Sist gjennomgått: 27. juli 2026

Denne personvernerklæringen gjelder for personer som inviteres til eller deltar i undersøkelser som gjennomføres av InFact eller via InFacts undersøkelsesplattform. Den gjelder også når du kontakter oss om en undersøkelse eller oppgir kontaktinformasjon i forbindelse med en premietrekning eller annen belønning knyttet til en undersøkelse. Undersøkelsesspesifikk informasjon som vises i invitasjonen eller ved starten av en undersøkelse, supplerer denne personvernerklæringen.

1. Om denne personvernerklæringen

InFact AS («InFact», «vi», «oss», «vår») gjennomfører markedsundersøkelser, opinionsundersøkelser og andre undersøkelser for egne formål og på vegne av kunder. Denne personvernerklæringen forklarer hvordan personopplysninger om undersøkelsesdeltakere samles inn, brukes, deles, beskyttes og lagres.

Du oppretter ikke en plattformkonto for å svare på en undersøkelse. Deltakere mottar normalt en lenke til undersøkelsen via e-post eller SMS, inviteres per telefon eller deltar gjennom en automatisert telefonundersøkelse (IVR). Du kan lese denne personvernerklæringen på nettstedet vårt og via lenker som følger med undersøkelsesinvitasjoner der dette er tilgjengelig.

Invitasjonen, introduksjonen eller en prosjektspesifikk personvernerklæring kan inneholde ytterligere informasjon, blant annet hvilken kunde som er ansvarlig for undersøkelsen, formålet, hvor kontaktopplysningene dine er hentet fra, om undersøkelsen er anonym, og eventuelle prosjektspesifikke lagringsperioder. Dersom prosjektspesifikk informasjon avviker fra denne generelle personvernerklæringen, gjelder den prosjektspesifikke informasjonen for den aktuelle undersøkelsen.

2. Hvem er ansvarlig for personopplysningene dine?

Når InFact er behandlingsansvarlig
InFact er behandlingsansvarlig når vi bestemmer hvorfor og hvordan personopplysninger skal behandles, for eksempel i forbindelse med InFacts egne undersøkelser, henvendelser knyttet til undersøkelser, sikkerhetslogger eller administrasjon av en belønning som vi organiserer.

Når en kunde er behandlingsansvarlig
For mange kundeundersøkelser er det kunden som bestiller undersøkelsen, som bestemmer formålet, spørsmålene, respondentgruppen og hvordan resultatene skal brukes. InFact opptrer da normalt som databehandler og behandler personopplysninger kun etter kundens dokumenterte instruksjoner og i henhold til en databehandleravtale. Kundens identitet vil normalt fremgå av invitasjonen, introduksjonen eller den prosjektspesifikke personverninformasjonen.

Når rollene er delte eller separate
I enkelte tilfeller kan InFact og en annen organisasjon hver være behandlingsansvarlig for ulike deler av behandlingen, eller opptre som felles behandlingsansvarlige. Der dette er relevant, vil det bli forklart i den undersøkelsesspesifikke informasjonen.

InFact AS
Organisasjonsnummer: 983 067 999
Strandveien 55
1366 Lysaker – Oslo
Norge

E-post: post@infact.no
Nettsted: infact.no

Personvernombud: Iryna Lazorenko
E-post: iryna@infact.no

3. Deltakelse og opplysninger du gir

Deltakelse i undersøkelser er normalt frivillig, med mindre noe annet tydelig fremgår av invitasjonen. Du kan velge å ikke delta, avslutte før du sender inn svarene dine eller la valgfrie spørsmål stå ubesvart. Enkelte spørsmål kan være merket som obligatoriske fordi et svar er nødvendig for undersøkelsens flyt eller analyse. Du kan likevel velge å ikke fullføre undersøkelsen.

Du trenger ikke å opprette en konto. Hvis du ikke oppgir informasjon som etterspørres i en undersøkelse, vil konsekvensen normalt bare være at svaret ditt blir ufullstendig eller ikke kan sendes inn. Eventuelle andre konsekvenser vil bli forklart før opplysningene samles inn.

Etter at et svar er sendt inn, er det ikke alltid mulig å slette det, særlig hvis svaret ble samlet inn anonymt eller allerede er anonymisert og ikke lenger kan knyttes til deg.

4. Hvordan vi innhenter personopplysninger

Avhengig av undersøkelsen kan vi innhente personopplysninger:

• direkte fra deg når du svarer på en undersøkelse, kontakter oss eller oppgir informasjon i forbindelse med en premietrekning eller annen belønning;
• fra kunden som har bestilt undersøkelsen, for eksempel gjennom en kontaktliste fra kunden;
• fra lovlige utvalgskilder, leverandører av respondent- eller utvalgsdata, offentlige kilder eller befolkningsregistre når dette er relevant for å trekke representative utvalg;
• fra kommunikasjons- og undersøkelsessystemer når invitasjoner, påminnelser eller svar behandles; og
• automatisk fra enheten eller nettleseren din gjennom nødvendige tekniske logger og, der det er aktuelt, informasjonskapsler eller lignende teknologi.

Nåværende eller prosjektspesifikke leverandører av respondent- og utvalgsdata kan blant annet være:

• Norge: Iper Direkte AS
• Sverige: Valitate AB
• Danmark: Dun & Bradstreet

Kilden kan variere avhengig av kunde, land, utvalgsmetode og type undersøkelse. Kilden kan være oppgitt i invitasjonen eller i den prosjektspesifikke informasjonen. Du kan også kontakte oss for informasjon om hvilken kilde som er brukt i et bestemt tilfelle.

5. Personopplysninger vi kan behandle

Avhengig av undersøkelsen og hvordan den gjennomføres, kan vi behandle følgende kategorier av personopplysninger:

• Utvalgs- og kontaktopplysninger: navn, e-postadresse, telefonnummer, postadresse, postnummer, kommune, kunde- eller medlemsreferanse, utvalgsidentifikatorer og informasjon som brukes til å velge ut eller kontakte deltakere.
• Invitasjons- og deltakelsesopplysninger: leveringsstatus, historikk for invitasjoner og påminnelser, deltakelsesstatus, tidsstempler, fullføringsstatus og informasjon om avmelding eller reservasjon mot deltakelse.
• Svar på undersøkelser: svar på spørsmål, vurderinger, valg, rangeringer, kommentarer, opplastet materiale og annen informasjon du velger å oppgi.
• Demografiske opplysninger og bakgrunnsinformasjon: for eksempel alder, kjønn, utdanning, yrke, husholdningsinformasjon, geografisk område eller andre kjennetegn som er relevante for undersøkelsens formål.
• Tekniske opplysninger: IP-adresse, nettlesertype, informasjon om enhet, operativsystem, språkinnstillinger, tidsstempler, sesjonsidentifikatorer, besøkte sider eller steg i undersøkelsen samt sikkerhets- eller diagnostikklogger.
• Kontaktopplysninger knyttet til belønninger: e-postadresse, telefonnummer eller andre opplysninger som leveres separat i forbindelse med en premietrekning, belønning eller oppfølgingskontakt.
• Kommunikasjonsopplysninger: spørsmål, klager, forespørsler og korrespondanse knyttet til undersøkelsen.

6. Særlige kategorier av personopplysninger og sensitiv informasjon

Enkelte undersøkelser kan inneholde spørsmål om sensitive temaer eller særlige kategorier av personopplysninger etter artikkel 9 i GDPR. Dette kan omfatte opplysninger som avslører rasemessig eller etnisk opprinnelse, politiske oppfatninger, religion eller filosofisk overbevisning, fagforeningsmedlemskap, genetiske eller biometriske opplysninger som brukes til identifikasjon, helseopplysninger eller opplysninger om seksuelle forhold eller seksuell orientering.

Slike opplysninger behandles bare når dette er nødvendig for det definerte undersøkelses- eller forskningsformålet, det finnes et gyldig behandlingsgrunnlag og et relevant vilkår etter artikkel 9, og egnede sikkerhetstiltak er på plass. Slike tiltak kan blant annet omfatte dataminimering, taushetsplikt, begrenset tilgang, separasjon av kontaktopplysninger fra svar, pseudonymisering, anonymisering og fastsatte slettefrister.

Når InFact opptrer som databehandler, er kunden ansvarlig for å fastsette behandlingsgrunnlaget og relevant vilkår etter artikkel 9. Når InFact opptrer som behandlingsansvarlig, vil det aktuelle vilkåret identifiseres før eller på tidspunktet for innsamlingen der dette er påkrevd.

Du bør unngå å oppgi unødvendige personopplysninger eller sensitiv informasjon i åpne tekstsvar.

7. Anonymitet, pseudonymisering og konfidensialitet

Anonyme undersøkelser
Når en undersøkelse beskrives som anonym, er ikke undersøkelsesresultatene ment å kunne knyttes til direkte identifikatorer som navn, e-postadresse eller telefonnummer. Begrensede tekniske logger kan fortsatt behandles av hensyn til sikkerhet og feilsøking, men brukes ikke til å identifisere svarene dine med mindre dette er nødvendig for å undersøke misbruk eller en sikkerhetshendelse.

Pseudonymiserte undersøkelser
En kode eller annen identifikator kan brukes i stedet for din direkte identitet. Informasjonen som er nødvendig for å koble koden tilbake til en person, oppbevares separat, og tilgangen er begrenset.

Identifiserte undersøkelser
Noen undersøkelser krever at svar kan knyttes til en person, kunde, ansatt, medlem eller sak, for eksempel for oppfølging eller levering av tjenester. Dette vil fremgå av invitasjonen eller introduksjonen til undersøkelsen.

Premietrekninger
Der det er teknisk og operasjonelt mulig, lagres kontaktopplysninger som gis i forbindelse med en premietrekning separat fra svarene i undersøkelsen. Kontaktopplysninger knyttet til premietrekninger brukes ikke til markedsføring med mindre du separat har samtykket til dette.

8. Hvorfor vi behandler personopplysninger og behandlingsgrunnlag

Det konkrete formålet og behandlingsgrunnlaget avhenger av undersøkelsen og av om InFact eller kunden er behandlingsansvarlig. Når kunden er behandlingsansvarlig, fastsetter kunden behandlingsgrunnlaget, og InFact behandler opplysningene etter dokumenterte instruksjoner. Det aktuelle behandlingsgrunnlaget kan være forklart i invitasjonen, introduksjonen eller kundens personvernerklæring.

Utvelgelse av deltakere og utsendelse av invitasjoner eller påminnelser
For å trekke et relevant eller representativt utvalg, kontakte potensielle deltakere, håndtere reservasjoner og unngå unødvendig gjentatt kontakt. Vanlige behandlingsgrunnlag kan være berettiget interesse etter GDPR artikkel 6 nr. 1 bokstav f, oppgave i allmennhetens interesse etter bokstav e, rettslig forpliktelse etter bokstav c eller samtykke etter bokstav a, avhengig av behandlingsansvarlig og prosjekt.

Gjennomføring av undersøkelser og innsamling av svar
For å gjennomføre markedsundersøkelser, opinionsundersøkelser, kundeundersøkelser, medarbeiderundersøkelser, undersøkelser knyttet til offentlige tjenester eller annen forskning. Vanlige behandlingsgrunnlag kan være berettiget interesse, oppgave i allmennhetens interesse, rettslig forpliktelse, behandling knyttet til en avtale eller samtykke, avhengig av prosjektet.

Analyse, kvalitetskontroll og rapportering
For å kontrollere datakvalitet, analysere svar, utarbeide statistikk og levere resultater til kunden. Resultatene aggregeres eller anonymiseres normalt når dette er forenlig med formålet.

Administrasjon av premietrekninger og belønninger
For å registrere deltakere, trekke og kontakte vinnere, levere premier, forebygge misbruk og dokumentere gjennomføring. Behandlingsgrunnlaget kan være behandling knyttet til en avtale, berettiget interesse, samtykke eller rettslig forpliktelse, avhengig av premietrekningen og vilkårene.

Sikkerhet, diagnostikk og forebygging av misbruk
For å beskytte deltakere, kunder, systemer og data, identifisere tekniske feil, undersøke mistenkt misbruk og opprettholde tilgjengeligheten til tjenestene. InFact baserer normalt denne behandlingen på berettiget interesse etter artikkel 6 nr. 1 bokstav f.

Etterlevelse av lovkrav og rettslige krav
For å oppfylle rettslige forpliktelser og for å fastsette, gjøre gjeldende eller forsvare rettslige krav. Behandlingsgrunnlaget kan være artikkel 6 nr. 1 bokstav c eller f.

9. Automatiserte avgjørelser

Vi bruker normalt ikke svar fra undersøkelser til å treffe avgjørelser som utelukkende er basert på automatisert behandling, og som har rettsvirkning eller på tilsvarende måte i betydelig grad påvirker deg.

Undersøkelsesverktøy kan bruke automatisk ruting, validering, randomisering, poengberegning eller kvalitetskontroller for å administrere spørreskjemaet, men disse funksjonene innebærer normalt ikke slike vesentlige avgjørelser om deltakerne.

Hvis et bestemt prosjekt bruker automatiserte avgjørelser eller profilering som kan ha betydelig innvirkning på deg, vil dette bli forklart før du deltar.

10. Hvem kan motta personopplysninger?

Vi selger ikke personopplysninger. Avhengig av prosjektet kan personopplysninger utleveres eller gjøres tilgjengelige for:

• kunden som har bestilt undersøkelsen, i samsvar med prosjektavtalen og informasjonen som er gitt til deltakerne;
• autorisert personell hos InFact som trenger tilgang for å gjennomføre, støtte, analysere eller sikre undersøkelsen;
• leverandører av IT-, hosting-, kommunikasjons-, undersøkelses-, analyse-, sikkerhets- og profesjonelle tjenester som er underlagt avtaler og taushetsplikt;
• leverandører av respondent- eller utvalgsdata når dette er nødvendig for å administrere utvalget, invitasjoner, ekskluderinger eller kvalitetskontroller; og
• offentlige myndigheter, domstoler, juridiske rådgivere, revisorer eller forsikringsselskaper når utlevering er påkrevd ved lov eller nødvendig i forbindelse med rettslige krav.

Kunder mottar normalt aggregerte eller anonymiserte resultater. Identifiserbare eller pseudonymiserte undersøkelsesdata utleveres bare når dette er nødvendig for det oppgitte formålet og i samsvar med den prosjektspesifikke informasjonen som er gitt til deltakerne.

11. Viktigste tjenesteleverandører og behandlingssteder

De viktigste kategoriene av leverandører som kan brukes ved gjennomføring av undersøkelser, omfatter:

• Google Cloud Platform: hosting og datalagring, inkludert lagring i EU/EØS i Belgia der dette er aktuelt;
• OnlineCity: SMS-utsendelser og relaterte kommunikasjonstjenester, basert i Danmark;
• Mailgun: e-postutsendelser og relaterte kommunikasjonstjenester, med EU-baserte endepunkter der dette er aktuelt;
• Telia: IVR-undersøkelser og telekommunikasjonstjenester i Norge der dette er relevant;
• Weblink: IVR-undersøkelser og telekommunikasjonstjenester i Sverige der dette er relevant;
• Iper Direkte AS, Valitate AB og Dun & Bradstreet: respondent- eller utvalgstjenester der dette er relevant for henholdsvis Norge, Sverige og Danmark; og
• Andre utvalgte leverandører: IT-support, sikkerhet, analyse, håndtering av informasjonskapsler, profesjonell rådgivning og andre tjenester som er nødvendige for å gjennomføre et bestemt prosjekt.

Leverandører og behandlingssteder kan endres ved behov. Når en leverandør behandler personopplysninger på vegne av InFact, krever vi en egnet avtale og begrenser behandlingen til den aktuelle tjenesten.

12. Overføringer utenfor EØS

Personopplysninger lagres og behandles primært innenfor Det europeiske økonomiske samarbeidsområdet (EØS). Dersom personopplysninger overføres til eller på annen måte behandles i et land utenfor EØS, skal den behandlingsansvarlige sørge for at det finnes et lovlig overføringsgrunnlag og egnede sikkerhetstiltak.

Dette kan blant annet omfatte en beslutning om tilstrekkelig beskyttelsesnivå fra Europakommisjonen, EUs standard personvernbestemmelser (Standard Contractual Clauses) og supplerende tekniske eller organisatoriske tiltak der dette er nødvendig.

Du kan kontakte personvernombudet for mer informasjon om sikkerhetstiltak som gjelder for en bestemt overføring.

13. Lagring og sletting

Vi oppbevarer personopplysninger bare så lenge det er nødvendig for formålet de ble samlet inn for, med mindre en lengre lagringsperiode er påkrevd eller tillatt ved lov. Prosjektspesifikke avtaler eller informasjon kan fastsette kortere eller lengre perioder når dette er begrunnet.

• Henvendelser knyttet til undersøkelser: opptil 1 år etter at henvendelsen er avsluttet eller etter siste relevante kommunikasjon.
• Data fra undersøkelser: normalt 3 år etter at prosjektet er avsluttet, med mindre kundeavtalen eller prosjektinformasjonen angir en annen periode. Anonymiserte eller aggregerte resultater kan oppbevares lenger fordi de ikke lenger utgjør personopplysninger.
• Kontaktopplysninger for premietrekninger og belønninger: opplysninger om personer som ikke vinner, slettes normalt innen 3 måneder etter at premietrekningen eller belønningen er avsluttet. Kontaktopplysninger til en vinner kan oppbevares i opptil 12 måneder etter at premien er levert, med mindre en lengre periode kreves av hensyn til regnskap, håndtering av tvister eller andre rettslige forpliktelser.
• Rutinemessige tekniske og diagnostiske logger: normalt 30–90 dager.
• Tilgangs-, revisjons- og sikkerhetsovervåkingslogger: opptil 12 måneder.
• Logger knyttet til en mistenkt eller bekreftet sikkerhetshendelse: inntil undersøkelsen, korrigerende tiltak, rapportering og eventuell relevant juridisk oppfølging er fullført.
• Undersøkelsesdata som behandles på vegne av kunder: i henhold til kundeavtalen, databehandleravtalen eller prosjektspesifikke dokumenterte instruksjoner.
• Informasjon fra informasjonskapsler: i henhold til lagringsperiodene som er angitt i vår Cookie Policy eller i innstillingene for informasjonskapsler.

14. Informasjonskapsler og teknisk informasjon

Undersøkelsessider og nettstedet vårt kan bruke informasjonskapsler eller lignende teknologi som er nødvendig for funksjoner som sesjonshåndtering, språkinnstillinger, sikkerhet, tilgjengelighet og pålitelig innsending av svar.

Ikke-nødvendige informasjonskapsler, for eksempel for analyse eller markedsføring, brukes bare når det foreligger gyldig samtykke eller annet lovlig behandlingsgrunnlag, og der dette kreves etter gjeldende lovgivning.

Du kan administrere ikke-nødvendige informasjonskapsler via cookie-banneret eller innstillingene for informasjonskapsler der dette tilbys. Mer detaljert informasjon finnes i vår Cookie Policy, som er tilgjengelig på nettstedet vårt.

15. Informasjonssikkerhet

InFact gjennomfører egnede tekniske og organisatoriske tiltak for å beskytte personopplysninger mot utilsiktet eller ulovlig ødeleggelse, tap, endring, uautorisert utlevering eller tilgang.

Tiltakene kan, avhengig av risiko og prosjekt, blant annet omfatte tilgangskontroll, taushetsplikt, kryptering, logging, overvåking, sikkerhetskopiering, sårbarhetshåndtering, sikker utviklingspraksis, hendelseshåndtering, pseudonymisering og dataminimering.

Ingen systemer kan garanteres å være fullstendig sikre. Dersom du mener at en undersøkelseslenke, invitasjon eller et svar kan ha blitt misbrukt eller eksponert, ber vi deg kontakte oss så snart som mulig.

16. Dine personvernrettigheter

Der det er aktuelt, kan du ha rett til å:

• be om innsyn i personopplysningene dine og informasjon om hvordan de behandles;
• be om retting av uriktige eller ufullstendige personopplysninger;
• be om sletting av personopplysninger;
• be om begrensning av behandlingen;
• protestere mot behandling som er basert på berettiget interesse, inkludert invitasjoner til undersøkelser eller behandling for forskningsformål der dette er aktuelt;
• motta personopplysninger i et portabelt format når retten til dataportabilitet gjelder;
• når som helst trekke tilbake samtykke der behandlingen er basert på samtykke; og
• når som helst protestere mot behandling for direkte markedsføring.

Tilbaketrekking av samtykke påvirker ikke lovligheten av behandling som fant sted før samtykket ble trukket tilbake. Rettighetene kan være begrenset i enkelte tilfeller, blant annet når data er anonymisert, når InFact ikke kan identifisere hvilket svar som tilhører deg, eller når fortsatt behandling er påkrevd ved lov.

Når InFact opptrer som databehandler, er det normalt kunden som er ansvarlig for å håndtere forespørselen din. Du kan kontakte kunden direkte eller kontakte InFact, og vi vil videresende eller bistå med forespørselen der det er relevant.

Vi svarer normalt uten ugrunnet opphold og innen én måned. Vi kan be om ytterligere informasjon dersom dette med rimelighet er nødvendig for å bekrefte identiteten din.

17. Slik utøver du rettighetene dine eller kontakter oss

Beskriv hva forespørselen gjelder, og oppgi tilstrekkelig informasjon til at vi kan identifisere den aktuelle undersøkelsen eller behandlingsaktiviteten. Ikke send unødvendige sensitive opplysninger.

Generelle spørsmål om personvern og undersøkelser: post@infact.no
Personvernombud: Iryna Lazorenko – iryna@infact.no

18. Klager

Dersom du mener at personopplysninger er behandlet i strid med gjeldende personvernlovgivning, har du rett til å klage til den norske personvernmyndigheten Datatilsynet eller en annen kompetent tilsynsmyndighet.

Datatilsynet: Datatilsynet website

19. Undersøkelser som omfatter barn

Enkelte forsknings- eller undersøkelsesprosjekter kan på lovlig grunnlag omfatte barn eller unge. Når dette er tilfelle, vil undersøkelsen være tilpasset den aktuelle aldersgruppen, prosjektspesifikk informasjon vil bli gitt, og samtykke fra forelder eller verge vil bli innhentet der dette kreves ved lov.

Ytterligere sikkerhetstiltak kan blant annet omfatte alderspasset språk, begrenset innsamling av opplysninger, begrenset tilgang og kortere lagringsperioder.

20. Endringer i denne personvernerklæringen

Vi kan oppdatere denne personvernerklæringen når våre tjenester, lovkrav eller behandlingsrutiner endres. Gjeldende versjon og dato for siste gjennomgang vil være tilgjengelig på nettstedet vårt.

Vesentlige prosjektspesifikke endringer vil, der dette er påkrevd, bli kommunisert gjennom den aktuelle undersøkelsen eller via en annen egnet kanal.