Personvernerklæring

Sist oppdatert: 9. september 2026

1. Behandlingsansvarlig

Sertio AS (org.nr. 937 286 643, Ulvenveien 123D, 0665 Oslo), som opererer plattformen Sertio (sertio.no), er behandlingsansvarlig for personopplysningene som samles inn gjennom denne tjenesten.

Kontakt: martin@sertio.no

2. Hvilke personopplysninger vi samler inn

• Kontoinformasjon: Fullt navn, e-postadresse, passord (kryptert)
• Registreringsdata for sertifisering: Fødselsdato og postadresse — brukes til å registrere sertifikatet ditt hos Norsk brannvernforening og til å koordinere praktisk slukkeøvelse i din region. Fødselsdato hentes automatisk fra BankID ved BankID-verifisering.
• Kursdata: Fremdrift, svar, resultater, tid brukt
• Betalingsinformasjon: Transaksjonshistorikk (kortdata lagres av Vipps MobilePay, ikke av oss)
• Sertifikatdata: Sertifikatnummer, utstedelsesdato, utløpsdato
• Teknisk data: IP-adresse, nettlesertype, enhet (for informasjonskapsler)
• Kommunikasjon: E-poster og henvendelser
• Kursforespørsler: Bedriftsnavn, organisasjonsnummer, kontaktnavn, e-postadresse, telefonnummer, antall deltakere, postnummer og fritekst dere selv skriver, når dere sender en forespørsel via skjemaet på kurssidene (for eksempel FSE-kurs for bedrifter)
• Opplysninger fra arbeidsgiveren din: Navn, e-postadresse og hvilket språk du skal ta kurset på, når arbeidsgiveren melder deg på. Disse opplysningene får vi fra arbeidsgiveren, ikke fra deg selv. Vi sier fra om det i velkomstmailen og første gang du logger inn (GDPR art. 14)

3. Formålet med behandlingen

• Levere e-læringskurset og sertifiseringstjenesten
• Administrere brukerkontoer og autentisering
• Behandle betalinger
• Svare på kursforespørsler og skrive tilbud
• Utstede og verifisere kursbevis/sertifikater
• Overholde lovpålagte krav (bokføring, brannsikkerhet)
• Forbedre tjenesten (anonymisert analyse)

4. Rettslig grunnlag

• Avtale (GDPR art. 6(1)(b)): Nødvendig for å levere tjenesten, og for å svare på kursforespørsler og skrive tilbud (tiltak før avtaleinngåelse)
• Rettslig forpliktelse (GDPR art. 6(1)(c)): Bokføringsloven, brannsikkerhetskrav
• Samtykke (GDPR art. 6(1)(a)): Informasjonskapsler, markedsføring
• Berettiget interesse (GDPR art. 6(1)(f)): Sikkerhet, svindelforebygging, og å vise fullføringen din til arbeidsgiveren som har meldt deg på kurset (se punkt 5)

5. Deling av personopplysninger

Vi deler personopplysninger med:

• Supabase (database og autentisering) — EU-basert
• Vipps MobilePay (betalingsbehandling) — PCI DSS-sertifisert
• Vercel (hosting) — DPA på plass
• Twilio (SMS-verifisering og sertifikatlevering) — USA, EU SCCs
• Resend (transaksjonell e-post) — USA, EU SCCs
• Anthropic (AI-veileder «Brann-Mads») — USA, EU SCCs
• Sentry (feilovervåkning og driftsstabilitet) — USA, EU SCCs
• Google (Google Analytics og annonsemåling, kun med samtykke) — USA, EU-US Data Privacy Framework
• Meta (annonsemåling via Meta-pikselen, kun med samtykke) — USA, EU-US Data Privacy Framework
• OpenAI (annonsemåling for annonser i ChatGPT, kun med samtykke) — USA, EU SCCs
• Norsk Brannvernforening (sertifiseringsdata, ved utstedelse av endelig sertifikat)
• Arbeidsgiveren din (når arbeidsgiveren har meldt deg på kurset) — se avsnittet under

Vi selger aldri personopplysninger til tredjeparter.

Når arbeidsgiveren har meldt deg på

Arbeidsgiveren din ser navn, e-post, hvor langt du er kommet, om du har bestått, kursbevisnummer, når kursbeviset går ut, og status på slukkeøvelsen. De ser ikke svarene dine, fødselsdatoen din eller adressen din.

Arbeidsgiveren ser ingenting før du selv har bekreftet at du hører til bedriften. Blir du lagt inn på en liste uten at du bekrefter, står raden tom for arbeidsgiveren.

Så lenge du er knyttet til bedriften, ser arbeidsgiveren også kursbevis du tok før påmeldingen. Grunnen er at arbeidsgiveren skal kunne dokumentere at du har opplæringen, uansett hvem som betalte for den.

Fjerner arbeidsgiveren deg fra lista, opphører koblingen. Da ser arbeidsgiveren ingen ny fremdrift. Det som blir stående er et frosset øyeblikksbilde av statusen din den dagen du ble fjernet.

Sertio og arbeidsgiveren din er to selvstendige behandlingsansvarlige. Vi bestemmer selv hvordan vi leverer kurset og utsteder kursbeviset; arbeidsgiveren bestemmer selv hvordan opplysningene brukes i sin egen internkontroll.

6. Analyse og innsikt

Vi bruker PostHog (EU-basert, Frankfurt) for produktanalyse. PostHog samler inn:

• Sidevisninger og navigasjon (kun med ditt samtykke via cookie-banneret)
• Sesjonsopptak: Interaksjoner på ikke-sensitive sider (aldri eksamen, identitetsverifisering eller sertifikatsider)

PostHog-data lagres i EU (Frankfurt) med DPA (databehandleravtale) på plass. Du kan trekke samtykke tilbake når som helst via cookie-innstillingene.

Vi bruker også Google Analytics 4 for trafikk- og bruksanalyse. Analysekapsler settes kun hvis du samtykker til statistikk i cookie-banneret; uten samtykke sendes bare anonyme signaler uten informasjonskapsler eller identifikatorer (Google Consent Mode). Google Analytics lagrer ikke IP-adresser. Data kan overføres til Google i USA under EU-US Data Privacy Framework. Lagringstid hos Google: 14 måneder.

For å måle effekten av annonsene våre bruker vi Meta-pikselen. Pikselen lastes ikke før du samtykker til markedsføring i cookie-banneret. Er samtykket gitt, sender den at du besøkte siden, og ved gjennomført kjøp beløpet og valutaen. Vi sender aldri navn, e-post, telefonnummer eller andre identifikatorer til Meta, og vi bruker ikke Metas automatiske identitetsmatching. Data kan overføres til Meta i USA under EU-US Data Privacy Framework. Du kan trekke samtykket tilbake når som helst via cookie-innstillingene.

Annonsene våre vises også i ChatGPT. For å måle om de fører til salg bruker vi OpenAIs målepiksel. Den lastes ikke før du samtykker til markedsføring i cookie-banneret. Er samtykket gitt, sender den at du besøkte siden, og ved gjennomført kjøp beløpet og valutaen. Vi sender aldri navn, e-post, telefonnummer eller andre identifikatorer til OpenAI, og vi bruker ikke OpenAIs automatiske identitetsmatching. Sertio og OpenAI er selvstendige behandlingsansvarlige for disse opplysningene. Data kan overføres til OpenAI i USA under EUs standardkontrakter (SCC). Du kan trekke samtykket tilbake når som helst via cookie-innstillingene.

7. Kundechat og meldingskanaler

WhatsApp: Du kan frivillig kontakte oss via WhatsApp. Meta (WhatsApp) behandler da meldingsdata i henhold til sine egne vilkår og personvernregler. Vi ser telefonnummeret ditt og meldingene du sender oss.

Ikke del sensitive personopplysninger (f.eks. fødselsnummer eller helseopplysninger) i chat eller WhatsApp — bruk e-post ved behov.

8. Lagring og sletting

• Kontoinformasjon: Så lenge kontoen er aktiv + 30 dager etter sletting
• Kursdata: 5 år etter sertifikatets utløp (lovpålagt dokumentasjon)
• Detaljert læringsdata: Anonymiseres 2 år etter sertifikatets utløp
• Betalingsdata: 5 år (bokføringsloven)
• Sertifikatdata: 10 år etter utstedelse (brannsikkerhetskrav)
• Kursforespørsler: 12 måneder hvis forespørselen ikke blir til et kjøp, 24 måneder for forespørsler vi har avsluttet som vunnet eller tapt
• Deltakerlista hos arbeidsgiveren: Så lenge arbeidsgiveren har deg på lista
• Det frosne øyeblikksbildet etter at arbeidsgiveren har fjernet deg: 5 år etter kursbevisets utløp, samme regel som for kursdata

9. Dine rettigheter

Du har rett til:

• Innsyn: Se hvilke data vi har om deg
• Retting: Korrigere uriktige opplysninger
• Sletting: Be om sletting av dine data (med unntak for lovpålagt lagring)
• Dataportabilitet: Eksportere dine data (tilgjengelig i dashboardet)
• Dataeksport: Last ned alle dine data via /api/user/data-export
• Innsigelse: Protestere mot behandling basert på berettiget interesse
• Klage: Klage til Datatilsynet (datatilsynet.no)

10. Informasjonskapsler

Vi bruker nødvendige informasjonskapsler for autentisering (Supabase Auth). Analytiske informasjonskapsler (Google Analytics, PostHog) og markedsføringskapsler (Google Ads, Meta) krever ditt samtykke og kan avvises eller trekkes tilbake via cookie-banneret.

Kommer du hit gjennom lenken eller QR-koden til en av samarbeidspartnerne våre, setter vi informasjonskapselen sertio_partner_ref, men bare hvis du har samtykket til markedsføringskapsler. Den husker hvilken partner du kom fra i 30 dager, slik at partneren får godskrevet salget hvis du kjøper kurset. Den inneholder partnerkoden og et tidsstempel, ingenting annet. Den er signert, kan ikke leses av nettleseren, og brukes ikke til markedsføring eller profilering. Samtykker du ikke, settes den ikke.

11. Sikkerhet

Vi bruker bransjestandard sikkerhetstiltak: kryptert dataoverføring (TLS), krypterte passord, Row Level Security i databasen, og regelmessige sikkerhetsgjennomganger.

12. Endringer

Vi kan oppdatere denne personvernerklæringen. Vesentlige endringer varsles via e-post og/eller i tjenesten. Fortsatt bruk etter varsling utgjør aksept av endringene.