Hosting og infrastruktur: Amazon Web Services (AWS): Skyinfrastruktur, hosting database/applikasjonsservere/backup/lagring. Sverige (eu-north-1). AWS DPA | AWS Privacy Kommunikasjon: Strex Mobile Services AS: SMS-tjenester (OTP, varsling). Norge. DPA tilgjengelig ved forespørsel. Postmark (ActiveCampaign): E-postutsendelse (transaksjons-e-post, kvitteringer, servicemeldinger). USA. Postmark DPA | Postmark GDPR
Kundeservice og support: HubSpot: CRM, kundeservice (support-tickets, kommunikasjonshistorikk). EU/EØS (Tyskland). HubSpot DPA | HubSpot Privacy ITX: Contact Center (kundeservice og telefonsupport via chat, telefon, SMS, e-post). Norge (med underleverandører i Norge og Sverige). DPA tilgjengelig ved forespørsel. Slack: Mottak av henvendelser og leads (kommunikasjon med potensielle/eksisterende kunder og ansatte hos bedrifter). USA. Slack DPA | Slack Privacy
Produktanalyse og brukeropplevelse: UserPilot: Produktanalyse og onboarding (sporing brukeratferd for forbedring, produktveiledning til ansatte). USA. UserPilot Security | UserPilot Privacy Google Analytics: Webanalyse (sporing brukeratferd på plattformen for forbedring av brukeropplevelse). USA. Google Analytics DPA | Google Privacy
Feilovervåking og logging: Sentry (Functional Software, Inc.): Feilovervåking og crash-rapportering for plattformen. Persondata filtreres ut før innsending gjennom server-side PII-scrubbing (inkludert blokkering av IP-adresser, standardscrubbing av passord/kortdata, og påkrevd datascrubbing på alle prosjekter). USA. Nødvendige garantier: Data Privacy Framework-sertifisering (primært), Standard Contractual Clauses (SCC) som fallback. DPA tilgjengelig på sentry.io/legal/dpa.
Kontordokumenter og lagring: Microsoft 365: Kontordokumenter og lagring (Excel, SharePoint, OneDrive for behandling av kunde- og ansattlister ved oppsett og administrasjon). EU/EØS Microsoft 365 DPA
Betalingsleverandører (online/QR): Adyen N.V.: Betalingsprosessering for online- og QR-betalinger (databehandler). Persondata som kan behandles inkluderer navn, IP-adresse, device fingerprint, fakturerings-/leveringsadresse og betalingsmetodedetaljer. Nederland, med datalagring primært i EU og tilgang fra ansatte/underleverandører som kan befinne seg utenfor EU under EU Standard Contractual Clauses (SCC). Adyen er også selvstendig behandlingsansvarlig for KYC, antihvitvasking, fraud-screening og overholdelse av kortselskapenes regler (scheme rules), regulert av Adyens egen personvernerklæring. DPA tilgjengelig ved forespørsel. Implementering av kunder: Valuecase GmbH: Salgsaktivering og kundeinteraksjon (digital sales room, dokumentdeling, kundeoppfølging). Tyskland (Frankfurt). Valuecase DPA tilgjengelig ved forespørsel. For informasjon om Valuecase sine underleverandører, se https://www.valuecase.de/subprocessors
AI-assistert analyse: Anthropic PBC (Claude): AI-assistert analyse av forretningsdata via Claude Connectors (HubSpot, Slack, Microsoft 365, og eventuelle fremtidige tilkoblinger). Claude kan søke, lese og analysere data fra tilkoblede systemer som den enkelte Favrit-ansatte selv har tilgang til, for å forbedre kundeservice, salgsoppfølging, internkommunikasjon og support. Benyttes kun for opplysninger om kontaktpersoner hos serveringssteder og bedriftskunder (B2B) og intern forretningskommunikasjon, ikke for gjesters personopplysninger. USA. Anthropic behandler data under Commercial Terms med Data Processing Addendum som inkluderer EU Standard Contractual Clauses (SCC). Anthropic bruker ikke kundedata til modelltrening. Anthropic DPA | Anthropic Commercial Terms | Anthropic Trust Center
Deling av aggregerte data: Vi deler aggregerte, anonymiserte data på aggregert nivå med samarbeidspartnere for innsikt i bruksmønstre og trender. Dataene er aggregerte og anonymiserte; ingen enkeltstående ansatte eller gjester kan identifiseres. Basert på legitim interesse. Dokumentasjon tilgjengelig ved forespørsel til support@favrit.com.
Betalingsleverandører (online/QR): Betalingsleverandører som behandler kortdata for fysiske kortbetalinger (in-person/card-present), eksempelvis Nets og Softpay, er selvstendige behandlingsansvarlige. Favrit mottar transaksjonsbekreftelse og eventuelt tokenisert betalingsreferanse, men har ikke instruksjonsmyndighet over hvordan kortdata behandles. For online- og QR-betalinger via Adyen, se egen oppføring over.
Viktig merknad om betalingsleverandører: Betalingsleverandører som behandler kortdata for fysiske kortbetalinger (in-person/card-present), eksempelvis Nets og Softpay, er selvstendige behandlingsansvarlige. Favrit mottar transaksjonsbekreftelse og eventuelt tokenisert betalingsreferanse, men har ikke instruksjonsmyndighet over hvordan kortdata behandles. For online- og QR-betalinger via Adyen, se egen oppføring over.
Overføringer utenfor EØS: Vi overfører personopplysninger til USA for følgende tjenester: Postmark, Slack, UserPilot, Google Analytics, Anthropic (Claude), Sentry. Overføringsgrunnlag er EU Standard Contractual Clauses (SCC) i leverandørenes databehandleravtaler. Favrit har dokumentert vurderinger av overføringene (Transfer Impact Assessments), tilgjengelig ved forespørsel. Varsling ved endringer: Favrit vil varsle Kunden minst 30 dager før endringer. Kunden kan protestere på saklig grunnlag.
