Sist oppdatert 21. oktober 2026
Personvernerklæring for Dibbel
Hvordan Dibbel behandler personopplysninger i app.dibbel.no og mobilappen.
Versjon 2026-10-21, erstatter versjon 2026-03-11
1. Innledning
Dibbel er et field management-system for bygg, anlegg og drift. Plattformen hjelper virksomheter med å administrere prosjekter, ordrer, dokumentasjon, timer og ressurser i felt og på kontor.
Denne personvernerklæringen gjelder for app.dibbel.no og Dibbel mobilapp (iOS og Android). Nettstedet dibbel.no (landingsside og markedsføring) har en egen personvernerklæring.
Erklæringen er utarbeidet i tråd med EUs personvernforordning (GDPR), jf. personopplysningsloven § 1, og ekomloven § 3-15 om lagring av informasjon på brukerens enhet.
2. Behandlingsansvarlig og databehandler
Dibbel er en B2B SaaS-tjeneste, og to parter er involvert i behandlingen av personopplysninger:
- Din arbeidsgiver eller oppdragsgiver (kunden) er behandlingsansvarlig. Det er kunden som har inngått avtale med Dibbel, bestemmer hvem som skal ha tilgang, hvilke funksjoner som er slått på, hvilke skjemaer og felt som skal fylles ut, og som har instruksjonsmyndighet over behandlingen. Kunden har også ansvaret for behandlingsgrunnlaget.
- Dibbel AS er databehandler. Vi behandler personopplysninger bare på vegne av og etter instruks fra kunden, innenfor rammen av en databehandleravtale mellom Dibbel og kunden.
Ønsker du å utøve rettighetene dine (se punkt 12), skal du i første omgang henvende deg til arbeidsgiveren din. Du kan også kontakte Dibbel på kontakt@dibbel.no, så sender vi henvendelsen videre til riktig person hos arbeidsgiveren din.
Dibbel har vurdert at det ikke er plikt til personvernombud etter GDPR art. 37, og har derfor ikke utpekt et.
3. Virksomhetsinformasjon
Dibbel AS
Org.nr. 933 342 026
Edvard Storms gate 2, 0166 Oslo
E-post: kontakt@dibbel.no
4. Kategorier av personopplysninger
Hvilke opplysninger som behandles om deg, avhenger av hvilke funksjoner arbeidsgiveren din bruker.
4.1 Kontodata
- Fullt navn
- E-postadresse
- Telefonnummer
- Profilbilde (frivillig, lastes opp av deg selv)
- Brukerrolle og tilganger i systemet
4.2 Arbeidsrelaterte data
- Stilling, avdeling og virksomhet
- Ansattopplysninger som arbeidsgiveren kan registrere, som stillingsprosent, rolle og timesats
4.3 Arbeidsregistreringer
- Timer, pauser, overtid og timetyper som arbeidsgiveren har satt opp
- Utført arbeid, skjemaer, sjekklister, avvik og annen dokumentasjon, med opplysninger om hvem som registrerte hva og når
- Skjemaer og felt som arbeidsgiveren selv har laget, for eksempel HMS- eller RUH-skjemaer. Det er arbeidsgiveren som bestemmer hva disse samler inn
4.4 Lokasjonsdata
GPS-posisjon registreres bare i skjemaer: i et posisjonsfelt arbeidsgiveren har lagt inn, eller på bilder når du selv har slått på posisjon i appens kamerainnstillinger. Du kan bare slå det på hvis arbeidsgiveren har tillatt det. Appen må også ha tilgang til posisjon på enheten din. Dibbel sporer aldri posisjonen din kontinuerlig, i bakgrunnen eller ved inn- og utsjekk.
4.5 Medieinnhold
Bilder og filer lastes bare opp når du selv velger å legge dem ved, for eksempel som del av prosjektdokumentasjon. Bilder kan inneholde posisjon i bildedata, avhengig av innstillingene på enheten din.
4.6 AI-assistenten Felix
Der arbeidsgiveren har slått på Felix, behandles spørsmålene du stiller, svarene og et samtaleminne. Felix kan bare se data du selv har tilgang til i Dibbel. Se punkt 8.
4.7 Tekniske data
- Tidspunkt for innlogging og aktivitet
- Enhetstype, operativsystem og nettleserversjon
- IP-adresse (behandles av Cloudflare for sikkerhetsformål, og av Expo når appen ser etter oppdateringer)
- Enhetstoken for push-varsler i appen
4.8 Feil- og diagnosedata
Når det oppstår en feil, sendes en teknisk feilrapport til Sentry. Opptak av skjermbildet (Session Replay) brukes ikke. Feilrapportene er minimert og inneholder ikke navn, e-post, bruker-ID, IP-adresse, søkeord, filtre eller innhold fra skjemaer. URL-en der feilen oppstod kan inneholde kortnavnet til virksomheten og avdelingen, og ID-er, for eksempel for et prosjekt. Dette identifiserer deg ikke som person. Se punkt 7.
5. Formål og behandlingsgrunnlag
Dibbel behandler personopplysninger for disse formålene, på vegne av arbeidsgiveren din:
| Formål | Eksempler |
|---|---|
| Levere tjenesten og administrere brukerkontoer | Innlogging, tilganger, varsler |
| Timeregistrering, dokumentasjon og fakturagrunnlag | Timer, skjemaer, avvik, bilder, utført arbeid |
| Prosjektoppfølging og ressursplanlegging | Fremdrift, tildelte oppgaver |
| Brukerstøtte | Hjelp ved feil og spørsmål |
| Drift, sikkerhet og feilretting | Logging, feilrapporter, backup |
Det er arbeidsgiveren din, som behandlingsansvarlig, som fastsetter behandlingsgrunnlaget etter GDPR art. 6. Ta kontakt med arbeidsgiveren din hvis du lurer på hvilket grunnlag som gjelder.
Når du gir appen tilgang til posisjon, kamera eller varsler på enheten din, er dette en teknisk tillatelse i operativsystemet. Det er ikke et samtykke etter GDPR, og du kan når som helst trekke tillatelsen tilbake i innstillingene på enheten.
Dibbel bruker ikke personopplysningene dine til egne formål. Det eneste unntaket er at vi kan bruke data i anonymisert og aggregert form, som ikke kan knyttes til deg eller arbeidsgiveren din, til å forbedre tjenesten.
6. Lagringstid og sletting
6.1 Aktive brukere
Opplysningene lagres så lenge arbeidsgiveren din har en aktiv avtale med Dibbel, og så lenge arbeidsgiveren ønsker det. Arbeidsgiveren bestemmer lagringstiden og kan slette registreringer i plattformen.
6.2 Deaktiverte brukere
Brukerkontoer deaktiveres som standard i stedet for å slettes. En deaktivert bruker kan ikke logge inn. Historikken beholdes, fordi den inngår i arbeidsgiverens dokumentasjon og fakturagrunnlag.
6.3 Krav om sletting
Ber du om å få slettet personopplysningene dine, sendes kravet til arbeidsgiveren din, som avgjør om sletting skal skje. Arbeidsgiveren kan ha plikt eller et berettiget behov for å kunne dokumentere hvem som utførte hva og når, for eksempel på grunn av reklamasjonsansvar, HMS-dokumentasjon eller lovpålagte krav i bygg og anlegg (jf. GDPR art. 17 nr. 3).
Som standard pseudonymiserer vi opplysningene: navn, e-postadresse og telefonnummer erstattes med tilfeldige verdier, og profilbildet slettes. Arbeidsregistreringene beholdes uten navnet ditt. Arbeidsgiveren får en kobling mellom deg og de nye verdiene, slik at arbeidsgiveren fortsatt kan dokumentere utført arbeid ved behov. Opplysningene er da fortsatt personopplysninger hos arbeidsgiveren.
Ønsker arbeidsgiveren at opplysningene slettes helt, sletter vi dem uten kobling. Da kan ikke arbeidsgiveren lenger dokumentere hvem som utførte arbeidet.
6.4 Når arbeidsgiverens avtale opphører
Når arbeidsgiverens avtale med Dibbel opphører, slettes alle data, også brukerkontoer, senest 60 dager etter opphør. Kopier i backup slettes automatisk etter 14 dager.
6.5 Data fra Felix
| Data | Slettes automatisk etter |
|---|---|
| Logger fra testperioden (spørsmål, svar og verktøykall) | 30 dager |
| Samtaler | 90 dager |
| Samtaleminne | 180 dager |
7. Underleverandører (underdatabehandlere)
Vi bruker disse underleverandørene. Alle behandler personopplysninger på vegne av arbeidsgiveren din, etter avtale med Dibbel.
| Underleverandør | Tjeneste | Behandlingssted | Overføringsgrunnlag |
|---|---|---|---|
| Microsoft Azure | Servere, databaser, fillagring, språkmodell for Felix | Database og fillagring i Norway East (Oslo). Språkmodell i Sweden Central (Stockholm) og Data Zone EU | Innenfor EØS |
| Signicat | Elektronisk signering | EØS | Innenfor EØS |
| Pusher | Sanntidsoppdateringer | EU | Data behandles i EU. Selskapet er britisk, og EUs adekvansbeslutning for Storbritannia gjelder |
| Sentry | Feilrapportering | EU (Frankfurt) | Innenfor EØS. EU-US Data Privacy Framework som tilleggsgrunnlag |
| Twilio (SendGrid) | Utsending av e-post, som innloggingslenker og varsler | EU (EU Data Residency) | Innenfor EØS. EU-US Data Privacy Framework og standard personvernbestemmelser (SCC) som tilleggsgrunnlag |
| Cloudflare | CDN, DNS, brannmur og DDoS-beskyttelse | Globalt nettverk | EU-US Data Privacy Framework og SCC |
| Expo (650 Industries) | Videresending av push-varsler fra appen til Apple og Google, og levering av appoppdateringer (EAS Update) | USA (Google Cloud) | EU-US Data Privacy Framework |
| Apple (APNs) | Push-varsler på iOS | USA/globalt | EU-US Data Privacy Framework |
| Google (Firebase Cloud Messaging) | Push-varsler på Android | USA/globalt | EU-US Data Privacy Framework og SCC |
| Mastra (Kepler Software Inc.) | Logging av Felix i testperioden | EU | Data lagres i EU. Selskapet er amerikansk, og standard personvernbestemmelser (SCC) gjelder |
Til Expo, Apple og Google sendes bare enhetstoken og teksten i varselet. Expo sletter innholdet i varselet etter at det er sendt, og lagrer bare enhetstoken. Når appen ser etter oppdateringer, ser Expo IP-adressen og tekniske opplysninger om enheten, som operativsystem og appversjon. Expo kan i tillegg bruke IP-adresse og tekniske feildata fra appen i aggregert form til egen analyse og forbedring av tjenesten. For den bruken er Expo selvstendig behandlingsansvarlig, se expo.dev/privacy. Cloudflare behandler bare nettverkstrafikk som IP-adresser og tekniske metadata, og lagrer ikke data fra Dibbel. Mastra brukes bare der arbeidsgiveren har tatt i bruk Felix i testperioden.
8. AI-assistenten Felix
Felix er en AI-assistent i Dibbel som arbeidsgiveren din kan velge å slå på.
- Felix bruker dine tilganger og kan ikke se data du ikke har tilgang til selv. Samtaleminnet er knyttet til deg og arbeidsgiveren din.
- Språkmodellen kjøres i Microsoft Azure innenfor EU.
- Data fra Dibbel brukes ikke til å trene språkmodeller, verken hos Dibbel eller hos Microsoft.
- Felix er i testfase. I testperioden logges spørsmål, svar og verktøykall for feilsøking og forbedring. Bare navngitte personer hos Dibbel har tilgang til loggene, og de slettes etter 30 dager.
9. Informasjonskapsler og lokal lagring
Etter ekomloven § 3-15 krever lagring av og tilgang til informasjon på enheten din samtykke, med mindre det er strengt nødvendig for tjenesten du bruker. Dibbel bruker bare lagring som er strengt nødvendig, og bruker ingen analyse- eller markedsføringsverktøy. Det er derfor ikke behov for et samtykkebanner.
| Navn | Hvor | Formål | Varighet |
|---|---|---|---|
__Secure-better-auth.session_token |
Web | Innloggingsøkt | Inntil 30 dager |
__Secure-better-auth.two_factor |
Web | Holder på innloggingen mens du bekrefter tofaktorkoden | 10 minutter |
__Secure-better-auth.trust_device |
Web | Husker at du har valgt å stole på enheten, så du slipper tofaktorkode ved hver innlogging | 30 dager |
acaAffinity |
Web (ai.dibbel.no) | Sender forespørslene dine til Felix til samme server gjennom økten | Slettes når nettleseren lukkes |
| Cloudflare-sikkerhetscookies | Web | Beskyttelse mot angrep og misbruk | Kort levetid |
| Sentry sesjons-ID (sessionStorage) | Web | Knytter feilrapporter til samme økt | Slettes når fanen lukkes |
| Lokal lagring i nettleseren | Web | Innstillinger som fargetema og tabellvisninger | Til du tømmer nettleserdata |
| Lokal lagring i appen | App | Innlogging, innstillinger og frakoblet bruk | Til du logger ut eller sletter appen |
| Enhetstoken for push-varsler | App | Sende varsler til enheten din | Til du slår av varsler eller sletter appen |
Ingen av disse brukes til markedsføring, og de deles ikke med tredjeparter for analyse.
10. Overføringer utenfor EU/EØS
Databasen og fillagringen i Dibbel ligger kun i Norge (Azure Norway East). Språkmodellen for Felix og noen tjenester med begrensede data kjører i EU. Denne behandlingen kan skje utenfor EØS:
- Push-varsler via Expo, Apple og Google, med enhetstoken og varseltekst
- Appoppdateringer via Expo, med IP-adresse og tekniske opplysninger om enheten
- Nettverkstrafikk gjennom Cloudflares globale nettverk
- Eventuell tilgang fra amerikanske selskaper til leverandører som lagrer data i EU (Sentry, Twilio og Mastra)
Disse overføringene skjer på grunnlag av EU-US Data Privacy Framework og/eller EUs standard personvernbestemmelser (SCC), jf. GDPR art. 45 og 46.
11. Sikkerhet
- Innlogging uten passord via engangslenke på e-post, med tofaktorautentisering som valg
- Rollebasert tilgangskontroll og radnivåsikkerhet som skiller virksomhetenes data
- Kryptering under overføring (TLS) og ved lagring
- Daglig backup i Azure og på to krypterte maskiner som eies av Dibbel AS og befinner seg i Norge, med 14 dagers lagring. Gjenoppretting testes månedlig
- Bare navngitte personer hos Dibbel har tilgang til produksjonsdata. Tilgang krever sterk autentisering og logges
12. Dine rettigheter
Du har disse rettighetene etter GDPR:
- Innsyn (art. 15): Du kan be om innsyn i hvilke personopplysninger som behandles om deg.
- Retting (art. 16): Du kan be om at feil eller ufullstendige opplysninger rettes.
- Sletting (art. 17): Du kan under visse vilkår be om sletting. Se punkt 6.3.
- Begrensning (art. 18): Du kan be om at behandlingen begrenses i visse situasjoner.
- Dataportabilitet (art. 20): Du kan be om å få utlevert opplysninger du selv har gitt, i maskinlesbart format.
- Protest (art. 21): Du kan protestere mot behandling som bygger på berettiget interesse.
Slik gjør du det: Kontakt arbeidsgiveren din, som er behandlingsansvarlig. Kontakter du Dibbel på kontakt@dibbel.no, sender vi henvendelsen til arbeidsgiveren din innen 2 virkedager, og hjelper arbeidsgiveren med å svare. Arbeidsgiveren skal svare deg innen én måned, jf. GDPR art. 12.
Klagerett: Du kan klage til Datatilsynet hvis du mener personopplysningene dine behandles i strid med regelverket.
Datatilsynet, Postboks 458 Sentrum, 0105 Oslo, www.datatilsynet.no
13. Mindreårige
Dibbel er beregnet for bruk i arbeidssammenheng og er ikke rettet mot personer under 16 år. Vi samler ikke bevisst inn personopplysninger om barn under 16 år.
14. Endringer i personvernerklæringen
Vi oppdaterer personvernerklæringen når behandlingen endres. Ved vesentlige endringer blir du bedt om å bekrefte at du har lest den oppdaterte erklæringen neste gang du logger inn. Vesentlige endringer er for eksempel nye typer opplysninger, nye formål, nye underleverandører, nye overføringer utenfor EØS eller endret lagringstid.
Mindre endringer, som retting av skrivefeil, presiseringer som ikke endrer behandlingen, eller oppdatert kontaktinformasjon, publiseres uten at du blir bedt om å bekrefte på nytt. Datoen for siste endring står øverst, og endringene beskrives i listen under. Gjeldende versjon er alltid tilgjengelig på app.dibbel.no/public/privacy.
Endringer i denne versjonen
- Lagt til underleverandørene Signicat, Pusher, Twilio (SendGrid), Expo (push-varsler og appoppdateringer), Apple, Google og Mastra
- Lagt til beskrivelse av AI-assistenten Felix og lagringstider for data fra Felix
- Oppdatert beskrivelsen av sletting: opplysningene pseudonymiseres som standard, og slettes helt hvis arbeidsgiveren ønsker det
- Session Replay i Sentry er slått av
- Presisert at arbeidsgiveren fastsetter behandlingsgrunnlaget, og at tillatelser på enheten ikke er samtykke etter GDPR
- Utvidet punktet om informasjonskapsler til også å gjelde lokal lagring, og oppdatert navnene på informasjonskapslene for innlogging
- Presisert behandlingssted for Microsoft Azure (Norway East og Sweden Central)