Ordo Kurs — levert av Ordo AS
Foreløpig versjon – under kontroll
Dette er en foreløpig oppsummering av personvernerklæringen for ORDO AS og Ordo Kurs, ikke den endelige personvernerklæringen. Flere forhold er fortsatt under teknisk verifisering og juridisk kontroll. Erklæringen blir ikke endelig før dette er lukket eller kontrollert:
Sist oppdatert: 27. juli 2026 (dokumentversjon 2026-07-27).
ORDO AS er behandlingsansvarlig for opplysninger om kundeforhold, fakturering, support, sikkerhet og drift av tjenesten. For kurs-, deltaker- og opplæringsdata om deltakere som får kurs gjennom en arbeidsgiver, organisasjon eller annen kunde, er kunden normalt behandlingsansvarlig. ORDO behandler da opplysningene som databehandler etter kundens dokumenterte instruks og databehandleravtalen. Vi behandler kun opplysninger som er nødvendige for å levere tjenesten.
Opplysningene brukes for å administrere kurstildelinger, spore fremdrift, utstede kompetansebevis, gi support og sikre tjenesten. Der ORDO er behandlingsansvarlig, bygger vi kundeforholdet på avtale (GDPR artikkel 6 nr. 1 bokstav b) når du selv er avtalepart, og ellers på ORDOs berettigede interesse i å administrere virksomhetskunden (bokstav f). Fakturering og regnskap bygger på avtale og rettslig forpliktelse (bokstav b og c). Support bygger på avtale eller berettiget interesse i å yte og dokumentere support (bokstav b eller f). Sikkerhet og drift bygger på berettiget interesse i å beskytte, drifte og forbedre tjenesten (bokstav f), og for sikkerhet også på eventuelle rettslige forpliktelser (bokstav c). Tjenestemeldinger, som invitasjoner, kursvarsler og sikkerhetsmeldinger, bygger på avtale eller berettiget interesse (bokstav b eller f). Håndtering av juridiske krav, som klager, tvister, revisjon og myndighetskontakt, bygger på rettslig forpliktelse og berettiget interesse i å fastsette, gjøre gjeldende eller forsvare rettskrav (bokstav c og f).
Når ORDO er databehandler, er kunden ansvarlig for å fastsette behandlingsgrunnlaget.
Kontoer uten innlogging på 365 dager deaktiveres automatisk, og anonymiseres 30 dager senere hvis du ikke logger inn i mellomtiden. Ved anonymisering fjernes navn og e-postadresse, mens aggregert kursstatistikk beholdes.
ORDO deler personopplysninger bare når det er nødvendig for å levere og sikre Tjenesten, administrere kundeforholdet, oppfylle lovpålagte plikter eller håndtere krav.
Mottakere kan være:
Når ORDO er databehandler, skal eksterne leverandører som behandler kundens personopplysninger, være regulert som underdatabehandlere. Når ORDO er behandlingsansvarlig, klassifiseres leverandøren ut fra den konkrete behandlingen.
| Leverandør eller komponent | Formål og aktuelle opplysninger | Behandlingssted | Merknad |
|---|---|---|---|
| UpCloud Ltd. | Applikasjonsservere, PostgreSQL, Redis og serverdrift | Stavanger, Norge (no-svg1) | Behandler kunde- og deltakerdata som del av driften |
| UpCloud Ltd. | S3-kompatibelt objektlager for opplastede filer, lyd, eksportartefakter og persondata-backup | Helsinki, Finland (FI-HEL2 / europe-1) | Innenfor EU/EØS |
| Microsoft Ireland Operations Ltd. - Entra ID | Innlogging for kunder som bruker Microsoft 365; identitets- og autentiseringsopplysninger | Microsofts europeiske geografi etter kundens og ORDOs konfigurasjon | Entra ID er en global tjeneste; kontrakts- og overføringsvilkår må kontrolleres |
| Microsoft Ireland Operations Ltd. - Azure Key Vault | Hemmeligheter, nøkler og sertifikat-/signeringsmateriale | northeurope, Irland | Regionen er verifisert |
| Microsoft Azure Container Registry | Applikasjons-images | Region ikke bekreftet | Images skal ikke inneholde kundedata eller personopplysninger; region må bekreftes |
| Proton AG | Transaksjonell e-post, for eksempel mottakernavn, e-postadresse, kursstatus og meldingsinnhold | Sveits | Sveits har adekvat beskyttelsesnivå etter EU-kommisjonens beslutning |
| Fiken AS | Fakturering, regnskap og kundekontakt knyttet til faktura | Norge | Deltakerdata skal ikke overføres |
| Cloudflare Inc. | Autoritativ DNS og ACME DNS-01 for sertifikatutstedelse | Global DNS-infrastruktur, herunder USA | DNS-only; mottar ikke HTTP-innhold gjennom proxy/CDN i dagens oppsett, men kan behandle DNS-metadata |
Authentik og GlitchTip driftes av ORDO på UpCloud-infrastruktur i Stavanger og er ikke separate eksterne underdatabehandlere.
Dintero er ikke aktiv betalingsleverandør. Proton Drive brukes til sikkerhetskopi av kildekode, konfigurasjon og wiki, men skal ikke inneholde personopplysninger, databasedumper, S3-filer eller hemmeligheter. Anthropic brukes ikke som underdatabehandler i ordinær drift, fordi kundedata og personopplysninger fra Tjenesten ikke skal sendes dit.
Applikasjonsservere og primærdatabase ligger i Stavanger. Objektlager og persondata-backup ligger i Helsinki. ORDOs selvhostede Authentik- og GlitchTip-komponenter ligger i Stavanger. ORDO kan derfor beskrive løsningen som norsk hosting med persondatalagring i Norge og Finland, men ikke som 100 prosent norsk datalagring.
Følgende behandling kan berøre land utenfor EU/EØS:
ORDO skal før endelig publisering kontrollere og dokumentere den konkrete overføringsmekanismen for Microsoft og Cloudflare, herunder om behandlingen er omfattet av en adekvansordning, EUs standard personvernbestemmelser eller andre gyldige garantier. Informasjon om hvordan en kopi av garantiene kan fås, skal gis på forespørsel.
Avhengig av situasjonen kan du ha rett til:
Dersom du deltar i kurs gjennom en arbeidsgiver, organisasjon eller annen kunde, bør forespørsler om kurs-, deltaker- og kompetansedata normalt sendes til kunden. ORDO skal bistå kunden etter databehandleravtalen.
Forespørsler om ORDOs egne kunde-, faktura-, support-, sikkerhets- eller driftsopplysninger kan sendes til support@ordoit.no.
ORDO kan be om nødvendige opplysninger for å bekrefte identiteten og forstå forespørselen. Vi svarer normalt innen én måned. Fristen kan forlenges når GDPR tillater det, og du vil da få informasjon om forlengelsen og grunnen.
Personvernspørsmål og forespørsler kan sendes til ORDO AS (org.nr. 937 503 962), Gartnerveien 33, 3478 Nærsnes, på support@ordoit.no. ORDO har ikke utpekt personvernombud.
Du kan klage til Datatilsynet dersom du mener behandlingen er i strid med personvernregelverket: datatilsynet.no.
Vi jobber for at Ordo Kurs skal være tilgjengelig for alle brukere, uavhengig av funksjonsevne, i tråd med WCAG 2.1 nivå AA.
Opplever du problemer med tilgjengeligheten? Kontakt oss på post@ordoit.no, så retter vi det så raskt som mulig.