Spring til dokumentet

← Alle versioner af Privatlivspolitik

Privatlivspolitik: ændringer i version 1.2

Sammenlignet med version 1.1, der trådte i kraft den . Denne version trådte i kraft den .

Læs version 1.2Læs version 1.1

94 linjer tilføjet · 64 linjer fjernet. Uændrede afsnit er udeladt.

Privatlivspolitik for Capptain

  • Privatlivspolitik for Capptain
  • Rettet: Sidst opdateret: udgår: 2026-08-21 nyt: 2026-10-01
  • Rettet: Gælder for: Capptain-webappen (app.capptain.ai) og Capptain-mobilappen (iOS udgår: + nyt: og Android) nyt: samt siderne, hvor et tilbud eller en partneraftale accepteres
  • Rettet: udgår: Ansvarlig: nyt: Udgivet nyt: af: Capptain A/S
  • ---

1. Hvem er vi?

  • Capptain A/S CVR: 45287203 Adresse: Finsensvej 1F, 7430 Ikast
  • Rettet: E-mail: udgår: privacy@capptain.ai nyt: hello@capptain.dk
  • Telefon: +45 78 70 18 48
  • Fjernet: Website: https://capptain.ai
  •  
  • Rettet: Capptain A/S er databehandler for vores kunder (virksomheder). Kundens virksomhed er den dataansvarlige for data om deres medarbejdere. Kundeforholdet er reguleret af en udgår: Databehandleraftale nyt: databehandleraftale, udgår: (DPA). nyt: som udgår: Se nyt: du udgår: skabelon: nyt: kan udgår: [DPA-skabelon](/legal/dpa). nyt: læse på [app.capptain.ai/policy/dpa](/policy/dpa).
  •  
  • Tilføjet: For oplysninger om kontaktpersoner hos vores kunder og partnere, som vi bruger til salg, aftaleindgåelse, fakturering og varslinger, er Capptain A/S selv dataansvarlig. Det er beskrevet i afsnit 2.6.
  • Tilføjet:  
  • ---

2. Hvilke data behandler vi?

  • 2. Hvilke data behandler vi?
  • Rettet: Vi behandler følgende kategorier af udgår: persondata nyt: personoplysninger udgår: i nyt: (GDPR udgår: overensstemmelse nyt: art. udgår: med nyt: 4, udgår: GDPR nyt: nr. udgår: Art 4(1): nyt: 1):
  •  

2.1 Kontodata

  • ### 2.1 Kontodata | Data | Formål | Retsgrundlag | Opbevaring | |---|---|---|---|
  • Rettet: | E-mailadresse | Login, kommunikation | Opfyldelse af aftale (Art 6(1)(b)) | Indtil udgår: kontosletning nyt: din nyt: konto slettes; se afsnit 5 om, hvornår den bevares |
  • Rettet: | Telefonnummer | Login udgår: via nyt: med udgår: SMS-OTP nyt: engangskode nyt: pr. SMS | Opfyldelse af aftale (Art 6(1)(b)) | Indtil udgår: kontosletning nyt: din nyt: konto slettes; se afsnit 5 om, hvornår det bevares |
  • Rettet: | Rolle udgår: (frontline/koordinator) nyt: (administrator, nyt: superbruger, arbejdsmiljørepræsentant eller medarbejder) | Adgangsstyring | Berettiget interesse (Art 6(1)(f)) | Indtil udgår: kontosletning nyt: din nyt: konto slettes |
  • Fjernet: | Tenant-tilhørsforhold | Multi-tenant isolation | Opfyldelse af aftale (Art 6(1)(b)) | Indtil kontosletning |
  • Tilføjet: | Navn | Visning i platformen, fx hvem der har godkendt en vurdering | Opfyldelse af aftale (Art 6(1)(b)) | Indtil din konto slettes; se afsnit 5 om, hvornår det bevares |
  • Tilføjet: | Hvilken virksomhed du hører til | Adskillelse af kundernes data | Opfyldelse af aftale (Art 6(1)(b)) | Indtil din konto slettes |
  •  

2.2 Push-tokens (mobilapp)

  • Fjernet: 2.2 Push-tokens (mobilapp)

2.2 Pushbeskeder

  • Tilføjet: 2.2 Pushbeskeder
  • | Data | Formål | Retsgrundlag | Opbevaring | |---|---|---|---|
  • Fjernet: | Expo Push Token | Levering af push-notifikationer | Samtykke (Art 6(1)(a)) | Indtil token tilbagekaldes eller konto slettes |
  • Tilføjet: | Push-abonnement i browseren (abonnementsadresse, nøgler og browserbetegnelse) | Besked, når en kemisk APV er klar til gennemgang eller er publiceret | Berettiget interesse (Art 6(1)(f)) | Indtil du afmelder notifikationer i webappen, pushtjenesten melder abonnementet ophørt, eller din konto slettes |
  •  
  • Fjernet: Brugere kan til enhver tid afmelde push-notifikationer via systemindstillinger (iOS: Indstillinger → Capptain → Notifikationer; Android: Indstillinger → Apps → Capptain → Notifikationer).
  • Tilføjet: Notifikationer sendes kun, hvis du selv har tilladt dem i browseren. Du kan til enhver tid slå dem fra i browserens indstillinger. Mobilappen modtager i dag ingen pushbeskeder og registrerer ingen push-token.
  •  

2.3 Arbejdsmiljødata (kemisk APV)

  • ### 2.3 Arbejdsmiljødata (kemisk APV) | Data | Formål | Retsgrundlag | Opbevaring | |---|---|---|---|
  • Fjernet: | Kemikalie-indberetninger (stregkoder, SDS-opslag) | Kemisk APV-dokumentation | Retlig forpligtelse (Art 6(1)(c), Arbejdsmiljølovens §15a) | 5 år (AT-regulatorisk krav) |
  • Fjernet: | Observationsindberetninger (tekst + fotos) | Arbejdsmiljødokumentation | Retlig forpligtelse (Art 6(1)(c)) | 5 år |
  • Fjernet: | Eftersyn og inspektioner | Compliance-dokumentation | Retlig forpligtelse (Art 6(1)(c)) | 5 år |
  • Tilføjet: | Kemiske risikovurderinger (hvem der oprettede, gennemgik og godkendte vurderingen) | Kemisk APV-dokumentation | Retlig forpligtelse (Art 6(1)(c), arbejdsmiljølovens § 15 a) | 5 år efter publicering (Capptains faglige afgørelse) |
  • Tilføjet: | Kemikalieregistret (hvem der har oprettet eller ændret et produkt) | Arbejdsgiverens fortegnelse over farlige stoffer og materialer | Retlig forpligtelse (Art 6(1)(c)) | Så længe produktet står i kemikalieregistret |
  • Tilføjet: | Produktindberetninger fra mobil- eller webappen (stregkode, etiketoplysninger, fritekst og et eventuelt miniaturefoto) | Registrering af nye produkter i virksomhedens kemikalieregister | Behandling på vegne af din arbejdsgiver (dataansvarlig) efter databehandleraftalen | Indberetningen slettes, når produktet optages i kemikalieregistret. Ellers gælder den aftalte periode på 90 dage; sletning sker i dag ikke automatisk. Partnere, som din arbejdsgiver har givet adgang til kemikalieregistret, kan se indberetningen, også fotoet |
  • Tilføjet: | Eksponeringsregistreringer (hvilke stoffer den enkelte medarbejder arbejder med, hvor ofte og hvor længe, ventilation og værnemidler) | Arbejdsgiverens lovpligtige liste over eksponerede medarbejdere | Retlig forpligtelse (Art 6(1)(c)) og Art 9(2)(b) | Platformen beregner i dag opbevaringsfristen fra eksponeringens startdato: 40 år, hvis produktet var markeret som kræftfremkaldende, mutagent eller reproduktionstoksisk, da registreringen blev oprettet, og ellers 5 år. Der er i dag ingen automatisk sletning eller anonymisering, når fristen udløber. Se noten nedenfor |
  •  
  • Fjernet: Vigtig note om kemikalie-eksponeringsdata: Data om medarbejderes kemikalie-eksponering kan under visse omstændigheder udgøre helbredsdata (GDPR Art 9, særlige kategorier). Capptain behandler sådanne data udelukkende som databehandler på instruktion fra den dataansvarlige (kunden). Kunden bærer ansvaret for at sikre lovhjemmel efter Art 9(2). Se DPIA i `docs/principles/gdpr-compliance.md`.
  • Tilføjet: Vigtig note om eksponeringsregistreringer: Registreringer af den enkelte medarbejders eksponering for farlige stoffer er helbredsoplysninger (GDPR art. 9). Frekvens, varighed, datoer, ventilation og værnemidler krypteres særskilt i databasen, registreringerne er aldrig tilgængelige for partnere, og de sendes ikke til AI-behandling. Capptain behandler dem udelukkende som databehandler efter instruks fra din arbejdsgiver (kunden), som har ansvaret for hjemlen efter art. 9, stk. 2. Nærmere beskrivelse står i databehandleraftalen på [app.capptain.ai/policy/dpa](/policy/dpa).
  •  

2.4 Microsoft Entra ID-data (valgfrit)

  • Fjernet: 2.4 Microsoft Entra ID-data (valgfrit)
  • Tilføjet: Om opbevaringsfristen for eksponeringsregistreringer: BEK 582/2026 § 43, stk. 4 kræver, at listen opbevares i 40 år efter, at risikoen er ophørt, for kræftfremkaldende og mutagene stoffer og i 5 år for reproduktionstoksiske stoffer. Platformens beregning følger ikke den regel præcist: den regner fra startdatoen og ikke fra det tidspunkt, hvor risikoen er ophørt, og den giver reproduktionstoksiske stoffer samme frist på 40 år som kræftfremkaldende og mutagene. Fristen bruges i dag til at afgøre, hvornår en registrering ikke længere er beskyttet mod sletning (afsnit 5). Registreringer slettes ikke automatisk, når fristen udløber.
  •  

2.4 Login med Microsoft eller Apple (valgfrit)

  • Tilføjet: 2.4 Login med Microsoft eller Apple (valgfrit)
  • Tilføjet:  
  • | Data | Formål | Retsgrundlag | Opbevaring | |---|---|---|---|
  • Rettet: | udgår: Entra nyt: Microsoft udgår: Tenant nyt: Entra-identifikatorer udgår: ID nyt: (virksomhedens nyt: tenant-id og dit objekt-id) | Virksomhedslogin (SSO) | Berettiget interesse (Art 6(1)(f)) | Indtil udgår: integration nyt: din udgår: ophæves nyt: konto nyt: slettes |
  • Fjernet: | Entra Object ID | Brugeridentifikation | Berettiget interesse (Art 6(1)(f)) | Indtil integration ophæves |
  • Tilføjet: | Apple-identifikator | Log ind med Apple i mobilappen | Opfyldelse af aftale (Art 6(1)(b)) | Indtil din konto slettes |
  •  

2.5 Diagnostik og crash-data

  • Fjernet: 2.5 Diagnostik og crash-data

2.5 Diagnostik og fejlrapporter

  • Tilføjet: 2.5 Diagnostik og fejlrapporter
  • | Data | Formål | Retsgrundlag | Opbevaring | |---|---|---|---|
  • Fjernet: | Crash logs, stack traces | Fejlfinding og appstabilitet | Berettiget interesse (Art 6(1)(f)) | 90 dage (Sentry konfiguration) |
  • Fjernet: | Performance-data (startup-tid, memory) | Appoptimering | Berettiget interesse (Art 6(1)(f)) | 90 dage |
  • Tilføjet: | Fejl- og nedbrudsrapporter (stakspor, app-, styresystems- og enhedsoplysninger, installationsidentifikator) og i mobilappen appens logbeskeder | Fejlfinding og appstabilitet | Berettiget interesse (Art 6(1)(f)) | Efter Sentrys opbevaringsindstillinger for vores konto |
  • Tilføjet: | Performance-målinger fra webappen (stikprøve på 5 % af forespørgslerne) | Appoptimering | Berettiget interesse (Art 6(1)(f)) | Efter Sentrys opbevaringsindstillinger for vores konto |
  •  
  • Tilføjet: Fejlrapporterne filtreres for personoplysninger, før de sendes. Mobilappens rapporter fra telefonens eget styresystem (native nedbrud) passerer ikke filteret.
  • Tilføjet:  

2.6 Oplysninger, hvor Capptain selv er dataansvarlig

  • Tilføjet: 2.6 Oplysninger, hvor Capptain selv er dataansvarlig
  • Tilføjet:  
  • Tilføjet: For oplysningerne i dette afsnit er Capptain A/S selv dataansvarlig. De vedrører kontaktpersoner hos vores kunder og partnere, modtagere af vores varslinger og andre udsendelser til kunder, den, der accepterer et tilbud, og den, der accepterer en partneraftale. Oplysningerne kommer fra dig selv eller fra din virksomhed. Virksomhedsoplysninger kan komme fra CVR-registret, og modtagere af udsendelser findes blandt faktureringskontakterne i vores faktureringssystem (Fenerum).
  • Tilføjet:  
  • Tilføjet: | Data | Formål | Retsgrundlag | Modtagere | Opbevaring |
  • Tilføjet: |---|---|---|---|---|
  • Tilføjet: | Kontaktpersoner hos kunder og partnere (navn, e-mailadresse, eventuelt telefonnummer samt virksomhedens navn, CVR-nummer og adresse) | Salg, tilbud, aftaleindgåelse, fakturering og drift af kunde- og partnerforholdet | Opfyldelse af aftale (Art 6(1)(b)) og berettiget interesse (Art 6(1)(f)) i at kunne kontakte virksomheden om aftalen | Vercel og Supabase (afsnit 3), Resend (udsendelse af tilbud og andre e-mails, USA), HubSpot, Inc. (kundeforholdssystem, USA) og Fenerum ApS (abonnement og fakturering, Danmark). Fenerum sender fakturaer, rykkere samt betalings- og fornyelsesvarsler til faktureringskontakten | Så længe salgsdialogen eller kunde- eller partnerforholdet løber. Oplysninger, der indgår i regnskabsmateriale, opbevares i mindst 5 år (bogføringsloven). Der er i dag ingen automatisk sletning |
  • Tilføjet: | Accept af et tilbud (navn, e-mailadresse og eventuelt stilling på den, der accepterer, IP-adresse, browseroplysninger (user agent), tidspunkt samt virksomhedens navn, CVR-nummer og adresse) | Indgåelse af aftalen og dokumentation for, at tilbuddet er accepteret, og af hvem | Opfyldelse af aftale (Art 6(1)(b)); for IP-adresse og browseroplysninger berettiget interesse (Art 6(1)(f)) i at kunne dokumentere accepten | Vercel og Supabase (afsnit 3). Vercel afvikler også oprettelsen af abonnementet efter accepten; den kørsel sker i USA, og virksomhedens navn, kontaktperson og faktureringsadresse gemmes i kørselsloggen der. Resend sender kvitteringen til dig. Fenerum modtager virksomhedsoplysningerne og faktureringskontakten til fakturering, og HubSpot får besked om, at tilbuddet er accepteret | Mindst 5 år (bogføringsloven). Der er i dag ingen automatisk sletning |
  • Tilføjet: | Modtagere af varslinger og andre udsendelser til kunder (navn, fornavn til hilsenen, e-mailadresse og eventuelle kopimodtagere samt kopi af den afsendte e-mail) | Varsling af kunder om ændringer i aftalen, fx priser og vilkår, og dokumentation for, hvad der blev godkendt og sendt til hvem | Opfyldelse af aftale (Art 6(1)(b)); for valget af den rette modtager berettiget interesse (Art 6(1)(f)) i, at varslet når en person og ikke en ubemandet postkasse | Vercel og Supabase (afsnit 3), Resend (udsendelse, USA). Fenerum ApS er kilden til faktureringskontakterne | Kopien af den afsendte e-mail og modtageroplysningerne i godkendelsen og afsendelsesloggen opbevares som dokumentation for varslingen i mindst 5 år. Der er i dag ingen automatisk sletning, heller ikke af de kontaktoplysninger, der blev indsamlet til udvælgelsen af modtagere |
  • Tilføjet: | Leverings-, åbnings- og kliksporing af udsendelser (tidspunkt for levering, første åbning, første klik og eventuel afvisning; den fulde hændelse, som Resend sender, herunder modtageradresse og emne og ved klik det klikkede link og de tekniske oplysninger om klikket, som Resend medsender; adresser, der har afvist post eller klaget, på en spærreliste) | Dokumentation for, at varslet er kommet frem, og at vi ikke igen sender til en adresse, der afviser post eller har klaget | Berettiget interesse (Art 6(1)(f)) i at kunne dokumentere, at varslet er kommet frem | Vercel og Supabase (afsnit 3), Resend (USA), som registrerer hændelserne og sender dem til os | Mindst 5 år. Der er i dag ingen automatisk sletning. Hændelser for vores øvrige e-mails fra Resend, fx engangskoder, loginlinks og invitationer, gemmes på samme måde i hændelsesloggen, men knyttes ikke til en udsendelse |
  • Tilføjet: | Accept af en partneraftale (navn, stilling og e-mailadresse på den, der accepterer, IP-adresse, browseroplysninger (user agent), tidspunkt, den accepterede version af aftalen og hvilke dokumenter accepten omfattede) | Indgåelse af partneraftalen og dokumentation for, at den er accepteret, og af hvem | Opfyldelse af aftale (Art 6(1)(b)); for IP-adresse og browseroplysninger berettiget interesse (Art 6(1)(f)) i at kunne dokumentere accepten | Vercel og Supabase (afsnit 3), hvor accepten registreres i databasen. Platformen forsøger desuden at gemme en kopi af accepten i Vercels fillager; mislykkes det, er accepten stadig registreret i databasen. Resend sender kvitteringen til den, der har accepteret, med kopi til Capptain | I aftalens løbetid og 10 år derefter (partneraftalen § 26.6). Der er i dag ingen automatisk sletning, når fristen udløber |
  • Tilføjet: | Opslag i CVR-registret (virksomhedens navn og adresse; for en enkeltmandsvirksomhed kan navn og adresse være ejerens egne) | Korrekte stamdata ved oprettelse af kunder, partnere og tilbud | Berettiget interesse (Art 6(1)(f)) i korrekte kunde- og faktureringsoplysninger | cvrapi.dk og Erhvervsstyrelsens CVR-register modtager kun et CVR-nummer eller et virksomhedsnavn | Gemmes sammen med oplysningerne om kunden eller partneren og følger dem |
  • Tilføjet: | Henvendelser til os (support- og fejlsager og e-mails, herunder oplysninger om medarbejdere, som en henvendelse indeholder) | Håndtering af support- og fejlsager | Opfyldelse af aftale (Art 6(1)(b)); for oplysninger om kundens medarbejdere behandler vi som databehandler efter databehandleraftalen | ClickUp (sagsstyring, USA) og Microsoft 365 (e-mail og kalender), se afsnit 3 | Så længe sagen er relevant for kunde- eller partnerforholdet. Der er i dag ingen automatisk sletning |
  • Tilføjet:  
  • Tilføjet: Dine rettigheder efter afsnit 4 gælder også for disse oplysninger, herunder retten til at gøre indsigelse mod behandling, der sker på grundlag af berettiget interesse. Henvendelser sendes til hello@capptain.dk.
  • Tilføjet:  
  • ---

3. Sub-processorer

  • Fjernet: 3. Sub-processorer

3. Underdatabehandlere

  • Tilføjet: 3. Underdatabehandlere
  •  
  • Rettet: Capptain benytter følgende underleverandører udgår: (sub-processorer) nyt: (underdatabehandlere) til databehandling:
  •  
  • Rettet: | udgår: Sub-processor nyt: Underdatabehandler | Rolle | Datacenterlokation | GDPR-sikring |
  • |---|---|---|---|
  • Fjernet: | Supabase Inc. | Database, authentication, fillagring | EU (Frankfurt) | DPA + EU Standardkontraktklausuler (SCCs) |
  • Fjernet: | Brevo SAS | SMS-OTP-levering, e-mailtransaction | EU (Paris) | DPA |
  • Fjernet: | Sentry Inc. | Crash reporting og performance monitoring | EU (Frankfurt) | DPA + SCCs |
  • Fjernet: | Expo Technology Inc. | Push notification token management | USA | DPA + SCCs (Art 46(2)(c)) |
  • Fjernet: | Vercel Inc. | API-hosting og CDN | EU (Frankfurt) | DPA + SCCs |
  • Tilføjet: | Supabase Pte. Ltd (Singapore) | Database, login og fillagring | EU (Stockholm, Sverige); support- og driftsadgang uden for EU, herunder fra Singapore og USA, kan forekomme | Databehandleraftale med standardkontraktbestemmelser for overførslen, jf. leverandørens databehandleraftale |
  • Tilføjet: | Vercel Inc. | Hosting af webappen og API'et | EU (Stockholm, Sverige); support- og driftsadgang fra USA kan forekomme | Databehandleraftale; adgang fra USA på grundlag af standardkontraktbestemmelser, jf. leverandørens databehandleraftale |
  • Tilføjet: | Plus Five Five, Inc., d/b/a Resend | Udsendelse af e-mails: engangskoder, loginlinks, invitationer og systembeskeder | E-mails sendes fra EU (Irland); Resend er et amerikansk selskab og behandler efter egne oplysninger primært oplysningerne i USA | Databehandleraftale; overførsel til USA på grundlag af standardkontraktbestemmelser, jf. leverandørens databehandleraftale |
  • Tilføjet: | inMobile ApS (Danmark) | Levering af engangskoder pr. SMS ved login med telefonnummer | EU | Ingen overførsel uden for EU |
  • Tilføjet: | Functional Software, Inc., d/b/a Sentry | Fejl- og nedbrudsovervågning | EU (Frankfurt, Tyskland); adgang fra USA kan forekomme | Adgang fra USA på grundlag af EU-US Data Privacy Framework med standardkontraktbestemmelser som reservegrundlag, jf. Sentrys vilkår for databehandling |
  • Tilføjet: | Anthropic Ireland, Limited (Irland) | Maskinel udtrækning og oversættelse af sikkerhedsdatablade, klassifikation af produkter samt forslag til kemisk APV og substitution. Der sendes kun indholdet af sikkerhedsdatablade og produktoplysninger; platformen sender ikke oplysninger fra brugerkonti eller eksponeringsregistreringer | Aftaleparten er etableret i EU (Irland); behandling uden for EU, herunder i USA, kan forekomme hos Anthropics underdatabehandlere | Databehandleraftale med Anthropic Ireland, Limited; standardkontraktbestemmelser (modul 2 og 3) indgår i det omfang, overførslen kræver det, jf. leverandørens databehandleraftale |
  • Tilføjet: | Mango Technologies, Inc., d/b/a ClickUp | Capptains håndtering af support- og fejlsager. Sagerne kan indeholde oplysninger om kundens medarbejdere, også om arbejdsulykker | USA og hos ClickUps underleverandører | Overførsel efter EU's standardkontraktbestemmelser |
  • Tilføjet: | Microsoft Ireland Operations Limited (Microsoft 365) | Capptains e-mail og kalender, herunder henvendelser til os | EU; i begrænsede tilfælde uden for EU | Uden for EU efter EU's standardkontraktbestemmelser |
  • Tilføjet: | Hetzner Online GmbH (Tyskland) | Kun når en kundes data flyttes fra den hidtidige platform til den nye efter kundens instruks | Tyskland | Ingen overførsel uden for EU |
  • Tilføjet: | 650 Industries, Inc., d/b/a Expo, med Apple og Google som videreleverandører | Pushbeskeder og programopdateringer til mobilappen. Anvendes kun, når pushbeskeder til mobilappen tages i brug; mobilappen modtager i dag ingen pushbeskeder og henter ikke opdateringer automatisk | USA | Ikke i brug i dag; der sendes ingen oplysninger til leverandøren |
  •  
  • Fjernet: En opdateret liste over sub-processorer er tilgængelig på forespørgsel: privacy@capptain.ai
  • Tilføjet: Pushbeskeder i browseren. Slår du notifikationer til i webappen, leveres de via den pushtjeneste, din browser bruger (Google, Apple eller Mozilla afhængigt af browseren). Beskeden er krypteret, så pushtjenesten ikke kan læse den; tjenesten modtager abonnementsadressen, IP-adresser og den krypterede besked. Pushtjenesten stilles til rådighed af din browserleverandør på dennes vilkår og er ikke Capptains underdatabehandler.
  •  
  • Tilføjet: Kundernes databehandleraftale ([app.capptain.ai/policy/dpa](/policy/dpa)) har sin egen liste over underdatabehandlere i Bilag B. Den liste ændres efter databehandleraftalens regler og kan derfor i en periode afvige fra listen ovenfor, som beskriver de leverandører, platformen bruger i dag. Spørgsmål kan rettes til hello@capptain.dk.
  • Tilføjet:  
  • ---

4. Dine rettigheder (Art 15-22)

  • | Rettighed | Hvad det betyder | Sådan udøver du den | |---|---|---|
  • Rettet: | Berigtigelsesret (Art 16) | Ret til at korrigere ukorrekte data | udgår: Indstillinger nyt: Skriv udgår: i nyt: til udgår: appen nyt: din nyt: arbejdsgiver eller udgår: privacy@capptain.ai nyt: til nyt: hello@capptain.dk |
  • Rettet: | Sletningsret (Art 17) | Ret til at udgår: slette nyt: få din konto og nyt: dine data nyt: slettet | udgår: Appen: nyt: Anmod udgår: Indstillinger nyt: om udgår: → nyt: sletning nyt: i mobilappen (Min konto, Slet udgår: min nyt: konto) nyt: eller i webappen (Min konto, nyt: Mine data), eller udgår: privacy@capptain.ai nyt: skriv nyt: til hello@capptain.dk. Se afsnit 5 |
  • Rettet: | Begrænsning (Art 18) | Ret til at begrænse behandling under visse betingelser | udgår: privacy@capptain.ai nyt: hello@capptain.dk |
  • Rettet: | Dataportabilitet (Art 20) | Ret til at modtage dine data i maskinlæsbart format | udgår: privacy@capptain.ai nyt: I udgår: (CSV/JSON nyt: webappen udgår: eksport) nyt: på nyt: en computer: Min konto, Mine data, Eksportér mine data (JSON-fil). Du kan også skrive til hello@capptain.dk. |
  • Rettet: | Indsigelse (Art 21) | Ret til at gøre indsigelse mod behandling baseret på berettiget interesse | udgår: privacy@capptain.ai nyt: hello@capptain.dk |
  • Fjernet: | Indsigtsret (Art 15) | Ret til at se hvilke data vi behandler om dig | Kontakt privacy@capptain.ai |
  • Tilføjet: | Indsigtsret (Art 15) | Ret til at se hvilke data vi behandler om dig | I webappen på en computer: Min konto, Mine data, Eksportér mine data. Du får kopien med det samme som en fil. Du kan også skrive til hello@capptain.dk. |
  • | Klage | Ret til at klage til Datatilsynet | datatilsynet.dk |
  • Fjernet: Svar på anmodninger: Vi svarer inden 30 dage (Art 12(3)).
  • Tilføjet: Svar på anmodninger: Du får svar senest en måned efter, at anmodningen er modtaget (GDPR art. 12, stk. 3). Fristen kan forlænges med yderligere to måneder, hvis det er nødvendigt; i så fald får du besked inden for den første måned.
  • --- <a id="deletion"></a>

5. Sletning af konto (in-app)

  • Fjernet: 5. Sletning af konto (in-app)

5. Sletning af konto

  • Tilføjet: 5. Sletning af konto
  •  
  • Fjernet: Du kan slette din konto direkte i appen:
  • Tilføjet: Du kan anmode om at få din konto slettet i mobilappen eller i webappen. Din arbejdsgiver er dataansvarlig og afgør anmodningen. Capptain behandler den på din arbejdsgivers vegne.
  •  
  • Fjernet: 1. Åbn appen og log ind
  • Fjernet: 2. Gå til Indstillinger (profil-ikon øverst til højre)
  • Fjernet: 3. Tryk på Slet min konto
  • Fjernet: 4. Bekræft med dit telefonnummer/Apple ID
  • Fjernet: 5. Din session ugyldiggøres øjeblikkeligt
  • Fjernet: 6. Dine persondata slettes permanent efter 30 dage (grace period)
  • Tilføjet: 1. Anmodning. I mobilappen går du til Min konto, trykker på Slet konto og derefter på Anmod om sletning. I webappen går du til Min konto og Mine data og vælger Anmod om sletning. Du kan fortsat bruge appen, mens anmodningen behandles.
  • Tilføjet: 2. Behandling. Capptain får besked om anmodningen og behandler den på din arbejdsgivers vegne. Du får svar senest en måned efter, at anmodningen er modtaget. Godkendes sletningen, gennemføres den senest 30 dage efter, at anmodningen er modtaget, og svaret oplyser datoen.
  • Tilføjet: 3. Sletning. Ved sletningen erstattes din e-mailadresse af en pseudonym værdi, dit navn og dit telefonnummer slettes, dine login-forbindelser (Microsoft, Apple og enhedstokens) og dine push-abonnementer slettes, og brugeren slettes hos login-tjenesten, så du ikke længere kan logge ind. Dine eksponeringsregistreringer bevares hos din arbejdsgiver uden fritekst og uden dit navn. Kemiske APV'er og andre dokumenter, du har oprettet eller godkendt, bevares også hos din arbejdsgiver; henvisningen til dig peger derefter på en pseudonymiseret bruger.
  •  
  • Fjernet: I grace-perioden kan du kontakte privacy@capptain.ai for at annullere sletningen.
  • Tilføjet: Vil du trække en anmodning tilbage eller høre, hvor langt den er, kontakter du din arbejdsgiver eller skriver til hello@capptain.dk.
  •  
  • Fjernet: Bemærk: Arbejdsmiljødata der er underlagt retlig opbevaringspligt (5 år) anonymiseres og kobles fra din identitet, men kan ikke slettes inden for opbevaringsfristen.
  • Tilføjet: Sletning uden anmodning. Har din arbejdsgiver lukket din adgang til platformen, markeres kontoen automatisk til sletning, når adgangen har været lukket i 24 måneder. Sletningen gennemføres derefter som i trin 3, når der er gået yderligere 30 dage.
  •  
  • Tilføjet: Bemærk: hvornår dit navn og dine kontaktoplysninger bevares. Er du registreret i din arbejdsgivers register over eksponering for farlige stoffer, bevares dit navn, din e-mailadresse og dit telefonnummer ved sletningen, hvis blot én af dine eksponeringsregistreringer er beskyttet, og dens opbevaringsfrist (afsnit 2.3) endnu ikke er udløbet. En registrering er i dag beskyttet, når mindst ét af følgende gælder:
  • Tilføjet:  
  • Tilføjet: - produktets faresætninger viste, at det var kræftfremkaldende, mutagent eller reproduktionstoksisk, da registreringen blev oprettet,
  • Tilføjet: - det er angivet på registreringen, at eksponeringen kræver helbredskontrol,
  • Tilføjet: - produktets faresætninger manglede eller kunne ikke tolkes entydigt, da registreringen blev oprettet,
  • Tilføjet: - produktet er markeret som kræftfremkaldende, mutagent eller reproduktionstoksisk, enten da registreringen blev oprettet eller senere,
  • Tilføjet: - eksponeringen er registreret som løbende, dvs. uden en slutdato.
  • Tilføjet:  
  • Tilføjet: Kun den første grund er i platformen knyttet til bevaringspligten i BEK 582/2026 § 43, stk. 4 (GDPR art. 17, stk. 3, litra b). De øvrige er forsigtighedsregler i platformen, som skal sikre, at en registrering, der kan være omfattet af bevaringspligten, ikke slettes for tidligt.
  • Tilføjet:  
  • Tilføjet: Bevares dine oplysninger af en af disse grunde, slettes dine login-forbindelser, dine push-abonnementer og brugeren hos login-tjenesten, så du ikke længere kan logge ind. Dine eksponeringsregistreringer, der ikke er beskyttet, slettes. De beskyttede registreringer bevares med dit navn, og dit navn, din e-mailadresse og dit telefonnummer bevares på din bruger. Når opbevaringsfristen for den sidste beskyttede registrering er udløbet, pseudonymiseres dine oplysninger automatisk som beskrevet i trin 3.
  • Tilføjet:  
  • ---

6. Cookies og tracking

  • Fjernet: 6. Cookies og tracking

6. Cookies og måling

  • Tilføjet: 6. Cookies og måling
  • Webappen (app.capptain.ai) bruger:
  • Rettet: - Nødvendige session-cookies udgår: (authentication), nyt: (login), ingen samtykke krævet
  • - Ingen analytiske cookies fra tredjepart - Ingen reklame-cookies
  • Rettet: Mobilappen bruger ingen cookies. udgår: Push-tokens nyt: Push-abonnementer er ikke cookies.
  •  
  • Tilføjet: Siderne, hvor et tilbud eller en partneraftale accepteres, måler sidevisninger og indlæsningstid med Vercel Web Analytics og Speed Insights.
  • Tilføjet:  
  • ---

7. Dataoverførsler til tredjelande

  • 7. Dataoverførsler til tredjelande
  • Fjernet: Expo Push (USA) og potentielt Sentry (USA-infrastruktur) indebærer overførsler til tredjelande. Disse overførsler er sikret via EU Standardkontraktklausuler (SCCs) jf. GDPR Art 46(2)(c) og Transfer Impact Assessments (TIA).
  • Tilføjet: Resend (e-mails) er et amerikansk selskab; e-mails sendes fra EU (Irland), men Resend behandler efter egne oplysninger primært oplysningerne i USA. Oprettelsen af abonnementet efter en tilbudsaccept afvikles af Vercel i USA (afsnit 2.6). Det samme gælder Expo, Apple og Google, hvis pushbeskeder til mobilappen tages i brug; til pushbeskeder sendes der i dag ingen oplysninger til dem. ClickUp (support- og fejlsager) behandler oplysningerne i USA og hos sine underleverandører. Vercel, Supabase og Sentry lagrer data i EU, men support- og driftsadgang uden for EU kan forekomme: fra USA og for Supabases vedkommende også fra Singapore, hvor Supabases aftalepart, Supabase Pte. Ltd, har hjemsted. Microsoft 365 lagrer data i EU, men i begrænsede tilfælde uden for EU. Capptains aftalepart hos Anthropic (sikkerhedsdatablade; ingen oplysninger fra brugerkonti eller eksponeringsregistreringer) er Anthropic Ireland, Limited, som er etableret i EU; behandlingen kan dog ske uden for EU, herunder i USA, hos Anthropics underdatabehandlere.
  •  
  • Tilføjet: For Vercel, Supabase, Resend, ClickUp og Microsoft 365 sker overførslerne på grundlag af EU-Kommissionens standardkontraktbestemmelser (afgørelse (EU) 2021/914), jf. GDPR art. 46, stk. 2, litra c, som de indgår i den enkelte leverandørs aftale. For Anthropic indgår standardkontraktbestemmelserne (modul 2 og 3) i leverandørens databehandleraftale i det omfang, overførslen kræver det. For Sentry er grundlaget ifølge Sentrys vilkår for databehandling EU-US Data Privacy Framework (GDPR art. 45) med standardkontraktbestemmelserne som reservegrundlag.
  • Tilføjet:  
  • Tilføjet: For de oplysninger, Capptain selv er dataansvarlig for (afsnit 2.6), bruger vi desuden Resend og HubSpot, Inc., som begge er amerikanske virksomheder. Oplysningerne kan derfor blive behandlet i USA. Overførslen sker på grundlag af standardkontraktbestemmelserne i den enkelte leverandørs databehandleraftale.
  • Tilføjet:  
  • ---

8. Sikkerhed

  • ## 8. Sikkerhed Vi implementerer følgende sikkerhedsforanstaltninger:
  • Fjernet: - Transport: TLS 1.3 på alle API-kald og web-trafik
  • Fjernet: - Database: Row Level Security (RLS) i Supabase: ingen bruger kan tilgå anden tenants data
  • Fjernet: - Adgangskontrol: Role-based access control (RBAC) med mindste privilegier
  • Fjernet: - Secrets: Ingen hardkodede credentials, alt via miljøvariabler
  • Fjernet: - Push-tokens: Opbevaret krypteret i database (Supabase encrypted at rest)
  • Tilføjet: - Transport: Al trafik til webappen, API'et og mobilappen er krypteret med HTTPS (TLS)
  • Tilføjet: - Database: Tabeller med den enkelte kundes data er afgrænset til kunden med Row Level Security (RLS) i databasen. Undtaget er den fælles vidensbase over leverandørernes sikkerhedsdatablade (databladenes oplysninger og de maskinelle udtræk af dem), som alle indloggede brugere kan læse, fordi de indeholder produkt- og stofoplysninger, der er ens for alle kunder. Et sikkerhedsdatablad, som en kunde selv har uploadet, og udtrækket af det kan kun kundens egne brugere læse. Adgang til en kundes øvrige data på tværs af kunder har derudover kun en partner, som kunden selv har godkendt at dele data med, og kun til de data, kunden har godkendt at dele, samt Capptains egne medarbejdere i HQ
  • Tilføjet: - Adgangskontrol: Adgang styres efter brugerens rolle
  • Tilføjet: - Hemmeligheder: Ingen hardkodede adgangsnøgler; de ligger i miljøvariabler
  • Tilføjet: - Push-abonnementer: Opbevares i databasen, som er krypteret på disken hos Supabase
  • ---

9. Kontakt og klagevej

  • 9. Kontakt og klagevej
  • Rettet: Capptain A/S udgår: er nyt: har udgår: ikke nyt: vurderet, udgår: forpligtet til at udgår: udpege nyt: vi udgår: en DPO (Art 37: under 250 ansatte, ikke udgår: systematisk nyt: skal udgår: behandling nyt: udpege udgår: i nyt: en udgår: stor nyt: databeskyttelsesrådgiver udgår: skala nyt: (GDPR udgår: af nyt: art. udgår: særlige nyt: 37). udgår: kategorier). Spørgsmål om databeskyttelse rettes til:
  • Fjernet: Databeskyttelsesansvarlig (DPO):
  • Tilføjet: Databeskyttelsesrådgiver (DPO):
  •  
  • Fjernet: privacy@capptain.ai
  • Tilføjet: hello@capptain.dk
  • Datatilsynet (klager): Datatilsynet, Carl Jacobsens Vej 35, 2500 Valby

10. Ændringer til denne politik

  • 10. Ændringer til denne politik
  • Fjernet: Vi opdaterer denne politik ved væsentlige ændringer. Registrerede brugere notificeres via e-mail eller in-app besked ved ændringer der kræver fornyet samtykke. Dato for seneste ændring er angivet øverst.
  • Tilføjet: Vi opdaterer denne politik ved væsentlige ændringer. Ændringer offentliggøres på denne side med en ny dato øverst. Ændrer vi grundlaget for en behandling til samtykke, beder vi om dit samtykke i appen.
  • ---
  • Rettet: Capptain A/S, udgår: privacy@capptain.ai, capptain.ai nyt: hello@capptain.dk

Markeringen er beregnet ud fra de to godkendte tekster. Ved tvivl er det den godkendte tekst i sin helhed der gælder.