Personvernerklæring
Versjon 1.0 · Gjelder fra: april 2026
1. Innledning
Denne personvernerklæringen beskriver hvordan vi, Stichting Xconea, behandler personopplysninger i forbindelse med ColorAptitude-nettstedet, ColorAptitude-vurderingsplattformen, forhandlerprogrammet og relaterte tjenester. Den gjelder alle personopplysninger vi behandler i vår rolle som behandlingsansvarlig i henhold til artikkel 4(7) i personvernforordningen (forordning (EU) 2016/679, «GDPR»).
Vi har skrevet denne erklæringen for å være lett å lese. Der informasjonen er teknisk, forklarer vi den praktiske virkningen først.
2. Hvem vi er
Den behandlingsansvarlige som er ansvarlig for behandlingen av dine personopplysninger, er:
Stichting Xconea
Handler som: ColorAptitude
Driver produktet: ColorAptitude
Allenstraat 110, Krommenie, Nederland
Personvernkontakt: privacy@coloraptitude.com
Generell kontakt: sales@coloraptitude.com
Vi har ingen lovpålagt plikt til å utnevne et personvernombud, men personvernkontakten ovenfor håndterer alle personvernrelaterte henvendelser.
3. Hvis opplysninger vi behandler
Vi behandler personopplysninger om fire brede grupper av personer. Resten av denne erklæringen beskriver hvordan vi behandler hver enkelt.
- Nettstedsbesøkende — alle som besøker coloraptitude.com eller relaterte sider.
- Kunder og sluttbrukere — enkeltpersoner som tar en ColorAptitude-vurdering, fullfører opplæring eller har en konto på plattformen, enten på et personlig abonnement eller gjennom en bedriftskonto.
- Forretningskontakter — administratorer, faktureringskontakter og andre kommersielle kontakter innenfor kundeorganisasjoner.
- Forhandlerkontakter — primær-, fakturerings- og kommersielle kontakter hos organisasjoner som deltar i ColorAptitude-forhandlerprogrammet.
4. Hvilke opplysninger vi behandler og hvorfor
4.1 Nettstedsbesøkende
Kategorier av opplysninger
- IP-adresse, enhetstype, nettleser, operativsystem, henvisende side, besøkte sider, tidsstempler.
- Informasjon du oppgir via kontaktskjemaer (navn, e-post, melding).
- Miniscan-inndata og -resultater (hvis du fullfører den gratis miniscanen).
Formål
- Levere nettstedet og sikre dets sikkerhet og korrekte drift.
- Forstå samlet nettstedsbruk for å forbedre innhold og struktur.
- Svare på henvendelser via kontaktskjema.
- Drive den gratis miniscanen og vise deg veiledende resultater.
Rettslig grunnlag
- Berettiget interesse i henhold til artikkel 6(1)(f) GDPR for sikkerhet, drift og samlet analyse.
- Samtykke i henhold til artikkel 6(1)(a) for ikke-nødvendige informasjonskapsler og sporing — se vår retningslinje for informasjonskapsler.
4.2 Kunder og sluttbrukere (betalt plattform)
Kategorier av opplysninger
- Identifikasjon: navn, e-postadresse.
- Demografi for normalisering: alder (brukes til å sammenligne scoren din mot den aldersjusterte profesjonelle normen).
- Valgfri profesjonell kontekst: bransje, rolle, organisasjon.
- Kontodata: påloggingsidentifikator, hashet passord, påloggingstidsstempler.
- Vurderingsdata: svar, scorer, utdata fra 3×3-kompetansematrisen, utstedte sertifikater, opplæringsfremdrift.
- Abonnements- og betalingsdata: abonnementsnivå, datoer, status, betalingsmetodetokens (fullstendige betalingskortdata oppbevares av Stripe, ikke av oss).
- Kommunikasjon: supporthenvendelser, korrespondanse, e-postinnhold der du kontakter oss.
- Markedsføringssamtykkestatus (der det er relevant).
Formål
- Drive kontoen din og levere vurderings-, sertifiserings- og opplæringstjenestene.
- Beregne, vise og lagre scorene og sertifikatene dine.
- Behandle abonnementsbetalinger og fornyelser.
- Vedlikeholde revisjonsdokumentasjon i tråd med referansene ASTM E1499-16 og ISO/IEC 17025.
- Yte kundestøtte.
- Sende tjenestekommunikasjon (fornyelsespåminnelser, sertifikatutstedelse, sikkerhetsvarsler).
- Sende markedsføringskommunikasjon, der du har gitt samtykke.
Rettslig grunnlag
- Oppfyllelse av avtale i henhold til artikkel 6(1)(b) GDPR for konto-, vurderings-, sertifiserings- og betalingsbehandling.
- Rettslig forpliktelse i henhold til artikkel 6(1)(c) for skatt, regnskap og lovpålagt oppbevaring av opptegnelser.
- Berettiget interesse i henhold til artikkel 6(1)(f) for sikkerhet, svindelforebygging, tjenesteforbedring og revisjonsdokumentasjon.
- Samtykke i henhold til artikkel 6(1)(a) for markedsføringskommunikasjon, som kan trekkes tilbake når som helst.
4.3 Forretningskontakter
Kategorier av opplysninger
- Navn, forretnings-e-postadresse, rolle, telefon.
- Organisasjon, adresse, registreringsnummer, mva-nummer.
- Kommunikasjon og logger for kontotilgang.
Formål
- Administrere bedriftskontoen på vegne av kundeorganisasjonen.
- Fakturering, betaling og skatteadministrasjon.
- Kommersiell kommunikasjon angående abonnementet.
Rettslig grunnlag
- Oppfyllelse av avtale i henhold til artikkel 6(1)(b) GDPR med kundeorganisasjonen.
- Rettslig forpliktelse i henhold til artikkel 6(1)(c) for fakturering og skatteopptegnelser.
- Berettiget interesse i henhold til artikkel 6(1)(f) for relasjonshåndtering med forretningskontakter.
4.4 Forhandlerkontakter
Kategorier av opplysninger
- Navn, rolle, forretnings-e-post, telefon til primær-, fakturerings- og kommersielle kontakter hos forhandlerorganisasjonen.
- Forhandlerorganisasjonsdetaljer: juridisk navn, adresse, registreringsnummer, mva-nummer, IBAN.
- Forhandleraktivitetsdata: kodetilskrivning, opptegnelser om provisjonsberegning, logger for dashbordbruk.
Formål
- Drive forhandlerprogrammet og forhandlerdashbordet.
- Beregne og utbetale provisjon.
- Kommunikasjon angående forhandlerforholdet.
Rettslig grunnlag
- Oppfyllelse av avtale i henhold til artikkel 6(1)(b) GDPR med forhandlerorganisasjonen.
- Rettslig forpliktelse i henhold til artikkel 6(1)(c) for skatt og regnskap.
- Berettiget interesse i henhold til artikkel 6(1)(f) for programadministrasjon.
4.5 Deling av kommersielle data med forhandlere
Der en kunde kjøper et abonnement ved hjelp av en forhandlerkode, deler vi et begrenset sett med kommersielle data (organisasjonsnavn og -adresse; fakturerings- og kommersielle kontaktopplysninger; abonnementsnivå, antall plasser, datoer, status, kontraktsverdi; faktura- og betalingsopptegnelser relevante for provisjon; tilskrivningsdata) med den aktuelle forhandleren, gjennom forhandlerdashbordet.
Vi baserer oss på berettiget interesse i henhold til artikkel 6(1)(f) GDPR for denne delingen. Forhandlere opptrer som uavhengige behandlingsansvarlige for de begrensede kommersielle dataene (kategori A) de mottar — de er ikke databehandlere i henhold til artikkel 28 GDPR, og det kreves ingen databehandleravtale mellom Stichting Xconea og dets forhandlere. Forhandlere er kontraktsmessig forbudt fra å få tilgang til vurderingsdata, sertifikater, opplæringsfremdrift eller enhver individuell brukerinformasjon.
5. Automatiserte avgjørelser og profilering
ColorAptitude-vurderingen genererer scorer og en kompetanseprofil gjennom automatisert beregning mot etablerte fargeforskjellsmålinger (OKLCH / CIEDE2000) ved bruk av et trelags scoringsrammeverk (diskriminerings-, tilskrivnings- og kommunikasjonslag) med foreløpige kompetanseprofiler. Resultatet er en beskrivende profil, ikke en avgjørelse med rettslig eller tilsvarende vesentlig virkning i henhold til artikkel 22 GDPR.
Der du bruker vurderingen innenfor en ansettelses-, kvalifiserings- eller samsvarskontekst (for eksempel observatørkvalifisering i henhold til ASTM E1499-16), er din arbeidsgivers eller organisasjons bruk av scoren din den organisasjonens ansvar, ikke ColorAptitudes. Vi tar ikke avgjørelser om ansettelse, forfremmelse eller andre ansettelsesavgjørelser på dine vegne.
Vi driver ikke profilering for annonsering eller atferdsprediksjon utenfor selve vurderingstjenesten.
6. Hvem som mottar dine opplysninger
6.1 Innenfor Stichting Xconea
Personopplysninger er kun tilgjengelige innenfor vår organisasjon for personell som trenger slik tilgang for sin rolle, etter prinsippet om tjenstlig behov.
6.2 Tjenesteleverandører (underbehandlere)
Vi baserer oss på et begrenset antall etablerte tjenesteleverandører, hver bundet av passende databeskyttelsesvilkår. Den gjeldende listen over underbehandlere er:
| Leverandør | Formål | Behandlingssted |
|---|---|---|
| Stripe | Betalingsbehandling og abonnementsfakturering | EØS / USA (under SCC-er) |
| E-posthosting (SMTP) | Levering av transaksjons-e-post via hostingleverandørens SMTP-server | Nederland (EØS) |
| ActiveCampaign | Markedsføringsautomatisering og CRM | EØS / USA (under SCC-er) |
| Moneybird | Fakturerings- og regnskapsadministrasjon | Nederland (EØS) |
| Web- og applikasjonshosting | Hosting av ColorAptitude-nettstedet og -plattformen | Nederland (EØS) |
| Databasehosting | Selvadministrert PostgreSQL-database | Nederland (EØS) |
| GLS | Pakkeforsendelse for Tier 2-maskinvare (Datacolor SpyderPro) | EØS |
| Anthropic | AI-assistert analyse av supporthenvendelser (kun henvendelsesinnhold, på forespørsel fra behandler) | EØS / USA (under SCC-er) |
En oppdatert liste er tilgjengelig på forespørsel fra privacy@coloraptitude.com.
6.3 Forhandlere (uavhengige behandlingsansvarlige, kun begrensede data)
Som beskrevet i avsnitt 4.5, der du kjøper via en forhandlerkode, gjøres et begrenset sett med kommersielle data tilgjengelig for den forhandleren i deres egenskap som uavhengig behandlingsansvarlig for programadministrasjonsformål. Forhandlere er kontraktsmessig forbudt fra å få tilgang til vurderingsresultater, sertifikater eller enhver individuell brukerinformasjon, og er bundet til konfidensialitet, sikkerhet og bruksbegrensninger i samsvar med vår forhandleravtale.
6.4 Andre mottakere
Vi kan utlevere personopplysninger til kompetente myndigheter der vi er lovpålagt å gjøre det. Vi selger ikke personopplysninger, og vi deler dem ikke for markedsføringsformål til urelaterte tredjeparter.
7. Internasjonale overføringer
Vi behandler personopplysninger primært innenfor Det europeiske økonomiske samarbeidsområdet (EØS). Der overføring til et land utenfor EØS er nødvendig — typisk fordi en tjenesteleverandør opererer fra utenfor EØS — baserer vi oss på passende garantier i henhold til kapittel V GDPR.
I praksis er overføringer til ikke-EØS-tjenesteleverandører dekket av standardpersonvernbestemmelser (SCC-er) vedtatt av Europakommisjonen, supplert der det er nødvendig med ytterligere tekniske og kontraktsmessige tiltak. Du kan be om en kopi av de relevante garantiene fra privacy@coloraptitude.com.
8. Hvor lenge vi oppbevarer dine opplysninger
Vi oppbevarer personopplysninger kun så lenge det er nødvendig for formålene beskrevet i denne erklæringen, pluss de rettslige oppbevaringsperiodene som gjelder for oss.
| Datakategori | Oppbevaringsperiode |
|---|---|
| Kontodata (aktive abonnementer) | I abonnementets og kontoens varighet. |
| Kontodata etter oppsigelse | Inntil 24 måneder etter abonnementets slutt, deretter slettet eller anonymisert, med mindre lengre oppbevaring kreves ved lov. |
| Vurderingsresultater og sertifikater | I abonnementets varighet. Etter oppsigelse oppbevares de i anonymisert form for normativ sammenligning; identifiserbare opplysninger slettes innen 24 måneder med mindre de kreves for rettskrav eller revisjonsforpliktelser. |
| Fakturaer, betalingsregistre, regnskapsdata | Sju (7) år fra utløpet av det aktuelle regnskapsåret, i samsvar med nederlandsk skattelovgivning. |
| Forhandlernes kommersielle data | I forhandleravtalens varighet. Opplysninger som er relevante for fakturering og provisjon oppbevares i 7 år. |
| Markedsføringsdata (med samtykke) | Inntil samtykket trekkes tilbake eller ingen aktivitet på 24 måneder, avhengig av hva som inntreffer først. |
| Support og korrespondanse | Tre (3) år etter siste interaksjon. |
| Nettstedsanalyse (aggregert) | Inntil 26 måneder i identifiserbar form; aggregert deretter. |
| Serverlogger (sikkerhet og drift) | Inntil 12 måneder. |
9. Dine rettigheter
I henhold til GDPR har du rettighetene som er angitt nedenfor. For å utøve noen av disse rettighetene kan du kontakte oss på privacy@coloraptitude.com. Vi svarer innen én måned etter en verifiserbar forespørsel, med mulighet for forlengelse med ytterligere to måneder for komplekse forespørsler.
- Rett til innsyn
- Du kan få bekreftet om vi behandler dine personopplysninger og en kopi av de opplysningene vi oppbevarer.
- Rett til retting
- Du kan få uriktige eller ufullstendige opplysninger rettet.
- Rett til sletting
- Du kan få dine personopplysninger slettet der det rettslige grunnlaget i artikkel 17 i GDPR foreligger, særlig når opplysningene ikke lenger er nødvendige for formålene de ble samlet inn for.
- Rett til begrensning av behandling
- Du kan få behandlingen begrenset i tilfellene angitt i artikkel 18 i GDPR.
- Rett til dataportabilitet
- For opplysninger vi behandler basert på ditt samtykke eller i forbindelse med oppfyllelse av en kontrakt, kan du få en kopi i et strukturert, alminnelig brukt og maskinlesbart format og få dem overført til en annen behandlingsansvarlig der det er teknisk mulig.
- Rett til å protestere
- Du kan protestere mot behandling basert på berettiget interesse, herunder profilering, av grunner knyttet til din særlige situasjon. Når du protesterer, opphører vi behandlingen med mindre vi kan påvise tvingende berettigede grunner som går foran dine interesser, rettigheter og friheter, eller for å fastsette, gjøre gjeldende eller forsvare rettskrav.
- Rett til å trekke tilbake samtykke
- Når behandlingen er basert på samtykke, kan du trekke tilbake samtykket når som helst, uten at det påvirker lovligheten av behandlingen som ble utført før tilbaketrekkingen.
- Rett til å inngi klage
- Du har rett til å inngi klage til en tilsynsmyndighet for personvern. I Nederland er dette Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl). Du kan også inngi klage til tilsynsmyndigheten i det EU-medlemslandet der du bor eller arbeider.
For å verifisere din identitet før vi besvarer en rettighetsforespørsel, kan vi be deg om å bekrefte opplysninger som samsvarer med det vi oppbevarer, i samsvar med artikkel 12(6) i GDPR. Vi tar ikke betalt for behandling av forespørsler, unntatt der forespørsler er åpenbart grunnløse eller overdrevne.
10. Sikkerhet
Vi anvender egnede tekniske og organisatoriske tiltak for å beskytte personopplysninger mot uautorisert tilgang, utilsiktet tap, endring eller utlevering, i samsvar med artikkel 32 i GDPR. Tiltakene omfatter tilgangskontroll med rollebaserte tillatelser, flerfaktorautentisering for administrativ tilgang, kryptering av data under overføring (TLS) og i hvile der det er aktuelt, regelmessige sikkerhetskopier, sikkerhetsoppdateringer, logging og en dokumentert prosedyre for hendelseshåndtering.
Ved et brudd på personopplysningssikkerheten som sannsynligvis vil medføre en risiko for dine rettigheter og friheter, varsler vi Autoriteit Persoonsgegevens innen 72 timer, i samsvar med artikkel 33 i GDPR. Der risikoen er høy, varsler vi også deg direkte, i samsvar med artikkel 34 i GDPR.
11. Barn
ColorAptitude er en profesjonell tjeneste beregnet for voksne. Vi samler ikke bevisst inn personopplysninger fra personer under 16 år. Dersom vi blir oppmerksomme på at opplysninger om en person under 16 år er samlet inn uten et egnet rettslig grunnlag, sletter vi dem uten ugrunnet opphold.
12. Informasjonskapsler og lignende teknologier
Vi bruker informasjonskapsler og lignende teknologier for vesentlig drift av nettstedet, sikkerhet og (med ditt samtykke) for analyse. Detaljert informasjon om informasjonskapslene vi bruker, deres formål og dine valg finner du i vår Retningslinjer for informasjonskapsler.
13. Endringer i denne erklæringen
Vi kan oppdatere denne personvernerklæringen fra tid til annen, for eksempel for å gjenspeile endringer i våre tjenester, i våre tjenesteleverandører eller i gjeldende lovgivning. Versjonsdatoen øverst i denne erklæringen angir når erklæringen sist ble oppdatert.
Vesentlige endringer – de som i betydelig grad påvirker måten dine opplysninger behandles på eller dine rettigheter – vil bli kommunisert til aktive kunder og forhandlere via e-post minst 30 dager før ikrafttredelsesdatoen. Ikke-vesentlige endringer (presiseringer, rettelser, tillegg til listen over underdatabehandlere) trer i kraft ved publisering.
14. Kontakt
For ethvert personvernrelatert spørsmål, forespørsel eller bekymring kan du kontakte oss på:
Stichting Xconea
Behandlingsansvarlig i henhold til GDPR
Drifter plattformen for fargeoppfatningsvurdering
Allenstraat 110, Krommenie, Nederland