personvernforordning (GDPR, forordning (EU) 2016/679), den norske personopplysningsloven og tilhørende EØS-regelverk for databeskyttelse.

Selskapsinformasjon

Foretaksnavn: Soria Labs AS

Beliggenhet: Norge

Henvendelser om personvern: contact@sorialabs.no

2. Personopplysninger vi samler inn

2.1 Kontoinformasjon

Opplysning	Tidspunkt for innsamling	Påkrevd
E-postadresse	Ved registrering	Påkrevd
Visningsnavn	Ved profilinnstilling	Valgfritt

2.2 Tale- og innholdsdata

Opplysning	Beskrivelse
Lydopptaksfiler	Lydfiler direkte tatt opp eller lastet opp av brukeren
Transkribert tekst	Tekst konvertert fra tale
AI-sammendrag og bearbeidet tekst	Sammendrag, tonekonverteringer og innsikt generert av AI
Mappestruktur og notatmetadata	Mappenavn, notattitler, tagger, opprettelses-/endringstidspunkt opprettet av brukeren
Talerinformasjon	Talernavn tildelt av brukeren ved flertaler-separasjon

2.3 Automatisk innsamlet informasjon

Opplysning	Formål
Enhetsinformasjon (OS, enhetsmodell, appversjon)	Tjenestestabilitet og feilsporing
IP-adresse	Sikkerhet og svindelforebygging
Brukslogger (funksjonsbruk, feillogger)	Tjenesteforbedring
Anonym bruksanalyse (funksjonshendelser, land, appversjon, plattform, OS, språk)	Tjenesteforbedring — kan deaktiveres under Innstillinger > Personvern; ekskluderer opptak og transkripsjoner; lagres på vår egen infrastruktur (Supabase) og deles ikke med tredjeparts analyseleverandører
Abonnements- og betalingsstatus	Abonnementsadministrasjon

2.4 Informasjon vi ikke samler inn

Vi samler ikke inn brukernes kontaktlister, bildebibliotek eller posisjonsdata.

Betalingskort- og bankkontoinformasjon lagres aldri på våre servere. Alle betalingsmidler tokeniseres og behandles utelukkende av våre betalingsbehandlere — Paddle (webabonnementer), Apple In-App Purchase eller Google Play Billing (mobilabonnementer). Vi mottar kun ikke-sensitive transaksjonsmetadata (f.eks. abonnementsstatus, siste fire siffer av kortet, faktureringsland) som er nødvendige for å drive Tjenesten.

3. Formål og rettslig grunnlag for behandling

Formål og rettslig grunnlag for behandling i henhold til GDPR artikkel 6 er som følger:

Formål	Rettslig grunnlag (GDPR art. 6)	Beskrivelse
Tjenestelevering og kontoadministrasjon	Oppfyllelse av avtale (art. 6(1)(b))	Registrering, innlogging, kjernetjenestefunksjoner
Taletranskripsjon og AI-behandling	Oppfyllelse av avtale (art. 6(1)(b))	Tale-til-tekst-konvertering, AI-sammendrag, tonekonvertering og andre kjernefunksjoner
Abonnements- og betalingsadministrasjon	Oppfyllelse av avtale (art. 6(1)(b))	Abonnementsadministrasjon og brukssporing
Feilsporing og tjenestestabilitet	Berettiget interesse (art. 6(1)(f))	Appfeilovervåking via Sentry
Tjenesteforbedring og analyse	Berettiget interesse (art. 6(1)(f))	Kvalitetsforbedring gjennom analyse av bruksmønstre
Oppfyllelse av rettslige forpliktelser	Rettslig forpliktelse (art. 6(1)(c))	Skatt, regnskap og andre lovpålagte forpliktelser
Markedskommunikasjon	Samtykke (art. 6(1)(a))	Nyhetsbrev, kampanjer (kun med forhåndssamtykke)

4. Tredjeparters databehandling og internasjonale overføringer

Vi deler data med følgende tredjepartsleverandører for å levere Tjenesten.

4.1 Databehandlere

Leverandør	Formål	Behandlede data	Serverplassering	Overføringsgrunnlag
Supabase (USA)	Autentisering, datalagring, skysynkronisering	Kontodata, notatdata, metadata	AWS (USA/EU)	Standardkontraktsklausuler (SCC)
Vercel (USA)	Webhosting og edge-distribusjon	Forespørselsmetadata, IP-adresse, enhetsinformasjon	USA/EU	Standardkontraktsklausuler (SCC)
OpenAI (USA)	Taletranskripsjon og tekstbehandling (sammendrag, bearbeiding)	Lydfiler, transkribert tekst	USA	Standardkontraktsklausuler (SCC)
Deepgram (USA)	Høykvalitets taletranskripsjon	Lydfiler	USA	Standardkontraktsklausuler (SCC)
Sentry (USA)	Feilsporing og overvåking	Enhetsinformasjon, feillogger	USA	Standardkontraktsklausuler (SCC)
Paddle.com Market Limited (Storbritannia)	Webabonnementsfakturering som Merchant of Record (mottar betaling og innbetaler MVA/omsetningsavgift på våre vegne)	Faktureringsnavn, adresse, land, betalingsmiddel-tokener, transaksjonshistorikk	Storbritannia / USA (underbehandlere)	Britisk GDPR-adekvansvedtak + Standardkontraktsklausuler (SCC) for underbehandlere utenfor Storbritannia
Apple / Google	Mobile kjøp i appen (App Store / Google Play Billing)	Betalingsinformasjon behandlet av plattformen	USA	Standardkontraktsklausuler (SCC)

4.2 Internasjonale overføringer utenfor EØS

Noen av leverandørene ovenfor befinner seg utenfor Det europeiske økonomiske samarbeidsområdet (EØS). I slike tilfeller sikrer vi et tilstrekkelig beskyttelsesnivå ved å inngå EUs standardkontraktsklausuler (SCC) i samsvar med GDPR artikkel 46.

4.3 Åpenhet om AI-databehandling

Taledata: Overføres til våre taletekstleverandører (OpenAI, Deepgram) for konvertering til tekst. Data slettes umiddelbart fra leverandørens servere etter konvertering.

Tekstdata: Overføres til OpenAIs tekstbehandlings-API for sammendrag, tonekonvertering og innsiktgenerering.

Ingen AI-opplæring: Vi anvender OpenAIs retningslinjer for null datalagring (eller unntak fra opplæring i henhold til API-vilkårene), noe som sikrer at brukerdata ikke brukes til opplæring av AI-modeller.

Beskyttelse mot prompt-injeksjon: Sikkerhetstiltak er på plass for å forhindre at brukerinndata brukes til å utnytte AI-systemet.

5. Datasikkerhet

Vi iverksetter passende tekniske og organisatoriske tiltak i tråd med bransjestandard for å beskytte personopplysninger:

Kryptering under overføring: All dataoverføring krypteres i tråd med bransjestandard.

Kryptering ved lagring: Databaser og fillagring krypteres ved lagring.

OTP-beskyttelse: Autentisering bruker engangskoder (OTP) sendt via e-post, og vi lagrer ikke faste brukerpassord i Tjenesten.

Tilgangskontroll: Logiske tilgangskontroller sikrer at brukere kun har tilgang til egne data.

Autentiseringssikkerhet: Tokenbasert sesjonshåndtering med passende sesjonsutløp.

Regelmessige kontroller: Periodiske sikkerhetsgjennomganger og programvareoppdateringer.

6. Datalagring og sletting

Datatype	Lagringsperiode	Slettingsmetode
Kontoinformasjon	I kontoens levetid	Slettes innen 30 dager etter forespørsel om kontosletting
Lydopptaksfiler	Til bruker sletter	Bruker kan slette direkte i appen
Transkribert tekst og AI-resultater	Til bruker sletter	Bruker kan slette direkte i appen
Feillogger (Sentry)	Maksimalt 90 dager	Slettes automatisk
Betalingsregistreringer	Lovpålagt oppbevaringsperiode (5 år i henhold til norsk regnskapslov)	Slettes etter utløp av lovpålagt periode
Registreringer av markedsføringssamtykke	Til samtykke trekkes tilbake	Behandles umiddelbart ved tilbaketrekking

Ved kontosletting: Når en bruker ber om kontosletting, slettes alle personopplysninger permanent innen 30 dager, med unntak av data som er underlagt lovpålagt oppbevaringsplikt. En 30-dagers utsettelsesperiode tillater kontogjenoppretting før sletting.

7. Dine rettigheter (GDPR artikkel 15–22)

EØS-bosatte kan utøve følgende rettigheter i henhold til GDPR:

Rettighet	Beskrivelse
Rett til innsyn (art. 15)	Du kan be om en kopi av dine personopplysninger vi har lagret.
Rett til retting (art. 16)	Du kan be om korrigering av unøyaktige eller ufullstendige personopplysninger.
Rett til sletting (retten til å bli glemt) (art. 17)	Du kan be om sletting av dine personopplysninger under visse betingelser.
Rett til begrensning av behandling (art. 18)	Du kan be om begrensning av behandlingen under visse omstendigheter.
Rett til dataportabilitet (art. 20)	Du kan motta dine personopplysninger i et strukturert format eller få dem overført til en annen tjeneste.
Rett til å protestere (art. 21)	Du kan protestere mot behandling basert på berettiget interesse.
Rettigheter knyttet til automatiserte beslutninger (art. 22)	Du har rett til ikke å bli underlagt beslutninger som utelukkende er basert på automatisert behandling.
Rett til å trekke tilbake samtykke	Du kan når som helst trekke tilbake samtykke for samtykkebasert behandling.

Hvordan utøve dine rettigheter

E-post: contact@sorialabs.no

I appen: Innstillinger > Konto > Dataadministrasjon

Vi vil svare innen **30 dager** etter mottak av din forespørsel. Dersom forespørselen er kompleks eller talrik, kan det kreves ytterligere 60 dager, i så fall vil vi varsle deg på forhånd.

Vi kan be om ytterligere informasjon for identitetsverifisering.

Klage til tilsynsmyndighet

Hvis du har bekymringer angående vår behandling av personopplysninger, kan du klage til Datatilsynet.

Datatilsynet

Nettsted: https://www.datatilsynet.no

E-post: postkasse@datatilsynet.no

Du kan også klage til EU/EØS-tilsynsmyndigheten i ditt bostedsland eller arbeidssted.

8. Informasjonskapsler og lignende teknologier

8.1 Webtjeneste (usesoria.com)

Vår nettside bruker følgende informasjonskapsler:

Type informasjonskapsel	Formål	Rettslig grunnlag
Nødvendige informasjonskapsler	Opprettholdelse av innloggingssesjon, sikkerhet	Berettiget interesse
Analyseinformasjonskapsler	Analyse av bruksmønstre	Samtykke

8.2 Mobilapp

Mobilappen bruker ikke nettleserinformasjonskapsler. Autentiseringstokener lagres sikkert i enhetens sikre lagring (iOS Keychain / Android Keystore).

9. Barns personopplysninger

Denne Tjenesten er ikke beregnet for barn under 16 år (i samsvar med norske og EØS-standarder). Dersom vi blir klar over at personopplysninger om et barn under 16 år er samlet inn, vil vi umiddelbart slette slike data. Hvis du mener at et barns personopplysninger er samlet inn, vennligst kontakt oss på contact@sorialabs.no.

10. Endringer i denne personvernerklæringen

Denne erklæringen kan endres på grunn av lovendringer, endringer i Tjenesten eller forretningsbehov.

Vesentlige endringer som påvirker de registrertes rettigheter: Vi vil gi rimelig forhåndsvarsel (minst 30 dager der gjeldende lov krever det) via e-post og varsel i appen.

Mindre endringer: Vi vil oppdatere denne siden og endre datoen «Sist oppdatert» øverst.

Fortsatt bruk av Tjenesten etter ikrafttredelsesdatoen for en endring utgjør aksept av den reviderte erklæringen. Hvis du ikke samtykker til endringene, kan du slutte å bruke Tjenesten og be om sletting av kontoen før ikrafttredelsesdatoen.

11. Personvernombud (DPO) og kontakt

For spørsmål, bekymringer eller forespørsler om utøvelse av dine rettigheter angående behandling av personopplysninger, vennligst kontakt oss: