Personvernerklæring

Sist oppdatert: 26. september 2026.

Behandlingsansvarlig

Behandlingsansvarlig for personopplysningene er Sondre Helset (ESZ1336631Z), Spain. Du når oss på sondre@gammas.no.

Hva vi lagrer

• Kontoopplysninger: navn, e-post, passord (hashet), språkvalg.
• Profilen din: CV-innhold, karrieremål, rammer, notater, kontaktdetaljer du velger å bruke i søknader, og eventuelle «aldri gjett»-ord.
• Stillinger vi har funnet for deg, KI-vurderingene av dem, og dokumentene som er generert.
• Søknadshistorikk: hva som ble sendt, når, og skjermbilder av innsendingen som dokumentasjon.
• Betalingshistorikk (via Stripe — vi lagrer aldri kortnummer) og et revisjonsspor over kontohendelser (innlogging, sletting, eksport) med IP-adresse.

KI-behandling (Anthropic)

For å vurdere stillinger og skrive dokumenter sendes profilteksten din, CV-innholdet og annonseteksten til Anthropics Claude-modeller. Innholdet brukes til å levere tjenesten til deg — vurdering, CV, søknadsbrev og skjemautfylling — og ikke til å trene modeller.

Google-tilkoblinger

Kobler du til Google Drive eller Google Sheets, lagrer vi tilgangs- nøklene kryptert og bruker dem kun til det du ba om: å opprette dokumenter i din Drive eller skrive eksporter til ditt regneark. Du kan koble fra når som helst; dokumenter som allerede er opprettet, er dine og blir liggende.

Hvor dataene ligger

Databasen og objektlageret (dokumenter, skjermbilder) ligger hos vår driftsleverandør i EØS. Feilrapportering (Sentry, EU-region) mottar tekniske feildata — aldri innholdet i profiler eller dokumenter. Har du samtykket til analyse eller markedsføring, mottar også verktøyene under «Analyse og markedsføring» data om besøket ditt; noen av dem utenfor EØS.

Analyse og markedsføring

Vi bruker analyse- og markedsføringsverktøy bare hvis du har samtykket, i to kategorier du velger hver for seg. Du kan trekke samtykket tilbake når som helst, like enkelt som du ga det — se informasjonskapsler.

Disse verktøyene kjører også når du er innlogget, ikke bare på de åpne sidene. Det betyr at Google og Meta får vite at en nettleser besøkte en side i tjenesten. De får aldri:

• innholdet i CV-en, søknadsbrev eller profilteksten din
• stillingstitler, arbeidsgivere eller lenker til stillinger
• søkeordene dine eller lønnsforventninger
• e-postadressen din i klartekst — den sendes bare som en ugjenkallelig hash, bare med markedsføringssamtykke, til Meta og — bare hvis vi har slått på «forbedrede konverteringer» — til Google Ads

Adresser vaskes før de sendes: identifikatorer i URL-en byttes ut med plassholdere, og spørrestrengen fjernes helt. Sidetitler sendes aldri. Skjermopptak er slått av og kan ikke slås på uten at denne erklæringen endres først.

PostHog får i tillegg noen egenskaper på kontonivå, slik at vi kan se hvordan tjenesten brukes. Om kontoen: registreringsdato, om e-postadressen er bekreftet, språk og dokumentspråk, og om sletting er bedt om. Om organisasjonen: land, type, plan, om betaling er satt opp, abonnementsstatus og -intervall, periodeslutt og om oppsigelse er planlagt, samt kredittsaldo. Om bruken: om en CV finnes, om profilen er gjennomgått, antall aktive søk, og om automatisk søking er slått på. Om kjøp: antall kjøp, samlet og netto betalt beløp, refusjoner, og dato for første og siste kjøp. Alt dette er koder, tall, ja/nei og datoer — aldri innholdet i en CV, et søk eller en stilling.

Google Analytics mottar en pseudonym konto-id samt plan, betalingsstatus, land og språk som brukeregenskaper, og per kjøp beløp, valuta og merverdiavgift, sammen med de eksakte samlede tallene: totalt betalt, totalt refundert, antall kjøp og dato for første og siste kjøp. Google Ads mottar bare kjøpsbeløp, valuta, transaksjons-id og et flagg for om du er ny kunde (og den hashede e-postadressen hvis forbedrede konverteringer er slått på). Meta mottar kjøpsbeløp, valuta, ordre-id, produktkode, det løpende totalbeløpet du har betalt, antall kjøp, flagg for ny kunde og fornyelse, nettleserens user-agent-streng (den samme som Meta-pikselen selv sender), og — bare hvis vi har slått det på — en estimert framtidig verdi beregnet som listepris × N måneder. Det siste er et estimat, ikke et faktum, og det sendes sammen med formelen det er regnet ut med.

Mottakerne, og hva de er:

• Google Ireland Limited — Google Analytics 4 og Google Ads. Databehandler for analyse; for annonsedata er rollefordelingen delt.
• Meta Platforms Ireland Limited — Meta-piksel og Conversions API. For pikseldata er Meta felles behandlingsansvarlig med oss, ikke databehandler.
• PostHog — produktanalyse, med lagring i EU-regionen. Selskapet er ikke etablert i EU.

Overføring til land utenfor EØS skjer der det er aktuelt på grunnlag av EUs standard personvernbestemmelser og/eller EU–US Data Privacy Framework. Rettslig grunnlag for analyse og markedsføring er samtykke, personvernforordningen artikkel 6 nr. 1 bokstav a.

Innsending til arbeidsgivere

Når du ber om det — enkeltvis, eller automatisk hvis du har slått det på — sendes søknaden din med dokumenter og kontaktdetaljer til arbeidsgiverens søknadssystem (ATS). Fra det øyeblikket er arbeidsgiveren selvstendig behandlingsansvarlig for kopien de mottok.

Lagringstider

• Skjermbilder av innsendinger: 30 dager.
• Funne stillinger: 90 dager etter at søket som fant dem ble inaktivt (kan justeres per konto).
• Teknisk KI-forbruksstatistikk: 13 måneder.
• Slettet konto: 30 dagers angrefrist (innlogging avbryter slettingen), deretter slettes alt permanent — konto, profil, stillinger, dokumenter og filer.

Dine rettigheter

Du kan når som helst: eksportere alle dataene dine (Innstillinger → eksport, levert som ZIP på e-post), rette profilen din, slette kontoen, og trekke tilbake markedsføringssamtykke. Henvendelser: se kontaktsiden — vi svarer innen 30 dager.

Du kan også klage til en tilsynsmyndighet: Datatilsynet i Norge (datatilsynet.no), eller den spanske tilsynsmyndigheten Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid (aepd.es), som er ledende tilsynsmyndighet fordi behandlingsansvarlig er etablert i Spania.

Privacy Policy (English)

Controller

The controller of your personal data is Sondre Helset (ESZ1336631Z), Spain. Contact: sondre@gammas.no.

What we store

Account details (name, email, hashed password, locale); your profile (CV content, goals, constraints, notes, the contact details you approve for applications, never-guess terms); discovered jobs with their AI assessments and generated documents; application history including submission screenshots; billing history via Stripe (we never store card numbers); and an audit trail of account events with IP addresses.

AI processing (Anthropic)

Your profile text, CV content and job-ad text are sent to Anthropic’s Claude models to score jobs and write documents — to deliver the service to you, not to train models.

Google connectors · Storage · Sentry

Google tokens are stored encrypted and used only for what you asked (Docs in your Drive, exports to your Sheet). The database and object storage live with our hosting provider in the EEA. Sentry (EU region) receives technical error data, never profile or document content.

Analytics and advertising

We use analytics and advertising tools only if you have consented, in two categories you choose separately. Withdrawal is as easy as giving it — see cookies.

These tools also run while you are signed in, not only on the public pages. Google and Meta therefore learn that a browser visited a page inside the service. They never receive:

• the contents of your CV, cover letters or profile text
• job titles, employers, or links to positions
• your search terms or salary expectations
• your email address in the clear — it is sent only as an irreversible hash, only with marketing consent, to Meta and — only if we have switched on “enhanced conversions” — to Google Ads

Addresses are scrubbed before they are sent: identifiers in the URL are replaced with placeholders and the query string is removed entirely. Page titles are never sent. Session recording is off and cannot be switched on without changing this policy first.

PostHog additionally holds a few account-level properties so we can see how the service is used. About the account: registration date, whether the email address is verified, language and document language, and whether deletion has been requested. About the organisation: country, type, plan, whether billing is set up, subscription status and interval, period end and whether cancellation is scheduled, and the credit balance. About use: whether a CV exists, whether the profile has been reviewed, the number of active searches, and whether auto-apply is on. About purchases: number of purchases, total and net amounts paid, refunds, and the dates of the first and last purchase. All of this is codes, numbers, yes/no and dates — never the contents of a CV, a search or a job.

Google Analytics receives a pseudonymous account id plus plan, paying status, country and language as user properties, and per purchase the amount, currency and tax, together with the exact cumulative figures: total paid, total refunded, number of purchases and the dates of the first and last purchase. Google Ads receives only the purchase amount, currency, transaction id and a new-customer flag (and the hashed email address if enhanced conversions are switched on). Meta receives the purchase amount, currency, order id, product code, the running total you have paid, the number of purchases, new-customer and renewal flags, the browser’s user-agent string (the same one the Meta pixel itself sends), and — only if we have enabled it — an estimated future value computed as list price × N months. That last figure is an estimate, not a fact, and it is sent together with the formula it was computed with.

The recipients, and what they are:

• Google Ireland Limited — Google Analytics 4 and Google Ads. Processor for analytics; for advertising data the roles are shared.
• Meta Platforms Ireland Limited — Meta pixel and Conversions API. For pixel data Meta is a joint controller with us, not a processor.
• PostHog — product analytics, stored in the EU region. The company is not established in the EU.

Transfers outside the EEA rely, where applicable, on the EU Standard Contractual Clauses and/or the EU–US Data Privacy Framework. The legal basis for analytics and advertising is consent, GDPR article 6(1)(a).

Submission to employers

On your instruction, your application is transmitted to the employer’s ATS; from that moment the employer is an independent controller of their copy.

Retention

Submission screenshots 30 days; discovered jobs 90 days after the discovering search goes inactive; AI usage telemetry 13 months; deleted accounts have a 30-day grace (signing in cancels the deletion) and are then purged permanently.

Your rights

Export everything as a ZIP, rectify your profile, delete your account, and withdraw marketing consent. Contact us via the contact page; we answer within 30 days.

You may also complain to a supervisory authority: Datatilsynet, the Norwegian Data Protection Authority (datatilsynet.no), or the Spanish Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid (aepd.es), which is the lead authority because the controller is established in Spain.