Personvern i medlemsregisteret

Næringslivets Sikkerhetsråd er behandlingsansvarlig for opplysningene i registeret. Spørsmål om personvern rettes til post@nsr-org.no.

Avtale. Opplysningene om virksomheten og kontaktpersonene behandler vi fordi de er nødvendige for å oppfylle medlemskapet: å vite hvem medlemmet er, hvem vi kontakter, og hvor fakturaen skal.

Samtykke. Eksterne som registrerer seg i kontaktregisteret på egen hånd, er med fordi de har krysset av for det og bekreftet adressen sin selv. Tidspunktet lagres. Samtykket kan trekkes tilbake når som helst, se eget avsnitt under.

Registeret er bygget for forretningskontaktopplysninger, og har ikke felt for annet:

• Om virksomheten: navn, organisasjonsnummer, adresse, antall ansatte, medlemstype og medlemshistorikk.
• Om kontaktpersonene: navn, stilling, arbeidse-post, arbeidstelefon og hvilken rolle personen har hos medlemmet.
• Om fakturering: fakturaadresse, referanse, beløp og betalingsstatus.
• Om bruken: en uforanderlig logg over hva som er endret i registeret, når, og av hvem.

Vi lagrer ingen private adresser, ingen personnumre og ingen sensitive personopplysninger. Notater som saksbehandler skriver, er kryptert i databasen.

NSR fører et eget kontaktregister, som brukes til varsling og deling av sikkerhets- og beredskapsinformasjon, og som grunnlag for nyhetsbrevet. Kontaktpersoner hos medlemsbedrifter er med automatisk, som en del av medlemskapet — det er samme avtale som resten av medlemsopplysningene. Andre er med fordi de selv har registrert seg og bekreftet adressen sin på /kontaktregister. De gamle adressene under /nyhetsbrev videresendes dit.

Om deg registrerer vi navn, e-post, og eventuelt stilling, bedrift, mobil og fylke. I tillegg lagrer vi tre valg du selv tar: om du vil varsles ved digitale sikkerhetshendelser, hvilke nyhetsbrevtema du vil ha, og tidspunktet du godtok trafikklysprotokollen (TLP 2.0) og samtykket til behandlingen. TLP-aksepten sier at du har forstått hvor langt informasjon fra NSR kan deles.

Hører e-postadressen din til en medlemsbedrift, regner registeret deg som tilknyttet det medlemmet. Da kan bedriftens hovedkontakt se at du står i registeret, med navn, e-post, stilling og om du har bedt om varsling — slik at hen kan gjøre deg til varslingskontakt om det er ønskelig. Tilknytningen beregnes av e-postdomenet ditt hver gang den vises, og lagres ikke: slutter bedriften å være medlem, forsvinner den.

Alle kan når som helst se, endre eller slette seg selv fra registeret — via lenken i hver utsending, eller på /kontaktregister/lenke. En medlemskontakt som melder seg av, forblir kontaktperson for bedriften — bare utsendingene stopper.

Vi bruker noen leverandører for å drifte tjenesten. De behandler opplysninger på våre vegne, etter våre instrukser:

• Supabase — database og innlogging, driftet i EU (Irland).
• Vercel — kjører selve tjenesten, EU-region (Dublin).
• Resend — sender e-posten fra registeret.
• Xledger — NSRs økonomisystem, mottar fakturagrunnlaget.
• Make — kobler systemene sammen, kjører på norske servere.

Ingen opplysninger sendes ut av EU/EØS, og registeret bruker ingen KI-tjenester. Databehandleravtalene med den enkelte leverandøren er under arbeid.

Opplysningene om et medlem beholdes så lenge medlemskapet varer, og en periode etter utmelding, slik at vi kan svare på spørsmål om historikken. Regnskapsdata i økonomisystemet har egne oppbevaringskrav som vi ikke kan overstyre.

Sletting gjøres av en administrator hos NSR, med bekreftelse i to trinn. Vi sletter ikke automatisk før arkivkravene er avklart.

Innsyn. Du kan laste ned alt registeret har om deg under «Sikkerhet og personvern» på medlemssidene. Er du hovedkontakt, kan du også laste ned alt om virksomheten.

Retting. Er noe feil, retter du det selv på medlemssidene. Endringen gjelder med en gang.

Sletting og innsigelse. Vil du slettes fra registeret, eller mener du at vi ikke skal behandle opplysningene dine, skriv til post@nsr-org.no. Du har også rett til å klage til Datatilsynet.

Tilgangen er begrenset i selve databasen, ikke bare i tjenesten: en innlogget kontaktperson kan fysisk ikke lese en annen virksomhets opplysninger. Ansatte hos NSR må logge inn med to faktorer for å komme inn i saksbehandlingen, og alt som endres, logges.