Privacy Notice for Coldbyte AS. Personvernerklæring for Coldbyte AS.

We develop and deliver Coldbyte, a security-posture service for Microsoft 365 that runs as an isolated instance inside the customer's own Microsoft 365 tenant and Azure subscription. This notice covers all processing of personal data in our business, and not only the processing that takes place through the service. Below is information about the personal data we process about you, the purpose and legal basis of the processing, how long we process it, and your rights. Vi utvikler og leverer Coldbyte, en sikkerhetstjeneste for Microsoft 365 som kjører som en isolert instans i kundens egen Microsoft 365-tenant og eget Azure-abonnement. Denne erklæringen omfatter all behandling av personopplysninger i virksomheten vår, ikke bare behandlingen som skjer gjennom tjenesten. Nedenfor finner du informasjon om personopplysningene vi behandler om deg, formålet med og det rettslige grunnlaget for behandlingen, hvor lenge vi behandler dem, og rettighetene dine.

We may process personal data in other ways than those described here. Where we do, we will inform you separately. Vi kan behandle personopplysninger på andre måter enn det som er beskrevet her. I så fall informerer vi deg særskilt.

Where personal data is processed in a customer's own environment through the service, we act as a data processor and the customer is the data controller. See the separate section on the service below. Der personopplysninger behandles i kundens eget miljø gjennom tjenesten, opptrer vi som databehandler, og kunden er behandlingsansvarlig. Se det egne avsnittet om tjenesten nedenfor.

If you have questions about our processing of your personal data, you can contact us. Our contact details are set out below. Har du spørsmål om vår behandling av personopplysningene dine, kan du kontakte oss. Kontaktinformasjonen vår finner du nedenfor.

Responsible for the processing of personal dataBehandlingsansvarlig for personopplysningene

Coldbyte AS is the data controller for the processing described here, meaning that we decide why and how the personal data is processed. This does not apply where we act as a data processor, that is, where we process personal data on behalf of our customers through the service. Coldbyte AS er behandlingsansvarlig for behandlingen som er beskrevet her. Det betyr at vi bestemmer hvorfor og hvordan personopplysningene behandles. Dette gjelder ikke der vi opptrer som databehandler, det vil si der vi behandler personopplysninger på vegne av kundene våre gjennom tjenesten.

Contact details for us as data controller: Kontaktinformasjon til oss som behandlingsansvarlig:

• Coldbyte ASColdbyte AS
• Email: privacy@coldbyte.aiE-post: privacy@coldbyte.ai
• Entity reg. no.: 938 312 133Org.nr.: 938 312 133

What personal data we collect and whyHvilke personopplysninger vi samler inn og hvorfor

We collect and use personal data for different purposes depending on who you are and how you are in contact with us. Vi samler inn og bruker personopplysninger til ulike formål avhengig av hvem du er og hvordan du er i kontakt med oss.

All processing is carried out in accordance with this notice and the data protection legislation in force at any time, including the General Data Protection Regulation (GDPR) and the Norwegian Personal Data Act. All behandling skjer i samsvar med denne erklæringen og den til enhver tid gjeldende personvernlovgivningen, inkludert personvernforordningen (GDPR) og personopplysningsloven.

Personal data is any information relating to a person who can be identified, directly or indirectly. That person is referred to as a data subject. Personopplysninger er enhver opplysning som kan knyttes til en person som direkte eller indirekte kan identifiseres. Denne personen omtales som den registrerte.

Processing means any operation performed on personal data, for example collection, recording, organisation, storage, alteration, disclosure or erasure. Behandling er enhver operasjon som gjøres med personopplysninger, for eksempel innsamling, registrering, organisering, lagring, endring, utlevering eller sletting.

Where we process personal data on behalf of others as a data processor, requests should be directed to the data controller. You may still contact us, and we will refer you to the controller where we hold that information. Der vi behandler personopplysninger på vegne av andre som databehandler, skal henvendelser rettes til den behandlingsansvarlige. Du kan likevel kontakte oss, og vi henviser deg til den behandlingsansvarlige der vi har denne informasjonen.

The processing activities we carry out as data controller are described below. Behandlingsaktivitetene vi utfører som behandlingsansvarlig, er beskrevet nedenfor.

Communication and contactKommunikasjon og kontakt

We process personal data about those who contact us, in order to answer and document the communication. This applies to all forms of communication, written and oral, physical and digital. Vi behandler personopplysninger om dem som kontakter oss, for å besvare og dokumentere kommunikasjonen. Dette gjelder alle former for kommunikasjon, skriftlig og muntlig, fysisk og digital.

We process the name, telephone number and email address of the person contacting us, together with any personal data that follows from the communication itself, including the history of the enquiry. Vi behandler navn, telefonnummer og e-postadresse til den som kontakter oss, sammen med eventuelle personopplysninger som følger av selve kommunikasjonen, inkludert historikken i henvendelsen.

The processing is based on our legitimate interest in answering and documenting enquiries and in maintaining contact as part of our business, see GDPR Article 6(1)(f). We have assessed that the processing is necessary and that the privacy of the data subject does not override that interest. Behandlingen er basert på vår berettigede interesse i å besvare og dokumentere henvendelser og i å holde kontakt som en del av virksomheten vår, se GDPR artikkel 6 nr. 1 bokstav f. Vi har vurdert at behandlingen er nødvendig, og at hensynet til den registrertes personvern ikke går foran denne interessen.

Providing personal data is voluntary, but it is necessary in order for us to answer an enquiry. Det er frivillig å gi oss personopplysninger, men det er nødvendig for at vi skal kunne besvare en henvendelse.

We process the personal data until the enquiry is no longer expected to be followed up. Vi behandler personopplysningene til henvendelsen ikke lenger forventes å bli fulgt opp.

Email and other business solutionsE-post og andre forretningsløsninger

We use email, document storage, collaboration tools and other business systems that contain personal data. The processing is based on our legitimate interest in having working tools and a communication solution, see GDPR Article 6(1)(f), and we have assessed that the privacy of the data subject does not override that interest. What is processed depends on the purpose and the content of the communication. Emails and other material are deleted when they are no longer needed, and we have measures in place for regular deletion. Vi bruker e-post, dokumentlagring, samhandlingsverktøy og andre forretningssystemer som inneholder personopplysninger. Behandlingen er basert på vår berettigede interesse i å ha arbeidsverktøy og en kommunikasjonsløsning, se GDPR artikkel 6 nr. 1 bokstav f, og vi har vurdert at hensynet til den registrertes personvern ikke går foran denne interessen. Hva som behandles, avhenger av formålet og innholdet i kommunikasjonen. E-post og annet materiale slettes når det ikke lenger er behov for det, og vi har rutiner for jevnlig sletting.

Ordering, subscription and administration of the serviceBestilling, abonnement og administrasjon av tjenesten

We process personal data about the representatives of our customers in connection with orders, subscriptions, administration, support and invoicing. Our customers are businesses, and the personal data we process in this capacity relates to individuals in their professional capacity. Vi behandler personopplysninger om kundenes representanter i forbindelse med bestilling, abonnement, administrasjon, støtte og fakturering. Kundene våre er virksomheter, og personopplysningene vi behandler i denne sammenhengen, gjelder personer i deres profesjonelle rolle.

When a customer orders the service, we process the following about the customer's representatives: Når en kunde bestiller tjenesten, behandler vi følgende om kundens representanter:

• NameNavn
• Business contact details, including email address and telephone numberJobbkontaktinformasjon, inkludert e-postadresse og telefonnummer
• Role, function and employerRolle, funksjon og arbeidsgiver
• The persons the customer designates as authorised approvers and as contact points for the agreement and for security mattersPersonene kunden utpeker som godkjennere og som kontaktpunkter for avtalen og for sikkerhetssaker

During the subscription we also process: I abonnementsperioden behandler vi også:

• Support cases and the correspondence and case history relating to themStøttesaker og korrespondansen og sakshistorikken knyttet til dem
• Administrative access to our support and delivery channels, including login recordsAdministrativ tilgang til våre støtte- og leveransekanaler, inkludert påloggingsoppføringer
• Invoicing and payment information relating to the customerFakturerings- og betalingsinformasjon knyttet til kunden
• Subscription details, such as edition, number of users and termAbonnementsdetaljer, som utgave, antall brukere og avtaleperiode
• Information relating to complaints, claims or other matters concerning the agreementInformasjon knyttet til klager, krav eller andre forhold som gjelder avtalen

Contact and administrative data is processed in order to enter into and perform the agreement with the customer, see GDPR Article 6(1)(b), and, where the individual is not a party to the agreement, on the basis of our legitimate interest in administering the customer relationship, see GDPR Article 6(1)(f). Kontakt- og administrasjonsdata behandles for å inngå og oppfylle avtalen med kunden, se GDPR artikkel 6 nr. 1 bokstav b, og, der personen ikke er part i avtalen, på grunnlag av vår berettigede interesse i å administrere kundeforholdet, se GDPR artikkel 6 nr. 1 bokstav f.

The personal data is processed for as long as it is necessary in order to perform the agreement and to handle any claims arising from it. Accounting material is retained for five years after the end of the financial year, as required by the Norwegian Bookkeeping Act. Personopplysningene behandles så lenge det er nødvendig for å oppfylle avtalen og håndtere eventuelle krav som følger av den. Regnskapsmateriale oppbevares i fem år etter regnskapsårets slutt, slik bokføringsloven krever.

We may also process personal data in connection with complaints, claims or other matters relating to the service or the agreement. That processing is based on our legitimate interest in administering the customer relationship, in securing and developing the service and in protecting our rights, see GDPR Article 6(1)(f). We have assessed that our interest is not overridden by the privacy of the data subject. Vi kan også behandle personopplysninger i forbindelse med klager, krav eller andre forhold som gjelder tjenesten eller avtalen. Denne behandlingen er basert på vår berettigede interesse i å administrere kundeforholdet, i å sikre og utvikle tjenesten og i å ivareta våre rettigheter, se GDPR artikkel 6 nr. 1 bokstav f. Vi har vurdert at hensynet til den registrertes personvern ikke går foran vår interesse.

We also process personal data in technical and security logs relating to our own systems, for security purposes, error correction and statistics. This processing is based on our obligation to secure personal data, see GDPR Article 6(1)(c) and Article 32, and on the performance of the agreement. Vi behandler også personopplysninger i tekniske logger og sikkerhetslogger knyttet til våre egne systemer, for sikkerhetsformål, feilretting og statistikk. Denne behandlingen er basert på vår plikt til å sikre personopplysninger, se GDPR artikkel 6 nr. 1 bokstav c og artikkel 32, og på oppfyllelse av avtalen.

Information and marketingInformasjon og markedsføring

If you ask for information or subscribe to our newsletter, we send you information about our products and services. We then process your contact details and any information you give us in that connection. Hvis du ber om informasjon eller abonnerer på nyhetsbrevet vårt, sender vi deg informasjon om produktene og tjenestene våre. Vi behandler da kontaktinformasjonen din og eventuelle opplysninger du gir oss i den forbindelse.

The processing is based on your consent, see GDPR Article 6(1)(a). Where you are already a customer, we may also send you information about our own similar products and services on the basis of that customer relationship, see section 15 of the Norwegian Marketing Control Act, and on the basis of our legitimate interest, see GDPR Article 6(1)(f). You can withdraw your consent, or ask not to receive such messages, at any time by using the unsubscribe option in the messages you receive or by contacting us. You may also object to direct marketing under GDPR Article 21(2). Behandlingen er basert på ditt samtykke, se GDPR artikkel 6 nr. 1 bokstav a. Er du allerede kunde, kan vi også sende deg informasjon om våre egne tilsvarende produkter og tjenester på grunnlag av kundeforholdet, se markedsføringsloven § 15, og på grunnlag av vår berettigede interesse, se GDPR artikkel 6 nr. 1 bokstav f. Du kan når som helst trekke samtykket tilbake eller be om å ikke motta slike meldinger, ved å bruke avmeldingsmuligheten i meldingene du mottar eller ved å kontakte oss. Du kan også protestere mot direkte markedsføring etter GDPR artikkel 21 nr. 2.

We process only the personal data needed to send the material, normally the email address and the name, so that the communication reaches the right person. The email address is not used for other purposes. Vi behandler bare personopplysningene som trengs for å sende materialet, normalt e-postadressen og navnet, slik at kommunikasjonen når riktig person. E-postadressen brukes ikke til andre formål.

The processing continues until you have received the information you asked for or until you withdraw your consent, after which the personal data is deleted. Behandlingen pågår til du har fått informasjonen du ba om, eller til du trekker samtykket tilbake. Deretter slettes personopplysningene.

Information on servicesInformasjon om tjenestene

We may also send information about the service that does not constitute marketing, such as notice of updates, changes and security matters. This is sent whether or not you have consented, and is based on the performance of the agreement with the customer, see GDPR Article 6(1)(b), or on our legitimate interest in keeping users informed about the service, see GDPR Article 6(1)(f). Such information is sent for as long as the customer receives the service. Vi kan også sende informasjon om tjenesten som ikke er markedsføring, for eksempel varsel om oppdateringer, endringer og sikkerhetsforhold. Dette sendes uavhengig av om du har samtykket, og er basert på oppfyllelse av avtalen med kunden, se GDPR artikkel 6 nr. 1 bokstav b, eller på vår berettigede interesse i å holde brukerne informert om tjenesten, se GDPR artikkel 6 nr. 1 bokstav f. Slik informasjon sendes så lenge kunden mottar tjenesten.

Business customers, suppliers and partnersBedriftskunder, leverandører og samarbeidspartnere

We process personal data about contact persons at existing and potential customers, suppliers, resellers and other partners, in order to establish, perform, document and follow up the relationship. We process names, contact details, role and employer, and information relating to the contact with the business the person works for. Vi behandler personopplysninger om kontaktpersoner hos eksisterende og potensielle kunder, leverandører, forhandlere og andre samarbeidspartnere, for å etablere, gjennomføre, dokumentere og følge opp relasjonen. Vi behandler navn, kontaktinformasjon, rolle og arbeidsgiver, og informasjon knyttet til kontakten med virksomheten personen jobber for.

The processing is based on our legitimate interest in administering our relationships with customers, suppliers and partners, see GDPR Article 6(1)(f), and we have assessed that the privacy of the data subject does not override that interest. Behandlingen er basert på vår berettigede interesse i å administrere relasjonene våre til kunder, leverandører og samarbeidspartnere, se GDPR artikkel 6 nr. 1 bokstav f, og vi har vurdert at hensynet til den registrertes personvern ikke går foran denne interessen.

We also store and disclose information where we are under a legal obligation to do so, for example under accounting and tax legislation. Vi lagrer og utleverer også informasjon der vi har en rettslig plikt til det, for eksempel etter regnskaps- og skattelovgivningen.

We normally need personal data about contact persons in order to enter into and document agreements with customers, suppliers and partners. Without that information we cannot enter into the agreement. Vi trenger normalt personopplysninger om kontaktpersoner for å inngå og dokumentere avtaler med kunder, leverandører og samarbeidspartnere. Uten denne informasjonen kan vi ikke inngå avtalen.

It is voluntary for a contact person to give us personal data. Where we collect personal data from others, it will mainly be contact details, role, function and employer, and the source will normally be the person, the employer or the employer's website. Det er frivillig for en kontaktperson å gi oss personopplysninger. Der vi samler inn personopplysninger fra andre, vil det i hovedsak være kontaktinformasjon, rolle, funksjon og arbeidsgiver, og kilden vil normalt være personen selv, arbeidsgiveren eller arbeidsgiverens nettsted.

We store the personal data until the relationship with the customer, supplier or partner ends, or until the person ceases to be the contact person, subject to the exceptions above. Vi lagrer personopplysningene til relasjonen med kunden, leverandøren eller samarbeidspartneren opphører, eller til personen ikke lenger er kontaktperson, med de unntakene som er nevnt ovenfor.

RecruitmentRekruttering

When we recruit, we process CVs, applications, certificates and references, together with the assessments we make of applicants. We ask applicants not to include special categories of personal data, such as health, religion, political opinion or trade union membership, in an application. Når vi rekrutterer, behandler vi CV-er, søknader, attester og referanser, sammen med vurderingene vi gjør av søkerne. Vi ber søkere om ikke å ta med særlige kategorier av personopplysninger, som helse, religion, politisk oppfatning eller fagforeningsmedlemskap, i en søknad.

The processing is based on the need to take steps at the request of the applicant prior to entering into an employment contract, see GDPR Article 6(1)(b). Where we make further assessments, such as contacting persons who are not listed as referees, the processing is based on our legitimate interest in recruiting the right candidate, see GDPR Article 6(1)(f). If we process special categories of personal data, we do so on the basis of consent, see GDPR Article 9(2)(a), and consent may be withdrawn at any time. Behandlingen er basert på behovet for å gjennomføre tiltak på søkerens anmodning før inngåelse av en arbeidsavtale, se GDPR artikkel 6 nr. 1 bokstav b. Der vi gjør ytterligere vurderinger, for eksempel kontakter personer som ikke er oppgitt som referanser, er behandlingen basert på vår berettigede interesse i å rekruttere riktig kandidat, se GDPR artikkel 6 nr. 1 bokstav f. Behandler vi særlige kategorier av personopplysninger, gjør vi det på grunnlag av samtykke, se GDPR artikkel 9 nr. 2 bokstav a, og samtykket kan når som helst trekkes tilbake.

Applications and related material are deleted once the recruitment is completed, unless the applicant has agreed that we may keep the material for longer. Søknader og tilhørende materiale slettes når rekrutteringen er avsluttet, med mindre søkeren har samtykket til at vi kan beholde materialet lenger.

Social mediaSosiale medier

We are present on social media, and personal data is processed where you post, comment on, like or follow our pages. For processing on our own pages we are the controller together with the platform. Vi er til stede i sosiale medier, og personopplysninger behandles når du publiserer, kommenterer, liker eller følger sidene våre. For behandling på våre egne sider er vi behandlingsansvarlig sammen med plattformen.

In that connection we process your name, the link to your account and what you share through posts and comments. What you choose to share is voluntary. I den forbindelse behandler vi navnet ditt, lenken til kontoen din og det du deler gjennom innlegg og kommentarer. Hva du velger å dele, er frivillig.

We ask you not to share personal data in posts or comments, and in particular not personal data about others, for example by tagging or naming them. Vi ber deg om å ikke dele personopplysninger i innlegg eller kommentarer, og særlig ikke personopplysninger om andre, for eksempel ved å tagge eller navngi dem.

The processing is based on our legitimate interest in communicating through social media and in handling the enquiries we receive there, see GDPR Article 6(1)(f). We have assessed that the privacy of the data subject does not override that interest. Behandlingen er basert på vår berettigede interesse i å kommunisere gjennom sosiale medier og i å håndtere henvendelsene vi mottar der, se GDPR artikkel 6 nr. 1 bokstav f. Vi har vurdert at hensynet til den registrertes personvern ikke går foran denne interessen.

The personal data is processed for as long as the post or comment is available, and you can delete it at any time. Personopplysningene behandles så lenge innlegget eller kommentaren er tilgjengelig, og du kan når som helst slette dem.

Use of our website and cookiesBruk av nettstedet vårt og informasjonskapsler

We use cookies and similar technologies to collect information when you visit our website. We use that information to make the website work, to understand how it is used and to improve it. As far as practicable we do this using information that does not identify individual visitors. Vi bruker informasjonskapsler og lignende teknologier for å samle inn informasjon når du besøker nettstedet vårt. Vi bruker informasjonen til å få nettstedet til å fungere, til å forstå hvordan det brukes og til å forbedre det. Så langt det er praktisk mulig, gjør vi dette med informasjon som ikke identifiserer den enkelte besøkende.

A cookie is a small text file, or a number or series of numbers, that is stored in your browser or on your device when you visit a website and that makes it possible to recognise the browser or the device. For simplicity, all such technologies are referred to as cookies below. En informasjonskapsel er en liten tekstfil, eller et tall eller en tallrekke, som lagres i nettleseren din eller på enheten din når du besøker et nettsted, og som gjør det mulig å gjenkjenne nettleseren eller enheten. For enkelhets skyld omtales alle slike teknologier som informasjonskapsler nedenfor.

You can prevent cookies from being stored in your browser. Most browsers accept cookies automatically, but the settings can be changed. If cookies are disabled, parts of the website may not work as intended. Du kan hindre at informasjonskapsler lagres i nettleseren din. De fleste nettlesere godtar informasjonskapsler automatisk, men innstillingene kan endres. Er informasjonskapsler slått av, kan deler av nettstedet slutte å virke som tiltenkt.

We use the following cookies on our website: Vi bruker følgende informasjonskapsler på nettstedet vårt:

Where we use cookies that are not strictly necessary, we do so on the basis of your consent, which you give when you visit the website. Consent is required in order to store information on, or gain access to information in, your device, except where the technology is strictly necessary, see the Norwegian Electronic Communications Act Section 3-15. Der vi bruker informasjonskapsler som ikke er strengt nødvendige, gjør vi det på grunnlag av ditt samtykke, som du gir når du besøker nettstedet. Samtykke kreves for å lagre informasjon på, eller få tilgang til informasjon i, enheten din, med mindre teknologien er strengt nødvendig, se ekomloven § 3-15.

Personal data collected through cookies that are strictly necessary for the website to function is processed on the basis of our legitimate interest, see GDPR Article 6(1)(f). We have assessed that our interest in operating the website is not overridden by the privacy of the visitor, and we protect visitors by using the data only for statistics in which individuals are not identified. Personopplysninger som samles inn gjennom informasjonskapsler som er strengt nødvendige for at nettstedet skal fungere, behandles på grunnlag av vår berettigede interesse, se GDPR artikkel 6 nr. 1 bokstav f. Vi har vurdert at vår interesse i å drive nettstedet ikke settes til side av hensynet til den besøkendes personvern, og vi ivaretar de besøkende ved å bruke dataene bare til statistikk der enkeltpersoner ikke identifiseres.

Personal data collected for statistics, website personalisation, marketing and analysis, including any transfer to advertising networks, social media or other third parties, is processed on the basis of your consent, see GDPR Article 6(1)(a). The data is processed until you withdraw or change your consent. Personopplysninger som samles inn for statistikk, tilpasning av nettstedet, markedsføring og analyse, inkludert eventuell overføring til annonsenettverk, sosiale medier eller andre tredjeparter, behandles på grunnlag av ditt samtykke, se GDPR artikkel 6 nr. 1 bokstav a. Opplysningene behandles til du trekker tilbake eller endrer samtykket ditt.

The statistics cookies above are set by Google Analytics and load only after you accept them in the cookie banner shown on your first visit. You can change or withdraw your choice at any time via "Cookie settings" in the footer of every page. Statistikk-kapslene ovenfor settes av Google Analytics og lastes først etter at du har godtatt dem i banneret som vises ved første besøk. Du kan når som helst endre eller trekke tilbake valget ditt via «Innstillinger for informasjonskapsler» i bunnteksten på hver side.

Processing based on consentBehandling basert på samtykke

If we process personal data based on your consent (see above), you can withdraw your consent at any time without affecting the lawfulness of processing before its withdrawal. Contact us if you want to withdraw your consent. Note that if you withdraw your consent, it may still be possible for us to continue processing all or part of the information if there is another basis for the processing. Hvis vi behandler personopplysninger basert på ditt samtykke (se ovenfor), kan du når som helst trekke samtykket tilbake, uten at det påvirker lovligheten av behandlingen før tilbaketrekkingen. Kontakt oss hvis du ønsker å trekke samtykket tilbake. Merk at selv om du trekker samtykket tilbake, kan vi likevel fortsette å behandle hele eller deler av informasjonen dersom det finnes et annet grunnlag for behandlingen.

Retention and deletion of personal dataLagring og sletting av personopplysninger

We keep personal data for as long as it is necessary for the purpose for which it was collected, and delete it in accordance with the legislation. The retention period for each processing activity is set out above. Vi oppbevarer personopplysninger så lenge det er nødvendig for formålet de ble samlet inn for, og sletter dem i samsvar med lovgivningen. Lagringstiden for hver behandlingsaktivitet er angitt ovenfor.

Where a retention period is not stated above, the period is determined on the basis of the following criteria: Der lagringstid ikke er angitt ovenfor, fastsettes den ut fra følgende kriterier:

• Whether we have a legal or contractual need to keep the information, including because claims may be brought against usOm vi har et rettslig eller kontraktsmessig behov for å beholde informasjonen, blant annet fordi krav kan bli rettet mot oss
• Whether the information is necessary for our businessOm informasjonen er nødvendig for virksomheten vår
• Where the processing is based on consent, whether the consent has been withdrawnDer behandlingen er basert på samtykke: om samtykket er trukket tilbake

When we no longer have a legitimate need to process the personal data, it is deleted or anonymised as soon as possible. Når vi ikke lenger har et legitimt behov for å behandle personopplysningene, slettes eller anonymiseres de så snart som mulig.

Anonymisation may be used instead of deletion. Anonymisation removes all information that can identify, directly or indirectly, the persons in the data set. Anonymisering kan brukes i stedet for sletting. Anonymisering fjerner all informasjon som direkte eller indirekte kan identifisere personene i datasettet.

Personal data processed on the basis of consent is deleted when the consent is withdrawn. Personal data processed in connection with an agreement is deleted when the agreement has been performed and all obligations arising from it have been met, including obligations under accounting legislation and the handling of any claims. Personopplysninger som behandles på grunnlag av samtykke, slettes når samtykket trekkes tilbake. Personopplysninger som behandles i forbindelse med en avtale, slettes når avtalen er oppfylt og alle forpliktelser som følger av den er ivaretatt, inkludert forpliktelser etter regnskapslovgivningen og håndtering av eventuelle krav.

The Coldbyte service and our role as a data processorColdbyte-tjenesten og vår rolle som databehandler

Customers who use the service are the data controllers for the personal data processed through it, and we process that personal data on their behalf as a data processor. A data processing agreement is entered into with every customer and governs our processing. Kunder som bruker tjenesten, er behandlingsansvarlige for personopplysningene som behandles gjennom den, og vi behandler disse personopplysningene på deres vegne som databehandler. Det inngås en databehandleravtale med hver kunde, og den regulerer vår behandling.

Because our customer is the data controller, you must contact that customer in order to exercise your rights. If you contact us, we will refer you to the customer where we hold that information. Fordi kunden vår er behandlingsansvarlig, må du kontakte kunden for å utøve rettighetene dine. Kontakter du oss, henviser vi deg til kunden der vi har denne informasjonen.

The service runs as an isolated instance inside the customer's own Microsoft 365 tenant and Azure subscription. All data the service collects, derives and stores remains in the customer's own environment, and we keep no copy of it. Deletion of the personal data is therefore carried out by the customer or on the customer's instruction, and our part is to confirm in writing that our access has been withdrawn and that we hold no copies. Tjenesten kjører som en isolert instans i kundens egen Microsoft 365-tenant og eget Azure-abonnement. Alle data tjenesten samler inn, utleder og lagrer, blir værende i kundens eget miljø, og vi beholder ingen kopi av dem. Sletting av personopplysningene utføres derfor av kunden eller etter kundens instruks, og vår del er å bekrefte skriftlig at vår tilgang er trukket tilbake og at vi ikke har noen kopier.

We send emails to the contact persons of our customers with information about the service, including technical matters, updates and new functionality, in addition to messages generated by the service itself. Recipients can ask not to receive such messages, but we advise against this, because they may contain information that matters for the security of the environment. Vi sender e-post til kundenes kontaktpersoner med informasjon om tjenesten, inkludert tekniske forhold, oppdateringer og ny funksjonalitet, i tillegg til meldinger som genereres av selve tjenesten. Mottakere kan be om å ikke motta slike meldinger, men vi fraråder det, fordi de kan inneholde informasjon som har betydning for sikkerheten i miljøet.

Below is a general description of the processing carried out by the service. The individual customer decides how the service is used and may process personal data differently. The customer is responsible for informing data subjects about its own processing, but we make this information available so that it is easier to understand what the service does. Nedenfor er en generell beskrivelse av behandlingen som skjer i tjenesten. Den enkelte kunde bestemmer hvordan tjenesten brukes, og kan behandle personopplysninger på andre måter. Kunden er ansvarlig for å informere de registrerte om sin egen behandling, men vi gjør denne informasjonen tilgjengelig for at det skal være lettere å forstå hva tjenesten gjør.

Purpose of the processingFormålet med behandlingen

The purpose of the processing in the service is to maintain and improve the security of the customer's Microsoft 365 environment, including to support the customer's own obligations under GDPR Article 32. We do not process the personal data for any other purpose. In particular, the personal data is not used to monitor the performance or behaviour of the customer's staff beyond the security purpose, for product development, or to train or improve machine-learning models. Formålet med behandlingen i tjenesten er å opprettholde og forbedre sikkerheten i kundens Microsoft 365-miljø, blant annet for å støtte kundens egne forpliktelser etter GDPR artikkel 32. Vi behandler ikke personopplysningene til noe annet formål. Personopplysningene brukes særlig ikke til å overvåke prestasjonene eller atferden til kundens ansatte utover sikkerhetsformålet, til produktutvikling, eller til å trene eller forbedre maskinlæringsmodeller.

Processing in the serviceBehandlingen i tjenesten

The following processing takes place in the service: Følgende behandling skjer i tjenesten:

• Automated and continuous collection and analysis of security metadata from the customer's tenant through read-only Microsoft Graph permissionsAutomatisert og kontinuerlig innsamling og analyse av sikkerhetsmetadata fra kundens tenant gjennom skrivebeskyttede Microsoft Graph-tillatelser
• Generation of alerts, reports and a dashboard within the customer's own environmentGenerering av varsler, rapporter og et dashbord i kundens eget miljø
• Execution of predefined configuration changes in the tenant, in each case only after a person designated by the customer has approved the changeGjennomføring av forhåndsdefinerte konfigurasjonsendringer i tenanten, i hvert enkelt tilfelle først etter at en person utpekt av kunden har godkjent endringen
• Access by named Coldbyte personnel to the customer's environment for provisioning, delivery of updates, error correction and agreed supportTilgang for navngitt Coldbyte-personell til kundens miljø for klargjøring, levering av oppdateringer, feilretting og avtalt støtte
• Logging of approvals, decisions and Coldbyte operations in an event log that is available to the customerLoggføring av godkjenninger, beslutninger og Coldbyte-operasjoner i en hendelseslogg som er tilgjengelig for kunden
• The service does not access content data, meaning mail, files, documents and chatTjenesten har ikke tilgang til innholdsdata, det vil si e-post, filer, dokumenter og chat
• Personal data seen during support is not taken out of the customer's environmentPersonopplysninger som ses under støttearbeid, tas ikke ut av kundens miljø

Personal data collected and processedPersonopplysninger som samles inn og behandles

The following categories of personal data are processed about the customer's employees, contractors and guest users, its administrators and designated approvers, and, to a limited extent, third parties appearing in configuration data, such as external forwarding addresses and IP addresses associated with attempted attacks: Følgende kategorier av personopplysninger behandles om kundens ansatte, innleide og gjestebrukere, kundens administratorer og utpekte godkjennere, og, i begrenset grad, tredjeparter som fremgår av konfigurasjonsdata, som eksterne videresendingsadresser og IP-adresser knyttet til angrepsforsøk:

The legal basis for the processing in the service is determined by the customer as data controller. It will normally be the customer's legitimate interest in securing its own environment, or the customer's obligation to secure personal data under GDPR Article 32. Det rettslige grunnlaget for behandlingen i tjenesten fastsettes av kunden som behandlingsansvarlig. Det vil normalt være kundens berettigede interesse i å sikre sitt eget miljø, eller kundens plikt til å sikre personopplysninger etter GDPR artikkel 32.

We are also the data controller for certain personal data processed in connection with the service. This includes: Vi er også behandlingsansvarlig for enkelte personopplysninger som behandles i forbindelse med tjenesten. Dette omfatter:

System monitoring and error correctionSystemovervåking og feilretting

We monitor our own systems for errors and faults, which involves processing personal data. The basis is our legitimate interest in ensuring that our software works as intended, see GDPR Article 6(1)(f). Vi overvåker våre egne systemer for feil og avvik, noe som innebærer behandling av personopplysninger. Grunnlaget er vår berettigede interesse i å sikre at programvaren vår fungerer som tiltenkt, se GDPR artikkel 6 nr. 1 bokstav f.

SecuritySikkerhet

We process personal data in order to protect our software, our customers and ourselves against security breaches, misuse and abuse. The basis is our obligation to secure personal data, see GDPR Article 6(1)(c) and Articles 24 and 32, and our legitimate interest in protecting our software and our customers, see GDPR Article 6(1)(f). Vi behandler personopplysninger for å beskytte programvaren vår, kundene våre og oss selv mot sikkerhetsbrudd, misbruk og uriktig bruk. Grunnlaget er vår plikt til å sikre personopplysninger, se GDPR artikkel 6 nr. 1 bokstav c og artikkel 24 og 32, og vår berettigede interesse i å beskytte programvaren vår og kundene våre, se GDPR artikkel 6 nr. 1 bokstav f.

Legal obligationsRettslige forpliktelser

We may be required to process personal data in order to comply with legal obligations, for example in connection with accounting, legal claims or requests from public authorities. The basis is GDPR Article 6(1)(c). Vi kan være forpliktet til å behandle personopplysninger for å oppfylle rettslige forpliktelser, for eksempel i forbindelse med regnskap, rettskrav eller henvendelser fra offentlige myndigheter. Grunnlaget er GDPR artikkel 6 nr. 1 bokstav c.

Communication with usersKommunikasjon med brukere

We may send users information about the service, including its availability, functionality and other matters they need to be aware of. This is based on our legitimate interest in keeping users informed, see GDPR Article 6(1)(f). Vi kan sende brukere informasjon om tjenesten, inkludert tilgjengelighet, funksjonalitet og andre forhold de bør kjenne til. Dette er basert på vår berettigede interesse i å holde brukerne informert, se GDPR artikkel 6 nr. 1 bokstav f.

The personal data we process as data controller in connection with the service is kept for as long as it is necessary for the purposes set out above, and is otherwise deleted or anonymised in accordance with the section on retention and deletion. Personopplysningene vi behandler som behandlingsansvarlig i forbindelse med tjenesten, oppbevares så lenge det er nødvendig for formålene ovenfor, og slettes eller anonymiseres ellers i samsvar med avsnittet om lagring og sletting.

Your rightsDine rettigheter

Where we act as a data processor, you must contact the data controller in order to exercise your rights. Your rights will largely be as described below. If you contact us, we will refer you to the controller where we hold that information. Der vi opptrer som databehandler, må du kontakte den behandlingsansvarlige for å utøve rettighetene dine. Rettighetene dine vil i hovedsak være som beskrevet nedenfor. Kontakter du oss, henviser vi deg til den behandlingsansvarlige der vi har denne informasjonen.

Where we act as data controller, your rights are described below and you can contact us to exercise them. Der vi opptrer som behandlingsansvarlig, er rettighetene dine beskrevet nedenfor, og du kan kontakte oss for å utøve dem.

Disclosure and transfer of personal dataUtlevering og overføring av personopplysninger

We do not disclose or transfer personal data to others beyond what is described in this notice, unless there is a legal basis for doing so. Such a basis will typically be an agreement with, or consent from, the data subject, or a legal obligation. Vi utleverer eller overfører ikke personopplysninger til andre utover det som er beskrevet i denne erklæringen, med mindre det finnes et rettslig grunnlag for det. Et slikt grunnlag vil typisk være en avtale med, eller et samtykke fra, den registrerte, eller en rettslig forpliktelse.

We use data processors to process personal data on our behalf. In such cases we have entered into data processing agreements that govern the processing and safeguard the security of the personal data. Vi bruker databehandlere til å behandle personopplysninger på våre vegne. I slike tilfeller har vi inngått databehandleravtaler som regulerer behandlingen og ivaretar sikkerheten til personopplysningene.

Where required by law, or where there is a suspicion that a criminal offence has been committed in connection with our services, personal data may be disclosed to public authorities, including the police. Der loven krever det, eller der det er mistanke om at det er begått et straffbart forhold i forbindelse med tjenestene våre, kan personopplysninger utleveres til offentlige myndigheter, inkludert politiet.

If personal data may be transferred to another organisation in connection with a merger, financing, reorganisation or dissolution of all or part of our business, we will only do so where the parties have agreed that the collection, use and sharing of the personal data is limited to the purposes of the transaction. If another business acquires our business or its assets, that business will have access to the personal data we hold and will assume the rights and obligations described in this notice. Dersom personopplysninger kan bli overført til en annen organisasjon i forbindelse med fusjon, finansiering, omorganisering eller avvikling av hele eller deler av virksomheten vår, gjør vi det bare der partene har avtalt at innsamling, bruk og deling av personopplysningene er begrenset til formålene med transaksjonen. Hvis en annen virksomhet overtar virksomheten vår eller dens eiendeler, vil den virksomheten ha tilgang til personopplysningene vi har, og overta rettighetene og forpliktelsene beskrevet i denne erklæringen.

Transfer of personal data outside the EEAOverføring av personopplysninger ut av EØS

Our objective is that all processing of personal data takes place within the EEA. Where a supplier processes personal data outside the EEA, the transfer takes place to a country covered by an adequacy decision from the European Commission or on another lawful basis under GDPR Chapter V, normally the standard contractual clauses under Article 46(2)(c) together with an assessment of the transfer. Målet vårt er at all behandling av personopplysninger skjer innenfor EØS. Der en leverandør behandler personopplysninger utenfor EØS, skjer overføringen til et land som er omfattet av en adekvansbeslutning fra EU-kommisjonen, eller på et annet lovlig grunnlag etter GDPR kapittel V, normalt standard personvernbestemmelser etter artikkel 46 nr. 2 bokstav c sammen med en vurdering av overføringen.

A copy of the transfer basis can be obtained by contacting us. Du kan få en kopi av overføringsgrunnlaget ved å kontakte oss.

Links to third parties and other websitesLenker til tredjeparter og andre nettsteder

Our website may contain links to other websites or third parties offering products or services and sites not under our control. These links are provided only as an opportunity for users to obtain more information. Websites not part of ours, i.e. not under the addresses coldbyte.no or coldbyte.ai, will process personal data as the data controller and may have separate and independent privacy notices. We have no responsibility for the content and activities of these websites. Nettstedet vårt kan inneholde lenker til andre nettsteder eller tredjeparter som tilbyr produkter eller tjenester, og til sider utenfor vår kontroll. Disse lenkene er kun ment som en mulighet for brukerne til å finne mer informasjon. Nettsteder som ikke er en del av vårt, det vil si ikke under adressene coldbyte.no eller coldbyte.ai, behandler personopplysninger som behandlingsansvarlig og kan ha egne og uavhengige personvernerklæringer. Vi har ikke ansvar for innholdet og aktivitetene på disse nettstedene.

Security of processingSikkerhet ved behandlingen

We take the security of personal data seriously and implement technical and organisational measures appropriate to the risk, see GDPR Article 32. Vi tar sikkerheten til personopplysninger på alvor og gjennomfører tekniske og organisatoriske tiltak som er tilpasset risikoen, se GDPR artikkel 32.

We work to ensure that personal data is accurate and available and that it is handled according to its sensitivity. Vi arbeider for at personopplysninger skal være korrekte og tilgjengelige, og for at de håndteres i tråd med hvor sensitive de er.

We have entered into data processing agreements with the suppliers that process personal data on our behalf, under which they undertake to safeguard the security of the personal data. Vi har inngått databehandleravtaler med leverandørene som behandler personopplysninger på våre vegne, der de forplikter seg til å ivareta sikkerheten til personopplysningene.

Access to personal data is limited to the personnel who need it in order to carry out their work, and to data processors acting on our behalf. Access is subject to a duty of confidentiality. Tilgang til personopplysninger er begrenset til personellet som trenger den for å utføre arbeidet sitt, og til databehandlere som opptrer på våre vegne. Tilgangen er underlagt taushetsplikt.

We have procedures for handling breaches of personal data security, and we will notify the Norwegian Data Protection Authority and, where required, the data subjects, in accordance with GDPR Articles 33 and 34. Vi har rutiner for å håndtere brudd på personopplysningssikkerheten, og vi varsler Datatilsynet og, der det kreves, de registrerte, i samsvar med GDPR artikkel 33 og 34.

Your rights when we process personal data about youDine rettigheter når vi behandler personopplysninger om deg

Your rights are described below. To exercise them, contact us using the contact details above. Rettighetene dine er beskrevet nedenfor. For å utøve dem kontakter du oss via kontaktinformasjonen ovenfor.

We strive to respond to your inquiry as soon as possible and within one month. If it takes longer than one month, you will be notified. Vi tilstreber å besvare henvendelsen din så snart som mulig og senest innen én måned. Tar det lengre tid enn én måned, får du beskjed.

In some cases, we will request you to confirm your identity or provide additional information before you can exercise your rights to make sure that we only give access to your personal data to you — and not someone who pretends to be you. I noen tilfeller vil vi be deg bekrefte identiteten din eller gi ytterligere informasjon før du kan utøve rettighetene dine, for å sikre at vi bare gir tilgang til personopplysningene dine til deg — og ikke til noen som utgir seg for å være deg.

The rights described below apply where we are the data controller. Where we act as a data processor, you must contact the data controller, see above. Rettighetene nedenfor gjelder der vi er behandlingsansvarlig. Der vi opptrer som databehandler, må du kontakte den behandlingsansvarlige, se ovenfor.

InformationInformasjon

You have the right to information about the personal data we process about you. This policy provides information on the processing of personal data. You can also contact us if you want more information. Du har rett til informasjon om personopplysningene vi behandler om deg. Denne erklæringen gir informasjon om behandlingen av personopplysninger. Du kan også kontakte oss hvis du ønsker mer informasjon.

Access to your personal dataInnsyn i egne personopplysninger

You have the right to request access to the personal data we process about you. Contact us if you want such access. Du har rett til å be om innsyn i personopplysningene vi behandler om deg. Kontakt oss hvis du ønsker slikt innsyn.

If you request it, you will also receive a copy of the personal data we process about you. We may ask you to specify which data you wish to receive a copy of to make the release easier for us. Upon providing a copy of your personal data, we may require you to identify yourself to ensure we do not disclose personal data to unauthorised persons. The information about you will be sent in digital form unless you request it to be transferred in another manner. På forespørsel får du også en kopi av personopplysningene vi behandler om deg. Vi kan be deg presisere hvilke opplysninger du ønsker kopi av, for å gjøre utleveringen enklere for oss. Ved utlevering av en kopi av personopplysningene dine kan vi kreve at du identifiserer deg, for å sikre at vi ikke utleverer personopplysninger til uvedkommende. Informasjonen om deg sendes i digital form, med mindre du ber om at den overføres på en annen måte.

Correction and deletionRetting og sletting

You can ask us to correct or delete personal data. We will meet a request for deletion as far as we can, but we cannot do so where we still need the personal data or where we are required to keep it. Du kan be oss rette eller slette personopplysninger. Vi etterkommer en anmodning om sletting så langt vi kan, men vi kan ikke gjøre det der vi fortsatt trenger personopplysningene, eller der vi er pålagt å oppbevare dem.

Processing based on your consentBehandling basert på ditt samtykke

If we process personal data based on your consent, you can withdraw the consent at any time. The easiest way to withdraw your consent is as informed to you when you give your consent, or to contact us. Hvis vi behandler personopplysninger basert på ditt samtykke, kan du når som helst trekke samtykket tilbake. Den enkleste måten å trekke samtykket på er slik du ble informert om da du ga samtykket, eller ved å kontakte oss.

Right to object and to restriction of processingRett til å protestere og til begrensning av behandlingen

You have the right to have the processing restricted in certain cases, see GDPR Article 18, and to object to the processing, see GDPR Article 21. Du har i visse tilfeller rett til å få behandlingen begrenset, se GDPR artikkel 18, og til å protestere mot behandlingen, se GDPR artikkel 21.

Where our processing is based on legitimate interests, you can object to the processing of your personal data. If you object, we will stop the processing unless there are compelling legitimate grounds for continuing it. Der behandlingen vår er basert på berettigede interesser, kan du protestere mot behandlingen av personopplysningene dine. Protesterer du, stanser vi behandlingen, med mindre det foreligger tvingende berettigede grunner til å fortsette den.

You may also object to the processing of personal data for direct marketing purposes, including profiling related to such marketing, see GDPR Article 21(2). Du kan også protestere mot behandling av personopplysninger til direkte markedsføring, inkludert profilering knyttet til slik markedsføring, se GDPR artikkel 21 nr. 2.

The right to data portabilityRett til dataportabilitet

For personal data that you have provided to us, which is necessary to carry out an agreement with us, and which is processed automatically (i.e. not manually by us), you can request that the personal data be disclosed or transferred to another provider in a structured, commonly used and machine-readable format (data portability). For personopplysninger du har gitt oss, som er nødvendige for å gjennomføre en avtale med oss, og som behandles automatisk (altså ikke manuelt av oss), kan du be om at personopplysningene utleveres eller overføres til en annen leverandør i et strukturert, alminnelig anvendt og maskinlesbart format (dataportabilitet).

Automated processing, including profilingAutomatisert behandling, inkludert profilering

We do not carry out automated decision-making, including profiling, that produces legal effects concerning you or similarly significantly affects you, see GDPR Article 22(1) and (4). The service carries out automated analysis of security metadata on behalf of our customers, but no configuration change is made in a customer's environment unless a person designated by the customer has approved it. Vi utfører ikke automatiserte avgjørelser, inkludert profilering, som har rettsvirkning for deg eller på tilsvarende måte i betydelig grad påvirker deg, se GDPR artikkel 22 nr. 1 og 4. Tjenesten utfører automatisert analyse av sikkerhetsmetadata på vegne av kundene våre, men ingen konfigurasjonsendring gjøres i en kundes miljø uten at en person utpekt av kunden har godkjent den.

Right to be notifiedRett til varsling

If a data breach occurs, i.e. a breach of personal data security that would pose a high risk to your privacy, we will notify you without undue delay. Ved et brudd på personopplysningssikkerheten som vil medføre høy risiko for personvernet ditt, varsler vi deg uten ugrunnet opphold.

ComplaintsKlager

We are established in Norway, and the Norwegian Data Protection Authority (Datatilsynet) is our supervisory authority. Vi er etablert i Norge, og Datatilsynet er vår tilsynsmyndighet.

If you believe that our processing of personal data is not in accordance with what we have described here, or that we are otherwise in breach of the data protection legislation, you can complain to the Norwegian Data Protection Authority. We would ask you to contact us first, so that we can put the matter right. Mener du at vår behandling av personopplysninger ikke stemmer med det vi har beskrevet her, eller at vi på andre måter bryter personvernlovgivningen, kan du klage til Datatilsynet. Vi ber deg kontakte oss først, slik at vi kan rette opp i forholdet.

You will find information about your rights and how to contact the Norwegian Data Protection Authority on the website www.datatilsynet.no. Informasjon om rettighetene dine og hvordan du kontakter Datatilsynet finner du på www.datatilsynet.no.

AmendmentsEndringer

If our services or the data protection legislation change, this notice may be changed. The current version is always available on our website, and where we have your contact details we will inform you of significant changes. Endres tjenestene våre eller personvernlovgivningen, kan denne erklæringen bli endret. Gjeldende versjon er alltid tilgjengelig på nettstedet vårt, og der vi har kontaktinformasjonen din, informerer vi deg om vesentlige endringer.

Version: 08.2026 Versjon: 08.2026