Privatlivspolitik for Capptain
Sidst opdateret: 2026-08-21 Gælder for: Capptain-webappen (app.capptain.ai) og Capptain-mobilappen (iOS + Android) Ansvarlig: Capptain A/S
1. Hvem er vi?
Databehandler: Capptain A/S CVR: 45287203 Adresse: Finsensvej 1F, 7430 Ikast E-mail: privacy@capptain.ai Telefon: +45 78 70 18 48 Website: https://capptain.ai
Capptain A/S er databehandler for vores kunder (virksomheder). Kundens virksomhed er den dataansvarlige for data om deres medarbejdere. Kundeforholdet er reguleret af en Databehandleraftale (DPA). Se skabelon: DPA-skabelon.
2. Hvilke data behandler vi?
Vi behandler følgende kategorier af persondata i overensstemmelse med GDPR Art 4(1):
2.1 Kontodata
| Data | Formål | Retsgrundlag | Opbevaring |
|---|---|---|---|
| E-mailadresse | Login, kommunikation | Opfyldelse af aftale (Art 6(1)(b)) | Indtil kontosletning |
| Telefonnummer | Login via SMS-OTP | Opfyldelse af aftale (Art 6(1)(b)) | Indtil kontosletning |
| Rolle (frontline/koordinator) | Adgangsstyring | Berettiget interesse (Art 6(1)(f)) | Indtil kontosletning |
| Tenant-tilhørsforhold | Multi-tenant isolation | Opfyldelse af aftale (Art 6(1)(b)) | Indtil kontosletning |
2.2 Push-tokens (mobilapp)
| Data | Formål | Retsgrundlag | Opbevaring |
|---|---|---|---|
| Expo Push Token | Levering af push-notifikationer | Samtykke (Art 6(1)(a)) | Indtil token tilbagekaldes eller konto slettes |
Brugere kan til enhver tid afmelde push-notifikationer via systemindstillinger (iOS: Indstillinger → Capptain → Notifikationer; Android: Indstillinger → Apps → Capptain → Notifikationer).
2.3 Arbejdsmiljødata (kemisk APV)
| Data | Formål | Retsgrundlag | Opbevaring |
|---|---|---|---|
| Kemikalie-indberetninger (stregkoder, SDS-opslag) | Kemisk APV-dokumentation | Retlig forpligtelse (Art 6(1)(c), Arbejdsmiljølovens §15a) | 5 år (AT-regulatorisk krav) |
| Observationsindberetninger (tekst + fotos) | Arbejdsmiljødokumentation | Retlig forpligtelse (Art 6(1)(c)) | 5 år |
| Eftersyn og inspektioner | Compliance-dokumentation | Retlig forpligtelse (Art 6(1)(c)) | 5 år |
Vigtig note om kemikalie-eksponeringsdata: Data om medarbejderes kemikalie-eksponering kan under visse omstændigheder udgøre helbredsdata (GDPR Art 9, særlige kategorier). Capptain behandler sådanne data udelukkende som databehandler på instruktion fra den dataansvarlige (kunden). Kunden bærer ansvaret for at sikre lovhjemmel efter Art 9(2). Se DPIA i docs/principles/gdpr-compliance.md.
2.4 Microsoft Entra ID-data (valgfrit)
| Data | Formål | Retsgrundlag | Opbevaring |
|---|---|---|---|
| Entra Tenant ID | Virksomhedslogin (SSO) | Berettiget interesse (Art 6(1)(f)) | Indtil integration ophæves |
| Entra Object ID | Brugeridentifikation | Berettiget interesse (Art 6(1)(f)) | Indtil integration ophæves |
2.5 Diagnostik og crash-data
| Data | Formål | Retsgrundlag | Opbevaring |
|---|---|---|---|
| Crash logs, stack traces | Fejlfinding og appstabilitet | Berettiget interesse (Art 6(1)(f)) | 90 dage (Sentry konfiguration) |
| Performance-data (startup-tid, memory) | Appoptimering | Berettiget interesse (Art 6(1)(f)) | 90 dage |
3. Sub-processorer
Capptain benytter følgende underleverandører (sub-processorer) til databehandling:
| Sub-processor | Rolle | Datacenterlokation | GDPR-sikring |
|---|---|---|---|
| Supabase Inc. | Database, authentication, fillagring | EU (Frankfurt) | DPA + EU Standardkontraktklausuler (SCCs) |
| Brevo SAS | SMS-OTP-levering, e-mailtransaction | EU (Paris) | DPA |
| Sentry Inc. | Crash reporting og performance monitoring | EU (Frankfurt) | DPA + SCCs |
| Expo Technology Inc. | Push notification token management | USA | DPA + SCCs (Art 46(2)(c)) |
| Vercel Inc. | API-hosting og CDN | EU (Frankfurt) | DPA + SCCs |
En opdateret liste over sub-processorer er tilgængelig på forespørgsel: privacy@capptain.ai
4. Dine rettigheder (Art 15-22)
Du har følgende rettigheder som registreret:
| Rettighed | Hvad det betyder | Sådan udøver du den |
|---|---|---|
| Indsigtsret (Art 15) | Ret til at se hvilke data vi behandler om dig | Kontakt privacy@capptain.ai |
| Berigtigelsesret (Art 16) | Ret til at korrigere ukorrekte data | Indstillinger i appen eller privacy@capptain.ai |
| Sletningsret (Art 17) | Ret til at slette din konto og data | Appen: Indstillinger → Slet min konto, eller privacy@capptain.ai |
| Begrænsning (Art 18) | Ret til at begrænse behandling under visse betingelser | privacy@capptain.ai |
| Dataportabilitet (Art 20) | Ret til at modtage dine data i maskinlæsbart format | privacy@capptain.ai (CSV/JSON eksport) |
| Indsigelse (Art 21) | Ret til at gøre indsigelse mod behandling baseret på berettiget interesse | privacy@capptain.ai |
| Klage | Ret til at klage til Datatilsynet | datatilsynet.dk |
Svar på anmodninger: Vi svarer inden 30 dage (Art 12(3)).
5. Sletning af konto (in-app)
Du kan slette din konto direkte i appen:
- Åbn appen og log ind
- Gå til Indstillinger (profil-ikon øverst til højre)
- Tryk på Slet min konto
- Bekræft med dit telefonnummer/Apple ID
- Din session ugyldiggøres øjeblikkeligt
- Dine persondata slettes permanent efter 30 dage (grace period)
I grace-perioden kan du kontakte privacy@capptain.ai for at annullere sletningen.
Bemærk: Arbejdsmiljødata der er underlagt retlig opbevaringspligt (5 år) anonymiseres og kobles fra din identitet, men kan ikke slettes inden for opbevaringsfristen.
6. Cookies og tracking
Webappen (app.capptain.ai) bruger:
- Nødvendige session-cookies (authentication), ingen samtykke krævet
- Ingen analytiske cookies fra tredjepart
- Ingen reklame-cookies
Mobilappen bruger ingen cookies. Push-tokens er ikke cookies.
7. Dataoverførsler til tredjelande
Expo Push (USA) og potentielt Sentry (USA-infrastruktur) indebærer overførsler til tredjelande. Disse overførsler er sikret via EU Standardkontraktklausuler (SCCs) jf. GDPR Art 46(2)(c) og Transfer Impact Assessments (TIA).
8. Sikkerhed
Vi implementerer følgende sikkerhedsforanstaltninger:
- Transport: TLS 1.3 på alle API-kald og web-trafik
- Database: Row Level Security (RLS) i Supabase: ingen bruger kan tilgå anden tenants data
- Adgangskontrol: Role-based access control (RBAC) med mindste privilegier
- Secrets: Ingen hardkodede credentials, alt via miljøvariabler
- Push-tokens: Opbevaret krypteret i database (Supabase encrypted at rest)
9. Kontakt og klagevej
Databeskyttelsesansvarlig (DPO): Capptain A/S er ikke forpligtet til at udpege en DPO (Art 37: under 250 ansatte, ikke systematisk behandling i stor skala af særlige kategorier). Spørgsmål om databeskyttelse rettes til:
Datatilsynet (klager): Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby dt@datatilsynet.dk | datatilsynet.dk | +45 33 19 32 00
10. Ændringer til denne politik
Vi opdaterer denne politik ved væsentlige ændringer. Registrerede brugere notificeres via e-mail eller in-app besked ved ændringer der kræver fornyet samtykke. Dato for seneste ændring er angivet øverst.
Capptain A/S, privacy@capptain.ai, capptain.ai