Privatlivspolitik for Capptain
Sidst opdateret: 2026-10-01 Gælder for: Capptain-webappen (app.capptain.ai) og Capptain-mobilappen (iOS og Android) samt siderne, hvor et tilbud eller en partneraftale accepteres Udgivet af: Capptain A/S
1. Hvem er vi?
Databehandler: Capptain A/S CVR: 45287203 Adresse: Finsensvej 1F, 7430 Ikast E-mail: hello@capptain.dk Telefon: +45 78 70 18 48
Capptain A/S er databehandler for vores kunder (virksomheder). Kundens virksomhed er den dataansvarlige for data om deres medarbejdere. Kundeforholdet er reguleret af en databehandleraftale, som du kan læse på app.capptain.ai/policy/dpa.
For oplysninger om kontaktpersoner hos vores kunder og partnere, som vi bruger til salg, aftaleindgåelse, fakturering og varslinger, er Capptain A/S selv dataansvarlig. Det er beskrevet i afsnit 2.6.
2. Hvilke data behandler vi?
Vi behandler følgende kategorier af personoplysninger (GDPR art. 4, nr. 1):
2.1 Kontodata
| Data | Formål | Retsgrundlag | Opbevaring |
|---|---|---|---|
| Navn | Visning i platformen, fx hvem der har godkendt en vurdering | Opfyldelse af aftale (Art 6(1)(b)) | Indtil din konto slettes; se afsnit 5 om, hvornår det bevares |
| E-mailadresse | Login, kommunikation | Opfyldelse af aftale (Art 6(1)(b)) | Indtil din konto slettes; se afsnit 5 om, hvornår den bevares |
| Telefonnummer | Login med engangskode pr. SMS | Opfyldelse af aftale (Art 6(1)(b)) | Indtil din konto slettes; se afsnit 5 om, hvornår det bevares |
| Rolle (administrator, superbruger, arbejdsmiljørepræsentant eller medarbejder) | Adgangsstyring | Berettiget interesse (Art 6(1)(f)) | Indtil din konto slettes |
| Hvilken virksomhed du hører til | Adskillelse af kundernes data | Opfyldelse af aftale (Art 6(1)(b)) | Indtil din konto slettes |
2.2 Pushbeskeder
| Data | Formål | Retsgrundlag | Opbevaring |
|---|---|---|---|
| Push-abonnement i browseren (abonnementsadresse, nøgler og browserbetegnelse) | Besked, når en kemisk APV er klar til gennemgang eller er publiceret | Berettiget interesse (Art 6(1)(f)) | Indtil du afmelder notifikationer i webappen, pushtjenesten melder abonnementet ophørt, eller din konto slettes |
Notifikationer sendes kun, hvis du selv har tilladt dem i browseren. Du kan til enhver tid slå dem fra i browserens indstillinger. Mobilappen modtager i dag ingen pushbeskeder og registrerer ingen push-token.
2.3 Arbejdsmiljødata (kemisk APV)
| Data | Formål | Retsgrundlag | Opbevaring |
|---|---|---|---|
| Kemiske risikovurderinger (hvem der oprettede, gennemgik og godkendte vurderingen) | Kemisk APV-dokumentation | Retlig forpligtelse (Art 6(1)(c), arbejdsmiljølovens § 15 a) | 5 år efter publicering (Capptains faglige afgørelse) |
| Kemikalieregistret (hvem der har oprettet eller ændret et produkt) | Arbejdsgiverens fortegnelse over farlige stoffer og materialer | Retlig forpligtelse (Art 6(1)(c)) | Så længe produktet står i kemikalieregistret |
| Produktindberetninger fra mobil- eller webappen (stregkode, etiketoplysninger, fritekst og et eventuelt miniaturefoto) | Registrering af nye produkter i virksomhedens kemikalieregister | Behandling på vegne af din arbejdsgiver (dataansvarlig) efter databehandleraftalen | Indberetningen slettes, når produktet optages i kemikalieregistret. Ellers gælder den aftalte periode på 90 dage; sletning sker i dag ikke automatisk. Partnere, som din arbejdsgiver har givet adgang til kemikalieregistret, kan se indberetningen, også fotoet |
| Eksponeringsregistreringer (hvilke stoffer den enkelte medarbejder arbejder med, hvor ofte og hvor længe, ventilation og værnemidler) | Arbejdsgiverens lovpligtige liste over eksponerede medarbejdere | Retlig forpligtelse (Art 6(1)(c)) og Art 9(2)(b) | Platformen beregner i dag opbevaringsfristen fra eksponeringens startdato: 40 år, hvis produktet var markeret som kræftfremkaldende, mutagent eller reproduktionstoksisk, da registreringen blev oprettet, og ellers 5 år. Der er i dag ingen automatisk sletning eller anonymisering, når fristen udløber. Se noten nedenfor |
Vigtig note om eksponeringsregistreringer: Registreringer af den enkelte medarbejders eksponering for farlige stoffer er helbredsoplysninger (GDPR art. 9). Frekvens, varighed, datoer, ventilation og værnemidler krypteres særskilt i databasen, registreringerne er aldrig tilgængelige for partnere, og de sendes ikke til AI-behandling. Capptain behandler dem udelukkende som databehandler efter instruks fra din arbejdsgiver (kunden), som har ansvaret for hjemlen efter art. 9, stk. 2. Nærmere beskrivelse står i databehandleraftalen på app.capptain.ai/policy/dpa.
Om opbevaringsfristen for eksponeringsregistreringer: BEK 582/2026 § 43, stk. 4 kræver, at listen opbevares i 40 år efter, at risikoen er ophørt, for kræftfremkaldende og mutagene stoffer og i 5 år for reproduktionstoksiske stoffer. Platformens beregning følger ikke den regel præcist: den regner fra startdatoen og ikke fra det tidspunkt, hvor risikoen er ophørt, og den giver reproduktionstoksiske stoffer samme frist på 40 år som kræftfremkaldende og mutagene. Fristen bruges i dag til at afgøre, hvornår en registrering ikke længere er beskyttet mod sletning (afsnit 5). Registreringer slettes ikke automatisk, når fristen udløber.
2.4 Login med Microsoft eller Apple (valgfrit)
| Data | Formål | Retsgrundlag | Opbevaring |
|---|---|---|---|
| Microsoft Entra-identifikatorer (virksomhedens tenant-id og dit objekt-id) | Virksomhedslogin (SSO) | Berettiget interesse (Art 6(1)(f)) | Indtil din konto slettes |
| Apple-identifikator | Log ind med Apple i mobilappen | Opfyldelse af aftale (Art 6(1)(b)) | Indtil din konto slettes |
2.5 Diagnostik og fejlrapporter
| Data | Formål | Retsgrundlag | Opbevaring |
|---|---|---|---|
| Fejl- og nedbrudsrapporter (stakspor, app-, styresystems- og enhedsoplysninger, installationsidentifikator) og i mobilappen appens logbeskeder | Fejlfinding og appstabilitet | Berettiget interesse (Art 6(1)(f)) | Efter Sentrys opbevaringsindstillinger for vores konto |
| Performance-målinger fra webappen (stikprøve på 5 % af forespørgslerne) | Appoptimering | Berettiget interesse (Art 6(1)(f)) | Efter Sentrys opbevaringsindstillinger for vores konto |
Fejlrapporterne filtreres for personoplysninger, før de sendes. Mobilappens rapporter fra telefonens eget styresystem (native nedbrud) passerer ikke filteret.
2.6 Oplysninger, hvor Capptain selv er dataansvarlig
For oplysningerne i dette afsnit er Capptain A/S selv dataansvarlig. De vedrører kontaktpersoner hos vores kunder og partnere, modtagere af vores varslinger og andre udsendelser til kunder, den, der accepterer et tilbud, og den, der accepterer en partneraftale. Oplysningerne kommer fra dig selv eller fra din virksomhed. Virksomhedsoplysninger kan komme fra CVR-registret, og modtagere af udsendelser findes blandt faktureringskontakterne i vores faktureringssystem (Fenerum).
| Data | Formål | Retsgrundlag | Modtagere | Opbevaring |
|---|---|---|---|---|
| Kontaktpersoner hos kunder og partnere (navn, e-mailadresse, eventuelt telefonnummer samt virksomhedens navn, CVR-nummer og adresse) | Salg, tilbud, aftaleindgåelse, fakturering og drift af kunde- og partnerforholdet | Opfyldelse af aftale (Art 6(1)(b)) og berettiget interesse (Art 6(1)(f)) i at kunne kontakte virksomheden om aftalen | Vercel og Supabase (afsnit 3), Resend (udsendelse af tilbud og andre e-mails, USA), HubSpot, Inc. (kundeforholdssystem, USA) og Fenerum ApS (abonnement og fakturering, Danmark). Fenerum sender fakturaer, rykkere samt betalings- og fornyelsesvarsler til faktureringskontakten | Så længe salgsdialogen eller kunde- eller partnerforholdet løber. Oplysninger, der indgår i regnskabsmateriale, opbevares i mindst 5 år (bogføringsloven). Der er i dag ingen automatisk sletning |
| Accept af et tilbud (navn, e-mailadresse og eventuelt stilling på den, der accepterer, IP-adresse, browseroplysninger (user agent), tidspunkt samt virksomhedens navn, CVR-nummer og adresse) | Indgåelse af aftalen og dokumentation for, at tilbuddet er accepteret, og af hvem | Opfyldelse af aftale (Art 6(1)(b)); for IP-adresse og browseroplysninger berettiget interesse (Art 6(1)(f)) i at kunne dokumentere accepten | Vercel og Supabase (afsnit 3). Vercel afvikler også oprettelsen af abonnementet efter accepten; den kørsel sker i USA, og virksomhedens navn, kontaktperson og faktureringsadresse gemmes i kørselsloggen der. Resend sender kvitteringen til dig. Fenerum modtager virksomhedsoplysningerne og faktureringskontakten til fakturering, og HubSpot får besked om, at tilbuddet er accepteret | Mindst 5 år (bogføringsloven). Der er i dag ingen automatisk sletning |
| Modtagere af varslinger og andre udsendelser til kunder (navn, fornavn til hilsenen, e-mailadresse og eventuelle kopimodtagere samt kopi af den afsendte e-mail) | Varsling af kunder om ændringer i aftalen, fx priser og vilkår, og dokumentation for, hvad der blev godkendt og sendt til hvem | Opfyldelse af aftale (Art 6(1)(b)); for valget af den rette modtager berettiget interesse (Art 6(1)(f)) i, at varslet når en person og ikke en ubemandet postkasse | Vercel og Supabase (afsnit 3), Resend (udsendelse, USA). Fenerum ApS er kilden til faktureringskontakterne | Kopien af den afsendte e-mail og modtageroplysningerne i godkendelsen og afsendelsesloggen opbevares som dokumentation for varslingen i mindst 5 år. Der er i dag ingen automatisk sletning, heller ikke af de kontaktoplysninger, der blev indsamlet til udvælgelsen af modtagere |
| Leverings-, åbnings- og kliksporing af udsendelser (tidspunkt for levering, første åbning, første klik og eventuel afvisning; den fulde hændelse, som Resend sender, herunder modtageradresse og emne og ved klik det klikkede link og de tekniske oplysninger om klikket, som Resend medsender; adresser, der har afvist post eller klaget, på en spærreliste) | Dokumentation for, at varslet er kommet frem, og at vi ikke igen sender til en adresse, der afviser post eller har klaget | Berettiget interesse (Art 6(1)(f)) i at kunne dokumentere, at varslet er kommet frem | Vercel og Supabase (afsnit 3), Resend (USA), som registrerer hændelserne og sender dem til os | Mindst 5 år. Der er i dag ingen automatisk sletning. Hændelser for vores øvrige e-mails fra Resend, fx engangskoder, loginlinks og invitationer, gemmes på samme måde i hændelsesloggen, men knyttes ikke til en udsendelse |
| Accept af en partneraftale (navn, stilling og e-mailadresse på den, der accepterer, IP-adresse, browseroplysninger (user agent), tidspunkt, den accepterede version af aftalen og hvilke dokumenter accepten omfattede) | Indgåelse af partneraftalen og dokumentation for, at den er accepteret, og af hvem | Opfyldelse af aftale (Art 6(1)(b)); for IP-adresse og browseroplysninger berettiget interesse (Art 6(1)(f)) i at kunne dokumentere accepten | Vercel og Supabase (afsnit 3), hvor accepten registreres i databasen. Platformen forsøger desuden at gemme en kopi af accepten i Vercels fillager; mislykkes det, er accepten stadig registreret i databasen. Resend sender kvitteringen til den, der har accepteret, med kopi til Capptain | I aftalens løbetid og 10 år derefter (partneraftalen § 26.6). Der er i dag ingen automatisk sletning, når fristen udløber |
| Opslag i CVR-registret (virksomhedens navn og adresse; for en enkeltmandsvirksomhed kan navn og adresse være ejerens egne) | Korrekte stamdata ved oprettelse af kunder, partnere og tilbud | Berettiget interesse (Art 6(1)(f)) i korrekte kunde- og faktureringsoplysninger | cvrapi.dk og Erhvervsstyrelsens CVR-register modtager kun et CVR-nummer eller et virksomhedsnavn | Gemmes sammen med oplysningerne om kunden eller partneren og følger dem |
| Henvendelser til os (support- og fejlsager og e-mails, herunder oplysninger om medarbejdere, som en henvendelse indeholder) | Håndtering af support- og fejlsager | Opfyldelse af aftale (Art 6(1)(b)); for oplysninger om kundens medarbejdere behandler vi som databehandler efter databehandleraftalen | ClickUp (sagsstyring, USA) og Microsoft 365 (e-mail og kalender), se afsnit 3 | Så længe sagen er relevant for kunde- eller partnerforholdet. Der er i dag ingen automatisk sletning |
Dine rettigheder efter afsnit 4 gælder også for disse oplysninger, herunder retten til at gøre indsigelse mod behandling, der sker på grundlag af berettiget interesse. Henvendelser sendes til hello@capptain.dk.
3. Underdatabehandlere
Capptain benytter følgende underleverandører (underdatabehandlere) til databehandling:
| Underdatabehandler | Rolle | Datacenterlokation | GDPR-sikring |
|---|---|---|---|
| Supabase Pte. Ltd (Singapore) | Database, login og fillagring | EU (Stockholm, Sverige); support- og driftsadgang uden for EU, herunder fra Singapore og USA, kan forekomme | Databehandleraftale med standardkontraktbestemmelser for overførslen, jf. leverandørens databehandleraftale |
| Vercel Inc. | Hosting af webappen og API'et | EU (Stockholm, Sverige); support- og driftsadgang fra USA kan forekomme | Databehandleraftale; adgang fra USA på grundlag af standardkontraktbestemmelser, jf. leverandørens databehandleraftale |
| Plus Five Five, Inc., d/b/a Resend | Udsendelse af e-mails: engangskoder, loginlinks, invitationer og systembeskeder | E-mails sendes fra EU (Irland); Resend er et amerikansk selskab og behandler efter egne oplysninger primært oplysningerne i USA | Databehandleraftale; overførsel til USA på grundlag af standardkontraktbestemmelser, jf. leverandørens databehandleraftale |
| inMobile ApS (Danmark) | Levering af engangskoder pr. SMS ved login med telefonnummer | EU | Ingen overførsel uden for EU |
| Functional Software, Inc., d/b/a Sentry | Fejl- og nedbrudsovervågning | EU (Frankfurt, Tyskland); adgang fra USA kan forekomme | Adgang fra USA på grundlag af EU-US Data Privacy Framework med standardkontraktbestemmelser som reservegrundlag, jf. Sentrys vilkår for databehandling |
| Anthropic Ireland, Limited (Irland) | Maskinel udtrækning og oversættelse af sikkerhedsdatablade, klassifikation af produkter samt forslag til kemisk APV og substitution. Der sendes kun indholdet af sikkerhedsdatablade og produktoplysninger; platformen sender ikke oplysninger fra brugerkonti eller eksponeringsregistreringer | Aftaleparten er etableret i EU (Irland); behandling uden for EU, herunder i USA, kan forekomme hos Anthropics underdatabehandlere | Databehandleraftale med Anthropic Ireland, Limited; standardkontraktbestemmelser (modul 2 og 3) indgår i det omfang, overførslen kræver det, jf. leverandørens databehandleraftale |
| Mango Technologies, Inc., d/b/a ClickUp | Capptains håndtering af support- og fejlsager. Sagerne kan indeholde oplysninger om kundens medarbejdere, også om arbejdsulykker | USA og hos ClickUps underleverandører | Overførsel efter EU's standardkontraktbestemmelser |
| Microsoft Ireland Operations Limited (Microsoft 365) | Capptains e-mail og kalender, herunder henvendelser til os | EU; i begrænsede tilfælde uden for EU | Uden for EU efter EU's standardkontraktbestemmelser |
| Hetzner Online GmbH (Tyskland) | Kun når en kundes data flyttes fra den hidtidige platform til den nye efter kundens instruks | Tyskland | Ingen overførsel uden for EU |
| 650 Industries, Inc., d/b/a Expo, med Apple og Google som videreleverandører | Pushbeskeder og programopdateringer til mobilappen. Anvendes kun, når pushbeskeder til mobilappen tages i brug; mobilappen modtager i dag ingen pushbeskeder og henter ikke opdateringer automatisk | USA | Ikke i brug i dag; der sendes ingen oplysninger til leverandøren |
Pushbeskeder i browseren. Slår du notifikationer til i webappen, leveres de via den pushtjeneste, din browser bruger (Google, Apple eller Mozilla afhængigt af browseren). Beskeden er krypteret, så pushtjenesten ikke kan læse den; tjenesten modtager abonnementsadressen, IP-adresser og den krypterede besked. Pushtjenesten stilles til rådighed af din browserleverandør på dennes vilkår og er ikke Capptains underdatabehandler.
Kundernes databehandleraftale (app.capptain.ai/policy/dpa) har sin egen liste over underdatabehandlere i Bilag B. Den liste ændres efter databehandleraftalens regler og kan derfor i en periode afvige fra listen ovenfor, som beskriver de leverandører, platformen bruger i dag. Spørgsmål kan rettes til hello@capptain.dk.
4. Dine rettigheder (Art 15-22)
Du har følgende rettigheder som registreret:
| Rettighed | Hvad det betyder | Sådan udøver du den |
|---|---|---|
| Indsigtsret (Art 15) | Ret til at se hvilke data vi behandler om dig | I webappen på en computer: Min konto, Mine data, Eksportér mine data. Du får kopien med det samme som en fil. Du kan også skrive til hello@capptain.dk. |
| Berigtigelsesret (Art 16) | Ret til at korrigere ukorrekte data | Skriv til din arbejdsgiver eller til hello@capptain.dk |
| Sletningsret (Art 17) | Ret til at få din konto og dine data slettet | Anmod om sletning i mobilappen (Min konto, Slet konto) eller i webappen (Min konto, Mine data), eller skriv til hello@capptain.dk. Se afsnit 5 |
| Begrænsning (Art 18) | Ret til at begrænse behandling under visse betingelser | hello@capptain.dk |
| Dataportabilitet (Art 20) | Ret til at modtage dine data i maskinlæsbart format | I webappen på en computer: Min konto, Mine data, Eksportér mine data (JSON-fil). Du kan også skrive til hello@capptain.dk. |
| Indsigelse (Art 21) | Ret til at gøre indsigelse mod behandling baseret på berettiget interesse | hello@capptain.dk |
| Klage | Ret til at klage til Datatilsynet | datatilsynet.dk |
Svar på anmodninger: Du får svar senest en måned efter, at anmodningen er modtaget (GDPR art. 12, stk. 3). Fristen kan forlænges med yderligere to måneder, hvis det er nødvendigt; i så fald får du besked inden for den første måned.
5. Sletning af konto
Du kan anmode om at få din konto slettet i mobilappen eller i webappen. Din arbejdsgiver er dataansvarlig og afgør anmodningen. Capptain behandler den på din arbejdsgivers vegne.
- Anmodning. I mobilappen går du til Min konto, trykker på Slet konto og derefter på Anmod om sletning. I webappen går du til Min konto og Mine data og vælger Anmod om sletning. Du kan fortsat bruge appen, mens anmodningen behandles.
- Behandling. Capptain får besked om anmodningen og behandler den på din arbejdsgivers vegne. Du får svar senest en måned efter, at anmodningen er modtaget. Godkendes sletningen, gennemføres den senest 30 dage efter, at anmodningen er modtaget, og svaret oplyser datoen.
- Sletning. Ved sletningen erstattes din e-mailadresse af en pseudonym værdi, dit navn og dit telefonnummer slettes, dine login-forbindelser (Microsoft, Apple og enhedstokens) og dine push-abonnementer slettes, og brugeren slettes hos login-tjenesten, så du ikke længere kan logge ind. Dine eksponeringsregistreringer bevares hos din arbejdsgiver uden fritekst og uden dit navn. Kemiske APV'er og andre dokumenter, du har oprettet eller godkendt, bevares også hos din arbejdsgiver; henvisningen til dig peger derefter på en pseudonymiseret bruger.
Vil du trække en anmodning tilbage eller høre, hvor langt den er, kontakter du din arbejdsgiver eller skriver til hello@capptain.dk.
Sletning uden anmodning. Har din arbejdsgiver lukket din adgang til platformen, markeres kontoen automatisk til sletning, når adgangen har været lukket i 24 måneder. Sletningen gennemføres derefter som i trin 3, når der er gået yderligere 30 dage.
Bemærk: hvornår dit navn og dine kontaktoplysninger bevares. Er du registreret i din arbejdsgivers register over eksponering for farlige stoffer, bevares dit navn, din e-mailadresse og dit telefonnummer ved sletningen, hvis blot én af dine eksponeringsregistreringer er beskyttet, og dens opbevaringsfrist (afsnit 2.3) endnu ikke er udløbet. En registrering er i dag beskyttet, når mindst ét af følgende gælder:
- produktets faresætninger viste, at det var kræftfremkaldende, mutagent eller reproduktionstoksisk, da registreringen blev oprettet,
- det er angivet på registreringen, at eksponeringen kræver helbredskontrol,
- produktets faresætninger manglede eller kunne ikke tolkes entydigt, da registreringen blev oprettet,
- produktet er markeret som kræftfremkaldende, mutagent eller reproduktionstoksisk, enten da registreringen blev oprettet eller senere,
- eksponeringen er registreret som løbende, dvs. uden en slutdato.
Kun den første grund er i platformen knyttet til bevaringspligten i BEK 582/2026 § 43, stk. 4 (GDPR art. 17, stk. 3, litra b). De øvrige er forsigtighedsregler i platformen, som skal sikre, at en registrering, der kan være omfattet af bevaringspligten, ikke slettes for tidligt.
Bevares dine oplysninger af en af disse grunde, slettes dine login-forbindelser, dine push-abonnementer og brugeren hos login-tjenesten, så du ikke længere kan logge ind. Dine eksponeringsregistreringer, der ikke er beskyttet, slettes. De beskyttede registreringer bevares med dit navn, og dit navn, din e-mailadresse og dit telefonnummer bevares på din bruger. Når opbevaringsfristen for den sidste beskyttede registrering er udløbet, pseudonymiseres dine oplysninger automatisk som beskrevet i trin 3.
6. Cookies og måling
Webappen (app.capptain.ai) bruger:
- Nødvendige session-cookies (login), ingen samtykke krævet
- Ingen analytiske cookies fra tredjepart
- Ingen reklame-cookies
Mobilappen bruger ingen cookies. Push-abonnementer er ikke cookies.
Siderne, hvor et tilbud eller en partneraftale accepteres, måler sidevisninger og indlæsningstid med Vercel Web Analytics og Speed Insights.
7. Dataoverførsler til tredjelande
Resend (e-mails) er et amerikansk selskab; e-mails sendes fra EU (Irland), men Resend behandler efter egne oplysninger primært oplysningerne i USA. Oprettelsen af abonnementet efter en tilbudsaccept afvikles af Vercel i USA (afsnit 2.6). Det samme gælder Expo, Apple og Google, hvis pushbeskeder til mobilappen tages i brug; til pushbeskeder sendes der i dag ingen oplysninger til dem. ClickUp (support- og fejlsager) behandler oplysningerne i USA og hos sine underleverandører. Vercel, Supabase og Sentry lagrer data i EU, men support- og driftsadgang uden for EU kan forekomme: fra USA og for Supabases vedkommende også fra Singapore, hvor Supabases aftalepart, Supabase Pte. Ltd, har hjemsted. Microsoft 365 lagrer data i EU, men i begrænsede tilfælde uden for EU. Capptains aftalepart hos Anthropic (sikkerhedsdatablade; ingen oplysninger fra brugerkonti eller eksponeringsregistreringer) er Anthropic Ireland, Limited, som er etableret i EU; behandlingen kan dog ske uden for EU, herunder i USA, hos Anthropics underdatabehandlere.
For Vercel, Supabase, Resend, ClickUp og Microsoft 365 sker overførslerne på grundlag af EU-Kommissionens standardkontraktbestemmelser (afgørelse (EU) 2021/914), jf. GDPR art. 46, stk. 2, litra c, som de indgår i den enkelte leverandørs aftale. For Anthropic indgår standardkontraktbestemmelserne (modul 2 og 3) i leverandørens databehandleraftale i det omfang, overførslen kræver det. For Sentry er grundlaget ifølge Sentrys vilkår for databehandling EU-US Data Privacy Framework (GDPR art. 45) med standardkontraktbestemmelserne som reservegrundlag.
For de oplysninger, Capptain selv er dataansvarlig for (afsnit 2.6), bruger vi desuden Resend og HubSpot, Inc., som begge er amerikanske virksomheder. Oplysningerne kan derfor blive behandlet i USA. Overførslen sker på grundlag af standardkontraktbestemmelserne i den enkelte leverandørs databehandleraftale.
8. Sikkerhed
Vi implementerer følgende sikkerhedsforanstaltninger:
- Transport: Al trafik til webappen, API'et og mobilappen er krypteret med HTTPS (TLS)
- Database: Tabeller med den enkelte kundes data er afgrænset til kunden med Row Level Security (RLS) i databasen. Undtaget er den fælles vidensbase over leverandørernes sikkerhedsdatablade (databladenes oplysninger og de maskinelle udtræk af dem), som alle indloggede brugere kan læse, fordi de indeholder produkt- og stofoplysninger, der er ens for alle kunder. Et sikkerhedsdatablad, som en kunde selv har uploadet, og udtrækket af det kan kun kundens egne brugere læse. Adgang til en kundes øvrige data på tværs af kunder har derudover kun en partner, som kunden selv har godkendt at dele data med, og kun til de data, kunden har godkendt at dele, samt Capptains egne medarbejdere i HQ
- Adgangskontrol: Adgang styres efter brugerens rolle
- Hemmeligheder: Ingen hardkodede adgangsnøgler; de ligger i miljøvariabler
- Push-abonnementer: Opbevares i databasen, som er krypteret på disken hos Supabase
9. Kontakt og klagevej
Databeskyttelsesrådgiver (DPO): Capptain A/S har vurderet, at vi ikke skal udpege en databeskyttelsesrådgiver (GDPR art. 37). Spørgsmål om databeskyttelse rettes til:
Datatilsynet (klager): Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby dt@datatilsynet.dk | datatilsynet.dk | +45 33 19 32 00
10. Ændringer til denne politik
Vi opdaterer denne politik ved væsentlige ændringer. Ændringer offentliggøres på denne side med en ny dato øverst. Ændrer vi grundlaget for en behandling til samtykke, beder vi om dit samtykke i appen.
Capptain A/S, hello@capptain.dk