Google-data skal brukes til jobben du ber om. Ikke noe mer.

Hvem og virkeområde

Behandlingsansvarlig: Thomas Nordeng, Bergen, Norge, eier av Good Work, Bot. Integrasjonen brukes foreløpig bare av tjenestens eierkonto og tilbyr ikke offentlig kontoregistrering.

Personvernerklæringen gjelder Hermes Connections-tjenesten på connect.nordeng.xyz. Den statiske informasjonssiden på goodworkbot.no har ingen innlogging eller database, men drives av samme behandlingsansvarlige.

Spørsmål om personvern eller sletting kan sendes til goodworkbot.hq@gmail.com.

Tilganger og data

I den nye identity-only-flyten viser og godkjenner Google disse to grunnleggende identitetsscopene i OAuth-samtykket:

• openid og email: stabil Google-kontoidentifikator (sub), e-postadresse og Googles separate email_verified-status. Bare sub brukes som varig kontoidentifikator; e-postadressen kontrolleres mot forventet eierkonto.
• OAuth-data: tilgangs- og refresh token, innvilgede tillatelser og teknisk metadata som trengs for å holde forbindelsen i drift.

Den nye flyten ber ikke om tilgang til Gmail, YouTube API Services eller andre Google-produktdata. Slike tilganger skal først forespørres gjennom et nytt, inkrementelt samtykke dersom en tilsvarende synlig funksjon blir implementert. Den avgrensede historiske testforbindelsen er beskrevet under «Overgang fra historisk testforbindelse».

Hva dataene brukes til

Når den nye forbindelsestjenesten er satt i produksjon, bruker den den stabile kontoidentifikatoren, e-postadressen og verifiseringsstatusen til å kontrollere riktig Google-konto. OAuth-tokenet lagres for å holde denne forbindelsen aktiv. Tjenesten bruker ikke eller lagrer et ID-token; identiteten kontrolleres via Googles OpenID Connect userinfo-endepunkt, og øvrige responsfelt forkastes.

Tilkoblet e-postadresse, scopes og tidsstempler er synlige for tjenesteeieren i den lokale Connections-visningen. Den stabile kontoidentifikatoren lagres lokalt for revalidering, men returneres ikke til Dashboardet. Den nye identity-only-forbindelsen har ikke tilgang til Gmail eller YouTube API Services.

Google-brukerdata sendes ikke til en AI-leverandør og brukes ikke til annonsering, profilering, kredittvurdering, salg eller til å opprette, trene eller forbedre AI- eller maskinlæringsmodeller.

Behandlingen bygger på eierens uttrykkelige Google-samtykke. Samtykket kan trekkes tilbake som beskrevet under «Din kontroll».

Lagring og sletting

• Access- og refresh token lagres kryptert på tjenesteeierens lokale Hermes-maskin.
• OAuth-broen lagrer autorisasjonskoden midlertidig i maksimalt 90 sekunder mens den hentes av den lokale klienten. Broen lagrer ikke Googles access- eller refresh token.
• Forbindelsesmetadata består av stabil Google-kontoidentifikator, e-postadresse, scopes og tidsstempler, og beholdes så lenge integrasjonen er aktiv.
• Den nye identity-only-forbindelsen lagrer ikke Gmail-, YouTube- eller andre Google-produktdata. Den stabile kontoidentifikatoren og e-postadressen lagres som beskrevet over; øvrige felt fra identitetskontrollen behandles i minnet og forkastes.
• Lokale applikasjonslogger kan inneholde operasjonsstatus, stabile feilkoder og tekniske unntakstyper. Google-token og Google-innhold skrives ikke til disse loggene; loggene følger det lokale systemets konfigurerte rotasjon.
• Cloudflare kan behandle tekniske driftsdata som IP-adresse, tidspunkt, forespørselssti, status og ytelses-/sporingsdata for nettstedet, tilgangskontrollen og OAuth-broen. Query-strenger er eksplisitt redigert i OAuth-broens separate Worker-observabilitet, og Cloudflares oppbevaring følger leverandørens avtaler og kontoinnstillinger.
• Når forbindelsen tilbakekalles i Good Work, Bot, tilbakekalles Google-tokenet og den lokale tokenkopien slettes. Når forbindelsen deretter slettes, fjernes også metadata.
• Good Work, Bot oppretter ingen egen sikkerhetskopi av token eller forbindelsesmetadata. Eventuelle vertsmaskin- eller leverandørbackuper styres av eieren/leverandøren; et tilbakekalt Google-token forblir ugyldig dersom en eldre kopi gjenopprettes.
• Sletteforespørsler behandles innen sju dager. De omfatter den aktive lokale token- og metadatastoren og midlertidig OAuth-state. Applikasjonslogger inneholder ikke Google-token eller Google-produktinnhold; tekniske logger og eventuelle leverandørbackuper følger den konfigurerte rotasjonen eller leverandørens dokumenterte oppbevaring og kan ikke garanteres slettet enkeltvis av Good Work, Bot.

Overgang fra historisk testforbindelse

Før identity-only-løsningen ble klargjort, ble én eierstyrt produksjonstest gjennomført med bredere Gmail- og YouTube-tillatelser. Testen leste grunnleggende Gmail-profil, YouTube-kanalmetadata og YouTube Analytics for å verifisere integrasjonen. Den lagret ikke e-postinnhold, video-, lyd- eller analysedata og ble ikke brukt til ordinær produktfunksjon.

Det historiske brede Google-samtykket er tilbakekalt. Det lokale tokenet og den historiske YouTube-kanal-ID-en er slettet. Ingen ny Google-forbindelse var aktiv ved siste oppdatering. Alle nye autorisasjoner i identity-only-løsningen er teknisk begrenset til openid og email.

Leverandører og deling

Google behandler autorisasjon og API-forespørsler. Cloudflare leverer nettsted, tilgangskontroll og den kortlivede OAuth-broen og kan derfor behandle tekniske driftsdata, scopes, signert flytmetadata og den kortlivede autorisasjonskoden. Leverandørene kan behandle data utenfor Norge og EØS i samsvar med sine avtaler og personvernvilkår.

Google-produktdata og Googles access- og refresh token sendes ikke til Cloudflare eller en AI-leverandør. Good Work, Bot selger ikke Google-brukerdata og deler dem ikke for reklame, profilering eller andre uvedkommende formål.

Sikkerhet og minstetilgang

Forbindelsen bruker HTTPS, PKCE, signert og tidsbegrenset OAuth-state, Cloudflare Access og kryptert lokal tokenlagring med private filrettigheter. Den nye identity-only-flyten ber ikke om eller lagrer Google-produktinnhold.

Googles krav til brukerdata

Good Work, Bot sin bruk og overføring av informasjon mottatt fra Google API-er følger Google API Services User Data Policy, inkludert kravene om Limited Use. Den historiske API-lesingen var begrenset til den uttrykkelig igangsatte eierstyrte E2E-testen beskrevet over; den nye flyten bruker Google-data bare til den synlige, brukerforespurte tilkoblingsfunksjonen. Utover tjenesteeierens visning av egne forbindelsesmetadata, databehandlerne beskrevet over og andre uttrykkelig tillatte unntak i policyen, overføres dataene ikke til mennesker eller tredjeparter.

Din kontroll

Når den nye Good Work, Bot Connections-visningen er satt i produksjon, må tjenesteeieren først tilbakekalle forbindelsen og deretter slette den. Sletting av en aktiv forbindelse avvises. Tilbakekalling opphever Google-tokenet og fjerner den lokale tokenkopien; sletting fjerner deretter metadata.

Tilgang kan også stoppes på Google-kontoens side for tredjepartsforbindelser. Dette gjør tokenet ugyldig hos Google umiddelbart. Google sender ikke denne lokale installasjonen et tilbakekallingsvarsel, så ekstern tilbakekalling alene garanterer ikke rask sletting av den krypterte lokale kopien. Bruk derfor også Good Work, Bot sin tilbakekalling/sletting eller send sletteforespørselen under; da fjernes lokale data innen sju dager.

For å få lokale data slettet kan du sende e-post med emnet «Slett Google-data» til goodworkbot.hq@gmail.com. Forespørselen behandles innen sju dager og omfatter tilbakekalling og sletting av token, forbindelsesmetadata og eventuell midlertidig OAuth-state.