Privatlivs- og cookiepolitik

1. Dataansvarlig og anvendelse

Erhvervsdata drives af Vilery Group, CVR-nr. 35020349, Åvænget 18, Mogenstrup, 4700 Næstved, Danmark. Kontakt: info@erhvervsdata.dk.

Politikken gælder www.erhvervsdata.dk, erhvervsdata.dk, app.erhvervsdata.dk, api.erhvervsdata.dk og mcp.erhvervsdata.dk. Den omfatter besøgende, personer, som kontakter os, brugere og kunderepræsentanter samt personer i vores virksomheds- og personoplysninger fra Erhvervsstyrelsen.

Vilery Group er dataansvarlig for eget registergrundlag, egen konto- og kundeadministration, betaling, sikkerhed og samtykkebaseret statistik. Kundens egne oplysninger, som vi alene behandler efter kundens instruks, er reguleret af databehandleraftalen. Om disse oplysninger er kunden dataansvarlig. Vi hjælper kunden med at håndtere dine rettigheder.

2. Henvendelser og support

Vi behandler navn, arbejdsmail, virksomhed, telefonnummer og beskedindhold, når du henvender dig, så vi kan besvare og følge op. Microsoft 365 anvendes til almindelig e-mail og supportkommunikation.

Grundlaget er vores legitime interesse i erhvervskommunikation og support, jf. GDPR artikel 6, stk. 1, litra f. Hvis du selv er aftalepart, kan nødvendig behandling bygge på artikel 6, stk. 1, litra b, herunder handlinger før aftaleindgåelse, som du har anmodet om. En henvendelse er ikke samtykke til elektronisk markedsføring.

Afsluttede almindelige henvendelser slettes efter 12 måneder. Oplysninger, som fortsat er nødvendige for et aktivt kundeforhold, en retlig pligt eller et konkret retskrav, opbevares særskilt, så længe dette formål kræver. Send ikke CPR-numre, betalingskortoplysninger eller følsomme oplysninger i formularer eller almindelig e-mail.

3. Konti, adgang og betaling

Vi behandler navn, e-mail, virksomhed, CVR-nummer, kontotilknytning, rolle, invitationer, loginoplysninger, aftaleaccept, abonnement, transaktioner og relevante supportoplysninger. Formålet er at levere og administrere tjenesten, dokumentere aftaler, forebygge misbrug og opfylde bogføringspligter.

For ansatte og andre repræsentanter hos kunden er grundlaget normalt legitim interesse, jf. artikel 6, stk. 1, litra f. Hvis du personligt er aftalepart, anvendes artikel 6, stk. 1, litra b, til nødvendig aftalebehandling. Bogføring bygger på artikel 6, stk. 1, litra c, og bogføringslovgivningen. Nødvendig dokumentation af retskrav kan bygge på litra f.

Login sker med engangskode på e-mail. Login- og systemmails sendes med Twilio SendGrid i EU-regionen. Vi anvender ikke åbnings- eller kliksporing i disse mails. Leveringsoplysninger anvendes til fejlfinding og sikker levering. Stripe håndterer kortbetaling; Visma Dinero anvendes til fakturering og bogføring. Kortoplysninger skal indtastes i betalingsudbyderens betalingsløsning og må ikke indlæses som kundedata i Erhvervsdata.

Nødvendige identifikations-, kontakt- og faktureringsoplysninger kræves for at oprette adgang og levere den relevante ydelse. Uden dem kan vi være ude af stand til at levere ydelsen.

4. Aktivitetslog, tekniske logs og seneste besøg

Aktivitetsloggen registrerer udvalgte handlinger, eksempelvis eksport, filhentning, import, bruger- og rettighedsændringer og supportadgang. Den indeholder bruger-/kontohenvisning, handling, relevant objekt og tidspunkt, men ikke IP-adresser, hemmelige nøgler eller kunders fritekst. Kontoens administratorer kan se loggen. Den opbevares højst 24 måneder og slettes tidligere ved kontosletning, medmindre et konkret lovligt dokumentationsbehov kræver særskilt opbevaring.

Personlig besøgshistorik viser højst de seneste 20 besøgte arbejdsobjekter. Den er adskilt fra aktivitetsloggen, er kun tilgængelig i brugerens eget arbejdsområde og kan ryddes. Registreringer slettes senest efter 90 dage. Formålet er at hjælpe brugeren tilbage til tidligere arbejde, ikke at overvåge alle opslag.

Tekniske server-, applikations- og sikkerhedslogs kan indeholde IP-adresse, tidspunkt, forespurgt sti, status-/fejlkode, browseroplysninger og nødvendige bruger-/kontohenvisninger. Formålet er drift, fejlfinding, sikkerhed og misbrugsforebyggelse. Disse logs slettes senest efter 30 dage. Nødvendige API-/MCP-forbrugstællere behandles særskilt og indeholder ikke fulde forespørgsler eller svar.

Vi tilstræber dataminimering i logningen og udelader login-/OAuth-koder, API-nøgler, tokens og personindhold fra almindelige logfelter. Grundlaget for vores egen sikkerheds- og driftsadministration er artikel 6, stk. 1, litra f. Personlig funktionalitet bygger på litra f eller litra b, hvis brugeren selv er aftalepart. Kundens egne arbejdsaktiviteter kan desuden være instruksbehandling efter databehandleraftalen.

Kun autoriserede medarbejdere hos Vilery Group har arbejdsbetinget adgang. Support-login anvendes, når det er nødvendigt for at løse en konkret sag eller drifts-/sikkerhedshændelse, og registreres i aktivitetsloggen. Produktionsdata bruges ikke i udvikling eller AI-værktøjer.

5. Oplysninger fra CVR og årsrapporter

Vi modtager CVR-oplysninger og offentliggjorte årsrapporter fra Erhvervsstyrelsen. Personoplysninger kan omfatte navn, CVR-enhedsnummer, erhvervsroller, virksomhedsrelationer, ledelses- og bestyrelsesposter, legale ejerinteresser, ejerandelsintervaller og perioder. Oplysninger om personligt ejede virksomheder, erhvervsadresser og kontaktoplysninger kan vedrøre fysiske personer. Vi behandler ikke CPR-numre og leverer ikke oplysninger om reelle ejere som del af tjenesten.

Formålet er faktuel virksomhedsresearch, markedsanalyse og opfølgning på registrerede ændringer. Grundlaget er vores og erhvervsbrugernes legitime interesser i relevante erhvervsoplysninger, jf. artikel 6, stk. 1, litra f. Vores nødvendigheds- og interesseafvejning er dokumenteret. Kontakt os for relevante oplysninger om vurderingen.

Oplysninger kan modtages af tjenestens erhvervsbrugere og deres autoriserede systemer gennem visninger, rapporter, eksporter, API og MCP inden for de pågældende adgangsrettigheder. Ikke alle felter er tilgængelige i alle kanaler. Kunden er selv ansvarlig for sin efterfølgende anvendelse. Offentlig tilgængelighed eller fravær af reklamebeskyttelse giver ikke i sig selv tilladelse til direkte markedsføring.

Vi leverer ikke kreditvurderinger og træffer ikke udelukkende automatiske afgørelser om personer med retsvirkning eller tilsvarende væsentlig betydning. Kundens egen regelbaserede prioritering af leads behandles på kundens ansvar og instruks.

Du kan gøre indsigelse og anmode om rettelse, begrænsning eller sletning, selv om oplysningerne stammer fra et offentligt register. Vi vurderer din konkrete situation. En rettelse hos Erhvervsstyrelsen kan også være nødvendig, men erstatter ikke vores håndtering af din anmodning. Ved en berettiget rettelse eller begrænsning må en senere registerindlæsning ikke ukritisk genaktivere oplysningerne.

6. API og MCP

Vi behandler nødvendige oplysninger om konto, nøgle-/forbindelsesidentifikatorer, rettigheder, udløb og forbrug for at levere og beskytte API og MCP. Vores egen adgangs- og sikkerhedsadministration bygger på artikel 6, stk. 1, litra f, eller litra b, hvis brugeren personligt er aftalepart. Instruksdata er omfattet af databehandleraftalen.

Kunden vælger selv AI-klient og godkender MCP-rettighederne. Klienten modtager de oplysninger, der udleveres ved autoriserede kald. Den bliver ikke automatisk vores underdatabehandler. Kunden skal sikre nødvendige aftaler, behandlingsgrundlag og eventuelt overførselsgrundlag. Vi skal fortsat sikre korrekt adgangskontrol og lovlig videregivelse.

7. Cookies og Google Analytics

Teknisk nødvendige cookies bruges til session, login, sikkerhed og lagring af cookievalg. De anvendes uden samtykke alene i det omfang, det er nødvendigt for den funktion, brugeren har ønsket. Den tilhørende persondatabehandling bygger på artikel 6, stk. 1, litra f, eller litra b, hvor det er relevant.

Google Analytics 4 anvendes på www og app alene efter dit samtykke. Grundlaget er artikel 6, stk. 1, litra a, og reglerne om cookies og lignende teknologier. Vi bruger det til generel statistik om sidebrug, besøg, browser, enhed og omtrentligt geografisk område. Der anvendes ikke Google Signals, annoncefunktioner eller User-ID. Identificerende bruger-/kundeoplysninger, kunders arbejdsindhold og søgninger efter konkrete personer eller virksomheder må ikke sendes til Analytics.

Analytics indlæses ikke og sender ikke statistiksignaler før accept eller efter et afslag. Accept af abonnement, login eller almindelige vilkår er ikke samtykke til statistik. Du kan bruge tjenesten uden statistik og ændre eller trække dit valg tilbage via Cookieindstillinger på både www og app. Tilbagekaldelse er lige så let som accept og påvirker ikke lovligheden af tidligere samtykkebaseret behandling.

Cookieoversigt

Nødvendige sessioners levetid kan fornyes ved aktiv brug; de er ikke en tilladelse til statistik. Hvis du aktivt vælger Husk mig, gemmes en særskilt login-cookie i 30 eller 90 dage efter dit valg. Den kan bruges til at oprette en ny autentificeret session ved et senere besøg og ændrer ikke den almindelige sessionscookies inaktivitetsfrist. Funktionen vælges særskilt fra statistik, er ikke forhåndsvalgt og bortfalder senest ved udløb eller tilbagekaldelse. Logout, fjernelse af enhedens vedvarende adgang og kontolukning tilbagekalder de relevante loginadgange. En ny vedvarende periode kræver et nyt aktivt valg; cookien bruges ikke til statistik eller markedsføring. Statistikvalget genindhentes ved udløb eller væsentlige formåls-/leverandørændringer. Ved tilbagekaldelse stoppes statistikken, og Analytics-cookies, som vi kan tilgå på vores domæner, fjernes.

Analytics' bruger- og hændelsesdata er sat til to måneders opbevaring uden forlængelse ved ny aktivitet. Googles automatiske sletteproces kan først fjerne aldersudløbne data ved den efterfølgende månedlige kørsel. Indstillingen begrænser ikke i sig selv standardrapporter med aggregerede tal; disse slettes eller begrænses særskilt, når de ikke længere er nødvendige. Irreversibelt anonyme statistikker er ikke personoplysninger.

Dokumentation af cookievalg opbevares adskilt og dataminimeret, som beskrevet i afsnit 10. Der anvendes ikke øvrige analyse-/markedsføringscookies under denne politik.

8. Kortvisning

Kortbilleder hentes fra tile.openstreetmap.org, som drives af OpenStreetMap Foundation i Storbritannien. Kort indlæses efter brugerens valg af kortfunktionen. Ved indlæsning modtager udbyderen tekniske oplysninger, eksempelvis IP-adresse, browseroplysninger og forespurgte kortfelter. Kortkoordinater kan angive det viste erhvervsområde. Vi sender ikke brugeridentitet, kunders noter eller private kontaktregistre til korttjenesten.

Vores grundlag er artikel 6, stk. 1, litra f, i at tilbyde den valgte geografiske visning med begrænset teknisk videregivelse. Hvis en ændret løsning indebærer ikke-nødvendige cookies eller anden samtykkepligtig udstyrsadgang, indhentes samtykke før den behandling.

OpenStreetMap Foundation behandler oplysninger som særskilt dataansvarlig efter sin privatlivspolitik. Korttjenesten bruger et internationalt cache-netværk. Storbritannien er omfattet af EU-Kommissionens gældende tilstrækkelighedsafgørelse. Andre behandlinger uden for EU/EØS skal vurderes efter afsnit 9 og må ikke gennemføres uden gyldigt grundlag.

9. Leverandører, modtagere og internationale behandlinger

Vi bruger one.com Group AB til app, API, MCP, database og backup i Tyskland; Cloudflare, Inc. til DNS og offentlig hjemmeside; Twilio Ireland Limited/Twilio SendGrid til EU-maillevering; Microsoft Ireland Operations Limited til Microsoft 365; Stripe Payments Europe, Limited og relevante Stripe-betalingsenheder til betaling; Visma Dinero ApS til bogføring; Google Ireland Limited til samtykkebaseret Analytics og OpenStreetMap Foundation til kortvisning.

Cloudflare leverer kun DNS for app, API og MCP, ikke proxy af deres indhold under denne model. En fuld oversigt over funktioner, roller, lande og garantier findes på GDPR og databehandling. Leverandører kan have egne dataansvarlige formål, eksempelvis lovpligtig betalingskontrol. Deres rolle som leverandør betyder ikke automatisk, at de er underdatabehandlere for kundens arbejdsdata.

Vi kan videregive nødvendige oplysninger til myndigheder og rådgivere for at opfylde en retlig pligt eller varetage et lovligt retskrav. Vi sælger ikke kundens egne arbejdsdata.

EU-datalagring udelukker ikke støttefunktioner eller adgang fra andre lande, herunder USA. Overførsler uden for EU/EØS kræver gyldigt grundlag efter GDPR kapitel V: en gældende tilstrækkelighedsafgørelse for den konkrete modtager eller EU-Kommissionens overførselsstandardbestemmelser med nødvendig vurdering og supplerende beskyttelse. Relevant certificering skal være aktuel og omfatte behandlingen, hvis en certificeringsbaseret afgørelse bruges. En kontrakthenvisning alene er ikke tilstrækkelig, hvis den faktiske beskyttelse er utilstrækkelig.

Du kan få nærmere oplysninger og kopi af relevante garantier ved henvendelse til info@erhvervsdata.dk, med nødvendig beskyttelse af fortrolige oplysninger. Behandling, som ikke kan beskyttes lovligt, skal standses eller ændres.

10. Opbevaring og sletning

Datavaskens 90-dagesperiode giver kunden adgang til at hente og kontrollere det indlæste materiale, behandlingens historik og resultater. Den ændrer ikke kundens ret til at kræve tidligere sletning eller pligten til at begrænse oplysningerne til nødvendige erhvervsformål.

Fristerne gælder den behandling, vi styrer. Særskilte modtageres egne lovlige behandlinger er underlagt deres information og regler. Hos vores databehandlere skal nødvendige sletteinstrukser og begrænsninger gennemføres gennem de relevante aftaler og værktøjer.

Ved almindelig kontolukning gennemføres endelig sletning af kontoen og de omfattede oplysninger 90 kalenderdage efter den verificerede lukningsanmodning. I afviklingsperioden begrænses behandlingen til nødvendig sikker opbevaring, dataudlevering og afslutning efter kundens instruks. Oplysningerne bruges ikke til nye formål, og øvrige kortere slettefrister gælder fortsat. Perioden er ikke en generel frist for at behandle GDPR-anmodninger: en berettiget anmodning om sletning eller en gyldig tidligere instruks gennemføres uden unødig forsinkelse efter de relevante regler. Efter den faktiske aktive sletning udløber sidste backupkopi senest syv kalenderdage senere, altså ved standardforløbet senest 97 dage efter lukningsanmodningen. Backup er ikke til almindelig drift. Ved gendannelse genanvendes slette- og begrænsningsinstrukser.

Ved aftalt tilbagelevering eller udbyderskift bevares de nødvendige data til sikker gennemførelse og den lovlige udtræksperiode. En udtrykkelig sletteinstruks og rettigheder efter GDPR håndteres særskilt. Ved udløb slettes aktive kopier straks og backup som ovenfor.

Ved konkret lovpligt eller retskrav kan relevante oplysninger opbevares længere i et afgrænset arkiv med begrænset adgang og løbende behovsvurdering. Bogføringspligt begrunder ikke opbevaring af kundens samlede CRM-, note- eller uploadmateriale. Kontosletning sletter ikke automatisk vores separate lovligt behandlede CVR-registergrundlag.

11. Sikkerhed og rettigheder

Vi anvender HTTPS, kryptering af lagring og backup, adgangsbegrænsning, administrator-MFA, sikkerhedsopdateringer, backup og test af gendannelse. Kundedata tilgås kun arbejdsbetinget af autoriserede personer under fortrolighed. Databehandleraftalen beskriver sikkerhedsforpligtelserne for instruksdata.

Afhængigt af betingelserne i GDPR har du ret til indsigt, rettelse, sletning, begrænsning og dataportabilitet. Dataportabilitet vedrører navnlig oplysninger, du har givet os, når grundlaget er samtykke eller aftale, og behandlingen er automatisk. Du kan gøre indsigelse mod legitim-interessebehandling på grund af din særlige situation. Vi standser da behandlingen, medmindre vi påviser vægtige legitime grunde, der går forud, eller nødvendighed til et retskrav. Ved direkte markedsføring gælder indsigelsen uden denne afvejning. Samtykke kan trækkes tilbage for fremtiden.

Skriv til info@erhvervsdata.dk med oplysninger, der gør det muligt at finde behandlingen, eksempelvis relevant CVR- eller enhedsnummer. Send ikke CPR-nummer eller legitimationskopier i almindelig e-mail. Ved begrundet tvivl kan nødvendig proportional identitetsbekræftelse kræves.

Vi svarer uden unødig forsinkelse og som udgangspunkt inden en måned. Ved lovlig forlængelse på grund af kompleksitet eller antal anmodninger får du begrundelse inden den første måned. Anmodninger er som udgangspunkt gratis. Du behøver ikke være kunde, og appens downloadfunktion erstatter ikke dine øvrige rettigheder.

12. Klage og ændringer

Du kan klage til Datatilsynet uden først at kontakte os. Politikopdateringer versionsstyres, og væsentlige ændringer meddeles på passende måde. En ny politik er ikke i sig selv samtykke eller hjemmel til et nyt formål.