Personvernerklæring

Sist oppdatert: 23. juni 2026

1. Behandlingsansvarlig

VELDIA CARDONA (enkeltpersonforetak) v/ Daniel Cardona.

Org.nr: 937 850 360
Adresse: Osloveien 4, 7017 Trondheim
E-post: daniel@cardona.no

Vi er behandlingsansvarlig for personopplysninger om deg som er kunde hos oss (bedriftseier). For personopplysninger som samles inn gjennom din publiserte nettside (dine besøkende, kontaktskjema, booking) er du behandlingsansvarlig og Veldia databehandler — dette reguleres i egen databehandleravtale (se punkt 9).

2. Hvilke personopplysninger vi behandler

Om deg som kunde (vi er behandlingsansvarlig):

Kontakt- og bedriftsinfo: navn, e-post, telefon, bedriftsnavn, adresse, org.nr
Innhold du oppgir i samtale med Erik (vår AI-assistent) under bygging/redigering
Opplastede bilder (logo, foto). Metadata (EXIF/GPS) fjernes automatisk ved opplasting
Betalingsinformasjon: ved kortbetaling håndteres dette av Stripe (vi lagrer kun abonnementsstatus og metadata, ikke kortnummer); ved fakturabetaling behandles org.nr og fakturaadresse av vår fakturapartner (se punkt 5)
Teknisk: ved feil under bygging lagres en gjenopprettingstilstand (inkl. IP i hash-form og nettleserstreng) midlertidig

Om dine besøkende (du er behandlingsansvarlig, vi er databehandler):

Kontaktskjema: navn, e-post, telefon, melding
Booking: navn, e-post, telefon, tidspunkt, eventuelle notater
Kalender: kun ledig/opptatt-status leses hvis du kobler Google- eller Microsoft-kalender. Bookinger lagres i vår egen database; ingen besøkerdata skrives til eller deles med Google/Microsoft.
Tekniske opplysninger ved sidevisning: når en besøkende åpner siden, behandles IP-adresse, tidspunkt, forespurt side og nettlesertype på infrastrukturnivå (CDN/hosting) for å levere, sikre og feilsøke tjenesten. Vår applikasjon lagrer ikke disse i egen database; de behandles forbigående av infrastrukturleverandørene (punkt 5).

3. Formål og rettsgrunnlag (GDPR art. 6)

Formål	Rettsgrunnlag
Levere og drifte nettsiden din	Avtale (art. 6.1.b)
Fakturering og abonnement	Avtale (art. 6.1.b)
Support (Alice), drift og sikkerhet	Berettiget interesse (art. 6.1.f)
Markedsføring av andre relevante tjenester for din virksomhet	Samtykke (art. 6.1.a) for bredere tilbud; berettiget interesse for tilsvarende tjenester til eksisterende kunder (jf. mfl. § 15), med reservasjonsrett
Utgående salg/markedsføring til virksomheter (prospekter)	Berettiget interesse (art. 6.1.f); avmelding alltid tilgjengelig
Behandling av dine besøkeres data	På dine vegne som databehandler (art. 28)

Markedsføring av andre tjenester baseres på et separat samtykke du gir ved registrering (egen avkrysning, ikke en betingelse for å bruke Veldia). Du kan når som helst trekke samtykket eller reservere deg ved å kontakte daniel@cardona.no.

For utgående salg kan vi behandle kontaktopplysninger til bedriftsrepresentanter som er hentet fra offentlige registre (f.eks. Brønnøysundregistrene) eller virksomheters egne nettsider. Mottakere kan alltid protestere eller reservere seg mot slik henvendelse.

4. Hvor data lagres og behandles

Kjernedata og AI-behandling ligger i EU:

Database: Neon PostgreSQL, eu-central-1 (Frankfurt)
AI-tekst/chat: Anthropic Claude via AWS Bedrock, eu-central-1 (Frankfurt). US-fallback er deaktivert
AI-søk (embeddings): Cohere via AWS Bedrock, eu-central-1 (Frankfurt)
Bilder/filer: Cloudflare R2, EU-jurisdiksjon (verifisert)
E-post: Scaleway, fr-par (Paris)
Applikasjonsdrift: Fly.io, Stockholm (arn)
SMS-varsling: Sveve, Norge

Enkelte tjenester behandler data utenfor EU/EØS (se punkt 5); overføring skjer på grunnlag av EUs Data Privacy Framework (DPF) og/eller EUs standardkontrakter (SCC) og databehandleravtaler.

5. Underleverandører (databehandlere)

Leverandør	Formål	Behandling	Region	Overføringsgrunnlag
Anthropic (AWS Bedrock)	AI-generering / chat	Samtaleinnhold	EU (Frankfurt)	I EU/EØS
Cohere (AWS Bedrock)	Semantisk søk	Spørsmålstekst	EU (Frankfurt)	I EU/EØS
Neon	Database	All lagring	EU (Frankfurt)	I EU/EØS; DPA + DPF for konsern
Scaleway	E-postutsending	Mottaker, navn, innhold	EU (Paris)	I EU/EØS
Cloudflare	Bildelagring (R2) + CDN	Bilder, nettsidevisning	R2: EU-jurisdiksjon; CDN: globalt edge	DPA + DPF
Fly.io	Applikasjonsdrift	All trafikk	EU (Stockholm)	I EU/EØS
Stripe	Kortbetaling	E-post, navn, abonnement	USA	DPA (del av Stripe-avtalen) + DPF-sertifisert
Fakturering365 (InvoiceClub AS)	Fakturering (ved fakturabetaling)	Org.nr, fakturaadresse/EHF, beløp	Norge	I EU/EØS
HubSpot	Kunderegister (CRM)	Kontakt-PII, notater	EU (Tyskland)	I EU/EØS (EU-datasenter bekreftet)
Sveve	SMS-varsling	Telefonnummer	Norge	I EU/EØS
Unsplash	Bildesøk	Bransjesøkeord (ikke PII)	USA	Ingen personopplysninger overføres
Google / Microsoft	Kalender (valgfritt, du kobler selv)	Ledig/opptatt	USA	DPF-sertifisert (SCC supplerende)
Brønnøysund / Companies House	Bedriftsoppslag (salg)	Firmanavn, org.nr	NO / UK	Offentlig register

Vi bruker ikke OpenAI eller Voyage AI (utfaset). Vi selger aldri personopplysninger. Overføringsgrunnlag og databehandleravtaler per leverandør er dokumentert i vårt interne subprosessor-register.

6. Oppbevaringstid

Automatisk sletting håndheves av en nattlig jobb:

Samtalelogger, mislykkede bygg-tilstander og «ta det senere»-leads: 30 dager
Bookinger og kontaktskjema-leads: 12 måneder
Redigeringshistorikk (site_edits) og AI-telemetri: 90 dager

Kontodata (nettside, bedriftsinfo) oppbevares så lenge abonnementet er aktivt og slettes innen 30 dager etter oppsigelse. Kalender-tokens slettes ved frakobling og ved kontosletting. Regnskaps- og fakturabilag oppbevares så lenge bokføringsloven krever (som hovedregel 5 år), uavhengig av sletting av øvrige data.

7. Dine rettigheter

Du har rett til innsyn, retting, sletting, dataportabilitet, begrensning og innsigelse, og til å trekke tilbake samtykke. Send forespørsel til daniel@cardona.no — vi behandler den innen 30 dager. Du kan klage til Datatilsynet (datatilsynet.no).

8. Informasjonskapsler og lokal lagring

Veldia setter ingen informasjonskapsler (cookies) — verken sporings-, markedsførings- eller funksjonelle cookies. For anonym besøksstatistikk bruker vi Cloudflare Web Analytics, som er cookie-fri, samt en første-parts, cookie-fri besøksteller. Ingen av delene identifiserer deg.

I stedet lagrer vi enkelte funksjonelle innstillinger og midlertidig sesjonsdata i nettleserens localStorage og sessionStorage. Etter ekomloven er reglene for lagring på brukerens utstyr teknologinøytrale og omfatter også slik lagring. Vi bruker den kun til teknisk nødvendige formål — å bygge, redigere og gjenoppta nettsiden du selv ber om — og den faller derfor inn under unntaket for strengt nødvendig lagring, som ikke krever samtykke. Det er ikke sporings- eller markedsføringsteknologi, og den deles ikke med tredjeparter. Innhold du aktivt sender inn under bygging/redigering kan også behandles på våre servere som beskrevet ellers i denne erklæringen.

På din publiserte nettside (det dine besøkende ser): ingen informasjonskapsler og ingen lokal lagring i det hele tatt. All lagringen under skjer kun mens du bygger eller redigerer en side på veldia.no.

localStorage (lagres til du tømmer nettleseren):

Nøkkel	Formål
`s123lang`	Husker valgt språk (no/en/pt) på tvers av sider
`veldia_session_slug`	Lar deg gjenoppta en påbegynt generering
`veldia_edit_started_<slug>`	Husker at editoren har vært åpnet for en side, så returbesøk går rett til redigering

sessionStorage (tømmes når du lukker fanen):

Nøkkel	Formål
`veldia_session`	Tilstand for chat/intervju under bygging (inkl. dine svar)
`veldia_state`	Reservenøkkel for `veldia_session` (samme data)
`veldia_vars`	Genererte sidedata som sendes fra generering til editor
`veldia_spor`	Hvilken løype du valgte i startflyten
`veldia_sidebar_<slug>`	Husker at en forklaring er vist én gang per økt

Vi bruker ingen sporingsverktøy fra tredjeparter som Google Analytics, Meta Pixel eller liknende på selve Veldia-tjenesten.

9. Databehandleravtale

Når du publiserer en nettside med kontaktskjema eller booking, behandler vi dine besøkeres personopplysninger på dine vegne. Dette reguleres av vår databehandleravtale (DPA), som inngås som del av kundeavtalen. Du er ansvarlig for å ha et lovlig grunnlag og din egen personvernerklæring overfor dine besøkende.

10. Sikkerhet

Kryptert overføring (TLS), tilgangsstyring via tokens, hemmeligheter i sikret nøkkellager, og avviksvarsling ved brudd i tråd med GDPR art. 33/34.

11. Endringer

Vesentlige endringer varsles på e-post. Sist oppdatert: 23. juni 2026.