Versjon: 2.3
Sist oppdatert: 7. juni 2026
Gjeldende fra: 1. juni 2026
§1Hvem vi er
Denne personvernerklæringen beskriver hvordan Planviah Helgesen samler inn, bruker, lagrer og deler personopplysninger i forbindelse med StudentCV-tjenesten på studentcv.no. Vi er behandlingsansvarlig etter EUs personvernforordning (GDPR) og norsk personopplysningslov for alle personopplysninger vi behandler.
Du kan nå oss på hei@planviah.com. Organisasjonsnummer er 935 477 549.
Erklæringen gjelder alle som besøker studentcv.no, registrerer seg på venteliste, benytter CV-genereringstjenesten, eller på annen måte kommuniserer med oss.
Vi behandler ikke personopplysninger utover det som er nødvendig for å levere tjenesten og oppfylle våre lovpålagte forpliktelser. Alle opplysninger behandles i samsvar med prinsippene om dataminimering, formålsbegrensning og lagringsminimering som følger av GDPR art. 5.
§2Personopplysninger vi samler inn
2.1 Venteliste-registrering
Når du registrerer deg for å motta varsel om lansering, samler vi inn e-postadressen din. Det er den eneste opplysningen vi ber om på dette stadiet.
2.2 CV-fil og manuell utfylling
Dersom du laster opp en eksisterende CV (PDF eller Word), behandler vi innholdet i filen — det vil si alt du selv har lagt inn: navn, kontaktinformasjon, utdanning, arbeidserfaring, ferdigheter, språk og prosjekter. Filnavn og filtype registreres som teknisk metadata. Selve filen behandles i minnet og lagres ikke på disk.
Fyller du inn opplysninger manuelt i stedet, ber vi om fullt navn, målrolle eller ønsket stilling, nåværende stilling eller utdanning, bransje, en fritekstbeskrivelse av nøkkelerfaring, og en valgfri egenvurdering av profilen din. Du kan også oppgi en LinkedIn-profillenke — vi henter ikke data fra LinkedIn automatisk, men bruker lenken til kryssreferanse ved AI-analyse.
2.3 Bestilling og betaling
Etter betaling fyller du inn nødvendig informasjon direkte i tjenesten på studentcv.no: målrolle, bransje, og enten CV-opplasting, LinkedIn-lenke eller manuell utfylling. Du kan valgfritt oppgi egne mål og nøkkelord. Betalingsbehandling håndteres av Stripe — vi lagrer ikke kortopplysninger selv.
2.4 AI-behandlet og generert innhold
Som del av tjenesten produserer systemet strukturerte CV-data ekstrahert fra innsendt materiale (navn, kontaktopplysninger, arbeidserfaring, utdanning, ferdigheter, språk, prosjekter), en ATS-optimalisert CV-tekst, en LinkedIn-tekst, en ATS-score fra 1 til 100, og konkrete forbedringsforslag. Se § 5 for utfyllende informasjon om hva ATS-scoren er og hvilke rettigheter du har knyttet til automatisert analyse.
2.5 Tekniske opplysninger
For å drifte og sikre tjenesten loggfører serverne IP-adresse og tidsstempel for forespørsler i 30 dager.
§3Hvorfor vi behandler opplysningene — rettslig grunnlag
Vi behandler kun personopplysninger når vi har et klart rettslig grunnlag etter GDPR art. 6.
Avtaleutførelse (art. 6 nr. 1 b) er grunnlaget for selve kjernetjenesten: å levere CV-genereringen, behandle betalingen og sende deg leveringsbekreftelse og nedlastingslenke. Uten disse opplysningene kan vi rett og slett ikke fullføre bestillingen din.
Samtykke (art. 6 nr. 1 a) er grunnlaget for venteliste-varselet. Du har aktivt registrert deg for å motta dette, og du kan trekke samtykket når som helst uten at det påvirker noe annet. Å ikke gi samtykke medfører ingen negative konsekvenser utover at du ikke mottar varselet.
Berettiget interesse (art. 6 nr. 1 f) er grunnlaget for oppfølgings-e-post til eksisterende kunder (jf. markedsføringsloven § 15), forbedring av tjenestekvalitet basert på anonymisert statistikk, og drift og sikkerhetsovervåking av infrastrukturen. I alle tilfeller har vi gjennomført en interesseavveining som dokumenterer at vår interesse ikke overstyrer din rett til personvern. Du kan be om innsyn i denne vurderingen ved å kontakte oss. Du kan når som helst protestere mot oppfølgings-e-post ved å svare "STOPP" eller kontakte oss direkte.
Rettslig forpliktelse (art. 6 nr. 1 c) er grunnlaget for å oppbevare bokføringsdata i fem år (regnskapsloven § 13) og for å håndtere forespørsler om personvernrettigheter etter GDPR art. 15–22.
§4Deling med tredjeparter og internasjonale overføringer
Vi selger aldri personopplysninger. Vi deler kun data med tredjeparter i den utstrekning det er nødvendig for å levere tjenesten eller oppfylle lovpålagte forpliktelser. Alle databehandlere er bundet av en databehandleravtale (DPA) med oss i henhold til GDPR art. 28.
OpenAI benyttes til AI-analyse og generering av CV-innhold. CV-tekst og strukturerte data overføres til USA under EU-standardkontraktsbestemmelser (SCCs). OpenAI trener ikke sine AI-modeller på data sendt via API — din CV-data brukes utelukkende til å besvare den aktuelle forespørselen og lagres ikke av OpenAI utover dette.
Stripe håndterer betalingsbehandling og mottar e-post, betalingsinformasjon og transaksjonsdata. Stripe er underlagt EU-U.S. Data Privacy Framework (DPF) og opererer i USA/EU.
Cloudflare R2 benyttes til lagring av genererte dokumenter (CV, LinkedIn-tekst og søknadsbrev) i inntil 90 dager. R2 mottar det ferdige dokumentinnholdet, som kan inneholde navn, kontaktopplysninger og yrkeserfaring. Cloudflare er underlagt EU-standardkontraktsbestemmelser (SCCs) og har en GDPR-tilpasset databehandleravtale. Cloudflare R2 benyttes også til krypterte databasesikkerhetskopier — disse er kryptert med en nøkkel kun vi kontrollerer, og Cloudflare har ingen tilgang til innholdet.
Mailgun benyttes til utsending av transaksjonelle e-poster og mottar e-postadresse og ordreinfo. Vi benytter Mailguns europeiske API-endepunkt — data behandles i EU og overføres ikke til USA.
Vercel leverer hosting og infrastruktur for studentcv.no. Anonymisert analysedata (sidevisninger, responstider) er aggregert og inneholder ingen personopplysninger. Vercel opererer primært i USA under SCCs.
Du kan be om kopi av de overføringssikringene vi benytter (f.eks. SCCs) ved å kontakte oss på hei@planviah.com.
Vi kan også dele personopplysninger med offentlige myndigheter dersom vi er rettslig forpliktet til det — for eksempel ved pålegg fra norsk domstol. I slike tilfeller vil vi, i den grad det er mulig, varsle deg i forkant.
§5Automatisert analyse og ATS-scoren
5.1 Hva systemet gjør automatisk
StudentCV bruker AI til å trekke ut strukturerte opplysninger fra CV-en din, beregne en ATS-score, identifisere svakheter og forbedringsområder, og produsere en optimalisert CV og LinkedIn-tekst.
5.2 Hva ATS-scoren er — og hva den ikke er
ATS-scoren er et verktøy for deg, ikke et beslutningsgrunnlag for oss. Vi fatter ingen automatiserte beslutninger med rettslig virkning eller tilsvarende betydelig virkning om deg basert på scoren (jf. GDPR art. 22). Vi avviser ikke brukere, nekter ikke tilgang til tjenester, og deler ikke scoren med arbeidsgivere eller rekrutterere. Scoren er din — og kun for din skyld.
5.3 Logikken bak analysen
AI-modellen vurderer tilstedeværelse og tetthet av relevante nøkkelord for norske stillingsannonser, CV-struktur og formatkompatibilitet med ATS-systemer, kvaliteten og tydeligheten i erfaringsbeskrivelsene, og samsvar mellom profil og målrolle der dette er oppgitt. Analysen er basert på mønstre i norske rekrutteringspraksiser og ATS-logikk slik forstått av systemets grunnlegger og den underliggende AI-modellen.
5.4 Din rett til menneskelig vurdering
Du kan alltid kontakte oss på hei@planviah.com for å be om en forklaring av analyseresultatet, stille spørsmål om metodikken, eller be om manuell gjennomgang av din sak.
§6Lagringstid
Vi lagrer ikke personopplysninger lenger enn nødvendig for formålet de ble samlet inn for.
CV-filen du laster opp behandles i minnet og lagres ikke på disk — den slettes umiddelbart etter parsing.
CV-jobben — strukturerte data, generert innhold og ATS-score — beholdes i 90 dager fra generering, deretter slettes den automatisk. Dette gir deg rimelig tid til å laste ned resultatet og eventuelt re-generere.
Venteliste-e-poster beholdes til du melder deg av, eller i maksimalt 12 måneder uten aktivitet. Samtykket trekkes tilbake og e-posten slettes umiddelbart ved avmelding.
Ordredetaljer og betalingsbekreftelse oppbevares i fem år fra transaksjonstidspunktet, i henhold til regnskapsloven § 13.
Serverlogger (IP-adresse og tidsstempel) beholdes i 30 dager for driftssikkerhet og feilsøking.
Anonymisert analysedata fra Vercel er aggregert og inneholder ingen personopplysninger — det er ingen personidentifiserbar lagringstid å oppgi.
Når lagringstiden utløper slettes data automatisk fra databasen. Du kan også be om tidlig sletting av dine data — se § 7 nedenfor — med unntak av data vi er lovpålagt å beholde.
§7Dine rettigheter
Du har følgende rettigheter etter GDPR. Vi svarer på alle henvendelser innen 30 dager. Ved komplekse forespørsler kan fristen forlenges med ytterligere 60 dager — vi vil i så fall informere deg innen de første 30 dagene.
For å benytte deg av dine rettigheter, send oss en e-post på hei@planviah.com med emnefeltet "Personvernforespørsel".
Rett til innsyn (art. 15): Du kan be om bekreftelse på om vi behandler personopplysninger om deg, og i så fall en kopi av opplysningene samt informasjon om formål, kategorier, mottakere, lagringstid og rettslig grunnlag.
Rett til retting (art. 16): Du kan be om at feilaktige eller ufullstendige opplysninger om deg korrigeres uten ugrunnet opphold.
Rett til sletting — "retten til å bli glemt" (art. 17): Du kan be om sletting av dine personopplysninger når opplysningene ikke lenger er nødvendige for formålet de ble samlet inn for, du trekker samtykket behandlingen er basert på, du protesterer mot behandlingen og det ikke er tungtveiende grunner som veier tyngre, eller opplysningene er behandlet ulovlig. Vi kan ikke slette opplysninger vi er lovpålagt å beholde, for eksempel bokføringsdata (5 år etter regnskapsloven § 13).
Rett til begrensning av behandling (art. 18): Du kan be om at behandlingen av dine opplysninger begrenses — det vil si at vi beholder dem men ikke bruker dem aktivt — i bestemte situasjoner, for eksempel mens vi vurderer en innvending fra deg.
Rett til dataportabilitet (art. 20): Du kan be om å motta opplysningene du har gitt oss i et strukturert, alminnelig brukt og maskinlesbart format (JSON eller CSV), og å få overført disse til en annen behandlingsansvarlig der det er teknisk mulig. Dette gjelder opplysninger som er behandlet basert på samtykke eller avtale, og som er behandlet automatisert.
Rett til å protestere (art. 21): Du kan protestere mot behandling basert på berettiget interesse (art. 6 nr. 1 f). Dersom du protesterer, vil vi stoppe behandlingen med mindre vi kan påvise tvingende berettigede grunner som veier tyngre enn dine interesser, rettigheter og friheter. Du kan når som helst protestere mot oppfølgings-e-post ved å svare "STOPP" på en slik e-post.
Tilbaketrekkelse av samtykke: Der behandlingen er basert på samtykke — for eksempel venteliste — kan du trekke dette tilbake når som helst ved å klikke "meld meg av" i en e-post vi har sendt deg, eller ved å kontakte oss. Tilbaketrekkelse påvirker ikke lovligheten av behandling som skjedde før tilbaketrekkingen.
Rettigheter knyttet til automatiserte beslutninger (art. 22): Som beskrevet i § 5 fatter vi ingen automatiserte beslutninger med rettslig virkning om deg. Du har likevel rett til å be om menneskelig vurdering av AI-analysen din.
§8Sikkerhetstiltak
Vi iverksetter tekniske og organisatoriske tiltak for å sikre et sikkerhetsnivå som er tilpasset risikoen.
På teknisk side benytter vi kryptert datakommunikasjon (HTTPS/TLS) mellom bruker, frontend og backend. API-nøkler og sensitiv konfigurasjon lagres som miljøvariabler og skrives aldri inn i kildekoden. All input fra klienter valideres — ingen uvalidert data behandles videre. Tilgang til produksjonsdatabasen er begrenset, CV-filer behandles i minnet og lagres ikke på disk, og sensitive opplysninger som filinnhold og tokens logges aldri i systemlogger. Backend aksepterer kun forespørsler fra studentcv.no via CORS-begrensning, og alle databasespørringer er parameterisert via Prisma som beskyttelse mot SQL-injeksjon.
Organisatorisk er tilgang til produksjonsdata begrenset til kun nødvendig personell, og alle tredjepartsleverandører er bundet av databehandleravtaler.
Dersom det oppstår et sikkerhetsbrudd som medfører risiko for dine rettigheter og friheter, varsler vi Datatilsynet innen 72 timer fra vi oppdager bruddet (GDPR art. 33). Innebærer bruddet høy risiko for deg, varsler vi deg direkte via e-post uten ugrunnet opphold (GDPR art. 34). Varselet vil inneholde en beskrivelse av hva som skjedde, hvilke opplysninger som er berørt, sannsynlige konsekvenser og tiltak vi har iverksatt.
§9Informasjonskapsler og lokal lagring
Se vår informasjonskapselpolicy for en fullstendig oversikt over alle cookies.
Vi lagrer også funksjonelle verdier lokalt i nettleseren din for å holde orden på aktiv genereringsjobb og kjøpsflyt mellom sidevisninger. Disse inneholder ingen personopplysninger og slettes automatisk etter bruk.
§10Barn og mindreårige
StudentCV er en betalt yrkesrettet tjeneste rettet mot studenter og nyutdannede, og er ikke tilpasset eller markedsført mot barn under 15 år. I henhold til personopplysningsloven § 5 er samtykkerettsalderen i Norge 15 år. Vi samler ikke bevisst inn personopplysninger fra barn under denne alderen. Dersom vi oppdager at opplysninger er mottatt fra et barn under 15 år uten foreldrenes samtykke, vil vi slette disse umiddelbart.
Har du bekymringer, ta kontakt på hei@planviah.com.
§11Lenker til andre nettsteder
studentcv.no kan inneholde lenker til eksterne nettsteder, for eksempel LinkedIn. Denne personvernerklæringen gjelder kun for studentcv.no. Vi anbefaler at du leser personvernerklæringen til ethvert nettsted du besøker.
§12Endringer i denne erklæringen
Vi kan oppdatere denne erklæringen ved endringer i tjenesten, ny funksjonalitet eller endringer i gjeldende lovgivning. Datoen øverst angir tidspunktet for siste oppdatering.
Ved vesentlige endringer — endringer som berører formålet med behandlingen, typer opplysninger vi samler inn, lagringstid eller deling med nye tredjeparter — vil vi varsle deg via e-post dersom du er registrert bruker eller venteliste-abonnent, og vise en tydelig melding på studentcv.no.
Ved ikke-vesentlige endringer som presiseringer, korreksjoner eller ny kontaktinformasjon oppdateres erklæringen uten forhåndsvarsel. Tidligere versjoner er tilgjengelige ved forespørsel.
§13Klage til Datatilsynet
Dersom du mener vi behandler dine personopplysninger i strid med personvernregelverket, oppfordrer vi deg til å kontakte oss først — vi ønsker å løse eventuelle problemer direkte.
Du har uansett rett til å klage til Datatilsynet:
Datatilsynet
Postboks 458 Sentrum, 0105 Oslo
Telefon: 22 39 69 00
E-post: postkasse@datatilsynet.no
Nettsted: datatilsynet.no
§14Kontakt
For alle spørsmål om personvern, innsyn, sletting eller andre rettigheter, send oss en e-post på hei@planviah.com med emnefeltet "Personvernforespørsel". Vi svarer innen 30 dager, og inntil 90 dager ved komplekse forespørsler — i så fall gir vi deg beskjed innen de første 30 dagene.
Planviah Helgesen — Org.nr. 935 477 549 — studentcv.no
Versjon 2.3 — 7. juni 2026