Personvernerklæring

1. Hvem vi er

MCPEmails-tjenesten på mcpemails.com drives av Albretsen Consulting, et norsk enkeltpersonforetak eid og drevet av Asgeir Albretsen, som opptrer under forretningsnavnet «MCPEmails». I denne erklæringen viser «MCPEmails», «vi», «oss» og «vår» alle til Albretsen Consulting. Tjenesten omfatter alle dashbordsider, API-endepunkter og Model Context Protocol (MCP)-serveren som AI-agenter bruker for å få tilgang til tilkoblede e-postkontoer.

I henhold til gjeldende personvernlovgivning (inkludert EUs personvernforordning, "GDPR") er MCPEmails behandlingsansvarlig for konto- og bruksdata. For e-postinnhold opptrer vi som databehandler på dine vegne: vi overfører innhold du gir oss tillatelse til å hente, og vi lagrer det ikke.

Opplysninger om tjenesteyteren: Albretsen Consulting er et enkeltpersonforetak etablert i Norge og drevet av Asgeir Albretsen. Foretaket er registrert i Enhetsregisteret, som drives av Brønnøysundregistrene, med organisasjonsnummer 926 646 753. Vår registrerte adresse er Håsteins gate 9, 5160 Laksevåg, Norway.

Albretsen Consulting er per i dag ikke registrert i Merverdiavgiftsregisteret. Du kan kontakte oss om personvern på privacy@mcpemails.com.

2. Data vi samler inn

2.1 Kontodata

Når du oppretter en konto, samler vi inn e-postadressen din og et hashet passord (vi lagrer aldri passord i klartekst). Du kan eventuelt oppgi et visningsnavn. Disse dataene er nødvendige for å opprette og vedlikeholde kontoen din. Hvis du krysser av i boksen på registreringsskjemaet om å få produkttips og tilbud på e-post, registrerer vi også at du gjorde det, når, og hvilken ordlyd du så. Når du registrerer deg, registrerer vi også om du brukte en mobil, et nettbrett eller en datamaskin, ut fra forespørselshodene fra nettleseren din. Vi lagrer bare den kategorien, aldri nettleserens user-agent-streng eller noen enhetsidentifikator, og bruker den bare til å forstå hvor registreringer kommer fra.

2.2 Arbeidsområde- og konfigurasjonsdata

Vi lagrer arbeidsområdenavnet du velger, og konfigurasjonen til hver tilkoblet innboks (leverandørtype, e-postadresse, OAuth-status og tidspunkt for tilkobling). Vi lagrer ikke OAuth-tilgangstokener eller app-passord i klartekst. De krypteres med AES-256-GCM før de skrives til databasen, og krypteringsnøkkelen lagres i en separat hemmelighetshvelv.

2.3 API-nøkler

Vi lagrer en SHA-256-hash av hver API-nøkkel du oppretter, sammen med nøkkelens navn, omfang, opprettelsestidspunkt og tidspunkt for siste bruk. Den rå nøkkelverdien vises til deg nøyaktig én gang ved opprettelse, og lagres aldri i gjenopprettbar form.

2.4 Bruks- og revisjonslogger

For hvert MCP-verktøykall agenten din gjør, registrerer vi: verktøyets navn (f.eks. email_read), API-nøkkelen som gjorde kallet, innboksen som ble aksessert, tidsstempelet, og om kallet lyktes. Vi registrerer ikke e-postemner, -innhold, -mottakere eller annet e-postinnhold i disse loggene.

2.5 E-postinnhold: ikke lagret

Når agenten din kaller email_read (for å liste, lese eller søke) eller et annet leseverktøy, henter vi det forespurte innholdet i sanntid fra e-postleverandøren din og returnerer det til agenten din i samme HTTP-svar. Innholdet skrives aldri til disk, mellomlagres eller logges. Når HTTP-svaret er sendt, beholder vi ingen kopi av noe e-postinnhold, emne, vedlegg eller kontaktopplysning. Det eneste unntaket er planlagte sendinger: når du ber agenten din om å planlegge en melding for fremtidig levering, lagrer vi den utgående meldingen (mottakere, emne, brødtekst og eventuelle vedlegg) i databasen vår frem til den er sendt, og vi beholder oppføringen etterpå for revisjon og feilsøking. Dette gjelder kun meldinger du uttrykkelig planlegger; e-post agenten din leser eller sender umiddelbart lagres aldri.

E-postinnholdet ditt sendes kun til MCP-klienten eller AI-agenten som du har koblet til og selv bruker (for eksempel Claude, Cursor eller en annen MCP-klient du velger). Når du aktiverer et verktøy, overfører MCPEmails det forespurte innholdet til denne klienten slik at den kan utføre forespørselen din. MCPEmails sender ikke e-postinnholdet ditt til noen AI-leverandør vi selv velger. Når innholdet når klienten du har valgt, reguleres det av denne klientens eller AI-leverandørens egen personvernerklæring og vilkår, som du selv er ansvarlig for å gjennomgå. MCPEmails fungerer bare som et mellomledd og beholder ingen kopi av innholdet.

2.6 Tekniske og driftsmessige data

Vi samler inn standard driftsdata på serversiden, inkludert IP-adresser (for hastighetsbegrensning og forebygging av misbruk), tidsstempler for forespørsler, HTTP-statuskoder og feiltyper. Disse dataene oppbevares i aggregert, anonymisert form og knyttes ikke til individuelle kontoer etter 30 dager.

2.7 Informasjonskapsler og lokal lagring

Dashbordet setter én førsteparts øktinformasjonskapsel utstedt av Supabase Auth for å holde deg innlogget. Hvis du krysser av for markedsføring på e-post på registreringsskjemaet og deretter fortsetter med Google eller GitHub, setter vi også en kortvarig førsteparts informasjonskapsel (mcpe_signup_mc) som tar med valget ditt gjennom innloggingen. Den utløper etter 15 minutter og slettes så snart du er tilbake. Vi bruker ikke sporingsinformasjonskapsler, reklameinformasjonskapsler eller tredjeparts informasjonskapsler. Vi lagrer to små førstepartsverdier i nettleserens lokale lagring og ingen andre steder: temapreferansen din (mcpe-theme) og en oppføring av hvordan du først kom til nettstedet (mcpe-acquisition). Den siste inneholder bare en grov kategori for trafikkilde (for eksempel reddit eller organic_google) og hvilken type side du kom til, aldri en identifikator, et søkeord eller en fullstendig URL. Den oppbevares i inntil 30 dager, og den brukes ikke til å spore deg på tvers av andre nettsteder.

2.8 Produktanalyse

Vi bruker Vercel Web Analytics til personvernvennlig, informasjonskapsel-fri produktanalyse. Vi måler sidebesøk og et lite oppsettsløp med kun aggregerte kategorier. Vi samler aldri inn e-postinnhold, adresser, API-nøkler, OAuth-tokener, bruker- eller arbeidsområde-ID-er, MCP-forespørsler eller postkassedata. Se Vercels analysedokumentasjon. Siden oppsettet er uten informasjonskapsler og ikke bruker ikke-nødvendige identifikatorer, kreves ingen samtykkebanner etter vår valgte policy.

3. Hvordan vi bruker dataene dine

Vi bruker dataene beskrevet ovenfor til følgende formål:

3.1 Levering av tjenesten

Vi bruker kontodataene dine til å autentisere deg, arbeidsområdekonfigurasjonen din til å rute MCP-verktøykall til riktig e-postleverandør, og API-nøklene dine til å autorisere agentforespørsler. Uten disse dataene kan ikke tjenesten fungere. Det rettslige grunnlaget under GDPR er oppfyllelse av en kontrakt.

3.2 Sikkerhet og forebygging av misbruk

Vi bruker IP-adresser, forespørselsfrekvenser og feilmønstre for å oppdage og blokkere misbruk, håndheve hastighetsgrenser og beskytte tilgjengeligheten til tjenesten for alle brukere. Det rettslige grunnlaget er våre berettigede interesser i å drive en sikker tjeneste.

3.3 Bruksanalyse og produktforbedring

Vi bruker aggregerte, anonymiserte bruksdata (antall verktøykall, feilrater, ventetid) for å forstå hvordan tjenesten brukes og for å prioritere forbedringer. Analysen forblir aggregert: vi bruker ikke bruksdata på individnivå til dette formålet. Konto- og bruksdata for den enkelte brukes bare til å håndheve abonnementsgrenser (punkt 3.4) og, hvis du har samtykket, til å velge hvilken markedsførings-e-post vi sender deg (punkt 3.9). Det rettslige grunnlaget er våre berettigede interesser i å forbedre tjenesten.

3.4 Fakturering og håndheving av abonnement

Vi bruker brukstellinger for å avgjøre om arbeidsområdet ditt har nådd abonnementsgrensene og for å beregne fakturaen din på betalte abonnementer. Det rettslige grunnlaget er oppfyllelse av en kontrakt.

3.5 Etterlevelse av lov

Vi kan behandle og utlevere data der det er påkrevd etter gjeldende lov, rettskjennelse eller tilsynsmyndighet. Det rettslige grunnlaget er etterlevelse av en rettslig forpliktelse.

3.6 Hva vi aldri vil gjøre

• Selge personopplysningene eller bruksdataene dine til tredjeparter.
• Bruke e-postinnholdet ditt til å trene AI-modeller.
• Bruke dataene dine til å vise deg reklame.
• Dele dataene dine med tredjeparter for deres egne markedsføringsformål.

3.7 Google API-tjenester: Begrenset bruk

MCPEmails' bruk og overføring til enhver annen app av informasjon mottatt fra Google APIs (inkludert Gmail API) vil overholde Google API Services User Data Policy, inkludert kravene til Begrenset bruk.

Når du kobler til en Gmail-konto, gir du MCPEmails følgende Gmail-omfang. Vi ber om hvert omfang utelukkende for å levere funksjonene du aktiverer gjennom AI-agenten din, og vi bruker dem bare på dine vegne:

• gmail.readonly: liste opp meldinger og lese meldingsinnhold slik at agenten din kan søke i, lese og oppsummere e-post på din forespørsel.
• gmail.send: skrive og sende meldinger som agenten din oppretter på din forespørsel.
• gmail.modify: organisere e-posten din etter dine instruksjoner, inkludert å legge til og fjerne etiketter, merke meldinger som lest eller ulest, arkivere meldinger, flytte meldinger mellom mapper og flytte meldinger til papirkurven.

I samsvar med kravene til Begrenset bruk vil MCPEmails:

• kun bruke Google-brukerdata til å levere og forbedre de brukervendte funksjonene beskrevet ovenfor;
• ikke overføre eller selge Google-brukerdata til tredjeparter, datameglere eller annonsenettverk;
• ikke bruke Google-brukerdata til å vise annonser;
• ikke bruke Google-brukerdata til å utvikle, forbedre eller trene generaliserte eller ikke-personaliserte AI- eller maskinlæringsmodeller;
• ikke tillate at mennesker leser Google-brukerdata med mindre (a) du gir uttrykkelig samtykke for spesifikke meldinger, (b) det er nødvendig av sikkerhetsmessige hensyn, slik som undersøkelse av misbruk, (c) det er påkrevd for å overholde gjeldende lov, eller (d) dataene er aggregert og anonymisert.

Som beskrevet i avsnitt 2.5 strømmes e-postinnhold hentet fra Gmail API videre til agenten din i samme forespørsel, og lagres, mellomlagres eller logges aldri av MCPEmails.

3.8 Microsoft-API-er: postkassetilgang og hvordan du trekker den tilbake

Når du kobler til en Outlook- eller Microsoft 365-postkasse, ber Microsoft deg godkjenne et bestemt, navngitt sett med tillatelser: å lese og organisere e-posten din, og å sende e-post på dine vegne. Vi bruker denne tilgangen bare til å utføre det du ber en KI-agent gjøre med postkassen din, som å lese, søke, organisere, skrive utkast og sende. Vi bruker den ikke til å bygge en kopi av postkassen din, og vi bruker aldri e-postinnhold, eller noe utledet av det, til annonsering eller markedsføring.

Du kan trekke tilbake denne tilgangen når som helst, direkte hos Microsoft og uten å spørre oss. For en personlig Microsoft-konto, bruk Tillatelser for Microsoft-kontoen. For en jobb- eller skolekonto, bruk Mine apper. Når du trekker tilbake tilgangen der, mister vi umiddelbart tilgang til postkassen. Hvis IT-administratoren godkjente MCPEmails for hele organisasjonen, er det bare en administrator som kan fjerne den organisasjonsomfattende godkjenningen.

Å koble fra innboksen i MCPEmails-dashbordet har samme virkning fra vår side, og sletter i tillegg de lagrede påloggingsdetaljene for postkassen. Du kan gjøre hva som helst av dette først; du trenger ikke gjøre begge deler.

3.9 Direkte markedsføring på e-post

Vi sender markedsføring på e-post (produkttips og tilbud, for eksempel om et betalt abonnement når arbeidsområdet ditt når en abonnementsgrense) bare hvis du har samtykket ved å krysse av i boksen på registreringsskjemaet. Boksen er ikke avkrysset på forhånd, og vi leser ikke samtykke ut av noe annet. Det rettslige grunnlaget er ditt samtykke (GDPR artikkel 6 nr. 1 bokstav a), som markedsføringsloven § 15 også krever for markedsføring på e-post.

For å velge hvilken av noen få meldinger vi sender, og når, bruker vi konto- og bruksdata: for eksempel at arbeidsområdet ditt har nådd en abonnementsgrense, hvor mange innbokser du har koblet til, abonnementet ditt og når du registrerte deg. Vi bruker aldri innholdet i e-postkassen din, eller noe som er avledet av det, til dette.

Du kan trekke tilbake samtykket når som helst med avmeldingslenken i hver markedsførings-e-post. Det gjelder med umiddelbar virkning og påvirker ikke kvitteringer, sikkerhetsvarsler eller annen e-post vi må sende for å drifte kontoen din. Vi lagrer når du samtykket og hvilken ordlyd du så, slik at vi kan dokumentere at samtykke ble gitt.

4. Datalagring

Vi oppbevarer hver datakategori i følgende perioder:

Når du sletter kontoen din, igangsetter vi sletting av alle personopplysninger innen 30 dager. Aggregert, ikke-personlig bruksstatistikk avledet fra kontoen din kan oppbevares utover denne perioden i anonymisert form.

5. Tredjeparter og datadeling

5.1 Infrastrukturleverandører (databehandlere)

Vi bruker følgende underdatabehandlere for å drive tjenesten. Hver er bundet av en databehandleravtale og behandler data kun etter våre instruksjoner:

5.2 E-postleverandører (dine leverandører, ikke våre)

Når du kobler til Gmail, Outlook / Microsoft 365, Fastmail eller en annen IMAP-konto, autentiserer MCPEmails seg mot den leverandøren med legitimasjon du oppgir. E-postleverandørens egen personvernerklæring regulerer dataene som oppbevares i postkassen din. MCPEmails får tilgang til postkassen din bare når agenten din gjør et verktøykall, og bare for de spesifikke meldingene eller mappene verktøyet ber om.

5.3 Ingen datameglere eller annonsenettverk

Vi deler ingen data med datameglere, annonsenettverk, sosiale medieplattformer eller analyseselskaper som bygger brukerprofiler.

5.4 Rettslige utleveringer

Vi kan utlevere personopplysninger dersom det er påkrevd etter lov, gyldig rettslig prosess (slik som en rettskjennelse eller stevning), eller for å beskytte rettighetene, eiendommen eller sikkerheten til MCPEmails, brukerne våre eller offentligheten. Der loven tillater det, vil vi varsle berørte brukere før vi utleverer dataene deres.

5.5 Virksomhetsoverdragelser

Ved en fusjon, et oppkjøp eller et salg av eiendeler kan personopplysninger bli overført som en del av den transaksjonen. Vi vil varsle brukere via e-postadressen på kontoen deres før en slik overføring finner sted og før dataene deres blir underlagt en annen personvernerklæring.

6. Internasjonale dataoverføringer

MCPEmails drives fra Norge, som er underlagt det europeiske økonomiske samarbeidsområdets (EØS) personvernrammeverk. Hvis du bruker tjenesten fra utenfor EØS, kan dataene dine bli overført til og behandlet i land innenfor EØS.

Våre infrastruktur-underdatabehandlere (Supabase, Vercel) opererer under standardkontraktsbestemmelser (SCC) godkjent av Europakommisjonen for dataoverføringer til tredjeland. For Stripe er behandlingen dekket av deres EU-US Data Privacy Framework-sertifisering.

Databasen vår, som inneholder konto- og konfigurasjonsdata, ligger i EU (Stockholm, Sverige) for alle kunder. Ingen plan eller innstilling flytter den til en annen region.

7. Dine rettigheter

Avhengig av hvor du befinner deg, kan du ha følgende rettigheter knyttet til personopplysningene dine:

• Innsyn. Be om en kopi av alle personopplysninger vi har om deg.
• Retting. Be oss om å rette unøyaktige eller ufullstendige data.
• Sletting ("retten til å bli glemt"). Be om sletting av personopplysningene dine. Du kan utløse dette selv ved å slette kontoen din i Dashbord → Innstillinger → Slett konto.
• Begrensning. Be oss om å begrense behandlingen av dataene dine under visse omstendigheter.
• Dataportabilitet. Be om dataene dine i et maskinlesbart format (JSON).
• Innsigelse. Protestere mot behandling basert på berettigede interesser.
• Trekke tilbake samtykke. Der behandlingen er basert på samtykke, kan du trekke det tilbake når som helst uten at det påvirker lovligheten av tidligere behandling.

For å utøve noen av disse rettighetene, send oss en e-post på privacy@mcpemails.com. Vi vil svare innen 30 dager (eller 72 timer for hastesaker knyttet til sikkerhet). Vi kan be deg om å bekrefte identiteten din før vi behandler forespørselen.

Hvis du befinner deg i EØS eller Storbritannia, har du rett til å klage til din lokale tilsynsmyndighet. I Norge er dette Datatilsynet (datatilsynet.no).

8. Sikkerhet

Vi tar sikkerheten til dataene dine på alvor og iverksetter egnede tekniske og organisatoriske tiltak, inkludert:

• Alle data under overføring krypteres med TLS 1.2 eller høyere. Tilkoblinger som ikke støtter TLS, avvises.
• OAuth-tokener og IMAP-legitimasjon krypteres i hvile med AES-256-GCM. Krypteringsnøkkelen lagres i en separat Supabase Vault-instans og er aldri plassert sammen med de krypterte dataene.
• API-nøkler hashes med SHA-256 før lagring. Den rå nøkkelen kan ikke gjenopprettes fra hashen.
• Databasetilgang er beskyttet av Row-Level Security (RLS)-policyer som hindrer ett arbeidsområde i å få tilgang til et annets data, selv ved en feil i spørringslogikken.
• Administrativ tilgang til produksjonsinfrastruktur krever flerfaktorautentisering og logges.

Til tross for disse tiltakene er ingen systemer fullstendig sikre. Hvis du oppdager en sikkerhetssårbarhet, vennligst rapporter den ansvarlig til security@mcpemails.com. Vi tar sikte på å bekrefte rapporter innen 24 timer og løse bekreftede sårbarheter innen 72 timer for kritiske saker.

Ved et brudd på personopplysningssikkerheten som sannsynligvis vil medføre en risiko for dine rettigheter og friheter, vil vi varsle berørte brukere og den relevante tilsynsmyndigheten innen 72 timer etter at vi ble klar over bruddet, slik GDPR artikkel 33 krever.

9. Barns personvern

MCPEmails er ikke rettet mot barn under 16 år. Vi samler ikke bevisst inn personopplysninger fra noen under 16. Hvis du mener vi utilsiktet har samlet inn data fra et barn, vennligst kontakt oss på privacy@mcpemails.com, så sletter vi dem omgående.

10. Endringer i denne erklæringen

Vi kan oppdatere denne personvernerklæringen fra tid til annen. Når vi gjør vesentlige endringer (slik som å samle inn nye datakategorier eller dele data med nye tredjeparter), vil vi:

• Oppdatere "Sist oppdatert"-datoen øverst på denne siden.
• Sende et e-postvarsel til adressen registrert på kontoen din minst 14 dager før endringene trer i kraft.
• Vise en tydelig melding i dashbordet i 14 dager etter at endringen trer i kraft.

Din fortsatte bruk av tjenesten etter at en endring trer i kraft, utgjør aksept av den oppdaterte erklæringen. Hvis du er uenig i en vesentlig endring, kan du slette kontoen din før ikrafttredelsesdatoen.

11. Kontakt oss

Hvis du har spørsmål om denne personvernerklæringen, ønsker å utøve en rettighet som registrert, eller vil rapportere en personvernbekymring, vennligst kontakt oss: