Personvernerklæring for Verja HMS

Firmaet du jobber for, bestemmer hva opplysningene i Verja HMS brukes til, og er behandlingsansvarlig (personvernforordningen artikkel 4 nr. 7).

Lein Consulting lager og drifter Verja HMS og behandler opplysningene på vegne av firmaet. Lein Consulting er databehandler (artikkel 4 nr. 8 og artikkel 28). Den fordelingen er vår vurdering ut fra hvordan Verja virker: firmaet fører sine egne HMS-oppføringer i Verja, og Lein Consulting bruker dem ikke til egne formål. Den skal avtales i databehandleravtalen med firmaet.

I appen er HMS-ansvarlig firmaets kontakt for spørsmål om personvern.

Når du ikke er logget inn, viser siden ikke noe firma. Logg inn for å se hvem som er HMS-ansvarlig hos deg.

Firmaets navn, adresse og eventuelle personvernombud: [fylles inn per kunde: firmaets egne kontaktopplysninger (artikkel 13 nr. 1 bokstav a og b)].

Verja lagrer det HMS-arbeidet trenger, og ikke mer. Per del av appen:

Navn og innlogging

Navnet ditt og e-postadressen, og for innloggingen et passord som bare lagres som en hash (bcrypt), språket, valget for e-postvarsler og fargetemaet. Verja lagrer ikke telefonnummer, heller ikke når firmaet importerer en liste med telefon.

Roller og steder

HMS-rollene du har og hvor i firmaet de gjelder (selskap, avdeling, sted), med fra- og til-dato. En rolle avsluttes, den slettes ikke. For verneombud og medlemmer av arbeidsmiljøutvalget også valget, perioden og stedfortrederen.

Avvik og tiltak

Det du melder (tekst, bilde, alvorlighet, sted og tid), hvem som meldte og hvem som behandler, og tiltakene med ansvarlig og frist. Bildet krympes og stedsdataene (EXIF) fjernes i nettleseren før det sendes.

Ulykker og skaderegisteret

Hva som skjedde, hvem som ble skadet, hvor og når, om det er alvorlig, fraværsdager, tilrettelagt arbeid, om det var medisinsk behandling (ja eller nei), og pliktene som er gjort: politi, Arbeidstilsynet, verneombudets kopi og melding til NAV.

Medisinske detaljer

Medisinske detaljer om en skade lagres bare i helsesonen, et eget, lukket område i databasen, og bare når den skadde har samtykket. Hvert oppslag logges.

Kurs og sertifikater

Kurs og sertifikater med gyldighet og et bilde av beviset. Et kurs du legger inn selv, teller ikke før en leder har kontrollert det.

Lesekvitteringer

Hvilke dokumenter du har lest, når, hvilken versjon og hvilket språk du leste den på.

Risikovurderinger og signaturer

Hvem som var på laget i en sikker jobbanalyse, hvem som signerte og når, og hvem som var vitne når noen signerte på formannens telefon.

Sjekklister og vernerunder

Hvem som gikk runden, svarene og bildene. Bildene krympes og stedsdataene fjernes i nettleseren.

Stoffkartoteket

Produkter, sikkerhetsdatablad og hvor de brukes. Ingen personopplysninger.

Eksponeringsregisteret

For den som arbeider med visse farlige stoffer, stråling, biologiske faktorer eller i berg: navn, fødselsnummer, stilling, arbeidssted, hva du ble utsatt for og når (forskrift om utførelse av arbeid kapittel 31). Registeret ligger i helsesonen. Fødselsnummeret vises maskert i lister, og hvert oppslag logges per person. Under «Meg» ser du dine egne rader og hvem som har sett helseopplysningene dine.

E-postvarsler

Adressen din, emnet og en lenke. Varselet sier hva som venter, aldri innholdet. Når e-post blir slått på, sendes varslene gjennom Resend fra EU-regionen (Irland). I dag er e-post ikke slått på, og ingenting sendes.

Melding fra en QR-plakat

Den som melder fra en QR-plakat uten å logge inn, kan oppgi navn og telefon. Begge er valgfrie og vises bare til den som behandler meldingen.

Bruksmåling

Hvor mange sekunder det tok fra «Meld fra» ble åpnet til meldingen ble sendt, og om det var en mobil eller en PC. Aldri innholdet. Målingen er på til firmaet slår den av, og av er det ingenting som lagres.

Hendelsesloggen og aktivitetsloggen

Hvem som gjorde hva og når, og hvilke felt som ble endret. Ikke verdiene selv: hendelsesloggen lagrer en kontrollsum av dem.

Lese-lenken til tilsynsmappen

Når et tilsyn åpner mappen firmaet har delt, lagres tidspunktet og en avkortet IP-adresse: nettet (/24 for IPv4, /48 for IPv6), aldri hele adressen.

Tilbakemeldinger

Det du skriver i «Tilbakemelding», siden du var på, nettleseren og et skjermbilde der sensitive felt er skjult. Lein Consulting leser den for å rette feil i appen.

Til arbeidsgiverens plikter for helse, miljø og sikkerhet, og ikke til noe annet:

• Internkontrollen: oversikt over regelverket, kompetanse, medvirkning, HMS-mål, ansvar, risikovurdering, avvik og den årlige gjennomgangen (internkontrollforskriften § 5 nr. 1 til 8, arbeidsmiljøloven § 3-1 og § 3-2).
• Skaderegisteret og varsling ved ulykker (arbeidsmiljøloven § 5-1 og § 5-2), og melding av yrkesskade til NAV (folketrygdloven § 13-14).
• Registeret over arbeidstakere som er utsatt for helsefarlige stoffer og stråling (forskrift om utførelse av arbeid kapittel 31).
• Verneombud og arbeidsmiljøutvalg (arbeidsmiljøloven kapittel 6 og 7, forskrift om organisering, ledelse og medvirkning kapittel 3).
• Kravene i firmaets bransje, for eksempel forskrift om sikkerhet ved arbeid i og drift av elektriske anlegg og byggherreforskriften.

Verja sender ingenting til en språkmodell. Appen lager frister, oppgaver og varsler, men ingen avgjørelse om deg tas av Verja alene (artikkel 22): det gjør folk i firmaet.

Grunnlaget er firmaets, som behandlingsansvarlig. Slik Verja er laget, er det:

• For det meste: at behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige (artikkel 6 nr. 1 bokstav c), altså pliktene over.
• For helseopplysninger i skaderegisteret og eksponeringsregisteret: artikkel 9 nr. 2 bokstav b, arbeidsrettslige plikter, sammen med personopplysningsloven § 6, som sier at slike opplysninger «kan behandles når det er nødvendig for å gjennomføre arbeidsrettslige plikter eller rettigheter».
• For medisinske detaljer om en skade: appen skriver ingenting uten den skaddes samtykke. [avgjøres med jurist: om firmaet bygger på samtykket (artikkel 9 nr. 2 bokstav a) eller på arbeidsmedisin (bokstav h)]. Et samtykke kan trekkes tilbake når som helst, uten at det påvirker det som ble gjort før (artikkel 13 nr. 2 bokstav c). Si fra til HMS-ansvarlig.
• For bruksmålingen, som ingen lov krever: [avgjøres med jurist: firmaets grunnlag for bruksmålingen].

Dette er ikke juridisk rådgivning. Fordelingen mellom firmaet og Lein Consulting og grunnlagene over skal vurderes av en jurist.

Loven setter minstetider for noen registre. De ligger i Verja som regler firmaet ikke kan sette lavere:

Kreftfremkallende og arvestoffskadelige stoffer

Minst 60 år etter at eksponeringen er avsluttet (forskrift om utførelse av arbeid § 31-1).

Asbest

Minst 60 år etter at eksponeringen er avsluttet (forskrift om utførelse av arbeid § 31-2).

Reproduksjonstoksiske stoffer

Minst 5 år etter at eksponeringen er avsluttet (forskrift om utførelse av arbeid § 31-1).

Biologiske faktorer

Minst 10 år etter at eksponeringen er avsluttet (forskrift om utførelse av arbeid § 31-3).

Biologiske faktorer som kan gi sykdom lenge etter

40 år etter at eksponeringen er avsluttet (forskrift om utførelse av arbeid § 31-3 tredje ledd sier inntil 40 år; Verja holder 40).

Ioniserende stråling

Til arbeidstakeren er eller ville ha vært 75 år, og minst 30 år etter at arbeidet tok slutt (forskrift om utførelse av arbeid § 31-4, strålevernforskriften § 34 fjerde ledd).

Arbeid i berg

Minst 60 år etter at eksponeringen er avsluttet (forskrift om utførelse av arbeid § 31-5).

SHA-planen

6 måneder etter at bygge- eller anleggsarbeidet er avsluttet (byggherreforskriften § 7).

Eksponeringsregisteret skal ikke tilintetgjøres uten tillatelse fra Arbeidstilsynet (forskrift om utførelse av arbeid § 31-1). Der er regelen derfor en manuell vurdering, aldri automatisk sletting.

For resten setter loven ingen frist. Opplysningene står så lenge firmaet fører sine HMS-oppføringer i Verja: [fylles inn per kunde: firmaets egne oppbevaringstider].

Noe går ut av seg selv: e-postvarsler slettes 90 dager etter at de ble sendt eller lagt bort, innloggingslenker 90 dager etter at de gikk ut, og en innlogging varer i 8 timer.

Sletting når en frist er ute gjøres ikke automatisk ennå. En sak som pågår (et yrkesskadekrav, et tilsyn, en tvist) sperrer sletting gjennom et rettslig hold, og det som slettes, føres i en sletteprotokoll uten personopplysninger.

Når avtalen slutter, kan firmaet ta ut alle sine data som én fil (tabellene som JSON, registrene som CSV, bildene og filene, med kontrollsummer). Opplysningene slettes eller leveres tilbake etter firmaets valg (artikkel 28 nr. 3 bokstav g): [fylles inn av Lein Consulting: fristen i databehandleravtalen]. Hvis firmaet opphører, skal eksponeringsregisteret overføres til Arbeidstilsynet (forskrift om utførelse av arbeid § 31-7).

Det du ser, følger rollen din og hvor i firmaet den gjelder:

• Alle ser dokumentene de skal lese, stoffkartoteket, hvem verneombudene er, godkjente risikovurderinger, HMS-målene og lovkravene.
• Et avvik ser den som meldte, den som behandler det og den som har et tiltak. En leder ser avvikene på stedene under seg, et verneombud dem i sitt område, HMS-ansvarlig og administrator alle.
• Kursene dine ser du selv. En leder ser kursene til folk på stedene sine, HMS-ansvarlig og administrator alle.
• Skaderegisteret, uten medisinske detaljer, ser rollene arbeidsmiljøloven § 5-1 nevner, også et verneombud utenfor ledertreet.
• I helsesonen leser bare helse- eller HR-ansvarlig, bedriftshelsetjenesten og den skadde de medisinske detaljene. Eksponeringsregisteret leser de forskrift om utførelse av arbeid § 31-6 nevner (verneombud, arbeidsmiljøutvalget, bedriftshelsetjenesten, helse- eller HR-ansvarlig, HMS-ansvarlig og revisor), og du ser dine egne rader. Appens vanlige databaserolle kommer ikke inn i helsesonen, og hvert oppslag logges.
• Tilsynsmappen og eksporten av alle data: HMS-ansvarlig og administrator, og revisor leser tilsynsmappen. Tilsynsmappen tar ikke med medisinske detaljer eller fødselsnumre.
• Ingen i et annet firma ser noe av ditt: databasen skiller firmaene på hver rad (radnivåsikkerhet).
• Utenfor firmaet: et tilsyn firmaet deler tilsynsmappen med, og Arbeidstilsynet ved overføringen over. Verja melder ingenting til politiet, Arbeidstilsynet eller NAV selv; firmaet gjør det og fører det i Verja.
• Lein Consulting bare for drift og brukerstøtte, og i dag bare én person: innehaveren av Lein Consulting (enkeltpersonforetaket M Lein Consulting). Hver endring i firmaets data havner i hendelsesloggen, også en endring Lein Consulting gjør, og hver gang noen leser helseopplysninger gjennom Verja, logges det, også når det er Lein Consulting.

Opplysningene lagres i Verjas egen database på en server Lein Consulting drifter. Databasen er bare tilgjengelig fra selve serveren. [fylles inn av Lein Consulting: hvor serveren står; stedet står i databehandleravtalen].

Databasen kopieres hver natt til en annen disk, og de 14 siste kopiene beholdes. Kopiene tas med i en kryptert sikkerhetskopi som beholder 14 daglige, 8 ukentlige og 12 månedlige kopier, så noe som er slettet, kan ligge der i opptil omtrent ett år. [fylles inn av Lein Consulting: hvor sikkerhetskopiene ligger].

Lein Consulting bruker disse underleverandørene (underdatabehandlere):

Cloudflare

Navnetjeneren (DNS) for verja.no, den krypterte forbindelsen (TLS) og tunnelen fram til serveren. All trafikk til Verja går gjennom Cloudflare: krypteringen fra nettleseren avsluttes hos Cloudflare, og trafikken går videre kryptert gjennom tunnelen. Verja lagrer ingenting hos Cloudflare. [fylles inn av Lein Consulting: avtale og overføringsgrunnlag for Cloudflare, også for overføring utenfor EØS (artikkel 13 nr. 1 bokstav f)].

Resend

Sender e-postvarslene fra EU-regionen (Irland), når e-post blir slått på; i dag sendes ingenting. Det som går gjennom Resend, er mottakerens e-postadresse, emnet og en tekst med lenke inn i Verja, aldri innholdet i saken. [fylles inn av Lein Consulting: avtale og overføringsgrunnlag for Resend, også for overføring utenfor EØS].

Ingen andre får opplysningene. Verja bruker ingen analyseverktøy, ingen annonser og ingen språkmodell, og skriftene lastes fra Verja selv.

Gå først til firmaet ditt, som er behandlingsansvarlig: HMS-ansvarlig i appen. Lein Consulting hjelper firmaet å svare (artikkel 28 nr. 3 bokstav e).

Innsyn (artikkel 15)

Du kan få vite hva som er lagret om deg og få en kopi. Under «Meg» ser du allerede kursene dine, meldingene dine, dine rader i eksponeringsregisteret og hvem som har sett helseopplysningene dine.

Retting (artikkel 16)

Feil rettes av HMS-ansvarlig. I eksponeringsregisteret rettes en rad med en ny rad, og den gamle beholdes, merket som rettet.

Sletting (artikkel 17)

Du kan be om sletting, men ikke av det firmaet har plikt til å oppbevare (artikkel 17 nr. 3 bokstav b), som eksponeringsregisteret.

Begrensning (artikkel 18)

Du kan be om at behandlingen begrenses, for eksempel mens det kontrolleres om en opplysning er riktig.

Dataportabilitet (artikkel 20)

Retten gjelder opplysninger som behandles på grunnlag av samtykke eller avtale. Firmaet kan uansett ta ut opplysningene i et maskinlesbart format (JSON og CSV) fra eksporten.

Protest (artikkel 21)

Retten gjelder behandling som bygger på allmennhetens interesse eller en berettiget interesse (artikkel 6 nr. 1 bokstav e eller f), ikke den som er pålagt ved lov.

Klage

Du kan klage til Datatilsynet, som er tilsynsmyndigheten (personopplysningsloven § 20).

Lein Consulting: post@verja.no [fylles inn av Lein Consulting: adressen er foreløpig og ikke satt opp ennå].

Verja bruker bare informasjonskapsler appen trenger for å virke, ingen for sporing eller annonser:

Innloggingen

next-auth.session-token holder deg logget inn i 8 timer; next-auth.csrf-token og next-auth.callback-url verner innloggingsskjemaet.

Språket

lang husker språket du valgte, i ett år.

Fargetemaet

theme husker lyst eller mørkt tema når du ikke er logget inn, i ett år.

Firmaet

tenant husker hvilket firma du jobber i, hvis du er med i flere, i ett år.

I tillegg husker nettleseren på enheten din sist valgte sted i «Meld fra», og et vedlegg til en tilbakemelding til den er sendt. Det blir på enheten.

Når Verja endrer hvordan opplysningene behandles, endres denne siden. Datoen øverst viser når den sist ble endret.

Denne versjonen er et utkast som skal gjennomgås av en jurist før det første firmaet tar Verja i bruk.